Prehod v DNS: MX, SPF, DKIM in DMARC

Modul 4: Selitev e-pošte · Čas branja: 12 minut

Učni cilj: Po tej lekciji boste znali načrtovati in izvesti zamenjavo DNS za e-pošto v pravilnem vrstnem redu, tako da ne izgubite pošte, da Vaša odhodna pošta ne pristane v spamu in da Outlook na skrivaj ne ostane povezan s starim ponudnikom.

Ključni pojmi: TTL, zamenjava MX, SPF (en zapis), DKIM selektor, DMARC (p=none, rua), autodiscover, autoconfig, verifikacijski zapis, sprejeta domena (accepted domain)

Pet zapisov, en trenutek

Za e-pošto na Vaši lastni domeni je v DNS nekaj zapisov, ki skupaj določajo, ali pošta prispe in ali se Vaši pošti zaupa:

Pri selitvi se skoraj vse od tega spremeni. Umetnost je v vrstnem redu. Če zamenjate MX, medtem ko SPF in DKIM še vedno veljata samo za Microsoft, bo Vaša pošta sicer prispela, a pošta, ki jo pošiljate, bo pristala v spamu. Če najprej zamenjate SPF, pa Microsoft v dneh pred tem ne bo več mogel pravilno pošiljati v Vašem imenu.

Ta lekcija govori o vrstnem redu. Kako je vsak zapis natančno sestavljen, preberete v tečaju o DNS (lekcije 4.1 do 4.5).

Korak 1, dva dni vnaprej: znižanje TTL in varnostna kopija

Vsak DNS zapis ima TTL (time to live): kako dolgo si drugi strežniki smejo zapomniti odgovor. Če je TTL Vašega MX nastavljen na 86400 sekund (en dan), bodo nekateri strežniki tudi po zamenjavi do en dan še vedno pošiljali na stari strežnik.

Zato vsaj eno staro obdobje TTL vnaprej znižajte TTL za MX, SPF in autodiscover na 300 ali 3600 sekund. Pri TTL enega dneva to torej storite vsaj en dan vnaprej; dva dneva je dovolj. Hkrati naredite varnostno kopijo Vaše DNS cone ali zapišite vse trenutne zapise. Tako se lahko vedno vrnete nazaj.

Pekarna De Korrel vidi:

example.com.            3600  IN  MX   0 example-com.mail.protection.outlook.com.
example.com.            3600  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
selector1._domainkey    3600  IN  CNAME selector1-example-com._domainkey.korrel.onmicrosoft.com.
selector2._domainkey    3600  IN  CNAME selector2-example-com._domainkey.korrel.onmicrosoft.com.
_dmarc.example.com.     3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
autodiscover            3600  IN  CNAME autodiscover.outlook.com.
example.com.            3600  IN  TXT  "MS=ms12345678"

TTL je že 3600 (ena ura). MX in SPF nastavijo na 300.

Korak 2, pred zamenjavo: priprava DKIM in SPF za novega ponudnika

Zapise, ki ničesar ne pokvarijo, nastavite že vnaprej:

• DKIM novega ponudnika. Novi ponudnik Vam da selektor in ključ, na primer x._domainkey s TXT zapisom v=DKIM1; k=rsa; p=.... Ker se selektor imenuje drugače kot pri Microsoftu (selector1 in selector2), obstajata mirno drug ob drugem. Vsak prejemnik gleda samo selektor, ki je naveden v podpisu pošte.
• Razširite SPF, ne nadomestite ga. Veljaven je lahko samo en SPF zapis. Novega ponudnika dodajte v isti zapis, tako da lahko v prehodnih dneh pošiljata oba:

"v=spf1 include:spf.protection.outlook.com include:spf.mailaanbieder.example ~all"

Pekarna je imela -all. Med prehodom začasno izberejo ~all (softfail): če kak strežnik vendarle manjka, se pošta prej obravnava kot sumljiva kot pa zavrne. To sledi pravilu: ~all, če niste povsem prepričani, -all, če ste prepričani, da so vsi pošiljatelji navedeni.

Ne pozabite na druge pošiljatelje s seznama iz lekcije 4.1: spletno trgovino, storitev za novice, računovodstvo. Ti ostanejo v SPF zapisu.

Korak 3, trenutek zamenjave: MX in autodiscover

Ob dogovorjenem trenutku, potem ko je pripravljena prva kopija poštnih predalov (lekcija 4.2):

1. Zamenjajte MX zapise s tistimi od novega ponudnika. Odstranite stari MX; ne pustite ga kot "rezervo" z višjo prioriteto, saj bo takrat pošta prispela pri starem ponudniku, brž ko bo novi malce počasnejši.
2. Prilagodite autodiscover. Outlook svoje nastavitve išče prek autodiscover.example.com. Če ta še vedno kaže na autodiscover.outlook.com, bo Outlook še naprej poskušal prijaviti pri Microsoftu, tudi če dodate nov račun. Odstranite ga ali pustite, da kaže na to, kar navede Vaš novi ponudnik. Nekateri ponudniki namesto tega uporabljajo autoconfig.example.com (Thunderbird) ali SRV zapise, kot sta _imaps._tcp in _submission._tcp (RFC 6186).
3. Naredite drugo kopijo poštnih predalov, tako da se prenese tudi pošta zadnjih ur.

Pri Microsoft 365 obstaja presenečenje, ki marsikoga ujame nepripravljenega. Dokler je example.com v okolju Microsoft 365 označena kot sprejeta domena (accepted domain), Microsoft pošto med uporabniki istega okolja dostavlja interno, ne da bi pogledal MX. Če sodelavec, ki še vedno dela v Outlooku pri Microsoftu, pošlje pošto drugemu sodelavcu, ta pošta pristane v starem poštnem predalu. Zato vse zaposlene preklopite isti dan, po prehodnem obdobju pa domeno odstranite iz Microsoftovega okolja.

Korak 4, DMARC: branje poročil med prehodom

DMARC prejemnikom pove, kaj naj storijo, če pošta ne uspe pri SPF ali DKIM, in Vam pošilja poročila. Pekarna je imela p=quarantine. To je dobro, vendar med zamenjavo tvegano: če DKIM pri novem ponudniku še ni vklopljen, njihova lastna pošta pri strankah pristane v spamu.

Varen pristop:

• Če DMARC še nimate, začnite s p=none in naslovom rua. Tako se z Vašo pošto ne zgodi nič, prejemate pa poročila.
• Če že imate quarantine ali reject, pred zamenjavo s testno pošto preverite, da DKIM novega ponudnika deluje (glava prejete pošte pokaže dkim=pass z d=example.com). Če dvomite, začasno nastavite p=none in nekaj tednov spremljajte poročila.
• Nato postopoma zaostrujte: none, nato quarantine, nato morda reject. Po novem standardu DMARC (RFC 9989) lahko v testni fazi uporabite tudi t=y; stara oznaka pct odpade.

Korak 5, po nekaj tednih: pospravljanje

Če vse dobro deluje že nekaj tednov, pospravite stare zapise:

• stari include iz SPF (in po potrebi nazaj na -all);
• stare DKIM zapise (selector1 in selector2);
• verifikacijski zapis MS=ms... in morebitne druge zapise za Microsoft, kot sta enterpriseregistration in lyncdiscover, če ste jih imeli;
• TTL nazaj na običajno vrednost, na primer 3600;
• domeno iz starega Microsoftovega ali Googlovega okolja.

Če pustite stari include, lahko stari ponudnik še leta pošilja pošto v imenu Vaše domene. To so odprta vrata.

V praksi: tako je videti pri ponudniku

V Moj WebOké se na zavihku DNS nahaja kartica Nastavitve e-pošte. Ta prikaže MX, SPF in DMARC z obarvano piko, zgoraj desno pa, katerega ponudnika e-pošte prepozna na podlagi Vašega MX. S Hitro nastavitvijo v enem koraku nastavite zapise za določenega ponudnika, rumeno obvestilo pa opozori, da bodo obstoječi MX in SPF zapisi zamenjani. Zato najprej naredite varnostno kopijo DNS in nato preverite, ali SPF zapis še vedno vsebuje Vaše druge pošiljatelje. Na strani izdelka za paket gostovanja je kartica Nastavitev e-pošte, ki za vsak zapis pokaže, ali je Pravilno, Pozor, Napačno ali Predmeta ni mogoče najti, vrednost pa prikaže z gumbom za kopiranje. Če je DNS pri drugem ponudniku, te vrednosti prevzemite tam. Drugi ponudniki in DNS nadzorne plošče imajo podobne preglede; sami zapisi so povsod enaki.

Povzetek

• Znižajte TTL vsaj eno staro obdobje TTL vnaprej in naredite varnostno kopijo Vaše DNS cone.
• DKIM novega ponudnika in razširjen SPF zapis (en zapis, oba ponudnika) pripravite že pred zamenjavo.
• MX in autodiscover zamenjajte hkrati in vse zaposlene preklopite isti dan; sicer Microsoft interno pošto še vedno dostavlja v stare poštne predale.
• Med prehodom DMARC ne zaostrujte bolj, kot ste prepričani; če DMARC še nimate, začnite s p=none in poročili.
• Po nekaj tednih pospravite stari include, DKIM zapise, verifikacijske zapise in domeno v starem okolju.

Kviz

Naloga

Naloga A4.3: Vaši poštni zapisi na enem mestu. Vnesite svojo domeno in DKIM selektor Vašega (novega) ponudnika. Program preveri, ali MX kaže na Vašega ponudnika, ali obstaja natanko en SPF zapis, ali je DKIM ključ na tem selektorju in ali obstaja natanko en DMARC zapis. Prav tako izmeri TTL Vašega MX pri pristojnem imenskem strežniku (authoritative nameserver): za načrtovano zamenjavo mora biti ta 3600 ali manj.

Naloga E4.3: Vaš scenarij za preklop. Za svojo domeno napišite scenarij iz te lekcije: za vsak korak datum in čas, zapise pred in po (stari in novi SPF kot ena vrstica), kdo to opravi in kaj preverite po vsakem koraku.

Za nadaljnje branje

Koraki v teh člankih veljajo za storitve WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik WebOké 6.7: Kartica Nastavitev e-pošte (MX, SPF, DKIM, DMARC)
• Priročnik WebOké 5.6: Hitra nastavitev e-pošte v DNS
• Priročnik WebOké 5.7: Obnovitev DNS in varnostna kopija DNS
• Priročnik DirectAdmin 10.4: Po selitvi: zapisi MX in Vaše naprave
• Brezplačen tečaj DNS 4.3: SPF: kdo sme pošiljati pošto v imenu Vaše domene?
• Brezplačen tečaj DNS 4.4: DKIM: podpis pod Vašo pošto
• Brezplačen tečaj DNS 4.5: DMARC: kaj morajo prejemniki narediti z lažno pošto
• Brezplačen tečaj DNS 6.3: DNS pri prenosu domene
• RFC 7208 (SPF), RFC 6376 (DKIM), RFC 9989 (DMARC), RFC 6186 (SRV zapisi za poštne programe)