Kontrolný zoznam pre vašu vlastnú doménu

Modul 8: Bezpečnosť a riešenie problémov · Čas čítania: 10 min

Cieľ lekcie: Po tejto lekcii skontrolujete svoju vlastnú doménu zhora nadol pomocou pevného kontrolného zoznamu a budete vedieť, kde začať, ak web alebo e-mail nefunguje.

Kľúčové pojmy: registrácia, menné servery, A/AAAA, www, certifikát, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, záloha

Prečo zhora nadol?

DNS je reťazec: bez registrácie nie sú menné servery, bez fungujúcich menných serverov nie sú záznamy, bez záznamu A nie je web. Chyba na vrchu spôsobuje rôzne sťažnosti na spodku. Preto zoznam vždy prechádzate v tomto poradí a zastavíte sa pri prvom bode, ktorý nesedí. Najprv ho vyriešte a potom začnite znova odznova.

V zozname je uvedené example.com: nahraďte ho svojou vlastnou doménou. Pri každom bode je uvedený príkaz dig; dá sa použiť aj online dig (lekcia 8.3). Kontrola zdravia domény, napríklad od vašej hostingovej spoločnosti alebo bezplatná kontrola Zdravie domény, vykoná veľkú časť tohto zoznamu naraz, ale je dobré vedieť, čo sa za tým skrýva.

Časť A: základ

1. Je doména zaregistrovaná a aktívna?

• Ako: vyhľadávanie whois alebo RDAP (napríklad cez stránku registra, ako je sidn.nl pre .nl, teda webová stránka SIDN, registra domény .nl v Holandsku), alebo whois example.com.
• Dobre: stav aktívny (pri .nl: "active"), nie "v karanténe", nie expirovaná. Držiteľ domény súhlasí.

2. Aké menné servery má doména a sú minimálne dva?

• Ako: dig +short NS example.com, a pre to, čo udáva register, dig +trace example.com.
• Dobre: aspoň dva menné servery, od spoločnosti, kde spravujete svoj DNS.

3. Odpovedajú všetky menné servery a dávajú rovnakú odpoveď?

• Ako: dig +short SOA example.com @<menný server> pre každý menný server.
• Dobre: každý menný server odpovedá (žiadny timeout, žiadne REFUSED) a sériové číslo (tretie pole SOA) je všade rovnaké. Menný server, ktorý pre vašu doménu neodpovedá, sa nazýva lame.

4. Je DNSSEC v poriadku (ak je zapnutý)?

• Ako: dig +short DS example.com a dig example.com A @1.1.1.1 (všimnite si stav a vlajku ad); pri pochybnostiach DNSViz.
• Dobre: buď žiadne DS (DNSSEC vypnutý, to funguje jednoducho), alebo DS so stavom NOERROR a vlajkou ad. Zle: SERVFAIL.

Časť B: web

5. Smeruje doménové meno na správny server?

• Ako: dig +short A example.com a dig +short AAAA example.com.
• Dobre: adresa IPv4 (a ak ju máte, adresa IPv6) servera, na ktorom je váš web. Žiadna stará AAAA z predchádzajúceho servera.

6. Funguje www?

• Ako: dig +short A www.example.com (alebo CNAME).
• Dobre: záznam A, záznam AAAA alebo CNAME, ktorý vedie na ten istý web. Ak www chýba, ľudia, ktorí napíšu www, dostanú chybové hlásenie.

7. Má web platný certifikát pre oba názvy?

• Ako: otvorte https://example.com a https://www.example.com a kliknite na zámok, alebo použite test webu na internet.nl.
• Dobre: žiadne upozornenie, certifikát je platný ešte aspoň niekoľko týždňov a platí pre oba názvy.

8. Smie váš vydavateľ certifikátov vytvárať certifikáty (CAA)?

• Ako: dig +short CAA example.com.
• Dobre: žiadny záznam CAA (všetci smú), alebo záznam CAA s issue pre spoločnosť, ktorá vydáva váš certifikát. Zle: CAA, ktoré neuvádza vášho vydavateľa.

Časť C: e-mail

9. Kam prichádza vaša pošta?

• Ako: dig +short MX example.com a potom dig +short A <mailový server> pre prvý názov.
• Dobre: záznamy MX vášho súčasného poskytovateľa pošty a žiadne zabudnuté MX od starého poskytovateľa. Každý názov mailového servera má záznam A alebo AAAA. Ak doménu nepoužívate na e-mail, null MX (0 .) môže jasne naznačiť, že žiadna pošta neprichádza.

10. Je tam presne jeden správny záznam SPF?

• Ako: dig +short TXT example.com a pozrite sa na riadky, ktoré začínajú v=spf1; kontrola e-mailu počíta vyhľadávania.
• Dobre: presne jeden záznam SPF, so všetkými službami, ktoré posielajú poštu v mene vašej domény, končiaci na ~all alebo -all (nikdy +all), a nie viac ako desať vyhľadávaní DNS.

11. Je DKIM nastavený pre každú službu, ktorá posiela poštu?

• Ako: dig +short TXT <selektor>._domainkey.example.com (alebo CNAME) pre každý selektor, ktorý poznáte, ako napríklad selektor vášho poskytovateľa pošty a vašej služby na newslettery. Selektor nájdete v pokynoch služby alebo v hlavičke DKIM-Signature: ... s=<selektor> odoslaného e-mailu.
• Dobre: každý záznam udáva kľúč (v=DKIM1; ... p=...) alebo CNAME na službu, a testovací e-mail ukáže pri DKIM hodnotu PASS.

12. Je tam záznam DMARC?

• Ako: dig +short TXT _dmarc.example.com.
• Dobre: presne jeden záznam, ktorý začína v=DMARC1 a má platné pravidlo (p=none, p=quarantine alebo p=reject). Začali ste s p=none? Naplánujte si sprísnenie.

13. Dorazí skutočný e-mail v poriadku?

• Ako: pošlite e-mail na mail-tester.com alebo na adresu Gmail a pozrite si "Zobraziť originál".
• Dobre: SPF, DKIM a DMARC majú hodnotu PASS.

Časť D: údržba

14. Sú hodnoty TTL rozumné?

• Ako: dig example.com A @<váš menný server> a pozrite sa na TTL.
• Dobre: bežne 3600 až 86400 (hodina až deň). Len okolo plánovanej zmeny dočasne 300. Zabudnúť vrátiť hodnotu späť po presťahovaní nie je vážny problém, ale spôsobuje zbytočne veľa prevádzky.

15. Máte zálohu svojej zóny?

• Ako: tlačidlo zálohy alebo exportu vo vašom DNS paneli, alebo dig pre jednotlivé záznamy, ak takú funkciu nemáte.
• Dobre: nedávna kópia všetkých záznamov, uložená mimo panelu.

16. Nie sú tam zabudnuté záznamy?

• Ako: prejdite všetky záznamy vo svojom paneli.
• Dobre: žiadne overovacie záznamy alebo subdomény služieb, ktoré už nepoužívate. CNAME na zrušenú službu môže niekto iný "prevziať" (subdomain takeover): odstráňte ho.

Kde začať pri sťažnosti?

V praxi: takto to vyzerá v paneli

Kontrola zdravia domény vykoná veľkú časť tohto zoznamu automaticky. V Môj WebOké je to na stránke domény ako karta Zdravie domény / e-mailu, so zelenou, oranžovou a červenou farbou pre každý bod; verejná verzia funguje pre každú doménu. Iné hostingové spoločnosti, registrátori a DNS poskytovatelia majú podobné kontroly, a internet.nl nezávisle testuje veľkú časť časti B a C. Použite takúto kontrolu ako východiskový bod a tento zoznam na to, aby ste pochopili, čo je červené.

Zhrnutie

• Prejdite zoznam zhora nadol a zastavte sa pri prvom bode, ktorý nesedí.
• Základ: registrácia, menné servery, zhodné odpovede, DNSSEC.
• Web: A/AAAA, www, certifikát, CAA.
• Pošta: MX s adresou, jeden SPF, DKIM pre každú službu, jeden DMARC, testovací e-mail.
• Údržba: TTL, záloha, upratovanie.

Kvíz

Úloha

Úloha Z8.5: Záverečná úloha: vaša vlastná doména. Skontrolujte svoju vlastnú doménu pomocou tohto kontrolného zoznamu. Zadajte svoje doménové meno v prostredí kurzu a pre každý bod časti A, B a C odpovedzte, čo ste zistili (napríklad vaše menné servery, vaše MX, váš záznam SPF a vaše pravidlo DMARC). Program vykoná rovnaké kontroly a porovná. Ak niečo vo vašej doméne nesedí, dostanete vysvetlenie s odkazom na lekciu. Ak nemáte vlastnú doménu, použite sidn.nl.

Ďalšie čítanie

Tieto články popisujú kontroly vo WebOké; kontrolný zoznam funguje pre každú doménu.

• Príručka WebOké 5.17: Zdravie domény a e-mailu: kontrola a náprava
• Webová stránka alebo e-mail nefunguje po presune alebo zmene DNS: skontrolujte svoju doménu
• Príručka WebOké 5.7: Obnovenie DNS a vytvorenie zálohy DNS
• Vytvorenie a obnovenie zálohy DNS
• Bezplatný nástroj Zdravie domény: https://www.weboke.sk/zdravie-domeny
• Bezplatná kontrola e-mailu: https://www.weboke.sk/kontrola-e-mailu