Modul 8 · 8.3
Online DNS nástroje
Modul 8: Bezpečnosť a riešenie problémov · Čas čítania: 7 min
Cieľ lekcie: Po tejto lekcii dokážete pre každú otázku o vašom DNS vybrať správny online nástroj a budete vedieť, ako čítať jeho výsledok.
Kľúčové pojmy: online dig, DNS checker podľa krajiny, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, e-mail check, zdravie domény
Prečo online nástroje?
Online nástroj kladie vašu otázku z iného miesta ako váš počítač. To má dve výhody. Nie ste obmedzení cache vášho vlastného počítača alebo routera a vidíte to, čo vidí zvyšok internetu. Mnohé nástroje navyše kombinujú desiatky kontrol v jednom kliknutí, zatiaľ čo s dig musíte klásť každú otázku samostatne.
Neexistuje jeden nástroj, ktorý by robil všetko najlepšie. Vyberte si podľa svojej otázky.
Ktorý nástroj na akú otázku?
| Vaša otázka | Vhodný nástroj | Čo uvidíte |
|---|---|---|
| "Čo presne vracia DNS práve teraz?" | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), alebo iný online dig | To isté ako dig, bez toho, aby ste čokoľvek inštalovali |
| "Vidí už celý svet moju zmenu?" | dnschecker.org (alebo podobné "DNS propagation checkers") | Odpoveď desiatok resolverov z rôznych krajín vedľa seba |
| "Je moja doména nastavená moderne a bezpečne?" | internet.nl (od holandskej platformy Internetstandaarden Platform) | Skóre pre web (IPv6, DNSSEC, https) a e-mail (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| "Je môj DNSSEC reťazec v poriadku?" | DNSViz (dnsviz.net) | Obrázok reťazca od koreňa po vašu doménu, s chybami červenou farbou |
| "Je moja zóna technicky správna?" | Zonemaster (zonemaster.net) | Podrobná kontrola menných serverov, delegácie, SOA a DNSSEC |
| "Ako na tom sú moje mailové záznamy?" | MXToolbox, e-mail check (napríklad E-mailcheck od WebOké), alebo kontroly vášho poskytovateľa e-mailu | MX, SPF (s počtom vyhľadávaní), DMARC, čierne listiny |
| "Príde moja odoslaná pošta v poriadku?" | mail-tester.com, alebo testovací e-mail na Gmail so zobrazením "Zobraziť originál" | Či SPF, DKIM a DMARC prejdú pri skutočnej pošte |
| "Funguje web aj pošta spolu, všetko v jednom prehľade?" | Kontrola zdravia domény (napríklad Zdravie domény od WebOké) | Menné servery, záznam A, www, certifikát, MX, SPF, DMARC, DNSSEC a CAA v jednom zozname |
Nástroje WebOké sú tu uvedené ako príklad kontroly typu "všetko v jednom"; iní poskytovatelia hostingu a registrátori majú podobné nástroje. Pri pochybnostiach použite dva nástroje vedľa seba: ak dva nezávislé nástroje hovoria to isté, je to takmer isto správne.
Používanie online dig
Online dig robí presne to, čo ste sa naučili v lekcii 8.2. Zadáte názov (napríklad _dmarc.example.com), vyberiete typ (TXT) a dostanete surový výstup. Nástroj Google Toolbox zobrazuje aj stav (NOERROR, NXDOMAIN, SERVFAIL) a TTL. Tento nástroj použite, keď chcete vedieť, čo je tam doslova zapísané, napríklad na overenie, či sa váš SPF záznam vyskytuje presne jedenkrát.
Čítanie DNS checkera podľa krajiny
Po zmene často v kontrolnom nástroji ako dnschecker.org uvidíte zmiešaný obraz: v niektorých krajinách novú adresu so zeleným zaškrtnutím, v iných ešte starú. To nie je chyba. Každý resolver si záznam vyžiadal v inom čase a odpočítava svoju vlastnú TTL (lekcia 6.2).
Na dve veci si dajte pozor:
- Vidíte všade starú odpoveď, aj dlho po uplynutí TTL? Potom zmena pravdepodobne nie je nastavená na mennom serveri, ktorý používa svet. Skontrolujte, aké menné servery má vaša doména (lekcia 2.1).
- Pri niektorých resolveroch nevidíte nič (krížik)? Môže ísť o SERVFAIL, často spôsobený DNSSEC. Overte to pomocou DNSViz.
internet.nl
internet.nl je nezávislý test holandskej platformy Internetstandaarden Platform (okrem iného SIDN, NLnet Labs a vláda). Existujú tri testy: web, e-mail a vaše vlastné pripojenie. Výsledkom je percento s vysvetlením pre každú časť a tipom "Ako to zlepšiť".
Výsledok čítajte s rozumom: nie každá červená časť je porucha. Ak napríklad chýba DANE alebo IPv6, vaša pošta alebo web stále fungujú, len nespĺňate najnovší štandard. Červená pri "DNSSEC platný" alebo "SPF" je naopak dôležitá.
DNSViz
DNSViz kreslí reťazec dôvery z lekcie 8.1: bloky pre koreň, TLD a vašu doménu, so šípkami pre DS a DNSKEY. Modrá znamená bezpečné, čierna znamená nepodpísané (nie je to chyba) a červená znamená pokazené; ako čítať tento obrázok, nájdete v lekcii 8.1. Červené čiary alebo červené bloky presne ukazujú, kde sa reťazec láme, napríklad "DS nemá zodpovedajúci DNSKEY". Tento nástroj použite vtedy, keď dostanete SERVFAIL, ale dig +cd odpoveď napriek tomu vráti.
Zonemaster
Zonemaster (vytvorený okrem iných aj registrami .se a .fr) kontroluje vašu zónu tak, ako to robí register: existujú aspoň dva menné servery, odpovedajú všetky rovnako, sedí sériové číslo SOA všade, sú menné servery dostupné cez IPv4 aj IPv6. Výborné pred zmenou menných serverov u registra, ktorý prísne kontroluje. Môžete testovať aj menné servery, ktoré ešte nie sú priradené k doméne ("undelegated test").
Mailové nástroje
E-mail check sa pozerá na DNS stránku veci: je tam MX, je tam presne jeden SPF záznam, zmestí sa do desiatich vyhľadávaní, je tam DMARC záznam. Nedokáže zistiť, či DKIM funguje, pretože na to potrebujete poznať selektor. To otestujete skutočnou poštou: pošlite ju na mail-tester.com alebo na Gmail adresu a pozrite sa pri "Zobraziť originál", či SPF, DKIM a DMARC majú stav PASS.
V praxi: ako to vyzerá v paneli
Mnohé panely majú vlastnú kontrolu. V Môj WebOké je na stránke domény karta Zdravie domény / e-mailu so zelenými, oranžovými a červenými bodkami a niekedy aj tlačidlom na opravu. Pri Cloudflare vidíte upozornenia v hornej časti vášho DNS prehľadu, pri Google Workspace a Microsoft 365 kontrolnú stránku v administračnom centre. Takéto kontroly poznajú vašu situáciu najlepšie; nezávislý nástroj ukazuje, čo vidí vonkajší svet. Používajte ich spolu.
Zhrnutie
- Online nástroje kladú otázku z iného miesta a nie sú obmedzené vašou cache.
- Online dig: čo je tam doslova napísané. DNS checker podľa krajiny: či to už vidí svet. DNSViz: či je DNSSEC reťazec v poriadku. Zonemaster: či je zóna technicky správna. internet.nl: či je nastavenie moderné a bezpečné.
- E-mail check testuje záznamy; skutočná testovacia pošta testuje, či SPF, DKIM a DMARC prejdú.
- Pri pochybnostiach použite dva nástroje vedľa seba.
Kvíz
Úloha
Úloha Z8.3: Online nástroje. Otestujte internet.nl pomocou testu webu a e-mailu priamo na internet.nl. Pri e-mail teste si zapíšte, či je DNSSEC pre mailové servery (MX) platný, a v DNSViz vyhľadajte, aké číslo algoritmu používajú DS záznamy domény internet.nl. Potom pomocou online dig overte, akú politiku (p=) má DMARC záznam domény internet.nl. Vyplňte odpovede.
Ďalšie čítanie
Tieto články popisujú kontroly WebOké; nezávislé nástroje fungujú pre akúkoľvek doménu.