Reverse DNS a váš odosielajúci server

Modul 5: Reputácia a veľkí poskytovatelia · Čas čítania: 9 minút

Cieľ lekcie: Po tejto lekcii viete vysvetliť, prečo musí mať IP adresa servera, ktorý odosiela vašu poštu, poriadne nastavený reverzný DNS, viete zistiť, ktorý server to u vás je, a viete skontrolovať, či sedí smer tam aj naspäť.

Kľúčové pojmy: odosielajúci server, PTR záznam, forward-confirmed reverse DNS (FCrDNS), názov HELO/EHLO, generický názov, zdieľaný hosting, vlastný server (VPS), vlastník IP bloku

Ktorý server vlastne odosiela vašu poštu?

V module 4 sme hovorili o vašej doméne: SPF, DKIM a DMARC sú uložené v DNS domény example.com. V tomto module sa pozrieme na niečo iné: na server, ktorý vašu poštu doručuje príjemcovi. Tento server má IP adresu a príjemcovia hodnotia túto adresu nezávisle od vašej domény.

Ktorý server to je, závisí od toho, ako odosielate poštu:

IP adresu odosielajúceho servera nájdete v hlavičkách e-mailu, ktorý ste poslali sebe alebo na inú adresu (lekcia 1.5). Pozrite sa na najvrchnejší riadok Received:, ktorý pridal prijímajúci server. Nájdete v ňom niečo ako:

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

Adresa v hranatých zátvorkách, 192.0.2.25, je IP adresa, z ktorej sa odosielajúci server pripojil. Názov pred ňou (smtp.hosting.example) je názov, ktorý k tejto adrese príjemca našiel pomocou reverzného DNS.

Reverzný DNS v skratke

Reverzný DNS spája IP adresu späť s názvom, pomocou PTR záznamu. Základy ste sa učili v kurze DNS (lekcia 4.6): záznam nie je v zóne vašej domény, ale v reverznej zóne danej IP adresy, ktorú spravuje subjekt spravujúci príslušný IP blok.

Pre e-mail sú dôležité tri veci:

1. PTR existuje. IP adresa bez reverzného DNS pôsobí ako náhodný stroj na internete. Gmail takúto poštu odmietne s hlásením 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. Názov ukazuje späť na tú istú adresu. IP adresa 192.0.2.25 má PTR smtp.hosting.example, a smtp.hosting.example má A záznam 192.0.2.25. Toto sa nazýva forward-confirmed reverse DNS (FCrDNS). Gmail, Yahoo a T-Online to vo svojich požiadavkách výslovne uvádzajú.
3. Názov vyzerá ako mailový server. Názov ako 192-0-2-25.dsl.provider.example alebo host25.dynamic.provider.example prezrádza domácu alebo klientsku prípojku. Spamové filtre za to pridávajú body, prípadne spojenie rovno odmietnu.

Pre IPv6 platí všetko to isté. Ak server odosiela cez IPv6, musí mať PTR aj IPv6 adresa a musí sa zhodovať s AAAA záznamom. Server, ktorý je v poriadku cez IPv4, ale nie cez IPv6, dostane problémy najmä u Gmailu: Google uvádza chýbajúci IPv6 PTR ako príčinu chyby „IPv6 authorization error“.

Názov HELO

Keď sa server pripája, predstaví sa príkazom EHLO (alebo starším HELO) a názvom (lekcia 1.2). RFC 5321 hovorí, že by to mal byť úplný názov servera. V praxi príjemcovia kontrolujú, či tento názov:

• je skutočný, existujúci názov (nie localhost, nie holé IP adresy, nie názov, ktorý nie je v DNS);
• sedí s reverzným DNS, alebo aspoň patrí do tej istej domény.

Pri hostingovom balíku alebo mailovej službe toto zabezpečuje správca. Ak prevádzkujete vlastný mailový server, nastavíte si HELO názov vo svojom mailovom softvéri (v Postfixe sa to volá myhostname) a postaráte sa, aby tento názov, PTR a A záznam boli navzájom zhodné.

Zdieľaný hosting: PTR nemusí byť vaša doména

Častá otázka: „Nemal by byť reverzný DNS mail.example.com, veď to je moja doména?“ Nie. Pri zdieľanom hostingu a veľkých mailových službách odosiela jeden server poštu pre stovky alebo tisíce domén. IP adresa môže mať iba jeden PTR, ktorý teda obsahuje názov samotného servera, napríklad server12.hosting.example.

To je v poriadku. Príjemcovia kontrolujú, či PTR existuje, zhoduje sa a nie je generický. Nekontrolujú, či obsahuje váš vlastný názov domény. Prepojenie medzi vašou doménou a serverom vytvárate pomocou SPF (server je uvedený vo vašom SPF) a DKIM (server podpisuje v mene vašej domény).

Napríklad vo WebOké je to vyriešené takto: servery hostingového balíka majú reverzný DNS s názvom samotného servera, v rámci domény webawere.nl, ktorá sa zasa zhoduje späť. U iných hostingových spoločností a mailových služieb to funguje rovnako, s ich vlastnými názvami serverov.

Vlastný server: čo musíte zariadiť vy?

Ak odosielate poštu priamo z vlastného servera, napríklad z VPS s e-shopom alebo z vlastného mailového servera, ste odosielateľom vy sami a musíte zariadiť viac:

1. Vyberte si názov, napríklad mail.example.com.
2. Vytvorte A záznam (a AAAA záznam) tohto názvu smerujúci na IP adresu servera, v DNS vašej domény.
3. Požiadajte o PTR u poskytovateľa servera. Zvyčajne je v zákazníckom paneli pole „Reverse DNS“ alebo „rDNS“. Tam vyplníte rovnaký názov.
4. Nastavte HELO názov vo vašom mailovom softvéri na ten istý názov.
5. Uveďte IP adresu vo svojom SPF (ip4: a ip6:) a zapnite DKIM vo svojom mailovom softvéri.
6. Skontrolujte, či je port 25 otvorený pre odchádzajúcu komunikáciu. Mnohí poskytovatelia ho štandardne zatvárajú, aby predišli zneužitiu; vtedy ho musíte nechať otvoriť, alebo odosielať cez relay vášho poskytovateľa či odosielaciu službu.

Mailový server na bežnej domácej či kancelárskej internetovej prípojke je takmer vždy zlý nápad. Takéto adresy sa často nachádzajú na zoznamoch „adries koncových používateľov“ (ako napríklad Policy Block List od Spamhausu, lekcia 5.2), PTR si zvyčajne nemôžete sami vybrať a T-Online doslova predpisuje, že takéto systémy musia odosielať cez relay vhodného poskytovateľa.

Kontrola

Pomocou príkazového riadku (kurz DNS, lekcia 8.2):

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Ak sa pri druhom dotaze vráti rovnaká adresa, FCrDNS je v poriadku. Pri IPv6 postupujete rovnako pomocou dig -x 2001:db8::25 a dig AAAA.

Môžete sa tiež pozrieť, ako to videl príjemca. V hlavičkách prijímajúci server uvádza názov, ktorý našiel, v zátvorke za from. Ak tam stojí unknown, neznamená to, že PTR nenašiel. Niektoré servery pridávajú aj vlastnú kontrolu, napríklad iprev=pass v riadku Authentication-Results: (RFC 8601).

Zhrnutie

• Odosielajúci server je server, ktorý doručuje vašu poštu príjemcovi. Príjemcovia hodnotia jeho IP adresu nezávisle od vašej domény.
• Táto IP adresa potrebuje PTR, ktorý sa zhoduje späť s rovnakou adresou (FCrDNS), pre IPv4 aj IPv6, s názvom, ktorý nie je generický.
• Názov HELO by mal byť existujúci názov, ktorý sedí s PTR.
• Pri zdieľanom hostingu a mailových službách je v PTR uvedený názov servera, nie vaša doména. To je v poriadku.
• Pri vlastnom serveri si sami zariaďujete názov, A/AAAA, PTR (cez poskytovateľa), HELO, SPF a DKIM.

Kvíz

Úloha

Úloha Z5.1: Odosielajúci server vašej vlastnej domény. Pošlite e-mail zo svojej vlastnej adresy na inú svoju adresu (napríklad na adresu Gmail alebo Outlook.com) a otvorte hlavičky. Nájdite IP adresu servera, ktorý poštu doručil, PTR názov tejto adresy, a doplňte, či sa tento názov zhoduje späť na rovnakú adresu (áno/nie). Ak nemáte vlastnú doménu, použite IP adresu mailového servera mx00.t-online.de. Program si naživo vyžiada PTR a A/AAAA záznam a porovná ich.

Ďalšie čítanie

Kroky v týchto článkoch platia pre panely WebOké; u iných poskytovateľov to funguje obdobne.

• Odosielanie e-mailov z vášho VPS a nastavenie reverzného DNS
• Bezplatný kurz DNS 4.6: Reverse DNS (PTR): od čísla späť k názvu
• Vysvetlenie procesu odosielania e-mailov / SMTP
• RFC 5321 (SMTP), odsek 4.1.1.1 o názve EHLO; RFC 8601 o hlavičke Authentication-Results