Λίστα ελέγχου για το δικό σας domain

Ενότητα 8: Ασφάλεια και επίλυση προβλημάτων · Χρόνος ανάγνωσης: 10 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα ελέγχετε το δικό σας domain από πάνω προς τα κάτω με μια σταθερή λίστα ελέγχου και θα γνωρίζετε από ποιο σημείο να ξεκινάτε όταν ο ιστότοπος ή το email δεν λειτουργεί.

Βασικές έννοιες: καταχώρηση, nameservers, A/AAAA, www, πιστοποιητικό, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, αντίγραφο ασφαλείας

Γιατί από πάνω προς τα κάτω;

Το DNS είναι μια αλυσίδα: χωρίς καταχώρηση δεν υπάρχουν nameservers, χωρίς nameservers που λειτουργούν δεν υπάρχουν εγγραφές, χωρίς εγγραφή A δεν υπάρχει ιστότοπος. Ένα λάθος στην κορυφή προκαλεί κάθε λογής παράπονα πιο κάτω. Γι' αυτό διατρέχετε πάντα τη λίστα με αυτή τη σειρά και σταματάτε στο πρώτο σημείο που δεν είναι σωστό. Λύστε πρώτα αυτό και ξεκινήστε ξανά από την κορυφή.

Στη λίστα αναφέρεται το example.com: αντικαταστήστε το με το δικό σας domain. Σε κάθε σημείο υπάρχει μια εντολή dig· μπορείτε επίσης να χρησιμοποιήσετε ένα online dig (μάθημα 8.3). Ένας έλεγχος υγείας domain, όπως αυτός της εταιρείας φιλοξενίας σας ή το δωρεάν Υγεία Domain, καλύπτει μεγάλο μέρος αυτής της λίστας με μία κίνηση, αλλά είναι καλό να γνωρίζετε τι κρύβεται από πίσω.

Μέρος Α: το θεμέλιο

1. Είναι το domain καταχωρημένο και ενεργό;

• Πώς: μια αναζήτηση whois ή RDAP (για παράδειγμα μέσω της ιστοσελίδας του μητρώου, όπως το sidn.nl για το .nl), ή whois example.com.
• Σωστό: κατάσταση ενεργή (στο .nl: "active"), όχι "σε καραντίνα", όχι ληγμένο. Ο κάτοχος είναι σωστός.

2. Ποιους nameservers έχει το domain, και είναι τουλάχιστον δύο;

• Πώς: dig +short NS example.com, και για το τι δηλώνει το μητρώο dig +trace example.com.
• Σωστό: τουλάχιστον δύο nameservers, από την εταιρεία όπου διαχειρίζεστε το DNS σας.

3. Απαντούν όλοι οι nameservers, και δίνουν το ίδιο αποτέλεσμα;

• Πώς: dig +short SOA example.com @<nameserver> για κάθε nameserver.
• Σωστό: κάθε nameserver απαντά (καμία υπέρβαση χρόνου, κανένα REFUSED) και ο αύξων αριθμός (τρίτο πεδίο του SOA) είναι ίδιος παντού. Ένας nameserver που δεν απαντά για το domain σας ονομάζεται lame.

4. Είναι σωστό το DNSSEC (εφόσον είναι ενεργοποιημένο);

• Πώς: dig +short DS example.com και dig example.com A @1.1.1.1 (προσέξτε την κατάσταση και τη σημαία ad)· σε περίπτωση αμφιβολίας, DNSViz.
• Σωστό: είτε δεν υπάρχει DS (το DNSSEC είναι απενεργοποιημένο, αυτό λειτουργεί κανονικά), είτε υπάρχει DS με κατάσταση NOERROR και τη σημαία ad. Λάθος: SERVFAIL.

Μέρος Β: ο ιστότοπος

5. Δείχνει το domain στον σωστό server;

• Πώς: dig +short A example.com και dig +short AAAA example.com.
• Σωστό: η διεύθυνση IPv4 (και, αν έχετε, η διεύθυνση IPv6) του server όπου βρίσκεται ο ιστότοπός σας. Όχι παλιά εγγραφή AAAA από προηγούμενο server.

6. Λειτουργεί το www;

• Πώς: dig +short A www.example.com (ή CNAME).
• Σωστό: μια εγγραφή A, εγγραφή AAAA ή CNAME που καταλήγει στον ίδιο ιστότοπο. Αν λείπει το www, όσοι πληκτρολογούν www λαμβάνουν μήνυμα σφάλματος.

7. Έχει ο ιστότοπος έγκυρο πιστοποιητικό και για τα δύο ονόματα;

• Πώς: ανοίξτε το https://example.com και το https://www.example.com και κάντε κλικ στο λουκέτο, ή χρησιμοποιήστε τον έλεγχο ιστοτόπου του internet.nl.
• Σωστό: καμία προειδοποίηση, το πιστοποιητικό ισχύει ακόμη για τουλάχιστον μερικές εβδομάδες και ισχύει και για τα δύο ονόματα.

8. Επιτρέπεται στον εκδότη πιστοποιητικών σας να εκδίδει πιστοποιητικά (CAA);

• Πώς: dig +short CAA example.com.
• Σωστό: καμία εγγραφή CAA (επιτρέπεται σε όλους), ή μια εγγραφή CAA με issue για την εταιρεία που εκδίδει το πιστοποιητικό σας. Λάθος: μια εγγραφή CAA που δεν αναφέρει τον εκδότη σας.

Μέρος Γ: το email

9. Πού φτάνει το email σας;

• Πώς: dig +short MX example.com, και στη συνέχεια dig +short A <mailserver> για το πρώτο όνομα.
• Σωστό: οι εγγραφές MX του τρέχοντος πάροχου email σας, και καμία εγκαταλελειμμένη εγγραφή MX από παλιότερο πάροχο. Κάθε όνομα mailserver έχει εγγραφή A ή AAAA. Αν δεν χρησιμοποιείτε το domain για email, μια null MX (0 .) μπορεί να δηλώνει σαφώς ότι δεν φτάνει email.

10. Υπάρχει ακριβώς μία σωστή εγγραφή SPF;

• Πώς: dig +short TXT example.com και εντοπίστε τις γραμμές που ξεκινούν με v=spf1· ένας έλεγχος email μετρά τις αναζητήσεις.
• Σωστό: ακριβώς μία εγγραφή SPF, με όλες τις υπηρεσίες που στέλνουν email εκ μέρους του domain σας, που καταλήγει σε ~all ή -all (ποτέ +all), και όχι περισσότερες από δέκα αναζητήσεις DNS.

11. Είναι ρυθμισμένο το DKIM για κάθε υπηρεσία που στέλνει email;

• Πώς: dig +short TXT <selector>._domainkey.example.com (ή CNAME) για κάθε selector που γνωρίζετε, όπως αυτόν του πάροχου email σας και της υπηρεσίας newsletter σας. Τον selector τον βρίσκετε στις οδηγίες της υπηρεσίας ή στην κεφαλίδα DKIM-Signature: ... s=<selector> ενός απεσταλμένου email.
• Σωστό: κάθε εγγραφή δίνει ένα κλειδί (v=DKIM1; ... p=...) ή ένα CNAME προς την υπηρεσία, και ένα δοκιμαστικό email εμφανίζει PASS στο DKIM.

12. Υπάρχει εγγραφή DMARC;

• Πώς: dig +short TXT _dmarc.example.com.
• Σωστό: ακριβώς μία εγγραφή που ξεκινά με v=DMARC1 και έχει έγκυρη πολιτική (p=none, p=quarantine ή p=reject). Ξεκινήσατε με p=none; Προγραμματίστε τότε τη σταδιακή αυστηροποίηση.

13. Φτάνει σωστά ένα πραγματικό email;

• Πώς: στείλτε ένα email στο mail-tester.com ή σε μια διεύθυνση Gmail και δείτε το "Εμφάνιση πρωτοτύπου".
• Σωστό: SPF, DKIM και DMARC σε PASS.

Μέρος Δ: συντήρηση

14. Είναι λογικά τα TTL;

• Πώς: dig example.com A @<ο δικός σας nameserver> και δείτε το TTL.
• Σωστό: κανονικά 3600 έως 86400 (μία ώρα έως μία ημέρα). Μόνο γύρω από μια προγραμματισμένη αλλαγή προσωρινά 300. Το να ξεχάσετε να το επαναφέρετε μετά από μια μεταφορά δεν είναι σοβαρό, αλλά προκαλεί περιττή κίνηση.

15. Έχετε αντίγραφο ασφαλείας της ζώνης σας;

• Πώς: το κουμπί αντιγράφου ασφαλείας ή εξαγωγής του πίνακα DNS σας, ή dig ανά εγγραφή αν δεν το έχετε.
• Σωστό: ένα πρόσφατο αντίγραφο όλων των εγγραφών, αποθηκευμένο εκτός του πίνακα.

16. Δεν υπάρχουν ξεχασμένες εγγραφές;

• Πώς: διατρέξτε όλες τις εγγραφές στον πίνακά σας.
• Σωστό: καμία εγγραφή επαλήθευσης ή subdomain από υπηρεσίες που δεν χρησιμοποιείτε πλέον. Ένα CNAME προς μια υπηρεσία που έχει ακυρωθεί μπορεί να "καταληφθεί" από κάποιον άλλο (subdomain takeover): διαγράψτε το.

Από πού ξεκινάτε σε περίπτωση παραπόνου;

Στην πράξη: έτσι φαίνεται σε έναν πίνακα

Ένας έλεγχος υγείας domain εκτελεί αυτόματα μεγάλο μέρος αυτής της λίστας. Στο Το WebOké μου βρίσκεται αυτός στη σελίδα του domain ως κάρτα Υγεία Domain / Email, με πράσινο, πορτοκαλί και κόκκινο ανά σημείο· η δημόσια έκδοση λειτουργεί για κάθε domain. Άλλες εταιρείες φιλοξενίας, registrars και πάροχοι DNS διαθέτουν παρόμοιους ελέγχους, και το internet.nl ελέγχει ανεξάρτητα μεγάλο μέρος του Μέρους Β και Γ. Χρησιμοποιήστε έναν τέτοιο έλεγχο ως σημείο εκκίνησης και αυτή τη λίστα για να κατανοήσετε τι είναι κόκκινο.

Σύνοψη

• Διατρέξτε τη λίστα από πάνω προς τα κάτω και σταματήστε στο πρώτο σημείο που δεν είναι σωστό.
• Θεμέλιο: καταχώρηση, nameservers, ίδιες απαντήσεις, DNSSEC.
• Ιστότοπος: A/AAAA, www, πιστοποιητικό, CAA.
• Email: MX με διεύθυνση, μία SPF, DKIM ανά υπηρεσία, μία DMARC, δοκιμαστικό email.
• Συντήρηση: TTL, αντίγραφο ασφαλείας, τακτοποίηση.

Κουίζ

Άσκηση

Άσκηση Z8.5: Τελική άσκηση: το δικό σας domain. Ελέγξτε το δικό σας domain με αυτή τη λίστα ελέγχου. Εισαγάγετε το domain σας στο περιβάλλον του μαθήματος και απαντήστε για κάθε σημείο του Μέρους Α, Β και Γ τι βρήκατε (για παράδειγμα τους nameservers σας, το MX σας, την εγγραφή SPF σας και την πολιτική DMARC σας). Το πρόγραμμα εκτελεί τους ίδιους ελέγχους και συγκρίνει. Αν κάτι δεν είναι σωστό στο domain σας, θα λάβετε εξήγηση με παραπομπή στο μάθημα. Αν δεν έχετε δικό σας domain, χρησιμοποιήστε το sidn.nl.

Περαιτέρω ανάγνωση

Αυτά τα άρθρα περιγράφουν τους ελέγχους στο WebOké· η λίστα ελέγχου λειτουργεί για κάθε domain.

• Εγχειρίδιο WebOké 5.17: Υγεία domain και email: έλεγχος και επιδιόρθωση
• Ο ιστότοπος ή το email δεν λειτουργεί μετά από μετακόμιση ή αλλαγή DNS: ελέγξτε το domain σας
• Εγχειρίδιο WebOké 5.7: Επαναφορά DNS και δημιουργία backup DNS
• Δημιουργία και επαναφορά backup του DNS σας
• Δωρεάν εργαλείο Υγεία Domain: https://www.weboke.gr/ygeia-domain
• Δωρεάν Έλεγχος Email: https://www.weboke.gr/elegchos-email