Ενότητα 8 · 8.3
Online εργαλεία DNS
Ενότητα 8: Ασφάλεια και επίλυση προβλημάτων · Χρόνος ανάγνωσης: 7 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα επιλέγετε το κατάλληλο online εργαλείο για κάθε ερώτημα σχετικά με το DNS σας και θα ξέρετε πώς να διαβάζετε το αποτέλεσμα.
Βασικές έννοιες: online dig, DNS-checker ανά χώρα, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, έλεγχος email, υγεία domain
Γιατί online εργαλεία;
Ένα online εργαλείο θέτει το ερώτημά σας από διαφορετικό σημείο σε σχέση με τον υπολογιστή σας. Αυτό έχει δύο πλεονεκτήματα. Δεν επηρεάζεστε από την cache του δικού σας υπολογιστή ή router, και βλέπετε αυτό που βλέπει το υπόλοιπο internet. Επιπλέον, πολλά εργαλεία συνδυάζουν δεκάδες ελέγχους σε ένα μόνο κλικ, ενώ με το dig πρέπει να θέτετε κάθε ερώτημα ξεχωριστά.
Δεν υπάρχει ένα εργαλείο που να κάνει τα πάντα καλύτερα. Επιλέξτε ανάλογα με το ερώτημά σας.
Ποιο εργαλείο για ποιο ερώτημα;
| Το ερώτημά σας | Κατάλληλο εργαλείο | Τι βλέπετε |
|---|---|---|
| "Τι επιστρέφει ακριβώς το DNS αυτή τη στιγμή;" | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), ή άλλο online dig | Το ίδιο αποτέλεσμα όπως με το dig, χωρίς να εγκαταστήσετε τίποτα |
| "Βλέπει ήδη όλος ο κόσμος την αλλαγή μου;" | dnschecker.org (ή παρόμοια "DNS propagation checkers") | Την απάντηση δεκάδων resolvers από διαφορετικές χώρες, η μία δίπλα στην άλλη |
| "Είναι το domain μου ρυθμισμένο με σύγχρονο και ασφαλή τρόπο;" | internet.nl (του ολλανδικού Internetstandaarden Platform) | Βαθμολογία για τον ιστότοπο (IPv6, DNSSEC, https) και το email (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| "Είναι σωστή η αλυσίδα DNSSEC μου;" | DNSViz (dnsviz.net) | Μια απεικόνιση της αλυσίδας από τη root έως το domain σας, με τα σφάλματα σε κόκκινο χρώμα |
| "Είναι η ζώνη μου τεχνικά σωστή;" | Zonemaster (zonemaster.net) | Εκτενής έλεγχος των nameservers, της ανάθεσης (delegation), του SOA και του DNSSEC |
| "Πώς είναι οι εγγραφές email μου;" | MXToolbox, ένας έλεγχος email (για παράδειγμα το E-mailcheck του WebOké), ή οι έλεγχοι του παρόχου email σας | MX, SPF (με αριθμό αναζητήσεων), DMARC, μαύρες λίστες |
| "Φτάνει σωστά το email που στέλνω;" | mail-tester.com, ή ένα δοκιμαστικό email προς Gmail με "Εμφάνιση πρωτοτύπου" | Αν το SPF, το DKIM και το DMARC περνούν για ένα πραγματικό email |
| "Λειτουργούν σωστά μαζί ο ιστότοπος και το email, όλα σε μία επισκόπηση;" | Έναν έλεγχο υγείας domain (για παράδειγμα το Υγεία Domain του WebOké) | Nameservers, εγγραφή A, www, πιστοποιητικό, MX, SPF, DMARC, DNSSEC και CAA σε μία λίστα |
Τα εργαλεία του WebOké αναφέρονται εδώ ως παράδειγμα ελέγχου "όλα σε ένα"· άλλοι πάροχοι hosting και registrars διαθέτουν παρόμοια εργαλεία. Αν έχετε αμφιβολία, χρησιμοποιήστε δύο εργαλεία παράλληλα: αν δύο ανεξάρτητα εργαλεία λένε το ίδιο πράγμα, τότε είναι σχεδόν σίγουρα σωστό.
Χρήση ενός online dig
Ένα online dig κάνει ακριβώς αυτό που μάθατε στο μάθημα 8.2. Συμπληρώνετε το όνομα (για παράδειγμα _dmarc.example.com), επιλέγετε τον τύπο (TXT) και λαμβάνετε την ακατέργαστη έξοδο. Το toolbox της Google δείχνει επίσης την κατάσταση (NOERROR, NXDOMAIN, SERVFAIL) και το TTL. Χρησιμοποιήστε αυτό το εργαλείο όταν θέλετε να δείτε τι ακριβώς υπάρχει καταχωρημένο, για παράδειγμα για να ελέγξετε αν η εγγραφή SPF σας εμφανίζεται ακριβώς μία φορά.
Ανάγνωση ενός DNS-checker ανά χώρα
Μετά από μια αλλαγή, σε έναν checker όπως το dnschecker.org συχνά βλέπετε ένα μείγμα: σε ορισμένες χώρες τη νέα διεύθυνση με πράσινο σημάδι, σε άλλες ακόμα την παλιά. Αυτό δεν είναι σφάλμα. Κάθε resolver έχει ανακτήσει την εγγραφή σε διαφορετική στιγμή και μετρά αντίστροφα το δικό του TTL (μάθημα 6.2).
Δύο πράγματα που πρέπει να προσέξετε:
- Βλέπετε παντού την παλιά απάντηση, ακόμα και πολύ μετά το TTL; Τότε η αλλαγή πιθανότατα δεν βρίσκεται στον nameserver που χρησιμοποιεί ο υπόλοιπος κόσμος. Ελέγξτε ποιους nameservers έχει το domain σας (μάθημα 2.1).
- Δεν βλέπετε τίποτα σε ορισμένους resolvers (ένα σταυρό); Τότε μπορεί να πρόκειται για SERVFAIL, συχνά λόγω DNSSEC. Ελέγξτε τότε με το DNSViz.
internet.nl
Το internet.nl είναι μια ανεξάρτητη δοκιμή του ολλανδικού Internetstandaarden Platform (μεταξύ άλλων SIDN, NLnet Labs και η κυβέρνηση). Υπάρχουν τρεις δοκιμές: ιστότοπος, email και η δική σας σύνδεση. Το αποτέλεσμα είναι ένα ποσοστό με εξήγηση για κάθε στοιχείο και ένα "Πώς να βελτιώσετε".
Διαβάστε το αποτέλεσμα με κριτική σκέψη: δεν είναι κάθε κόκκινο στοιχείο βλάβη. Αν λείπει για παράδειγμα το DANE ή το IPv6, το email ή ο ιστότοπός σας εξακολουθούν να λειτουργούν κανονικά, απλώς δεν πληροίτε το νεότερο πρότυπο. Κόκκινο στο "DNSSEC έγκυρο" ή στο "SPF" όμως είναι σημαντικό.
DNSViz
Το DNSViz σχεδιάζει την αλυσίδα εμπιστοσύνης από το μάθημα 8.1: μπλοκ για τη root, το TLD και το domain σας, με βέλη για τα DS και DNSKEY. Το μπλε σημαίνει ασφαλές, το μαύρο σημαίνει μη υπογεγραμμένο (όχι σφάλμα) και το κόκκινο σημαίνει κατεστραμμένο· πώς διαβάζεται η απεικόνιση αναφέρεται στο μάθημα 8.1. Οι κόκκινες γραμμές ή τα κόκκινα μπλοκ δείχνουν ακριβώς πού σπάει η αλυσίδα, για παράδειγμα "το DS δεν έχει αντίστοιχο DNSKEY". Αυτό είναι το εργαλείο που πρέπει να χρησιμοποιήσετε όταν λαμβάνετε SERVFAIL ενώ το dig +cd δίνει απάντηση.
Zonemaster
Το Zonemaster (δημιουργημένο μεταξύ άλλων από τα μητρώα των .se και .fr) ελέγχει τη ζώνη σας όπως το κάνει ένα μητρώο: υπάρχουν τουλάχιστον δύο nameservers, δίνουν όλοι την ίδια απάντηση, συμφωνεί ο αριθμός σειράς SOA παντού, είναι οι nameservers προσβάσιμοι μέσω IPv4 και IPv6. Χρήσιμο πριν αλλάξετε nameservers σε ένα μητρώο που ελέγχει αυστηρά. Μπορείτε επίσης να δοκιμάσετε nameservers που δεν έχουν ακόμα συνδεθεί με το domain ("undelegated test").
Εργαλεία email
Ένας έλεγχος email εξετάζει την πλευρά του DNS: υπάρχει MX, υπάρχει ακριβώς μία εγγραφή SPF, εμπίπτει στις δέκα αναζητήσεις, υπάρχει εγγραφή DMARC. Δεν μπορεί να δει αν λειτουργεί το DKIM, γιατί γι' αυτό πρέπει να γνωρίζετε τον selector. Αυτό το ελέγχετε με ένα πραγματικό email: στείλτε ένα στο mail-tester.com ή σε μια διεύθυνση Gmail, και δείτε στο "Εμφάνιση πρωτοτύπου" αν το SPF, το DKIM και το DMARC έχουν κατάσταση PASS.
Στην πράξη: έτσι φαίνεται σε ένα πάνελ
Πολλά πάνελ διαθέτουν δικό τους έλεγχο. Στο Το WebOké μου, στη σελίδα του domain υπάρχει η κάρτα Υγεία Domain / Email, με πράσινες, πορτοκαλί και κόκκινες κουκκίδες και μερικές φορές ένα κουμπί επαναφοράς. Στο Cloudflare βλέπετε ειδοποιήσεις στο πάνω μέρος της επισκόπησης DNS σας, στο Google Workspace και στο Microsoft 365 μια σελίδα ελέγχου στο κέντρο διαχείρισης. Τέτοιοι έλεγχοι γνωρίζουν καλύτερα τη δική σας κατάσταση· ένα ανεξάρτητο εργαλείο δείχνει αυτό που βλέπει ο έξω κόσμος. Χρησιμοποιήστε τα μαζί.
Σύνοψη
- Τα online εργαλεία ρωτούν από διαφορετικό σημείο και δεν επηρεάζονται από τη δική σας cache.
- Online dig: τι υπάρχει ακριβώς καταχωρημένο. DNS-checker ανά χώρα: το βλέπει ήδη ο κόσμος. DNSViz: είναι σωστή η αλυσίδα DNSSEC. Zonemaster: είναι η ζώνη τεχνικά σωστή. internet.nl: σύγχρονη και ασφαλής ρύθμιση.
- Ένας έλεγχος email δοκιμάζει τις εγγραφές· ένα πραγματικό δοκιμαστικό email δοκιμάζει αν περνούν το SPF, το DKIM και το DMARC.
- Χρησιμοποιήστε δύο εργαλεία παράλληλα αν έχετε αμφιβολία.
Κουίζ
Άσκηση
Άσκηση Z8.3: Online εργαλεία. Δοκιμάστε το internet.nl με τη δοκιμή ιστότοπου και email του ίδιου του internet.nl. Σημειώστε στη δοκιμή email αν το DNSSEC για τους mailservers (MX) είναι έγκυρο, και αναζητήστε στο DNSViz ποιον αριθμό αλγορίθμου χρησιμοποιούν οι εγγραφές DS του internet.nl. Στη συνέχεια, ελέγξτε με ένα online dig ποια πολιτική (p=) έχει η εγγραφή DMARC του internet.nl. Συμπληρώστε τις απαντήσεις.
Για περαιτέρω μελέτη
Αυτά τα άρθρα περιγράφουν τους ελέγχους του WebOké· τα ανεξάρτητα εργαλεία λειτουργούν για κάθε domain.