Reverse DNS και ο server αποστολής σας

Ενότητα 5: Φήμη και οι μεγάλοι πάροχοι · Χρόνος ανάγνωσης: 9 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να εξηγήσετε γιατί η IP διεύθυνση του server που στέλνει τα email σας πρέπει να έχει σωστό reverse DNS, να διαπιστώσετε ποιος server είναι αυτός στη δική σας περίπτωση και να ελέγξετε αν η φορά προς τα εμπρός και προς τα πίσω συμφωνούν.

Βασικές έννοιες: server αποστολής, PTR record, forward-confirmed reverse DNS (FCrDNS), όνομα HELO/EHLO, γενικό όνομα, κοινόχρηστο hosting, δικός σας server (VPS), ιδιοκτήτης του IP block

Ποιος server στέλνει πραγματικά το email σας;

Στην ενότητα 4 μιλήσαμε για το domain σας: το SPF, το DKIM και το DMARC βρίσκονται στο DNS του example.com. Σε αυτή την ενότητα κοιτάμε κάτι διαφορετικό: τον server που παραδίδει το email σας στον παραλήπτη. Αυτός ο server έχει μια IP διεύθυνση, και οι παραλήπτες αξιολογούν αυτή τη διεύθυνση ανεξάρτητα από το domain σας.

Ποιος server είναι αυτός εξαρτάται από τον τρόπο που στέλνετε email:

Την IP διεύθυνση του server αποστολής τη βρίσκετε στις κεφαλίδες ενός email που στείλατε προς τον εαυτό σας ή προς άλλη διεύθυνση (μάθημα 1.5). Κοιτάξτε την πρώτη γραμμή Received: που προστέθηκε από τον server παραλήπτη. Εκεί θα δείτε κάτι σαν:

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

Η διεύθυνση μέσα στις αγκύλες, 192.0.2.25, είναι η IP διεύθυνση με την οποία συνδέθηκε ο server αποστολής. Το όνομα πριν από αυτήν (smtp.hosting.example) είναι το όνομα που βρήκε ο παραλήπτης για αυτή τη διεύθυνση μέσω reverse DNS.

Το reverse DNS εν συντομία

Το reverse DNS συνδέει μια IP διεύθυνση πίσω με ένα όνομα, μέσω ενός PTR record. Τα βασικά τα μάθατε στο μάθημα DNS (μάθημα 4.6): το record δεν βρίσκεται στη ζώνη του domain σας αλλά στην reverse ζώνη της IP διεύθυνσης, και αυτή ανήκει στον φορέα που διαχειρίζεται το IP block.

Για το email είναι σημαντικά τρία πράγματα:

1. Υπάρχει ένα PTR. Μια IP διεύθυνση χωρίς reverse DNS μοιάζει με τυχαίο μηχάνημα στο internet. Το Gmail απορρίπτει τέτοιο email με το μήνυμα 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. Το όνομα δείχνει πίσω στην ίδια διεύθυνση. Η IP διεύθυνση 192.0.2.25 έχει PTR smtp.hosting.example, και το smtp.hosting.example έχει A record 192.0.2.25. Αυτό ονομάζεται forward-confirmed reverse DNS (FCrDNS). Το Gmail, το Yahoo και το T-Online το αναφέρουν ρητά στις απαιτήσεις τους.
3. Το όνομα μοιάζει με mail server. Ένα όνομα όπως 192-0-2-25.dsl.provider.example ή host25.dynamic.provider.example προδίδει οικιακή σύνδεση ή σύνδεση πελάτη. Τα φίλτρα spam το βαθμολογούν αρνητικά ή απορρίπτουν αμέσως τη σύνδεση.

Για το IPv6 ισχύουν όλα ξανά. Αν ένας server στέλνει μέσω IPv6, τότε και η IPv6 διεύθυνση πρέπει να έχει PTR και να δείχνει πίσω με AAAA record. Ένας server που είναι εντάξει στο IPv4 αλλά όχι στο IPv6 αντιμετωπίζει προβλήματα κυρίως με το Gmail: η Google αναφέρει ένα απόν IPv6 PTR ως αιτία για σφάλμα "IPv6 authorization error".

Το όνομα HELO

Όταν ένας server συνδέεται, συστήνεται με EHLO (ή το παλιότερο HELO) και ένα όνομα (μάθημα 1.2). Το RFC 5321 αναφέρει ότι αυτό πρέπει να είναι το πλήρες όνομα του server. Στην πράξη οι παραλήπτες ελέγχουν αν αυτό το όνομα:

• είναι ένα πραγματικό, υπαρκτό όνομα (όχι localhost, όχι απλές IP διευθύνσεις, όχι όνομα που δεν υπάρχει στο DNS)·
• ταιριάζει με το reverse DNS, ή τουλάχιστον ανήκει στο ίδιο domain.

Σε ένα πακέτο hosting ή υπηρεσία email αυτό το ρυθμίζει ο διαχειριστής. Αν εσείς οι ίδιοι διαχειρίζεστε έναν mail server, ρυθμίζετε το όνομα HELO στο λογισμικό email σας (στο Postfix αυτό ονομάζεται myhostname) και φροντίζετε ώστε αυτό το όνομα, το PTR και το A record να είναι όλα ίδια.

Κοινόχρηστο hosting: το PTR δεν χρειάζεται να είναι το δικό σας domain

Μια συχνή ερώτηση: "Δεν θα έπρεπε το reverse DNS να είναι mail.example.com, αφού αυτό είναι το domain μου;" Όχι. Σε κοινόχρηστο hosting και σε μεγάλες υπηρεσίες email, ένας μόνο server στέλνει email για εκατοντάδες ή χιλιάδες domains. Η IP διεύθυνση μπορεί να έχει μόνο ένα PTR, και αυτό περιέχει επομένως το όνομα του ίδιου του server, για παράδειγμα server12.hosting.example.

Αυτό είναι σωστό έτσι. Οι παραλήπτες ελέγχουν αν το PTR υπάρχει, δείχνει πίσω σωστά και δεν είναι γενικό. Δεν ελέγχουν αν περιέχεται το δικό σας domain name. Τη σύνδεση μεταξύ του domain σας και του server την πετυχαίνετε με το SPF (ο server αναφέρεται στο SPF σας) και το DKIM (ο server υπογράφει εκ μέρους του domain σας).

Στο WebOké αυτό είναι ρυθμισμένο για παράδειγμα ως εξής: οι servers ενός πακέτου hosting έχουν reverse DNS με το όνομα του ίδιου του server, κάτω από το webawere.nl, το οποίο δείχνει επίσης πίσω σωστά. Σε άλλες εταιρείες hosting και υπηρεσίες email λειτουργεί με τον ίδιο τρόπο, με τα δικά τους ονόματα servers.

Δικός σας server: τι πρέπει να ρυθμίσετε εσείς;

Αν στέλνετε email απευθείας από δικό σας server, για παράδειγμα ένα VPS με ηλεκτρονικό κατάστημα ή δικό σας mail server, τότε είστε εσείς ο αποστολέας και πρέπει να ρυθμίσετε περισσότερα:

1. Επιλέξτε ένα όνομα, για παράδειγμα mail.example.com.
2. Δημιουργήστε το A record (και το AAAA record) αυτού του ονόματος προς την IP διεύθυνση του server, στο DNS του domain σας.
3. Ζητήστε το PTR από τον πάροχο του server. Συνήθως υπάρχει στο πάνελ πελάτη ένα πεδίο "Reverse DNS" ή "rDNS". Εκεί συμπληρώνετε το ίδιο όνομα.
4. Ρυθμίστε το όνομα HELO του λογισμικού email σας στο ίδιο όνομα.
5. Βάλτε την IP διεύθυνση στο SPF σας (ip4: και ip6:) και ενεργοποιήστε το DKIM στο λογισμικό email σας.
6. Ελέγξτε αν η θύρα 25 για εξερχόμενη σύνδεση είναι ανοιχτή. Πολλοί πάροχοι την κλείνουν εξ ορισμού για να αποτρέψουν κατάχρηση· τότε πρέπει να ζητήσετε να ανοίξει, ή να στέλνετε μέσω relay του παρόχου σας ή μιας υπηρεσίας αποστολής.

Ένας mail server σε μια απλή οικιακή σύνδεση internet στο σπίτι ή στο γραφείο είναι σχεδόν πάντα κακή ιδέα. Αυτές οι διευθύνσεις βρίσκονται συχνά σε λίστες "διευθύνσεων τελικών χρηστών" (όπως η Policy Block List του Spamhaus, μάθημα 5.2), το PTR συνήθως δεν μπορείτε να το επιλέξετε εσείς οι ίδιοι, και το T-Online γράφει ρητά ότι τέτοια συστήματα πρέπει να στέλνουν μέσω relay κατάλληλου παρόχου.

Έλεγχος

Με ένα παράθυρο εντολών (μάθημα DNS 8.2):

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Αν στη δεύτερη ερώτηση επιστρέφει η ίδια διεύθυνση, τότε το FCrDNS είναι σωστό. Για IPv6 κάνετε το ίδιο με dig -x 2001:db8::25 και dig AAAA.

Μπορείτε επίσης να δείτε πώς το είδε ο παραλήπτης. Στις κεφαλίδες ο server παραλήπτης βάζει το όνομα που βρήκε μέσα σε παρενθέσεις μετά το from. Αν εκεί γράφει unknown, τότε δεν βρήκε PTR. Ορισμένοι servers προσθέτουν επίσης δικό τους έλεγχο, όπως iprev=pass στη γραμμή Authentication-Results: (RFC 8601).

Σύνοψη

• Ο server αποστολής είναι ο server που παραδίδει το email σας στον παραλήπτη. Οι παραλήπτες αξιολογούν την IP διεύθυνσή του ανεξάρτητα από το domain σας.
• Αυτή η IP διεύθυνση χρειάζεται ένα PTR που να δείχνει πίσω στην ίδια διεύθυνση (FCrDNS), τόσο για IPv4 όσο και για IPv6, με όνομα που δεν είναι γενικό.
• Το όνομα HELO πρέπει να είναι ένα υπαρκτό όνομα που ταιριάζει με το PTR.
• Σε κοινόχρηστο hosting και υπηρεσίες email, στο PTR βρίσκεται το όνομα του server, όχι το δικό σας domain. Αυτό είναι σωστό.
• Με δικό σας server ρυθμίζετε εσείς οι ίδιοι όνομα, A/AAAA, PTR (μέσω του παρόχου σας), HELO, SPF και DKIM.

Κουίζ

Άσκηση

Άσκηση Z5.1: Ο server αποστολής του δικού σας domain. Στείλτε ένα email από τη δική σας διεύθυνση προς μια άλλη δική σας διεύθυνση (για παράδειγμα μια διεύθυνση Gmail ή Outlook.com) και ανοίξτε τις κεφαλίδες. Βρείτε την IP διεύθυνση του server που παρέδωσε το email, το όνομα PTR αυτής της διεύθυνσης, και συμπληρώστε αν το όνομα δείχνει πίσω στην ίδια διεύθυνση (ναι/όχι). Αν δεν έχετε δικό σας domain, χρησιμοποιήστε την IP διεύθυνση του mail server mx00.t-online.de. Το πρόγραμμα ζητά ζωντανά το PTR και το A/AAAA record και τα συγκρίνει.

Περαιτέρω ανάγνωση

Τα βήματα σε αυτά τα άρθρα ισχύουν για τα πάνελ του WebOké· σε άλλους παρόχους λειτουργεί με παρόμοιο τρόπο.

• Αποστολή email από το VPS σας και ρύθμιση reverse DNS
• Δωρεάν μάθημα DNS 4.6: Reverse DNS (PTR): από τον αριθμό πίσω στο όνομα
• Πώς λειτουργεί η αποστολή email (SMTP)
• RFC 5321 (SMTP), παράγραφος 4.1.1.1 σχετικά με το όνομα EHLO· RFC 8601 σχετικά με την κεφαλίδα Authentication-Results