Ellenőrzőlista a saját domainhez

8. modul: Biztonság és hibaelhárítás · Olvasási idő: 10 perc

Tanulási cél: E lecke után egy állandó ellenőrzőlista segítségével felülről lefelé ellenőrizheti saját domainjét, és tudni fogja, melyik ponttól kezdje, ha a weboldal vagy az e-mail nem működik.

Kulcsfogalmak: regisztráció, névszerverek, A/AAAA, www, tanúsítvány, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, biztonsági mentés

Miért felülről lefelé?

A DNS egy lánc: regisztráció nélkül nincsenek névszerverek, működő névszerverek nélkül nincsenek rekordok, A-rekord nélkül nincs weboldal. Egy hiba a lánc elején mindenféle panaszt okoz a végén. Ezért mindig ebben a sorrendben haladjon végig a listán, és álljon meg az első pontnál, ami nem megfelelő. Először azt oldja meg, majd kezdje újra a lista elejéről.

A listában szerepel az example.com: ezt cserélje le a saját domainjére. Minden ponthoz tartozik egy dig-parancs; egy online dig (8.3. lecke) segítségével is elvégezhető. Egy domain egészségügyi ellenőrzés, mint amilyet a tárhelyszolgáltatója kínál, vagy az ingyenes Domain egészség, ennek a listának nagy részét egyszerre elvégzi, de jó tudni, mi áll a háttérben.

A rész: az alap

1. Regisztrálva van-e a domain, és aktív-e?

• Hogyan: egy whois- vagy RDAP-lekérdezés (például a nyilvántartó weboldalán keresztül, mint a sidn.nl a .nl esetében, ami a SIDN, a .nl holland registryjének weboldala; .hu domain esetén az ISZT, a Internet Szolgáltatók Tanácsa az illetékes, és ez a domain.hu oldalon kereshető le), vagy whois example.com.
• Megfelelő: aktív státusz (.nl esetén: "active"), nem "karanténban", nem lejárt. A domainhasználó megegyezik.

2. Milyen névszerverei vannak a domainnek, és legalább kettő van-e?

• Hogyan: dig +short NS example.com, és ahhoz, amit a nyilvántartó ad tovább: dig +trace example.com.
• Megfelelő: legalább két névszerver, attól a szolgáltatótól, akinél a DNS-t kezeli.

3. Válaszol-e minden névszerver, és ugyanazt adják-e vissza?

• Hogyan: dig +short SOA example.com @<névszerver> minden névszerverhez.
• Megfelelő: minden névszerver válaszol (nincs időtúllépés, nincs REFUSED), és a sorszám (a SOA harmadik mezője) mindenhol megegyezik. Azt a névszervert, amely nem válaszol a domainjére, lame-nek nevezik.

4. Megfelelő-e a DNSSEC (ha be van kapcsolva)?

• Hogyan: dig +short DS example.com és dig example.com A @1.1.1.1 (figyeljen a státuszra és az ad jelzőre); kétség esetén DNSViz.
• Megfelelő: vagy nincs DS (a DNSSEC ki van kapcsolva, ez így is megfelelően működik), vagy van egy DS, NOERROR státusszal és az ad jelzővel. Hibás: SERVFAIL.

B rész: a weboldal

5. A domainnév a megfelelő szerverre mutat-e?

• Hogyan: dig +short A example.com és dig +short AAAA example.com.
• Megfelelő: annak a szervernek az IPv4-címe (és ha van ilyen, az IPv6-címe), ahol a weboldala található. Nincs régi AAAA egy korábbi szerverről.

6. Működik-e a www?

• Hogyan: dig +short A www.example.com (vagy CNAME).
• Megfelelő: egy A-rekord, AAAA-rekord vagy CNAME, amely ugyanarra az oldalra mutat. Ha a www hiányzik, akkor azok, akik beírják a www-t, hibaüzenetet kapnak.

7. Érvényes tanúsítvánnyal rendelkezik-e az oldal mindkét névre?

• Hogyan: nyissa meg a https://example.com és https://www.example.com címeket, és kattintson a lakatra, vagy használja az internet.nl weboldal-tesztjét.
• Megfelelő: nincs figyelmeztetés, a tanúsítvány még legalább néhány hétig érvényes, és mindkét névre érvényes.

8. Kiadhat-e tanúsítványt a tanúsítványkiadója (CAA)?

• Hogyan: dig +short CAA example.com.
• Megfelelő: nincs CAA-rekord (mindenki kiadhat), vagy van egy CAA-rekord issue bejegyzéssel ahhoz a szolgáltatóhoz, amely az Ön tanúsítványát kiadja. Hibás: egy CAA-rekord, amely nem tartalmazza az Ön kiadóját.

C rész: az e-mail

9. Hová érkezik az e-mailje?

• Hogyan: dig +short MX example.com, majd dig +short A <levelezőszerver> az első névhez.
• Megfelelő: a jelenlegi e-mail-szolgáltatójának MX-rekordjai, és nincs megmaradt MX egy korábbi szolgáltatótól. Minden levelezőszerver-névnek van A- vagy AAAA-rekordja. Ha nem használja a domaint e-mailhez, akkor egy null MX (0 .) egyértelművé teheti, hogy nem érkezik e-mail.

10. Pontosan egy helyes SPF-rekord van-e?

• Hogyan: dig +short TXT example.com, és nézze meg a v=spf1 kezdetű sorokat; egy e-mail-ellenőrzés megszámolja a lekérdezéseket.
• Megfelelő: pontosan egy SPF-rekord, benne minden szolgáltatással, amely az Ön domainje nevében küld e-mailt, ~all vagy -all végződéssel (soha nem +all), és legfeljebb tíz DNS-lekérdezés.

11. Be van-e állítva DKIM minden levelet küldő szolgáltatáshoz?

• Hogyan: dig +short TXT <szelektor>._domainkey.example.com (vagy CNAME) minden ismert szelektorhoz, mint amilyen az e-mail-szolgáltatójáé és a hírlevél-szolgáltatásáé. A szelektort a szolgáltatás útmutatójában vagy egy elküldött e-mail DKIM-Signature: ... s=<szelektor> fejlécében találja.
• Megfelelő: minden rekord egy kulcsot ad (v=DKIM1; ... p=...) vagy egy CNAME-et a szolgáltatáshoz, és egy tesztlevél DKIM PASS-t mutat.

12. Van-e DMARC-rekord?

• Hogyan: dig +short TXT _dmarc.example.com.
• Megfelelő: pontosan egy rekord, amely v=DMARC1-gyel kezdődik, és érvényes irányelvvel rendelkezik (p=none, p=quarantine vagy p=reject). Ha p=none-nal kezdte, tervezze meg a szigorítást.

13. Megfelelően érkezik-e meg egy valódi e-mail?

• Hogyan: küldjön e-mailt a mail-tester.com oldalra vagy egy Gmail-címre, és nézze meg az "Eredeti megjelenítése" funkciót.
• Megfelelő: SPF, DKIM és DMARC egyaránt PASS státuszú.

D rész: karbantartás

14. Ésszerűek-e a TTL-ek?

• Hogyan: dig example.com A @<az Ön névszervere>, és nézze meg a TTL-t.
• Megfelelő: általában 3600 és 86400 között (egy órától egy napig). Csak egy tervezett változtatás körül ideiglenesen 300. Ha egy átvitel után elfelejti visszaállítani, az nem nagy baj, de felesleges forgalmat okoz.

15. Van-e biztonsági mentése a zónájáról?

• Hogyan: a DNS-panel biztonsági mentés vagy exportálás gombja, vagy dig rekordonként, ha nincs ilyen gombja.
• Megfelelő: minden rekord friss másolata, a panelen kívül tárolva.

16. Nincsenek-e elfelejtett rekordok?

• Hogyan: nézze végig az összes rekordot a panelén.
• Megfelelő: nincsenek olyan ellenőrző rekordok vagy aldomainek, amelyeket már nem használt szolgáltatásokhoz hoztak létre. Egy megszüntetett szolgáltatásra mutató CNAME-et valaki más "átvehet" (subdomain takeover): törölje azt.

Hol kezdje panasz esetén?

A gyakorlatban: így néz ki egy panelen

Egy domain egészségügyi ellenőrzés automatikusan elvégzi ennek a listának nagy részét. A Fiókom felületen ez a domain oldalán a Domain / E-mail egészség kártyaként jelenik meg, zöld, narancssárga és piros jelzéssel pontonként; a nyilvános verzió bármely domainhez működik. Más tárhelyszolgáltatóknak, regisztrátoroknak és DNS-szolgáltatóknak hasonló ellenőrzéseik vannak, és az internet.nl is független módon teszteli a B és C rész nagy részét. Használjon egy ilyen ellenőrzést kiindulópontként, és ezt a listát ahhoz, hogy megértse, mit jelent, ha valami pirossal van jelölve.

Összefoglalás

• Haladjon végig a listán felülről lefelé, és álljon meg az első pontnál, ami nem megfelelő.
• Alap: regisztráció, névszerverek, egyező válaszok, DNSSEC.
• Weboldal: A/AAAA, www, tanúsítvány, CAA.
• E-mail: MX címmel, egy SPF, DKIM szolgáltatásonként, egy DMARC, tesztlevél.
• Karbantartás: TTL, biztonsági mentés, rendrakás.

Kvíz

Feladat

Feladat Z8.5: Záró feladat: az Ön saját domainje. Ellenőrizze saját domainjét ezzel az ellenőrzőlistával. Adja meg domainnevét a tanfolyam környezetében, és válaszoljon az A, B és C rész minden pontjánál arra, amit talált (például a névszervereit, az MX-ét, az SPF-rekordját és a DMARC-irányelvét). A program ugyanazokat az ellenőrzéseket végzi el, és összehasonlítja az eredményeket. Ha valami nem megfelelő a domainjében, magyarázatot kap, a vonatkozó leckére mutató hivatkozással. Ha nincs saját domainje, használja a sidn.nl domaint.

További olvasnivaló

Ezek a cikkek a WebOké-nál végzett ellenőrzéseket írják le; az ellenőrzőlista bármely domainhez használható.

• WebOké útmutató 5.17: Domain és e-mail állapota: ellenőrzés és javítás
• A weboldal vagy az e-mail nem működik egy átköltözés vagy DNS-módosítás után: ellenőrizze a doménjét
• WebOké útmutató 5.7: DNS visszaállítása és DNS-mentés készítése
• A DNS biztonsági mentése és visszaállítása
• Ingyenes Domain egészség eszköz: https://www.weboke.hu/domain-allapot
• Ingyenes E-mail-ellenőrzés: https://www.weboke.hu/e-mail-ellenorzes