8. modul · 8.3
Online DNS-eszközök
8. modul: Biztonság és hibaelhárítás · Olvasási idő: 7 perc
Tanulási cél: E lecke után minden DNS-sel kapcsolatos kérdéshez ki tudja választani a megfelelő online eszközt, és tudni fogja, hogyan kell olvasni az eredményt.
Kulcsfogalmak: online dig, országonkénti DNS-ellenőrző, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, e-mail-ellenőrzés, domain-egészség
Miért érdemes online eszközöket használni?
Egy online eszköz a kérdést egy másik helyről teszi fel, mint az Ön számítógépe. Ennek két előnye van. Nem zavarja Önt a saját számítógépe vagy routere gyorsítótára, és azt látja, amit a nagyvilág lát. Emellett sok eszköz egyetlen kattintással tucatnyi ellenőrzést végez el egyszerre, míg a dig esetében minden kérdést külön kell feltenni.
Nincs egyetlen olyan eszköz, amely mindenben a legjobb. Válasszon a kérdése alapján.
Melyik eszköz melyik kérdéshez?
| Az Ön kérdése | Megfelelő eszköz | Mit lát |
|---|---|---|
| "Mit ad vissza pontosan most a DNS?" | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), vagy egy másik online dig | Ugyanazt, mint a dig, anélkül hogy bármit telepítene |
| "Már az egész világ látja a módosításomat?" | dnschecker.org (vagy hasonló "DNS propagation checker") | Több tucat resolver válasza, különböző országokból, egymás mellett |
| "Modernen és biztonságosan van beállítva a domainem?" | internet.nl (az Internetstandaarden Platform holland szervezettől) | Pontszám a weboldalra (IPv6, DNSSEC, https) és az e-mailre (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| "Rendben van a DNSSEC-láncom?" | DNSViz (dnsviz.net) | Egy ábra a root-tól az Ön domainjéig terjedő láncról, pirossal jelölt hibákkal |
| "Technikailag helyes a zónám?" | Zonemaster (zonemaster.net) | A névszerverek, a delegálás, a SOA és a DNSSEC részletes ellenőrzése |
| "Hogy állnak a levelezési rekordjaim?" | MXToolbox, egy e-mail-ellenőrzés (például a WebOké E-mailcheckje), vagy a levelezési szolgáltatója saját ellenőrzései | MX, SPF (a lekérdezések számával), DMARC, feketelisták |
| "Rendesen megérkezik az elküldött levelem?" | mail-tester.com, vagy egy tesztlevél a Gmailre az "Eredeti megjelenítése" funkcióval | Hogy az SPF, a DKIM és a DMARC megfelel-e egy valódi levélnél |
| "Együtt működik a weboldal és a levelezés, mindez egy áttekintésben?" | Egy domain-egészség ellenőrzés (például a WebOké Domain-egészség eszköze) | Névszerverek, A-rekord, www, tanúsítvány, MX, SPF, DMARC, DNSSEC és CAA egy listában |
A WebOké eszközei itt egy "minden egyben" ellenőrzés példájaként szerepelnek; más tárhelyszolgáltatóknak és regisztrátoroknak is vannak hasonló eszközeik. Ha kételkedik, használjon kettőt egyszerre: ha két független eszköz ugyanazt mondja, az szinte biztosan helyes.
Online dig használata
Egy online dig pontosan azt teszi, amit a 8.2. leckében tanult. Megadja a nevet (például _dmarc.example.com), kiválasztja a típust (TXT), és megkapja a nyers kimenetet. A Google eszköztára a státuszt (NOERROR, NXDOMAIN, SERVFAIL) és a TTL-t is megmutatja. Ezt az eszközt akkor érdemes használni, ha pontosan tudni szeretné, mi szerepel a rekordban, például ellenőrizni, hogy az SPF-rekordja pontosan egyszer szerepel-e.
Egy országonkénti DNS-ellenőrző olvasása
Egy módosítás után egy olyan ellenőrzőben, mint a dnschecker.org, gyakran vegyes képet lát: néhány országban az új cím zöld pipával jelenik meg, máshol még a régi. Ez nem hiba. Minden resolver más időpontban kérte le a rekordot, és a saját TTL-jét számolja vissza (6.2. lecke).
Két dologra érdemes figyelni:
- Mindenhol a régi választ látja, még jóval a TTL lejárta után is? Akkor a módosítás valószínűleg nem került fel arra a névszerverre, amelyet a nagyvilág használ. Ellenőrizze, mely névszerverei vannak a domainjének (2.1. lecke).
- Néhány resolvernél semmit sem lát (egy kereszt)? Ez SERVFAIL lehet, gyakran DNSSEC miatt. Ilyenkor ellenőrizze DNSViz-cel.
internet.nl
Az internet.nl a holland Internetstandaarden Platform (többek között a SIDN, a NLnet Labs és a kormányzat) független tesztje. Három teszt van: weboldal, e-mail és a saját kapcsolat. Az eredmény egy százalékos érték, részenkénti magyarázattal és egy "Hogyan javítható" résszel.
Az eredményt körültekintően értelmezze: nem minden piros elem jelent problémát. Ha például hiányzik a DANE vagy az IPv6, a levelezése vagy a weboldala simán működik tovább, csak nem felel meg a legújabb szabványnak. A "DNSSEC érvényes" vagy az "SPF" piros jelzése viszont fontos.
DNSViz
A DNSViz megrajzolja a 8.1. leckében megismert bizalmi láncot: blokkok a root-hoz, a TLD-hez és az Ön domainjéhez, nyilakkal a DS és a DNSKEY jelzésére. A kék biztonságosat jelent, a fekete azt jelenti, hogy nincs aláírva (ez nem hiba), a piros pedig sérülést jelez; hogy hogyan kell olvasni az ábrát, azt a 8.1. lecke írja le. A piros vonalak vagy blokkok pontosan megmutatják, hol szakad meg a lánc, például "a DS-nek nincs hozzá illő DNSKEY-je". Ez az az eszköz, amelyet érdemes elővenni, ha SERVFAIL hibát kap, de a dig +cd mégis ad választ.
Zonemaster
A Zonemaster (amelyet többek között a .se és a .fr registryk készítettek) úgy ellenőrzi a zónáját, ahogyan egy registry tenné: van-e legalább két névszerver, mindegyik ugyanazt a választ adja-e, mindenhol egyezik-e a SOA sorozatszáma, elérhetők-e a névszerverek IPv4-en és IPv6-on keresztül. Hasznos, mielőtt egy olyan registrynál módosítaná a névszervereket, amely szigorúan ellenőriz. Olyan névszervereket is tesztelhet, amelyek még nincsenek a domainhez kapcsolva ("undelegated test").
Levelezési eszközök
Egy e-mail-ellenőrzés a DNS oldalát vizsgálja: van-e MX, van-e pontosan egy SPF-rekord, belefér-e a tíz lekérdezésbe, van-e DMARC-rekord. Azt nem tudja megállapítani, hogy a DKIM működik-e, mert ehhez ismerni kell a szelektort. Ezt egy valódi levéllel lehet tesztelni: küldjön egyet a mail-tester.com címre vagy egy Gmail-címre, és nézze meg az "Eredeti megjelenítése" funkciónál, hogy az SPF, a DKIM és a DMARC PASS állapotú-e.
A gyakorlatban: így néz ki egy felületen
Sok felületnek saját ellenőrzése van. A Fiókomban a domain oldalon található a Domain / E-mail egészség kártya, zöld, narancssárga és piros pöttyökkel, néha egy javítás gombbal. A Cloudflare-nél a DNS-áttekintés tetején jelennek meg az értesítések, a Google Workspace-nél és a Microsoft 365-nél pedig a kezelőközpontban egy ellenőrző oldal. Az ilyen ellenőrzések ismerik legjobban az Ön helyzetét; egy független eszköz azt mutatja meg, amit a külvilág lát. Használja őket együtt.
Összefoglalás
- Az online eszközök egy másik helyről kérdeznek, és nem zavarja őket az Ön gyorsítótára.
- Online dig: mi szerepel pontosan a rekordban. Országonkénti DNS-ellenőrző: látja-e már a világ. DNSViz: rendben van-e a DNSSEC-lánc. Zonemaster: technikailag helyes-e a zóna. internet.nl: modernen és biztonságosan van-e beállítva.
- Egy e-mail-ellenőrzés a rekordokat teszteli; egy valódi tesztlevél azt teszteli, hogy az SPF, a DKIM és a DMARC megfelel-e.
- Ha kételkedik, használjon két eszközt egyszerre.
Kvíz
Feladat
Z8.3 feladat: Online eszközök. Tesztelje az internet.nl domaint magának az internet.nl-nek a weboldal- és e-mail-tesztjével. Jegyezze fel az e-mail-tesztnél, hogy a DNSSEC érvényes-e a levelezőszerverekre (MX), és nézze meg a DNSViz-ben, milyen algoritmusszámot használnak az internet.nl DS-rekordjai. Ezután egy online dig segítségével ellenőrizze, milyen szabályzatot (p=) tartalmaz az internet.nl DMARC-rekordja. Töltse ki a válaszokat.
További olvasnivaló
Ezek a cikkek a WebOké ellenőrzéseit mutatják be; a független eszközök bármelyik domainnel működnek.
- WebOké útmutató 5.17: Domain és e-mail állapota: ellenőrzés és javítás
- A weboldal vagy az e-mail nem működik egy átköltözés vagy DNS-módosítás után: ellenőrizze a doménjét
- Ingyenes Domain-egészség eszköz: https://www.weboke.hu/domain-allapot
- Ingyenes E-mailcheck: https://www.weboke.hu/e-mail-ellenorzes