Reverse DNS és a küldőszervere

Modul 5: Reputáció és a nagy szolgáltatók · Olvasási idő: 9 perc

Tanulási cél: E lecke után el tudja magyarázni, miért kell annak a szervernek, amely az Ön levelét elküldi, rendes reverse DNS-sel rendelkeznie, meg tudja állapítani, melyik szerver ez az Ön esetében, és ellenőrizni tudja, hogy az oda- és visszairány egyezik-e.

Kulcsfogalmak: küldőszerver, PTR-rekord, forward-confirmed reverse DNS (FCrDNS), HELO/EHLO-név, generikus név, osztott (shared) tárhely, saját szerver (VPS), az IP-blokk tulajdonosa

Valójában melyik szerver küldi el az Ön levelét?

A 4. modulban a domainjéről volt szó: az SPF, a DKIM és a DMARC a example.com DNS-ében találhatók. Ebben a modulban valami másra nézünk rá: arra a szerverre, amely a levelét kézbesíti a címzettnek. Ennek a szervernek van egy IP-címe, és a címzettek ezt a címet a domainjétől függetlenül ítélik meg.

Hogy melyik szerverről van szó, az attól függ, hogyan levelez:

A küldőszerver IP-címét megtalálja egy olyan levél kopregéljaiban, amelyet önmagának vagy egy másik címére küldött (1.5. lecke). Nézze meg a legfelső Received: sort, amelyet a fogadó szerver adott hozzá. Ebben valami ilyesmi szerepel:

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

A szögletes zárójelek közötti cím, a 192.0.2.25, az az IP-cím, amellyel a küldő szerver kapcsolódott. Az előtte álló név (smtp.hosting.example) az a név, amelyet a címzett a reverse DNS alapján talált ehhez a címhez.

A reverse DNS röviden

A reverse DNS egy IP-címet köt vissza egy névhez, egy PTR-rekorddal. Az alapokat a DNS-tanfolyamon tanulta meg (4.6. lecke): a rekord nem az Ön domainjének zónájában található, hanem az IP-cím reverse zónájában, amely annak a félnek a kezelésében van, aki az IP-blokkot üzemelteti.

Az e-mail szempontjából három dolog fontos:

1. Van PTR. Egy reverse DNS nélküli IP-cím olyan, mint egy véletlenszerű gép az interneten. A Gmail az ilyen levelet elutasítja, a következő üzenettel: 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. A név visszamutat ugyanarra a címre. A 192.0.2.25 IP-cím PTR-je smtp.hosting.example, és a smtp.hosting.example A-rekordja 192.0.2.25. Ezt nevezik forward-confirmed reverse DNS-nek (FCrDNS). A Gmail, a Yahoo és a T-Online kifejezetten megemlíti ezt az elvárásai között.
3. A név úgy néz ki, mint egy levelezőszerver neve. Egy olyan név, mint a 192-0-2-25.dsl.provider.example vagy a host25.dynamic.provider.example, egy otthoni vagy ügyfélcsatlakozást árul el. A spamszűrők ezért pontot adnak, vagy azonnal elutasítják a kapcsolatot.

IPv6 esetén minden ugyanígy érvényes. Ha egy szerver IPv6-on keresztül küld levelet, akkor az IPv6-címnek is kell lennie PTR-jének, amely egy AAAA-rekorddal visszamutat. Az a szerver, amely IPv4-en rendben van, de IPv6-on nem, főleg a Gmailnél kerül bajba: a Google egy hiányzó IPv6-PTR-t említ egy "IPv6 authorization error" okaként.

A HELO-név

Amikor egy szerver kapcsolódik, bemutatkozik egy EHLO (vagy a régebbi HELO) paranccsal és egy névvel (1.2. lecke). Az RFC 5321 szerint ennek a szerver teljes nevének kell lennie. A gyakorlatban a címzettek azt nézik, hogy ez a név:

• valódi, létező név-e (nem localhost, nem puszta IP-cím, nem olyan név, amely nem szerepel a DNS-ben);
• illeszkedik-e a reverse DNS-hez, vagy legalábbis ugyanahhoz a domainhez tartozik-e.

Tárhelycsomag vagy levelezési szolgáltatás esetén ezt az üzemeltető intézi. Ha Ön saját levelezőszervert üzemeltet, akkor a HELO-nevet a levelezőszoftverében állítja be (a Postfixben ezt myhostname-nak hívják), és gondoskodik róla, hogy ez a név, a PTR és az A-rekord mind megegyezzen.

Osztott tárhely: a PTR-nek nem kell az Ön domainjének lennie

Gyakran felmerülő kérdés: "Nem kellene a reverse DNS-nek mail.example.com-nak lennie, hiszen ez az én domainem?" Nem. Osztott tárhely és nagy levelezési szolgáltatások esetén egyetlen szerver küld levelet több száz vagy több ezer domain nevében. Az IP-címnek csak egy PTR-je lehet, ami tehát magának a szervernek a nevét tartalmazza, például server12.hosting.example.

Ez így van rendjén. A címzettek azt ellenőrzik, hogy a PTR létezik-e, visszamutat-e, és nem generikus-e. Azt nem ellenőrzik, hogy szerepel-e benne az Ön saját domainneve. Az Ön domainje és a szerver közötti kapcsolatot az SPF (a szerver szerepel az SPF-jében) és a DKIM (a szerver az Ön domainje nevében ír alá) teremti meg.

A WebOkénél ez például így van megoldva: egy tárhelycsomag szerverei magának a szervernek a nevével rendelkező reverse DNS-t kapnak, a webawere.nl alatt, amely szintén visszamutat. Más tárhelyszolgáltatóknál és levelezési szolgáltatásoknál ugyanígy működik, a saját szervernevükkel.

Saját szerver: mit kell Önnek elintéznie?

Ha közvetlenül egy saját szerverről küld levelet, például egy VPS-ről, amelyen egy webáruház fut, vagy egy saját levelezőszerverről, akkor Ön maga a küldő, és Önnek kell többet elintéznie:

1. Válasszon egy nevet, például mail.example.com.
2. Hozza létre az A-rekordot (és AAAA-rekordot) erről a névről a szerver IP-címére, a domainje DNS-ében.
3. Kérje meg a PTR-t a szerver szolgáltatójától. Az ügyfélpanelen általában van egy "Reverse DNS" vagy "rDNS" mező. Ide ugyanazt a nevet írja be.
4. Állítsa be a HELO-nevet a levelezőszoftverében ugyanerre a névre.
5. Vegye fel az IP-címet az SPF-jébe (ip4: és ip6:), és kapcsolja be a DKIM-et a levelezőszoftverében.
6. Ellenőrizze, hogy a 25-ös port kimenő irányban nyitva van-e. Sok szolgáltató alapértelmezetten lezárja ezt a visszaélések megelőzése érdekében; ilyen esetben kérnie kell a megnyitását, vagy a szolgáltatója relay-jén keresztül, illetve egy küldőszolgáltatáson keresztül kell küldenie.

Egy levelezőszerver egy otthoni vagy irodai hétköznapi internetcsatlakozáson szinte mindig rossz ötlet. Az ilyen címek gyakran szerepelnek az úgynevezett "végfelhasználói címek" listáin (mint a Spamhaus Policy Block List-je, 5.2. lecke), a PTR-t általában nem választhatja meg saját maga, és a T-Online kifejezetten előírja, hogy az ilyen rendszereknek egy megfelelő szolgáltató relay-jén keresztül kell küldeniük.

Ellenőrzés

Egy parancssori ablakkal (DNS-tanfolyam, 8.2. lecke):

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Ha a második lekérdezésnél ugyanaz a cím jön vissza, akkor az FCrDNS stimmel. IPv6 esetén ugyanezt teszi a dig -x 2001:db8::25 és a dig AAAA parancsokkal.

Megnézheti azt is, hogyan látta ezt a címzett. A kopregekben a fogadó szerver a from után zárójelben feltünteti azt a nevet, amelyet talált. Ha ott unknown áll, akkor nem talált PTR-t. Néhány szerver saját ellenőrzést is beír, mint például az iprev=pass az Authentication-Results: sorban (RFC 8601).

Összefoglalás

• A küldőszerver az a szerver, amely az Ön levelét a címzettnek kézbesíti. A címzettek az IP-címét a domainjétől függetlenül ítélik meg.
• Ennek az IP-címnek olyan PTR-re van szüksége, amely visszamutat ugyanarra a címre (FCrDNS), mind IPv4, mind IPv6 esetén, olyan névvel, amely nem generikus.
• A HELO-névnek létező névnek kell lennie, amely illeszkedik a PTR-hez.
• Osztott tárhely és levelezési szolgáltatások esetén a szerver neve szerepel a PTR-ben, nem az Ön domainje. Ez így van rendjén.
• Saját szerver esetén Ön maga intézi a nevet, az A/AAAA-rekordot, a PTR-t (a szolgáltatóján keresztül), a HELO-t, az SPF-et és a DKIM-et.

Kvíz

Feladat

Z5.1 feladat: A saját domain küldőszervere. Küldjön levelet a saját címéről egy másik, szintén saját címére (például egy Gmail- vagy Outlook.com-címre), és nyissa meg a kopregéket. Keresse meg annak a szervernek az IP-címét, amely a levelet kézbesítette, az adott cím PTR-nevét, és töltse ki, hogy a név visszamutat-e ugyanarra a címre (igen/nem). Ha nincs saját domainje, használja a mx00.t-online.de levelezőszerver IP-címét. A program élőben lekérdezi a PTR-t és az A/AAAA-rekordot, és összehasonlítja azokat.

További olvasnivaló

Az ezekben a cikkekben leírt lépések a WebOké paneljeire vonatkoznak; más szolgáltatóknál hasonlóan működik.

• Levelek küldése a VPS-ről és a reverse DNS beállítása
• Ingyenes DNS-tanfolyam 4.6: Reverse DNS (PTR): a számtól vissza a névig
• Az e-mailek küldési folyamata / SMTP
• RFC 5321 (SMTP), 4.1.1.1. bekezdés az EHLO-névről; RFC 8601 az Authentication-Results kopregéről