Moduuli 8 · 8.3
Online DNS-työkalut
Moduuli 8: Turvallisuus ja ongelmien ratkaisu · Lukuaika: 7 minuuttia
Oppimistavoite: Tämän oppitunnin jälkeen valitset jokaiseen DNS-kysymykseen oikean online-työkalun ja osaat tulkita tuloksen.
Keskeiset käsitteet: online dig, maakohtainen DNS-checker, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, sähköpostitarkistus, verkkotunnuksen terveys
Miksi online-työkaluja?
Online-työkalu esittää kysymyksesi eri paikasta kuin omalta koneeltasi. Siitä on kaksi etua. Et kärsi oman koneesi tai reitittimesi välimuistista, ja näet mitä muu internet näkee. Lisäksi monet työkalut yhdistävät kymmeniä tarkistuksia yhdellä klikkauksella, kun dig-komennolla jokainen kysymys pitää esittää erikseen.
Ei ole yhtä työkalua joka tekee kaiken parhaiten. Valitse kysymyksesi mukaan.
Mikä työkalu mihinkin kysymykseen?
| Kysymyksesi | Sopiva työkalu | Mitä näet |
|---|---|---|
| "Mitä DNS palauttaa juuri nyt?" | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), tai muu online dig | Saman kuin dig, ilman että asennat mitään |
| "Näkeekö koko maailma jo muutokseni?" | dnschecker.org (tai vastaava "DNS propagation checker") | Kymmenien eri maiden resolverien vastaukset rinnakkain |
| "Onko verkkotunnukseni nykyaikainen ja turvallinen?" | internet.nl (hollantilaisen Internetstandaarden Platform -järjestön palvelu) | Pisteet sivustolle (IPv6, DNSSEC, https) ja sähköpostille (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| "Onko DNSSEC-ketjuni kunnossa?" | DNSViz (dnsviz.net) | Kuva ketjusta juuresta verkkotunnukseesi, virheet punaisella |
| "Onko vyöhykkeeni teknisesti oikein?" | Zonemaster (zonemaster.net) | Laaja tarkistus nimipalvelimista, delegoinnista, SOA:sta ja DNSSECistä |
| "Miten sähköpostitietueeni voivat?" | MXToolbox, sähköpostitarkistus (esimerkiksi WebOkén E-mailcheck), tai sähköpostipalveluntarjoajasi tarkistukset | MX, SPF (hakujen määrällä), DMARC, mustat listat |
| "Menevätkö lähettämäni viestit perille?" | mail-tester.com, tai testiviesti Gmailiin ja "Näytä alkuperäinen" | Läpäiseekö SPF, DKIM ja DMARC oikean viestin kohdalla |
| "Toimivatko sivusto ja sähköposti yhdessä, kaikki yhdessä näkymässä?" | Verkkotunnuksen terveystarkistus (esimerkiksi WebOkén Domein gezondheid) | Nimipalvelimet, A-tietue, www, todistus, MX, SPF, DMARC, DNSSEC ja CAA samassa listassa |
WebOkén työkalut ovat tässä esimerkkinä "kaikki yhdessä" -tarkistuksesta; muilla hostingyrityksillä ja verkkotunnusvälittäjillä on vastaavia työkaluja. Jos olet epävarma, käytä kahta työkalua rinnakkain: jos kaksi riippumatonta työkalua sanovat saman, se pitää lähes varmasti paikkansa.
Online dig -työkalun käyttö
Online dig tekee täsmälleen saman kuin opit oppitunnilla 8.2. Syötät nimen (esimerkiksi _dmarc.example.com), valitset tyypin (TXT) ja saat raa'an tulosteen. Googlen toolbox näyttää myös statuksen (NOERROR, NXDOMAIN, SERVFAIL) ja TTL:n. Käytä tätä työkalua kun haluat tietää mitä siellä kirjaimellisesti lukee, esimerkiksi tarkistaaksesi että SPF-tietueesi esiintyy täsmälleen kerran.
Maakohtaisen DNS-checkerin lukeminen
Muutoksen jälkeen näet checkerissä, kuten dnschecker.org:ssa, usein sekalaisen tuloksen: joissakin maissa uusi osoite vihreällä merkillä, toisissa vielä vanha. Tämä ei ole virhe. Jokainen resolveri on hakenut tietueen eri hetkellä ja laskee omaa TTL:ää alaspäin (oppitunti 6.2).
Kaksi asiaa, joihin kannattaa kiinnittää huomiota:
- Näetkö kaikkialla vanhan vastauksen, vielä kauan TTL:n jälkeenkin? Silloin muutos ei luultavasti ole sillä nimipalvelimella, jota maailma käyttää. Tarkista mitkä nimipalvelimet verkkotunnuksellasi on (oppitunti 2.1).
- Etkö näe mitään vastausta joidenkin resolverien kohdalla (rasti)? Silloin kyseessä voi olla SERVFAIL, usein DNSSECin vuoksi. Tarkista silloin DNSVizilla.
internet.nl
internet.nl on hollantilaisen Internetstandaarden Platform -järjestön (muun muassa SIDN, NLnet Labs ja viranomaiset) riippumaton testi. Testejä on kolme: sivusto, sähköposti ja oma yhteytesi. Tulos on prosenttiluku, ja jokaisesta osa-alueesta saat selityksen ja "Miten parantaa"-ohjeen.
Lue tulos järkevästi: ei jokainen punainen osa tarkoita häiriötä. Jos esimerkiksi DANE tai IPv6 puuttuu, sähköpostisi tai sivustosi toimii silti, mutta et täytä uusinta standardia. Punainen kohdassa "DNSSEC kelvollinen" tai "SPF" on sen sijaan tärkeä.
DNSViz
DNSViz piirtää oppitunnin 8.1 luottamusketjun: lohkot juurelle, TLD:lle ja verkkotunnuksellesi, nuolet DS:lle ja DNSKEY:lle. Sininen tarkoittaa turvallista, musta tarkoittaa allekirjoittamatonta (ei virhe) ja punainen tarkoittaa rikki menevää; kuvan lukemisesta kerrotaan tarkemmin oppitunnilla 8.1. Punaiset viivat tai lohkot osoittavat täsmälleen missä ketju katkeaa, esimerkiksi "DS:llä ei ole vastaavaa DNSKEY:tä". Tämä on työkalu, johon kannattaa turvautua kun saat SERVFAILin ja dig +cd antaa kuitenkin vastauksen.
Zonemaster
Zonemaster (jonka ovat tehneet muun muassa .se:n ja .fr:n rekisterinpitäjät) tarkistaa vyöhykkeesi samaan tapaan kuin rekisterinpitäjä tekisi: onko vähintään kaksi nimipalvelinta, antavatko ne kaikki saman vastauksen, täsmääkö SOA-sarjanumero kaikkialla, ovatko nimipalvelimet tavoitettavissa IPv4:n ja IPv6:n kautta. Kätevä ennen kuin vaihdat nimipalvelimia rekisterinpitäjällä, joka tarkistaa tiukasti. Voit testata myös nimipalvelimia, joita ei vielä ole liitetty verkkotunnukseen ("undelegated test").
Sähköpostityökalut
Sähköpostitarkistus tutkii DNS-puolen: onko MX olemassa, onko täsmälleen yksi SPF-tietue, mahtuuko se kymmenen haun rajaan, onko DMARC-tietue olemassa. Se ei voi nähdä toimiiko DKIM, koska siihen tarvitaan selector-tiedon tunteminen. Sen testaat oikealla viestillä: lähetä viesti osoitteeseen mail-tester.com tai Gmail-osoitteeseen, ja katso kohdasta "Näytä alkuperäinen" näkyvätkö SPF, DKIM ja DMARC statuksella PASS.
Käytännössä: miltä se näyttää hallintapaneelissa
Monilla paneeleilla on oma tarkistuksensa. Oma WebOkéssa verkkotunnuksen sivulla on kortti Domain / Email-terveys, jossa on vihreitä, oransseja ja punaisia pisteitä ja joskus korjauspainike. Cloudflaressa näet ilmoituksia DNS-yleiskatsauksen yläreunassa, Google Workspacessa ja Microsoft 365:ssä hallintakeskuksen tarkistussivulla. Tällaiset tarkistukset tuntevat tilanteesi parhaiten; riippumaton työkalu näyttää mitä ulkomaailma näkee. Käytä niitä yhdessä.
Yhteenveto
- Online-työkalut kysyvät eri paikasta eivätkä kärsi omasta välimuististasi.
- Online dig: mitä siellä kirjaimellisesti lukee. Maakohtainen DNS-checker: näkeekö maailma sen jo. DNSViz: täsmääkö DNSSEC-ketju. Zonemaster: onko vyöhyke teknisesti oikein. internet.nl: nykyaikainen ja turvallinen toteutus.
- Sähköpostitarkistus testaa tietueet; oikea testiviesti testaa läpäiseekö SPF, DKIM ja DMARC.
- Käytä kahta työkalua rinnakkain jos olet epävarma.
Tietovisa
Tehtävä
Tehtävä Z8.3: Online-työkalut. Testaa internet.nl internet.nl:n omalla sivusto- ja sähköpostitestillä. Merkitse sähköpostitestissä muistiin, onko DNSSEC pätevä sähköpostipalvelimille (MX), ja etsi DNSVizistä mitä algoritminumeroa internet.nl:n DS-tietueet käyttävät. Tarkista sen jälkeen online dig -työkalulla mikä käytäntö (p=) on internet.nl:n DMARC-tietueella. Täytä vastaukset.
Lue lisää
Nämä artikkelit kuvaavat WebOkén tarkistuksia; riippumattomat työkalut toimivat mille tahansa verkkotunnukselle.
- WebOké-käyttöopas 5.17: Verkkotunnuksen ja sähköpostin kunto: tarkistus ja korjaus
- Verkkosivusto tai sähköposti ei toimi muuton tai DNS-muutoksen jälkeen: tarkista verkkotunnuksesi
- Ilmainen Domein gezondheid -työkalu: https://www.weboke.fi/verkkotunnuksen-kunto
- Ilmainen E-mailcheck: https://www.weboke.fi/sahkopostin-tarkistus