Tarkistuslista omalle verkkotunnuksellesi

Moduuli 8: Turvallisuus ja ongelmien ratkaisu · Lukuaika: 10 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat tarkistaa oman verkkotunnuksesi ylhäältä alas kiinteän tarkistuslistan avulla, ja tiedät mistä kohdasta aloittaa, jos sivusto tai sähköposti ei toimi.

Keskeiset käsitteet: rekisteröinti, nimipalvelimet, A/AAAA, www, todistus, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, varmuuskopio

Miksi ylhäältä alas?

DNS on ketju: ilman rekisteröintiä ei ole nimipalvelimia, ilman toimivia nimipalvelimia ei ole tietueita, ilman A-tietuetta ei ole verkkosivustoa. Virhe ketjun yläpäässä aiheuttaa kaikenlaisia oireita alempana. Siksi käyt listan läpi aina tässä järjestyksessä ja pysähdyt ensimmäiseen kohtaan joka ei täsmää. Korjaa se ensin, ja aloita sitten uudestaan alusta.

Listassa esiintyy example.com: korvaa se omalla verkkotunnuksellasi. Jokaisen kohdan yhteydessä on dig-komento; samaan tulokseen pääsee myös verkossa toimivalla dig-työkalulla (oppitunti 8.3). Verkkotunnuksen terveystarkistus, kuten hostingpalveluntarjoajasi oma tai ilmainen Domain-terveystarkistus, tekee suuren osan tästä listasta kertaheitolla, mutta on hyvä tietää mitä sen takana tapahtuu.

Osa A: perusta

1. Onko verkkotunnus rekisteröity ja aktiivinen?

• Miten: whois- tai RDAP-haku (esimerkiksi rekisterinpitäjän sivuston kautta, kuten sidn.nl .nl-tunnuksille), tai whois example.com.
• Hyvä: tila aktiivinen (.nl-tunnuksilla: "active"), ei "karanteenissa", ei vanhentunut. Haltija täsmää.

2. Mitkä nimipalvelimet verkkotunnuksella on, ja onko niitä vähintään kaksi?

• Miten: dig +short NS example.com, ja sen selvittämiseksi mitä rekisterinpitäjä antaa eteenpäin dig +trace example.com.
• Hyvä: vähintään kaksi nimipalvelinta, siltä taholta jonka kautta hallinnoit DNS:ääsi.

3. Vastaavatko kaikki nimipalvelimet, ja antavatko ne saman tuloksen?

• Miten: dig +short SOA example.com @<nimipalvelin> jokaiselle nimipalvelimelle.
• Hyvä: jokainen nimipalvelin vastaa (ei aikakatkaisua, ei REFUSED) ja sarjanumero (SOA:n kolmas kenttä) on kaikkialla sama. Nimipalvelinta joka ei vastaa verkkotunnuksellesi kutsutaan termillä lame.

4. Täsmääkö DNSSEC (jos se on käytössä)?

• Miten: dig +short DS example.com ja dig example.com A @1.1.1.1 (tarkkaile tilaa ja ad-lippua); jos olet epävarma, käytä DNSViziä.
• Hyvä: joko ei DS-tietuetta (DNSSEC pois käytöstä, mikä toimii normaalisti), tai DS-tietue tilalla NOERROR ja ad-lippu. Virhe: SERVFAIL.

Osa B: verkkosivusto

5. Osoittaako verkkotunnus oikeaan palvelimeen?

• Miten: dig +short A example.com ja dig +short AAAA example.com.
• Hyvä: sen palvelimen IPv4-osoite (ja, jos sinulla on sellainen, IPv6-osoite) jolla sivustosi sijaitsee. Ei vanhaa AAAA-tietuetta edelliseltä palvelimelta.

6. Toimiiko www?

• Miten: dig +short A www.example.com (tai CNAME).
• Hyvä: A-tietue, AAAA-tietue tai CNAME joka johtaa samaan sivustoon. Jos www puuttuu, www:n kirjoittavat käyttäjät saavat virheilmoituksen.

7. Onko sivustolla kelvollinen todistus molemmille nimille?

• Miten: avaa https://example.com ja https://www.example.com ja klikkaa lukkokuvaketta, tai käytä internet.nl:n verkkosivustotestiä.
• Hyvä: ei varoitusta, todistus on voimassa vielä ainakin muutaman viikon ja kattaa molemmat nimet.

8. Saako todistuksen myöntäjäsi tehdä todistuksia (CAA)?

• Miten: dig +short CAA example.com.
• Hyvä: ei CAA-tietuetta (kaikki saavat), tai CAA-tietue jossa on issue sen tahon kohdalla joka myöntää todistuksesi. Virhe: CAA-tietue joka ei mainitse omaa myöntäjääsi.

Osa C: sähköposti

9. Mihin sähköpostisi saapuu?

• Miten: dig +short MX example.com, ja sen jälkeen dig +short A <sähköpostipalvelin> ensimmäiselle nimelle.
• Hyvä: nykyisen sähköpostipalveluntarjoajasi MX-tietueet, eikä jäänteitä vanhan palveluntarjoajan MX-tietueista. Jokaisella sähköpostipalvelimen nimellä on A- tai AAAA-tietue. Jos et käytä verkkotunnusta sähköpostiin, null MX (0 .) voi selkeästi osoittaa ettei sähköpostia oteta vastaan.

10. Onko täsmälleen yksi oikea SPF-tietue?

• Miten: dig +short TXT example.com ja tarkastele rivejä jotka alkavat v=spf1; sähköpostitarkistus laskee hakujen määrän.
• Hyvä: täsmälleen yksi SPF-tietue, jossa on mukana kaikki palvelut jotka lähettävät sähköpostia verkkotunnuksesi nimissä, päättyen ~all tai -all (ei koskaan +all), eikä enempää kuin kymmenen DNS-hakua.

11. Onko DKIM asetettu jokaiselle palvelulle joka lähettää sähköpostia?

• Miten: dig +short TXT <selector>._domainkey.example.com (tai CNAME) jokaiselle tuntemallesi selectorille, kuten sähköpostipalveluntarjoajasi ja uutiskirjepalvelusi. Selectorin löydät palvelun ohjeista tai lähetetyn sähköpostin otsikosta DKIM-Signature: ... s=<selector>.
• Hyvä: jokainen tietue antaa avaimen (v=DKIM1; ... p=...) tai CNAME:n palveluun, ja testiviesti näyttää DKIM-kohdassa PASS.

12. Onko DMARC-tietue olemassa?

• Miten: dig +short TXT _dmarc.example.com.
• Hyvä: täsmälleen yksi tietue joka alkaa v=DMARC1 ja jolla on kelvollinen käytäntö (p=none, p=quarantine tai p=reject). Jos aloitit p=none:lla, suunnittele käytännön tiukentamista.

13. Saapuuko aito sähköposti kunnolla perille?

• Miten: lähetä viesti osoitteeseen mail-tester.com tai Gmail-osoitteeseen ja tarkastele "Näytä alkuperäinen" tietoja.
• Hyvä: SPF, DKIM ja DMARC kaikki tilassa PASS.

Osa D: ylläpito

14. Ovatko TTL-arvot järkeviä?

• Miten: dig example.com A @<oma nimipalvelimesi> ja tarkastele TTL-arvoa.
• Hyvä: normaalisti 3600:sta 86400:aan (tunnista vuorokauteen). Vain suunnitellun muutoksen ympärillä tilapäisesti 300. Takaisin vaihtamisen unohtaminen siirron jälkeen ei ole vakavaa, mutta aiheuttaa turhaa liikennettä.

15. Onko sinulla varmuuskopio vyöhykkeestäsi?

• Miten: DNS-paneelisi varmuuskopio- tai vientipainike, tai dig tietue kerrallaan jos sellaista ei ole.
• Hyvä: tuore kopio kaikista tietueista, tallennettuna paneelin ulkopuolelle.

16. Eikö siellä ole unohdettuja tietueita?

• Miten: käy kaikki paneelisi tietueet läpi.
• Hyvä: ei vahvistustietueita tai aliverkkotunnuksia palveluista joita et enää käytä. Jonkun irtisanotun palvelun CNAME voi joutua toisen "haltuunottamaksi" (subdomain takeover): poista se.

Mistä aloitat valituksen käsittelyn?

Käytännössä: näin se näyttää paneelissa

Verkkotunnuksen terveystarkistus tekee suuren osan tästä listasta automaattisesti. Oma WebOké:ssä tämä löytyy verkkotunnuksen sivulta korttina Domain / Email terveys, vihreällä, oranssilla ja punaisella jokaiselle kohdalle; julkinen versio toimii mille tahansa verkkotunnukselle. Muilla hostingpalveluntarjoajilla, verkkotunnusvälittäjillä ja DNS-palveluntarjoajilla on vastaavia tarkistuksia, ja internet.nl testaa itsenäisesti suuren osan osista B ja C. Käytä tällaista tarkistusta lähtökohtana ja tätä listaa ymmärtääksesi mitä punainen kohta tarkoittaa.

Yhteenveto

• Käy lista läpi ylhäältä alas ja pysähdy ensimmäiseen kohtaan joka ei täsmää.
• Perusta: rekisteröinti, nimipalvelimet, yhtenevät vastaukset, DNSSEC.
• Verkkosivusto: A/AAAA, www, todistus, CAA.
• Sähköposti: MX osoitteella, yksi SPF, DKIM jokaiselle palvelulle, yksi DMARC, testiviesti.
• Ylläpito: TTL, varmuuskopio, siivoaminen.

Tietovisa

Tehtävä

Tehtävä Z8.5: Lopputehtävä: oma verkkotunnuksesi. Tarkista oma verkkotunnuksesi tällä tarkistuslistalla. Syötä verkkotunnuksesi kurssiympäristöön ja vastaa jokaisesta osan A, B ja C kohdasta mitä löysit (esimerkiksi nimipalvelimesi, MX-tietueesi, SPF-tietueesi ja DMARC-käytäntösi). Ohjelma tekee samat tarkistukset ja vertailee niitä. Jos jokin ei täsmää verkkotunnuksessasi, saat selityksen ja viittauksen oppituntiin. Jos sinulla ei ole omaa verkkotunnusta, käytä sidn.nl.

Lue lisää

Nämä artikkelit kuvaavat WebOké:n tarkistuksia; tarkistuslista toimii mille tahansa verkkotunnukselle.

• WebOké-käyttöopas 5.17: Verkkotunnuksen ja sähköpostin kunto: tarkistus ja korjaus
• Verkkosivusto tai sähköposti ei toimi muuton tai DNS-muutoksen jälkeen: tarkista verkkotunnuksesi
• WebOké-käyttöopas 5.7: DNS:n palauttaminen ja DNS-varmuuskopion tekeminen
• DNS-asetusten varmuuskopion tekeminen ja palauttaminen
• Ilmainen työkalu Domain-terveystarkistus: https://www.weboke.fi/verkkotunnuksen-kunto
• Ilmainen sähköpostitarkistus: https://www.weboke.fi/sahkopostin-tarkistus