Moduuli 8 · 8.4
Yleisimmät virheet
Moduuli 8: Turvallisuus ja ongelmien ratkaisu · Lukuaika: 10 minuuttia
Oppimistavoite: Tämän oppitunnin jälkeen tunnistat kymmenen yleisintä DNS-virhettä niiden oireista ja tiedät miten ne ratkaistaan.
Keskeiset käsitteet: piste nimen lopussa, kaksinkertainen verkkotunnus, muutos väärässä paikassa, kaksi SPF-tietuetta, CNAME paljaalla verkkotunnuksella, unohdettu AAAA, MX ilman osoitetta, proxy sähköpostille, vanha DS siirron jälkeen, välimuisti
Näin käytät tätä oppituntia
Alla olevat virheet eivät ole oppikirjasta, vaan hostingyritysten joka viikko saamista kysymyksistä. Jokaisen virheen kohdalla näet: mitä käyttäjä huomaa, miten sen todistaa yhdellä kyselyllä, ja mikä on ratkaisu. Kun kohtaat ongelman, aloita aina samoilla kahdella kysymyksellä: mitkä nimipalvelimet verkkotunnuksella on (dig +short NS example.com) ja mitä autoritatiivinen nimipalvelin vastaa (dig @<nameserver> <naam> <type>). Näillä kahdella ratkaiset jo puolet tapauksista.
1. Pisteen unohtaminen nimen lopusta
Oire: CNAME, MX tai NS ei toimi; palvelu sanoo "tietuetta ei löytynyt".
Todistaminen: dig +short CNAME shop.example.com antaa shops.platform.example.example.com.
Syy: vyöhykkeessä nimi ilman loppupistettä on suhteellinen: paneeli lisää perään oman verkkotunnuksesi (oppitunti 2.2).
Ratkaisu: kirjoita kohdenimi täydellisenä nimenä pisteen kanssa (shops.platform.example.). Jotkin paneelit lisäävät pisteen itse; tarkista tallennuksen jälkeen mitä siellä todella lukee.
2. Verkkotunnus kahteen kertaan nimessä
Oire: palvelun vahvistus tai DKIM-tarkistus ei onnistu, vaikka tietue "on olemassa".
Todistaminen: dig +short TXT k2._domainkey.example.com ei anna mitään, mutta dig +short TXT k2._domainkey.example.com.example.com antaa.
Syy: palvelu antaa täydellisen nimen (k2._domainkey.example.com) ja paneelisi lisää verkkotunnuksen vielä kerran perään.
Ratkaisu: täytä nimikenttään vain osa ennen verkkotunnustasi: k2._domainkey. Paneeli näyttää yleensä kentän alla täydellisen nimen: tarkista se.
3. Muutos väärässä paikassa
Oire: muutat tietuetta, mutta mikään ei muutu, ei edes päivän jälkeen.
Todistaminen: dig +short NS example.com antaa nimipalvelimet eri osapuolelta kuin missä teit muutoksen (esimerkiksi sivustorakentajalta tai Cloudflarelta).
Syy: vain nimipalvelinten osapuoli määrää DNS:n (oppitunti 2.1). Tietueet muualla eivät tee mitään.
Ratkaisu: muuta tietue nimipalvelinten osapuolella, tai palauta nimipalvelimet takaisin. Oikea esimerkki: joku asetti nimipalvelimet sivustorakennusalustalle verkkosivustoa varten, mutta A-tietue kohteelle mail ei ollut siellä. Seuraus: lähettäminen onnistui, vastaanottaminen ei, koska MX osoitti kohteeseen mail.example.com eikä sitä nimeä enää ollut olemassa.
4. Kaksi SPF-tietuetta
Oire: sähköposti menee useammin roskapostiin tai hylätään sen jälkeen kun yhdistit uuden palvelun.
Todistaminen: dig +short TXT example.com antaa kaksi riviä, jotka alkavat v=spf1.
Syy: uusi palvelu sanoi "lisää tämä SPF-tietue", ja se tehtiin kirjaimellisesti. Kahdella SPF-tietueella SPF on virheellinen (permerror, RFC 7208), mikä on pahempi kuin ei SPF:ää lainkaan.
Ratkaisu: yhdistä ne yhdeksi tietueeksi: v=spf1 a mx include:_spf.hosting.example include:spf.service.example ~all. Huomioi kymmenen haun raja (oppitunti 4.3).
5. CNAME paljaalla verkkotunnuksella
Oire: paneeli hylkää tietueen, tai tallennuksen jälkeen sähköpostisi ei enää toimi.
Todistaminen: palvelu pyytää "luo CNAME kohteelle @".
Syy: CNAME ei saa olla muiden tietueiden rinnalla, ja paljaalla verkkotunnuksella on aina SOA- ja NS-tietueet (ja usein MX ja TXT). Katso oppitunti 3.2.
Ratkaisu: käytä kohdassa @ palvelun antamaa A-tietuetta (ja mahdollisesti AAAA), ja CNAME:a vain kohteelle www tai aliverkkotunnukselle. Joillakin DNS-palveluntarjoajilla on tähän ALIAS tai "CNAME flattening".
6. AAAA:n unohtaminen siirron yhteydessä
Oire: siirron jälkeen osa kävijöistä (usein mobiilissa) näkee yhä vanhan sivuston, tai todistusvirheen.
Todistaminen: dig +short A example.com antaa uuden osoitteen, dig +short AAAA example.com antaa yhä vanhan palvelimen osoitteen.
Syy: laitteet, joilla on IPv6, käyttävät mieluummin AAAA:ta. Vain A on päivitetty.
Ratkaisu: päivitä AAAA mukana, tai poista se jos uudella palvelimella ei ole IPv6:ta. Oikea esimerkki: verkkokauppa-alustaa yhdistettäessä uuden A-tietueen lisäksi myös vanha AAAA piti poistaa, muuten kauppa pysyi osalle kävijöistä tavoittamattomana.
7. MX joka osoittaa tyhjyyteen
Oire: et saa sähköpostia; lähettäjät saavat virheilmoituksen.
Todistaminen: dig +short MX example.com antaa 10 mail.example.com., mutta dig +short A mail.example.com ei anna mitään (NXDOMAIN).
Syy: MX osoittaa nimeen, ja sillä nimellä pitää olla A- tai AAAA-tietue. Usein A-tietue kohteelle mail on kadonnut nimipalvelinten vaihdon yhteydessä. MX ei myöskään saa osoittaa IP-osoitteeseen tai CNAME:ään (RFC 2181).
Ratkaisu: luo A-tietue sähköpostipalvelimen nimelle, tai muuta MX osoittamaan nimeen, jolla on osoite.
8. Sähköposti muualla, mutta vanha palvelin luulee sen toimittamisen kuuluvan itselleen
Oire: ulkopuolelta tuleva sähköposti saapuu hyvin uudelle palveluntarjoajallesi, mutta oman verkkosivustosi sähköposti (yhteydenottolomake, verkkokauppa) ei tule koskaan perille. Joskus saat virheen 550 Unknown user.
Todistaminen: MX osoittaa uuteen palveluntarjoajaan, mutta verkkopalvelimella paikallinen sähköpostin toimitus on yhä päällä.
Syy: tämä ei ole DNS-virhe, mutta näyttää siltä. Verkkopalvelin, joka luulee hallinnoivansa itse sähköpostilaatikoita, ei katso MX:ää.
Ratkaisu: kytke hostingpaneelistasi paikallinen toimitus pois päältä (DirectAdminissa: rastimerkki "Käytä tätä palvelinta sähköpostieni käsittelyyn"). Muissa paneeleissa on vastaava asetus, usein nimellä "Remote mail exchanger" tai "ulkoinen sähköposti".
9. Proxy päällä sähköpostille
Oire: DNS-palveluntarjoajalla, jolla on proxytoiminto (kuten Cloudflaren oranssi pilvi), verkkosivusto toimii, mutta sähköpostiohjelmasi ei saa yhteyttä, tai sivuston todistus ei uusiudu.
Todistaminen: dig +short A mail.example.com antaa proxyn osoitteen sähköpostipalvelimesi sijaan.
Syy: verkkoproxy välittää vain verkkoliikennettä, ei sähköpostia.
Ratkaisu: kytke proxy pois päältä (harmaa pilvi, "DNS only") kohteelle mail ja kaikille nimille, joita sähköpostiohjelmasi käyttää. Todistuksia varten: kytke proxy tilapäisesti pois kunnes todistus on saatu, tai käytä proxyn oikeaa SSL-tilaa.
10. Vanha DS siirron jälkeen
Oire: nimipalvelinten vaihdon jälkeen verkkotunnuksesi on tavoittamattomissa osalle maailmaa; muut eivät huomaa mitään.
Todistaminen: dig example.com @1.1.1.1 antaa SERVFAIL, dig +cd example.com @1.1.1.1 antaa vastauksen. DNSViz (https://dnsviz.net/, oppitunti 8.1) värjää DS:n punaiseksi ja piirtää sen alle harmaan, pisteviivaisen avaimen joka ei enää ole vyöhykkeessäsi. Zonemaster ja Verisign DNSSEC Debugger ilmoittavat saman sanallisesti.
Syy: rekisterinpitäjällä on yhä vanhan osapuolen DS (oppitunti 8.1). Vain validoivat resolverit epäonnistuvat, siksi kaikki eivät huomaa sitä.
Ratkaisu: päivitä DS uuden osapuolen avaimella, tai poista se ja ota DNSSEC sen jälkeen uudelleen käyttöön.
Ja "virhe" joka ei ole virhe: välimuisti
Hyvin usein kaikki on kunnossa, mutta näet silti vanhan vastauksen. Tunnistat sen tästä: dig @<nameserver> antaa uuden vastauksen, samoin verkossa oleva tarkistustyökalu muissa maissa, mutta vain oma tietokoneesi ei. Ratkaisu: yksityinen selainikkuna, puhelin 4G/5G-yhteydellä, tai välimuistin tyhjentäminen (oppitunti 8.2). Myös unohdettu rivi tietokoneesi hosts-tiedostossa (aiemmasta testistä ennen siirtoa) aiheuttaa saman ilmiön: poista se rivi.
Läheinen sudenkuoppa: uuden nimen kysyminen ennen kuin olet luonut sen. Resolveri muistaa silloin "ei ole olemassa" (negatiivinen välimuisti) ja uuden nimen toimiminen kestää kauemmin (oppitunti 6.2).
Käytännössä: näin se näyttää paneelissa
Monet paneelit estävät osan näistä virheistä. Oma WebOké esimerkiksi varoittaa jos loppupiste puuttuu ja näyttää nimikentän alla täydellisen nimen; DirectAdmin hylkää virheelliset tietueet viestillä "Error Writing Records". Cloudflarella ja muilla palveluntarjoajilla on vastaavia varoituksia. Tee ennen suurempia muutoksia varmuuskopio tai vienti vyöhykkeestäsi, jotta voit aina palata takaisin.
Yhteenveto
- Aloita aina kysymällä: mitkä nimipalvelimet, ja mitä autoritatiivinen nimipalvelin vastaa.
- Useimmat virheet ovat nimessä (piste, kaksinkertainen verkkotunnus) tai paikassa (väärä osapuoli).
- Yksi SPF-tietue, ei CNAME:a kohdassa @, AAAA mukana siirrossa, MX nimeen jolla on osoite.
- SERVFAIL siirron jälkeen on yleensä vanha DS.
- Jos vain sinä näet vanhan vastauksen, kyse on välimuististasi tai hosts-tiedostosta.
Tietovisa
Tehtävä
Tehtävä Z8.4: Virheiden tunnistaminen. Saat viisi lyhyttä tapausta, joihin liittyy digin tuloste (kurssiympäristössä). Valitse jokaiselle tapaukselle mikä kymmenestä virheestä on kyseessä. Sen jälkeen todellinen etsintä: selvitä digillä tai verkkotyökalulla mikä tietue on vialla kohteella dnssec-failed.org (tila ja mitä +cd antaa), ja onko kohteella wikipedia.org täsmälleen yksi SPF-tietue.
Lue lisää
Nämä artikkelit kuvaavat ratkaisut WebOkén paneeleissa; muilla palveluntarjoajilla painikkeet voivat olla eri nimillä.
- Verkkosivusto tai sähköposti ei toimi muuton tai DNS-muutoksen jälkeen: tarkista verkkotunnuksesi
- Kuinka kauan nameserver- tai DNS-muutos kestää, ja mitä teet, jos et näe sitä?
- DirectAdmin-ohje 18.7: Verkkotunnukseni ei toimi vielä siirron tai muutoksen jälkeen
- DirectAdmin-ohje 18.9: En vastaanota enää sähköpostia
- DirectAdmin-ohje 5.4: CNAME-tietueet ja piste lopussa
- Sähköpostin lähettäminen PHP:llä ei onnistu, MX-tietueet osoittavat muualle
- Käytä verkkotunnuksellesi omia tai ulkoisia nimipalvelimia (kuten Cloudflare)