Reverse DNS ja lähettävä palvelimesi

Moduuli 5: Maine ja suuret vastaanottajat · Lukuaika: 9 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat selittää, miksi sähköpostisi lähettävän palvelimen IP-osoitteella pitää olla kunnollinen reverse DNS, pystyt selvittämään mikä palvelin se sinun tapauksessasi on, ja osaat tarkistaa täsmäävätkö heijastus molempiin suuntiin.

Keskeiset käsitteet: lähettävä palvelin, PTR-tietue, forward-confirmed reverse DNS (FCrDNS), HELO/EHLO-nimi, geneerinen nimi, jaettu hosting, oma palvelin (VPS), IP-lohkon omistaja

Mikä palvelin oikeastaan lähettää sähköpostisi?

Moduulissa 4 käsiteltiin verkkotunnustasi: SPF, DKIM ja DMARC ovat example.com-verkkotunnuksen DNS:ssä. Tässä moduulissa katsomme jotain muuta: palvelinta, joka toimittaa sähköpostisi vastaanottajalle. Sillä palvelimella on IP-osoite, ja vastaanottajat arvioivat sitä osoitetta erillään verkkotunnuksestasi.

Mikä palvelin se on, riippuu siitä miten lähetät sähköpostia:

Lähettävän palvelimen IP-osoitteen löydät sellaisen viestin otsikkoriveistä, jonka olet lähettänyt itsellesi tai toiseen osoitteeseen (oppitunti 1.5). Katso ylintä Received:-riviä, jonka vastaanottava palvelin on lisännyt. Siinä lukee jotain tällaista:

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

Hakasulkeiden sisällä oleva osoite, 192.0.2.25, on IP-osoite, jolla lähettävä palvelin otti yhteyden. Sitä edeltävä nimi (smtp.hosting.example) on nimi, jonka vastaanottaja löysi tälle osoitteelle reverse DNS:n kautta.

Reverse DNS lyhyesti

Reverse DNS yhdistää IP-osoitteen takaisin nimeen PTR-tietueella. Perusteet opit DNS-kurssilla (oppitunti 4.6): tietue ei ole verkkotunnuksesi vyöhykkeessä vaan IP-osoitteen reverse-vyöhykkeessä, ja se kuuluu IP-lohkoa hallinnoivalle osapuolelle.

Sähköpostin kannalta kolme asiaa on tärkeää:

1. PTR on olemassa. IP-osoite ilman reverse DNS:ää näyttää satunnaiselta koneelta internetissä. Gmail hylkää tällaisen sähköpostin viestillä 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. Nimi osoittaa takaisin samaan osoitteeseen. IP-osoitteella 192.0.2.25 on PTR smtp.hosting.example, ja smtp.hosting.example-nimellä on A-tietue 192.0.2.25. Tätä kutsutaan forward-confirmed reverse DNS:ksi (FCrDNS). Gmail, Yahoo ja T-Online mainitsevat tämän nimenomaisesti vaatimuksissaan.
3. Nimi näyttää sähköpostipalvelimelta. Nimi kuten 192-0-2-25.dsl.provider.example tai host25.dynamic.provider.example paljastaa koti- tai asiakasliittymän. Roskapostisuodattimet antavat siitä miinuspisteitä tai hylkäävät yhteyden suoraan.

IPv6:lle pätee sama kaikki uudelleen. Jos palvelin lähettää IPv6:n kautta, myös IPv6-osoitteella pitää olla PTR ja sen pitää osoittaa takaisin AAAA-tietueella. Palvelin, joka on IPv4:n osalta kunnossa mutta IPv6:n osalta ei, saa ongelmia erityisesti Gmailin kanssa: Google mainitsee puuttuvan IPv6-PTR:n syyksi "IPv6 authorization error" -virheelle.

HELO-nimi

Kun palvelin ottaa yhteyden, se esittäytyy komennolla EHLO (tai vanhemmalla HELO) ja nimellä (oppitunti 1.2). RFC 5321 sanoo, että tämän pitäisi olla palvelimen täydellinen nimi. Käytännössä vastaanottajat tarkistavat, että tämä nimi:

• on oikea, olemassa oleva nimi (ei localhost, ei paljasta IP-osoitetta, ei nimeä jota ei löydy DNS:stä);
• vastaa reverse DNS:ää, tai ainakin kuuluu samaan verkkotunnukseen.

Hostingpaketissa tai sähköpostipalvelussa ylläpitäjä hoitaa tämän. Jos pyörität itse sähköpostipalvelinta, asetat HELO-nimen sähköpostiohjelmistossasi (Postfixissa tämä on myhostname) ja huolehdit siitä, että tämä nimi, PTR ja A-tietue ovat kaikki yhtenevät.

Jaettu hosting: PTR:n ei tarvitse olla oma verkkotunnuksesi

Usein kysytty kysymys: "Eikö reverse DNS:n pitäisi olla mail.example.com, koska se on minun verkkotunnukseni?" Ei. Jaetussa hostingissa ja suurissa sähköpostipalveluissa yksi palvelin lähettää sähköpostia sadoille tai tuhansille verkkotunnuksille. IP-osoitteella voi olla vain yksi PTR, ja se sisältää siis itse palvelimen nimen, esimerkiksi server12.hosting.example.

Näin se kuuluukin olla. Vastaanottajat tarkistavat, että PTR on olemassa, osoittaa takaisin eikä ole geneerinen. He eivät tarkista, löytyykö siitä oma verkkotunnuksesi. Yhteyden omaan verkkotunnukseesi ja palvelimeen luot SPF:llä (palvelin on SPF-tietueessasi) ja DKIM:llä (palvelin allekirjoittaa viestit verkkotunnuksesi puolesta).

WebOkéssa tämä on järjestetty esimerkiksi näin: hostingpaketin palvelimilla on reverse DNS, jossa on itse palvelimen nimi, webawere.nl-verkkotunnuksen alla, ja se osoittaa myös takaisin oikein. Muilla hosting-yrityksillä ja sähköpostipalveluilla se toimii samalla tavalla, omilla palvelinniemillään.

Oma palvelin: mitä sinun pitää järjestää?

Jos lähetät sähköpostia suoraan omalta palvelimelta, esimerkiksi VPS:ltä jolla pyörii verkkokauppa tai oma sähköpostipalvelin, olet itse lähettäjä ja sinun pitää järjestää enemmän:

1. Valitse nimi, esimerkiksi mail.example.com.
2. Luo A-tietue (ja AAAA-tietue) tälle nimelle osoittamaan palvelimen IP-osoitteeseen, verkkotunnuksesi DNS:ssä.
3. Pyydä PTR palvelimen tarjoajalta. Yleensä asiakaspaneelissa on kenttä "Reverse DNS" tai "rDNS". Täytä siihen sama nimi.
4. Aseta sähköpostiohjelmistosi HELO-nimeksi sama nimi.
5. Lisää IP-osoite SPF-tietueeseesi (ip4: ja ip6:) ja ota DKIM käyttöön sähköpostiohjelmistossasi.
6. Tarkista, onko portti 25 ulospäin auki. Monet tarjoajat sulkevat sen oletuksena väärinkäytön estämiseksi; silloin sinun pitää pyytää se avattavaksi, tai lähettää tarjoajasi relayn tai lähetyspalvelun kautta.

Sähköpostipalvelin tavallisessa kotitalouden tai toimiston internetliittymässä on lähes aina huono idea. Nämä osoitteet ovat usein "loppukäyttäjäosoitteiden" listoilla (kuten Spamhausin Policy Block List, oppitunti 5.2), PTR:ää et yleensä voi itse valita, ja T-Online kirjaimellisesti vaatii, että tällaiset järjestelmät lähettävät sopivan tarjoajan relayn kautta.

Tarkistaminen

Komentorivillä (DNS-kurssi, oppitunti 8.2):

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Jos toinen kysely palauttaa saman osoitteen, FCrDNS täsmää. IPv6:lle teet saman komennoilla dig -x 2001:db8::25 ja dig AAAA.

Voit myös katsoa, miten vastaanottaja sen näki. Otsikkoriveissä vastaanottava palvelin kirjoittaa löytämänsä nimen sulkeisiin from-sanan jälkeen. Jos siellä lukee unknown, se ei löytänyt PTR:ää. Jotkut palvelimet lisäävät myös oman tarkistuksensa, kuten iprev=pass Authentication-Results:-rivillä (RFC 8601).

Yhteenveto

• Lähettävä palvelin on palvelin, joka toimittaa sähköpostisi vastaanottajalle. Vastaanottajat arvioivat sen IP-osoitetta erillään verkkotunnuksestasi.
• Tällä IP-osoitteella pitää olla PTR, joka osoittaa takaisin samaan osoitteeseen (FCrDNS), sekä IPv4:lle että IPv6:lle, nimellä joka ei ole geneerinen.
• HELO-nimen pitäisi olla olemassa oleva nimi, joka vastaa PTR:ää.
• Jaetussa hostingissa ja sähköpostipalveluissa PTR:ssä on palvelimen nimi, ei oma verkkotunnuksesi. Näin se kuuluukin olla.
• Omalla palvelimella järjestät itse nimen, A/AAAA-tietueet, PTR:n (tarjoajasi kautta), HELO:n, SPF:n ja DKIM:n.

Tietovisa

Tehtävä

Tehtävä Z5.1: Oman verkkotunnuksesi lähetyspalvelin. Lähetä sähköposti omasta osoitteestasi toiseen omaan osoitteeseesi (esimerkiksi Gmail- tai Outlook.com-osoitteeseen) ja avaa otsikkorivit. Etsi sen palvelimen IP-osoite, joka toimitti sähköpostin, tämän osoitteen PTR-nimi, ja täytä, osoittaako nimi takaisin samaan osoitteeseen (kyllä/ei). Jos sinulla ei ole omaa verkkotunnusta, käytä sähköpostipalvelimen mx00.t-online.de IP-osoitetta. Ohjelma hakee PTR:n ja A/AAAA-tietueen reaaliajassa ja vertaa niitä.

Lue lisää

Näiden artikkeleiden vaiheet koskevat WebOkén hallintapaneeleita; muilla tarjoajilla se toimii vastaavalla tavalla.

• Sähköpostin lähettäminen VPS:ltä ja reverse DNS:n määrittäminen
• Ilmainen DNS-kurssi 4.6: Reverse DNS (PTR): numerosta takaisin nimeen
• Sähköpostin lähetysprosessi ja SMTP
• RFC 5321 (SMTP), kappale 4.1.1.1 EHLO-nimestä; RFC 8601 otsikkorivistä Authentication-Results