Siirtymä DNS:ssä: MX, SPF, DKIM ja DMARC

Moduuli 4: Sähköpostin siirto · Lukuaika: 12 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat suunnitella ja toteuttaa sähköpostin DNS-vaihdon oikeassa järjestyksessä, niin ettei postia katoa, lähtevä postisi ei päädy roskapostiin ja Outlook ei jää salaa kolkuttelemaan vanhaa palveluntarjoajaa.

Keskeiset käsitteet: TTL, MX-vaihto, SPF (yksi tietue), DKIM-selector, DMARC (p=none, rua), autodiscover, autoconfig, vahvistustietue, hyväksytty verkkotunnus

Viisi tietuetta, yksi hetki

Oman verkkotunnuksen sähköpostia varten DNS:ssä on muutama tietue, jotka yhdessä määrittävät saapuuko posti perille ja luotetaanko sinun postiisi:

Siirrossa lähes kaikki tästä muuttuu. Taito on järjestyksessä. Jos vaihdat MX:n sillä aikaa kun SPF ja DKIM koskevat vielä vain Microsoftia, posti kyllä saapuu, mutta lähettämäsi posti joutuu roskapostiin. Jos vaihdat SPF:n ensin, Microsoft ei voi enää lähettää kunnolla puolestasi edeltävinä päivinä.

Tämä oppitunti käsittelee järjestystä. Kuinka kukin tietue tarkalleen toimii, löydät DNS-kurssista (oppitunnit 4.1 - 4.5).

Vaihe 1, kaksi päivää etukäteen: TTL alas ja varmuuskopio

Jokaisella DNS-tietueella on TTL (time to live): kuinka kauan muut palvelimet saavat muistaa vastauksen. Jos MX:n TTL on 86400 sekuntia (vuorokausi), jotkin palvelimet lähettävät vaihdon jälkeen vielä jopa vuorokauden ajan vanhalle palvelimelle.

Laske siis vähintään vanhan TTL:n verran etukäteen MX:n, SPF:n ja autodiscoverin TTL arvoon 300 tai 3600 sekuntia. Jos TTL on vuorokausi, tee tämä siis vähintään vuorokausi etukäteen; kaksi päivää on reilusti. Tee samalla varmuuskopio DNS-vyöhykkeestäsi, tai kirjoita kaikki nykyiset tietueet muistiin. Silloin voit aina palata entiseen.

Bakkerij De Korrel näkee:

example.com.            3600  IN  MX   0 example-com.mail.protection.outlook.com.
example.com.            3600  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
selector1._domainkey    3600  IN  CNAME selector1-example-com._domainkey.korrel.onmicrosoft.com.
selector2._domainkey    3600  IN  CNAME selector2-example-com._domainkey.korrel.onmicrosoft.com.
_dmarc.example.com.     3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
autodiscover            3600  IN  CNAME autodiscover.outlook.com.
example.com.            3600  IN  TXT  "MS=ms12345678"

TTL on jo 3600 (tunti). He asettavat MX:n ja SPF:n arvoon 300.

Vaihe 2, ennen vaihtoa: DKIM ja SPF valmiiksi uudelle palveluntarjoajalle

Tietueet, jotka eivät riko mitään, voit asettaa jo etukäteen:

• Uuden palveluntarjoajan DKIM. Uusi palveluntarjoaja antaa selectorin ja avaimen, esimerkiksi x._domainkey sekä TXT-tietueen v=DKIM1; k=rsa; p=.... Koska selector on eri nimellä kuin Microsoftin (selector1 ja selector2), ne voivat olla rauhassa rinnakkain. Jokainen vastaanottaja katsoo vain sitä selectoria, joka on viestin allekirjoituksessa.
• Laajenna SPF:ää, älä korvaa sitä. SPF-tietueita saa olla vain yksi. Lisää uusi palveluntarjoaja samaan tietueeseen, jotta molemmat saavat lähettää siirtymäpäivinä:

"v=spf1 include:spf.protection.outlook.com include:spf.mailaanbieder.example ~all"

Leipomolla oli -all. Siirtymän ajaksi he valitsevat tilapäisesti ~all-asetuksen (softfail): jos palvelin kuitenkin puuttuu, posti tulkitaan ennemmin epäilyttäväksi kuin hylätään. Tämä noudattaa nyrkkisääntöä: ~all jos et ole täysin varma, -all jos tiedät varmasti kaikkien lähettäjien olevan listalla.

Älä unohda muita lähettäjiä oppitunnin 4.1 listaltasi: verkkokauppaa, uutiskirjepalvelua, kirjanpitoa. Ne pysyvät SPF-tietueessa.

Vaihe 3, vaihtohetki: MX ja autodiscover

Sovittuna hetkenä, sen jälkeen kun postilaatikoiden ensimmäinen kopio on valmis (oppitunti 4.2):

1. Korvaa MX-tietueet uuden palveluntarjoajan tietueilla. Poista vanha MX; älä jätä sitä "varalle" korkeammalla prioriteetilla, sillä silloin postia alkaa tulla vanhalle palveluntarjoajalle heti kun uusi on hetken hidas.
2. Muokkaa autodiscoveria. Outlook etsii asetuksensa osoitteesta autodiscover.example.com. Jos se osoittaa yhä osoitteeseen autodiscover.outlook.com, Outlook yrittää yhä kirjautua Microsoftiin, vaikka lisäisit uuden tilin. Poista se tai ohjaa se sinne, minkä uusi palveluntarjoajasi ilmoittaa. Jotkin palveluntarjoajat käyttävät sen sijaan osoitetta autoconfig.example.com (Thunderbird) tai SRV-tietueita kuten _imaps._tcp ja _submission._tcp (RFC 6186).
3. Aja toinen kopio postilaatikoista, jotta viimeisten tuntien posti tulee mukaan.

Microsoft 365:ssä on yllätys, joka yllättää monet. Niin kauan kuin example.com on Microsoft 365 -ympäristössä merkitty hyväksytyksi verkkotunnukseksi, Microsoft toimittaa postin saman ympäristön käyttäjien välillä sisäisesti, katsomatta MX-tietuetta lainkaan. Jos kollega, joka työskentelee vielä Outlookissa Microsoftin puolella, lähettää postia toiselle kollegalle, se posti päätyy vanhaan postilaatikkoon. Siksi kaikki työntekijät vaihdetaan samana päivänä, ja verkkotunnus poistetaan Microsoft-ympäristöstä siirtymäajan jälkeen.

Vaihe 4, DMARC: mukana lukeminen siirtymän aikana

DMARC kertoo vastaanottajille, mitä tehdä jos viesti ei läpäise SPF:ää tai DKIM:ia, ja se lähettää sinulle raportteja. Leipomolla oli p=quarantine. Se on hyvä asia, mutta vaihdon aikana vaarallinen: jos DKIM ei vielä ole käytössä uudella palveluntarjoajalla, heidän oma postinsa päätyy asiakkailla roskapostiin.

Turvallinen tapa:

• Jos sinulla ei vielä ole DMARCia, aloita asetuksella p=none ja rua-osoitteella. Silloin postillesi ei tapahdu mitään, mutta saat raportteja.
• Jos sinulla on jo quarantine tai reject, tarkista ennen vaihtoa testiviestillä, että uuden palveluntarjoajan DKIM toimii (vastaanotetun viestin otsikkorivi näyttää dkim=pass arvolla d=example.com). Jos epäilet, aseta tilapäisesti p=none ja lue raportteja muutaman viikon ajan.
• Kiristä sen jälkeen asteittain: none, sitten quarantine, sitten mahdollisesti reject. Uuden DMARC-standardin mukaan (RFC 9989) voit testivaiheessa käyttää myös tagia t=y; vanha tagi pct poistuu käytöstä.

Vaihe 5, muutaman viikon jälkeen: siivous

Kun kaikki on toiminut hyvin muutaman viikon ajan, siivoat vanhat tietueet pois:

• vanhan include-merkinnän SPF:stä (ja mahdollisesti takaisin arvoon -all);
• vanhat DKIM-tietueet (selector1 ja selector2);
• vahvistustietueen MS=ms... ja mahdolliset muut Microsoftin tietueet, kuten enterpriseregistration ja lyncdiscover jos niitä oli;
• TTL:n takaisin tavalliseen arvoon, kuten 3600;
• verkkotunnuksen pois vanhasta Microsoft- tai Google-ympäristöstä.

Jos jätät vanhan include-merkinnän paikalleen, vanha palveluntarjoaja voi lähettää postia verkkotunnuksesi nimissä vielä vuosia. Se on auki jätetty ovi.

Käytännössä: näin se näyttää palveluntarjoajalla

Oma WebOkéssa on DNS-välilehdellä kortti Sähköposti-asetukset. Se näyttää MX:n, SPF:n ja DMARCin värillisellä pisteellä, ja oikeassa yläkulmassa minkä sähköpostipalveluntarjoajan se tunnistaa MX:n perusteella. Pika-asetuksella asetat yhdellä kertaa tietyn palveluntarjoajan tietueet, ja keltainen ilmoitus varoittaa, että olemassa olevat MX- ja SPF-tietueet korvataan. Tee siis ensin DNS-varmuuskopio ja tarkista sen jälkeen, että SPF-tietue sisältää yhä muut lähettäjäsi. Hostingpaketin tuotesivulla on kortti Set E-mail, joka näyttää jokaisen tietueen kohdalla onko se Oikein, Huomio, Virheellinen vai Ei löytynyt, sekä arvon kopiointipainikkeen kanssa. Jos DNS on toisen tahon hallinnassa, siirrä nuo arvot sinne. Muilla palveluntarjoajilla ja DNS-hallintapaneeleilla on vastaavat näkymät; tietueet itsessään ovat kaikkialla samat.

Yhteenveto

• Laske TTL vähintään vanhan TTL:n verran etukäteen ja tee varmuuskopio DNS-vyöhykkeestäsi.
• Aseta uuden palveluntarjoajan DKIM ja laajennettu SPF-tietue (yksi tietue, molemmat palveluntarjoajat) valmiiksi jo ennen vaihtoa.
• Vaihda MX ja autodiscover samanaikaisesti, ja vaihda kaikki työntekijät samana päivänä; muuten Microsoft toimittaa sisäisen postin yhä vanhoihin postilaatikoihin.
• Älä aseta DMARCia siirtymän aikana tiukemmaksi kuin mistä olet varma; aloita ilman DMARCia asetuksella p=none ja raporteilla.
• Siivoa muutaman viikon jälkeen vanha include, DKIM-tietueet, vahvistustietueet ja verkkotunnus vanhasta ympäristöstä.

Tietovisa

Tehtävä

Tehtävä A4.3: Sähköpostitietueesi kootusti. Täytä verkkotunnuksesi ja (uuden) palveluntarjoajasi DKIM-selector. Ohjelma tarkistaa, osoittaako MX palveluntarjoajaasi, onko SPF-tietueita täsmälleen yksi, löytyykö DKIM-avain kyseiseltä selectorilta ja onko DMARC-tietueita täsmälleen yksi. Se mittaa myös MX:n TTL:n auktoritatiiviselta nimipalvelimelta: suunniteltua vaihtoa varten sen tulee olla 3600 tai alempi.

Tehtävä E4.3: Oma siirtymäsuunnitelmasi. Kirjoita omalle verkkotunnuksellesi tämän oppitunnin mukainen käsikirjoitus: jokaiselle vaiheelle päivämäärä ja kellonaika, tietueet ennen ja jälkeen (vanha ja uusi SPF yhdellä rivillä), kuka tekee sen, ja mitä tarkistat jokaisen vaiheen jälkeen.

Lue lisää

Näiden artikkelien vaiheet koskevat WebOkén palveluita; muilla palveluntarjoajilla toiminta on vastaavaa.

• WebOké-käyttöopas 6.7: Sähköpostiasetukset-kortti (MX, SPF, DKIM, DMARC)
• WebOké-käyttöopas 5.6: Sähköpostin nopea käyttöönotto DNS:ssä
• WebOké-käyttöopas 5.7: DNS:n palauttaminen ja DNS-varmuuskopion tekeminen
• DirectAdmin-ohje 10.4: Muuton jälkeen: MX-tietueet ja laitteesi
• Ilmainen DNS-kurssi 4.3: SPF: kuka saa lähettää sähköpostia verkkotunnuksesi puolesta?
• Ilmainen DNS-kurssi 4.4: DKIM: allekirjoitus sähköpostisi alla
• Ilmainen DNS-kurssi 4.5: DMARC: mitä vastaanottajien pitäisi tehdä huijausviesteille
• Ilmainen DNS-kurssi 6.3: DNS siirron yhteydessä
• RFC 7208 (SPF), RFC 6376 (DKIM), RFC 9989 (DMARC), RFC 6186 (SRV-tietueet sähköpostiohjelmille)