Kontrolsaraksts Jūsu pašu domēnam

Modulis 8: Drošība un problēmu risināšana · Lasīšanas laiks: 10 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet pārbaudīt savu domēnu no augšas uz leju, izmantojot fiksētu kontrolsarakstu, un zināsiet, ar kuru punktu sākt, ja vietne vai e-pasts nedarbojas.

Pamatjēdzieni: reģistrācija, vārdu serveri, A/AAAA, www, sertifikāts, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, dublējums

Kāpēc no augšas uz leju?

DNS ir ķēde: bez reģistrācijas nav vārdu serveru, bez strādājošiem vārdu serveriem nav ierakstu, bez A ieraksta nav vietnes. Kļūda augšpusē izraisa visdažādākās sūdzības lejasdaļā. Tāpēc sarakstu vienmēr ejiet cauri šajā secībā un apstājaties pie pirmā punkta, kas nav kārtībā. Vispirms atrisiniet to, un tad sāciet no jauna no augšas.

Sarakstā ir minēts example.com: aizstājiet to ar savu domēnu. Pie katra punkta ir norādīta dig komanda; var izmantot arī tiešsaistes dig rīku (4. nodarbība 8.3). Domēna veselības pārbaude, piemēram, Jūsu hostinga pakalpojumu sniedzēja vai bezmaksas Domēna veselība, lielu daļu šī saraksta veic vienā piegājienā, bet ir labi zināt, kas slēpjas aiz tā.

A daļa: pamats

1. Vai domēns ir reģistrēts un aktīvs?

• Kā: whois vai RDAP meklēšana (piemēram, reģistra vietnē, piemēram, nic.lv attiecībā uz .lv), vai whois example.com.
• Labi: statuss aktīvs ("active"), nevis "karantīnā", nevis beidzies. Domēna turētājs ir pareizs.

2. Kādi vārdu serveri ir domēnam, un vai to ir vismaz divi?

• Kā: dig +short NS example.com, un, lai redzētu, ko nodod reģistrs, dig +trace example.com.
• Labi: vismaz divi vārdu serveri, no pakalpojumu sniedzēja, kurā Jūs pārvaldāt savu DNS.

3. Vai visi vārdu serveri atbild, un vai tie dod vienādu atbildi?

• Kā: dig +short SOA example.com @<vārdu serveris> katram vārdu serverim.
• Labi: katrs vārdu serveris atbild (nav noildzes, nav REFUSED), un sērijas numurs (SOA trešais lauks) visur ir vienāds. Vārdu serveri, kas Jūsu domēnam neatbild, sauc par lame.

4. Vai DNSSEC ir kārtībā (ja tas ir ieslēgts)?

• Kā: dig +short DS example.com un dig example.com A @1.1.1.1 (pievērsiet uzmanību statusam un karodziņam ad); šaubu gadījumā izmantojiet DNSViz.
• Labi: vai nu nav DS ieraksta (DNSSEC izslēgts, tas darbojas vienkārši), vai arī ir DS ieraksts ar statusu NOERROR un karodziņu ad. Slikti: SERVFAIL.

B daļa: vietne

5. Vai domēna nosaukums norāda uz pareizo serveri?

• Kā: dig +short A example.com un dig +short AAAA example.com.
• Labi: IPv4 adrese (un, ja tāda ir, IPv6 adrese) no servera, kurā atrodas Jūsu vietne. Nav vecā AAAA no iepriekšējā servera.

6. Vai www darbojas?

• Kā: dig +short A www.example.com (vai CNAME).
• Labi: A ieraksts, AAAA ieraksts vai CNAME, kas noved pie tās pašas vietnes. Ja www trūkst, tad cilvēki, kas ieraksta www, saņem kļūdas paziņojumu.

7. Vai vietnei ir derīgs sertifikāts abiem nosaukumiem?

• Kā: atveriet https://example.com un https://www.example.com un noklikšķiniet uz slēdzenītes, vai izmantojiet internet.nl vietnes testu.
• Labi: nav brīdinājuma, sertifikāts ir derīgs vēl vismaz pāris nedēļas un attiecas uz abiem nosaukumiem.

8. Vai Jūsu sertifikātu izdevējam ir atļauts izveidot sertifikātus (CAA)?

• Kā: dig +short CAA example.com.
• Labi: nav CAA ieraksta (ikvienam ir atļauts), vai ir CAA ieraksts ar issue pakalpojumu sniedzējam, kas izdod Jūsu sertifikātu. Slikti: CAA, kas nenosauc Jūsu izdevēju.

C daļa: e-pasts

9. Kur nonāk Jūsu e-pasts?

• Kā: dig +short MX example.com, un pēc tam dig +short A <pasta serveris> pirmajam nosaukumam.
• Labi: Jūsu pašreizējā e-pasta pakalpojumu sniedzēja MX ieraksti, un nav palikuši vecā pakalpojumu sniedzēja MX ieraksti. Katram pasta servera nosaukumam ir A vai AAAA ieraksts. Ja neizmantojat domēnu e-pastam, nulles MX (0 .) var skaidri parādīt, ka e-pasts nenonāk.

10. Vai ir tieši viens pareizs SPF ieraksts?

• Kā: dig +short TXT example.com un apskatiet rindas, kas sākas ar v=spf1; e-pasta pārbaude saskaita meklēšanas reizes.
• Labi: tieši viens SPF ieraksts, ar visiem pakalpojumiem, kas sūta e-pastu Jūsu domēna vārdā, kas beidzas ar ~all vai -all (nekad +all), un ne vairāk kā desmit DNS meklēšanas.

11. Vai DKIM ir iestatīts katram pakalpojumam, kas sūta e-pastu?

• Kā: dig +short TXT <selektors>._domainkey.example.com (vai CNAME) katram selektoram, ko zināt, piemēram, Jūsu e-pasta pakalpojumu sniedzēja un jaunumu vēstkopas pakalpojuma selektoram. Selektoru atradīsiet pakalpojuma instrukcijās vai nosūtītas vēstules galvenē DKIM-Signature: ... s=<selektors>.
• Labi: katrs ieraksts dod atslēgu (v=DKIM1; ... p=...) vai CNAME uz pakalpojumu, un testa vēstule rāda DKIM PASS.

12. Vai ir DMARC ieraksts?

• Kā: dig +short TXT _dmarc.example.com.
• Labi: tieši viens ieraksts, kas sākas ar v=DMARC1 un kam ir derīga politika (p=none, p=quarantine vai p=reject). Sākts ar p=none? Tad plānojiet to pastiprināt.

13. Vai īsta vēstule nonāk sekmīgi?

• Kā: nosūtiet vēstuli uz mail-tester.com vai uz Gmail adresi un apskatiet "Rādīt oriģinālu".
• Labi: SPF, DKIM un DMARC rāda PASS.

D daļa: uzturēšana

14. Vai TTL vērtības ir saprātīgas?

• Kā: dig example.com A @<Jūsu vārdu serveris> un apskatiet TTL.
• Labi: parasti 3600 līdz 86400 (stunda līdz diennakts). Tikai plānotas izmaiņas laikā īslaicīgi 300. Ja aizmirstat atgriezt to atpakaļ pēc pārsūtīšanas, tas nav traģiski, bet rada nevajadzīgi daudz trafika.

15. Vai Jums ir savas zonas dublējums?

• Kā: Jūsu DNS paneļa dublēšanas vai eksporta poga, vai dig katram ierakstam atsevišķi, ja tādas nav.
• Labi: nesena visu ierakstu kopija, glabāta ārpus paneļa.

16. Vai nav aizmirstu ierakstu?

• Kā: pārskatiet visus ierakstus savā panelī.
• Labi: nav verifikācijas ierakstu vai apakšdomēnu no pakalpojumiem, ko vairs neizmantojat. CNAME uz atceltu pakalpojumu kāds cits var "pārņemt" (subdomain takeover): dzēsiet to.

Ar ko sākt pie sūdzības?

Praksē: šādi tas izskatās panelī

Domēna veselības pārbaude automātiski veic lielu daļu šī saraksta. Mans WebOké domēna lapā to atrodat kā karti Domain / Email veselība, ar zaļu, oranžu un sarkanu krāsu katram punktam; publiskā versija strādā ar jebkuru domēnu. Citiem hostinga pakalpojumu sniedzējiem, reģistratoriem un DNS pakalpojumu sniedzējiem ir līdzīgas pārbaudes, un internet.nl neatkarīgi pārbauda lielu daļu no B un C daļas. Izmantojiet šādu pārbaudi kā sākumpunktu un šo sarakstu, lai saprastu, kas tieši ir atzīmēts sarkanā krāsā.

Kopsavilkums

• Ejiet sarakstam cauri no augšas uz leju un apstājieties pie pirmā punkta, kas nav kārtībā.
• Pamats: reģistrācija, vārdu serveri, vienādas atbildes, DNSSEC.
• Vietne: A/AAAA, www, sertifikāts, CAA.
• E-pasts: MX ar adresi, viens SPF, DKIM katram pakalpojumam, viens DMARC, testa vēstule.
• Uzturēšana: TTL, dublējums, sakārtošana.

Tests

Uzdevums

Uzdevums Z8.5: Noslēguma uzdevums: Jūsu pašu domēns. Pārbaudiet savu domēnu, izmantojot šo kontrolsarakstu. Ievadiet savu domēna nosaukumu kursa vidē un atbildiet pie katra A, B un C daļas punkta, ko esat atradis (piemēram, savus vārdu serverus, savu MX, savu SPF ierakstu un savu DMARC politiku). Programma veic tās pašas pārbaudes un salīdzina rezultātus. Ja kaut kas Jūsu domēnā nav kārtībā, saņemsiet skaidrojumu ar norādi uz attiecīgo nodarbību. Ja Jums nav sava domēna, izmantojiet sidn.nl.

Lasiet tālāk

Šie raksti apraksta pārbaudes WebOké, kontrolsaraksts darbojas jebkuram domēnam.

• WebOké rokasgrāmata 5.17: Domēna un e-pasta veselība: pārbaude un novēršana
• Vietne vai e-pasts nedarbojas pēc pārvietošanas vai DNS izmaiņām: pārbaudiet savu domēnu
• WebOké rokasgrāmata 5.7: DNS atjaunošana un DNS rezerves kopijas izveide
• DNS rezerves kopijas izveide un atjaunošana
• Bezmaksas rīks Domēna veselība: https://www.weboke.lv/domena-veseliba
• Bezmaksas E-pasta pārbaude: https://www.weboke.lv/e-pasta-parbaude