Pāreja DNS ierakstos: MX, SPF, DKIM un DMARC

4. modulis: E-pasta pārcelšana · Lasīšanas laiks: 12 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet pareizā secībā plānot un veikt DNS pārslēgšanu e-pastam, lai neviena vēstule nepazustu, lai Jūsu izejošais pasts nenonāktu surogātpastā un lai Outlook slepeni neturpinātu mēģināt pieslēgties pie vecā pakalpojumu sniedzēja.

Pamatjēdzieni: TTL, MX nomaiņa, SPF (viens ieraksts), DKIM selektors, DMARC (p=none, rua), autodiscover, autoconfig, verifikācijas ieraksts, akceptēts domēns

Pieci ieraksti, viens brīdis

E-pastam uz Jūsu paša domēna DNS ir vairāki ieraksti, kas kopā nosaka, vai pasts tiek piegādāts un vai Jūsu pastam tiek uzticēts:

Pārcelšanas laikā mainās gandrīz viss no tā. Prasme slēpjas secībā. Ja mainīsiet MX, kamēr SPF un DKIM vēl attiecas tikai uz Microsoft, Jūsu pasts gan nonāks iekšā, taču Jūsu nosūtītais pasts nonāks surogātpastā. Ja vispirms mainīsiet SPF, Microsoft iepriekšējās dienās vairs nevarēs pareizi sūtīt Jūsu vārdā.

Šī nodarbība ir par secību. Par to, kā tieši katrs ieraksts darbojas, varat lasīt DNS kursā (nodarbības no 4.1 līdz 4.5).

1. solis, divas dienas iepriekš: TTL samazināšana un dublējums

Katram DNS ierakstam ir TTL (time to live): cik ilgi citi serveri drīkst atcerēties atbildi. Ja Jūsu MX TTL ir 86400 sekundes (viena diena), tad daži serveri pēc nomaiņas vēl līdz dienai var turpināt sūtīt uz veco serveri.

Tāpēc vismaz vienu veco TTL periodu iepriekš samaziniet MX, SPF un autodiscover TTL līdz 300 vai 3600 sekundēm. Ja TTL ir viena diena, to darāt vismaz dienu iepriekš; divas dienas ir pietiekami. Vienlaikus izveidojiet Jūsu DNS zonas dublējumu vai pierakstiet visus pašreizējos ierakstus. Tad vienmēr varēsiet atgriezties atpakaļ.

Bakkerij De Korrel redz šādi:

example.com.            3600  IN  MX   0 example-com.mail.protection.outlook.com.
example.com.            3600  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
selector1._domainkey    3600  IN  CNAME selector1-example-com._domainkey.korrel.onmicrosoft.com.
selector2._domainkey    3600  IN  CNAME selector2-example-com._domainkey.korrel.onmicrosoft.com.
_dmarc.example.com.     3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
autodiscover            3600  IN  CNAME autodiscover.outlook.com.
example.com.            3600  IN  TXT  "MS=ms12345678"

TTL jau ir 3600 (viena stunda). Viņi iestata MX un SPF uz 300.

2. solis, pirms nomaiņas: sagatavojiet DKIM un SPF jaunajam pakalpojumu sniedzējam

Ierakstus, kas neko nesabojā, varat pievienot jau iepriekš:

• Jaunā pakalpojumu sniedzēja DKIM. Jaunais pakalpojumu sniedzējs nodrošina selektoru un atslēgu, piemēram, x._domainkey ar TXT ierakstu v=DKIM1; k=rsa; p=.... Tā kā selektora nosaukums atšķiras no Microsoft selektora (selector1 un selector2), tie mierīgi pastāv blakus. Katrs saņēmējs skatās tikai uz selektoru, kas norādīts vēstules parakstā.
• SPF paplašināšana, nevis aizstāšana. Drīkst būt tikai viens SPF ieraksts. Pievienojiet jauno pakalpojumu sniedzēju tajā pašā ierakstā, lai pārejas dienās abi varētu sūtīt:

"v=spf1 include:spf.protection.outlook.com include:spf.mailaanbieder.example ~all"

Bakkerijai bija -all. Pārejas laikā viņi uz laiku izvēlas ~all (softfail): ja kāds serveris tomēr trūkst, vēstule drīzāk tiks uzskatīta par aizdomīgu, nevis noraidīta. Tas atbilst pamatprincipam: ~all, ja neesat pilnīgi pārliecināti, -all, ja esat pārliecināti, ka ieraksta ir iekļauti visi sūtītāji.

Neaizmirstiet citus sūtītājus no Jūsu saraksta no nodarbības 4.1: interneta veikalu, jaunumu vēstuļu pakalpojumu, grāmatvedību. Tie paliek SPF ierakstā.

3. solis, pārslēgšanas brīdis: MX un autodiscover

Norunātajā brīdī, pēc tam kad gatava pirmā pastkastu kopija (nodarbība 4.2):

1. Aizstājiet MX ierakstus ar jaunā pakalpojumu sniedzēja ierakstiem. Noņemiet veco MX; neatstājiet to kā "rezervi" ar augstāku prioritāti, jo tad pasts nonāks pie vecā pakalpojumu sniedzēja, tiklīdz jaunais uz brīdi palēninās.
2. Mainiet autodiscover. Outlook meklē savus iestatījumus, izmantojot autodiscover.example.com. Ja tas joprojām norāda uz autodiscover.outlook.com, Outlook turpinās mēģināt pieslēgties Microsoft, pat ja pievienojat jaunu kontu. Noņemiet to vai ļaujiet tam norādīt uz to, ko norāda Jūsu jaunais pakalpojumu sniedzējs. Daži pakalpojumu sniedzēji tā vietā izmanto autoconfig.example.com (Thunderbird) vai SRV ierakstus, piemēram, _imaps._tcp un _submission._tcp (RFC 6186).
3. Izveidojiet otru kopiju no pastkastēm, lai arī pēdējo stundu pasts tiktu pārnests.

Microsoft 365 pastāv pārsteigums, kas pārsteidz daudzus. Kamēr example.com Microsoft 365 vidē ir norādīts kā akceptēts domēns, Microsoft piegādā pastu starp vienas un tās pašas vides lietotājiem iekšēji, neskatoties uz MX. Ja kolēģis, kurš vēl strādā Outlook pie Microsoft, nosūta vēstuli citam kolēģim, tā nonāk vecajā pastkastē. Tāpēc visus darbiniekus pārceliet vienā un tajā pašā dienā, un pēc pārejas perioda izņemiet domēnu no Microsoft vides.

4. solis, DMARC: līdzi lasīšana pārejas laikā

DMARC saka saņēmējiem, ko darīt, ja vēstule neiztur SPF vai DKIM pārbaudi, un nosūta Jums pārskatus. Bakkerijai bija p=quarantine. Tas ir labi, bet pārejas laikā bīstami: ja DKIM jaunajam pakalpojumu sniedzējam vēl nav ieslēgts, viņu pašu pasts nonāks klientu surogātpastā.

Drošā pieeja:

• Ja vēl nav DMARC, sāciet ar p=none un rua adresi. Tad ar Jūsu pastu nekas nenotiek, taču Jūs saņemat pārskatus.
• Ja jau ir quarantine vai reject, pirms nomaiņas ar testa vēstuli pārbaudiet, vai jaunā pakalpojumu sniedzēja DKIM strādā (saņemtas vēstules galvenē redzams dkim=pass ar d=example.com). Ja šaubāties, uz laiku iestatiet p=none un dažas nedēļas lasiet pārskatus.
• Pēc tam pakāpeniski pastipriniet: none, tad quarantine, tad, iespējams, reject. Saskaņā ar jauno DMARC standartu (RFC 9989) testēšanas fāzē varat izmantot arī t=y; vecā atzīme pct vairs netiek izmantota.

5. solis, pēc dažām nedēļām: sakārtošana

Ja dažas nedēļas viss darbojas labi, sakārtojiet vecos ierakstus:

• veco include no SPF (un, iespējams, atpakaļ uz -all);
• vecos DKIM ierakstus (selector1 un selector2);
• verifikācijas ierakstu MS=ms... un citus iespējamos Microsoft ierakstus, piemēram, enterpriseregistration un lyncdiscover, ja tādi bija;
• TTL atpakaļ uz parasto vērtību, piemēram, 3600;
• domēnu no vecās Microsoft vai Google vides.

Ja atstāsiet veco include, vecais pakalpojumu sniedzējs vēl gadiem ilgi varēs sūtīt pastu Jūsu domēna vārdā. Tās ir plaši atvērtas durvis.

Praksē: šādi tas izskatās pie kāda pakalpojumu sniedzēja

Mans WebOké DNS cilnē ir kartīte E-pasta iestatījumi. Tā parāda MX, SPF un DMARC ar krāsainu punktu, un augšējā labajā stūrī, kuru pasta pakalpojumu sniedzēju tā atpazīst pēc Jūsu MX. Ar Ātri iestatīt vienā reizē iestatāt ierakstus kādam pakalpojumu sniedzējam, un dzeltenais brīdinājums informē, ka esošie MX un SPF ieraksti tiks aizstāti. Tāpēc vispirms izveidojiet DNS dublējumu un pēc tam pārbaudiet, vai SPF ierakstā vēl ir Jūsu pārējie sūtītāji. Hostinga pakotnes produkta lapā ir kartīte Set E-mail, kas katram ierakstam parāda, vai tas ir Correct, Let op, Onjuist vai Nav atrasts, un parāda vērtību ar kopēšanas pogu. Ja DNS atrodas pie cita pakalpojumu sniedzēja, pārņemiet šīs vērtības tur. Citiem pakalpojumu sniedzējiem un DNS panelēm ir līdzīgi pārskati; paši ieraksti visur ir vienādi.

Kopsavilkums

• Samaziniet TTL vismaz vienu veco TTL periodu iepriekš un izveidojiet DNS zonas dublējumu.
• Sagatavojiet jaunā pakalpojumu sniedzēja DKIM un paplašinātu SPF ierakstu (viens ieraksts, abi pakalpojumu sniedzēji) jau pirms nomaiņas.
• Mainiet MX un autodiscover vienlaikus, un pārceliet visus darbiniekus vienā un tajā pašā dienā; citādi Microsoft iekšējo pastu joprojām piegādās vecajās pastkastēs.
• Pārejas laikā nenosakiet DMARC stingrāku, kā esat pārliecināti; ja vēl nav DMARC, sāciet ar p=none un pārskatiem.
• Pēc dažām nedēļām sakārtojiet veco include, DKIM ierakstus, verifikācijas ierakstus un domēnu vecajā vidē.

Tests

Uzdevums

Uzdevums A4.3: Jūsu pasta ieraksti pārskatā. Ievadiet savu domēnu un Jūsu (jaunā) pakalpojumu sniedzēja DKIM selektoru. Programma pārbaudīs, vai MX norāda uz Jūsu pakalpojumu sniedzēju, vai ir tieši viens SPF ieraksts, vai DKIM atslēga ir pie šī selektora un vai ir tieši viens DMARC ieraksts. Tā arī izmērīs Jūsu MX TTL pie autoritatīvā vārdu servera: plānotai pārslēgšanai tam jābūt 3600 vai mazākam.

Uzdevums E4.3: Jūsu pārejas scenārijs. Uzrakstiet savam domēnam šīs nodarbības scenāriju: katram solim datumu un laiku, ierakstus pirms un pēc (vecais un jaunais SPF kā viena rinda), kurš to veic, un ko pārbaudāt pēc katra soļa.

Vairāk lasīt

Šajos rakstos aprakstītie soļi attiecas uz WebOké pakalpojumiem; citiem pakalpojumu sniedzējiem tas strādā līdzīgi.

• WebOké rokasgrāmata 6.7: Karte E-pasta iestatīšana (MX, SPF, DKIM, DMARC)
• WebOké rokasgrāmata 5.6: E-pasta ātra iestatīšana DNS
• WebOké rokasgrāmata 5.7: DNS atjaunošana un DNS rezerves kopijas izveide
• DirectAdmin rokasgrāmata 10.4: Pēc pārcelšanas: MX ieraksti un Jūsu ierīces
• Bezmaksas DNS kurss 4.3: SPF: kurš drīkst sūtīt e-pastu Jūsu domēna vārdā?
• Bezmaksas DNS kurss 4.4: DKIM: paraksts zem Jūsu e-pasta
• Bezmaksas DNS kurss 4.5: DMARC: ko saņēmējiem darīt ar viltus pastu
• Bezmaksas DNS kurss 6.3: DNS domēna pārsūtīšanas gadījumā
• RFC 7208 (SPF), RFC 6376 (DKIM), RFC 9989 (DMARC), RFC 6186 (SRV ieraksti pasta programmām)