3. modulis · 3.3

Aliasi, pāradresācija un catch-all: ērti, bet ar riskiem

3. modulis: Pastkastes pārvaldība · Lasīšanas laiks: 11 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet izvēlēties starp mailbox, aliasu, pāradresāciju un catch-all, un izskaidrot, kāpēc pāradresācija uz ārēju adresi un catch-all var kaitēt Jūsu pasta nogādei.

Pamatjēdzieni: mailbox, alias, forwarder (pāradresācija), iekšējā un ārējā pāradresācija, SPF salūst pāradresācijas gadījumā, SRS (Sender Rewriting Scheme), DKIM pāradresācijas gadījumā, ARC (RFC 8617), catch-all, vārdnīcas uzbrukums (dictionary attack), backscatter, sūtīšana cita adreses vārdā

Četri veidi, kā adresi likt strādāt

Ja vēlaties, lai offerte@example.com darbotos, Jums ir četras izvēles:

Izvēle	Kas tas ir	Kad noderīgi
Mailbox	Sava glabāšanas vieta ar savu paroli. Jūs varat tajā ielogoties.	Kādam pašam jāstrādā ar to, vai pasts jāglabā atsevišķi.
Alias	Otrs nosaukums esošai mailbox. Pasts uz `offerte@` nonāk `info@` mailbox.	Viena persona ar vairākām adresēm.
Forwarder (pāradresācija)	Pasts uz adresi tiek pāradresēts uz vienu vai vairākām citām adresēm. Nekas netiek saglabāts.	Adrese, kurai jānonāk pie vairākiem kolēģiem; veca adrese, kurai jāturpina darboties.
Catch-all	Viss pasts uz adresēm, kas neeksistē, nonāk vienā adresē.	Gandrīz nekad (skatiet zemāk).

Dažos paneļos alias tehniski ir tas pats, kas pāradresācija uz adresi tajā pašā serverī. Būtiskā atšķirība ir šāda: vai pasts paliek tajā pašā serverī, vai dodas uz ārpusi?

Pāradresācija Jūsu paša domēna ietvaros: nav problēmu

Ja pāradresējat offerte@example.com uz info@example.com un abas atrodas uz viena servera, serveris vienkārši piegādā pastu info@ mailbox. Nekas nenotiek caur internetu, nekas netiek atkārtoti pārbaudīts. Tas ir droši un uzticami.

Pāradresācija uz ārpusi: kur rodas problēmas

Citādi ir, ja pāradresējat uz adresi pie cita pakalpojumu sniedzēja, piemēram, privātu adresi Gmail vai Outlook.com. Tad Jūsu serveris nosūta pastu atkārtoti, tagad uz Gmail. Un Gmail pārbauda pastu tā, it kā tas nāktu no Jūsu servera.

Pieņemsim: klant@example.net nosūta pastu uz info@example.com. Jūsu serveris pāradresē to uz Gmail. Ko redz Gmail?

Sūtītājs (From): klant@example.net.
Envelope sūtītājs (envelope sender): joprojām klant@example.net, ja vien Jūsu serveris to nepārraksta.
Sūtošais serveris: Jūsu serveris, piemēram, 192.0.2.25.

Gmail pārbauda domēna example.net SPF ierakstu. Tajā Jūsu serveris, protams, nav minēts. SPF neizdodas. Ja domēnam example.net ir DMARC politika p=reject un pastam nav derīga DKIM paraksta, Gmail pastu noraida. Jūsu serveris saņem atpakaļ kļūdas paziņojumu (bounce), un tas dodas uz... sākotnējo sūtītāju, kurš tagad saņem kļūdas paziņojumu no Jūsu servera.

Ir trīs mehānismi, kas to mīkstina:

1. DKIM parasti saglabājas

DKIM paraksts (nodarbība 4.3) atrodas pašā pastā. Ja Jūsu serveris pāradresē pastu nemainītā veidā, domēna example.net paraksts joprojām ir pareizs. Tad DMARC iziet cauri, pamatojoties uz DKIM, pat ja SPF neizdodas. Tāpēc DKIM ir tik svarīgs: tas ir vienīgais, kas pārdzīvo pāradresāciju.

Bet tas neizdodas, ja pāradresējošais serveris pastu maina: pievieno tekstu apakšā ("pāradresēts no..."), maina tēmu ([SPAM] priekšā) vai pārveido formatējumu. Tad paraksts vairs nav pareizs.

2. SRS pārraksta envelope sūtītāju

Izmantojot SRS (Sender Rewriting Scheme), pāradresējošais serveris maina envelope sūtītāju uz adresi savā paša domēnā, piemēram:

SRS0=HHH=TT=example.net=klant@example.com

Tagad Gmail pārbauda domēna example.com SPF ierakstu, un tur Jūsu serveris ir minēts. SPF iziet cauri. Ja rodas bounce, Jūsu serveris var adresi pārtulkot atpakaļ un nosūtīt bounce īstajam sūtītājam.

Ņemiet vērā: SRS atrisina SPF, bet neatrisina DMARC. Salāgošana (alignment, nodarbība 4.4) salīdzina envelope sūtītāja domēnu ar From adresi. Tagad tas ir example.com pretim example.net: nav salāgots. Tātad DMARC joprojām ir jāiziet cauri, pamatojoties uz DKIM.

3. ARC: starpnieka apliecinājums

ARC (Authenticated Received Chain, RFC 8617, eksperimentāls) ļauj starpniekam fiksēt, ko viņš redzēja: "kad šis pasts nonāca pie manis, SPF, DKIM un DMARC bija veiksmīgi". Pāradresējošais serveris paraksta šo apliecinājumu. Galasaņēmējs var izlemt uzticēties šim apliecinājumam, ja viņš uzticas starpniekam. Lieli saņēmēji, piemēram, Gmail un Microsoft, izmanto ARC, bet uz to nevar paļauties: tā ir piekāpšanās, nevis garantija.

Un spams?

Ir vēl viena problēma, un tā bieži ir vislielākā. Jūsu spama filtrs netur atpakaļ visu. Visu spamu, kas tiek izlaists cauri, Jūsu serveris tagad pāradresē uz Gmail. Gmail skatījumā izskatās, ka Jūsu serveris sūta spamu. Tas kaitē Jūsu servera reputācijai (koplietošanas hostingā: visu uz šī servera esošo klientu reputācijai). Pēc tam Gmail arī Jūsu īsto pastu biežāk novirza uz spamu.

Kas ir labāk?

Vai vēlaties lasīt savu darījumu pastu Gmail vai Outlook lietotnē? Tad pievienojiet mailbox kā IMAP kontu (modulis 2). Lietotne pastu izgūst tieši no Jūsu servera. Nekas netiek pāradresēts, nekas neizdodas, un neviens spams netiek nosūtīts uz ārpusi. Ja tomēr jāpāradresē, iestatiet stingru spama filtru pirms pāradresācijas.

Catch-all: kāpēc gandrīz nekad

Catch-all uztver visu pastu uz adresēm, kas neeksistē. Drukas kļūda, piemēram, inof@example.com, tādā gadījumā tomēr tiek saņemta. Tas izklausās ērti, taču:

Spams. Spamotāji masveidā sūta pastu uz izdomātām adresēm uz esošiem domēniem (a.jansen@, sales2@, xkq7@). To sauc par vārdnīcas uzbrukumu (dictionary attack). Bez catch-all Jūsu serveris to visu uzreiz noraida. Ar catch-all viss nonāk iekšā, bieži simtiem ziņojumu dienā.
Vairs nav kļūdas paziņojuma. Tas, kurš kļūdās adresē, nesaņem bounce un domā, ka pasts ir nonācis mērķī. Bez catch-all viņš uzreiz zina, ka adrese ir nepareiza.
Pāradresācija to pasliktina. Catch-all, kas pāradresē uz Gmail, nosūta visu šo spamu uz Gmail.
Backscatter. Serveris, kas vispirms pieņem visu un tikai vēlāk atklāj, ka adrese neeksistē, nosūta bounce uz (viltotu) sūtītāju. To sauc par backscatter: kļūdas paziņojumi nevainīgiem cilvēkiem, un iemesls nonākt bloķēšanas sarakstā.

Vēlaties uztvert dažas papildu adreses, piemēram, biežu drukas kļūdu vai veco adresi? Izveidojiet tam atsevišķus aliasus vai forwarders. Izmantojat katrai vietnei vai interneta veikalam savu adresi (webshop-x@), lai redzētu, kas pārdod Jūsu adresi tālāk? Izveidojiet šo adresi kā aliasu tieši tad, kad to sākat izmantot.

Sūtīšana no aliasa

Alias var būt arī sūtītājs. Piemēram, vēlaties atbildēt kā offerte@example.com, būdams ielogojies kā info@. Tas ir iespējams, taču:

Daudzi pasta serveri mūsdienās pārbauda, kurš sūtītāja adrese pieder kuram login. Tad Jūs varat sūtīt tikai no savas paša adreses un aliasiem vai forwarders, kas norāda uz Jūsu mailbox. Jebkura cita, nejauši izvēlēta adrese tiek noraidīta ("account can not send emails from ..."). Tas aizsargā pret ļaunprātīgu izmantošanu.
Savā pasta programmā pievienojat aliasu kā papildu identitāti (Thunderbird: Pārvaldīt identitātes (Manage Identities); Apple Mail: papildu adreses pie konta, atdalītas ar komatiem; Outlook: parādiet lauku No (From) un ierakstiet adresi).
SPF, DKIM un DMARC darbojas tāpat kā parasti, ja vien alias atrodas tajā pašā domēnā un sūtāt caur savu paša serveri.

Praksē: kā tas izskatās panelī

DirectAdmin Jūs izveidojat pāradresācijas sadaļā E-mail Manager, Forwarders. Catch-all atrodas sadaļā Advanced Features, Catch-All E-mail; tur "catch-all izslēgt" ir ieteicamais iestatījums (pasts uz neesošām adresēm tiek noraidīts). Ja Jums ir tikai domēna nosaukums bez pakotnes, pāradresācijas atrodas Mans WebOké sadaļā Mani domēni, Doorsturingen. Citos paneļos (cPanel, Plesk, Microsoft 365, Google Workspace) ir līdzīgas sadaļas, dažkārt ar nosaukumiem "aliasi", "pāradresācija" vai "grupas".

Kopsavilkums

Alias vai pāradresācija tajā pašā serverī ir droša.
Pāradresācija uz ārpusi salauž SPF. SRS atjauno SPF, bet ne DMARC salāgošanu; tikai neskarts DKIM paraksts glābj pastu, un ARC var palīdzēt.
Pāradresēts spams kaitē Jūsu servera reputācijai. Labāk lasiet ārēju pastu caur IMAP lietotnē.
Catch-all piesaista spamu, slēpj drukas kļūdas un var izraisīt backscatter. Izmantojiet atsevišķus aliasus.
Sūtīšana no aliasa ir iespējama, ievērojot Jūsu servera noteikumus.

Tests

Uzdevums

Uzdevums O3.3: Jūsu adrešu uzskaite. Izveidojiet sarakstu ar visām adresēm Jūsu domēnā: mailbox, aliasiem, pāradresācijām un to, vai ir ieslēgts catch-all. Pie katras pāradresācijas atzīmējiet, vai tā paliek Jūsu paša domēna ietvaros vai dodas uz ārpusi (Gmail, Outlook.com, cits uzņēmums). Pēc tam atbildiet: kuru ārējo pāradresāciju varat aizstāt ar IMAP kontu lietotnē, un vai ir ieslēgts catch-all, kuru var izslēgt? Aizpildiet kontrolsarakstu.

Uzdevums O3.3: Jūsu adrešu inventarizācija

Šo uzdevumu veicat paši; neviens to nepārbauda. Atzīmējiet, ko esat izdarījuši, un atzīmējiet uzdevumu kā paveiktu.

Nav catch-all adreses, vai arī tās iemesls ir apzināti pierakstīts.
Katrai ārējai pāradresācijai ir pamatojums, vai tā ir aizstāta ar IMAP lietotnē.
Mēstuļu filtrs ir ieslēgts pirms katras ārējās pāradresācijas.
Adreses, no kurām sūtu vēstules (aliasi), manā programmā ir iestatītas kā identitātes.

Kādas adreses Jums ir (pastkaste, pseidonīms, pāradresācija, catch-all) un uz kurieni tās ved?

Kuru ārējo pāradresāciju Jūs aizstājat ar IMAP kontu lietotnē? Vai ir ieslēgts catch-all, un vai to var izslēgt?

Jūsu atzīmes un piezīmes paliek tikai šajā pārlūkprogrammā; mēs tās nekur nesūtām. Ja esat pieteikušies, sadaļā Mani kursi saglabājam tikai to, ka uzdevums ir paveikts.

Papildu lasāmviela

Soļi šajos rakstos attiecas uz WebOké paneļiem; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.

Sīkdatnes WebOké vietnē

Sīkdatņu iestatījumi

Nepieciešamās

Mārketings