Online DNS nástroje

Modul 8: Bezpečnost a řešení problémů · Doba čtení: 7 min

Cíl lekce: Po této lekci dokážete pro každou otázku týkající se Vašeho DNS vybrat správný online nástroj a budete vědět, jak číst výsledek.

Klíčové pojmy: online dig, DNS checker podle zemí, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, kontrola e-mailu, zdraví domény

Proč online nástroje?

Online nástroj klade dotaz z jiného místa než z Vašeho počítače. To má dvě výhody. Nejste omezeni cache svého počítače nebo routeru a vidíte, co vidí zbytek internetu. Mnoho nástrojů navíc kombinuje desítky kontrol v jediném kliknutí, zatímco s dig musíte každý dotaz klást zvlášť.

Neexistuje jeden nástroj, který by dělal všechno nejlépe. Vybírejte podle své otázky.

Který nástroj pro kterou otázku?

Nástroje WebOké jsou zde uvedeny jako příklad kontroly "vše v jednom"; ostatní hostingové společnosti a registrátoři mají podobné nástroje. V případě pochybností použijte dva nástroje vedle sebe: pokud dva nezávislé nástroje říkají totéž, je to téměř jistě správně.

Použití online dig

Online dig dělá přesně to, co jste se naučili v lekci 8.2. Zadáte název (například _dmarc.example.com), vyberete typ (TXT) a dostanete syrový výstup. Google toolbox navíc zobrazí stav (NOERROR, NXDOMAIN, SERVFAIL) a TTL. Tento nástroj použijte, pokud chcete vědět, co je doslova nastaveno, například abyste zkontrolovali, že se Váš SPF záznam vyskytuje přesně jednou.

Čtení DNS checkeru podle zemí

Po změně uvidíte v checkeru, jako je dnschecker.org, často smíšený obraz: v některých zemích novou adresu se zeleným zaškrtnutím, v jiných stále starou. To není chyba. Každý resolver si záznam vyzvedl v jiný okamžik a odpočítává vlastní TTL (lekce 6.2).

Na co si dát pozor:

• Vidíte všude starou odpověď, i dlouho po uplynutí TTL? Pak změna pravděpodobně není nastavena na jmenném serveru, který svět skutečně používá. Zkontrolujte, jaké jmenné servery Vaše doména má (lekce 2.1).
• U některých resolverů nevidíte nic (křížek)? Může jít o SERVFAIL, často způsobený DNSSEC. V takovém případě zkontrolujte pomocí DNSViz.

internet.nl

internet.nl je nezávislý test nizozemské platformy pro internetové standardy (mimo jiné SIDN, NLnet Labs a vláda). Existují tři testy: web, e-mail a Vaše vlastní připojení. Výsledkem je procento s vysvětlením jednotlivých částí a sekcí "Jak zlepšit".

Výsledek čtěte s rozmyslem: ne každá červená část znamená poruchu. Chybí-li například DANE nebo IPv6, Váš e-mail nebo web stále funguje, jen nesplňuje nejnovější standard. Červená u "DNSSEC platný" nebo "SPF" je naopak důležitá.

DNSViz

DNSViz kreslí řetězec důvěry z lekce 8.1: bloky pro kořen, TLD a Vaši doménu, se šipkami pro DS a DNSKEY. Modrá znamená zabezpečeno, černá znamená nepodepsáno (žádná chyba) a červená znamená poruchu; jak obrázek číst, je popsáno v lekci 8.1. Červené čáry nebo červené bloky přesně ukazují, kde se řetězec přerušuje, například "DS nemá odpovídající DNSKEY". Tento nástroj vezměte na pomoc, pokud dostáváte SERVFAIL a dig +cd přitom odpověď dává.

Zonemaster

Zonemaster (vytvořený mimo jiné registry pro .se a .fr) kontroluje Vaši zónu stejně, jako to dělá registry: existují alespoň dva jmenné servery, dávají všechny stejnou odpověď, souhlasí sériové číslo SOA všude, jsou jmenné servery dostupné přes IPv4 i IPv6. Užitečné před změnou jmenných serverů u registru, který přísně kontroluje. Můžete testovat i jmenné servery, které ještě nejsou k doméně připojeny ("undelegated test").

Mailové nástroje

Kontrola e-mailu se dívá na stránku DNS: existuje MX, existuje přesně jeden SPF záznam, vejde se do deseti vyhledávání, existuje DMARC záznam. Nedokáže poznat, zda funguje DKIM, protože k tomu potřebuje znát selektor. To otestujete skutečným e-mailem: pošlete ho na mail-tester.com nebo na Gmailovou adresu a u "Zobrazit originál" zkontrolujte, zda SPF, DKIM a DMARC mají stav PASS.

V praxi: jak to vypadá v panelu

Mnoho panelů má vlastní kontrolu. V Můj WebOké najdete na stránce domény kartu Doména / E-mail Stav, se zelenými, oranžovými a červenými tečkami a někdy i tlačítkem pro opravu. U Cloudflare vidíte upozornění v horní části přehledu DNS, u Google Workspace a Microsoft 365 kontrolní stránku ve správcovském centru. Takové kontroly znají Vaši situaci nejlépe; nezávislý nástroj ukazuje, co vidí vnější svět. Používejte je společně.

Shrnutí

• Online nástroje kladou dotazy z jiného místa a nejsou omezeny Vaší cache.
• Online dig: co je doslova nastaveno. DNS checker podle zemí: zda to svět už vidí. DNSViz: zda je řetězec DNSSEC v pořádku. Zonemaster: zda je zóna technicky v pořádku. internet.nl: zda je nastavení moderní a bezpečné.
• Kontrola e-mailu testuje záznamy; skutečný testovací e-mail testuje, zda SPF, DKIM a DMARC projdou.
• Máte-li pochybnosti, použijte dva nástroje vedle sebe.

Kvíz

Úkol

Úkol Z8.3: Online nástroje. Otestujte internet.nl pomocí webového a e-mailového testu přímo na internet.nl. U e-mailového testu si poznamenejte, zda je DNSSEC pro mailové servery (MX) platný, a v DNSViz vyhledejte, jaké číslo algoritmu používají DS záznamy domény internet.nl. Poté pomocí online dig zkontrolujte, jaké zásady (p=) má záznam DMARC domény internet.nl. Vyplňte odpovědi.

Doplňující zdroje

Tyto články popisují kontroly WebOké; nezávislé nástroje fungují pro jakoukoliv doménu.

• Příručka WebOké 5.17: Zdraví domény a e-mailu: kontrola a náprava
• Web nebo e-mail nefunguje po přesunu nebo změně DNS: zkontrolujte svou doménu
• Bezplatný nástroj Zdraví domény: https://www.weboke.cz/zdravi-domeny
• Bezplatná E-mailová kontrola: https://www.weboke.cz/kontrola-e-mailu