Reverse DNS a Váš odesílací server

Modul 5: Reputace a velcí poskytovatelé · Doba čtení: 9 minut

Cíl lekce: Po této lekci dokážete vysvětlit, proč musí mít IP adresa serveru, který odesílá Vaši poštu, slušný reverse DNS, zjistit, který server to u Vás je, a zkontrolovat, zda sedí tam i zpět.

Klíčové pojmy: odesílací server, PTR záznam, forward-confirmed reverse DNS (FCrDNS), HELO/EHLO název, generický název, sdílený hosting, vlastní server (VPS), vlastník IP bloku

Který server vlastně odesílá Vaši poštu?

V modulu 4 šlo o Vaši doménu: SPF, DKIM a DMARC jsou uloženy v DNS domény example.com. V tomto modulu se podíváme na něco jiného: na server, který Vaši poštu doručuje příjemci. Ten server má IP adresu a příjemci hodnotí tuto adresu nezávisle na Vaší doméně.

Který server to je, závisí na tom, jak odesíláte poštu:

IP adresu odesílacího serveru najdete v hlavičkách e-mailu, který jste poslali sami sobě nebo na jinou adresu (lekce 1.5). Podívejte se na nejvyšší řádek Received:, který přidal přijímající server. Stojí tam něco jako:

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

Adresa v hranatých závorkách, 192.0.2.25, je IP adresa, ze které se odesílající server připojil. Název před ní (smtp.hosting.example) je název, který příjemce k této adrese našel pomocí reverse DNS.

Reverse DNS ve zkratce

Reverse DNS spojuje IP adresu zpětně s názvem pomocí PTR záznamu. Základy jste se naučili v kurzu DNS (lekce 4.6): záznam není uložen v zóně Vaší domény, ale v reverse zóně IP adresy, kterou spravuje subjekt spravující daný IP blok.

Pro e-mail jsou důležité tři věci:

1. PTR existuje. IP adresa bez reverse DNS vypadá jako náhodný stroj na internetu. Gmail takovou poštu odmítá s hlášením 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. Název ukazuje zpět na stejnou adresu. IP adresa 192.0.2.25 má PTR smtp.hosting.example a smtp.hosting.example má A záznam 192.0.2.25. Tomu se říká forward-confirmed reverse DNS (FCrDNS). Gmail, Yahoo a T-Online to výslovně uvádějí ve svých požadavcích.
3. Název vypadá jako mailový server. Název jako 192-0-2-25.dsl.provider.example nebo host25.dynamic.provider.example prozrazuje domácí nebo zákaznickou přípojku. Spamové filtry za to udělují záporné body, nebo spojení rovnou odmítnou.

Pro IPv6 platí úplně totéž. Pokud server odesílá přes IPv6, musí mít PTR i IPv6 adresa a musí ukazovat zpět pomocí AAAA záznamu. Server, který je v pořádku přes IPv4, ale ne přes IPv6, naráží na problémy hlavně u Gmailu: Google uvádí chybějící IPv6 PTR jako příčinu chyby „IPv6 authorization error".

Název HELO

Když se server připojuje, představí se pomocí EHLO (nebo staršího HELO) a názvem (lekce 1.2). RFC 5321 říká, že by to měl být plný název serveru. V praxi příjemci kontrolují, zda tento název:

• je skutečný, existující název (žádný localhost, žádné holé IP adresy, žádný název, který není v DNS);
• odpovídá reverse DNS, nebo alespoň patří do stejné domény.

U hostingového balíčku nebo e-mailové služby toto zařizuje správce. Pokud provozujete vlastní mailový server, nastavujete název HELO ve svém mailovém softwaru (v Postfixu se to jmenuje myhostname) a zajistíte, aby tento název, PTR a A záznam byly všechny shodné.

Sdílený hosting: PTR nemusí být Vaše doména

Častá otázka: „Neměl by reverse DNS být mail.example.com, protože to je moje doména?" Ne. U sdíleného hostingu a velkých e-mailových služeb odesílá poštu za stovky nebo tisíce domén jeden server. IP adresa může mít jen jeden PTR, a ten tedy obsahuje název samotného serveru, například server12.hosting.example.

To je v pořádku. Příjemci kontrolují, zda PTR existuje, ukazuje zpět a není generický. Nekontrolují, zda v něm je Váš vlastní název domény. Spojení mezi Vaší doménou a serverem vytváříte pomocí SPF (server je uveden ve Vašem SPF) a DKIM (server podepisuje jménem Vaší domény).

U WebOké je to vyřešeno například takto: servery hostingového balíčku mají reverse DNS s názvem samotného serveru, pod doménou webawere.nl, který opět ukazuje zpět. U jiných hostingových poskytovatelů a e-mailových služeb to funguje stejným způsobem, s jejich vlastními názvy serverů.

Vlastní server: co musíte zařídit Vy?

Pokud odesíláte poštu přímo z vlastního serveru, například z VPS s e-shopem nebo z vlastního mailového serveru, jste sami odesílatelem a musíte toho zařídit víc:

1. Zvolte název, například mail.example.com.
2. Vytvořte A záznam (a AAAA záznam) tohoto názvu směřující na IP adresu serveru, v DNS Vaší domény.
3. Požádejte o PTR u poskytovatele serveru. Obvykle je v zákaznickém panelu políčko „Reverse DNS" nebo „rDNS". Tam zadáte stejný název.
4. Nastavte název HELO Vašeho mailového softwaru na stejný název.
5. Zadejte IP adresu do SPF (ip4: a ip6:) a zapněte DKIM ve svém mailovém softwaru.
6. Zkontrolujte, zda je otevřený odchozí port 25. Mnoho poskytovatelů ho standardně zavírá, aby zabránili zneužití; v takovém případě musíte požádat o jeho otevření, nebo odesílat přes relay Vašeho poskytovatele nebo přes odesílací službu.

Mailový server na běžné domácí nebo kancelářské internetové přípojce je téměř vždy špatný nápad. Takové adresy bývají na seznamech „adres koncových uživatelů" (jako je Policy Block List od Spamhausu, lekce 5.2), PTR si většinou nemůžete zvolit sami a T-Online doslova předepisuje, že takové systémy musí odesílat přes relay vhodného poskytovatele.

Kontrola

Pomocí příkazového řádku (kurz DNS, lekce 8.2):

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Pokud se u druhého dotazu vrátí stejná adresa, FCrDNS je v pořádku. U IPv6 postupujete stejně pomocí dig -x 2001:db8::25 a dig AAAA.

Můžete se také podívat, jak to viděl příjemce. V hlavičkách zapisuje přijímající server název, který našel, do závorek za from. Pokud tam stojí unknown, žádný PTR nenašel. Některé servery k tomu připojují i vlastní kontrolu, například iprev=pass v řádku Authentication-Results: (RFC 8601).

Shrnutí

• Odesílací server je server, který doručuje Vaši poštu příjemci. Příjemci hodnotí jeho IP adresu nezávisle na Vaší doméně.
• Tato IP adresa potřebuje PTR, který ukazuje zpět na stejnou adresu (FCrDNS), pro IPv4 i IPv6, s názvem, který není generický.
• Název HELO by měl být existující název, který odpovídá PTR.
• U sdíleného hostingu a e-mailových služeb je v PTR název serveru, ne Vaše doména. To je v pořádku.
• U vlastního serveru si sami zařizujete název, A/AAAA, PTR (přes svého poskytovatele), HELO, SPF a DKIM.

Kvíz

Úkol

Úkol Z5.1: Odesílací server Vaší vlastní domény. Odešlete e-mail ze své vlastní adresy na jinou vlastní adresu (například adresu Gmail nebo Outlook.com) a otevřete hlavičky. Najděte IP adresu serveru, který poštu doručil, název PTR této adresy, a doplňte, zda tento název ukazuje zpět na stejnou adresu (ano/ne). Pokud nemáte vlastní doménu, použijte IP adresu mailového serveru mx00.t-online.de. Program si živě vyžádá PTR a A/AAAA záznam a porovná je.

Další čtení

Kroky v těchto článcích platí pro panely WebOké; u jiných poskytovatelů to funguje podobně.

• Odesílání e-mailů z Vašeho VPS a nastavení reverzního DNS
• Bezplatný kurz DNS 4.6: Reverse DNS (PTR): od čísla zpět k názvu
• Jak funguje odesílání e-mailů (SMTP)
• RFC 5321 (SMTP), odstavec 4.1.1.1 o názvu EHLO; RFC 8601 o hlavičce Authentication-Results