Контролен списък за Вашия собствен домейн

Модул 8: Сигурност и отстраняване на проблеми · Време за четене: 10 минути

Цел на урока: След този урок ще можете да проверите собствения си домейн отгоре надолу с фиксиран контролен списък и ще знаете от коя точка да започнете, ако уебсайтът или имейлът не работят.

Основни понятия: регистрация, DNS сървъри, A/AAAA, www, сертификат, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, резервно копие

Защо отгоре надолу?

DNS е верига: без регистрация няма DNS сървъри, без работещи DNS сървъри няма записи, без A запис няма уебсайт. Грешка в началото предизвиква всякакви оплаквания по-надолу. Затова винаги минавате през списъка в този ред и спирате на първата точка, която не е наред. Решете нея първо и след това започнете отново отначало.

В списъка е посочен example.com: заменете го със собствения си домейн. При всяка точка има dig команда; може да използвате и онлайн dig (урок 8.3). Проверка на здравето на домейна, каквато предлага Вашият хостинг доставчик или безплатната Здраве на домейна, извършва голяма част от този списък наведнъж, но е добре да знаете какво стои зад нея.

Част A: основата

1. Домейнът регистриран ли е и активен ли е?

• Как: търсене чрез whois или RDAP (например през сайта на регистъра, какъвто е register.bg за .bg), или whois example.com.
• Добре: статус активен (при .nl: „active“), не „в карантина“, не изтекъл. Притежателят на домейна е правилен.

2. Кои DNS сървъри има домейнът и дали са поне два?

• Как: dig +short NS example.com, а за това какво подава регистърът: dig +trace example.com.
• Добре: поне два DNS сървъра, от доставчика, при когото управлявате своя DNS.

3. Отговарят ли всички DNS сървъри и дават ли еднакъв отговор?

• Как: dig +short SOA example.com @<nameserver> за всеки DNS сървър.
• Добре: всеки DNS сървър отговаря (без изчакване на времето, без REFUSED) и серийният номер (трето поле на SOA записа) е еднакъв навсякъде. DNS сървър, който не отговаря за Вашия домейн, се нарича lame.

4. Правилен ли е DNSSEC (ако е включен)?

• Как: dig +short DS example.com и dig example.com A @1.1.1.1 (обърнете внимание на статуса и флага ad); при съмнение използвайте DNSViz.
• Добре: или няма DS запис (DNSSEC е изключен, това работи нормално), или има DS запис със статус NOERROR и флаг ad. Грешка: SERVFAIL.

Част Б: уебсайтът

5. Сочи ли домейнът към правилния сървър?

• Как: dig +short A example.com и dig +short AAAA example.com.
• Добре: IPv4 адресът (и, ако имате, IPv6 адресът) на сървъра, на който се намира Вашият уебсайт. Без стар AAAA запис от предишен сървър.

6. Работи ли www?

• Как: dig +short A www.example.com (или CNAME).
• Добре: A запис, AAAA запис или CNAME, който сочи към същия сайт. Ако липсва www, посетителите, които въведат www, получават съобщение за грешка.

7. Има ли сайтът валиден сертификат за двете имена?

• Как: отворете https://example.com и https://www.example.com и кликнете върху катинарчето, или използвайте теста за уебсайтове на internet.nl.
• Добре: без предупреждение, сертификатът е валиден поне още няколко седмици и важи за двете имена.

8. Има ли Вашият издател на сертификати право да издава сертификати (CAA)?

• Как: dig +short CAA example.com.
• Добре: няма CAA запис (всеки има право), или има CAA запис с issue за доставчика, който издава Вашия сертификат. Грешка: CAA запис, който не споменава Вашия издател.

Част В: имейлът

9. Къде пристига Вашата поща?

• Как: dig +short MX example.com, а след това dig +short A <mailserver> за първото име.
• Добре: MX записите на текущия Ви доставчик на имейл услуги и без останал MX запис от стар доставчик. Всяко име на пощенски сървър има A или AAAA запис. Ако не използвате домейна за поща, нулев MX (0 .) може ясно да покаже, че не постъпва поща.

10. Има ли точно един правилен SPF запис?

• Как: dig +short TXT example.com и прегледайте редовете, които започват с v=spf1; проверка на имейл брои търсенията.
• Добре: точно един SPF запис, с всички услуги, които изпращат поща от името на Вашия домейн, завършващ на ~all или -all (никога +all), и не повече от десет DNS търсения.

11. Настроен ли е DKIM за всяка услуга, която изпраща поща?

• Как: dig +short TXT <selector>._domainkey.example.com (или CNAME) за всеки селектор, който познавате, например този на доставчика на имейл услуги и на услугата за бюлетини. Селектора ще намерите в инструкциите на услугата или в заглавието DKIM-Signature: ... s=<selector> на изпратено писмо.
• Добре: всеки запис показва ключ (v=DKIM1; ... p=...) или CNAME към услугата, а тестово писмо показва PASS при DKIM.

12. Има ли DMARC запис?

• Как: dig +short TXT _dmarc.example.com.
• Добре: точно един запис, който започва с v=DMARC1 и има валидна политика (p=none, p=quarantine или p=reject). Започнали сте с p=none? Планирайте ужесточаване.

13. Пристига ли истинско писмо нормално?

• Как: изпратете писмо до mail-tester.com или до адрес в Gmail и прегледайте „Показване на оригинала“.
• Добре: SPF, DKIM и DMARC с резултат PASS.

Част Г: поддръжка

14. Разумни ли са TTL стойностите?

• Как: dig example.com A @<Вашият DNS сървър> и прегледайте TTL стойността.
• Добре: обикновено между 3600 и 86400 (от час до ден). Само около планирана промяна временно 300. Ако забравите да я върнете обратно след трансфер, не е страшно, но причинява излишно много трафик.

15. Имате ли резервно копие на зоната си?

• Как: бутонът за резервно копие или експорт във Вашия DNS панел, или dig за всеки запис поотделно, ако нямате такъв.
• Добре: скорошно копие на всички записи, съхранено извън панела.

16. Няма ли забравени записи?

• Как: прегледайте всички записи във Вашия панел.
• Добре: няма записи за проверка или поддомейни на услуги, които вече не използвате. CNAME запис към прекратена услуга може да бъде „присвоен“ от друг (subdomain takeover): премахнете го.

Откъде започвате при оплакване?

На практика: ето как изглежда това в панел

Проверка на здравето на домейна извършва голяма част от този списък автоматично. В Моят WebOké тя се намира на страницата на домейна като карта Здраве на домейна / имейла, с зелено, оранжево и червено за всяка точка; публичната версия работи за всеки домейн. Други хостинг доставчици, регистратори и DNS доставчици имат подобни проверки, а internet.nl тества независимо голяма част от Част Б и В. Използвайте такава проверка като отправна точка, а този списък, за да разберете какво точно е отбелязано в червено.

Обобщение

• Минете през списъка отгоре надолу и спрете на първата точка, която не е наред.
• Основа: регистрация, DNS сървъри, еднакви отговори, DNSSEC.
• Уебсайт: A/AAAA, www, сертификат, CAA.
• Поща: MX с адрес, един SPF, DKIM за всяка услуга, един DMARC, тестово писмо.
• Поддръжка: TTL, резервно копие, почистване.

Тест

Задача

Задача Z8.5: Финална задача: Вашият собствен домейн. Проверете собствения си домейн с този контролен списък. Въведете домейна си в учебната среда и отговорете за всяка точка от Част A, Б и В какво сте открили (например Вашите DNS сървъри, Вашия MX запис, Вашия SPF запис и Вашата DMARC политика). Програмата извършва същите проверки и ги сравнява. Ако нещо не е наред с Вашия домейн, ще получите обяснение с препратка към съответния урок. Ако нямате собствен домейн, използвайте sidn.nl.

Допълнително четене

Тези статии описват проверките при WebOké; контролният списък работи за всеки домейн.

• Ръководство на WebOké 5.17: Здраве на домейна и имейла: проверка и отстраняване на проблеми
• Уебсайтът или имейлът не работи след преместване или промяна на DNS: проверете Вашия домейн
• Ръководство на WebOké 5.7: Връщане на DNS и създаване на резервно копие на DNS
• Създаване и възстановяване на резервно копие на DNS
• Безплатен инструмент Здраве на домейна: https://www.weboke.nl/bg/zdrave-na-domeyna
• Безплатна проверка на имейл: https://www.weboke.nl/bg/proverka-na-imeyl