Онлайн DNS инструменти

Модул 8: Сигурност и отстраняване на проблеми · Време за четене: 7 минути

Цел на урока: След този урок ще можете за всеки въпрос относно Вашия DNS да изберете правилния онлайн инструмент и ще знаете как да тълкувате резултата.

Основни понятия: онлайн dig, DNS checker по държави, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, проверка на имейл, здраве на домейна

Защо онлайн инструменти?

Онлайн инструментът задава въпроса от друго място, различно от Вашия компютър. Това има две предимства. Не изпитвате влиянието на кеша на собствения си компютър или рутер, и виждате това, което вижда останалата част от интернет. Освен това много инструменти обединяват десетки проверки само с едно кликване, докато с dig трябва да задавате всеки въпрос поотделно.

Няма един инструмент, който да върши всичко най-добре. Изберете на база на въпроса си.

Кой инструмент за кой въпрос?

Инструментите на WebOké са посочени тук като пример за "всичко в едно" проверка; други хостинг доставчици и регистратори имат подобни инструменти. При съмнение използвайте два успоредно: ако два независими инструмента казват едно и също, почти сигурно е вярно.

Използване на онлайн dig

Онлайн dig прави точно това, което научихте в урок 8.2. Въвеждате името (например _dmarc.example.com), избирате типа (TXT) и получавате суровия резултат. Инструментът на Google показва и статуса (NOERROR, NXDOMAIN, SERVFAIL) и TTL. Използвайте този инструмент, когато искате да знаете какво точно е записано, например за да проверите дали Вашият SPF запис се появява точно веднъж.

Четене на DNS checker по държави

След дадена промяна в инструмент като dnschecker.org често виждате смесена картина: в някои държави новия адрес със зелена отметка, в други все още стария. Това не е грешка. Всеки резолвер е извлякъл записа в различен момент и отброява собствения си TTL (урок 6.2).

Две неща, на които да обърнете внимание:

• Виждате ли навсякъде стария отговор, дори дълго след изтичане на TTL? Тогава промяната вероятно не е направена на DNS сървъра, който се използва от света. Проверете кои DNS сървъри има Вашият домейн (урок 2.1).
• Виждате ли при някои резолвери нищо (кръстче)? Може да става дума за SERVFAIL, често причинен от DNSSEC. В такъв случай проверете с DNSViz.

internet.nl

internet.nl е независим тест на холандската платформа за интернет стандарти (между другото SIDN, NLnet Labs и правителството). Има три теста: уебсайт, имейл и собствената Ви връзка. Резултатът е процент с обяснение за всяка част и съвет "Как да подобрите".

Четете резултата разумно: не всяка червена част означава проблем. Ако например липсва DANE или IPv6, Вашият имейл или сайт работят нормално, но не отговаряте на най-новия стандарт. Червено при "DNSSEC валиден" или "SPF" обаче е важно.

DNSViz

DNSViz изобразява веригата на доверие от урок 8.1: блокове за root, TLD и Вашия домейн, със стрелки за DS и DNSKEY. Синьо означава сигурно, черно означава неподписано (не е грешка), а червено означава повредено; как да четете изображението е обяснено в урок 8.1. Червените линии или блокове сочат точно къде е прекъсната веригата, например "DS няма съответстващ DNSKEY". Това е инструментът, който да използвате, когато получите SERVFAIL, а dig +cd все пак дава отговор.

Zonemaster

Zonemaster (създаден между другото от регистрите на .se и .fr) проверява Вашата зона, както го прави един регистър: има ли поне два DNS сървъра, дават ли всички еднакъв отговор, съвпада ли SOA серийният номер навсякъде, достъпни ли са DNS сървърите чрез IPv4 и IPv6. Удобно преди да промените DNS сървъри при регистър, който проверява стриктно. Можете също да тествате DNS сървъри, които все още не са свързани с домейна ("undelegated test").

Инструменти за имейл

Проверката на имейл разглежда DNS страната: има ли MX, има ли точно един SPF запис, попада ли той в границата от десет заявки, има ли DMARC запис. Тя не може да види дали DKIM работи, защото за това трябва да знаете селектора. Това се тества с реален имейл: изпратете такъв до mail-tester.com или до адрес в Gmail, и проверете при "Показване на оригинала" дали SPF, DKIM и DMARC показват PASS.

На практика: как изглежда това в един панел

Много панели имат собствена проверка. В Моят WebOké на страницата на домейна има карта Domein / Email gezondheid, със зелени, оранжеви и червени точки и понякога бутон за автоматично поправяне. При Cloudflare виждате съобщения в горната част на DNS прегледа, при Google Workspace и Microsoft 365 има страница за проверка в административния център. Такива проверки познават най-добре Вашата ситуация; независимият инструмент показва какво вижда външният свят. Използвайте ги заедно.

Обобщение

• Онлайн инструментите питат от друго място и не са повлияни от Вашия кеш.
• Онлайн dig: какво точно е записано. DNS checker по държави: вижда ли вече светът. DNSViz: вярна ли е DNSSEC веригата. Zonemaster: технически правилна ли е зоната. internet.nl: модерно и сигурно настроено ли е всичко.
• Проверката на имейл тества записите; реален тестов имейл тества дали SPF, DKIM и DMARC преминават успешно.
• Използвайте два инструмента успоредно, ако имате съмнения.

Тест

Задача

Задача Z8.3: Онлайн инструменти. Тествайте internet.nl с теста за уебсайт и теста за имейл на самия internet.nl. Отбележете при теста за имейл дали DNSSEC за мейл сървърите (MX) е валиден, и потърсете в DNSViz кой номер на алгоритъм използват DS записите на internet.nl. След това проверете с онлайн dig каква политика (p=) има DMARC записът на internet.nl. Попълнете отговорите.

Допълнително четене

Тези статии описват проверките на WebOké; независимите инструменти работят за всеки домейн.

• Ръководство на WebOké 5.17: Здраве на домейна и имейла: проверка и отстраняване на проблеми
• Уебсайтът или имейлът не работи след преместване или промяна на DNS: проверете Вашия домейн
• Безплатен инструмент Domein gezondheid: https://www.weboke.nl/bg/zdrave-na-domeyna
• Безплатна E-mailcheck: https://www.weboke.nl/bg/proverka-na-imeyl