Reverse DNS (PTR): van nummer terug naar naam

Module 4: Records voor e-mail · Leestijd: 6 minuten

Leerdoel: Na deze les kun je uitleggen wat reverse DNS is, wie het instelt en waarom ontvangende mailservers erop letten.

Kernbegrippen: reverse DNS, PTR-record, in-addr.arpa, ip6.arpa, beheer door de eigenaar van het IP-adres, forward-confirmed reverse DNS (FCrDNS), HELO/EHLO-naam

De andere kant op

Tot nu toe ging alles van naam naar nummer: mail.example.com heeft A-record 192.0.2.25. Reverse DNS gaat de andere kant op: bij het IP-adres 192.0.2.25 hoort de naam mail.example.com. Dat staat in een PTR-record (pointer).

Voor een gewone website heb je reverse DNS niet nodig. Voor een mailserver wel: bijna elke ontvangende mailserver kijkt bij een binnenkomende verbinding welke naam bij het IP-adres van de afzender hoort. Een server zonder reverse DNS, of met een algemene naam als 192-0-2-25.dynamic.provider.example, lijkt op een gehackte thuiscomputer die spam verstuurt. Gmail eist sinds februari 2024 van alle verzenders dat het IP-adres een geldige reverse DNS heeft die ook weer terugwijst.

Hoe ziet het eruit?

Reverse DNS gebruikt een speciaal deel van de DNS-boom. Voor IPv4 is dat in-addr.arpa, en het IP-adres staat er achterstevoren in:

192.0.2.25  →  25.2.0.192.in-addr.arpa.

25.2.0.192.in-addr.arpa.  3600  IN  PTR  mail.example.com.

Waarom achterstevoren? Een DNS-naam wordt van rechts naar links specifieker (les 1.2), en een IP-adres van links naar rechts. Door het om te draaien kan het blok 192.0.2 als één zone worden gedelegeerd aan de eigenaar van dat blok.

Voor IPv6 staat het adres onder ip6.arpa, ook achterstevoren, maar dan per hexadecimaal cijfer (nibble), met alle nullen uitgeschreven. Voor 2001:db8::25 wordt dat een lange naam die eindigt op ...8.b.d.0.1.0.0.2.ip6.arpa. Die hoef je nooit zelf te typen: panelen en tools regelen het.

Wie stelt het in?

Hier zit het grote verschil met alle andere records. Een PTR-record staat niet in de zone van je domein, maar in de reverse zone van het IP-adres. En die is van degene die het IP-adres beheert: je hostingbedrijf, je VPS-aanbieder of je internetprovider.

Dat betekent:

• Je kunt een PTR-record niet in het DNS-beheer van je domein zetten. Een record van type PTR in je gewone zone doet niets.
• Huur je een VPS of server, dan vind je meestal in het paneel van je aanbieder een veld "Reverse DNS" of "rDNS", of vraag je het aan via support.
• Gebruik je een hostingpakket of een mailprovider zoals Microsoft 365 of Google Workspace, dan regelt die partij de reverse DNS van zijn eigen mailservers. Daar hoef je niets voor te doen.
• Heb je thuis of op kantoor een mailserver op een internetaansluiting, dan bepaalt je internetprovider de reverse DNS. Veel providers staan dat voor consumentenaansluitingen niet toe.

Heen en terug moeten kloppen

Ontvangers kijken niet alleen óf er een PTR is, maar ook of hij terug klopt:

1. Het IP-adres 192.0.2.25 heeft PTR mail.example.com.
2. De naam mail.example.com heeft A-record 192.0.2.25.

Kloppen beide kanten, dan heet dat forward-confirmed reverse DNS (FCrDNS). Daarnaast hoort de naam waarmee de mailserver zich voorstelt (de HELO- of EHLO-naam) dezelfde te zijn, of in elk geval een naam die ook bestaat.

Voor IPv6 geldt hetzelfde. Verstuurt je server ook via IPv6, dan heeft het IPv6-adres een eigen PTR en een AAAA-record nodig. Een vergeten IPv6-PTR is een bekende oorzaak van mail die bij Gmail wordt geweigerd, terwijl via IPv4 alles goed gaat.

Controleren

Met een opdrachtvenster (les 8.2):

dig -x 192.0.2.25 +short
nslookup 192.0.2.25

Online kun je in de meeste DNS-tools een "reverse lookup" of "PTR lookup" doen op een IP-adres.

In de praktijk: zo ziet het eruit in een paneel

In dit voorbeeld gebruiken we het VPS-scherm in Mijn WebOké: daar staat een tabblad voor reverse DNS. Staat het domein in dezelfde DNS, dan maakt het paneel het A- en AAAA-record en de PTR in één keer. Staat het domein ergens anders, dan maak je eerst het A- en AAAA-record bij je DNS-beheerder en vraag je daarna de reverse DNS aan.

Bij andere VPS- en serveraanbieders heet het veld "Reverse DNS", "rDNS" of "PTR" en staat het meestal bij het IP-adres van de server. Het principe is hetzelfde: de aanbieder zet het record, jij kiest de naam.

Samenvatting

• Een PTR-record koppelt een IP-adres terug aan een naam (in-addr.arpa voor IPv4, ip6.arpa voor IPv6).
• De beheerder van het IP-adres stelt het in, niet de beheerder van je domein.
• Ontvangende mailservers verwachten dat reverse en forward DNS bij elkaar passen (FCrDNS), voor IPv4 én IPv6.
• Voor websites en voor mail via een hostingbedrijf of mailprovider hoef je zelf niets te doen.

Quiz

Opdracht

Opzoeken (Z4.6): Zoek de MX-records van wikipedia.org op en kies een mailserver. Zoek het IPv4-adres van die mailserver op, en daarna de reverse DNS (PTR) van dat adres. Vul het IP-adres en de gevonden naam in. Bonus: controleer of de naam weer naar hetzelfde IP-adres wijst.6. (Geen instelopdracht: reverse DNS kun je in een oefenzone niet zelf zetten, en dat is precies de les.)

Verder lezen

De stappen in dit artikel gelden voor de panelen van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Mail versturen vanaf je VPS en reverse DNS instellen
• DirectAdmin handleiding 18.10: Ik kan geen e-mail versturen
• RFC 1035 paragraaf 3.5 (in-addr.arpa), RFC 3596 (ip6.arpa), richtlijnen voor verzenders van Google (februari 2024)