DNS inverso (PTR): do número de volta ao nome

Módulo 4: Registos para e-mail · Tempo de leitura: 6 minutos

Objetivo de aprendizagem: Depois desta lição, consegue explicar o que é o DNS inverso, quem o configura e porque é que os servidores de e-mail de receção lhe dão atenção.

Conceitos-chave: DNS inverso, registo PTR, in-addr.arpa, ip6.arpa, gestão pelo proprietário do endereço IP, forward-confirmed reverse DNS (FCrDNS), nome HELO/EHLO

Ao contrário

Até agora, tudo seguia de nome para número: mail.example.com tem o registo A 192.0.2.25. O DNS inverso segue o caminho contrário: ao endereço IP 192.0.2.25 corresponde o nome mail.example.com. Isso consta num registo PTR (pointer).

Para um website comum, não precisa de DNS inverso. Para um servidor de e-mail, sim: quase todos os servidores de receção verificam, ao receber uma ligação, que nome corresponde ao endereço IP do remetente. Um servidor sem DNS inverso, ou com um nome genérico como 192-0-2-25.dynamic.provider.example, parece um computador doméstico infetado a enviar spam. Desde fevereiro de 2024, o Gmail exige a todos os remetentes que o endereço IP tenha um DNS inverso válido que também aponte de volta corretamente.

Como é que isto se apresenta?

O DNS inverso utiliza uma parte especial da árvore DNS. Para IPv4, é in-addr.arpa, e o endereço IP aparece aí ao contrário:

192.0.2.25  →  25.2.0.192.in-addr.arpa.

25.2.0.192.in-addr.arpa.  3600  IN  PTR  mail.example.com.

Porquê ao contrário? Um nome DNS torna-se mais específico da direita para a esquerda (lição 1.2), e um endereço IP da esquerda para a direita. Ao invertê-lo, o bloco 192.0.2 pode ser delegado como uma única zona ao proprietário desse bloco.

Para IPv6, o endereço fica sob ip6.arpa, também ao contrário, mas por dígito hexadecimal (nibble), com todos os zeros escritos por extenso. Para 2001:db8::25, isso resulta num nome longo que termina em ...8.b.d.0.1.0.0.2.ip6.arpa. Nunca precisa de o escrever você mesmo: os painéis e as ferramentas tratam disso.

Quem configura isto?

Aqui está a grande diferença em relação a todos os outros registos. Um registo PTR não fica na zona do seu domínio, mas sim na zona inversa do endereço IP. E essa pertence a quem gere o endereço IP: a sua empresa de hosting, o seu fornecedor de VPS ou o seu fornecedor de internet.

Isto significa que:

• Não pode colocar um registo PTR na gestão de DNS do seu domínio. Um registo do tipo PTR na sua zona normal não tem qualquer efeito.
• Se alugar um VPS ou servidor, geralmente encontra no painel do seu fornecedor um campo "Reverse DNS" ou "rDNS", ou pode pedi-lo através do suporte.
• Se usar um pacote de hosting ou um fornecedor de e-mail como Microsoft 365 ou Google Workspace, é essa entidade que trata do DNS inverso dos seus próprios servidores de e-mail. Não precisa de fazer nada para isso.
• Se tiver um servidor de e-mail em casa ou no escritório, numa ligação à internet, é o seu fornecedor de internet que determina o DNS inverso. Muitos fornecedores não permitem isso em ligações de consumo.

Ida e volta têm de corresponder

Os destinatários não verificam apenas se existe um PTR, mas também se este bate certo na volta:

1. O endereço IP 192.0.2.25 tem o PTR mail.example.com.
2. O nome mail.example.com tem o registo A 192.0.2.25.

Se ambos os lados corresponderem, chama-se a isso forward-confirmed reverse DNS (FCrDNS). Além disso, o nome com que o servidor de e-mail se apresenta (o nome HELO ou EHLO) deve ser o mesmo, ou pelo menos um nome que também exista.

Para IPv6, aplica-se o mesmo princípio. Se o seu servidor também envia por IPv6, o endereço IPv6 precisa de um PTR próprio e de um registo AAAA. Um PTR de IPv6 esquecido é uma causa conhecida de e-mails rejeitados pelo Gmail, enquanto por IPv4 tudo corre bem.

Verificar

Com uma janela de comandos (lição 8.2):

dig -x 192.0.2.25 +short
nslookup 192.0.2.25

Online, na maioria das ferramentas de DNS, pode fazer um "reverse lookup" ou "PTR lookup" sobre um endereço IP.

Na prática: como se apresenta num painel

Neste exemplo, usamos o ecrã de VPS em O meu WebOké: aí existe um separador para o DNS inverso. Se o domínio estiver no mesmo DNS, o painel cria o registo A, o registo AAAA e o PTR de uma só vez. Se o domínio estiver noutro sítio, cria primeiro o registo A e o registo AAAA junto do seu gestor de DNS e só depois pede o DNS inverso.

Noutros fornecedores de VPS e servidores, o campo chama-se "Reverse DNS", "rDNS" ou "PTR" e costuma ficar junto ao endereço IP do servidor. O princípio é o mesmo: o fornecedor cria o registo, você escolhe o nome.

Resumo

• Um registo PTR associa um endereço IP de volta a um nome (in-addr.arpa para IPv4, ip6.arpa para IPv6).
• É o gestor do endereço IP que o configura, não o gestor do seu domínio.
• Os servidores de e-mail de receção esperam que o DNS inverso e o DNS direto correspondam entre si (FCrDNS), tanto para IPv4 como para IPv6.
• Para websites e para e-mail através de uma empresa de hosting ou de um fornecedor de e-mail, não precisa de fazer nada.

Quiz

Exercício

Exercício Z4.6: Pesquisar o DNS inverso. Pesquise os registos MX de wikipedia.org e escolha um servidor de e-mail. Pesquise o endereço IPv4 desse servidor de e-mail e, a seguir, o DNS inverso (PTR) desse endereço. Preencha o endereço IP e o nome encontrado. Bónus: verifique se o nome volta a apontar para o mesmo endereço IP. (Não é um exercício de configuração: o DNS inverso não pode ser definido numa zona de treino, e é precisamente essa a lição.)

Saber mais

Os passos neste artigo aplicam-se aos painéis da WebOké; junto de outros fornecedores, o funcionamento é semelhante.

• Enviar e-mail a partir do seu VPS e configurar o DNS inverso
• Manual DirectAdmin 18.10: Não consigo enviar e-mail
• RFC 1035 secção 3.5 (in-addr.arpa), RFC 3596 (ip6.arpa), diretrizes para remetentes do Google (fevereiro de 2024)