Moduł 8 · 8.3
Internetowe narzędzia DNS
Moduł 8: Bezpieczeństwo i rozwiązywanie problemów · Czas czytania: 7 min
Cel lekcji: Po tej lekcji dla każdego pytania dotyczącego swojego DNS wybiorą Państwo odpowiednie narzędzie internetowe i będą wiedzieć, jak odczytać wynik.
Kluczowe pojęcia: online dig, DNS-checker dla poszczególnych krajów, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, kontrola e-mail, kondycja domeny
Dlaczego narzędzia internetowe?
Narzędzie internetowe zadaje pytanie z innego miejsca niż Państwa komputer. Ma to dwie zalety. Nie przeszkadza pamięć podręczna własnego komputera lub routera, a Państwo widzą to, co widzi reszta internetu. Ponadto wiele narzędzi łączy dziesiątki kontroli w jednym kliknięciu, podczas gdy za pomocą dig trzeba zadawać każde pytanie osobno.
Nie ma jednego narzędzia, które robi wszystko najlepiej. Proszę wybierać w zależności od pytania.
Jakie narzędzie do jakiego pytania?
| Państwa pytanie | Odpowiednie narzędzie | Co Państwo widzą |
|---|---|---|
| "Co dokładnie zwraca teraz DNS?" | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig) lub inne narzędzie typu online dig | To samo, co dig, bez konieczności instalowania czegokolwiek |
| "Czy cały świat widzi już moją zmianę?" | dnschecker.org (lub podobne "DNS propagation checkers") | Odpowiedź dziesiątek resolverów w różnych krajach obok siebie |
| "Czy moja domena jest skonfigurowana nowocześnie i bezpiecznie?" | internet.nl (holenderskiej platformy standardów internetowych) | Wynik dla strony internetowej (IPv6, DNSSEC, https) i poczty e-mail (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| "Czy mój łańcuch DNSSEC jest prawidłowy?" | DNSViz (dnsviz.net) | Obraz łańcucha od korzenia do Państwa domeny, z błędami zaznaczonymi na czerwono |
| "Czy moja strefa jest technicznie poprawna?" | Zonemaster (zonemaster.net) | Szczegółowa kontrola serwerów nazw, delegacji, SOA i DNSSEC |
| "Jak wyglądają moje rekordy pocztowe?" | MXToolbox, kontrola e-mail (na przykład Kontrola e-mail WebOké) lub narzędzia Państwa dostawcy poczty | MX, SPF (z liczbą zapytań), DMARC, czarne listy |
| "Czy moja wysłana poczta dociera prawidłowo?" | mail-tester.com lub wiadomość testowa do Gmail z opcją "Pokaż oryginał" | Czy SPF, DKIM i DMARC zaliczają prawdziwą wiadomość |
| "Czy strona internetowa i poczta działają razem, wszystko w jednym widoku?" | Kontrola kondycji domeny (na przykład Kondycja domeny WebOké) | Serwery nazw, rekord A, www, certyfikat, MX, SPF, DMARC, DNSSEC i CAA na jednej liście |
Narzędzia WebOké są tu przykładem kontroli typu "wszystko w jednym"; inni dostawcy hostingu i rejestratorzy mają podobne narzędzia. W razie wątpliwości proszę użyć dwóch narzędzi obok siebie: jeśli dwa niezależne narzędzia mówią to samo, niemal na pewno jest to prawidłowe.
Korzystanie z online dig
Narzędzie online dig robi dokładnie to, czego Państwo nauczyli się w lekcji 8.2. Wpisują Państwo nazwę (na przykład _dmarc.example.com), wybierają typ (TXT) i otrzymują surowy wynik. Toolbox Google pokazuje też status (NOERROR, NXDOMAIN, SERVFAIL) oraz TTL. Proszę użyć tego narzędzia, gdy chcą Państwo wiedzieć, co dokładnie jest zapisane, na przykład aby sprawdzić, czy rekord SPF występuje dokładnie raz.
Odczytywanie DNS-checkera dla poszczególnych krajów
Po wprowadzeniu zmiany w narzędziu takim jak dnschecker.org często widać mieszany obraz: w niektórych krajach nowy adres z zielonym znaczkiem, w innych wciąż stary. To nie jest błąd. Każdy resolver pobrał rekord w innym momencie i odlicza swój własny TTL (lekcja 6.2).
Dwie rzeczy, na które warto zwrócić uwagę:
- Wszędzie widzą Państwo starą odpowiedź, nawet długo po upływie TTL? Wtedy zmiana prawdopodobnie nie została wprowadzona na serwerze nazw, którego używa reszta świata. Proszę sprawdzić, jakie serwery nazw ma Państwa domena (lekcja 2.1).
- U niektórych resolverów nie widzą Państwo nic (krzyżyk)? Może to oznaczać SERVFAIL, często spowodowany przez DNSSEC. Wtedy proszę sprawdzić w DNSViz.
internet.nl
internet.nl to niezależny test holenderskiej platformy standardów internetowych (między innymi SIDN, czyli rejestru .nl w Holandii, NLnet Labs i rządu). Dostępne są trzy testy: strona internetowa, e-mail i własne połączenie. Wynikiem jest procent z wyjaśnieniem dla każdego elementu oraz sekcją "Jak poprawić".
Wynik należy czytać z rozwagą: nie każdy czerwony element oznacza awarię. Jeśli brakuje na przykład DANE lub IPv6, poczta czy strona nadal działają, ale nie spełniają Państwo najnowszego standardu. Czerwony kolor przy "DNSSEC ważny" lub "SPF" jest już istotny.
DNSViz
DNSViz rysuje łańcuch zaufania z lekcji 8.1: bloki dla korzenia, TLD i Państwa domeny, ze strzałkami dla DS i DNSKEY. Niebieski oznacza bezpieczny, czarny oznacza niepodpisany (nie jest to błąd), a czerwony oznacza uszkodzony; jak czytać ten obraz, opisano w lekcji 8.1. Czerwone linie lub czerwone bloki wskazują dokładnie, gdzie łańcuch się przerywa, na przykład "DS nie ma pasującego DNSKEY". To narzędzie, po które warto sięgnąć, gdy otrzymują Państwo SERVFAIL, a dig +cd jednak zwraca odpowiedź.
Zonemaster
Zonemaster (stworzony między innymi przez rejestry .se i .fr) sprawdza Państwa strefę tak, jak robi to rejestr: czy są co najmniej dwa serwery nazw, czy wszystkie dają tę samą odpowiedź, czy numer seryjny SOA zgadza się wszędzie, czy serwery nazw są dostępne przez IPv4 i IPv6. Przydatne przed zmianą serwerów nazw u rejestru, który przeprowadza rygorystyczną kontrolę. Można też przetestować serwery nazw, które nie są jeszcze powiązane z domeną ("undelegated test").
Narzędzia pocztowe
Kontrola poczty sprawdza stronę DNS: czy jest rekord MX, czy istnieje dokładnie jeden rekord SPF, czy mieści się w dziesięciu zapytaniach, czy jest rekord DMARC. Nie może sprawdzić, czy działa DKIM, ponieważ w tym celu trzeba znać selektor. To testuje się za pomocą prawdziwej wiadomości: proszę wysłać ją na adres mail-tester.com lub na adres Gmail i sprawdzić w opcji "Pokaż oryginał", czy SPF, DKIM i DMARC mają status PASS.
W praktyce: jak to wygląda w panelu
Wiele paneli ma własną kontrolę. W Moje WebOké na stronie domeny znajduje się karta Kondycja domeny / e-mail, z zielonymi, pomarańczowymi i czerwonymi kropkami, a czasem przyciskiem naprawy. W Cloudflare powiadomienia widoczne są u góry przeglądu DNS, a w Google Workspace i Microsoft 365 znajduje się strona kontrolna w centrum administracyjnym. Takie kontrole najlepiej znają Państwa sytuację; niezależne narzędzie pokazuje, co widzi świat zewnętrzny. Proszę używać ich razem.
Podsumowanie
- Narzędzia internetowe zadają pytanie z innego miejsca i nie są ograniczone Państwa pamięcią podręczną.
- Online dig: co jest dosłownie zapisane. DNS-checker dla poszczególnych krajów: czy świat już to widzi. DNSViz: czy łańcuch DNSSEC jest prawidłowy. Zonemaster: czy strefa jest technicznie poprawna. internet.nl: czy konfiguracja jest nowoczesna i bezpieczna.
- Kontrola poczty testuje rekordy; prawdziwa wiadomość testowa sprawdza, czy SPF, DKIM i DMARC przechodzą pozytywnie.
- W razie wątpliwości proszę użyć dwóch narzędzi obok siebie.
Quiz
Zadanie
Zadanie Z8.3: Narzędzia internetowe. Proszę przetestować internet.nl za pomocą testu strony internetowej i testu e-mail samego internet.nl. Przy teście e-mail proszę zanotować, czy DNSSEC dla serwerów pocztowych (MX) jest ważny, oraz sprawdzić w DNSViz, jaki numer algorytmu mają rekordy DS domeny internet.nl. Następnie proszę sprawdzić za pomocą online dig, jaką politykę (p=) ma rekord DMARC domeny internet.nl. Proszę wpisać odpowiedzi.
Dalsza lektura
Poniższe artykuły opisują kontrole WebOké; niezależne narzędzia działają dla każdej domeny.
- Podręcznik WebOké 5.17: Kondycja domeny i poczty e-mail: sprawdzanie i naprawa
- Strona internetowa lub poczta e-mail nie działają po przeniesieniu lub zmianie DNS: prosimy sprawdzić Państwa domenę
- Bezpłatne narzędzie Kondycja domeny: https://www.weboke.pl/kondycja-domeny
- Bezpłatna Kontrola e-mail: https://www.weboke.pl/sprawdz-e-mail