Lista kontrolna dla własnej domeny

Moduł 8: Bezpieczeństwo i rozwiązywanie problemów · Czas czytania: 10 min

Cel lekcji: Po tej lekcji będą Państwo potrafili skontrolować własną domenę od góry do dołu za pomocą stałej listy kontrolnej i będą wiedzieli, od którego punktu zacząć, jeśli strona internetowa lub poczta nie działają.

Kluczowe pojęcia: rejestracja, serwery nazw, A/AAAA, www, certyfikat, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, kopia zapasowa

Dlaczego od góry do dołu?

DNS to łańcuch: bez rejestracji nie ma serwerów nazw, bez działających serwerów nazw nie ma rekordów, bez rekordu A nie ma strony internetowej. Błąd na górze powoduje wszelkiego rodzaju problemy na dole. Dlatego listę należy przechodzić zawsze w tej kolejności i zatrzymać się przy pierwszym punkcie, który nie zgadza się. Najpierw go rozwiąż, a potem zacznij od nowa od góry.

Na liście widnieje example.com: proszę zastąpić to własną domeną. Przy każdym punkcie podane jest polecenie dig; można też skorzystać z dig online (lekcja 8.3). Sprawdzenie stanu zdrowia domeny, takie jak oferowane przez Państwa dostawcę hostingu lub bezpłatne narzędzie Stan zdrowia domeny, wykonuje dużą część tej listy od razu, ale warto wiedzieć, co się za tym kryje.

Część A: fundament

1. Czy domena jest zarejestrowana i aktywna?

• Jak: wyszukiwanie whois lub RDAP (na przykład na stronie rejestru, takiej jak sidn.nl dla domen .nl), lub whois example.com.
• Prawidłowo: status aktywny (dla .nl: "active"), nie "w kwarantannie", nie wygasła. Abonent domeny się zgadza.

2. Jakie serwery nazw ma domena i czy jest ich co najmniej dwa?

• Jak: dig +short NS example.com, a w celu sprawdzenia, co podaje rejestr: dig +trace example.com.
• Prawidłowo: co najmniej dwa serwery nazw, od firmy, u której zarządzają Państwo swoim DNS.

3. Czy wszystkie serwery nazw odpowiadają i czy podają to samo?

• Jak: dig +short SOA example.com @<nameserver> dla każdego serwera nazw.
• Prawidłowo: każdy serwer nazw odpowiada (brak przekroczenia czasu, brak REFUSED), a numer seryjny (trzecie pole w SOA) jest wszędzie taki sam. Serwer nazw, który nie odpowiada dla Państwa domeny, nazywa się lame.

4. Czy DNSSEC jest prawidłowy (jeśli jest włączony)?

• Jak: dig +short DS example.com oraz dig example.com A @1.1.1.1 (proszę zwrócić uwagę na status i flagę ad); w razie wątpliwości DNSViz.
• Prawidłowo: albo brak DS (DNSSEC wyłączony, to działa normalnie), albo DS ze statusem NOERROR i flagą ad. Błąd: SERVFAIL.

Część B: strona internetowa

5. Czy nazwa domeny wskazuje na właściwy serwer?

• Jak: dig +short A example.com oraz dig +short AAAA example.com.
• Prawidłowo: adres IPv4 (i, jeśli go Państwo mają, adres IPv6) serwera, na którym znajduje się Państwa strona internetowa. Brak starego AAAA z poprzedniego serwera.

6. Czy www działa?

• Jak: dig +short A www.example.com (lub CNAME).
• Prawidłowo: rekord A, rekord AAAA lub CNAME, który prowadzi do tej samej strony. Jeśli www nie istnieje, osoby wpisujące www otrzymają komunikat o błędzie.

7. Czy strona ma ważny certyfikat dla obu nazw?

• Jak: proszę otworzyć https://example.com oraz https://www.example.com i kliknąć na kłódkę, lub skorzystać z testu strony internetowej internet.nl.
• Prawidłowo: brak ostrzeżenia, certyfikat jest ważny jeszcze przez co najmniej kilka tygodni i obejmuje obie nazwy.

8. Czy Państwa wystawca certyfikatów może tworzyć certyfikaty (CAA)?

• Jak: dig +short CAA example.com.
• Prawidłowo: brak rekordu CAA (wszystkim wolno), lub rekord CAA z issue dla firmy, która wystawia Państwa certyfikat. Błąd: CAA, które nie wymienia Państwa wystawcy.

Część C: poczta e-mail

9. Gdzie dociera Państwa poczta?

• Jak: dig +short MX example.com, a następnie dig +short A <mailserver> dla pierwszej nazwy.
• Prawidłowo: rekordy MX Państwa obecnego dostawcy poczty, bez pozostałości MX od poprzedniego dostawcy. Każda nazwa serwera pocztowego ma rekord A lub AAAA. Jeśli nie używają Państwo domeny do poczty, null MX (0 .) może jasno wskazywać, że żadna poczta nie dociera.

10. Czy istnieje dokładnie jeden prawidłowy rekord SPF?

• Jak: dig +short TXT example.com i proszę sprawdzić linie zaczynające się od v=spf1; kontrola poczty e-mail liczy wyszukiwania.
• Prawidłowo: dokładnie jeden rekord SPF, ze wszystkimi usługami wysyłającymi pocztę w imieniu Państwa domeny, kończący się na ~all lub -all (nigdy +all), i nie więcej niż dziesięć wyszukiwań DNS.

11. Czy DKIM jest skonfigurowany dla każdej usługi, która wysyła pocztę?

• Jak: dig +short TXT <selector>._domainkey.example.com (lub CNAME) dla każdego selektora, który Państwo znają, na przykład selektora Państwa dostawcy poczty i usługi newslettera. Selektor znajdą Państwo w instrukcjach usługi lub w nagłówku DKIM-Signature: ... s=<selector> wysłanej wiadomości.
• Prawidłowo: każdy rekord podaje klucz (v=DKIM1; ... p=...) lub CNAME do usługi, a wiadomość testowa pokazuje PASS dla DKIM.

12. Czy istnieje rekord DMARC?

• Jak: dig +short TXT _dmarc.example.com.
• Prawidłowo: dokładnie jeden rekord zaczynający się od v=DMARC1 z prawidłową polityką (p=none, p=quarantine lub p=reject). Jeśli zaczęli Państwo od p=none, proszę zaplanować zaostrzenie polityki.

13. Czy rzeczywista wiadomość dociera prawidłowo?

• Jak: proszę wysłać wiadomość na mail-tester.com lub na adres Gmail i obejrzeć "Pokaż oryginał".
• Prawidłowo: SPF, DKIM i DMARC na PASS.

Część D: konserwacja

14. Czy wartości TTL są rozsądne?

• Jak: dig example.com A @<jouw nameserver> i proszę sprawdzić TTL.
• Prawidłowo: normalnie od 3600 do 86400 (od godziny do doby). Tylko wokół planowanej zmiany tymczasowo 300. Zapomnienie o przywróceniu po przeniesieniu nie jest poważnym problemem, ale powoduje niepotrzebnie dużo ruchu.

15. Czy mają Państwo kopię zapasową swojej strefy?

• Jak: przycisk kopii zapasowej lub eksportu w Państwa panelu DNS, lub dig dla każdego rekordu z osobna, jeśli go Państwo nie mają.
• Prawidłowo: aktualna kopia wszystkich rekordów, przechowywana poza panelem.

16. Czy nie ma zapomnianych rekordów?

• Jak: proszę przejrzeć wszystkie rekordy w Państwa panelu.
• Prawidłowo: brak rekordów weryfikacyjnych ani subdomen usług, których już Państwo nie używają. CNAME do zrezygnowanej usługi może zostać "przejęty" przez kogoś innego (przejęcie subdomeny, subdomain takeover): proszę go usunąć.

Od czego zacząć przy zgłoszeniu problemu?

W praktyce: jak to wygląda w panelu

Sprawdzenie stanu zdrowia domeny wykonuje automatycznie dużą część tej listy. W Moje WebOké znajduje się ono na stronie domeny jako karta Zdrowie domeny / poczty e-mail, z kolorami zielonym, pomarańczowym i czerwonym dla każdego punktu; publiczna wersja działa dla każdej domeny. Inni dostawcy hostingu, rejestratorzy i firmy DNS mają podobne kontrole, a internet.nl niezależnie testuje dużą część części B i C. Proszę używać takiej kontroli jako punktu wyjścia, a tej listy, aby zrozumieć, co jest oznaczone na czerwono.

Podsumowanie

• Proszę przejść listę od góry do dołu i zatrzymać się przy pierwszym punkcie, który się nie zgadza.
• Fundament: rejestracja, serwery nazw, zgodne odpowiedzi, DNSSEC.
• Strona internetowa: A/AAAA, www, certyfikat, CAA.
• Poczta: MX z adresem, jeden SPF, DKIM na usługę, jeden DMARC, wiadomość testowa.
• Konserwacja: TTL, kopia zapasowa, porządkowanie.

Quiz

Zadanie

Zadanie Z8.5: Zadanie końcowe: Państwa własna domena. Proszę skontrolować własną domenę za pomocą tej listy kontrolnej. Proszę wpisać nazwę domeny w środowisku kursu i odpowiedzieć dla każdego punktu z części A, B i C, co Państwo znaleźli (na przykład Państwa serwery nazw, Państwa MX, Państwa rekord SPF i Państwa politykę DMARC). Program wykonuje te same kontrole i porównuje wyniki. Jeśli coś się nie zgadza w Państwa domenie, otrzymają Państwo wyjaśnienie z odniesieniem do lekcji. Jeśli nie mają Państwo własnej domeny, proszę użyć sidn.nl.

Dalsza lektura

Te artykuły opisują kontrole w WebOké; lista kontrolna działa dla każdej domeny.

• Podręcznik WebOké 5.17: Kondycja domeny i poczty e-mail: sprawdzanie i naprawa
• Strona internetowa lub poczta e-mail nie działają po przeniesieniu lub zmianie DNS: prosimy sprawdzić Państwa domenę
• Podręcznik WebOké 5.7: Przywracanie DNS i tworzenie kopii zapasowej DNS
• Tworzenie i przywracanie kopii zapasowej DNS
• Bezpłatne narzędzie Stan zdrowia domeny: https://www.weboke.pl/kondycja-domeny
• Bezpłatne narzędzie Kontrola poczty e-mail: https://www.weboke.pl/sprawdz-e-mail