Reverse DNS (PTR): od numeru z powrotem do nazwy

Moduł 4: Rekordy dla poczty e-mail · Czas czytania: 6 min

Cel lekcji: Po tej lekcji będą Państwo potrafili wyjaśnić, czym jest reverse DNS, kto go ustawia i dlaczego odbierające serwery pocztowe zwracają na niego uwagę.

Pojęcia kluczowe: reverse DNS, rekord PTR, in-addr.arpa, ip6.arpa, zarządzanie przez właściciela adresu IP, forward-confirmed reverse DNS (FCrDNS), nazwa HELO/EHLO

W drugą stronę

Do tej pory wszystko szło od nazwy do numeru: mail.example.com ma rekord A 192.0.2.25. Reverse DNS działa w drugą stronę: do adresu IP 192.0.2.25 przypisana jest nazwa mail.example.com. Znajduje się to w rekordzie PTR (pointer).

Dla zwykłej strony internetowej reverse DNS nie jest potrzebny. Dla serwera pocztowego już tak: niemal każdy odbierający serwer pocztowy sprawdza przy przychodzącym połączeniu, jaka nazwa odpowiada adresowi IP nadawcy. Serwer bez reverse DNS, albo z ogólną nazwą w stylu 192-0-2-25.dynamic.provider.example, wygląda jak zhakowany komputer domowy wysyłający spam. Gmail od lutego 2024 roku wymaga od wszystkich nadawców, aby adres IP miał prawidłowy reverse DNS, który wskazuje z powrotem na ten sam adres.

Jak to wygląda?

Reverse DNS korzysta ze specjalnej części drzewa DNS. Dla IPv4 jest to in-addr.arpa, a adres IP zapisany jest tam w odwrotnej kolejności:

192.0.2.25  →  25.2.0.192.in-addr.arpa.

25.2.0.192.in-addr.arpa.  3600  IN  PTR  mail.example.com.

Dlaczego w odwrotnej kolejności? Nazwa DNS staje się bardziej szczegółowa od prawej do lewej (lekcja 1.2), a adres IP od lewej do prawej. Odwracając kolejność, blok 192.0.2 można delegować jako jedną strefę do właściciela tego bloku.

Dla IPv6 adres znajduje się pod ip6.arpa, również w odwrotnej kolejności, ale w rozbiciu na pojedyncze cyfry szesnastkowe (nibble), z wypisanymi wszystkimi zerami. Dla 2001:db8::25 daje to długą nazwę kończącą się na ...8.b.d.0.1.0.0.2.ip6.arpa. Nigdy nie trzeba tego wpisywać ręcznie: panele i narzędzia robią to automatycznie.

Kto to ustawia?

Tutaj tkwi duża różnica w porównaniu z wszystkimi innymi rekordami. Rekord PTR znajduje się nie w strefie Państwa domeny, lecz w strefie odwrotnej (reverse) adresu IP. A ta należy do podmiotu zarządzającego adresem IP: firmy hostingowej, dostawcy VPS albo dostawcy internetu.

Oznacza to, że:

• Rekordu PTR nie można umieścić w panelu DNS swojej domeny. Rekord typu PTR w zwykłej strefie domeny nie działa.
• Jeśli wynajmują Państwo VPS lub serwer, zwykle w panelu dostawcy znajduje się pole „Reverse DNS” lub „rDNS”, albo można o to poprosić przez wsparcie techniczne.
• Jeśli korzystają Państwo z pakietu hostingowego lub dostawcy poczty, takiego jak Microsoft 365 czy Google Workspace, to ten podmiot zajmuje się reverse DNS swoich własnych serwerów pocztowych. Nie trzeba robić w tym zakresie nic.
• Jeśli mają Państwo serwer pocztowy w domu lub w biurze, podłączony do własnego łącza internetowego, o reverse DNS decyduje dostawca internetu. Wielu dostawców nie zezwala na to w przypadku łączy konsumenckich.

Tam i z powrotem musi się zgadzać

Odbiorcy sprawdzają nie tylko, czy istnieje PTR, ale także czy zgadza się on w obie strony:

1. Adres IP 192.0.2.25 ma PTR mail.example.com.
2. Nazwa mail.example.com ma rekord A 192.0.2.25.

Jeśli obie strony się zgadzają, nazywa się to forward-confirmed reverse DNS (FCrDNS). Dodatkowo nazwa, którą serwer pocztowy się przedstawia (nazwa HELO lub EHLO), powinna być taka sama albo przynajmniej być nazwą, która faktycznie istnieje.

Dla IPv6 obowiązuje to samo. Jeśli serwer wysyła pocztę także przez IPv6, adres IPv6 potrzebuje własnego rekordu PTR oraz rekordu AAAA. Zapomniany PTR dla IPv6 to znana przyczyna odrzucania poczty przez Gmail, mimo że przez IPv4 wszystko działa prawidłowo.

Sprawdzanie

Za pomocą wiersza poleceń (lekcja 8.2):

dig -x 192.0.2.25 +short
nslookup 192.0.2.25

Online w większości narzędzi DNS można wykonać „reverse lookup” lub „PTR lookup” dla adresu IP.

W praktyce: jak to wygląda w panelu

W tym przykładzie korzystamy z panelu VPS w Moje WebOké: znajduje się tam zakładka dla reverse DNS. Jeśli domena znajduje się w tym samym DNS, panel tworzy rekord A i AAAA oraz PTR za jednym razem. Jeśli domena znajduje się gdzie indziej, najpierw tworzą Państwo rekord A i AAAA u swojego zarządcy DNS, a następnie proszą o ustawienie reverse DNS.

U innych dostawców VPS i serwerów pole to nazywa się „Reverse DNS”, „rDNS” lub „PTR” i zwykle znajduje się przy adresie IP serwera. Zasada jest taka sama: dostawca ustawia rekord, Państwo wybierają nazwę.

Podsumowanie

• Rekord PTR przypisuje adres IP z powrotem do nazwy (in-addr.arpa dla IPv4, ip6.arpa dla IPv6).
• Ustawia go zarządca adresu IP, a nie zarządca Państwa domeny.
• Odbierające serwery pocztowe oczekują, że reverse i forward DNS będą do siebie pasować (FCrDNS), zarówno dla IPv4, jak i IPv6.
• Dla stron internetowych oraz poczty obsługiwanej przez firmę hostingową lub dostawcę poczty nie muszą Państwo robić nic samodzielnie.

Quiz

Zadanie

Zadanie Z4.6: Wyszukiwanie reverse DNS. Proszę wyszukać rekordy MX domeny wikipedia.org i wybrać jeden serwer pocztowy. Proszę znaleźć adres IPv4 tego serwera pocztowego, a następnie reverse DNS (PTR) tego adresu. Proszę wpisać adres IP i znalezioną nazwę. Bonus: proszę sprawdzić, czy ta nazwa wskazuje z powrotem na ten sam adres IP. (To nie jest zadanie konfiguracyjne: reverse DNS nie da się ustawić samodzielnie w strefie ćwiczeniowej, i to jest właśnie sens tej lekcji).

Dalsza lektura

Kroki opisane w tym artykule dotyczą paneli WebOké; u innych dostawców działa to w podobny sposób.

• Wysyłanie poczty z Państwa VPS i konfiguracja reverse DNS
• Instrukcja DirectAdmin 18.10: Nie mogę wysłać wiadomości e-mail
• RFC 1035 paragraf 3.5 (in-addr.arpa), RFC 3596 (ip6.arpa), wytyczne dla nadawców od Google (luty 2024)