Przełączenie w DNS: MX, SPF, DKIM i DMARC

Moduł 4: Przenoszenie poczty e-mail · Czas czytania: 12 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili zaplanować i przeprowadzić zmianę rekordów DNS dla poczty we właściwej kolejności, tak aby żadna wiadomość się nie zgubiła, poczta wychodząca nie trafiała do spamu, a Outlook nie pukał po cichu nadal do starego dostawcy.

Kluczowe pojęcia: TTL, zmiana MX, SPF (jeden rekord), selektor DKIM, DMARC (p=none, rua), autodiscover, autoconfig, rekord weryfikacyjny, zaakceptowana domena

Pięć rekordów, jeden moment

Dla poczty na własnej domenie w DNS znajduje się kilka rekordów, które razem decydują o tym, czy poczta dotrze i czy Państwa wiadomości będą zaufane:

Przy przeprowadzce zmienia się niemal wszystko z powyższych. Sztuka polega na zachowaniu właściwej kolejności. Jeśli przełączą Państwo MX, podczas gdy SPF i DKIM nadal dotyczą tylko Microsoft, poczta będzie wprawdzie docierać, ale wysyłane przez Państwa wiadomości będą trafiać do spamu. Jeśli najpierw przełączą Państwo SPF, Microsoft nie będzie już mógł prawidłowo wysyłać poczty w Państwa imieniu w dniach poprzedzających zmianę.

Ta lekcja dotyczy kolejności działań. O tym, jak dokładnie zbudowany jest każdy rekord, przeczytają Państwo w kursie DNS (lekcje 4.1 do 4.5).

Krok 1, dwa dni wcześniej: obniżenie TTL i kopia zapasowa

Każdy rekord DNS ma TTL (time to live): czas, przez jaki inne serwery mogą pamiętać odpowiedź. Jeśli TTL rekordu MX wynosi 86400 sekund (jeden dzień), niektóre serwery po zmianie nadal przez nawet dzień będą wysyłać pocztę do starego serwera.

Dlatego należy obniżyć TTL rekordów MX, SPF i autodiscover do 300 lub 3600 sekund z wyprzedzeniem co najmniej jednego starego okresu TTL. Przy TTL wynoszącym jeden dzień robią to Państwo zatem co najmniej dzień wcześniej; dwa dni to bezpieczny margines. Jednocześnie proszę wykonać kopię zapasową strefy DNS lub zapisać wszystkie obecne rekordy. Dzięki temu zawsze będą Państwo mogli wrócić do poprzedniego stanu.

Piekarnia Ziarno widzi:

example.com.            3600  IN  MX   0 example-com.mail.protection.outlook.com.
example.com.            3600  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
selector1._domainkey    3600  IN  CNAME selector1-example-com._domainkey.korrel.onmicrosoft.com.
selector2._domainkey    3600  IN  CNAME selector2-example-com._domainkey.korrel.onmicrosoft.com.
_dmarc.example.com.     3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
autodiscover            3600  IN  CNAME autodiscover.outlook.com.
example.com.            3600  IN  TXT  "MS=ms12345678"

TTL wynosi już 3600 (jedna godzina). Ustawiają MX i SPF na 300.

Krok 2, przed przełączeniem: przygotowanie DKIM i SPF dla nowego dostawcy

Rekordy, które niczego nie zepsują, można przygotować już wcześniej:

• DKIM nowego dostawcy. Nowy dostawca podaje selektor i klucz, na przykład x._domainkey z rekordem TXT v=DKIM1; k=rsa; p=.... Ponieważ selektor nazywa się inaczej niż u Microsoft (selector1 i selector2), mogą spokojnie współistnieć obok siebie. Każdy odbiorca sprawdza tylko ten selektor, który znajduje się w podpisie wiadomości.
• Rozszerzenie SPF, a nie jego zastąpienie. Może istnieć tylko jeden rekord SPF. Proszę dodać nowego dostawcę do tego samego rekordu, tak aby w dniach przejściowych oba mogły wysyłać pocztę:

"v=spf1 include:spf.protection.outlook.com include:spf.mailaanbieder.example ~all"

Piekarnia miała -all. W okresie przejściowym tymczasowo wybierają ~all (softfail): jeśli jakiegoś serwera jednak zabraknie, wiadomość zostanie raczej uznana za podejrzaną niż odrzucona. Jest to zgodne z regułą ogólną: ~all, gdy nie są Państwo całkowicie pewni, -all, gdy mają Państwo pewność, że wszyscy nadawcy są uwzględnieni.

Proszę nie zapomnieć o pozostałych nadawcach z listy z lekcji 4.1: sklepie internetowym, usłudze newslettera, księgowości. Pozostają one w rekordzie SPF.

Krok 3, moment przełączenia: MX i autodiscover

W ustalonym momencie, po wykonaniu pierwszej kopii skrzynek pocztowych (lekcja 4.2):

1. Proszę zastąpić rekordy MX tymi od nowego dostawcy. Proszę usunąć stary MX; nie wolno zostawiać go jako „rezerwy” z wyższym priorytetem, ponieważ wtedy poczta zacznie docierać do starego dostawcy, gdy tylko nowy będzie działał nieco wolniej.
2. Proszę dostosować autodiscover. Outlook szuka swoich ustawień za pomocą autodiscover.example.com. Jeśli nadal wskazuje on na autodiscover.outlook.com, Outlook będzie nadal próbował logować się u Microsoft, nawet przy dodawaniu nowego konta. Proszę usunąć ten rekord lub skierować go na to, co podaje nowy dostawca. Niektórzy dostawcy używają zamiast tego autoconfig.example.com (Thunderbird) lub rekordów SRV, takich jak _imaps._tcp i _submission._tcp (RFC 6186).
3. Proszę wykonać drugą kopię skrzynek pocztowych, tak aby poczta z ostatnich godzin również została przeniesiona.

W Microsoft 365 czeka pewne zaskoczenie, które zaskakuje wiele osób. Dopóki example.com jest w środowisku Microsoft 365 zarejestrowana jako zaakceptowana domena, Microsoft dostarcza pocztę między użytkownikami tego samego środowiska wewnętrznie, bez sprawdzania rekordu MX. Jeśli współpracownik, który nadal pracuje w Outlooku u Microsoft, wyśle wiadomość do innego współpracownika, trafi ona do starej skrzynki pocztowej. Dlatego wszystkich pracowników przełącza się tego samego dnia, a po okresie przejściowym usuwa się domenę ze środowiska Microsoft.

Krok 4, DMARC: czujne monitorowanie podczas przejścia

DMARC mówi odbiorcom, co mają zrobić, jeśli wiadomość nie przejdzie weryfikacji SPF lub DKIM, i wysyła Państwu raporty. Piekarnia miała ustawione p=quarantine. To dobre ustawienie, ale podczas przełączenia niebezpieczne: jeśli DKIM u nowego dostawcy jeszcze nie działa, ich własna poczta trafi do klientów do spamu.

Bezpieczne podejście:

• Jeśli nie mają Państwo jeszcze DMARC, proszę zacząć od p=none i adresu rua. Wtedy z Państwa pocztą nic się nie dzieje, ale otrzymują Państwo raporty.
• Jeśli mają Państwo już quarantine lub reject, proszę przed przełączeniem sprawdzić za pomocą wiadomości testowej, czy DKIM nowego dostawcy działa (nagłówek otrzymanej wiadomości pokazuje dkim=pass z d=example.com). W razie wątpliwości proszę tymczasowo ustawić p=none i przez kilka tygodni śledzić raporty.
• Następnie proszę zaostrzać ustawienia krok po kroku: none, potem quarantine, a ewentualnie później reject. Zgodnie z nowym standardem DMARC (RFC 9989) w fazie testowej można też użyć t=y; stary tag pct zostaje wycofany.

Krok 5, po kilku tygodniach: porządkowanie

Jeśli po kilku tygodniach wszystko działa dobrze, proszę uporządkować stare rekordy:

• stary include z SPF (i ewentualnie powrót do -all);
• stare rekordy DKIM (selector1 i selector2);
• rekord weryfikacyjny MS=ms... oraz ewentualne inne rekordy dla Microsoft, takie jak enterpriseregistration i lyncdiscover, jeśli Państwo je mieli;
• TTL z powrotem do zwykłej wartości, na przykład 3600;
• domenę ze starego środowiska Microsoft lub Google.

Jeśli pozostawią Państwo stary include, stary dostawca może jeszcze przez wiele lat wysyłać pocztę w imieniu Państwa domeny. To otwarte drzwi dla nadużyć.

W praktyce: jak to wygląda u dostawcy

W Moje WebOké na karcie DNS znajduje się sekcja Ustawienia e-mail. Pokazuje ona MX, SPF i DMARC z kolorową kropką, a w prawym górnym rogu, którego dostawcę poczty rozpoznaje na podstawie Państwa rekordu MX. Za pomocą opcji Szybkie ustawienia można jednym kliknięciem ustawić rekordy dla danego dostawcy, a żółte ostrzeżenie informuje, że istniejące rekordy MX i SPF zostaną zastąpione. Dlatego proszę najpierw wykonać kopię zapasową DNS, a następnie sprawdzić, czy rekord SPF nadal zawiera Państwa pozostałych nadawców. Na stronie produktu danego pakietu hostingowego znajduje się karta Ustaw adres e-mail, która dla każdego rekordu pokazuje, czy jest Poprawny, Wymaga uwagi, Nieprawidłowy czy Nie znaleziono, oraz podaje wartość z przyciskiem do kopiowania. Jeśli DNS znajduje się u innego dostawcy, proszę przenieść te wartości tam. Inni dostawcy i panele DNS mają podobne zestawienia; same rekordy wszędzie są takie same.

Podsumowanie

• Proszę obniżyć TTL z wyprzedzeniem co najmniej jednego starego okresu TTL i wykonać kopię zapasową strefy DNS.
• Proszę przygotować DKIM nowego dostawcy oraz rozszerzony rekord SPF (jeden rekord, obaj dostawcy) jeszcze przed przełączeniem.
• Proszę przełączyć MX i autodiscover jednocześnie oraz przełączyć wszystkich pracowników tego samego dnia; w przeciwnym razie Microsoft nadal dostarcza pocztę wewnętrzną do starych skrzynek.
• Proszę nie ustawiać DMARC podczas przejścia bardziej restrykcyjnie niż to, czego są Państwo pewni; bez DMARC proszę zacząć od p=none i raportów.
• Po kilku tygodniach proszę uporządkować stary include, rekordy DKIM, rekordy weryfikacyjne oraz domenę w starym środowisku.

Quiz

Zadanie

Zadanie A4.3: Państwa rekordy pocztowe w jednym miejscu. Proszę wpisać swoją domenę oraz selektor DKIM swojego (nowego) dostawcy. Program sprawdzi, czy rekord MX wskazuje na Państwa dostawcę, czy istnieje dokładnie jeden rekord SPF, czy klucz DKIM znajduje się pod danym selektorem oraz czy istnieje dokładnie jeden rekord DMARC. Zmierzy on również TTL rekordu MX na autorytatywnym serwerze nazw: przy planowanym przełączeniu powinno ono wynosić 3600 lub mniej.

Zadanie E4.3: Scenariusz przełączenia. Proszę napisać dla własnej domeny scenariusz działań z tej lekcji: dla każdego kroku datę i godzinę, rekordy przed i po zmianie (stary i nowy SPF jako jedną linię), osobę odpowiedzialną oraz to, co sprawdzają Państwo po każdym kroku.

Więcej informacji

Kroki opisane w tych artykułach dotyczą usług WebOké; u innych dostawców działa to w podobny sposób.

• Podręcznik WebOké 6.7: Karta Konfiguracja poczty e-mail (MX, SPF, DKIM, DMARC)
• Podręcznik WebOké 5.6: Szybka konfiguracja poczty e-mail w DNS
• Podręcznik WebOké 5.7: Przywracanie DNS i tworzenie kopii zapasowej DNS
• Instrukcja DirectAdmin 10.4: Po przeprowadzce: rekordy MX i Państwa urządzenia
• Bezpłatny kurs DNS 4.3: SPF: kto może wysyłać wiadomości w imieniu Państwa domeny?
• Bezpłatny kurs DNS 4.4: DKIM: podpis pod Państwa pocztą
• Bezpłatny kurs DNS 4.5: DMARC: co odbiorcy powinni robić z fałszywą pocztą
• Bezpłatny kurs DNS 6.3: DNS podczas transferu domeny
• RFC 7208 (SPF), RFC 6376 (DKIM), RFC 9989 (DMARC), RFC 6186 (rekordy SRV dla programów pocztowych)