Kontrolni popis za vlastitu domenu

Modul 8: Sigurnost i rješavanje problema · Vrijeme čitanja: 10 minuta

Cilj lekcije: Nakon ove lekcije provjeravat ćete vlastitu domenu od vrha prema dnu pomoću fiksnog kontrolnog popisa, i znat ćete kojom se točkom počinje ako web stranica ili pošta ne rade.

Ključni pojmovi: registracija, poslužitelji imena, A/AAAA, www, certifikat, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, sigurnosna kopija

Zašto od vrha prema dnu?

DNS je lanac: bez registracije nema poslužitelja imena, bez poslužitelja imena koji rade nema zapisa, bez A zapisa nema web stranice. Greška na vrhu uzrokuje razne pritužbe pri dnu. Zato popis uvijek prolazite ovim redoslijedom i zaustavljate se kod prve točke koja ne odgovara. Riješite to prvo, a zatim ponovno počnite od vrha.

U popisu stoji example.com: zamijenite to vlastitom domenom. Uz svaku točku stoji dig naredba; može i putem online dig alata (lekcija 8.3). Provjera zdravlja domene, poput one Vašeg hosting partnera ili besplatnog alata Zdravlje domene, obavlja velik dio ovog popisa odjednom, ali korisno je znati što stoji iza toga.

Dio A: temelj

1. Je li domena registrirana i aktivna?

• Kako: whois ili RDAP pretraga (primjerice putem stranice registra, kao što je sidn.nl za .nl), ili whois example.com.
• Dobro: status aktivan (kod .nl: "active"), nije "u karanteni", nije istekla. Vlasnik domene je ispravan.

2. Koje poslužitelje imena ima domena, i ima li ih barem dva?

• Kako: dig +short NS example.com, a za ono što registar prosljeđuje dig +trace example.com.
• Dobro: barem dva poslužitelja imena, od partnera kod kojeg upravljate svojim DNS-om.

3. Odgovaraju li svi poslužitelji imena, i daju li isti odgovor?

• Kako: dig +short SOA example.com @<poslužitelj imena> za svaki poslužitelj imena.
• Dobro: svaki poslužitelj imena odgovara (nema isteka vremena, nema REFUSED) i serijski broj (treće polje SOA zapisa) jednak je posvuda. Poslužitelj imena koji ne odgovara za Vašu domenu naziva se lame.

4. Je li DNSSEC ispravan (ako je uključen)?

• Kako: dig +short DS example.com i dig example.com A @1.1.1.1 (obratite pozornost na status i zastavicu ad); kod sumnje koristite DNSViz.
• Dobro: ili nema DS zapisa (DNSSEC isključen, to normalno radi), ili postoji DS zapis sa statusom NOERROR i zastavicom ad. Pogrešno: SERVFAIL.

Dio B: web stranica

5. Pokazuje li domena na pravi poslužitelj?

• Kako: dig +short A example.com i dig +short AAAA example.com.
• Dobro: IPv4 adresa (i, ako ju imate, IPv6 adresa) poslužitelja na kojem se nalazi Vaša web stranica. Nema starog AAAA zapisa prethodnog poslužitelja.

6. Radi li www?

• Kako: dig +short A www.example.com (ili CNAME).
• Dobro: A zapis, AAAA zapis ili CNAME koji vodi na istu stranicu. Ako nedostaje www, ljudi koji upišu www dobivaju poruku o pogrešci.

7. Ima li stranica valjan certifikat za oba naziva?

• Kako: otvorite https://example.com i https://www.example.com i kliknite na lokot, ili koristite test web stranice na internet.nl.
• Dobro: nema upozorenja, certifikat vrijedi još barem nekoliko tjedana i vrijedi za oba naziva.

8. Smije li Vaš izdavatelj certifikata izdavati certifikate (CAA)?

• Kako: dig +short CAA example.com.
• Dobro: nema CAA zapisa (svatko smije), ili postoji CAA zapis s issue za partnera koji izdaje Vaš certifikat. Pogrešno: CAA zapis koji ne navodi Vašeg izdavatelja.

Dio C: e-pošta

9. Gdje pristiže Vaša e-pošta?

• Kako: dig +short MX example.com, a zatim dig +short A <poslužitelj pošte> za prvi naziv.
• Dobro: MX zapisi Vašeg trenutnog pružatelja usluge e-pošte, i nema zaostalih MX zapisa starog pružatelja. Svaki naziv poslužitelja pošte ima A ili AAAA zapis. Ako ne koristite domenu za e-poštu, null MX (0 .) može jasno pokazati da e-pošta ne pristiže.

10. Postoji li točno jedan ispravan SPF zapis?

• Kako: dig +short TXT example.com i pogledajte retke koji počinju s v=spf1; provjera e-pošte broji pretrage.
• Dobro: točno jedan SPF zapis, sa svim uslugama koje šalju e-poštu u ime Vaše domene, koji završava na ~all ili -all (nikad +all), i ne više od deset DNS pretraga.

11. Je li DKIM postavljen za svaku uslugu koja šalje e-poštu?

• Kako: dig +short TXT <selektor>._domainkey.example.com (ili CNAME) za svaki selektor koji poznajete, kao što je onaj Vašeg pružatelja usluge e-pošte i Vaše usluge za newsletter. Selektor se nalazi u uputama usluge ili u zaglavlju DKIM-Signature: ... s=<selektor> poslane poruke.
• Dobro: svaki zapis daje ključ (v=DKIM1; ... p=...) ili CNAME prema usluzi, a testna poruka pokazuje DKIM PASS.

12. Postoji li DMARC zapis?

• Kako: dig +short TXT _dmarc.example.com.
• Dobro: točno jedan zapis koji počinje s v=DMARC1 i ima valjanu politiku (p=none, p=quarantine ili p=reject). Ako ste počeli s p=none, planirajte pooštravanje.

13. Stiže li stvarna poruka ispravno?

• Kako: pošaljite poruku na mail-tester.com ili na Gmail adresu i pogledajte "Prikaži original".
• Dobro: SPF, DKIM i DMARC na PASS.

Dio D: održavanje

14. Jesu li TTL vrijednosti razumne?

• Kako: dig example.com A @<Vaš poslužitelj imena> i pogledajte TTL.
• Dobro: obično 3600 do 86400 (jedan sat do jedan dan). Samo privremeno 300 oko planirane izmjene. Ako zaboravite vratiti vrijednost nakon prijenosa, nije ozbiljno, ali uzrokuje nepotreban dodatni promet.

15. Imate li sigurnosnu kopiju svoje zone?

• Kako: gumb za sigurnosnu kopiju ili izvoz u Vašoj DNS upravljačkoj ploči, ili dig po zapisu ako to nemate.
• Dobro: nedavna kopija svih zapisa, pohranjena izvan upravljačke ploče.

16. Nema li zaboravljenih zapisa?

• Kako: prođite kroz sve zapise u Vašoj upravljačkoj ploči.
• Dobro: nema zapisa za provjeru ili poddomena usluga koje više ne koristite. CNAME koji vodi prema otkazanoj usluzi može netko drugi "preuzeti" (subdomain takeover): uklonite ga.

Gdje počinjete kod pritužbe?

U praksi: kako to izgleda u upravljačkoj ploči

Provjera zdravlja domene automatski obavlja velik dio ovog popisa. U Mojem WebOké to se nalazi na stranici domene kao kartica Domain / Email gezondheid, sa zelenom, narančastom i crvenom bojom po točki; javna verzija radi za svaku domenu. Drugi hosting partneri, registrari i DNS partneri imaju slične provjere, a internet.nl neovisno testira velik dio dijelova B i C. Koristite takvu provjeru kao polaznu točku, a ovaj popis za razumijevanje onoga što je označeno crvenom bojom.

Sažetak

• Prođite popis od vrha prema dnu i zaustavite se kod prve točke koja ne odgovara.
• Temelj: registracija, poslužitelji imena, jednaki odgovori, DNSSEC.
• Web stranica: A/AAAA, www, certifikat, CAA.
• E-pošta: MX s adresom, jedan SPF, DKIM po usluzi, jedan DMARC, testna poruka.
• Održavanje: TTL, sigurnosna kopija, čišćenje.

Kviz

Zadatak

Zadatak Z8.5: Završni zadatak: Vaša vlastita domena. Provjerite vlastitu domenu pomoću ovog kontrolnog popisa. Unesite naziv svoje domene u okruženje tečaja i odgovorite po točkama dijela A, B i C što ste pronašli (primjerice Vaše poslužitelje imena, Vaš MX, Vaš SPF zapis i Vašu DMARC politiku). Program provodi iste provjere i uspoređuje rezultate. Ako nešto u Vašoj domeni nije ispravno, dobit ćete objašnjenje s uputom na odgovarajuću lekciju. Ako nemate vlastitu domenu, koristite sidn.nl.

Dodatno štivo

Ovi članci opisuju provjere kod WebOké; kontrolni popis vrijedi za svaku domenu.

• Priručnik za WebOké 5.17: Zdravlje domene i e-pošte: provjera i popravak
• Web stranica ili e-pošta ne rade nakon preseljenja ili izmjene DNS-a: provjerite svoju domenu
• Priručnik za WebOké 5.7: Vraćanje DNS-a i izrada sigurnosne kopije DNS-a
• Izrada i vraćanje sigurnosne kopije DNS-a
• Besplatan alat Zdravlje domene: https://www.weboke.hr/zdravlje-domene
• Besplatna provjera e-pošte: https://www.weboke.hr/provjera-e-poste