Modul 8 · 8.4
Najčešće pogreške
Modul 8: Sigurnost i rješavanje problema · Vrijeme čitanja: 10 minuta
Cilj lekcije: Nakon ove lekcije prepoznat ćete deset najčešće počinjenih DNS pogrešaka po njihovim simptomima i znat ćete kako ih riješiti.
Ključni pojmovi: točka na kraju, duplirana domena, izmjena na pogrešnom mjestu, dva SPF zapisa, CNAME na goloj domeni, zaboravljeni AAAA, MX bez adrese, proxy za e-poštu, stara DS nakon prijenosa, predmemorija (cache)
Kako koristiti ovu lekciju
Pogreške u nastavku ne potječu iz udžbenika, nego iz pitanja koja hosting pružatelji dobivaju svaki tjedan. Za svaku pogrešku vidjet ćete: što korisnik primjećuje, kako to dokazati jednim upitom i koje je rješenje. Kad imate problem, uvijek počnite s istim dvama pitanjima: koje poslužitelje imena domena ima (dig +short NS example.com) i što vraća autoritativni poslužitelj imena (dig @<nameserver> <naziv> <tip>). Time ćete već riješiti polovicu slučajeva.
1. Zaboravljena točka na kraju
Simptom: CNAME, MX ili NS ne radi; usluga javlja "zapis nije pronađen".
Dokazivanje: dig +short CNAME shop.example.com vraća shops.platform.example.example.com.
Uzrok: u zoni je naziv bez točke na kraju relativan: panel na njega lijepi Vašu vlastitu domenu (lekcija 2.2).
Rješenje: zapišite ciljani naziv kao potpuni naziv s točkom (shops.platform.example.). Neki paneli sami dodaju točku; nakon spremanja provjerite što je stvarno upisano.
2. Domena duplirana u nazivu
Simptom: provjera ili DKIM provjera kod neke usluge ne uspijeva, iako zapis "postoji".
Dokazivanje: dig +short TXT k2._domainkey.example.com ne vraća ništa, ali dig +short TXT k2._domainkey.example.com.example.com vraća.
Uzrok: usluga navodi potpuni naziv (k2._domainkey.example.com), a Vaš panel na njega ponovno dodaje domenu.
Rješenje: u polje za naziv unesite samo dio ispred Vaše domene: k2._domainkey. Panel obično ispod polja prikazuje potpuni naziv: provjerite ga.
3. Izmjena na pogrešnom mjestu
Simptom: prilagodite zapis, no ništa se ne mijenja, čak ni nakon jednog dana.
Dokazivanje: dig +short NS example.com vraća poslužitelje imena druge strane od one gdje ste izmjenu napravili (na primjer graditelja web stranica ili Cloudflare).
Uzrok: samo strana čiji su poslužitelji imena navedeni određuje DNS (lekcija 2.1). Zapisi na drugom mjestu nemaju nikakav učinak.
Rješenje: promijenite zapis kod strane koja upravlja poslužiteljima imena, ili vratite poslužitelje imena natrag. Stvaran primjer: netko je poslužitelje imena postavio na platformu za izradu web stranica radi web stranice, no A zapis za mail tamo nije postojao. Posljedica: slanje je uspijevalo, primanje ne, jer je MX upućivao na mail.example.com, a taj naziv više nije postojao.
4. Dva SPF zapisa
Simptom: e-pošta sve češće završava u neželjenoj pošti ili se odbija otkad ste povezali novu uslugu.
Dokazivanje: dig +short TXT example.com vraća dva retka koji počinju s v=spf1.
Uzrok: nova usluga je rekla "dodajte ovaj SPF zapis", što je i doslovno učinjeno. S dva SPF zapisa SPF postaje nevažeći (permerror, RFC 7208), što je gore nego da SPF uopće nema.
Rješenje: spojite ih u jedan zapis: v=spf1 a mx include:_spf.hosting.example include:spf.service.example ~all. Obratite pozornost na granicu od deset upita (lekcija 4.3).
5. CNAME na goloj domeni
Simptom: panel odbija zapis, ili nakon spremanja e-pošta prestaje raditi.
Dokazivanje: usluga traži "izradite CNAME za @".
Uzrok: CNAME ne smije postojati uz druge zapise, a na goloj domeni uvijek postoje SOA i NS zapisi (i često MX i TXT). Pogledajte lekciju 3.2.
Rješenje: na @ koristite A zapis (i po potrebi AAAA) koji navede usluga, a CNAME koristite samo za www ili poddomenu. Neke DNS strane imaju ALIAS ili "CNAME flattening" za ovaj slučaj.
6. Zaboravljeni AAAA kod prijenosa
Simptom: nakon prijenosa dio posjetitelja (često mobilnih) i dalje vidi staru stranicu, ili se javlja pogreška certifikata.
Dokazivanje: dig +short A example.com vraća novu adresu, dig +short AAAA example.com i dalje vraća adresu starog poslužitelja.
Uzrok: uređaji s IPv6 vezom radije koriste AAAA. Promijenjen je samo A zapis.
Rješenje: prilagodite i AAAA zapis, ili ga uklonite ako novi poslužitelj nema IPv6. Stvaran primjer: pri povezivanju platforme za internetsku trgovinu, uz novi A zapis trebalo je ukloniti i stari AAAA zapis, inače je trgovina ostala nedostupna za dio posjetitelja.
7. MX koji ne upućuje ni na što
Simptom: ne primate e-poštu; pošiljatelji dobivaju poruku o pogrešci.
Dokazivanje: dig +short MX example.com vraća 10 mail.example.com., ali dig +short A mail.example.com ne vraća ništa (NXDOMAIN).
Uzrok: MX upućuje na naziv, a taj naziv mora imati A ili AAAA zapis. Često A zapis za mail nestane prilikom prijenosa poslužitelja imena. MX također ne smije upućivati na IP adresu ili na CNAME (RFC 2181).
Rješenje: izradite A zapis za naziv poslužitelja e-pošte, ili neka MX upućuje na naziv koji ima adresu.
8. E-pošta negdje drugdje, ali stari poslužitelj misli da on treba dostaviti poštu
Simptom: e-pošta izvana ispravno stiže kod Vašeg novog pružatelja, ali e-pošta s Vaše vlastite web stranice (kontaktni obrazac, internetska trgovina) nikad ne stigne. Ponekad dobijete 550 Unknown user.
Dokazivanje: MX upućuje na novog pružatelja, ali na web poslužitelju je i dalje uključena lokalna dostava e-pošte.
Uzrok: ovo nije DNS pogreška, iako tako izgleda. Web poslužitelj koji misli da sam ima poštanske sandučiće, ne gleda u MX.
Rješenje: u panelu Vašeg hostinga isključite lokalnu dostavu (u DirectAdminu: kvačica "Koristi ovaj poslužitelj za obradu moje e-pošte" / "Use this server to handle my e-mail"). Drugi paneli imaju sličnu postavku, često nazvanu "Remote mail exchanger" ili "e-pošta vanjska".
9. Uključen proxy za e-poštu
Simptom: kod DNS strane s proxy funkcijom (poput narančastog oblačića kod Cloudflarea) web stranica radi, ali Vaš program za e-poštu se ne može povezati, ili se certifikat stranice ne obnavlja.
Dokazivanje: dig +short A mail.example.com vraća adresu proxyja umjesto Vašeg poslužitelja e-pošte.
Uzrok: web proxy prosljeđuje samo web promet, ne i e-poštu.
Rješenje: isključite proxy (sivi oblačić, "DNS only") za mail i sve nazive koje koristi Vaš program za e-poštu. Za certifikate: privremeno isključite proxy dok se certifikat ne izda, ili koristite ispravan SSL način rada kod proxyja.
10. Stara DS nakon prijenosa
Simptom: nakon prijenosa poslužitelja imena Vaša je domena nedostupna za dio svijeta; drugi ljudi nemaju nikakvih problema.
Dokazivanje: dig example.com @1.1.1.1 vraća SERVFAIL, dok dig +cd example.com @1.1.1.1 ipak vraća odgovor. DNSViz (https://dnsviz.net/, lekcija 8.1) prikazuje DS crvenom bojom i ispod nje crta sivi, iscrtkani ključ koji više nije u Vašoj zoni. Zonemaster i Verisign DNSSEC Debugger prijavljuju isto riječima.
Uzrok: kod registra i dalje postoji DS stare strane (lekcija 8.1). Samo validirajući resolveri neuspješno rješavaju, pa to ne primijete svi.
Rješenje: zatražite ažuriranje DS zapisa s ključem nove strane, ili ga uklonite i zatim ponovno uključite DNSSEC.
I "pogreška" koja to nije: predmemorija
Vrlo često je sve u redu, ali Vi i dalje vidite stari odgovor. Prepoznajete po tome što: dig @<nameserver> vraća novi odgovor, internetski alat za provjeru u drugim zemljama također, samo Vaše računalo ne. Rješenje: privatni prozor, telefon preko 4G/5G mreže, ili pražnjenje predmemorije (lekcija 8.2). Zaboravljeni redak u hosts datoteci Vašeg računala (iz ranijeg testiranja prije prijenosa) daje istu sliku: uklonite taj redak.
Srodna zamka: dohvaćanje novog naziva prije nego što je izrađen. Resolver tada pamti "ne postoji" (negativna predmemorija) i potrebno je više vremena da novi naziv počne raditi (lekcija 6.2).
U praksi: kako to izgleda u panelu
Mnogi paneli sprječavaju dio ovih pogrešaka. Moj WebOké, primjerice, upozorava ako nedostaje točka na kraju i ispod polja za naziv prikazuje potpuni naziv; DirectAdmin odbija zapise koji nisu valjani s porukom "Error Writing Records". Cloudflare i druge strane imaju slična upozorenja. Prije većih izmjena napravite sigurnosnu kopiju ili izvoz Vaše zone, kako biste se uvijek mogli vratiti.
Sažetak
- Uvijek počnite s: koji su poslužitelji imena i što kaže autoritativni poslužitelj imena.
- Većina pogrešaka nalazi se u nazivu (točka, duplirana domena) ili na mjestu (pogrešna strana).
- Jedan SPF zapis, bez CNAME-a na @, prijenos AAAA zajedno s A zapisom, MX prema nazivu koji ima adresu.
- SERVFAIL nakon prijenosa obično je posljedica stare DS vrijednosti.
- Ako samo Vi vidite stari odgovor, riječ je o Vašoj predmemoriji ili hosts datoteci.
Kviz
Zadatak
Zadatak Z8.4: Prepoznavanje pogrešaka. Dobivate pet kratkih slučajeva zajedno s izlaznim podacima naredbe dig (u okruženju tečaja). Za svaki slučaj odaberite o kojoj je od deset pogrešaka riječ. Zatim slijedi stvarna potraga: pomoću dig naredbe ili internetskog alata istražite koji je zapis za dnssec-failed.org pogrešan (status i što daje +cd), te ima li wikipedia.org točno jedan SPF zapis.
Daljnje čitanje
Ovi članci opisuju rješenja u panelima WebOké; kod drugih strana gumbi se drukčije zovu.
- Web stranica ili e-pošta ne rade nakon preseljenja ili izmjene DNS-a: provjerite svoju domenu
- Koliko dugo traje promjena nameservera ili DNS-a, i što ako je ne vidite?
- DirectAdmin priručnik 18.7: Moja domena još ne radi nakon prijenosa ili izmjene
- DirectAdmin priručnik 18.9: Ne primam više e-poštu
- DirectAdmin priručnik 5.4: CNAME-zapisi i točka na kraju
- Slanje e-pošte putem PHP-a ne radi, MX zapisi upućuju na drugi server
- Korištenje vlastitih ili eksternih nameservera (poput Cloudflare) za Vašu domenu