Prelazak u DNS-u: MX, SPF, DKIM i DMARC

Modul 4: Preseljenje e-pošte · Vrijeme čitanja: 12 minuta

Cilj učenja: Nakon ove lekcije moći ćete pravilnim redoslijedom isplanirati i provesti promjenu DNS zapisa za e-poštu, tako da se ne izgubi nijedna poruka, da Vaša odlazna pošta ne završi u spamu i da Outlook potajno ne nastavi kucati na vrata starog pružatelja usluge.

Ključni pojmovi: TTL, promjena MX zapisa, SPF (jedan zapis), DKIM selektor, DMARC (p=none, rua), autodiscover, autoconfig, verifikacijski zapis, prihvaćena domena (accepted domain)

Pet zapisa, jedan trenutak

Za e-poštu na Vašoj vlastitoj domeni u DNS-u se nalazi nekoliko zapisa koji zajedno određuju stiže li pošta i vjeruje li se Vašoj pošti:

Kod selidbe se gotovo sve ovo mijenja. Vještina je u redoslijedu. Ako promijenite MX dok SPF i DKIM još vrijede samo za Microsoft, Vaša pošta će doduše stizati, ali pošta koju šaljete završit će u spamu. Ako prvo promijenite SPF, Microsoft u danima prije toga više neće moći ispravno slati poštu u Vaše ime.

Ova lekcija govori o redoslijedu. Kako točno funkcionira svaki zapis, pročitajte u DNS tečaju (lekcije 4.1 do 4.5).

Korak 1, dva dana unaprijed: snižavanje TTL-a i sigurnosna kopija

Svaki DNS zapis ima TTL (time to live): koliko dugo drugi poslužitelji smiju pamtiti odgovor. Ako je TTL Vašeg MX zapisa postavljen na 86400 sekundi (jedan dan), neki poslužitelji će nakon promjene i dalje do dan dana slati poštu na stari poslužitelj.

Zato barem jedan stari TTL unaprijed snizite, TTL za MX, SPF i autodiscover, na 300 ili 3600 sekundi. Kod TTL-a od dan dana to dakle radite barem dan dana unaprijed; dva dana je dovoljno vremena. Istovremeno napravite sigurnosnu kopiju Vaše DNS zone, ili zapišite sve trenutačne zapise. Tako se uvijek možete vratiti.

Pekarnica De Korrel vidi sljedeće:

example.com.            3600  IN  MX   0 example-com.mail.protection.outlook.com.
example.com.            3600  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
selector1._domainkey    3600  IN  CNAME selector1-example-com._domainkey.korrel.onmicrosoft.com.
selector2._domainkey    3600  IN  CNAME selector2-example-com._domainkey.korrel.onmicrosoft.com.
_dmarc.example.com.     3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
autodiscover            3600  IN  CNAME autodiscover.outlook.com.
example.com.            3600  IN  TXT  "MS=ms12345678"

TTL je već 3600 (jedan sat). Postavljaju MX i SPF na 300.

Korak 2, prije promjene: priprema DKIM-a i SPF-a za novog pružatelja usluge

Zapise koji ništa ne kvare, postavljate unaprijed:

• DKIM novog pružatelja usluge. Novi pružatelj usluge daje selektor i ključ, na primjer x._domainkey s TXT zapisom v=DKIM1; k=rsa; p=.... Budući da se selektor zove drugačije nego kod Microsofta (selector1 i selector2), mogu mirno stajati jedan pored drugoga. Svaki primatelj gleda samo selektor koji je naveden u potpisu poruke.
• Proširite SPF, nemojte ga zamijeniti. Smije postojati samo jedan SPF zapis. Dodajte novog pružatelja usluge u isti zapis, tako da u prijelaznim danima obojica smiju slati poštu:

"v=spf1 include:spf.protection.outlook.com include:spf.mailaanbieder.example ~all"

Pekarnica je imala -all. Tijekom prijelaza privremeno biraju ~all (softfail): ako ipak nedostaje neki poslužitelj, pošta će se prije smatrati sumnjivom nego što će biti odbijena. To slijedi pravilo: ~all ako niste sasvim sigurni, -all ako sa sigurnošću znate da su svi pošiljatelji navedeni.

Ne zaboravite ostale pošiljatelje s Vašeg popisa iz lekcije 4.1: internetsku trgovinu, službu za newsletter, knjigovodstvo. Oni ostaju navedeni u SPF zapisu.

Korak 3, trenutak promjene: MX i autodiscover

U dogovorenom trenutku, nakon što je prva kopija poštanskih sandučića spremna (lekcija 4.2):

1. Zamijenite MX zapise onima novog pružatelja usluge. Uklonite stari MX; nemojte ga ostaviti kao "rezervu" s višim prioritetom, jer će u tom slučaju pošta stizati kod starog pružatelja usluge čim novi malo uspori.
2. Prilagodite autodiscover. Outlook traži svoje postavke putem autodiscover.example.com. Ako to i dalje pokazuje na autodiscover.outlook.com, Outlook će i dalje pokušavati prijaviti se kod Microsofta, čak i kad dodate novi račun. Uklonite ga ili ga usmjerite na ono što navede Vaš novi pružatelj usluge. Neki pružatelji usluge umjesto toga koriste autoconfig.example.com (Thunderbird) ili SRV zapise poput _imaps._tcp i _submission._tcp (RFC 6186).
3. Pokrenite drugu kopiju poštanskih sandučića, tako da pošta iz posljednjih sati bude uključena.

Kod Microsoft 365 postoji iznenađenje koje mnoge zatekne. Dok god example.com u Microsoft 365 okruženju figurira kao prihvaćena domena (accepted domain), Microsoft poštu između korisnika tog istog okruženja dostavlja interno, ne gledajući MX zapis. Ako kolega koji još uvijek radi u Outlooku kod Microsofta pošalje poštu drugom kolegi, ta pošta stiže u stari poštanski sandučić. Zato sve zaposlenike prebacujete istoga dana, a domenu nakon prijelaznog razdoblja uklanjate iz Microsoftovog okruženja.

Korak 4, DMARC: praćenje tijekom prijelaza

DMARC govori primateljima što trebaju napraviti ako poruka ne prođe SPF ili DKIM provjeru, te Vam šalje izvještaje. Pekarnica je imala p=quarantine. To je dobro, ali tijekom promjene opasno: ako DKIM kod novog pružatelja usluge još nije uključen, njihova vlastita pošta kod klijenata završava u spamu.

Siguran pristup:

• Ako još nemate DMARC, počnite s p=none i rua adresom. Tada se s Vašom poštom ništa ne događa, ali dobivate izvještaje.
• Ako već imate quarantine ili reject, prije promjene testnom porukom provjerite radi li DKIM novog pružatelja usluge (zaglavlje primljene poruke pokazuje dkim=pass s d=example.com). Ako niste sigurni, privremeno postavite p=none i pratite izvještaje nekoliko tjedana.
• Zatim postupno pooštravajte: none, pa quarantine, pa eventualno reject. Prema novom DMARC standardu (RFC 9989) u testnoj fazi možete koristiti i t=y; stara oznaka pct više se ne koristi.

Korak 5, nakon nekoliko tjedana: čišćenje

Ako sve dobro radi nekoliko tjedana, raščistite stare zapise:

• stari include u SPF-u (i eventualno natrag na -all);
• stare DKIM zapise (selector1 i selector2);
• verifikacijski zapis MS=ms... i eventualne druge zapise za Microsoft, poput enterpriseregistration i lyncdiscover ako ste ih imali;
• TTL vratite na uobičajenu vrijednost, poput 3600;
• domenu uklonite iz starog Microsoft ili Google okruženja.

Ako ostavite stari include, stari pružatelj usluge i dalje godinama smije slati poštu u ime Vaše domene. To je otvorena vrata.

U praksi: ovako to izgleda kod jednog pružatelja usluge

U Mojem WebOké na kartici DNS nalazi se kartica E-mail postavke. Ona prikazuje MX, SPF i DMARC s obojenom točkom, a gore desno koji pružatelj e-pošte je prepoznat prema Vašem MX zapisu. Pomoću Brzog postavljanja odjednom postavljate zapise za jednog pružatelja usluge, a žuta poruka upozorava da će postojeći MX i SPF zapisi biti zamijenjeni. Zato prvo napravite sigurnosnu kopiju DNS-a, a zatim provjerite sadrži li SPF zapis i dalje Vaše ostale pošiljatelje. Na stranici proizvoda hosting paketa nalazi se kartica E-mail instellen, koja za svaki zapis prikazuje je li status Correct, Let op, Onjuist ili Niet gevonden, te daje vrijednost s gumbom za kopiranje. Ako se DNS nalazi kod drugog pružatelja usluge, te vrijednosti preuzimate tamo. Drugi pružatelji usluge i DNS paneli imaju slične preglede; sami zapisi su posvuda isti.

Sažetak

• Snizite TTL barem jedan stari TTL unaprijed i napravite sigurnosnu kopiju Vaše DNS zone.
• DKIM novog pružatelja usluge i prošireni SPF zapis (jedan zapis, oba pružatelja usluge) pripremite već prije promjene.
• Promijenite MX i autodiscover istovremeno, i prebacite sve zaposlenike istoga dana; inače Microsoft internu poštu i dalje dostavlja u stare poštanske sandučiće.
• DMARC tijekom prijelaza nemojte postaviti strože nego što sa sigurnošću znate; ako nemate DMARC, počnite s p=none i izvještajima.
• Nakon nekoliko tjedana raščistite stari include, DKIM zapise, verifikacijske zapise i domenu u starom okruženju.

Kviz

Zadatak

Zadatak A4.3: Pregled Vaših zapisa za e-poštu. Unesite svoju domenu i DKIM selektor svojeg (novog) pružatelja usluge. Program provjerava pokazuje li MX na Vašeg pružatelja usluge, postoji li točno jedan SPF zapis, nalazi li se DKIM ključ na tom selektoru i postoji li točno jedan DMARC zapis. Također mjeri TTL Vašeg MX zapisa na mjerodavnom (authoritative) imenskom poslužitelju: za planiranu promjenu taj TTL mora biti 3600 ili niži.

Zadatak E4.3: Vaš scenarij prelaska. Za vlastitu domenu napišite scenarij iz ove lekcije: za svaki korak datum i vrijeme, zapise prije i poslije (stari i novi SPF kao jedan redak), tko to radi, i što provjeravate nakon svakog koraka.

Dodatno štivo

Koraci u ovim člancima vrijede za usluge WebOké; kod drugih pružatelja usluge postupak je sličan.

• Priručnik za WebOké 6.7: Kartica Postavljanje e-pošte (MX, SPF, DKIM, DMARC)
• Priručnik za WebOké 5.6: Brzo postavljanje e-pošte u DNS-u
• Priručnik za WebOké 5.7: Vraćanje DNS-a i izrada sigurnosne kopije DNS-a
• DirectAdmin priručnik 10.4: Nakon preseljenja: MX zapisi i Vaši uređaji
• Besplatni DNS tečaj 4.3: SPF: tko smije slati poštu u ime Vaše domene?
• Besplatni DNS tečaj 4.4: DKIM: digitalni potpis ispod Vaše pošte
• Besplatni DNS tečaj 4.5: DMARC: što primatelji trebaju raditi s lažnom poštom
• Besplatni DNS tečaj 6.3: DNS kod prijenosa domene
• RFC 7208 (SPF), RFC 6376 (DKIM), RFC 9989 (DMARC), RFC 6186 (SRV zapisi za programe za e-poštu)