Modul 8 · 8.3
Nettbaserte DNS-verktøy
Modul 8: Sikkerhet og feilsøking · Lesetid: 7 minutter
Læringsmål: Etter denne leksjonen velger du riktig nettbasert verktøy for ethvert spørsmål om DNS-en din, og vet hvordan du leser resultatet.
Nøkkelbegreper: nettbasert dig, DNS-sjekker per land, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, e-postsjekk, domenehelse
Hvorfor nettbaserte verktøy?
Et nettbasert verktøy stiller spørsmålet ditt fra et annet sted enn din egen datamaskin. Det har to fordeler. Du blir ikke påvirket av cachen i din egen datamaskin eller ruter, og du ser det resten av internett ser. I tillegg kombinerer mange verktøy titalls kontroller i ett klikk, der du med dig må stille hvert spørsmål for seg.
Det finnes ikke ett verktøy som gjør alt best. Velg ut fra spørsmålet ditt.
Hvilket verktøy for hvilket spørsmål?
| Spørsmålet ditt | Egnet verktøy | Hva du ser |
|---|---|---|
| "Hva returnerer DNS-en akkurat nå?" | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), eller en annen nettbasert dig | Det samme som dig, uten at du installerer noe |
| "Ser hele verden endringen min allerede?" | dnschecker.org (eller lignende "DNS propagation checkers") | Svaret fra titalls resolvere i ulike land side om side |
| "Er domenet mitt moderne og sikkert satt opp?" | internet.nl (fra det nederlandske Internetstandaarden Platform) | Score for nettsted (IPv6, DNSSEC, https) og e-post (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| "Stemmer DNSSEC-kjeden min?" | DNSViz (dnsviz.net) | Et bilde av kjeden fra roten til domenet ditt, med feil markert i rødt |
| "Er sonen min teknisk korrekt?" | Zonemaster (zonemaster.net) | Grundig kontroll av navnetjenere, delegering, SOA og DNSSEC |
| "Hvordan ser e-postpostene mine ut?" | MXToolbox, en e-postsjekk (for eksempel E-postsjekken fra WebOké), eller kontrollene til e-postleverandøren din | MX, SPF (med antall oppslag), DMARC, svartelister |
| "Kommer e-posten jeg sender frem riktig?" | mail-tester.com, eller en testmail til Gmail med "Vis original" | Om SPF, DKIM og DMARC godkjennes for en ekte e-post |
| "Fungerer nettsted og e-post sammen, alt i én oversikt?" | En domenehelsesjekk (for eksempel Domenehelse fra WebOké) | Navnetjenere, A-post, www, sertifikat, MX, SPF, DMARC, DNSSEC og CAA i én liste |
Verktøyene til WebOké er vist her som eksempel på en "alt i ett"-sjekk; andre hostingleverandører og registrarer har tilsvarende verktøy. Er du i tvil, bruk to verktøy side om side: hvis to uavhengige verktøy sier det samme, stemmer det nesten helt sikkert.
Bruke en nettbasert dig
En nettbasert dig gjør nøyaktig det du lærte i leksjon 8.2. Du fyller inn navnet (for eksempel _dmarc.example.com), velger typen (TXT) og får rå utdata. Googles toolbox viser også statusen (NOERROR, NXDOMAIN, SERVFAIL) og TTL-en. Bruk dette verktøyet når du vil vite nøyaktig hva som står der, for eksempel for å kontrollere at SPF-posten din bare forekommer én gang.
Lese en DNS-sjekker per land
Etter en endring ser du ofte en blanding i en sjekker som dnschecker.org: i noen land den nye adressen med et grønt hakemerke, i andre land fortsatt den gamle. Det er ikke en feil. Hver resolver har hentet posten på et annet tidspunkt og teller ned sin egen TTL (leksjon 6.2).
To ting å være oppmerksom på:
- Ser du det gamle svaret overalt, selv lenge etter at TTL-en er utløpt? Da ligger endringen sannsynligvis ikke på navnetjeneren som verden bruker. Kontroller hvilke navnetjenere domenet ditt har (leksjon 2.1).
- Ser du ingenting hos enkelte resolvere (et kryss)? Da kan det dreie seg om en SERVFAIL, ofte på grunn av DNSSEC. Kontroller i så fall med DNSViz.
internet.nl
internet.nl er en uavhengig test fra det nederlandske Internetstandaarden Platform (blant annet SIDN, NLnet Labs og myndighetene). Det finnes tre tester: nettsted, e-post og din egen tilkobling. Resultatet er en prosentandel med forklaring per del og et "Hvordan forbedre".
Les resultatet med omtanke: ikke alle røde deler er et problem. Mangler for eksempel DANE eller IPv6, fungerer e-posten eller nettstedet ditt fortsatt helt fint, men du oppfyller ikke den aller nyeste standarden. Rødt på "DNSSEC gyldig" eller "SPF" er derimot viktig.
DNSViz
DNSViz tegner tillitskjeden fra leksjon 8.1: blokker for roten, toppdomenet og ditt domene, med piler for DS og DNSKEY. Blått er sikkert, svart betyr usignert (ingen feil) og rødt er ødelagt; hvordan du leser bildet, står i leksjon 8.1. Røde linjer eller røde blokker peker nøyaktig på hvor kjeden brytes, for eksempel "DS har ingen matchende DNSKEY". Det er verktøyet du skal ta frem når du får SERVFAIL og dig +cd likevel gir et svar.
Zonemaster
Zonemaster (laget av blant annet registerforvalterne for .se og .fr) kontrollerer sonen din slik en registerforvalter gjør: er det minst to navnetjenere, gir de alle samme svar, stemmer SOA-serienummeret overalt, er navnetjenerne tilgjengelige via IPv4 og IPv6. Nyttig før du endrer navnetjenere hos en registerforvalter som kontrollerer strengt. Du kan også teste navnetjenere som ennå ikke er koblet til domenet ("undelegated test").
E-postverktøy
En e-postsjekk ser på DNS-siden: finnes det en MX, finnes det nøyaktig én SPF-post, holder den seg innenfor de ti oppslagene, finnes det en DMARC-post. Den kan ikke se om DKIM fungerer, for det må du kjenne selectoren. Det tester du med en ekte e-post: send en til mail-tester.com eller til en Gmail-adresse, og se under "Vis original" om SPF, DKIM og DMARC viser PASS.
I praksis: slik ser det ut i et panel
Mange paneler har sin egen kontroll. I Min side finner du på domenesiden kortet Domain / Email State, med grønne, oransje og røde prikker og noen ganger en reparasjonsknapp. Hos Cloudflare ser du meldinger øverst i DNS-oversikten, hos Google Workspace og Microsoft 365 en kontrollside i administrasjonssenteret. Slike kontroller kjenner din situasjon best; et uavhengig verktøy viser hva omverdenen ser. Bruk dem sammen.
Oppsummering
- Nettbaserte verktøy spør fra et annet sted og påvirkes ikke av din egen cache.
- Nettbasert dig: hva som faktisk står der. DNS-sjekker per land: ser verden det allerede. DNSViz: stemmer DNSSEC-kjeden. Zonemaster: er sonen teknisk korrekt. internet.nl: moderne og sikkert satt opp.
- En e-postsjekk tester postene; en ekte testmail tester om SPF, DKIM og DMARC godkjennes.
- Bruk to verktøy side om side hvis du er i tvil.
Quiz
Oppgave
Oppgave Z8.3: Nettbaserte verktøy. Test internet.nl med nettsted- og e-posttesten fra internet.nl selv. Noter i e-posttesten om DNSSEC for e-postserverne (MX) er gyldig, og finn i DNSViz hvilket algoritmenummer DS-postene til internet.nl bruker. Kontroller deretter med en nettbasert dig hvilken policy (p=) DMARC-posten til internet.nl har. Fyll inn svarene.
Les mer
Disse artiklene beskriver kontrollene til WebOké; de uavhengige verktøyene fungerer for ethvert domene.