Sjekkliste for ditt eget domene

Modul 8: Sikkerhet og feilsøking · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kontrollerer du ditt eget domene fra topp til bunn med en fast sjekkliste, og vet du ved hvilket punkt du begynner når nettstedet eller e-posten ikke fungerer.

Nøkkelbegreper: registrering, navnetjenere, A/AAAA, www, sertifikat, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, sikkerhetskopi

Hvorfor fra topp til bunn?

DNS er en kjede: uten registrering ingen navnetjenere, uten fungerende navnetjenere ingen poster, uten A-post ingen nettside. En feil øverst forårsaker all slags klager lenger nede. Derfor går du alltid gjennom listen i denne rekkefølgen, og stopper du ved det første punktet som ikke stemmer. Løs det først, og begynn deretter på nytt fra toppen.

I listen står det example.com: bytt det ut med ditt eget domene. Ved hvert punkt står det et dig-kommando; med en nettbasert dig (leksjon 8.3) går det også. En domenehelsesjekk, som den fra hostingleverandøren din eller den gratis Domenehelse-sjekken, gjør en stor del av denne listen på én gang, men det er greit å vite hva som ligger bak.

Del A: fundamentet

1. Er domenet registrert og aktivt?

• Hvordan: et whois- eller RDAP-oppslag (for eksempel via registryens nettside, som sidn.nl for .nl), eller whois example.com.
• Bra: status aktiv (for .nl: "active"), ikke "i karantene", ikke utløpt. Domeneinnehaveren stemmer.

2. Hvilke navnetjenere har domenet, og er det minst to?

• Hvordan: dig +short NS example.com, og for hva registryen videreformidler dig +trace example.com.
• Bra: minst to navnetjenere, fra den leverandøren der du administrerer DNS-en din.

3. Svarer alle navnetjenerne, og gir de samme svar?

• Hvordan: dig +short SOA example.com @<nameserver> for hver navnetjener.
• Bra: hver navnetjener svarer (ingen time-out, ingen REFUSED) og serienummeret (tredje felt i SOA) er likt overalt. En navnetjener som ikke svarer for ditt domene, kalles lame.

4. Stemmer DNSSEC (hvis det er slått på)?

• Hvordan: dig +short DS example.com og dig example.com A @1.1.1.1 (se på status og flagget ad); ved tvil DNSViz.
• Bra: enten ingen DS (DNSSEC av, det fungerer helt fint), eller en DS med status NOERROR og flagget ad. Feil: SERVFAIL.

Del B: nettstedet

5. Peker domenenavnet til riktig server?

• Hvordan: dig +short A example.com og dig +short AAAA example.com.
• Bra: IPv4-adressen (og, hvis du har en, IPv6-adressen) til serveren der nettstedet ditt ligger. Ingen gammel AAAA fra en tidligere server.

6. Fungerer www?

• Hvordan: dig +short A www.example.com (eller CNAME).
• Bra: en A-post, AAAA-post eller CNAME som peker til samme nettsted. Mangler www, får folk som skriver www en feilmelding.

7. Har nettstedet et gyldig sertifikat for begge navnene?

• Hvordan: åpne https://example.com og https://www.example.com og klikk på hengelåsen, eller bruk nettstedtesten til internet.nl.
• Bra: ingen advarsel, sertifikatet er gyldig i minst noen uker til, og gjelder for begge navnene.

8. Har sertifikatutstederen din lov til å utstede sertifikater (CAA)?

• Hvordan: dig +short CAA example.com.
• Bra: ingen CAA-post (alle har lov), eller en CAA-post med issue for den leverandøren som utsteder sertifikatet ditt. Feil: en CAA som ikke nevner din utsteder.

Del C: e-posten

9. Hvor kommer e-posten din inn?

• Hvordan: dig +short MX example.com, og deretter dig +short A <mailserver> for det første navnet.
• Bra: MX-postene til din nåværende e-postleverandør, og ingen gjenværende MX fra en tidligere leverandør. Hvert e-postserver-navn har en A- eller AAAA-post. Bruker du ikke domenet til e-post, kan en null-MX (0 .) tydeliggjøre at det ikke kommer inn noen e-post.

10. Er det nøyaktig én korrekt SPF-post?

• Hvordan: dig +short TXT example.com og se på linjene som begynner med v=spf1; en e-postsjekk teller oppslagene.
• Bra: nøyaktig én SPF-post, med alle tjenester som sender e-post på vegne av domenet ditt, som ender på ~all eller -all (aldri +all), og ikke mer enn ti DNS-oppslag.

11. Er DKIM konfigurert for hver tjeneste som sender e-post?

• Hvordan: dig +short TXT <selector>._domainkey.example.com (eller CNAME) for hver selector du kjenner, som den fra e-postleverandøren din og nyhetsbrevtjenesten din. Selectoren finner du i instruksjonene til tjenesten eller i overskriften DKIM-Signature: ... s=<selector> i en sendt e-post.
• Bra: hver post gir en nøkkel (v=DKIM1; ... p=...) eller en CNAME til tjenesten, og en testmail viser PASS på DKIM.

12. Er det en DMARC-post?

• Hvordan: dig +short TXT _dmarc.example.com.
• Bra: nøyaktig én post som begynner med v=DMARC1 og har en gyldig policy (p=none, p=quarantine eller p=reject). Begynte du med p=none? Planlegg da å stramme den inn.

13. Kommer en ekte e-post riktig frem?

• Hvordan: send en e-post til mail-tester.com eller til en Gmail-adresse og se på "Vis original".
• Bra: SPF, DKIM og DMARC på PASS.

Del D: vedlikehold

14. Er TTL-ene fornuftige?

• Hvordan: dig example.com A @<din navnetjener> og se på TTL-en.
• Bra: normalt 3600 til 86400 (en time til en dag). Bare rundt en planlagt endring midlertidig 300. Å glemme å sette den tilbake etter en flytting er ikke farlig, men gir unødvendig mye trafikk.

15. Har du en sikkerhetskopi av sonen din?

• Hvordan: sikkerhetskopi- eller eksportknappen i DNS-panelet ditt, eller dig per post hvis du ikke har det.
• Bra: en nylig kopi av alle poster, lagret utenfor panelet.

16. Finnes det ingen glemte poster?

• Hvordan: gå gjennom alle postene i panelet ditt.
• Bra: ingen verifiseringsposter eller underdomener for tjenester du ikke lenger bruker. En CNAME til en oppsagt tjeneste kan bli "overtatt" av noen andre (subdomain takeover): fjern den.

Hvor begynner du ved en klage?

I praksis: slik ser det ut i et panel

En domenehelsesjekk gjør en stor del av denne listen automatisk. I Min side ligger den på domenesiden som kortet Domain / Email helse, med grønt, oransje og rødt per punkt; den offentlige versjonen fungerer for ethvert domene. Andre hostingleverandører, registrarer og DNS-leverandører har tilsvarende kontroller, og internet.nl tester en stor del av del B og C uavhengig. Bruk en slik sjekk som utgangspunkt og denne listen for å forstå hva som er rødt.

Oppsummering

• Gå gjennom listen fra topp til bunn, og stopp ved det første punktet som ikke stemmer.
• Fundament: registrering, navnetjenere, like svar, DNSSEC.
• Nettsted: A/AAAA, www, sertifikat, CAA.
• E-post: MX med adresse, én SPF, DKIM per tjeneste, én DMARC, testmail.
• Vedlikehold: TTL, sikkerhetskopi, opprydding.

Quiz

Oppgave

Oppgave Z8.5: Avsluttende oppgave: ditt eget domene. Kontroller ditt eget domene med denne sjekklisten. Fyll inn domenenavnet ditt i kursmiljøet og svar per punkt i del A, B og C på hva du fant (for eksempel navnetjenerne dine, MX-en din, SPF-posten din og DMARC-policyen din). Programmet gjør de samme kontrollene og sammenligner. Stemmer ikke noe i domenet ditt, får du en forklaring med henvisning til leksjonen. Har du ikke et eget domene, bruk da sidn.nl.

Videre lesning

Disse artiklene beskriver kontrollene hos WebOké; sjekklisten fungerer for ethvert domene.

• WebOké-veiledning 5.17: Domene og e-posthelse: kontroller og reparer
• Nettsiden eller e-posten fungerer ikke etter en flytting eller DNS-endring: sjekk domenet ditt
• WebOké-veiledning 5.7: Tilbakestille DNS og lage en DNS-sikkerhetskopi
• Ta en backup av DNS-en din og gjenopprett den
• Gratis verktøy Domenehelse: https://www.weboke.no/domenehelse
• Gratis E-postsjekk: https://www.weboke.no/e-postsjekk