Reverse DNS og utsendingsserveren din

Modul 5: Omdømme og de store mottakerne · Lesetid: 9 minutter

Læringsmål: Etter denne leksjonen kan du forklare hvorfor IP-adressen til serveren som sender e-posten din trenger en ordentlig reverse DNS, finne ut hvilken server det er hos deg, og kontrollere at heen og tilbake stemmer.

Nøkkelbegreper: utsendingsserver, PTR-post, forward-confirmed reverse DNS (FCrDNS), HELO/EHLO-navn, generisk navn, delt hosting, egen server (VPS), eier av IP-blokken

Hvilken server sender egentlig e-posten din?

I modul 4 handlet det om domenet ditt: SPF, DKIM og DMARC står i DNS-en til example.com. I denne modulen ser vi på noe annet: serveren som leverer e-posten din til mottakeren. Den serveren har en IP-adresse, og mottakere vurderer den adressen uavhengig av domenet ditt.

Hvilken server det er, avhenger av hvordan du sender e-post:

IP-adressen til utsendingsserveren finner du i headerne til en e-post du har sendt til deg selv eller til en annen adresse (leksjon 1.5). Se på den øverste Received:-linjen som er lagt til av den mottakende serveren. Der står det noe som:

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

Adressen mellom hakeparentesene, 192.0.2.25, er IP-adressen som den sendende serveren koblet seg til med. Navnet foran den (smtp.hosting.example) er navnet som mottakeren fant for den adressen via reverse DNS.

Reverse DNS kort fortalt

Reverse DNS kobler en IP-adresse tilbake til et navn, med en PTR-post. Grunnlaget lærte du i DNS-kurset (leksjon 4.6): posten står ikke i sonen til domenet ditt, men i reverse-sonen til IP-adressen, og den eies av den som administrerer IP-blokken.

For e-post er tre ting viktige:

1. Det finnes en PTR. En IP-adresse uten reverse DNS ser ut som en vilkårlig maskin på internett. Gmail avviser slik e-post med meldingen 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. Navnet peker tilbake til samme adresse. IP-adressen 192.0.2.25 har PTR smtp.hosting.example, og smtp.hosting.example har A-post 192.0.2.25. Dette kalles forward-confirmed reverse DNS (FCrDNS). Gmail, Yahoo og T-Online nevner dette uttrykkelig i kravene sine.
3. Navnet ser ut som en mailserver. Et navn som 192-0-2-25.dsl.provider.example eller host25.dynamic.provider.example avslører en hjemme- eller kundetilkobling. Spamfiltre trekker poeng for dette, eller avviser forbindelsen med en gang.

For IPv6 gjelder alt på nytt. Sender en server via IPv6, må også IPv6-adressen ha en PTR og peke tilbake med en AAAA-post. En server som er i orden via IPv4 men ikke via IPv6, får problemer særlig hos Gmail: Google nevner en manglende IPv6-PTR som årsak til en «IPv6 authorization error».

HELO-navnet

Når en server kobler seg til, presenterer den seg med EHLO (eller det eldre HELO) og et navn (leksjon 1.2). RFC 5321 sier at dette bør være det fullstendige navnet til serveren. I praksis ser mottakere på om navnet:

• er et ekte, eksisterende navn (ikke localhost, ikke rene IP-adresser, ikke et navn som ikke finnes i DNS-en);
• passer med reverse DNS-en, eller i det minste hører til samme domene.

Ved en hostingpakke eller e-posttjeneste ordner administratoren dette. Kjører du selv en mailserver, stiller du inn HELO-navnet i e-postprogramvaren din (i Postfix heter dette myhostname) og sørger for at navnet, PTR-en og A-posten alle er like.

Delt hosting: PTR-en trenger ikke å være domenet ditt

Et ofte stilt spørsmål: «Må ikke reverse DNS være mail.example.com, siden det er domenet mitt?» Nei. Ved delt hosting og hos store e-posttjenester sender én server e-post for hundrevis eller tusenvis av domener. IP-adressen kan bare ha én PTR, og den inneholder derfor navnet til selve serveren, for eksempel server12.hosting.example.

Det er helt riktig slik. Mottakere kontrollerer om PTR-en finnes, peker tilbake og ikke er generisk. De kontrollerer ikke om ditt eget domenenavn står i den. Koblingen mellom domenet ditt og serveren lager du med SPF (serveren står i SPF-en din) og DKIM (serveren signerer på vegne av domenet ditt).

Hos WebOké er det for eksempel ordnet slik: serverne til en hostingpakke har en reverse DNS med navnet til selve serveren, under webawere.nl, som også peker tilbake. Hos andre hostingleverandører og e-posttjenester fungerer det på samme måte, med deres egne servernavn.

Egen server: hva må du ordne selv?

Sender du e-post direkte fra en egen server, for eksempel en VPS med en nettbutikk eller en egen mailserver, da er du selv avsenderen og må ordne mer:

1. Velg et navn, for eksempel mail.example.com.
2. Lag A-posten (og AAAA-posten) for det navnet til IP-adressen til serveren, i DNS-en til domenet ditt.
3. Be om PTR-en hos leverandøren av serveren. Som regel finnes det et felt «Reverse DNS» eller «rDNS» i kundepanelet. Der fyller du inn det samme navnet.
4. Still inn HELO-navnet til e-postprogramvaren din til det samme navnet.
5. Legg IP-adressen inn i SPF-en din (ip4: og ip6:) og slå på DKIM i e-postprogramvaren din.
6. Kontroller om port 25 for utgående trafikk er åpen. Mange leverandører stenger den som standard for å forhindre misbruk; da må du få den åpnet, eller sende via en relé fra leverandøren din eller en utsendingstjeneste.

En mailserver på en vanlig internettilkobling hjemme eller på kontoret er nesten alltid en dårlig idé. Disse adressene står ofte på lister over «sluttbrukeradresser» (som Policy Block List fra Spamhaus, leksjon 5.2), PTR-en kan du som regel ikke velge selv, og T-Online skriver bokstavelig talt at slike systemer må sende via en relé fra en egnet leverandør.

Kontrollere

Med et kommandovindu (DNS-kurset leksjon 8.2):

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Kommer samme adresse tilbake ved det andre spørsmålet, da stemmer FCrDNS. Ved IPv6 gjør du det samme med dig -x 2001:db8::25 og dig AAAA.

Du kan også se hvordan en mottaker oppfattet det. I headerne setter den mottakende serveren navnet den fant i parentes etter from. Står det unknown der, fant den ingen PTR. Enkelte servere legger også til en egen kontroll, som iprev=pass i linjen Authentication-Results: (RFC 8601).

Oppsummering

• Utsendingsserveren er serveren som leverer e-posten din til mottakeren. Mottakere vurderer IP-adressen uavhengig av domenet ditt.
• Den IP-adressen trenger en PTR som peker tilbake til samme adresse (FCrDNS), for både IPv4 og IPv6, med et navn som ikke er generisk.
• HELO-navnet bør være et eksisterende navn som passer med PTR-en.
• Ved delt hosting og e-posttjenester står navnet til serveren i PTR-en, ikke domenet ditt. Det er riktig slik.
• Med en egen server ordner du selv navn, A/AAAA, PTR (via leverandøren din), HELO, SPF og DKIM.

Quiz

Oppgave

Oppgave Z5.1: Utsendingsserveren til ditt eget domene. Send en e-post fra din egen adresse til en annen adresse du har (for eksempel en Gmail- eller Outlook.com-adresse) og åpne headerne. Finn IP-adressen til serveren som leverte e-posten, PTR-navnet til den adressen, og fyll inn om navnet peker tilbake til samme adresse (ja/nei). Har du ikke et eget domene, bruk da IP-adressen til mailserveren mx00.t-online.de. Programmet slår opp PTR-en og A/AAAA-posten direkte og sammenligner.

Les mer

Trinnene i disse artiklene gjelder for panelene til WebOké; hos andre leverandører fungerer det på lignende måte.

• Send e-post fra din VPS og sett opp reverse DNS
• Gratis DNS-kurs 4.6: Reverse DNS (PTR): fra nummer tilbake til navn
• Slik sendes e-post / SMTP forklart
• RFC 5321 (SMTP), avsnitt 4.1.1.1 om EHLO-navnet; RFC 8601 om headeren Authentication-Results