Modul 8 · 8.3
Online DNS-verktyg
Modul 8: Säkerhet och felsökning · Lästid: 7 minuter
Lärandemål: Efter den här lektionen väljer du rätt onlineverktyg för varje fråga om din DNS och vet hur du läser resultatet.
Nyckelbegrepp: online dig, DNS-checker per land, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, e-postkontroll, domänhälsa
Varför onlineverktyg?
Ett onlineverktyg ställer din fråga från en annan plats än din dator. Det har två fördelar. Du påverkas inte av cachen i din egen dator eller router, och du ser vad resten av internet ser. Dessutom kombinerar många verktyg tiotals kontroller i ett enda klick, medan du med dig måste ställa varje fråga separat.
Det finns inte ett enda verktyg som gör allt bäst. Välj utifrån din fråga.
Vilket verktyg för vilken fråga?
| Din fråga | Lämpligt verktyg | Vad du ser |
|---|---|---|
| "Vad ger DNS exakt tillbaka just nu?" | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), eller ett annat online dig-verktyg | Samma som dig, utan att du installerar något |
| "Ser hela världen min ändring redan?" | dnschecker.org (eller liknande "DNS propagation checkers") | Svaret från tiotals resolvrar i olika länder sida vid sida |
| "Är min domän modernt och säkert konfigurerad?" | internet.nl (från den nederländska plattformen Internetstandaarden Platform) | Poäng för webbplats (IPv6, DNSSEC, https) och e-post (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| "Stämmer min DNSSEC-kedja?" | DNSViz (dnsviz.net) | En bild av kedjan från roten till din domän, med fel i rött |
| "Är min zon tekniskt korrekt?" | Zonemaster (zonemaster.net) | Omfattande kontroll av namnservrar, delegering, SOA och DNSSEC |
| "Hur ser mina mailposter ut?" | MXToolbox, en e-postkontroll (till exempel WebOkés E-postkontroll), eller kontrollerna hos din e-postleverantör | MX, SPF (med antal uppslag), DMARC, svarta listor |
| "Kommer min skickade e-post fram korrekt?" | mail-tester.com, eller ett testmejl till Gmail med "Visa original" | Om SPF, DKIM och DMARC godkänns för ett riktigt mejl |
| "Fungerar webbplats och e-post tillsammans, allt i en översikt?" | En domänhälsokontroll (till exempel Domänhälsa från WebOké) | Namnservrar, A-post, www, certifikat, MX, SPF, DMARC, DNSSEC och CAA i en lista |
WebOkés verktyg visas här som exempel på en "allt i ett"-kontroll; andra hostingbolag och registrarer har liknande verktyg. Är du osäker, använd två verktyg parallellt: om två oberoende verktyg säger samma sak stämmer det nästan säkert.
Att använda ett online dig-verktyg
Ett online dig-verktyg gör precis det du lärde dig i lektion 8.2. Du fyller i namnet (till exempel _dmarc.example.com), väljer typ (TXT) och får den råa utdatan. Googles toolbox visar även statusen (NOERROR, NXDOMAIN, SERVFAIL) och TTL:n. Använd det här verktyget när du vill veta exakt vad som står, till exempel för att kontrollera att din SPF-post förekommer exakt en gång.
Att läsa en DNS-checker per land
Efter en ändring ser du ofta en blandning i en checker som dnschecker.org: i vissa länder den nya adressen med en grön bock, i andra länder fortfarande den gamla. Det är inget fel. Varje resolver hämtade posten vid en annan tidpunkt och räknar ner sin egen TTL (lektion 6.2).
Två saker att hålla koll på:
- Ser du det gamla svaret överallt, även långt efter TTL:n? Då ligger ändringen troligen inte på den namnserver som världen använder. Kontrollera vilka namnservrar din domän har (lektion 2.1).
- Ser du inget hos vissa resolvrar (ett kryss)? Det kan röra sig om SERVFAIL, ofta på grund av DNSSEC. Kontrollera då med DNSViz.
internet.nl
internet.nl är ett oberoende test från den nederländska plattformen Internetstandaarden Platform (bland annat SIDN, NLnet Labs och staten). Det finns tre tester: webbplats, e-post och din egen anslutning. Resultatet är en procentsats med förklaring per del och ett avsnitt "Hur du förbättrar".
Läs resultatet med förnuft: inte varje röd del är ett problem. Saknas till exempel DANE eller IPv6 fungerar din e-post eller webbplats ändå, men du uppfyller inte den senaste standarden. Rött vid "DNSSEC giltig" eller "SPF" är däremot viktigt.
DNSViz
DNSViz ritar upp förtroendekedjan från lektion 8.1: block för roten, toppdomänen och din domän, med pilar för DS och DNSKEY. Blått är säkert, svart betyder osignerat (inget fel) och rött är trasigt; hur du läser bilden beskrivs i lektion 8.1. Röda linjer eller röda block pekar exakt ut var kedjan går sönder, till exempel "DS saknar matchande DNSKEY". Det är verktyget att ta fram när du får SERVFAIL men dig +cd ändå ger ett svar.
Zonemaster
Zonemaster (skapat av bland andra registreringsansvariga för .se och .fr) kontrollerar din zon på samma sätt som en registry gör: finns det minst två namnservrar, ger de alla samma svar, stämmer SOA-serienumret överallt, är namnservrarna nåbara via IPv4 och IPv6. Praktiskt innan du byter namnservrar hos en registry som kontrollerar strikt. Du kan även testa namnservrar som ännu inte är kopplade till domänen ("undelegated test").
E-postverktyg
En e-postkontroll tittar på DNS-sidan: finns det en MX, finns det exakt en SPF-post, ligger den inom de tio uppslagen, finns det en DMARC-post. Den kan inte se om DKIM fungerar, för det måste du känna till selectorn. Det testar du med ett riktigt mejl: skicka ett till mail-tester.com eller till en Gmail-adress, och kolla under "Visa original" om SPF, DKIM och DMARC visar PASS.
I praktiken: så ser det ut i en panel
Många paneler har en egen kontroll. I Mitt WebOké finns kortet Domän / E-post hälsa på domänsidan, med gröna, orange och röda prickar och ibland en återställningsknapp. Hos Cloudflare ser du meddelanden högst upp i din DNS-översikt, hos Google Workspace och Microsoft 365 en kontrollsida i administrationscentret. Sådana kontroller känner din situation bäst; ett oberoende verktyg visar vad omvärlden ser. Använd dem tillsammans.
Sammanfattning
- Onlineverktyg frågar från en annan plats och påverkas inte av din cache.
- Online dig: vad som exakt står. DNS-checker per land: om världen redan ser det. DNSViz: om DNSSEC-kedjan stämmer. Zonemaster: om zonen är tekniskt korrekt. internet.nl: om allt är modernt och säkert konfigurerat.
- En e-postkontroll testar posterna; ett riktigt testmejl testar om SPF, DKIM och DMARC godkänns.
- Använd två verktyg parallellt om du är osäker.
Quiz
Uppgift
Uppgift Z8.3: Onlineverktyg. Testa internet.nl med webbplats- och e-posttestet från internet.nl själv. Anteckna i e-posttestet om DNSSEC för mailservrarna (MX) är giltigt, och slå upp i DNSViz vilket algoritmnummer DS-posterna för internet.nl använder. Kontrollera därefter med ett online dig-verktyg vilken policy (p=) DMARC-posten för internet.nl har. Fyll i svaren.
Läs mer
Dessa artiklar beskriver WebOkés kontroller; de oberoende verktygen fungerar för vilken domän som helst.