Reverse DNS och din avsändarserver

Modul 5: Rykte och de stora mottagarna · Lästid: 9 minuter

Lärandemål: Efter den här lektionen kan du förklara varför IP-adressen till servern som skickar din e-post behöver en korrekt reverse DNS, fastställa vilken server det är hos dig, och kontrollera att det stämmer åt båda hållen.

Nyckelbegrepp: avsändarserver, PTR-post, forward-confirmed reverse DNS (FCrDNS), HELO/EHLO-namn, generiskt namn, delad hosting, egen server (VPS), ägare av IP-blocket

Vilken server skickar egentligen din e-post?

I modul 4 handlade det om din domän: SPF, DKIM och DMARC finns i DNS för example.com. I den här modulen tittar vi på något annat: servern som levererar din e-post till mottagaren. Den servern har en IP-adress, och mottagare bedömer den adressen oberoende av din domän.

Vilken server det är beror på hur du skickar e-post:

IP-adressen till avsändarservern hittar du i rubrikraderna för ett mejl du skickat till dig själv eller till en annan adress (lektion 1.5). Titta på den översta Received:-raden som lagts till av den mottagande servern. Där står något i stil med:

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

Adressen inom hakparenteser, 192.0.2.25, är IP-adressen som den avsändande servern anslöt från. Namnet framför (smtp.hosting.example) är namnet som mottagaren hittade för den adressen via reverse DNS.

Reverse DNS i korthet

Reverse DNS kopplar en IP-adress tillbaka till ett namn, med en PTR-post. Grunderna lärde du dig i DNS-kursen (lektion 4.6): posten finns inte i zonen för din domän utan i reverse-zonen för IP-adressen, och den tillhör den part som hanterar IP-blocket.

För e-post är tre saker viktiga:

1. Det finns en PTR. En IP-adress utan reverse DNS ser ut som en godtycklig maskin på internet. Gmail nekar sådan e-post med meddelandet 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. Namnet pekar tillbaka till samma adress. IP-adressen 192.0.2.25 har PTR smtp.hosting.example, och smtp.hosting.example har A-posten 192.0.2.25. Det kallas forward-confirmed reverse DNS (FCrDNS). Gmail, Yahoo och T-Online nämner detta uttryckligen i sina krav.
3. Namnet ser ut som en mailserver. Ett namn som 192-0-2-25.dsl.provider.example eller host25.dynamic.provider.example avslöjar en hem- eller kundanslutning. Spamfilter ger minuspoäng för det, eller nekar anslutningen direkt.

För IPv6 gäller allt på nytt. Skickar en server via IPv6 måste även IPv6-adressen ha en PTR och peka tillbaka med en AAAA-post. En server som fungerar fint via IPv4 men inte via IPv6 får särskilt problem hos Gmail: Google nämner en saknad IPv6-PTR som orsak till ett "IPv6 authorization error".

HELO-namnet

När en server ansluter presenterar den sig med EHLO (eller det äldre HELO) och ett namn (lektion 1.2). RFC 5321 säger att det bör vara serverns fullständiga namn. I praktiken kontrollerar mottagare om det namnet:

• är ett riktigt, existerande namn (inte localhost, inte bara IP-adresser, inte ett namn som saknas i DNS);
• passar med reverse DNS, eller åtminstone hör till samma domän.

Vid ett hostingpaket eller en e-posttjänst sköter administratören detta. Kör du själv en mailserver ställer du in HELO-namnet i din mailprogramvara (i Postfix heter det myhostname) och ser till att det namnet, PTR:n och A-posten alla stämmer överens.

Delad hosting: PTR:n behöver inte vara din domän

En vanlig fråga: "Ska inte reverse DNS vara mail.example.com, eftersom det är min domän?" Nej. Vid delad hosting och hos stora e-posttjänster skickar en enda server e-post för hundratals eller tusentals domäner. IP-adressen kan bara ha en PTR, och den innehåller därför serverns eget namn, till exempel server12.hosting.example.

Det är precis rätt. Mottagare kontrollerar om PTR:n finns, pekar tillbaka och inte är generisk. De kontrollerar inte om ditt eget domännamn finns med i den. Kopplingen mellan din domän och servern gör du med SPF (servern finns i din SPF) och DKIM (servern signerar å din domäns vägnar).

Hos WebOké är det till exempel ordnat så: servrarna i ett hostingpaket har en reverse DNS med namnet på själva servern, under webawere.nl, som också pekar tillbaka. Hos andra hostingföretag och e-posttjänster fungerar det på samma sätt, med deras egna servernamn.

En egen server: vad behöver du ordna?

Skickar du e-post direkt från en egen server, till exempel en VPS med en webbutik eller en egen mailserver, är du själv avsändaren och behöver ordna mer:

1. Välj ett namn, till exempel mail.example.com.
2. Skapa A-posten (och AAAA-posten) för det namnet som pekar till serverns IP-adress, i DNS för din domän.
3. Begär PTR:n hos leverantören av servern. Oftast finns ett fält "Reverse DNS" eller "rDNS" i kundpanelen. Där fyller du i samma namn.
4. Ställ in HELO-namnet i din mailprogramvara till samma namn.
5. Lägg till IP-adressen i din SPF (ip4: och ip6:) och aktivera DKIM i din mailprogramvara.
6. Kontrollera att port 25 är öppen utgående. Många leverantörer stänger den som standard för att förhindra missbruk; i så fall måste du få den öppnad, eller skicka via en relä från din leverantör eller en avsändartjänst.

En mailserver på en vanlig hemanslutning eller kontorsanslutning är nästan alltid en dålig idé. De adresserna finns ofta på listor över "slutanvändaradresser" (som Spamhaus Policy Block List, lektion 5.2), PTR:n kan du oftast inte välja själv, och T-Online skriver uttryckligen att sådana system måste skicka via en relä från en lämplig leverantör.

Kontrollera

Med ett kommandofönster (DNS-kursen lektion 8.2):

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Kommer samma adress tillbaka vid den andra frågan stämmer FCrDNS. Vid IPv6 gör du samma sak med dig -x 2001:db8::25 och dig AAAA.

Du kan också se hur en mottagare uppfattade det. I rubrikraderna sätter den mottagande servern namnet den hittade inom parentes efter from. Står det unknown där hittade den ingen PTR. Vissa servrar lägger även till en egen kontroll, som iprev=pass i raden Authentication-Results: (RFC 8601).

Sammanfattning

• Avsändarservern är servern som levererar din e-post till mottagaren. Mottagare bedömer dess IP-adress oberoende av din domän.
• Den IP-adressen behöver en PTR som pekar tillbaka till samma adress (FCrDNS), för både IPv4 och IPv6, med ett namn som inte är generiskt.
• HELO-namnet bör vara ett existerande namn som stämmer med PTR:n.
• Vid delad hosting och e-posttjänster står serverns namn i PTR:n, inte din domän. Det är rätt.
• Med en egen server ordnar du själv namn, A/AAAA, PTR (via din leverantör), HELO, SPF och DKIM.

Quiz

Uppgift

Uppgift Z5.1: Hitta avsändarservern för din egen domän. Skicka ett mejl från din egen adress till en annan adress hos dig själv (till exempel en Gmail- eller Outlook.com-adress) och öppna rubrikraderna. Hitta IP-adressen för servern som levererade mejlet, PTR-namnet för den adressen, och fyll i om namnet pekar tillbaka till samma adress (ja/nej). Har du ingen egen domän, använd då IP-adressen för mailservern mx00.t-online.de. Programmet hämtar PTR:n och A/AAAA-posten live och jämför.

Läs mer

Stegen i dessa artiklar gäller för panelerna hos WebOké; hos andra leverantörer fungerar det på liknande sätt.

• Skicka e-post från din VPS och ställa in reverse DNS
• Gratis DNS-kurs 4.6: Reverse DNS (PTR): från nummer tillbaka till namn
• Så fungerar det när e-post skickas (SMTP)
• RFC 5321 (SMTP), avsnitt 4.1.1.1 om EHLO-namnet; RFC 8601 om rubrikraden Authentication-Results