[ DNS ja verkkotunnukset ]

DNS NS -tietueet ja aliverkkotunnuksen delegointi

Suunnittele oikea vyöhykeraja, valmistele lapsivaltuudet ja tarkista viittausketju ennen sähköpostin todennuksen DNS delegoimista.

EmailAuth -tutkimusryhmä · 8 min lukuaika

[Avainkohdat]

  • NS-valtuus siirtää valtuudet alatason vyöhykkeelle, ei vain yhdelle TXT arvolle.
  • Valmistele kaikki vaaditut lapsitietueet ennen kuin muutat vanhemman viittausta.
  • Tarkista delegointiketju, jokainen palvelin ja lähettäjän viestit, joihin tämä vaikuttaa.
Tällä sivulla
  1. Keskeiset kohdat
  2. Takeaway
  3. Roolin mukaan
  4. Usein kysytyt kysymykset
  5. Lähteet
  6. Sanasto
  7. Aiheeseen liittyviä oppaita

[ Takeaway ]

Delegoi vain tarkoitettu nimiavaruus, säilytä kaikki riippuvat tietueet ja vaadi sekä arvovaltainen DNS että vastaanotettu viesti.

[ Roolin mukaan ]

Mitä tämä tarkoittaa sinulle

Valitse roolisi ja seuraa käytännön toimia.

IT / Mail Admin

Kartoita jokainen valitsin leikkauksen alapuolelle

Delegaatio voi vaikuttaa useisiin lähettäjiin.

Seuraavat vaiheet

  1. Inventoi kaikki tietueet ehdotetun alatason rajan alapuolella.
  2. Tarkista jokainen alipalvelin ja ylätason viittaus.
  3. Testaa uudelleen jokainen allekirjoittamisen työnkulku, johon tämä vaikuttaa.

CISO / SecOps

Tarkista siirrettävä valtuutus

Lapsioperaattori ohjaa määritettyä osaa todennuksen nimiavaruudesta.

Seuraavat vaiheet

  1. Hyväksy kapein tuettu soveltamisala.
  2. Koordinoi DS- ja allekirjoitusmuutokset DNSSEC omistajan kanssa.
  3. Säilytä palautusoikeus ja käytä omistajuutta.

Perustaja / ei-tekninen

Suojaa kaikki lähetysriippuvuudet

Toimiva uutiskirjetesti voi piilottaa rikkinäisen laskutusvalitsimen.

Seuraavat vaiheet

  1. Tunnista liiketoimintakriittiset lähettäjät valtuutetun haaran alaisuudessa.
  2. Hyväksy omistajanvaihto ja elvytyssuunnitelma.
  3. Edellytä toimituksen hyväksymistä näissä työnkulkuissa.

[ UKK ]

Usein kysytyt kysymykset

Sisältääkö NS-tietue IP-osoitteen?

Ei. NS RDATA tunnistaa nimipalvelimen isäntänimen. Osoitetietueet ja tarvittava liima ovat erillisiä osia palvelimen tavoittamiseen.

RFC1035

Missä aliverkkotunnuksen delegointi julkaistaan?

Päävyöhyke julkaisee alitason NS-joukon. Lapsella on myös apex NS -tiedot; vain lapsen muokkaaminen ei muodosta julkista suositusta vanhemmalta.

RFC9499

Onko _domainkey delegointi sama kuin yhden valitsimen delegointi?

Ei. _domainkey alipuu voi sisältää valitsimia useille lähettäjille. Inventoi koko siirretty nimiavaruus ja käytä vain todellisuudessa tarkoitettua laajuutta.

RFC1034

Voinko korvata pyydetyn CNAME :n NS-tietueilla?

Ei vastaavana korvauksena. Aliaksella ja lapsialueen delegoinnilla on erilaiset DNS merkityt ja toimintavaatimukset. Käytä palvelun tukemaa menetelmää.

RFC1034

Milloin liimaa saatetaan tarvita?

Toimialueen sisäisten nimipalvelinten nimet voivat luoda riippuvuuden delegoidusta vyöhykkeestä omien palvelimien löytämiseksi. Asianmukaiset vanhempien osoitetiedot katkaisevat tämän riippuvuuden. Vahvista todellinen topologia.

RFC9499

Miksi vanhemman valitsintietueet eivät enää auta?

Kun ratkaisu seuraa lapsen delegointia, lapsen on toimitettava tämän leikkauksen alapuolella olevat tavalliset tiedot. Vanhassa paneelissa jäljellä oleva tietue ei ole todiste tehokkaasta vastauksesta.

RFC1034

Pitäisikö minun poistaa DS-tietue, kun delegointi epäonnistuu?

Älä poista sitä selittämättömänä kiertotapana. Pyydä DNSSEC omistajaa tarkistamaan ylätason DS- ja aliallekirjoitusmääritykset ja hyväksymään kaikki luottamusketjun siirtymät.

RFC4035

Todistaako onnistunut TXT haku DKIM läpäisemisen?

Ei. Allekirjoittajan on käytettävä vastaavaa avainta ja vastaanotetun viestin on vahvistettava. Testaa kunkin lähettäjän käyttämää valitsinta.

RFC6376

[ Lähteet ]

Lähteet

  1. RFC9499

    Osat §6. DNS palvelimet ja -asiakkaat · §7. Alueet

  2. RFC4035

    Osat §2.4 DS RR:iden sisällyttäminen vyöhykkeeseen · §5. DNS vastausten todentaminen

  3. RFC1034

    Osat §4.2.1 Tekniset näkökohdat · §4.2.2 Hallinnolliset näkökohdat · §4.3.2 Algoritmi

  4. RFC2308

    Osat §2. Negatiiviset vastaukset · §5. Tallenna negatiiviset vastaukset välimuistiin

  5. RFC1035

    Osat §3.3.11 NS RDATA -muoto · §3.3.13 SOA RDATA -muoto · §4.1 Viestimuoto

  6. RFC6376

    Osat §3.5 DKIM-Signature otsikkokenttä · §3.6 Avainten hallinta ja edustaminen · §6. Vahvistimen toiminnot

[ Sanasto ]

Sanasto

Vyöhykkeen leikkaus
Raja ylätason vyöhykkeen ja delegoidun alatason valtuuden välillä.

RFC9499

Liima
Osoitetietueet toimitetaan auttamaan tavoittamaan nimipalvelimia, kun ratkaisu riippuisi muutoin delegoidusta vyöhykkeestä.

RFC9499

Lapsen kärki
Delegoidun alialueen ylänimi, jossa sen omat SOA- ja NS-tiedot sijaitsevat.

RFC1035

Viittaus
DNS vastaus, joka ohjaa ratkaisun toiseen arvovaltaiseen palvelinjoukkoon.

RFC9499

Yrityksen alkuperä

Miksi parhaat rahoituslaitokset ja hallitukset lopettivat sähköpostin suojauksen hallintapaneelinsa.

Perinteiset sähköpostin todennusalustat myyvät sinulle kojelaudan ja pyytävät insinöörejäsi tekemään työtä. Korkeiden panosten ympäristöissä manuaalinen valvonta tarkoittaa viivästynyttä täytäntöönpanoa, konfiguraatioiden siirtymistä ja valvomattomia varjoalueita.

EmailAuth on agentti sähköpostin alkuperäalusta. Agenttimme valvovat p=reject, pidä kolmannen osapuolen lähettäjät kohdakkain ja siirrä verkkotunnuksesi täyteen RFC 9989 noudattaminen, uusi DMARC standardi, jossa on in-the-loop -tarkastettavuus.

hallitukset Suuret yritykset Tason 1 rahoituslaitokset

SaaS · Dedikoitu vuokrasopimus · Ilmarakoinen on-prem · BYOK-salaus

Tietokanta