Käänteinen haku palauttaa IP-osoitteelle vaaditun isäntänimen. Eteenpäin vahvistettu käänteinen DNS sitten tarkistaa, palautuuko isäntänimi takaisin alkuperäiseen osoitteeseen. Toinen vaihe havaitsee yleisen epäjohdonmukaisuuden, mutta vastaavuus ei vahvista, että lähettäjä on luotettava tai valtuutettu käyttämään viestin Lähettäjä-toimialuetta.
Määrittele vertailu
Viitteet: RFC 1912 §2.1, RFC 3596 §2.1, RFC 4291 §2.2.
Ota havaittu SMTP -lähdeosoite aloitusarvoksi. Tee kysely sen PTR tietueesta. Kysy kullekin palautetulle isäntänimelle sopiva edelleenlähetysosoitetyyppi: A IPv4 -lähdettä varten ja AAAA IPv6 -lähdettä varten. Vertaa osoitearvoja käyttämällä IPv6 :n IP-jäsennintä, jotta vastaavia tekstimuotoja käsitellään samalla tavalla.
Tämän oppaan diagnostiikassa vahvistus tarkoittaa, että ainakin yksi palautetun isäntänimen edelleenlähetysosoitejoukko sisältää alkuperäisen IP-osoitteen. Säilytä isäntäkohtaiset tulokset sekä yhteenveto. Tämä on eksplisiittisesti määritelty diagnostinen sääntö, ei lupaus, että jokainen vastaanotin toteuttaa saman valintakäytännön tai tarkistaa jokaisen PTR tuloksen.
Pidä epäonnistumiset erillään
Viitteet: RFC 1035 §4.1.1, RFC 2181 §10.2.
Ei PTR vastausta, isäntänimi ilman vastaavaa osoitetta, DNS aikakatkaisu ja validointivirhe ovat eri havaintoja. Aikakatkaisu ei voi todistaa tietueen puuttumista. IPv4 A -osuma ei vahvista IPv6 lähdettä. Säilytä vastauskoodit ja ajoitus sen sijaan, että kokoat kaikki tulokset yhdeksi punaiseksi merkiksi.
Älä pysähdy ensimmäiseen isäntänimen palauttamaan osoitteeseen. Isännällä voi olla useita osoitteita, ja alkuperäinen osoite voi olla myöhemmin sarjassa. Kojelauta ei myöskään saa hiljaa hylätä useita PTR nimiä. Taustalla olevia tuloksia tarvitaan selittämään tarkasti, mikä vastaa.
Laske synteettinen testisarja
Tapaus A alkaa klo 192.0.2.25. PTR palaa smtp.example.com; tuo nimi on A setti 192.0.2.24, 192.0.2.25. Odotettu tulos on vahvistettu, koska alkuperäinen osoite on joukon jäsen. Tasa-arvoa koko sarjan kanssa ei vaadita.
Tapaus B käyttää samaa PTR ää, mutta A-sarja sisältää vain 192.0.2.24. Odotettu tulos ei vastaa. Tapaus C saa aikakatkaisun eteenpäinhaussa. Odotettu tulos on ratkaisematon, ei yhteensopivuus. Tapaus D alkaa klo 2001:db8::25 ja kohteen AAAA vastaus on 2001:0db8:0000:0000:0000:0000:0000:0025. Odotettu tulos varmistuu, kun molemmat on normalisoitu IPv6 osoitteiksi.
Toista nämä tapaukset valaisimen tai eristetyillä vyöhykkeillä. Tallenna kussakin tapauksessa lähde-IP, PTR vastaus, välitysvastaus, kyselytyyppi ja laskettu jäsenyystulos. Yksinkertainen toteutus jäsentää jokaisen osoitteen ja arvioi, onko lähde palautetussa joukossa, samalla kun käsitellään DNS virheet ennen kyseistä jäsenyysvaihetta. Nämä odotetut tulokset eivät väitä, että mitään tuotantovastaanotinta olisi testattu.
Korjaa omistajan puoli epäsuhta
Viitteet: RFC 1035 §3.5, RFC 8767 §4.
Jos PTR on väärä, työskentele käänteisalueen operaattorin kanssa. Jos edelleenlähetysosoite on väärä, työskentele isäntänimen valtuutetun DNS operaattorin kanssa. Jos molemmat ovat oikeita auktoriteetin suhteen, mutta eivät ratkaisijan suhteen, tutki välimuistia tai erilaisia näkemyksiä. Säilytä todisteet molempiin suuntiin samanaikaisesti, jotta peräkkäistä muutosta ei diagnosoida väärin jatkuvaksi epäjohdonmukaisuudeksi.
Testaa lopuksi todellinen SMTP -reitti ja säilytä kaikki vastaanottimen vastaukset. Eteenpäinvahvistus on DNS tietojen johdonmukaisuusominaisuus. Hyökkääjät voivat käyttää yhteensopivia eteenpäin- ja taaksepäintietueita, ja laillisen palveluntarjoajan kokoonpano voi silti olla rikki. Käytä löytöä todennus- ja väärinkäytösten rinnalla, ei niiden sijasta.
Pidä todisteiden laajuus selkeänä
Neljä synteettistä tapausta voidaan tarkistaa pelkällä osoitejäsenyydellä ja normalisoinnilla: vahvistettu, epäsuhta, ratkaisematon ja vahvistettu. Paikallinen laskenta ei suorita PTR tai eteenpäinhakuja, käytä vastaanotinta tai mittaa mainetta.