Todennustietue voi näyttää paikalliselta DNS konsolissa, vaikka se riippuu toisen organisaation nimipalvelimista tai tietueista. Arvioidaksesi saatavuutta, seuraa resoluutio- ja todennuspolkua toimittajien laskemisen tai kojelaudan käytettävyyden katsomisen sijaan. Hyödyllinen kysymys on, minkä riippuvuuden on vastattava, kun vastaanottaja arvioi tämän viestin.
Erottele delegointimekanismit
Valtuutettu DNS vyöhyke siirtää vyöhykkeen rajan alla olevien nimien oikeudet määritetyille nimipalvelimille. A CNAME osoittaa nimen toiseen nimeen. SPF sisällyttäminen ja uudelleenohjaus ovat sovellustason käytäntösuhteita, eivät vyöhykkeen delegointia. Ne luovat erilaisia epäonnistumispolkuja, eikä niitä voida arvioida keskenään vaihdettaviksi isännöintimuodoiksi. RFC 1034 selittää arvovaltaisen palvelun ja rekursiivisen resoluution; RFC 7208 määrittää SPF :n DNS käytön.
Piirrä jokaisen vaiheen tarkka omistajan nimi ja tietuetyyppi. varten DKIM tämä alkaa valitsin allekirjoitusverkkotunnuksen _domainkey kohdassa. Jos kyseessä on SPF , aloita asianmukaisella todennettulla henkilöllisyydellä ja noudata sen käytäntöjä. varten DMARC, arvioi politiikan löytämisen riippuvuus erikseen. Palveluntarjoaja voi käyttää kahta näistä käyttämättä kolmatta.
Tallenna vikasemantiikka, ei vain käytettävyyttä
Kysy, mitä tapahtuu, jos kohde ei palauta tietoja, selkeän kielteisen vastauksen, virheellisen käytännön tai aikakatkaisun. Ne eivät ole samanarvoisia. SPF on määritellyt pysyvät ja väliaikaiset virhetulokset. DKIM vahvistukseen voivat vaikuttaa puutteelliset tai virheelliset avaintiedot. Vastaanottajan perimmäinen viestien käsittely voi riippua myös toisesta todennuspolusta ja paikallisesta käytännöstä, joten vältä lupaamasta, että yksi hakuvirhe aina estää tai toimittaa postin aina.
Välimuisti voi väliaikaisesti säilyttää aikaisemman käyttökelpoisen vastauksen, mutta se ei ole rajoittamaton varmuuskopio. Kirjaa muistiin vastauksen TTL ja havaintoaika. Kielteiset vastaukset voidaan myös tallentaa välimuistiin kohdassa kuvattujen sääntöjen mukaisesti RFC 2308. TTL:n pienentäminen nyt ei lyhennä takautuvasti muualla välimuistissa olevien vastausten käyttöikää.
Vertaa kahta palautusriippuvuutta
Oletetaan, että hyväksytty arvovaltainen kysely palauttaa äskettäin määritetyn valitsinkohteen, kun taas yksi rekursiivinen ratkaisija palauttaa edelleen aiemman välimuistissa olevan kohteen. Tallenna sekä lähteet että aikaleimat. Arvovaltainen muutos havaitaan kyseisellä palvelimella; se ei todista, että kaikki vastaanottimet käyttävät uutta kohdetta. Oletetaan nyt, että korvaavasta allekirjoituspalvelusta puuttuu vastaava yksityinen avain. Jopa jokaisen asiaankuuluvan haun korjaamisen jälkeen, DNS ei yksin pysty allekirjoittamaan palvelua onnistuneesti.
Nämä ovat hypoteettisia havaintoja, eivät paikallista DNS laboratoriota tai tuotantotestiä. Ne johtavat erillisiin seuraaviin vaiheisiin: tarkista välimuisti ja tavoiteresoluutio hyväksytyissä näköalapisteissä ja tarkista korvaavan allekirjoittajan todelliset kokoonpanot ja viestitulosteet. Säilytä palvelin, nimi, tyyppi, vastauskoodi, liput, TTL ja täydellinen vastaus. Tämä esimerkki ei harjoita DNSSEC, viittaukset tai negatiivinen välimuisti; testaa niitä itsenäisesti, jos arkkitehtuuri vaatii niitä.
Päätä, onko riippuvuus hyväksyttävä
Määritä jokaiselle ulkoiselle kohteelle omistaja ja dokumentoi toimittajan todelliset palautus- ja poistumisjärjestelyt. Mieti, voitko korvata tietueen, onko sinulla tarvittavat julkiset metatiedot ja vaatiiko allekirjoituksen muutos toimenpiteitä toisessa palvelussa. Useat koontinäytöt samassa virallisessa infrastruktuurissa eivät poista tätä jaettua riippuvuutta.
Testaa vaihtoa valtuutetussa ympäristössä ja määritä, milloin katkos laukaisee muutoksen havainnon sijaan. Kiireinen muokkaus voi lisätä SPF virheen tai osoittaa valitsimella väärää näppäintä. Säilytä edellinen tietue ja päätösloki, mutta huomaa, että välimuistit ja menetetyt käyttöoikeudet rajoittavat palautumista. Tuloksena pitäisi olla riippuvuuskohtainen riskipäätös todisteineen, ei väite siitä, että DNS delegointi ei ole turvallista.