Monitor DNS yang hanya memeriksa apakah domain yang diselesaikan dapat melewatkan yang terhapus pemilih DKIM atau rusak SPF ketergantungan. Mulai dari catatan yang digunakan jalur email sebenarnya. Pemantauan ketersediaan harus melaporkan apa yang ditanyakan, dari mana, dan properti mana yang diharapkan gagal, bukan sekadar DNS tidak sehat.
Bangun inventaris target yang eksplisit
Referensi: RFC 6376 §3.1, RFC 7208 §4.4.
Cantumkan domain penulis, domain amplop, penyeleksi aktif, dan nama kebijakan yang digunakan oleh setiap layanan pengirim. Sertakan ketergantungan yang dicapai melalui alias dan mekanisme SPF . Tambahkan nama kebijakan transportasi saat memantau keamanan penerimaan. Kueri DNS biasa tidak dapat menemukan setiap pemilih, jadi dapatkan kumpulan aktif dari konfigurasi layanan dan pesan bertanda tangan perwakilan.
Untuk setiap target, pemilik rekaman, jenis, bentuk yang diharapkan atau nilai yang disetujui, pemilik yang bertanggung jawab, dan jendela perubahan. Hindari berasumsi bahwa setiap nilai harus tetap identik dengan byte selamanya: rotasi kunci yang direncanakan akan mengubah data secara sah. Buat versi nilai yang diharapkan dan bedakan perubahan yang tidak disetujui dari transisi yang disetujui.
Selidiki otoritas dan rekursi secara terpisah
Referensi: RFC 1035 §4.1.1, RFC 2308 §2.2, RFC 4035 §5.5.
Kueri otoritatif langsung membantu menetapkan apa yang dilayani oleh zona tersebut. Kueri rekursif mewakili tampilan efektif satu penyelesai, termasuk cache dan perilaku validasi. Simpan waktu kueri, alamat server, kode respons, tanda, catatan jawaban, dan konteks TTL untuk keduanya. Gunakan beberapa titik pandang yang relevan jika layanan memerlukannya, tanpa mengklaim bahwa beberapa probe mencakup setiap receiver.
Bedakan NXDOMAIN , nama yang sudah ada tanpa tipe yang diminta, SERVFAIL , batas waktu dan jawaban berhasil tetapi salah. A DNSSEC masalah dapat mengakibatkan kegagalan pada penyelesai validasi bahkan ketika server resmi mengembalikan catatan. Tanda jawaban otoritatif bukanlah bukti bahwa jawaban tersebut divalidasi secara kriptografis.
Waspada pada keputusan berikutnya
Pemilih aktif yang hilang memerlukan respons yang berbeda dari waktu tunggu singkat di satu monitor. Kelompokkan kegagalan ketergantungan terkait sehingga satu otoritas yang tidak tersedia tidak membuat ratusan tiket yang tidak terkait. Gunakan pengamatan berturut-turut dan jalur independen untuk mengurangi kebisingan, sekaligus menjaga waktu kegagalan pertama dan hasil mentah. Ambang batas adalah pilihan operasional lokal, bukan persyaratan protokol DNS universal.
Jangan mengganti catatan secara otomatis atau menonaktifkan penegakan hanya karena penyelidikan gagal. Pertama-tama tentukan apakah monitor menanyakan nama yang benar dan otoritas saat ini. Arahkan temuan tersebut ke pemilik catatan dengan layanan yang terpengaruh, pengamatan terakhir yang baik, dan bukti perubahan yang tepat atau kondisi respons.
Reproduksi tiga pengamatan berbeda
Perlengkapan lokal mengklasifikasikan penanda pemilih yang diharapkan dikembalikan dengan NOERROR sebagai yang ada, respons NXDOMAIN sebagai nama yang hilang, dan respons SERVFAIL sebagai kegagalan resolusi. Hal ini kemudian menunjukkan bahwa NOERROR dengan penanda yang berbeda adalah ketidakcocokan konten dan bukan pemadaman. Spidolnya sintetis dan bukan DKIM kunci.
Jalankan skrip yang disertakan untuk mereproduksi klasifikasi. Ini mengkonsumsi objek perlengkapan daripada mengirim paket. Untuk memvalidasi monitor yang diterapkan, tanyakan zona resmi yang terisolasi dengan kasus yang sama dan simpan respons kabel aktual, pengukuran batas waktu, dan bukti pengiriman peringatan. Tes langsung tersebut tidak dilakukan di sini.
Tutup loop pemantauan
Referensi: RFC 2308 §5, RFC 6376 §6.
Setelah perbaikan, bandingkan setiap titik akhir otoritatif yang diuji, lalu amati pemulihan rekursif dan pesan representatif saat diotorisasi. Jawaban negatif mungkin tetap disimpan dalam cache setelah rekaman kembali. Jangan menghapus kejadian tersebut hanya karena satu pencarian berikutnya berhasil.
Tinjau inventaris setelah orientasi pengirim, rotasi pemilih, migrasi domain, dan penghentian. Pengamatan DNS menetapkan ketersediaan prasyarat pada suatu titik waktu. Mereka tidak bisa sendirian menunjukkan validitasnya tanda tangan DKIM, DMARC penyelarasan, penerimaan kotak surat atau penempatan kotak masuk.
Bukti kawat sejarah yang disimpan
Berikut ini penjelasan pengambilan loopback 7 November 2026 yang dipertahankan, diperiksa tetapi tidak dijalankan kembali sebagai eksperimen jaringan untuk peninjauan ini. Pemeriksaan model offline baru dicatat secara terpisah.
Penangkapan kawat yang ditahan mencatat pertanyaan UDP aktual ke otoritas loopback minimal. Ini mempertahankan pemilik, tipe, titik akhir, waktu observasi UTC, byte kueri dan respons, flag, konteks TTL dan SOA. Cabang yang dihasilkan adalah: NOERROR dengan nilai TXT yang diharapkan ada; NOERROR tanpa AAAA di puncak yang ada berarti tidak ada data yang diminta; NXDOMAIN untuk absent.example .test berarti nama hilang; SERVFAIL berarti kegagalan resolusi; pertanyaan yang sengaja tidak dijawab menghasilkan waktu tunggu klien. Server membuat skrip respons ini, namun paket dan batas waktu benar-benar diamati. Ini menguji pohon keputusan, bukan perilaku monitor komersial atau penyampaian peringatan.