[ DNS & domain ]

Catatan DNS NS dan delegasi subdomain

Rencanakan batas zona yang benar, persiapkan otoritas anak, dan verifikasi rantai rujukan sebelum mendelegasikan DNS autentikasi email.

Oleh tim peneliti EmailAuth · 8 menit membaca

[Poin-poin penting]

  • Delegasi NS mentransfer otoritas untuk zona anak, bukan hanya satu nilai TXT .
  • Siapkan setiap catatan anak yang diperlukan sebelum mengubah rujukan orang tua.
  • Verifikasi rantai delegasi, setiap server, dan pesan pengirim yang terpengaruh.
Di halaman ini
  1. Poin-poin penting
  2. Membawa pergi
  3. Berdasarkan peran
  4. Pertanyaan yang sering diajukan
  5. Sumber
  6. Glosarium
  7. Panduan terkait

[ Membawa pergi ]

Delegasikan hanya namespace yang diinginkan, pertahankan semua catatan yang bergantung, dan minta DNS otoritatif dan bukti pesan yang diterima.

[ Berdasarkan peran ]

Apa artinya ini bagi Anda

Pilih peran Anda untuk langkah praktis selanjutnya.

Admin TI / Surat

Petakan setiap pemilih di bawah potongan

Sebuah delegasi dapat mempengaruhi banyak pengirim.

Langkah selanjutnya

  1. Inventarisasi semua catatan di bawah batas anak yang diusulkan.
  2. Periksa setiap server anak dan rujukan induk.
  3. Uji ulang setiap alur kerja penandatanganan yang terpengaruh.

CISO / Detik

Tinjau wewenang yang didelegasikan

Operator anak mengontrol bagian tertentu dari namespace otentikasi.

Langkah selanjutnya

  1. Setujui cakupan dukungan tersempit.
  2. Koordinasikan DS dan penandatanganan perubahan dengan pemilik DNSSEC .
  3. Pertahankan otoritas pemulihan dan kepemilikan akses.

Pendiri / Non-teknis

Lindungi semua dependensi pengiriman

Tes buletin yang berfungsi dapat menyembunyikan pemilih penagihan yang rusak.

Langkah selanjutnya

  1. Identifikasi pengirim bisnis penting di bawah cabang yang didelegasikan.
  2. Menyetujui perubahan pemilik dan rencana pemulihan.
  3. Memerlukan penerimaan pengiriman di seluruh alur kerja tersebut.

[ FAQ ]

Pertanyaan yang sering diajukan

Apakah catatan NS berisi alamat IP?

Tidak. NS RDATA mengidentifikasi nama host server nama. Catatan alamat dan lem apa pun yang diperlukan adalah bagian terpisah untuk mencapai server itu.

RFC1035

Di mana delegasi subdomain dipublikasikan?

Zona induk menerbitkan kumpulan NS anak. Anak tersebut juga memiliki data apex NS; hanya mengedit anak tidak menetapkan rujukan publik dari orang tua.

RFC9499

Apakah mendelegasikan _domainkey sama dengan mendelegasikan satu pemilih?

Tidak. Subpohon _domainkey dapat berisi pemilih untuk beberapa pengirim. Inventarisasi seluruh namespace yang ditransfer dan gunakan hanya cakupan yang sebenarnya dimaksudkan.

RFC1034

Bisakah saya mengganti CNAME yang diminta dengan data NS?

Bukan sebagai pengganti yang setara. Alias ​​dan delegasi zona anak memiliki arti DNS dan persyaratan operasional yang berbeda. Gunakan metode layanan yang didukung.

RFC1034

Kapan lem dibutuhkan?

Nama server nama dalam domain dapat membuat ketergantungan pada zona yang didelegasikan untuk menemukan servernya sendiri. Informasi alamat pihak induk yang sesuai memutus ketergantungan itu. Konfirmasikan topologi sebenarnya.

RFC9499

Mengapa catatan pemilih lama di induk tidak lagi membantu?

Setelah resolusi mengikuti delegasi anak, data biasa di bawah potongan tersebut harus dilayani oleh anak tersebut. Catatan yang tersisa di panel lama bukanlah bukti jawaban yang efektif.

RFC1034

Haruskah saya menghapus data DS ketika delegasi gagal?

Jangan menghapusnya sebagai solusi yang tidak dapat dijelaskan. Minta pemilik DNSSEC memeriksa DS induk dan konfigurasi penandatanganan anak serta menyetujui transisi rantai kepercayaan apa pun.

RFC4035

Apakah pencarian TXT yang berhasil membuktikan DKIM lolos?

Tidak. Penandatangan harus menggunakan kunci yang sesuai dan pesan yang diterima harus diverifikasi. Uji pemilih yang sebenarnya digunakan oleh setiap pengirim yang terpengaruh.

RFC6376

[ Sumber ]

Sumber

  1. RFC9499

    Bagian §6. Server dan klien DNS · §7. Zona

  2. RFC4035

    Bagian §2.4 Memasukkan DS RR dalam suatu Zona · §5. Mengautentikasi Respons DNS

  3. RFC1034

    Bagian §4.2.1 Pertimbangan teknis · §4.2.2 Pertimbangan administratif · §4.3.2 Algoritma

  4. RFC2308

    Bagian §2. Tanggapan Negatif · §5. Menyimpan Jawaban Negatif dalam cache

  5. RFC1035

    Bagian §3.3.11 Format NS RDATA · §3.3.13 Format SOA RDATA · §4.1 Format pesan

  6. RFC6376

    Bagian §3.5 Bidang Header DKIM-Signature · §3.6 Manajemen dan Representasi Kunci · §6. Tindakan Verifikator

[ Glosarium ]

Glosarium

Pemotongan zona
Batas antara wewenang yang dipegang oleh zona induk dan zona anak yang didelegasikan.

RFC9499

Lem
Catatan alamat disediakan untuk membantu menjangkau server nama ketika resolusi bergantung pada zona yang didelegasikan.

RFC9499

Puncak anak
Nama teratas zona anak yang didelegasikan, tempat data SOA dan NS-nya berada.

RFC1035

Rujukan
Respons DNS mengarahkan resolusi ke kumpulan server otoritatif lainnya.

RFC9499

Asal perusahaan

Mengapa lembaga keuangan dan pemerintah terkemuka menghentikan dasbor keamanan email mereka.

Platform autentikasi email tradisional menjual dasbor kepada Anda dan meminta teknisi Anda melakukan pekerjaannya. Di lingkungan berisiko tinggi, pengawasan manual berarti penegakan yang tertunda, penyimpangan konfigurasi, dan domain bayangan yang tidak dipantau.

EmailAuth adalah platform asal email agen. Agen kami menegakkan p=reject, jaga agar pengirim pihak ketiga tetap selaras dan pindahkan domain Anda ke kapasitas penuh RFC 9989 kepatuhan, standar DMARC baru, dengan kemampuan audit yang dapat dilakukan secara langsung oleh manusia.

Pemerintah Perusahaan besar Lembaga keuangan tingkat 1

SaaS · Penyewaan khusus · On-prem dengan celah udara · Enkripsi BYOK

Basis Pengetahuan