A CNAME sprawia, że jedna nazwa DNS staje się aliasem innej. Jest często używana do konfiguracji poczty e-mail zarządzanej przez dostawcę, ale nie powoduje przeniesienia całej subdomeny w sposób, w jaki robi to delegacja NS. Przed utworzeniem aliasu określ, co już dokładnie zajmuje tę nazwę i kto kontroluje cel.
Zachowaj wyłączność właściciela aliasu
Referencje: RFC 2181 §10.1, RFC 1034 §4.2.1.
U właściciela CNAME zwykłe dane TXT , MX , A i inne nie mogą współistnieć z aliasem. DNSSEC metadane to przypadek szczególny; nie powoduje to, że konfiguracja TXT-plus-CNAME jest prawidłowa. Alias ma jeden kanoniczny cel. Wierzchołek strefy wymaga już rekordów SOA i NS, więc konwencjonalny wierzchołek CNAME koliduje ze strukturą strefy.
Funkcje dostawcy zwane spłaszczaniem lub ALIAS mogą syntetyzować zwykłe odpowiedzi adresowe zamiast publikować CNAME . Ich zachowanie zależy od implementacji. Nie zakładaj, że taka funkcja może syntetyzować dowolne dane uwierzytelniające TXT lub działać jako delegacja oparta na standardach. Sprawdź odpowiedź pod kątem rzeczywistego typu rekordu wymaganego przez protokół zużywający.
Podążaj za zależnością do końca
Referencje: RFC 1034 §3.6.2, RFC 6376 §3.6.2.1.
Dla dostawcy obsługiwanego DKIM alias, wyszukiwanie TXT w a selektor może podążać za aliasem do klucza dostawcy. Zachowaj właściciela aliasu, każdy cel i końcowy wynik TXT . CNAME wskazujący na inny CNAME dodaje kolejną zależność; pętle lub nieobecny cel uniemożliwiają użyteczną odpowiedź końcową.
Takie ustawienie daje operatorowi docelowemu wpływ na dane rozpoznawane za pośrednictwem aliasu. Nie jest to pozwolenie na edycję pozostałej części Twojej strefy, ale ma ono wpływ na skonfigurowaną usługę. Weryfikuj wygenerowany cel w procesie konfiguracji uwierzytelnionego dostawcy, rejestruj własność usługi i usuwaj przestarzałe zależności w ramach planowanego wycofania.
Przeprowadź syntetyczne wyszukiwanie selektora
Urządzenie A publikuje s1._domainkey.example.com . 300 W CNAME s1.keys.example.net . i końcową wartość TXT w s1.keys.example.net.. Do tego testu używaj tylko DNS „urządzenie = dane terminala”, który celowo nie jest prawidłowym kluczem DKIM . Oczekiwana rozdzielczość TXT następuje po aliasie i zwraca ten znacznik. Dowodzi to jedynie zależności wyszukiwania, a nie uwierzytelnienia kryptograficznego.
Urządzenie B dodaje a Rekord TXT Na s1._domainkey.example.com. zachowując jego CNAME . Oczekiwana walidacja konfiguracji jest konfliktem współistnienia; nie publikuj go, aby sprawdzić tolerancję odbiorcy. Urządzenie C zmienia cel na nieskonfigurowaną nazwę. Oczekiwanym rezultatem jest brak użytecznych danych terminala, a dokładna odpowiedź zależy od tego, czy ta nazwa istnieje bez TXT , czy w ogóle nie istnieje.
W izolowanym środowisku testowym wyślij zapytanie do właściciela o CNAME i TXT oraz o TXT do obiektu docelowego. Zapisz kody odpowiedzi, uprawnienia i łańcuch aliasów. Aby przeprowadzić prawdziwy test DKIM , zamień znacznik na rzeczywistą wygenerowaną konfigurację dostawcy i osobno zweryfikuj podpisaną wiadomość.
Unikaj aliasów w celach routingu
Referencje: RFC 2181 §10.3, RFC 5321 §5.1, RFC 8767 §4.
Obiekt docelowy MX i cel NS muszą nazwać hosta za pomocą rekordów adresowych, a nie aliasu. Domena wyszukiwana pod kątem poczty może sama w sobie zawierać CNAME zgodnie z regułami rozpoznawania SMTP , ale nie pozwala to na użycie CNAME jako nazwy hosta wymiany przechowywanej w danych MX . Podczas odczytywania śladu należy zachować odrębność tych dwóch pozycji.
Przed wycofaniem usługi zewnętrznej sprawdź, czy inna aktywna usługa nadal korzysta z selektora lub celu. Usunięcie aliasu może przez pewien czas pozostać niewidoczne dla czytelników zapisanych w pamięci podręcznej, a przywrócenie go nie jest natychmiastowym wycofaniem. Zamknij zmianę po sprawdzeniu zarówno DNS , jak i zamierzonego zachowania usługi.
Zachowaj wyraźny zakres dowodów
Znacznik urządzenia terminala pokazuje tylko zaplanowaną zależność DNS , a nie użyteczny klucz DKIM . Nie publikuj informacji o właścicielu, który jest w konflikcie celowo, aby sprawdzić tolerancję. W tym przeglądzie nie przeprowadzono żadnego wdrożenia CNAME , rozwiązania ani weryfikacji kryptograficznej.