Wyszukiwanie wsteczne zwraca żądaną nazwę hosta dla adresu IP. Potwierdzone w przód odwrotny DNS następnie sprawdza, czy nazwa hosta powróciła do pierwotnego adresu. Drugi krok wychwytuje typową niespójność, ale dopasowanie nie pozwala ustalić, czy nadawca jest godny zaufania lub autoryzowany do korzystania z domeny Od wiadomości.
Zdefiniuj porównanie
Referencje: RFC 1912 §2.1, RFC 3596 §2.1, RFC 4291 §2.2.
Jako wartość początkową przyjmij obserwowany adres źródłowy SMTP . Zapytaj o jego rekord PTR . Dla każdej zwróconej nazwy hosta zapytaj o odpowiedni typ adresu przekazywania: A dla źródła IPv4 i AAAA dla źródła IPv6 . Porównaj wartości adresów, używając parsera IP dla IPv6 , aby równoważne formy tekstowe były traktowane podobnie.
Na potrzeby diagnostyki tego przewodnika potwierdzenie oznacza, że co najmniej jeden zestaw adresów przekazujących zwróconej nazwy hosta zawiera oryginalny adres IP. Zachowaj wyniki dla poszczególnych hostów oraz podsumowanie. Jest to jawnie zdefiniowana reguła diagnostyczna, a nie obietnica, że każdy odbiorca będzie realizował tę samą politykę selekcji lub sprawdzał każdy wynik PTR .
Zachowaj odrębność niepowodzeń
Referencje: RFC 1035 §4.1.1, RFC 2181 §10.2.
Brak odpowiedzi PTR , nazwa hosta bez pasującego adresu, przekroczenie limitu czasu DNS i błąd sprawdzania poprawności to różne ustalenia. Przekroczenie limitu czasu nie może świadczyć o braku rekordu. Dopasowanie IPv4 A nie powoduje potwierdzenia źródła IPv6 . Zachowaj kody odpowiedzi i czas, zamiast skupiać wszystkie wyniki w jednej czerwonej plakietce.
Nie zatrzymuj się na pierwszym adresie zwróconym dla nazwy hosta. Host może mieć kilka adresów, a adres pierwotny może znajdować się później w zestawie. Panel nie powinien też po cichu odrzucać wielu nazw PTR . Aby dokładnie wyjaśnić, co zostało dopasowane, potrzebne są podstawowe wyniki.
Oblicz syntetyczny zbiór testowy
Przypadek A zaczyna się o godz 192.0.2.25. Powrót PTR smtp.example.com; to imię to A set is 192.0.2.24, 192.0.2.25. Oczekiwany wynik został potwierdzony, ponieważ oryginalny adres jest członkiem zbioru. Równość z całym zestawem nie jest wymagana.
Przypadek B wykorzystuje ten sam PTR , ale zestaw A zawiera tylko 192.0.2.24. Oczekiwany wynik jest niezgodny. Przypadek C otrzymuje przekroczenie limitu czasu podczas wyszukiwania do przodu. Oczekiwany wynik jest nierozwiązany, a nie niezgodny. Przypadek D zaczyna się o godz 2001:db8::25 a odpowiedź celu to AAAA 2001:0db8:0000:0000:0000:0000:0000:0025. Oczekiwany wynik został potwierdzony po normalizacji obu adresów jako adresów IPv6 .
Odtwórz te przypadki za pomocą resolwera urządzeń lub izolowanych stref. W każdym przypadku przechowuj źródłowy adres IP, odpowiedź PTR , odpowiedź przekazaną dalej, typ zapytania i obliczony wynik członkostwa. Prosta implementacja analizuje każdy adres i ocenia, czy źródło znajduje się w zwróconym zestawie, jednocześnie obsługując błędy DNS przed tym krokiem członkostwa. Te oczekiwane wyniki nie oznaczają, że jakikolwiek odbiornik produkcyjny został przetestowany.
Napraw niezgodność po stronie właściciela
Referencje: RFC 1035 §3.5, RFC 8767 §4.
Jeżeli PTR jest nieprawidłowy, należy współpracować z operatorem strefy odwrotnej. Jeśli adres przekazywania jest nieprawidłowy, skontaktuj się z autorytatywnym operatorem DNS nazwy hosta. Jeśli oba są poprawne w urzędzie, ale nie w programie rozpoznawania nazw, sprawdź buforowanie lub różne widoki. Należy przechowywać dowody dla obu kierunków jednocześnie, aby sekwencyjna zmiana nie została błędnie zdiagnozowana jako trwała niespójność.
Na koniec przetestuj rzeczywistą trasę SMTP i zachowaj wszelkie odpowiedzi odbiorcy. Potwierdzenie przekazania jest właściwością spójności danych DNS . Osoby atakujące mogą obsługiwać dopasowujące rekordy do przodu i do tyłu, a legalny dostawca nadal może mieć nieprawidłową konfigurację. Użyj tego wyniku obok, a nie zamiast, kontroli uwierzytelniania i nadużyć.
Zachowaj wyraźny zakres dowodów
Cztery syntetyczne przypadki można sprawdzić wyłącznie na podstawie przynależności adresów i normalizacji: potwierdzone, niedopasowane, nierozwiązane i potwierdzone. Obliczenia lokalne nie obejmują PTR ani wyszukiwań do przodu, nie sprawdzają odbiorcy ani nie mierzą reputacji.