[ DNS i domeny ]
DNS typu split-horizon: porównaj rekordy uwierzytelniania wewnętrznego i publicznego
Rozróżnij prywatne widoki DNS , uprawnienia publiczne i pamięci podręczne, gdy wyszukiwanie wewnętrznego uwierzytelnienia zakończy się pomyślnie, ale poczta zewnętrzna zakończy się niepowodzeniem.
Przez zespół badawczy EmailAuth · 8 minut czytania
[Kluczowe punkty]
- Oznacz każdą obserwację DNS przy użyciu narzędzia rozpoznawania nazw i punktu obserwacyjnego sieci.
- Oddziel celowe różnice w widokach od buforowania i niespójnej publikacji.
- Publikuj tylko niezbędne publiczne dane uwierzytelniające, a następnie przetestuj odebraną wiadomość.
Na tej stronie
[Na wynos]
Lokalny sukces nie jest testem akceptacji społecznej. Porównaj dokładnych właścicieli w odpowiednich widokach i osobno udowodnij zewnętrzną ścieżkę wysyłania.
[ Według roli ]
Co to oznacza dla Ciebie
Wybierz swoją rolę, aby uzyskać praktyczne dalsze kroki.
Administrator IT / poczty
Porównaj dokładne tożsamości wiadomości
Obydwa różne wyszukiwania mogą być poprawne dla odpowiednich widoków DNS .
Kolejne kroki
- Zapisz rzeczywistą domenę koperty i selektor DKIM .
- Porównaj odpowiedzi prywatne, publiczne rekurencyjne i publiczne autorytatywne.
- Zachowaj znaczniki czasu, TTL i błędy.
CISO / SecOps
Zachowaj prywatność stref prywatnych
Popraw uwierzytelnianie publiczne bez ujawniania wewnętrznej przestrzeni nazw.
Kolejne kroki
- Zatwierdzaj tylko wymagane rejestry publiczne.
- Przejrzyj zależności aliasów i delegowania.
- Trzymaj eksport w strefie wewnętrznej poza zasięgiem publicznych środków zaradczych.
Założyciel / Nietechniczny
Rozwiąż nieudaną ścieżkę klienta
W testach pakietu Office można pominąć widoczne z zewnątrz błędy w dostawie.
Kolejne kroki
- Nazwij biznesowy przepływ pracy i zewnętrznego odbiorcę akceptacji.
- Oddziel tymczasowe efekty pamięci podręcznej od stałych różnic w widokach.
- Wymagaj odpowiedzialnego podpisania po teście nowej wiadomości.
[ Często zadawane pytania ]
Często zadawane pytania
Co to jest DNS typu split-horizon?
Jest to konfiguracja, w której odpowiedzi DNS dla przestrzeni nazw różnią się w zależności od źródła zapytania lub innych atrybutów wyboru widoku. Klienci wewnętrzni i zewnętrzni mogą widzieć różne dane strefy.
Dlaczego wyszukiwanie biura kończy się sukcesem, podczas gdy odbiorca nie może zweryfikować DKIM ?
Urząd może przeszukać strefę prywatną zawierającą klucz niedostępny dla władz publicznych. Porównaj dokładnego właściciela selektora z komunikatu w obu widokach, zanim stwierdzisz, że to jest przyczyną.
Czy czekanie zawsze powoduje, że odpowiedzi wewnętrzne i publiczne są zgodne?
Nie. Celowe różnice w widokach nie wygasają tak jak odpowiedzi w pamięci podręcznej. Ustal, który autorytet i pogląd dostarczyły poszczególnych wyników, zanim potraktujesz niezgodność jako problem z pamięcią podręczną.
Czy mogę wyczyścić pamięć podręczną odbiorcy, opróżniając laptopa?
Nie. Lokalne opróżnianie nie powoduje zmiany wiarygodnych danych ani pozytywnej lub negatywnej odpowiedzi innego mechanizmu rozpoznawania nazw w pamięci podręcznej. Przechwyć odpowiednie dowody dotyczące rozwiązania problemu i czasu.
Czy SERVFAIL to to samo, co brakujący rekord TXT ?
Nie. Awaria serwera jest wynikiem błędu, a nie autorytatywną deklaracją braku rekordu. Zachowaj status odpowiedzi i sprawdź ścieżkę rozwiązania.
Czy powinienem skopiować całą strefę prywatną do publicznego DNS ?
Nie. W proponowanym planie operacyjnym publikuje się wyłącznie zatwierdzone zapisy uwierzytelniające potrzebne na trasie zewnętrznej. Prywatne usługi i adresy mogą celowo pozostać prywatne.
Którego posiadacza SPF mam porównać?
Użyj tożsamości SMTP ocenionej dla wiadomości, zwykle jest to domena nadawcy w kopercie. Porównanie wygodnego rekordu TXT w widocznej domenie Od może zbadać niewłaściwego właściciela.
Czy identyczne odpowiedzi DNS gwarantują sukces DMARC ?
Nie. Otrzymana wiadomość nadal wymaga przejścia ścieżki uwierzytelniania, która jest zgodna z widoczną ścieżką From w odpowiednich ustawieniach zasad.
[ Źródła ]
Źródła
- RFC9499
Sekcje §6. Serwery i klienci DNS · §7. Strefy
- Microsoft: wdrożenie DNS z rozdzielonym mózgiem
Sekcje Wdrażanie DNS typu split-mózg · Zakresy stref i zasady rozwiązywania zapytań DNS
- RFC1034
Sekcje §4.2.1 Względy techniczne · §4.2.2 Względy administracyjne · §4.3.2 Algorytm
- RFC2308
Sekcje §2. Odpowiedzi negatywne · §5. Buforowanie odpowiedzi negatywnych
- RFC1035
Sekcje §3.3.11 Format NS RDATA · §3.3.13 Format SOA RDATA · §4.1 Format wiadomości
- RFC7208
Sekcje §4. Ocena SPF · §4.5 Wybieranie rekordów · §4.6.4 Limity wyszukiwania DNS
- RFC9989
Sekcje Dopasowanie identyfikatorów · Wykrywanie zasad DMARC
- RFC6376
Sekcje §3.5 Pole nagłówka DKIM-Signature · §3.6 Zarządzanie kluczami i reprezentacja · §6. Działania weryfikatora
[ Słowniczek ]
Słowniczek
- Widok DNS
- Wybrany zestaw odpowiedzi DNS prezentowany zgodnie z atrybutami zapytania lub polityką serwera.
- Punkt widokowy
- Kontekst sieci i programu rozpoznawania nazw, z którego dokonywana jest obserwacja DNS .
- Negatywna pamięć podręczna
- Brak zapisanej odpowiedzi wskazującej nazwę lub żądane dane, zachowaną zgodnie z regułami negatywnego buforowania.
- Władza publiczna
- Autorytatywny DNS do którego można uzyskać dostęp za pośrednictwem łańcucha delegowania publicznego w celu uzyskania nazwy właściciela.
Pochodzenie przedsiębiorstwa
Dlaczego najlepsze instytucje finansowe i rządy wycofali swoje panele bezpieczeństwa poczty e-mail.
Tradycyjne platformy uwierzytelniania poczty e-mail oferują pulpit nawigacyjny i proszą inżynierów o wykonanie pracy. W środowiskach o dużej stawce ręczny nadzór oznacza opóźnione egzekwowanie, zmianę konfiguracji i niemonitorowane domeny-cienie.
EmailAuth to platforma agentowego pochodzenia wiadomości e-mail. Nasi agenci egzekwują p=reject, dostosuj zewnętrznych nadawców i przenieś swoje domeny do pełnych adresów RFC 9989 zgodność, nowy standard DMARC , z możliwością kontroli przez człowieka.
SaaS · Dedykowany najem · Lokalne rozwiązanie typu air-gapped · Szyfrowanie BYOK