Geriye doğru arama, bir IP adresi için talep edilen ana bilgisayar adını döndürür. İleri onaylı ters DNS daha sonra bu ana bilgisayar adının orijinal adrese geri çözümlenip çözümlenmediğini kontrol eder. İkinci adım, yaygın bir tutarsızlığı yakalar ancak eşleşme, gönderenin güvenilir olduğunu veya bir iletinin Gönderen alanını kullanma yetkisine sahip olduğunu göstermez.
Karşılaştırmayı tanımlayın
Referanslar: RFC 1912 §2.1, RFC 3596 §2.1, RFC 4291 §2.2.
Gözlemlenen SMTP kaynak adresini başlangıç değeri olarak alın. PTR kaydını sorgulayın. Döndürülen her ana bilgisayar adı için uygun iletme adresi türünü sorgulayın: IPv4 kaynağı için A ve IPv6 kaynağı için AAAA. Eşdeğer metin formlarının aynı şekilde ele alınması için IPv6 için bir IP ayrıştırıcı kullanarak adres değerlerini karşılaştırın.
Bu kılavuzun teşhisi için onay, döndürülen en az bir ana bilgisayar adının yönlendirme adresi kümesinin orijinal IP'yi içerdiği anlamına gelir. Ana bilgisayar başına sonuçların yanı sıra bu özeti de koruyun. Bu, açıkça tanımlanmış bir teşhis kuralıdır; her alıcının aynı seçim politikasını uygulayacağına veya her PTR sonucunu kontrol edeceğine dair bir söz değildir.
Başarısızlıkları farklı tutun
Referanslar: RFC 1035 §4.1.1, RFC 2181 §10.2.
PTR yanıtının olmaması, eşleşen adresi olmayan bir ana bilgisayar adı, DNS zaman aşımı ve doğrulama hatası farklı bulgulardır. Zaman aşımı kaydın bulunmadığını kanıtlayamaz. IPv4 A eşleşmesi, IPv6 kaynağı için onay sağlamaz. Tüm sonuçları tek bir kırmızı rozette toplamak yerine yanıt kodlarını ve zamanlamasını koruyun.
Bir ana bilgisayar adı için döndürülen ilk adreste durmayın. Bir ana bilgisayarın birden fazla adresi olabilir ve orijinal adres daha sonra kümede bulunabilir. Ayrıca bir kontrol panelinin birden fazla PTR adını sessizce atmaması da gerekir. Tam olarak neyin eşleştiğini açıklamak için temel sonuçlara ihtiyaç vardır.
Sentetik bir test setini hesaplayın
Durum A'da başlıyor 192.0.2.25. PTR getirileri smtp.example.com; bu isim A kümesidir 192.0.2.24, 192.0.2.25. Beklenen sonuç onaylandı çünkü orijinal adres kümenin bir üyesiydi. Kümenin tamamıyla eşitlik gerekli değildir.
Durum B aynı PTR kullanır ancak A kümesi yalnızca 192.0.2.24. Beklenen sonuç uyumsuzluktur. Durum C, ileriye doğru aramada bir zaman aşımı alır. Beklenen sonuç uyumsuzluk değil, çözülmemiş sonuçtur. Durum D başlıyor 2001:db8::25 ve hedefin AAAA cevabı 2001:0db8:0000:0000:0000:0000:0000:0025. Her ikisi de IPv6 adresi olarak normalleştirildikten sonra beklenen sonuç onaylanır.
Bu durumları bir fikstür çözümleyici veya yalıtılmış bölgelerle yeniden oluşturun. Her durum için kaynak IP'sini, PTR yanıtını, ileri yanıtı, sorgu türünü ve hesaplanan üyelik sonucunu depolayın. Basit bir uygulama her adresi ayrıştırır ve kaynağın döndürülen kümede olup olmadığını değerlendirirken üyelik adımından önce DNS hatalarını işler. Bu beklenen sonuçlar herhangi bir üretim alıcısının test edildiğini iddia etmez.
Uyumsuzluğun sahibi tarafını onarın
Referanslar: RFC 1035 §3.5, RFC 8767 §4.
PTR yanlışsa ters bölge operatörüyle çalışın. İletme adresi yanlışsa ana bilgisayar adının yetkili DNS operatörüyle çalışın. Her ikisi de otorite açısından doğruysa ancak çözümleyici açısından doğru değilse, önbelleğe almayı veya farklı görüşleri araştırın. Her iki yöndeki kanıtları aynı anda saklayın, böylece ardışık bir değişime kalıcı bir tutarsızlık olarak yanlış teşhis konulmaz.
Son olarak, gerçek SMTP yolunu test edin ve alıcı yanıtını koruyun. İletme onayı, DNS verilerinin tutarlılık özelliğidir. Saldırganlar ileri ve geri kayıtları eşleştirerek çalışabilir ve meşru bir sağlayıcı yine de bozuk bir yapılandırmaya sahip olabilir. Bulguyu, kimlik doğrulama ve kötüye kullanım kontrollerinin yerine değil, yanında kullanın.
Kanıt kapsamını açık tutun
Dört sentetik durum yalnızca adres üyeliği ve normalleştirme ile kontrol edilebilir: doğrulanmış, uyumsuz, çözülmemiş ve onaylanmış. Yerel hesaplama, PTR veya ileriye yönelik aramalar gerçekleştirmez, bir alıcı kullanmaz veya itibarı ölçmez.