Reverzní záznam IP adresy u serveru

7.2.2012 08:46 | Přečteno: 4335× | poslední úprava: 7.2.2012 08:54

Představte si, že máte na Internetu webový server. A na svém webu, který zde hostujete, nabízíte například zasílání novinek e-mailem, to je dnes docela běžná věc. A pak si představte, že máte ještě poštovní server (není nutně na stejném stroji), kde se snažíte dodržovat RFC standardy, tj. máte například správně definován reverzní záznam pro IP adresu tohoto serveru.

A teď má otázka - máte reverzní záznam definován i pro webový server, přes který zasíláte e-mailem novinky těm, kteří o toto mají zájem? Tohle by IMHO mělo být také nastaveno, vidíte to stejně jako já? Každý den vidím v logu 3 nebo 4 české webové servery, které se snaží zaslat nám nějaké e-maily, přičemž IP adresa serveru nemá definován reverzní záznam a nejedná se o poštovní servery, ale o obyčejné webové servery, které jen rozesílají novinky či upozornění. Ani mne už nebaví těm správcům psát, většinou se nesetkám s odpovědí. V drtivé míře k nám z IP bez rev. záznamu chodí spam. Přitom by, milí správci, stačilo tak málo. Nechci je jmenovat, ale jeden z těch serverů je i webserver ministerstva zdravotnictví www.mzcr.cz        

Anketa

Komentáře

[mozog]

RFC 1912, sekce 2.1:
For every IP address, there should be a matching PTR record in the in-addr.arpa domain.

[SPM]

Tak tak, pokud k tomu není nějaký dobrý důvod, tak by všechno připojené do internetu mělo mít reverzní záznam. A s někým, kdo si to nechce/neumí nastavit, bych si ani maily vyměňovat nechtěl :)

[pasmen]

Jenže to není možné vždy ovlivnit, záleží to na majiteli IP adresy. A ne vždy je provider nápomocný.

[SPM]

Tak psal jsem, pokud k tomu není dobrý důvod... navíc pokud poskytovatel, který se živí poskytováním konektivity i pro servery (nebo prostě na vyšší úrovni než zaplaťte 2 stovky měsíčně a můžete koukat na porno jak chcete) a není schopný změnit reverzní záznam si nezaslouží nic jiného, než aby mu zákazníci odešli jinam.

[pavlix]

Neschopnost či neochotu potkáš ve všech oborech, ale obvykle se jí dá vyhnout odchodem ke konkurenci. Neschopnos a neochota se totiž obvykle netýká jenom jedné věci (triviální nastavení reverzu), ale čehokoli, co bys mohl potřebovat (třeba znovuzprovoznění konektivity při chybě).

[petr_p]

Za prvé je to should, za druhé informal a za třetí, serverů bez IPv4 se to zjevně netýká. Nevidím jediný důvod, k čemu je reverzní záznam nutný pro přenos e-mailu.

[pavlix]

Toto je velice dobrý nápad dodržovat.

[K]

Koukam, ze dalsi naivka co si mysli, ze by svet mohl byt dokonaly :)

[L]

Bez naivku bysme byli sto let za opicema :)

[msk]

To mi pripomina casy, ked som s mojim providerom pravidelne 4x do roka riesil reverzne zaznamy ( ktore pravidelne mizli ), aby som bol schopny dorucit. Nakoniec som to vzdal, uz ma ani nebavilo konfigurovat postovy server a furt sa o to starat, tak sme firmu prehodili do google apps.

[mozog]

To mi pripomina casy, ked som s mojim providerom pravidelne 4x do roka riesil reverzne zaznamy ( ktore pravidelne mizli ), aby som bol schopny dorucit.

Takoveho "providera" nejlepe nakopat do ***.

[citanus]

upc nebo gts? u obou mam podobne zkusenosti. Navic u upc sem se cca pred ctvrt rokem dozvedel ze reverzni zanzamy nedelaji... : ) No tezko jim vyzvetlovat ze u nich mam x klientu s x ipckama s x reverzama : O..

[msk]

Pe3ny.net. Je to par rokov dozadu. Po case ( ked som rezignoval ) mi to per huba jeden ich clovek odovodnil tym, ze menili dodavatela konektivity a ze to bola znama bolest. Dnesny stav nepoznam, konektivitu od nich vsak beriem dalej.

[pavlix]

Tak ono většinou stačí s tím pořád otravovat, případně každý měsíc, kdy to vypadne požadovat slevu (člověk může ustoupit vždycky). Lidi jsou líní věci řešit hned, ale pokud je někdo dostatečně otravuje, pojmou touhu se ho zbavit a věc vyřeší.

Jinak zrovna na pe3ny jsem míval docela dobré reference. A provozovat vlastní DNS server pro reverzní záznamy (z hlediska ISP) je triviální, a těch pár reverzních delegací (či jednou v případně IPv6) by mohl upstream provider snad udržet.

[msk]

Mali svoje obdobie a v urcitych lokalitach. Myslim ze Smichov zrovna po niekom zdedili/odkupili a chvilu to trvalo, nez sa to dostalo do normalnych kolaji. Je ale pravda, ze za posledne 2 roky o nich prakticky neviem, az na obcasne kratkodobe vypadky ( predsa je to wifi ) je to ok. Ktovie, ako by to dnes dopadlo s tym reverzom ...

[pavlix]

Myslim ze Smichov zrovna po niekom zdedili/odkupili

No tos zapomněl zmínit, že to byly petřiny na smíchově :) a ještě čerstvě odkoupeném :).

az na obcasne kratkodobe vypadky ( predsa je to wifi ) je to ok.

Hele já mám wifi a nevypadlo mi ani nepamatuju. Za to teď nám skončil dlouhý výpadek optiky.

[Tomáš]

Každý den vidím v logu 3 nebo 4 české webové servery, které se snaží zaslat nám nějaké e-maily, přičemž IP adresa serveru nemá definován reverzní záznam a nejedná se o poštovní servery, ale o obyčejné webové servery, které jen rozesílají novinky či upozornění.

Pokud to posílá e-mail, pak je to i poštovní server

[MMMMMMMMM]

Asi tam běží nějaký lokální poštovní daemon, ale není přístupný z venku. Telnet na www.mzcr.cz na smtp port končí timeoutem. :) Tedy se dle mého nejedná o plnohodnotný poštovní server. Ty jsou obvykle nastaveny korektně a problém s nima není.

[pavlix]

Zbytečně mateš pojmy. Používají se úplně normální SMTP servery. Jestli server přijímá či nepřijímá příchozí spojení z vnější sítě, není úplně moc tvoje starost. Vlastně není moc tvoje starost ani to, jestli má reverzní záznam. Má to své „ale“.

Je de facto standardem (ve smyslu hodně důležitých mailserverů je takto konfigurovaných), že důvěryhodnost mailserveru určuje mimo jiné i podle toho, jestli má korektní reverzní i forward DNS záznam, jestli stejné DNS jméno používá při pozdravu, a teoreticky se může i hlídat, jestli dotyčný server je v provozu (poslouchá na SMTP), či dokonce jestli dotyčný odesilatel na serveru existuje!

Výše uvedené kontroly a mnoho dalších mají nějakou statistickou úspěšnost. Dneska to nefunguje tak, že by si člověk přečetl standard, spustli internetový mailserver, a měl jisté, že bude se všemi ostatními komunikovat.

Vtip je v tom, že kontroverzní techniky typu blacklisting, greylisting nebo kontrola DNS mají všechny společnou nízkou zátěž na serveru, vysokou úspěšnost, a navíc se vzájemně doplňují. Takže pokud chceš odesílat mail, musíš se chovat slušně (či dokonce více než jen slušně). Pokud chceš přijímat maily, je na tobě, jaké kompromisy zvolíš a komu budeš jak vysvětlovat odmítnuté, či dokonce ztracené maily.

Teď se přižene Filip Jirsák a začne mě kamenovat.

[MMMMMMMMM]

A to jsem původně kontroloval shodu reverzního a dopředného DNS záznamu, ale zděsilo mne, kolik poštovních serverů je u nás nastaveno blbě, kdy se tyto záznamy neshodují.

[pavlix]

Striktně vzato tu nedostatky v pojmenování serverů a jeho propagaci nejsou proto, abys na jejich základě penalizoval nameservery. Ale osobně mám pocit, že můj mailserver odmítá maily z nekorektních či neexistujících domén (to mi přijde celkem fér), a používám blacklisting a greylisting (což mi taky přijde ještě celkem fér).

Dobré je, že žádná z těchto technik nezahazuje e-maily (navzdory Jirsákovi), takže v případě potřeby mě dotyční můžou sehnat co já vím třeba na telefonu.

A narozdíl od různých takyadminů různých institucí, pokud mi někdo napíše, že nechodí maily, tak jdu v nejbližším časovém okně zkoumat příčinu. Mně se naopak obvykle dostává v nejlepším případě reakce „přidali jsme váš server do whitelistu“ (což například znamená, že když mail chycený obsahovým filtrem pošlu s kopií na někoho a dotyčný odpoví, tak se ta odpověď vrátí nebo ztratí, protože on na whitelistu není).

[Heron]

Mě by fakt zajímalo, kolik z těchto podmínek (a že jsou ještě další!, možná se k nim opět dostaneme ) je reálně splnitelných.

Příklad. Webserver, který jak na potvoru taky chce z mnoha redakčních systémů odesílat poštu. Tuto bude odesílat přes localhost SMTP. Asi nelze očekávat, že tento SMTP se bude hlásit jménem příslušného webu a už vůbec nelze očekávat, že na něm budou existovat schránky. Už jenom z toho prostého důvodu, že mailserver pro danou doménu je někde úplně jinde.

Takže ano, ten server bude mít korektní dopředný a zpětný záznam (ale ne na všechny hostované domény), ale to je tak celé.

[trekker.dk]

Asi nelze očekávat, že tento SMTP se bude hlásit jménem příslušného webu...

...zejména nelze očekávat, že bude vůbec naslouchat a odpovídat na jiném interface než na localhost.

[Martin Mareš]

V takovém případě mi ostatně přijde rozumné, aby tento webserver nedoručoval poštu přímo, ale pouze ji předával nějakému společnému SMTP serveru.

[pavlix]

Přesto je realita taková, že občas někdo postaví mailserver, kam se tyto maily nedoručí (aspoň do prvních stížností).

[Filip Jirsák]

Váš osobní počítač nebo notebook je taky poštovní server? Vlastně každý počítač je poštovní server, protože na něm můžete spustit Thunderbird nebo něco takového a poslat z něj e-mail?

[Tomáš]

Definici serveru vnímám jako stroj, na kterém běží služba, jež poskytuje (síťově) nějakou službu (akceptuje spojení) ... pokud je to pouze na localhostu, nic to na tom nemění. Má-li to být poštovní server, pak tím spojením rozumím protokol související s el. poštou. ... Tzn. počítač s Thunderbirdem (MUA) nikoliv, počítač s Posftix/Exim/... (MTA) už ano. V případě co popisuje autor článku je jasné, že někde nějaký poštovní server musel běžet, aby mohl být e-mail odeslán.

[Filip Jirsák]

Thunderbird také umí odeslat e-mail, ale sám tvrdíte, že to server není. Stejně tak webový server v sobě může mít implementovaného e-mailového klienta, pomocí kterého rozešle e-maily, a žádný poštovní server tam běžet nemusí. K odeslání e-mailu potřebujete server jen na straně příjemce, na straně odesílatele je klient. A ten může e-mail poslat buď rovnou na cílový server, nebo na nějaký zprostředkující (relay) server. Z článku je jasné jenom to, že na webovém serveru je poštovní klient.

[Tomáš]

Pak je ale úplně nepodstatné řešit reverzní záznam webového serveru, kde běží poštovní klient - což právě autor dělá.

[Filip Jirsák]

No právě.

[pavlix]

To je omyl. Tedy teoreticky by to mohlo být přesně tak, ale praxe tomu bohužel odporuje. Pokud odesílající MTA používá DNS a kontaktuje přímo koncové MTA, může na konfiguraci DNS záležet.

[Filip Jirsák]

Může na tom záležet u špatně nastavených cílových serverů. Stejně jako u nich může záležet na aktuální fázi měsíce, oblíbenosti nějakého serveru u jeho správce a spousta dalších věcí, které s doručováním e-mailů nemají nijak souviset. Pravda, reverzní DNS záznam patří asi k těm častějším variantám a nemusí být tak těžké jej ovlivnit. I když na druhou stranu některé servery kontrolují i to, jak ten záznam vypadá, a když se jim to jméno nelíbí, e-mail odmítnou stejně. Záleží pak na tom, jak moc je pro odesílatele důležité e-mail na takovýhle server doručit, aby kvůli tomu musel řešit hloupost někoho jiného. Ideální by bylo mít veřejný seznam takovýchhle serverů a e-maily na ně vůbec nedoručovat, když si to jejich správci tak nepřejí.

[pavlix]

Nechci se tu dohadovat ani o věcech zjevných, ani o filosofických otázkách teorie internetových standardů. Pouze jsem poukázal na suchou realitu.

Záleží pak na tom, jak moc je pro odesílatele důležité e-mail na takovýhle server doručit

Přesně tak. (Zbytek věty či celého odstavce ale radši necituju, protože tam už se jen opakovaně ztrapňuješ.)

[pavlix]

nejedná se o poštovní servery

Potom ti nemůžou doručovat žádnou poštu, ne? :)