Dotaz: PTR záznam

[mapim]

Dobrý den, mám dotaz, ohledně chybějícího PTR záznamu u domény. Pokud doméně PTR záznam chybí, jak se to může projevovat - může to mít vliv na to, že se stránky pomalu načítají nebo se občas nenačtou vůbec?

V RFC 1912 se píše

Failure to have matching PTR and A records can cause loss of Internet services similar to not being registered in the DNS at all.

Ale co si pod tím představit? Můžete mi to prosím někdo přiblížit? Moc děkuji...

Odpovědi

[Luboš Doležel (Doli)]

Realita je taková, že se na to tak trochu kašle. Ale když už tam PTR záznam je, je velmi vhodné, aby se ten záznam dal zpět resolvovat na stejnou IP.

[d'areback]

Ne velmi vhodne, je to naprosta povinnost: RFC 1912 "PTR records must point back to a valid A record". Pokud tomu tak neni odmitam napriklad prijimat maily.

[houska]

Pokud doméně PTR záznam chybí, jak se to může projevovat - může to mít vliv na to, že se stránky pomalu načítají nebo se občas nenačtou vůbec?

Ze by se to projevovalo takto, nevim a ze by se kvuli chybejicimu reverzu nenacitaly prislusne stranky mi prijde zvlastni, web server pouziva rev. zaznam jen pro logy a ani tam to nepotrebuje nezbytne.

Problem s chybejicim rev. zaznamem maji spis mailove sluzby.

[Jendа]

No, vzhledem k tomu, že v .cz vím jenom o jedné doméně, která má správně nastavené DNS, tak to na funkčnost v praxi moc vliv nemá. Možná ti mailservery přidají pár bodíků při kontrole na spam.

Ale stejně je to prasárna, protože tím porušuješ RFC…

[lertimir]

A co má taková většina domén špatně?

[Jendа]

RFC1912:

   Make sure your PTR and A records match. (…)
   Failure to have matching PTR and A records can cause loss of Internet
   services similar to not being registered in the DNS at all.

nic.cz.			1800	IN	AAAA	2001:1488:0:3::2
2.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.3.0.0.0.0.0.0.0.8.8.4.1.1.0.0.2.ip6.arpa. 18000	IN PTR www.nic.cz.

[VSi]

Make sure your PTR and A records match. (…)

Vždycky jsem si to vakládal tak, že pro:

2.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.3.0.0.0.0.0.0.0.8.8.4.1.1.0.0.2.ip6.arpa. 18000	IN PTR www.nic.cz.

musí www.nic.cz směřovat zpět na 2001:1488:0:3::2. Takhle to implementují třeba některé mailservery v rámci pokusů o detekci SPAMu. A ani tohle občas i u vekých ISP není nastaveno správně.

Vždyť jinak by to nedávalo smysl - na jednu IP adresu může směřovat hromada A záznamů, ale k jedné IP adrese přísluší jen jeden PTR. To jako myslíš, že "legální" by bylo mít pro jednu IP adresu jen jeden A záznam, a ostatní by se měly řešit přes CNAME?

[Jendа]

k jedné IP adrese přísluší jen jeden PTR

To se píše kde?

[VSi]

OK, může jich být víc. Stejně jako k jednomu A záznamu může být víc IP adres (to má větší smysl). Takové případy s PTR jsem už viděl, a nějak jsem si je zaznamenal jako "nepoužívat, divné", protože chování různých resolverů a aplikací je v těchto situacích pomalu pokaždé jiné. Třeba při opakovaném puštění ping na stejnou IP se pokaždé náhodně zobrazoval jiný hostname. Téměř jistě by takové nastavení vedlo ke zmatení některých mailserverů, co PTR kontrolují. Možná je to chyba na jejich straně, ale když váš zákazník chce, aby mu maily chodily i k ignorantům, co si to neopraví...

Nevidím v tom ani praktický smysl, mít k IP adrese v PTR záznamu všechny "ekvivalentní" A. Třeba když mám http virtualhosty, na jedné IP třeba 200 domén nasměrovaných přes A záznamy, to mám mít všechny v PTR? Nebo všecny řešit přes CNAME (jsou DNS serevery, co s tím mají za určitých okolností problém)?

[mapim]

krom toho, že RFC PTR doporučuje, je nám reverzní záznam na co? Nikdo ho nepoužívá, žádné síťové službě nevadí nepřítomnost PTR v DNS záznamu (krom staršího primitivního SMTP ověřování), tak proč vlastně existuje?

[d'areback]

I kdyby to melo byt jen ze stejneho duvodu, z jakeho se lide zdravi, cisti si saty a mejou zadky, tak to podle mne staci.

[mapim]

hm, ok, to je dost důležíté, mýt si dupu, dělám to pokaždé[m]...

Ale, internet je Internet a každé nastavení má svůj důvod. Snažím se v RFC 1035 najít důvod, proč toto nastavení existuje a proč je vlastně prasácké PTR k A nemít, či jaké dopady to má, když pointer record chybí. Stále nic... je dost možné, že to bude mou chabou angličtinou :) proto se možná tak hloupě ptám...

[Luboš Doležel (Doli)]

Aby byl ordnung

[mapim]

ten za císařpána byl, kdepak dneska! :)

[d'areback]

No, "kazde nastaveni ma svuj duvod", naprosta vetsina nastaveni na Internetu ma tak nesmyslne malicherne duvody, ze PTR zaznam je vuci tomu vrchol smysluplnosti. K cemu jsou napriklad tuny blogu ruznych nymandu? Nebo facebook? Naprosta drbarna a ztrata casu. PTR je treba forma predstaveni se volanemu systemu. S nastupem DNSSEC muzeme napriklad dotazem na PTR a zpet verohodne overit prislusnost nebo i identitu stroje, opravnenost odesilat maily za urcitou domenu apod. Docela zajimava mi prijde kombinace DynDNS+DNSSEC - treba pro bezpecnou spravu voip krabicky meho otce, notebooku obchodniho cestujiciho atd. S nastupem ipv6 to bude opet zajimavejsi. To, ze dnes jsou vsichni zahledeni do prodeje reklamy na webu (kde opravdu PTR neni treba) mi vubec neimponuje, ba primo naopak.

[mapim]

Já RFC respektuji a věřím, že autoři nežertovali, jen tomu chci porozumět co se praktických dopadů týče.

Mě jen zajímá opravdová praxe - nesprávně nastavené domény. Co se může stát, když PTR chybí? Na co vše to má vliv? Může to mít vliv například na nějaký problém s webovými služebami? Nebo jde jen o čistotu nastavení, stejně jako v programování se komentují řádky kódu....???

[lertimir]

Tak jako M$ prohlížeč ti spolkne mnohé prasárničky HTML kódu, tak velké množství služeb ti spolkne, že nemáš revez záznam. A některé taky ne. Na druhou stranu pokud je to o trochu větší síť než pár počítačů v malé firmě, stejně se ti vyplatí používat na DNS (a DHCP) nějaký řídící systém, jako je třeba Sauron, a pak ti reverzní záznamy jsou přirozeně vytvořeny a nemusíš se s tím otravovat.

[Filip Jirsák]

Na webové služby to asi mít nebude, pokud si nějaký klient tyhle záznamy nečte a něco s nimi nedělá. Ale může se to hodit třeba při řešení problémů – víte akorát IP adresu druhé strany, podle reverzních záznamů si ji převedete na jméno a podle toho už mnohem snáz dohledáte majitele. Můžete hledat i podle toho, komu RIPE přidělil daný blok IP adres, jenže to klidně může být ISP nebo nějaký velký telehouse, a ti vám koncového majitele vůbec nemusí prozradit. Stačí si jen představit klasický traceroute – co vám řekne několik IP adres proti tomu, když vidíte, co a kde je v síti vašeho ISP, kdy už jste v NIXu atd.

[NdrU]

Jeden konkrétní problém (i když zasahující pouze malou skupinu lidí) je ten, že "studentský" server Fakulty Informatiky Masarykovy Univerzity odmítá ssh připojení, pokud nemáte reverzní záznam.

[Jendа]

Proč to dělají? Chválím snahu vynucovat RFC, ale skutečně je to jen z tohoto důvodu?

[mapim]

OK, čili by se to dalo shrnout, že když je webová služba za XY firewally a dalšími hlídacími boxy v síti, ve vztahu ke klientovi, který dotaz posílá, tak se dá říct, že to může mít vliv také na webové služby - je tak?