Dotaz: Reverzní záznamy pro VPS a mailserver

[whitestorm]

Wedos VPS, Debian 8 ISP

Vážení kolegové, potřeboval bych pomoci, neboť už nevím kudy kam.. Ve výsledcích DNS záznamů či mail-testeru je hodnocení relativně v pohodě, ale mám jeden zásadní problém i přes hodnocení 10 z 10. Je to problém reverzních záznamů. Nevíte co by to mohlo být nebo nemáte nějaký nápad jak to vyřešit?

Pokud zadám

hostname -f

, vypíše to mail.XXX.cz Pokud zadám

host XXX.cz

vypíše to IP adresu a naopak V serverhostingu reverzní záznamy IPv4 směřuje na mail.XXX.cz, XXX.cz, YYY.cz, mail.YYY.cz, to samé u IPv6

Hodnocení:

Your reverse DNS does not match with your sending domain.

Reverse DNS lookup or reverse DNS resolution (rDNS) is the determination of a domain name that is associated with a given IP address.
Some companies such as AOL will reject any message sent from a server without rDNS, so you must ensure that you have one.
You cannot associate more than one domain name with a single IP address.


Your IP address 37.XXX.XXX.238 is associated with the domain XXX.cz.
Nevertheless your message appears to be sent from mail.XXX.cz.

You may want to change the host name of your server to XXX.cz.

Here are the tested values for this check:
•IP: 37.XXX.XXX.238
•HELO: mail.XXX.cz
•rDNS: XXX.cz

Moc Vám děkuji a snad to pomůže i druhým..

Odpovědi

[Filip Jirsák]

IP adresa se vám překládá na XXX.cz, ale poštovní server v EHLO posílá mail.XXX.cz. Některé antispamy to mohou porovnávat (bůhvíproč). Buď změnte ten reverzní záznam, nebo změňte jméno, které posílá poštovní server.

[whitestorm]

Myslíte tedy, jestli jsem to pochopil správně, vymazat reverzní záznamy IPv4 a nechat pouze mail.XXX.cz, to stejné u IPv6? Pak vyvstává problém, když má člověk více domén na jednom serveru, tak jak to tedy spáchat? Odesílat tedy pouze z jednoho mailserveru?

Dále jsem vůbec nepochopil ani nevygooglil zprávu typu: SOA Expire Value out of recommended range ns.wedos.com reported Expire 2592000 : Expire is recommended to be between 1209600 and 2419200.

Nemáte zdání co to je? Moc díky

[Filip Jirsák]

To, co odesílá server v hlavičce EHLO, je jméno serveru. S doménami, pro které přijímá nebo odesílá e-maily, to nemá nic společného. Reverzní záznamy nastavte na tohle jméno a zajistěte, aby tohle jméno vedlo zase na IP adresu serveru.

Dále jsem vůbec nepochopil ani nevygooglil zprávu typu: SOA Expire Value out of recommended range ns.wedos.com reported Expire 2592000 : Expire is recommended to be between 1209600 and 2419200. Nemáte zdání co to je? Moc díky

Ta zpráva říká, že dobu expirace hlavičky zónového souboru DNS doporučují nastavit v rozmezí mezi 14 a 28 dny, Wedos to má nastavené na 30 dní. To ignorujte, stejně s tím nemůžete nic udělat (je to nastavení DNS serveru Wedosu).

[whitestorm]

Tak již to funguje v pořádku, velice děkuji. Stačilo nechat pouze jednu adresu mail.XXX.cz, ale chtěl jsem se zeptat. Pokud tam bude vícero domén, např. mail.XXX.cz, mail.YYY.cz, mail.CCC.cz atp. Nebude to opět pak komplikovat spamkontrola?

[Filip Jirsák]

V reverzních záznamech? Tam bych víc adres nedával. Reverzní záznam by měl vést na primární jméno serveru. S tím, jakou doménu ten poštovní server obsluhuje, to nemá vůbec nic společného.

[whitestorm]

dobře, moc děkuji. A když už tady řešíme komplet mailserver, ještě mám 2 problémy, které se zobrazují pouze na http://www.viewdns.info/

1)

Same glue at local and parent servers - Oops! The IP addresses (GLUE) returned for your nameserver don't match!
You should closely observe the nameserver details above and identify where the differences lie. 

a

2)

A record for each NS at parent - Oops! The parent servers don't have A records for each of your nameservers!
 This isn't a fatal error but means an extra lookup needs to be performed increasing the load time to your site. 

také jsem to nevyřešil a ani netuším..

[Filip Jirsák]

Obojí se týká DNS serverů. Předpokládám, že ty nemáte vlastní, ale máte DNS hostované u Wedosu – takže s tím nic neuděláte.

[Andrej]

PTR záznamy příslušné v k IP adrese serveru musí obsahovat záznam se jménem, kterým se server představuje v EHLO. Takže pokud EHLO říká mail.example.cz, AAAA záznamy ukazují na 2222::baac:0 a 2222::baac:1, pak pro oba mail servery musí být v DNS odpovídající PTR záznamy, tj. pokud třeba dig 0.0.0.0.c.a.a.b.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.2.2.2.2.ip6.arpa PTR (nebo dig -x 2222::baac:0) ukazuje jabber.example.cz a mail.example.cz, je to v pohodě, protože se podařilo dohledat mapování od EHLO k IP adrese serveru, který se tím jménem představil, a od té IP adresy zase zpátky ke jménu serveru, zatímco pokud by například druhý server měl (dig -x 2222::baac:1) PTR záznamy unrelated.example.cz a unknown.example.cz, může být mail z tohoto serveru považovaný (obecně) za méně důvěryhodný (například z hlediska filtrování SPAMu) než z toho prvního serveru, u kterého se zpětné mapování podařilo dohledat.

[whitestorm]

Je dost zvláštní aspoň z mého pohledu, že DIGnu adresu mailserveru a vyskočí mi AAAA záznam (ten je OK, byl přidělen od WEDOSu), ale jakmile to udělam obráceně, vyskočí tam něco úplně jiného, a přesto se EHLO identifikuje.

[vencour]

Pozor na to, že každý (poštovní) server se může ptát jiného (DNS) serveru, takže může dostat i jinou odpověď.

[whitestorm]

odpověď je na a.root-servers.net. Ovšem já mám například nastavené u DNS domény AAAA adresu (2a02:2bXX:2:X::1) a na VPS je téměř stejná v IPv6 (2a02:2bXX:2:X::498b:1). Nevím, zda-li to nějak spolu souvisí, ale snažím se to pochopit.

[Andrej]

No, pokud ta síť nefiltruje nějak agresivně DNS dotazy směrem ven, můžeš přece zkusit, jak to vypadá zvenku. Je několik zcela veřejných a dokonce rekurzivních DNS serverů, například tyhle. Takže si můžeš zkusit resolvnout například dig mail.example.cz AAAA @2001:4860:4860::8888 nebo zpětně dig -x 2222::baac:0 @2001:4860:4860::8888 a tím zjistit, jestli externí servery uvidí v DNS něco jiného, než co tam resolvuješ lokálně. (A jestli jo, pak je potřeba dobrat se příčiny toho rozdílu.)

Leckdy to bývá třeba tak, že si někdo pečlivě nastaví na svém DNS zpětné mapování, ale nenechá si k sobě oddelegovat tu potřebnou .ip6.arpa subdoménu, která by zajistila, aby se to zpětné mapování taky fakt globálně resolvnulo. Takže pak třeba u sebe na síti zpětné mapování vidí \o/, ale kdokoliv zvenku u jiných DNS ho nenajde /o\.

[MMMMMMMMM]

K IP adrese serveru vytvoř PTR záznam mail.xxx.cz, dále vytvoř A záznam mail.xxx.cz (ukazující na IP adresu serveru), jako HELO uvítání nastav mail.xxx.cz, jako MX záznam domény xxx.cz dej mail.xxx.cz. Nedával bych víc reverzních záznamů (PTR), ale jen a pouze jeden.

http://serverfault.com/questions/618700/why-multiple-ptr-records-in-dns-is-not-recommended

[Filip Jirsák]

jako MX záznam domény xxx.cz dej mail.xxx.cz

Jako MX záznam domény xxx.cz a kterékoli jiné, třeba bflmpsvz.com, dej mail.xxx.cz.