IPv6逆引きDNSを正しく設定する

正引き経路と逆引き経路を理解する

正引きDNSは名前から始まり、アドレスを返します。AAAAレコードはhost.example.netをIPv6アドレスへ対応付けられます。逆引きDNSは完全なアドレスから始まり、各16進ニブルの順序を反転して、ip6.arpa配下のPTRを問い合わせます。ツールが展開してくれるため、長い逆引き名を手書きするのは誤りの原因になります。

PTRレコードは、所有権の証明、メール送信の許可、接続の暗号化を行いません。アドレスに慣例的な名前を与えます。PTRのホスト名を正引きすると元のアドレスを返す、正引き確認済みの逆引きDNSを好む運営者は多いものの、この整合性は認証ではなく、方針上の一指標です。

• URLではなく、安定した完全修飾ホスト名を選ぶ。
• 権威を持つ正引きゾーンにAAAAレコードを作成する。
• 逆引きゾーンの管理者を通じて一致するPTRを設定する。

依存関係の循環を作らず設定する

まず、host.example.netのようなAAAAレコードを作り、VPSに割り当てられた正確なIPv6アドレスへ向けます。そのアドレスがゲストで経路設定・構成されていることを確認してください。次にそのアドレスの逆引きDNS設定を開き、管理画面が絶対名を受け付ける場合、PTR値をhost.example.net.に設定します。末尾の点については管理画面の書式案内に従ってください。

逆引き設定がない場合、プレフィックスが委任されているか、サポートでPTRを作成できるか問い合わせます。example.netを管理していても、ip6.arpaを管理できるとは限りません。選択したアドレスについてVPSEverywhere.comが必要な機能を提供していない場合、確認が取れるまで逆引きDNSは利用できないものとして扱ってください。

• PTRには一つの標準的な運用ホスト名を使う。
• 一致するAAAAレコードがない名前へPTRを設定しない。
• アドレス交換時に誰が更新を担当するか記録する。

両方向を確認する

dig -x 2001:db8::1234 +shortで逆引きレコードを問い合わせます。文書用アドレスを、実際に割り当てられたアドレスへ置き換えてください。次にdig AAAA host.example.net +shortで正引きを問い合わせます。逆引きが選択したホスト名を返し、正引き結果に元のIPv6アドレスが含まれることが期待されます。

委任またはキャッシュの差を検出するため、独立した再帰リゾルバーにも問い合わせてください。リゾルバーはTTLが切れるまで古いデータをキャッシュする場合があり、DNS変更は常に即時反映されるとは限りません。正しいレコードを繰り返し編集する前に、権威応答を確認します。

• 例示用プレフィックス2001:db8::/32を本番環境に設定しない。
• 綴り、末尾の点、完全なIPv6アドレスを正確に確認する。
• アドレス再割り当てまたはサーバー再構築後に再試験する。

メールではPTRは要件の一つにすぎない

メール受信側は逆引きDNSを確認することが多いものの、一致するPTRだけでは信頼できる配信を確立できません。メールサーバーが通知するホスト名を一貫して設定し、SPF、DKIM、DMARC、TLS、不正利用への対応、キュー監視、適切な送信方法を実装します。導入前に、サービス条件とネットワーク方針で外向きメールが許可されていることを確認してください。

DNSが完璧でも、新しいアドレスの評価、侵害されたアカウント、依頼されていない通信により配信を拒否されることがあります。チームでセキュリティと評価のライフサイクル全体を運用できない場合は、専門のメールサービスを使ってください。