Reverse DNS voor IPv6 correct instellen

Begrijp het voorwaartse en reverse pad

Forward DNS begint met een naam en geeft een adres terug: een AAAA-record kan host.example.net aan een IPv6-adres koppelen. Reverse DNS begint met het volledige adres, keert iedere hexadecimale nibble om en vraagt onder ip6.arpa een PTR op. Hulpmiddelen voeren die uitwerking voor u uit; de lange reverse naam met de hand schrijven is foutgevoelig.

PTR-records bewijzen geen eigendom, verlenen geen toestemming voor e-mail en versleutelen geen verbinding. Ze geven een conventionele naam aan een adres. Veel beheerders geven de voorkeur aan forward-confirmed reverse DNS, waarbij de PTR-hostnaam weer naar het oorspronkelijke adres verwijst, maar deze samenhang is slechts een beleidssignaal en geen authenticatie.

• Kies een stabiele volledig gekwalificeerde hostnaam, geen URL.
• Maak het AAAA-record in de gezaghebbende forward zone.
• Laat de passende PTR instellen door de partij die de reverse zone beheert.

Configureer zonder een afhankelijkheidslus te maken

Maak eerst een AAAA-record, bijvoorbeeld host.example.net, dat verwijst naar het exacte IPv6-adres dat aan de VPS is toegewezen. Controleer of het adres naar de server wordt gerouteerd en in de gast is geconfigureerd. Open vervolgens de reverse-DNS-instelling voor dat adres en stel de PTR in op host.example.net. als de interface een absolute naam accepteert; volg de aanwijzingen van het paneel voor de afsluitende punt.

Ontbreekt een reverse instelling, vraag support dan of het prefix is gedelegeerd of dat men de PTR voor u kan aanmaken. Ga er niet van uit dat beheer over example.net ook beheer over ip6.arpa geeft. Biedt VPSEverywhere.com voor het gekozen adres niet de noodzakelijke mogelijkheid, beschouw reverse DNS dan als niet beschikbaar totdat het tegendeel is bevestigd.

• Gebruik één canonieke operationele hostnaam voor de PTR.
• Laat een PTR niet verwijzen naar een naam zonder overeenkomend AAAA-record.
• Leg vast wie updates uitvoert als adressen worden vervangen.

Verifieer beide richtingen

Vraag het reverse record op met dig -x 2001:db8::1234 +short en vervang het documentatieadres door het werkelijk toegewezen adres. Vraag vervolgens de voorwaartse koppeling op met dig AAAA host.example.net +short. Het verwachte resultaat is dat de reverse DNS-vraag de gekozen hostnaam teruggeeft en dat de voorwaartse DNS-vraag het oorspronkelijke IPv6-adres bevat.

Vraag ook een onafhankelijke recursieve resolver om verschillen in delegatie of cache te ontdekken. DNS-wijzigingen zijn niet altijd meteen zichtbaar, omdat resolvers oude gegevens kunnen bewaren totdat de TTL verloopt. Controleer gezaghebbende antwoorden voordat u een correct record herhaaldelijk wijzigt.

• Configureer het voorbeeldprefix 2001:db8::/32 nooit in productie.
• Controleer spelling, afsluitende punten en het exacte volledige IPv6-adres.
• Test opnieuw na hertoewijzing van een adres of herbouw van een server.

Voor e-mail is een PTR slechts één vereiste

Ontvangende mailservers bekijken vaak reverse DNS, maar alleen een overeenkomende PTR maakt aflevering niet betrouwbaar. Configureer de hostnaam die de mailserver aankondigt consequent en implementeer SPF, DKIM, DMARC, TLS, misbruikafhandeling, wachtrijmonitoring en passende verzendpraktijken. Controleer vóór ingebruikname of uitgaande e-mail volgens de dienstvoorwaarden en het netwerkbeleid is toegestaan.

De reputatie van een nieuw adres, gecompromitteerde accounts of ongewenst verkeer kunnen aflevering verhinderen, zelfs met perfecte DNS. Gebruik een gespecialiseerde maildienst als uw team niet de volledige beveiligings- en reputatiecyclus kan beheren.