מה הבדיקה הזאת מגלה
DNS הפוך יכול לעזור להסביר את התווית המשויכת לשרת או לכתובת רשת. הוא שימושי לפתרון אי-התאמות בשמות, במיוחד בתשתית דוא״ל. שם מארח שנראה סביר הוא עדיין תווית שבשליטת המפעיל: גם התאמה מאומתת הלוך ושוב אינה מאמתת אדם או שירות.
איך לבצע את הבדיקה
- הזינו את כתובת ה-IPv4 או ה-IPv6 הציבורית לבדיקה והקפידו לזהות את משפחת הכתובות שלה.
- הריצו את הבדיקה ובדקו את תשובות ה-PTR ואת מצב התשובה של כל מפענח.
- קראו את האימות קדימה לכל שם שהוחזר, לצד רשומות חסרות או שגיאות בדיקה.
איך המדידה פועלת
השרת בונה את שם ה-DNS ההפוך ומבקש מהמפענחים שהוגדרו רשומות מצביע, או PTR. לאחר מכן הוא מחפש רשומות A או AAAA כדי לבדוק אם מופיע ה-IP המקורי.
ייתכן שייעשה שימוש ב-DNS של המערכת ובמפענחי DNS-over-HTTPS חיצוניים. הבדיקות קדימה משתמשות בבדיקה ציבורית מוגבלת למשפחת הכתובות המקורית; שגיאות מובחנות מאי-התאמה בבדיקה שהושלמה.
הבנת התוצאות
- שם מאומת קדימה
- רשומת PTR מצביעה על שם שתשובת A או AAAA המתאימה שלו כוללת את ה-IP המקורי. קשר השמות עקבי בבדיקה הזאת.
- PTR ללא אימות
- שם שהוחזר אינו מתורגם בחזרה לכתובת בבדיקה שהושלמה. הדבר עשוי לשקף רשומות ישנות, הסדר שמות מכוון או בעיית תצורה.
- אין PTR או שהתוצאה אינה חד-משמעית
- בדיקה מוצלחת עשויה לא למצוא שם הפוך. לעומת זאת, שגיאות מפענח או בדיקות קדימה שלא הושלמו משאירות את הקשר לא ידוע.
השוואה לפני ואחרי
- שמרו את ה-IP, המשפחה, תוצאות המפענחים, השמות וזמני החיים של הרשומות לפני שינוי DNS.
- שנו רשומת PTR או רשומה קדימה רלוונטית אחת אם היא בניהולכם, ואז חזרו על אותה בדיקה.
- הביאו בחשבון רשומות במטמון לפני השוואת הסכמת המפענחים. הבחינו בין אי-התאמה בבדיקה שהושלמה לבין בדיקה שנכשלה.
מגבלות הבדיקה
- DNS הפוך מנוהל לעיתים קרובות בידי ספק הכתובת ולא בעל שם המתחם.
- דגל אימות DNSSEC של מפענח נוגע לנתוני DNS מאומתים, ולא לזהותו או לאמינותו של השירות הנקוב בשם.
מה לשנות, אם צריך
- לשרת דוא״ל חסר השם ההפוך הנדרש
- בקשו מספק ה-IP להגדיר את רשומת ה-PTR והתאימו את הרשומה קדימה הרצויה, ואז בדקו שוב לאחר פקיעת המטמונים.
- מפענחים אינם מסכימים לאחר עדכון
- בדקו את הרשומות הסמכותיות ואת זמן החיים שלהן לפני שינוי נוסף.
שאלות נפוצות
האם היעדר PTR מבטיח פרטיות?
לא. פירושו רק שלא הוחזר שם הפוך; מידע רשת אחר נשאר זמין.
האם אפשר לשנות את השם של כל IP?
לא. השליטה באזור ההפוך שייכת בדרך כלל לארגון שמנהל את בלוק הכתובות.