Come funziona il DNS inverso
Il DNS diretto associa nomi a indirizzi; quello inverso riporta un indirizzo a un nome tramite record PTR in un albero speciale. Per IPv4 gli ottetti vengono invertiti e si aggiunge .in-addr.arpa: 192.168.1.10 viene cercato come 10.1.168.192.in-addr.arpa. Per IPv6 ogni cifra esadecimale dell’indirizzo completamente espanso viene invertita e separata da punti sotto .ip6.arpa, per un totale di 32 etichette.
L’albero inverso è delegato lungo le stesse linee delle assegnazioni di indirizzi: chi detiene 192.168.0.0/16 ottiene 168.192.in-addr.arpa e può delegare 1.168.192.in-addr.arpa per ogni /24. In pratica è il tuo ISP o hosting provider; per un singolo server di solito si imposta il PTR nel loro pannello di controllo invece di gestire la zona da soli.
Perché è importante
- Posta: la maggior parte dei destinatari rifiuta o mette nello spam la posta da un indirizzo il cui PTR manca o non corrisponde al nome HELO (forward-confirmed reverse DNS). È il motivo principale per cui si impostano i PTR.
- Log e traceroute mostrano nomi host invece di indirizzi.
- SSH, Kerberos e alcuni firewall usano le ricerche inverse per le decisioni di accesso e vanno in timeout quando la zona inversa è rotta.
Più piccolo di un /24
Un /24 è la zona IPv4 più piccola che rispetta i confini degli ottetti. Per un /29 o un /28 il provider delega con il trucco di RFC 2317: la zona padre contiene CNAME per ogni indirizzo che puntano a una sottozona chiamata ad esempio 0-7.1.168.192.in-addr.arpa, controllata dal cliente. Lo strumento indica quella zona quando il prefisso non cade su un confine di ottetto. IPv6 non ha questo problema: /64, /56 e /48 cadono tutti su confini di nibble.
Domande
Qual è il record PTR di 8.8.8.8?
Si trova in 8.8.8.8.in-addr.arpa e punta a dns.google. Il nome PTR di qualsiasi indirizzo è semplicemente i suoi ottetti invertiti sotto in-addr.arpa.
Come imposto il DNS inverso per il mio server?
Nel pannello dell’hosting provider (Hetzner: Server → Networking → Reverse DNS; AWS: una richiesta al supporto o le impostazioni dell’Elastic IP; la maggior parte dei VPS: un campo accanto all’IP). La zona inversa appartiene al provider, quindi solo loro possono creare il record.
Serve un PTR per IPv6?
Per un server di posta sì, per le stesse ragioni di IPv4. Per tutto il resto è facoltativo ma ordinato. Il nome ip6.arpa è lungo, ed è per questo che lo strumento lo genera per te.
A cosa deve puntare il PTR?
A un nome che risolve di nuovo allo stesso indirizzo (il record diretto deve esistere). Per i server di posta deve corrispondere al nome HELO/EHLO del server, ad esempio mail.example.com.