Čitanje zapisa
Svaki DNS zapis ima isti oblik: ime TTL klasa tip podaci. TTL (sekunde) kaže koliko dugo rezolveri smeju da ga keširaju; klasa je gotovo uvek IN; tip određuje kako se čitaju podaci. dig ispisuje tačno ovaj format u svojoj ANSWER SECTION, pa ga možete nalepiti direktno.
Trojka za e-poštu
SPF (TXT zapis na domenu) navodi koji serveri smeju da šalju poštu sa domena. Vrednuje se sleva nadesno; prvi mehanizam koji se poklopi odlučuje, a kvalifikator ispred njega (- fail, ~ softfail, ? neutral, + pass) je rezultat. Dozvoljeno je ukupno samo deset mehanizama koji izazivaju DNS pretrage (include, a, mx, ptr, exists, redirect), računajući ugnežđene include-ove, a prekoračenje daje trajnu grešku koja zapis čini beskorisnim. Završite sa -all ili ~all; +all ovlašćuje ceo internet.
DKIM objavljuje javni ključ na selector._domainkey.domain; server koji šalje potpisuje svaku poruku privatnim ključem. Ključevi bi trebalo da budu 2048-bitni RSA ili Ed25519; mnogi primaoci sada odbijaju 1024-bitne.
DMARC (_dmarc.domain) govori primaocima šta da rade kada se ni SPF ni DKIM ne poravnaju sa From domenom (p=none, quarantine, reject) i gde da šalju zbirne izveštaje (rua=). Počnite sa p=none i izveštajima, popravite izvore koji padaju, pa pređite na reject.
Ostali zapisi koje vredi znati
- CAA: koji sertifikacioni autoriteti smeju da izdaju sertifikate za ime.
0 issue "letsencrypt.org"blokira sve ostale CA; odsustvo CAA zapisa dozvoljava sve. - SRV: prioritet, težina, port i cilj za servis kao što je
_sip._tcpili_xmpp-client._tcp. Niži prioritet pobeđuje; težina deli opterećenje među jednakima. - SOA: serial zone (povećajte ga pri svakoj izmeni da bi sekundarni serveri primetili), tajmeri refresh/retry/expire za sekundarne i TTL negativnog keša za NXDOMAIN odgovore.
- HTTPS: govori pregledačima da sajt podržava HTTP/3 (
alpn="h3,h2") i nosi ključeve za Encrypted ClientHello.
Pitanja
Kako da dobijem zapise za svoj domen?
dig example.com ANY više retko radi; upitajte svaki tip posebno: dig example.com MX, dig TXT example.com, dig _dmarc.example.com TXT, dig +short example.com A. Nalepite ovde redove odgovora.
Zašto SPF kaže „previše DNS pretraga“?
Svaki include:, a, mx, ptr, exists i redirect se broji, uključujući one unutar zapisa koje uključujete. Sam Google Workspace koristi nekoliko. Spljoštite retko korišćene include-ove u ip4/ip6 opsege ili izbacite servise koje ne koristite.
Zašto moj CNAME ne radi na korenskom domenu?
CNAME ne može postojati uz druge zapise na istom imenu, a vrh zone (apex) uvek ima SOA i NS zapise. Koristite ALIAS/ANAME/flattening funkciju provajdera ili A/AAAA zapise.
Koji TTL da koristim?
3600 (jedan sat) je uobičajena podrazumevana vrednost. Snizite ga na 300 dan pre planirane izmene zapisa, pa ga potom vratite. Vrlo niski TTL-ovi povećavaju opterećenje autoritativnih servera i malo usporavaju pretrage.