Modulo 8 · 8.3
Strumenti DNS online
Modulo 8: Sicurezza e risoluzione dei problemi · Tempo di lettura: 7 minuti
Obiettivo della lezione: dopo questa lezione sceglierà lo strumento online giusto per ogni domanda sul Suo DNS e saprà come leggerne il risultato.
Concetti chiave: dig online, DNS checker per paese, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, controllo email, salute del dominio
Perché usare strumenti online?
Uno strumento online pone la Sua domanda da un luogo diverso dal Suo computer. Questo offre due vantaggi. Non risente della cache del Suo computer o router, e Lei vede ciò che vede il resto di internet. Inoltre molti strumenti combinano decine di controlli in un solo clic, mentre con dig deve porre ogni domanda separatamente.
Non esiste uno strumento che faccia tutto al meglio. Scelga in base alla Sua domanda.
Quale strumento per quale domanda?
| La Sua domanda | Strumento adatto | Cosa vede |
|---|---|---|
| "Cosa restituisce esattamente il DNS in questo momento?" | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), oppure un altro dig online | Lo stesso risultato di dig, senza dover installare nulla |
| "Il mondo intero vede già la mia modifica?" | dnschecker.org (o altri "DNS propagation checker" simili) | La risposta di decine di resolver in diversi paesi, messe a confronto |
| "Il mio dominio è configurato in modo moderno e sicuro?" | internet.nl (della piattaforma olandese Internetstandaarden Platform) | Punteggio per sito web (IPv6, DNSSEC, https) e email (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| "La mia catena DNSSEC è corretta?" | DNSViz (dnsviz.net) | Un'immagine della catena dalla root al Suo dominio, con gli errori in rosso |
| "La mia zona è tecnicamente corretta?" | Zonemaster (zonemaster.net) | Controllo approfondito di nameserver, delega, SOA e DNSSEC |
| "Come sono impostati i miei record di posta?" | MXToolbox, un controllo email (ad esempio il Controllo email di WebOké), oppure i controlli del Suo provider di posta | MX, SPF (con numero di ricerche), DMARC, liste nere |
| "La mia posta inviata arriva correttamente a destinazione?" | mail-tester.com, oppure un'email di prova a Gmail con "Mostra originale" | Se SPF, DKIM e DMARC risultano superati per un'email reale |
| "Sito web e posta funzionano insieme, tutto in un'unica panoramica?" | Un controllo di salute del dominio (ad esempio Salute del dominio di WebOké) | Nameserver, record A, www, certificato, MX, SPF, DMARC, DNSSEC e CAA in un unico elenco |
Gli strumenti di WebOké sono riportati qui come esempio di un controllo "tutto in uno"; altri fornitori di hosting e registrar dispongono di strumenti simili. In caso di dubbio, Ne usi due in parallelo: se due strumenti indipendenti dicono la stessa cosa, è quasi certamente corretto.
Usare un dig online
Un dig online fa esattamente ciò che ha imparato nella lezione 8.2. Inserisce il nome (ad esempio _dmarc.example.com), sceglie il tipo (TXT) e ottiene l'output grezzo. La toolbox di Google mostra anche lo stato (NOERROR, NXDOMAIN, SERVFAIL) e il TTL. Usi questo strumento quando vuole sapere cosa è scritto letteralmente, ad esempio per verificare che il Suo record SPF compaia esattamente una volta.
Leggere un DNS checker per paese
Dopo una modifica, in un checker come dnschecker.org vedrà spesso un quadro misto: in alcuni paesi il nuovo indirizzo con un segno di spunta verde, in altri ancora il vecchio. Non è un errore. Ogni resolver ha recuperato il record in un momento diverso e sta facendo scadere il proprio TTL (lezione 6.2).
Due cose a cui prestare attenzione:
- Vede ovunque la vecchia risposta, anche molto tempo dopo la scadenza del TTL? Allora la modifica probabilmente non è presente sul nameserver usato dal resto del mondo. Controlli quali nameserver ha il Suo dominio (lezione 2.1).
- Con alcuni resolver non vede nulla (una croce)? Potrebbe trattarsi di un SERVFAIL, spesso causato da DNSSEC. In tal caso controlli con DNSViz.
internet.nl
internet.nl è un test indipendente della piattaforma olandese Internetstandaarden Platform (tra cui SIDN, NLnet Labs e il governo). Ci sono tre test: sito web, email e la Sua connessione. Il risultato è una percentuale con spiegazioni per ogni elemento e un "Come migliorare".
Legga il risultato con criterio: non ogni elemento rosso indica un malfunzionamento. Se ad esempio manca DANE o IPv6, la Sua posta o il Suo sito funzionano comunque, ma non rispetta lo standard più recente. Il rosso su "DNSSEC valido" o "SPF" è invece importante.
DNSViz
DNSViz disegna la catena di fiducia della lezione 8.1: blocchi per la root, il TLD e il Suo dominio, con frecce per DS e DNSKEY. Il blu indica sicurezza, il nero significa non firmato (non è un errore) e il rosso indica un guasto; come leggere l'immagine è spiegato nella lezione 8.1. Linee rosse o blocchi rossi indicano esattamente dove si rompe la catena, ad esempio "il DS non ha un DNSKEY corrispondente". È lo strumento da usare quando riceve SERVFAIL ma dig +cd restituisce comunque una risposta.
Zonemaster
Zonemaster (sviluppato tra gli altri dai registri di .se e .fr) controlla la Sua zona come farebbe un registro: ci sono almeno due nameserver, danno tutti la stessa risposta, il numero di serie SOA è coerente ovunque, i nameserver sono raggiungibili via IPv4 e IPv6. Utile prima di modificare i nameserver presso un registro che effettua controlli rigorosi. Può anche testare nameserver non ancora collegati al dominio ("undelegated test").
Strumenti per la posta
Un controllo email verifica il lato DNS: c'è un MX, c'è esattamente un record SPF, rientra nel limite di dieci ricerche, c'è un record DMARC. Non può verificare se DKIM funziona, perché per questo deve conoscere il selettore. Lo verifica con un'email reale: ne invii una a mail-tester.com o a un indirizzo Gmail, e controlli in "Mostra originale" se SPF, DKIM e DMARC risultano su PASS.
Nella pratica: come si presenta in un pannello
Molti pannelli dispongono di un controllo proprio. In Mio WebOké, nella pagina del dominio, trova la scheda Dominio / Salute Email, con indicatori verdi, arancioni e rossi e talvolta un pulsante di ripristino. Su Cloudflare vede le notifiche in cima alla panoramica DNS, su Google Workspace e Microsoft 365 una pagina di controllo nel centro di amministrazione. Questi controlli conoscono meglio la Sua situazione specifica; uno strumento indipendente mostra ciò che vede il mondo esterno. Li usi insieme.
Riepilogo
- Gli strumenti online interrogano da un luogo diverso e non risentono della Sua cache.
- Dig online: cosa è scritto letteralmente. DNS checker per paese: il mondo lo vede già. DNSViz: la catena DNSSEC è corretta. Zonemaster: la zona è tecnicamente corretta. internet.nl: configurazione moderna e sicura.
- Un controllo email testa i record; un'email di prova reale verifica se SPF, DKIM e DMARC vengono superati.
- Usi due strumenti in parallelo in caso di dubbio.
Quiz
Esercizio
Esercizio Z8.3: Strumenti online. Testi internet.nl con il test del sito web e il test email di internet.nl stesso. Annoti nel test email se DNSSEC per i server di posta (MX) risulta valido, e cerchi in DNSViz quale numero di algoritmo usano i record DS di internet.nl. Verifichi poi con un dig online quale policy (p=) ha il record DMARC di internet.nl. Inserisca le risposte.
Per approfondire
Questi articoli descrivono i controlli di WebOké; gli strumenti indipendenti funzionano per qualsiasi dominio.
- Guida WebOké 5.17: Salute del dominio e dell'e-mail: verificare e risolvere
- Il sito web o l'indirizzo e-mail non funziona dopo un trasloco o una modifica DNS: verifichi il Suo dominio
- Strumento gratuito Salute del dominio: https://www.weboke.it/salute-del-dominio
- Controllo email gratuito: https://www.weboke.it/verifica-email