Reverse DNS e il Suo server di invio

Modulo 5: Reputazione e i grandi provider · Tempo di lettura: 9 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di spiegare perché l'indirizzo IP del server che invia la Sua posta deve avere una reverse DNS corretta, di individuare quale server è nel Suo caso, e di verificare che andata e ritorno corrispondano.

Concetti chiave: server di invio, record PTR, forward-confirmed reverse DNS (FCrDNS), nome HELO/EHLO, nome generico, hosting condiviso, server proprio (VPS), proprietario del blocco IP

Quale server invia davvero la Sua posta?

Nel modulo 4 si è parlato del Suo dominio: SPF, DKIM e DMARC si trovano nel DNS di example.com. In questo modulo esaminiamo qualcosa di diverso: il server che consegna la Sua posta al destinatario. Quel server ha un indirizzo IP, e i destinatari valutano quell'indirizzo indipendentemente dal Suo dominio.

Quale sia quel server dipende da come invia la posta:

L'indirizzo IP del server di invio si trova nelle intestazioni di un messaggio che ha inviato a Se stesso o a un altro indirizzo (lezione 1.5). Guardi la riga Received: più in alto, aggiunta dal server ricevente. Vi troverà qualcosa come:

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

L'indirizzo tra parentesi quadre, 192.0.2.25, è l'indirizzo IP con cui il server di invio si è collegato. Il nome che lo precede (smtp.hosting.example) è il nome che il destinatario ha trovato per quell'indirizzo tramite la reverse DNS.

La reverse DNS in breve

La reverse DNS collega un indirizzo IP a un nome, tramite un record PTR. Le basi le ha apprese nel corso sul DNS (lezione 4.6): il record non si trova nella zona del Suo dominio ma nella zona reverse dell'indirizzo IP, che appartiene al soggetto che gestisce il blocco IP.

Per la posta elettronica sono importanti tre cose:

1. Esiste una PTR. Un indirizzo IP senza reverse DNS sembra una macchina qualsiasi su internet. Gmail rifiuta tale posta con il messaggio 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. Il nome rimanda allo stesso indirizzo. L'indirizzo IP 192.0.2.25 ha come PTR smtp.hosting.example, e smtp.hosting.example ha record A 192.0.2.25. Questo si chiama forward-confirmed reverse DNS (FCrDNS). Gmail, Yahoo e T-Online lo menzionano esplicitamente nei loro requisiti.
3. Il nome ha l'aspetto di un server di posta. Un nome come 192-0-2-25.dsl.provider.example o host25.dynamic.provider.example tradisce una connessione domestica o di un cliente. I filtri antispam penalizzano questo, oppure rifiutano subito la connessione.

Per IPv6 vale tutto allo stesso modo. Se un server invia tramite IPv6, anche l'indirizzo IPv6 deve avere una PTR e rimandare con un record AAAA. Un server che è in ordine via IPv4 ma non via IPv6 incontra problemi soprattutto con Gmail: Google indica una PTR IPv6 mancante come causa di un "IPv6 authorization error".

Il nome HELO

Quando un server si collega, si presenta con EHLO (o il più vecchio HELO) e un nome (lezione 1.2). L'RFC 5321 dice che dovrebbe trattarsi del nome completo del server. In pratica i destinatari verificano se tale nome:

• è un nome reale ed esistente (non localhost, non indirizzi IP nudi, non un nome che non è nel DNS);
• corrisponde alla reverse DNS, o almeno appartiene allo stesso dominio.

Con un pacchetto di hosting o un servizio di posta, questo lo gestisce l'amministratore. Se gestisce Lei stesso un server di posta, imposta il nome HELO nel Suo software di posta (in Postfix si chiama myhostname) e si assicura che tale nome, la PTR e il record A siano tutti coincidenti.

Hosting condiviso: la PTR non deve essere il Suo dominio

Una domanda frequente: "La reverse DNS non dovrebbe essere mail.example.com, visto che è il mio dominio?" No. Nell'hosting condiviso e presso i grandi servizi di posta, un unico server invia posta per centinaia o migliaia di domini. L'indirizzo IP può avere una sola PTR, che contiene quindi il nome del server stesso, ad esempio server12.hosting.example.

Ed è giusto così. I destinatari verificano che la PTR esista, rimandi correttamente e non sia generica. Non verificano se vi compare il nome del Suo dominio. Il collegamento tra il Suo dominio e il server lo stabilisce con SPF (il server è indicato nel Suo SPF) e DKIM (il server firma per conto del Suo dominio).

Presso WebOké, ad esempio, è organizzato così: i server di un pacchetto di hosting hanno una reverse DNS con il nome del server stesso, sotto webawere.nl, che a sua volta rimanda correttamente. Presso altri fornitori di hosting e servizi di posta funziona allo stesso modo, con i loro propri nomi di server.

Un server proprio: cosa deve organizzare Lei?

Se invia posta direttamente da un server proprio, ad esempio un VPS con un negozio online o un server di posta proprio, è Lei stesso il mittente e deve organizzare di più:

1. Scelga un nome, ad esempio mail.example.com.
2. Crei il record A (e il record AAAA) di quel nome verso l'indirizzo IP del server, nel DNS del Suo dominio.
3. Richieda la PTR al fornitore del server. Di solito nel pannello cliente c'è un campo "Reverse DNS" o "rDNS". Lì inserisce lo stesso nome.
4. Imposti il nome HELO del Suo software di posta sullo stesso nome.
5. Inserisca l'indirizzo IP nel Suo SPF (ip4: e ip6:) e attivi DKIM nel Suo software di posta.
6. Verifichi che la porta 25 in uscita sia aperta. Molti fornitori la chiudono di default per prevenire abusi; in tal caso deve farla aprire, oppure inviare tramite un relay del Suo fornitore o un servizio di invio.

Un server di posta su una normale connessione internet domestica o d'ufficio è quasi sempre una cattiva idea. Tali indirizzi finiscono spesso in elenchi di "indirizzi di utenti finali" (come la Policy Block List di Spamhaus, lezione 5.2), la PTR di solito non può sceglierla Lei stesso, e T-Online prescrive letteralmente che tali sistemi debbano inviare tramite un relay di un fornitore idoneo.

Verifica

Con una finestra dei comandi (corso sul DNS, lezione 8.2):

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Se con la seconda richiesta torna lo stesso indirizzo, allora FCrDNS è corretto. Per IPv6 faccia lo stesso con dig -x 2001:db8::25 e dig AAAA.

Può anche verificare come l'ha visto un destinatario. Nelle intestazioni, il server ricevente inserisce il nome trovato tra parentesi dopo from. Se vi compare unknown, significa che non ha trovato alcuna PTR. Alcuni server aggiungono anche un controllo proprio, come iprev=pass nella riga Authentication-Results: (RFC 8601).

Riepilogo

• Il server di invio è il server che consegna la Sua posta al destinatario. I destinatari ne valutano l'indirizzo IP indipendentemente dal Suo dominio.
• Quell'indirizzo IP necessita di una PTR che rimandi allo stesso indirizzo (FCrDNS), sia per IPv4 che per IPv6, con un nome che non sia generico.
• Il nome HELO dovrebbe essere un nome esistente che corrisponda alla PTR.
• Nell'hosting condiviso e nei servizi di posta, il nome del server compare nella PTR, non il Suo dominio. Questo va bene.
• Con un server proprio organizza Lei stesso nome, A/AAAA, PTR (tramite il Suo fornitore), HELO, SPF e DKIM.

Quiz

Esercizio

Esercizio Z5.1: Il server di invio del Suo dominio. Invii un messaggio dal Suo indirizzo a un altro indirizzo Suo (ad esempio un indirizzo Gmail o Outlook.com) e apra le intestazioni. Cerchi l'indirizzo IP del server che ha consegnato il messaggio, il nome PTR di quell'indirizzo, e indichi se il nome rimanda allo stesso indirizzo (sì/no). Se non ha un dominio proprio, utilizzi l'indirizzo IP del server di posta mx00.t-online.de. Il programma interroga in tempo reale la PTR e il record A/AAAA e li confronta.

Per saperne di più

I passaggi descritti in questi articoli valgono per i pannelli di WebOké; presso altri fornitori funziona in modo simile.

• Invio di email dalla Sua VPS e impostazione del reverse DNS
• Corso gratuito DNS 4.6: Reverse DNS (PTR): dal numero di nuovo al nome
• Come funziona l'invio delle e-mail / SMTP
• RFC 5321 (SMTP), paragrafo 4.1.1.1 sul nome EHLO; RFC 8601 sull'intestazione Authentication-Results