گزارش کامل DNS

یک اجرا، همه بررسیها

گزارش کامل همان کاری را میکند که یک مدیر شبکه با ده ابزار جدا و نیم ساعت وقت انجام میدهد. روی یک نام دامنه، رکوردهای A، AAAA، NS، MX، TXT، SOA، CNAME و CAA را میخواند، وضعیت DNSSEC را میپرسد، نیمسرورهایی را که خودِ زون اعلام میکند با آنچه نزد زون والد ثبت شده مقایسه میکند، رکوردهای SPF و DKIM و DMARC و MTA-STS و TLS-RPT را بررسی میکند، همان دامنه را از شش resolver عمومی میپرسد، TTL رکوردهای A و AAAA و NS و MX و SOA و TXT را از خودِ نیمسرورهای زون میپرسد و درجه بندی میکند (برای زیردامنه، زونی که زیردامنه در آن است؛ و برای نام مستعار، فقط TTL خودِ CNAME) و نام معکوس آدرس وب و سرورهای ایمیل را راستیآزمایی میکند. بیشتر پرسوجوها از سرور IPVIEW و با موتور DNS خودِ این جعبه ابزار مستقیم به 1.1.1.1 فرستاده میشوند، نه از دستگاه شما؛ همخوانی با والد، سریال SOA و TTL مستقیم از خودِ نیمسرورها، انتشار از شش resolver عمومی و نام معکوس از 1.1.1.1 پرسیده میشود.

چون این ابزار ده ها پرسوجو را در یک اجرا میفرستد، سقف آن ۶ بار در دقیقه است. ورودی باید نام دامنه باشد؛ برای یک آی پی از استعلام WHOIS یا Reverse DNS استفاده کنید. نتیجه ۳۰ روز نگه داشته میشود و لینکی برای اشتراک دارد، و همان گزارش را میتوان به شکل متن ساده دانلود کرد.

نتیجه را چطور بخوانیم

بالای صفحه یک جمله است: «همه چیز سالم است» فقط وقتی که نه چیزی برای درست کردن مانده و نه چیزی نامعلوم، وگرنه شمار پیشنهادهای بهبود. پایین آن، بخش به بخش، همان چیزی میآید که پیشنهادها از آن درآمده: نیمسرورها و آدرسشان، رکورد SOA با سریال زون، آدرسها و زنجیره CNAME، جدول ایمیل با اولویت هر MX، تعداد lookupهای SPF از سقف ۱۰، سیاست DMARC و سلکتورهای DKIM پیدا شده، وضعیت DNSSEC، همخوانی با والد، پاسخ هر resolver، جدول TTL و نامهای معکوس. برای نامی که وجود ندارد گزارش فقط همین را میگوید و بخشهای دیگر را خالی نمیشمارد، حتی وقتی فقط resolver این را گفته و نیمسرورهای خود زون برای تأیید آن در دسترس نبودند، که در این حالت همین را هم مینویسد؛ برای زیردامنه، DMARC و DNSSEC و CAA از دامنه و زونی که آن را پوشش میدهد خوانده میشود، همان طور که گیرنده های ایمیل و مرجعهای صدور گواهی اعمال میکنند.

چند نکته در خواندن. «پرسوجو پاسخ نداد» با «ندارد» یکی نیست؛ اولی یعنی سؤال بیجواب ماند و دومی یعنی زون صریحاً گفت چنین رکوردی نیست. در بخش Delegation، «تأییدنشده» به معنی خراب بودن نیمسرور نیست، فقط یعنی پاسخ مستقیمی از آن نگرفتیم؛ ممکن است فایروال مسیر، پرسوجوی مستقیم را رد کند. «نیمسرور خراب» یعنی برای زون پاسخ REFUSED یا NXDOMAIN داد، بدون اعتبار پاسخ داد (فقط ارجاع یا پاسخی از کش)، یا اصلاً آدرس ندارد. پرسشی که بیجواب ماند در پیشنهادها نام برده میشود تا دوباره بررسی کنید، و از آن نتیجه ای گرفته نمیشود. «پایان SPF» علامت all آخر رکورد را نشان میدهد؛ اگر رکورد به جای all با redirect= تمام شود، پایان رکوردی آمده که به آن ارجاع داده و نامش کنارش نوشته میشود. در بررسی TTL، کمتر از ۶۰ ثانیه «خیلی کوتاه»، کمتر از ۳۰۰ ثانیه «کوتاه» و تا یک روز «عادی» شمرده میشود؛ نوعی که زون منتشر نمیکند «منتشر نشده» است، و نوعی که هیچ نیمسروری برایش پاسخ معتبر نداد با عدد کش و برچسب «فقط کش، ارزیابی نشد» میآید و دلیلش زیر جدول نوشته میشود. و نداشتن PTR برای آدرس وبی که پشت CDN است ایراد نیست؛ نام معکوس برای سرور ایمیلی مهم است که ایمیل هم میفرستد، چون گیرنده ها نشانی فرستنده را بررسی میکنند.

چه وقت به کار میآید

بعد از انتقال دامنه به هاست یا DNS جدید، وقتی هنوز نمیدانید کدام بخش جا مانده است: این گزارش در یک نگاه نشان میدهد نیمسرورها با رجیستری همخوانند، سریال SOA روی نخستین شش نیمسرور یکی است و resolverهای عمومی به پاسخ تازه رسیده اند یا نه.

وقتی ایمیلهای یک دامنه به Spam میرود و نمیدانید SPF مشکل دارد یا DKIM یا نام معکوس. یا پیش از تحویل یک پروژه، به عنوان فهرست وارسی نهایی. اگر فقط یک بخش برایتان مهم است، ابزارهای تک منظوره همین سایت، یعنی بررسی DNS، امنیت ایمیل، بررسی DNSSEC و بررسی Delegation، همان بخش را با سقف درخواست بالاتر میدهند.

پرسشهای رایج

گزارش کامل DNS چه چیزهایی را بررسی میکند؟

همه رکوردهای متداول دامنه (A تا CAA)، زنجیره CNAME، وضعیت DNSSEC، همخوانی نیمسرورها با زون والد و اینکه glue لازم است یا نه، سریال SOA روی نخستین شش نیمسرور، رکوردهای SPF و DKIM و DMARC و MTA-STS و TLS-RPT، پاسخ شش resolver عمومی، درجه TTL رکوردهای A و AAAA و NS و MX و SOA و TXT و نام معکوس آدرس وب و سرورهای ایمیل. در پایان، فهرست پیشنهادها جمع بندی همه ایرادهای پیدا شده است.

چرا سقف اجرای این ابزار ۶ بار در دقیقه است؟

چون هر اجرا ده ها پرسوجوی DNS را به چند مقصد میفرستد و از نظر هزینه با تست پینگ و MTR در یک رده است. اگر فقط یک بخش را لازم دارید، ابزارهای تک منظوره همین سایت سقف ۲۰ درخواست در دقیقه دارند.

تفاوت «ندارد» و «پرسوجو پاسخ نداد» در گزارش چیست؟

«ندارد» یعنی پرسوجو به پاسخ کامل رسید (NOERROR یا NXDOMAIN) و گفت این رکورد وجود ندارد؛ این یک واقعیت درباره زون است. «پرسوجو پاسخ نداد» یعنی سؤال بیجواب ماند یا با خطا برگشت و درباره وجود رکورد چیزی نمیدانیم. گزارش این دو را جدا نگه میدارد تا یک خطای شبکه به صورت ایراد پیکربندی گزارش نشود.

آیا میتوانم گزارش را ذخیره یا برای همکارم بفرستم؟

بله. هر اجرا معمولاً یک لینک اشتراک میسازد که ۳۰ روز معتبر است (نتیجه مربوط به آی پی خودِ شما یا بعد از سقف ذخیره ساعتی لینک ندارد) و همان نتیجه را بدون اجرای دوباره نشان میدهد. همان گزارش را میتوانید به شکل متن ساده دانلود کنید یا با دکمه کپی در تیکت یا ایمیل بگذارید.