Online DNS-værktøjer
Modul 8: Sikkerhed og fejlfinding · Læsetid: 7 minutter
Læringsmål: Efter denne lektion vælger du det rigtige online værktøj til ethvert spørgsmål om dit DNS, og du ved hvordan du aflæser resultatet.
Nøglebegreber: online dig, DNS-checker per land, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, e-mailcheck, domænesundhed
Hvorfor online værktøjer?
Et online værktøj stiller dit spørgsmål fra et andet sted end din egen computer. Det har to fordele. Du bliver ikke generet af cachen på din egen computer eller router, og du ser hvad resten af internettet ser. Desuden samler mange værktøjer snesevis af kontroller i ét klik, hvor du med dig skal stille hvert spørgsmål for sig.
Der findes ikke ét værktøj der gør alt bedst. Vælg ud fra dit spørgsmål.
Hvilket værktøj til hvilket spørgsmål?
| Dit spørgsmål | Egnet værktøj | Hvad du ser |
|---|---|---|
| "Hvad returnerer DNS'et egentlig lige nu?" | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), eller en anden online dig | Det samme som dig, uden at du skal installere noget |
| "Kan hele verden allerede se min ændring?" | dnschecker.org (eller lignende "DNS propagation checkers") | Svaret fra snesevis af resolvere i forskellige lande side om side |
| "Er mit domæne opsat moderne og sikkert?" | internet.nl (fra den nederlandske Internetstandaarden Platform) | Score for hjemmeside (IPv6, DNSSEC, https) og e-mail (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| "Er min DNSSEC-kæde korrekt?" | DNSViz (dnsviz.net) | Et billede af kæden fra roden til dit domæne, med fejl markeret med rødt |
| "Er min zone teknisk korrekt opsat?" | Zonemaster (zonemaster.net) | Grundig kontrol af navneservere, delegering, SOA og DNSSEC |
| "Hvordan ser mine mailrecords ud?" | MXToolbox, en e-mailcheck (for eksempel E-mailcheck fra WebOké), eller kontrollerne fra din mailudbyder | MX, SPF (med antal opslag), DMARC, sortlister |
| "Kommer min afsendte mail godt frem?" | mail-tester.com, eller en testmail til Gmail med "Vis original" | Om SPF, DKIM og DMARC godkendes for en rigtig mail |
| "Virker hjemmeside og mail sammen, samlet overblik?" | Et domænesundhedstjek (for eksempel Domænesundhed fra WebOké) | Navneservere, A-record, www, certifikat, MX, SPF, DMARC, DNSSEC og CAA i én liste |
Værktøjerne fra WebOké vises her som eksempel på et "alt i ét"-tjek; andre hostingudbydere og registrarer har tilsvarende værktøjer. Er du i tvivl, så brug to af dem side om side: hvis to uafhængige værktøjer siger det samme, er det stort set helt sikkert korrekt.
Sådan bruger du en online dig
En online dig gør præcis det du lærte i lektion 8.2. Du indtaster navnet (for eksempel _dmarc.example.com), vælger typen (TXT) og får den rå output. Googles toolbox viser også status (NOERROR, NXDOMAIN, SERVFAIL) og TTL. Brug dette værktøj når du vil vide hvad der bogstaveligt talt står, for eksempel for at tjekke om dit SPF-record findes præcis én gang.
Sådan aflæser du en DNS-checker per land
Efter en ændring ser du ofte en blanding i en checker som dnschecker.org: i nogle lande den nye adresse med et grønt flueben, i andre lande stadig den gamle. Det er ikke en fejl. Hver resolver har hentet recordet på et andet tidspunkt og tæller sin egen TTL ned (lektion 6.2).
To ting du skal være opmærksom på:
- Ser du det gamle svar overalt, selv længe efter TTL'en? Så ligger ændringen sandsynligvis ikke på den navneserver resten af verden bruger. Tjek hvilke navneservere dit domæne har (lektion 2.1).
- Ser du intet hos nogle resolvere (et kryds)? Så kan det være en SERVFAIL, ofte på grund af DNSSEC. Tjek i så fald med DNSViz.
internet.nl
internet.nl er en uafhængig test fra den nederlandske Internetstandaarden Platform (blandt andre SIDN, NLnet Labs og staten). Der findes tre tests: hjemmeside, e-mail og din egen forbindelse. Resultatet er en procentsats med forklaring for hver del og et "Sådan forbedrer du".
Læs resultatet med omtanke: ikke alle røde dele er en fejl. Mangler for eksempel DANE eller IPv6, så virker din mail eller side stadig, men du lever ikke op til den nyeste standard. Rødt ved "DNSSEC gyldig" eller "SPF" er derimod vigtigt.
DNSViz
DNSViz tegner tillidskæden fra lektion 8.1: bokse for roden, TLD'et og dit domæne, med pile for DS og DNSKEY. Blå betyder sikker, sort betyder usigneret (ikke en fejl) og rød betyder i stykker; hvordan du aflæser billedet, står i lektion 8.1. Røde linjer eller røde bokse peger præcis på hvor kæden brister, for eksempel "DS har ingen matchende DNSKEY". Det er værktøjet du skal hente frem, når du får SERVFAIL og dig +cd alligevel giver et svar.
Zonemaster
Zonemaster (lavet blandt andre af registrarerne for .se og .fr) kontrollerer din zone ligesom en registry gør det: er der mindst to navneservere, giver de alle det samme svar, stemmer SOA-serienummeret overalt, er navneserverne tilgængelige via IPv4 og IPv6. Praktisk inden du ændrer navneservere hos en registry der kontrollerer strengt. Du kan også teste navneservere der endnu ikke er koblet til domænet ("undelegated test").
Mailværktøjer
En mailcheck kigger på DNS-delen: er der en MX, er der præcis ét SPF-record, holder det sig inden for de ti opslag, er der et DMARC-record. Den kan ikke se om DKIM virker, for det kræver at man kender selectoren. Det tester du med en rigtig mail: send en til mail-tester.com eller til en Gmail-adresse, og tjek under "Vis original" om SPF, DKIM og DMARC viser PASS.
I praksis: sådan ser det ud i et panel
Mange paneler har deres eget tjek. I Mit WebOké finder du på domænesiden kortet Domæne / E-mail sundhed, med grønne, orange og røde prikker og nogle gange en genopretningsknap. Hos Cloudflare ser du meldinger øverst i dit DNS-overblik, hos Google Workspace og Microsoft 365 en kontrolside i administrationscenteret. Den slags kontroller kender din situation bedst; et uafhængigt værktøj viser hvad omverdenen ser. Brug dem sammen.
Opsummering
- Online værktøjer spørger fra et andet sted og generes ikke af din cache.
- Online dig: hvad der bogstaveligt talt står. DNS-checker per land: om verden allerede ser det. DNSViz: om DNSSEC-kæden er korrekt. Zonemaster: om zonen er teknisk korrekt. internet.nl: om det er opsat moderne og sikkert.
- En mailcheck tester recordene; en rigtig testmail tester om SPF, DKIM og DMARC godkendes.
- Brug to værktøjer side om side hvis du er i tvivl.
Quiz
Opgave
Opgave Z8.3: Online værktøjer. Test internet.nl med hjemmeside- og e-mailtesten fra internet.nl selv. Notér under e-mailtesten om DNSSEC er gyldig for mailserverne (MX), og find i DNSViz ud af hvilket algoritmenummer DS-recordene for internet.nl bruger. Kontroller derefter med en online dig hvilken politik (p=) DMARC-recordet for internet.nl har. Udfyld svarene.
Læs mere
Disse artikler beskriver kontrollerne fra WebOké; de uafhængige værktøjer virker for ethvert domæne.