Cos'è il DNS inverso? I record PTR spiegati

Il DNS ordinario risponde a «che indirizzo ha questo nome?». Il DNS inverso risponde alla domanda opposta: «a quale nome appartiene questo indirizzo?». Il tipo di record che lo fornisce è PTR, abbreviazione di pointer.

Perché non è semplicemente un lookup al contrario

Le due direzioni sono davvero indipendenti. I record diretti risiedono nella zona del tuo dominio, che controlli tu. I record inversi risiedono in una zona speciale derivata dall'indirizzo IP stesso, e quella zona appartiene a chi possiede il blocco di indirizzi.

Address:  93.184.216.34
IPv4 zone: 34.216.184.93.in-addr.arpa

Gli ottetti sono invertiti perché il DNS legge
la gerarchia da destra a sinistra: prima viene la rete.

L'IPv6 usa la stessa idea sotto ip6.arpa, con ogni cifra esadecimale invertita singolarmente, producendo un nome lungo ma meccanicamente semplice.

Perché ai mail server interessa

Il DNS inverso conta seriamente in un solo ambito: la consegna della posta. Quando il tuo server si connette per consegnare un messaggio, il server ricevente esegue spesso un lookup inverso sull'indirizzo di connessione, come primo controllo di legittimità.

• Nessun record PTR. Un forte segnale di spam. I mail server legittimi quasi sempre ne hanno uno; le macchine domestiche compromesse di solito no.
• Un PTR generico del provider. Qualcosa come 93-184-216-34.dynamic.isp.net segna l'indirizzo come residenziale o dinamico, e molti server rifiutano di netto la posta da questi indirizzi.
• Un PTR che non corrisponde al record diretto. Sembra configurato male o falsificato.

dig +short -x 93.184.216.34
# -> mail.example.com.

dig +short mail.example.com
# -> 93.184.216.34   (these must match)

Come configurarlo

1. 1

   Conferma di avere un indirizzo dedicato

   Un indirizzo di hosting condiviso non può avere un record PTR significativo per te: è condiviso con tutti gli altri che lo usano. Vedi condiviso o dedicato.

2. 2

   Crea prima il record diretto

   Aggiungi un record A per l'hostname del tuo server di posta, per esempio mail.example.com, che punti all'indirizzo. Fallo prima di richiedere il PTR, così la coppia corrisponde subito.

3. 3

   Richiedi il PTR a chi possiede l'indirizzo

   I provider cloud lo espongono nella loro console: AWS richiede una richiesta di supporto, DigitalOcean lo ricava dal nome del droplet, Hetzner e Linode offrono un campo diretto. Un host tradizionale di solito richiede un ticket.

4. 4

   Fai combaciare l'hostname con l'HELO del tuo server di posta

   Il tuo server di posta annuncia un hostname quando si connette. Quel nome, il PTR e il record diretto dovrebbero coincidere tutti. Le discrepanze tra HELO e PTR sono di per sé un segnale di spam.

5. 5

   Verifica entrambe le direzioni

   Esegui i due comandi qui sopra e conferma che coincidano. Poi invia un messaggio di prova a un servizio che riporti i risultati dell'autenticazione.

Dove il DNS inverso non conta

È facile investire troppo qui. Il DNS inverso è sostanzialmente irrilevante per:

• Siti web. I browser non eseguono mai un lookup inverso. L'assenza di un PTR non ha alcun effetto sul tuo sito, e nessuno sulla SEO.
• Posta inviata tramite un provider. Se è Google, Microsoft o SendGrid a inviare la tua posta, sono i loro server a connettersi e vale il loro PTR. Il tuo è irrilevante.
• Indirizzi dietro una CDN. I visitatori raggiungono l'edge, e il provider controlla quel record inverso.

I lookup inversi come strumento di indagine

Il DNS inverso è anche un modo rapido per capire cos'è un dato indirizzo. Gli indirizzi dei provider si invertono quasi sempre in un hostname descrittivo:

È il modo più rapido per capire se un indirizzo che hai risolto appartiene a una CDN e non a un server di origine: vedi perché una CDN nasconde l'IP di origine.