Что такое обратный DNS: записи PTR

Обычный DNS отвечает на вопрос «какой адрес у этого имени?». Обратный DNS отвечает на противоположный: «какое имя принадлежит этому адресу?». Тип записи, который это обеспечивает, — PTR, сокращение от pointer (указатель).

Почему это не просто обратный поиск

Два направления действительно независимы. Прямые записи находятся в зоне вашего домена, которой вы управляете. Обратные записи находятся в особой зоне, образуемой из самого IP-адреса, и эта зона принадлежит тому, кто владеет блоком адресов.

Address:  93.184.216.34
IPv4 zone: 34.216.184.93.in-addr.arpa

Октеты записаны в обратном порядке, потому что DNS читает
иерархию справа налево: сначала идёт сеть.

IPv6 использует ту же идею в зоне ip6.arpa, где каждая шестнадцатеричная цифра переворачивается отдельно, что даёт длинное, но механически простое имя.

Почему это важно для почтовых серверов

Обратный DNS серьёзно важен ровно в одном месте: при доставке почты. Когда ваш сервер подключается для доставки сообщения, принимающий сервер часто выполняет обратный запрос по адресу подключения как первую проверку легитимности.

• Записи PTR нет вообще — сильный признак спама. У настоящих почтовых серверов она почти всегда есть, у скомпрометированных домашних машин обычно нет.
• Общая запись PTR провайдера — что-то вроде 93-184-216-34.dynamic.isp.net помечает адрес как домашний или динамический, и многие серверы сразу отклоняют почту с таких адресов.
• PTR, не совпадающая с прямой записью — выглядит как неверная настройка или подмена.

dig +short -x 93.184.216.34
# -> mail.example.com.

dig +short mail.example.com
# -> 93.184.216.34   (these must match)

Настройка

1. 1

   Убедитесь, что у вас выделенный адрес

   У адреса общего хостинга не может быть значимой для вас записи PTR: его делят со всеми остальными. Подробнее: общий и выделенный IP.

2. 2

   Сначала создайте прямую запись

   Добавьте запись A для имени вашего почтового хоста, например mail.example.com, указывающую на этот адрес. Сделайте это до запроса PTR, чтобы пара совпала сразу.

3. 3

   Запросите PTR у владельца адреса

   Облачные провайдеры дают такую возможность в консоли: в AWS нужно обращение в поддержку, DigitalOcean берёт значение из имени дроплета, у Hetzner и Linode есть прямое поле. У традиционного хостинга обычно нужна заявка.

4. 4

   Сделайте так, чтобы имя хоста совпадало с HELO вашего почтового сервера

   Почтовый сервер при подключении объявляет имя хоста. Это имя, запись PTR и прямая запись должны совпадать. Расхождение между HELO и PTR само по себе является признаком спама.

5. 5

   Проверьте оба направления

   Выполните две команды выше и убедитесь, что результаты согласуются. Затем отправьте тестовое письмо в сервис, который показывает результаты аутентификации.

Где обратный DNS не имеет значения

Здесь легко вложить слишком много усилий. Обратный DNS по сути не имеет значения для:

• Сайтов. Браузеры никогда не выполняют обратный запрос. Отсутствие PTR не влияет ни на ваш сайт, ни на SEO.
• Почты, отправляемой через провайдера. Если ваши письма отправляют Google, Microsoft или SendGrid, подключаются их серверы и действует их PTR. Ваша не важна.
• Адресов за CDN. Посетители попадают на пограничную точку, и обратной записью управляет провайдер.

Обратные запросы как инструмент расследования

Обратный DNS также позволяет быстро понять, что это за адрес. Адреса, принадлежащие провайдерам, почти всегда преобразуются в описательное имя хоста:

Это самый быстрый способ понять, принадлежит ли полученный адрес CDN, а не исходному серверу; см. почему CDN скрывает IP исходного сервера.