brak reverse DNS

Brak reverse DNS to usterka konfiguracji, w której adres IP serwera nie jest poprawnie powiązany z jego nazwą domenową.

Na czym polega brak reverse DNS

Reverse DNS, nazywany także odwrotnym rozwiązywaniem nazw, służy do ustalenia nazwy domenowej przypisanej do określonego adresu IP. W zwykłym zapytaniu DNS nazwa, na przykład example.com, jest tłumaczona na adres IPv4 albo IPv6. W odwrotnym zapytaniu kierunek jest odwrócony: system otrzymuje adres IP i sprawdza, czy istnieje odpowiadający mu rekord PTR. Dla adresu IPv4 używa się do tego specjalnej domeny in-addr.arpa, a dla adresu IPv6 domeny ip6.arpa. Przykładowo adres IPv4 192.0.2.25 jest sprawdzany jako 25.2.0.192.in-addr.arpa.

Określenie „brak reverse DNS” może oznaczać kilka podobnych sytuacji. Dla adresu IP może nie istnieć rekord PTR, rekord może wskazywać nieaktualną nazwę albo serwery DNS odpowiedzialne za strefę odwrotną mogą nie odpowiadać poprawnie. Możliwy jest również błąd delegacji, czyli wskazania niewłaściwych autorytatywnych serwerów DNS dla zakresu adresów. Sama obecność rekordu PTR nie gwarantuje poprawnej konfiguracji całej domeny, ponieważ nazwa zwrócona w reverse DNS nie musi automatycznie potwierdzać, że ta sama nazwa wskazuje z powrotem na dany adres IP.

Rekord PTR a zwykłe zapytanie DNS

Rekord PTR różni się od rekordów A i AAAA. Rekord A wiąże nazwę domenową z adresem IPv4, natomiast rekord AAAA wiąże ją z adresem IPv6. Rekord PTR działa w przeciwnym kierunku i przechowuje nazwę kanoniczną dla adresu. Zarządzanie rekordem PTR zwykle nie odbywa się w panelu tej samej domeny, w którym ustawia się rekordy A lub AAAA. Uprawnienia do strefy odwrotnej ma zazwyczaj właściciel adresu IP, operator sieci, dostawca serwera albo administrator delegowanego zakresu adresowego.

Konfiguracja powinna być spójna w obu kierunkach. Jeżeli adres 192.0.2.25 ma rekord PTR wskazujący nazwę host.example.com, zapytanie o rekord A dla host.example.com powinno zwracać ten sam adres. Tę zależność określa się czasem jako reverse-confirmed forward DNS, choć formalne wymagania zależą od konkretnego zastosowania. Niespójność nie zawsze uniemożliwia działanie połączenia sieciowego, ale może powodować odrzucanie połączeń przez systemy, które stosują kontrolę reputacji, walidację identyfikacji hosta albo reguły dostępu oparte na nazwach.

Objawy i sprawdzanie konfiguracji

Brak rekordu PTR można wykryć przez wykonanie odwrotnego zapytania DNS dla konkretnego adresu IP. W systemach korzystających z narzędzia nslookup można podać sam adres, a program spróbuje odczytać jego nazwę. Narzędzie dig pozwala jawnie sprawdzić zapytanie PTR, na przykład poleceniem dig -x 192.0.2.25. Dla IPv6 zapis jest dłuższy, ponieważ adres jest rozwijany do pełnej postaci, a jego poszczególne znaki szesnastkowe są odwracane w nazwie pod domeną ip6.arpa. Wynik należy porównać z odpowiedziami autorytatywnych serwerów DNS, a nie tylko z lokalnym cache.

W diagnostyce warto rozróżnić odpowiedź NXDOMAIN, brak odpowiedzi i błąd serwera. NXDOMAIN oznacza, że wskazana nazwa lub strefa nie istnieje według serwera odpowiadającego na zapytanie. Przekroczenie czasu oczekiwania może wskazywać na niedostępność serwera, filtrację ruchu DNS albo problem z delegacją. Odpowiedź może także zawierać rekord PTR z nazwą, która nie odpowiada aktualnej konfiguracji hosta. Należy sprawdzić adres publiczny, zakres przydzielony przez operatora, delegację strefy odwrotnej, wartość TTL oraz propagację zmian. Przy adresach współdzielonych albo dynamicznych możliwość ustawienia PTR może być ograniczona przez dostawcę łącza.

Skutki nieprawidłowego odwrotnego DNS

Brak reverse DNS nie zmienia samego adresu IP i zwykle nie przerywa podstawowej komunikacji opartej na numerze adresowym. Może jednak zwiększać opóźnienie niektórych operacji, jeżeli aplikacja próbuje wykonać odwrotne zapytanie przed zapisaniem wpisu w logu albo przed przeprowadzeniem kontroli dostępu. W logach zamiast nazwy hosta pojawia się wtedy adres IP, komunikat o braku nazwy lub informacja o błędzie rozwiązywania. Utrudnia to analizę połączeń, identyfikację źródła ruchu i korelację zdarzeń między urządzeniami.

W przypadku usług korzystających z połączeń przychodzących niepoprawny PTR może wpływać na ocenę wiarygodności hosta, ale nie jest uniwersalnym dowodem prawidłowej ani nieprawidłowej konfiguracji. Naprawa polega na ustaleniu administratora strefy odwrotnej, utworzeniu albo poprawieniu rekordu PTR oraz sprawdzeniu zgodności z rekordem A lub AAAA. Jeżeli adres pochodzi od operatora internetu lub dostawcy serwera, zmianę często trzeba zgłosić w jego panelu albo przez pomoc techniczną. Po zapisaniu korekty należy ponowić zapytania z kilku niezależnych resolverów i zweryfikować, czy odpowiedzi są zgodne po wygaśnięciu wcześniejszego cache DNS.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę lokalnej konfiguracji sieciowej i połączenia internetowego.