PTR record

Rekord PTR to wpis DNS mapujący adres IP na nazwę domenową, sprawdzany przez serwery odbiorcze przy ocenie nadawcy.

PTR record jako element odwrotnego DNS

Rekord PTR (Pointer Record) jest typem rekordu DNS używanym do odwrotnego rozwiązywania nazw. W zwykłym zapytaniu DNS nazwa domenowa, na przykład example.com, prowadzi do adresu IP przechowywanego w rekordzie A dla IPv4 albo AAAA dla IPv6. PTR działa w przeciwnym kierunku: na podstawie adresu IP wskazuje nazwę domenową. Sam rekord nie przechowuje adresu IP jako wartości docelowej. Adres jest zakodowany w nazwie właściciela rekordu, a wartością PTR pozostaje nazwa domenowa zakończona kropką w pełnej postaci DNS.

Przestrzeń odwrotnego DNS dla IPv4 znajduje się pod domeną in-addr.arpa. Dla adresu 192.0.2.25 zapytanie dotyczy nazwy 25.2.0.192.in-addr.arpa, ponieważ oktety adresu są zapisywane w odwrotnej kolejności. W IPv6 stosuje się domenę ip6.arpa. Adres jest tam przedstawiany jako pojedyncze cyfry szesnastkowe, odwrócone względem zapisu adresu, z kropką pomiędzy kolejnymi znakami. Zasady odwrotnego mapowania IPv6 opisuje między innymi RFC 3596, natomiast podstawowy format rekordów DNS wynika z RFC 1035.

Delegowanie odpowiedzialności za adres IP

Możliwość utworzenia rekordu PTR zależy od tego, kto administruje odpowiednią strefą odwrotną. W typowym łączu domowym lub biurowym publiczny adres IP jest przydzielany przez operatora, dlatego to operator zwykle kontroluje delegację domeny in-addr.arpa albo oferuje formularz zgłoszeniowy do ustawienia nazwy odwrotnej. Administrator własnej domeny może samodzielnie zmieniać rekordy A i AAAA, ale nie oznacza to automatycznie prawa do zmiany PTR dla każdego używanego adresu publicznego.

Wartość PTR powinna być poprawną nazwą DNS, a nie opisem tekstowym, adresem URL ani adresem IP zapisanym w zwykłej kolejności. Dla jednego adresu może istnieć więcej niż jeden rekord PTR, lecz wielowartościowe mapowanie bywa niepożądane, ponieważ różne programy mogą wybrać różną odpowiedź. W praktyce zazwyczaj ustawia się jedną spójną nazwę, na przykład host25.example.net., i pilnuje jej aktualności po zmianie operatora, adresacji albo nazwy urządzenia.

PTR przy połączeniach pocztowych i diagnostyce DNS

Odwrotny DNS jest często sprawdzany przez serwery odbierające pocztę elektroniczną. Serwer wysyłający może przedstawić swoją nazwę w komunikacie SMTP HELO lub EHLO, a odbiorca może dodatkowo wykonać zapytanie PTR dla adresu IP, z którego faktycznie nawiązano połączenie. Często stosuje się także kontrolę zgodności odwrotnej i zwykłej: nazwa uzyskana z PTR powinna wskazywać w rekordzie A albo AAAA z powrotem na ten sam adres IP. Taki układ nazywa się zwykle forward-confirmed reverse DNS.

Brak rekordu PTR, nazwa tymczasowa nadana przez operatora albo niespójność między PTR a A/AAAA nie dowodzi samodzielnie, że wiadomość jest spamem lub że połączenie jest atakiem. Może jednak obniżać wiarygodność techniczną hosta i wpływać na decyzję serwera odbiorczego, na przykład na odrzucenie połączenia, opóźnienie dostarczenia albo skierowanie wiadomości do spamu. PTR nie zastępuje uwierzytelniania poczty. Mechanizmy SPF, DKIM i DMARC sprawdzają inne właściwości, dlatego poprawny rekord PTR nie gwarantuje dostarczenia wiadomości.

Sprawdzanie odpowiedzi PTR na urządzeniu

Podstawową kontrolę można wykonać poleceniem nslookup, dig albo odpowiednikiem dostępnym w systemie operacyjnym. Przykładowo zapytanie nslookup 192.0.2.25 powinno zwrócić nazwę z przestrzeni odwrotnego DNS, jeżeli operator opublikował dla tego adresu rekord PTR. W programie dig można użyć zapytania dig -x 192.0.2.25. Opcja -x automatycznie buduje właściwą nazwę in-addr.arpa. W przypadku IPv6 analogiczne zapytanie wymaga pełnego adresu IPv6 i odpytywania domeny ip6.arpa.

Podczas analizy należy odróżnić brak odpowiedzi od odpowiedzi negatywnej zapisanej w pamięci podręcznej resolvera. Warto sprawdzić serwery autorytatywne dla strefy, czas TTL oraz zgodność nazwy zwróconej przez PTR z rekordami A i AAAA. Jeżeli wynik jest nieaktualny, problem może leżeć po stronie delegacji adresu, konfiguracji operatora albo lokalnego resolvera DNS. Diagnostyka i naprawa wymagają wtedy ustalenia, czy błąd dotyczy samego komputera, routera, konfiguracji sieci, czy zewnętrznej strefy DNS zarządzanej przez dostawcę adresu.