Imposta il DNS inverso sui tuoi indirizzi

Dove vive il record

Ogni indirizzo instradato verso la tua istanza ha un PTR modificabile. Il pannello li elenca sotto l'istanza, una riga per indirizzo. L'API espone la stessa cosa:

curl -s https://paragonvps.com/api/v1/instances/<instance-id>/addresses -H "Authorization: Bearer $Paragon_TOKEN" | jq -r '.[].ptr'

Impostarne uno:

curl -s -X PUT https://paragonvps.com/api/v1/addresses/<address-id>/ptr -H "Authorization: Bearer $Paragon_TOKEN" -H "Content-Type: application/json" -d '{"ptr":"mail.example.com"}'

Il record diretto deve esistere prima

Un PTR che punta a un nome senza un A o AAAA corrispondente è peggio di nessun PTR. I server di posta riceventi interpretano la discrepanza come un segnale, e alcuni rifiutano la connessione sulla base di ciò. Pubblica il record diretto, conferma che risolve, poi imposta il PTR.

dig +short mail.example.com A
dig +short mail.example.com AAAA

Poi verifica che la coppia concordi in entrambe le direzioni:

dig +short -x <ipv4>
dig +short -x <ipv6>

dig -x assembla il nome in-addr.arpa o ip6.arpa per te, evitando di invertire trentadue nibble a mano e sbagliarne uno.

Propagazione

Le nostre zone autoritative raccolgono una modifica in circa un minuto. Quello che richiede più tempo è la cache negativa: qualsiasi resolver che abbia chiesto il PTR prima che lo impostassi potrebbe mantenere la risposta vuota per il minimo SOA, che sulle zone inverse è di un'ora. Né tu né noi possiamo abbreviarlo, e riprovare la query lo dimostra soltanto.

IPv6

Il /64 instradato contiene più indirizzi di quanti ne nominerai mai, e il pannello non ti offrirà un campo di testo per ciascuno. Due approcci praticabili:

• Imposta un PTR sui singoli indirizzi che usi effettivamente. La maggior parte delle persone ne ha bisogno solo di uno, per il mittente di posta.
• Chiedi che la zona ip6.arpa che copre il tuo /64 sia delegata ai tuoi nameserver, dopodiché generi ciò che desideri. La delega è un ticket, richiede circa un giorno e richiede due nameserver già rispondenti per la zona.

Dettagli di posta

La porta 25 in uscita è chiusa sui nuovi account. Chiedi, specifica cosa invia l'istanza e approssimativamente quanto, e la apriamo. Il controllo esiste perché i relay aperti sono una delle tre cose che la politica di utilizzo accettabile vieta categoricamente.

Una volta aperta, quattro stringhe devono coincidere: il nome host di invio, il PTR, il nome HELO e ciò che il tuo record SPF autorizza. Rendere l'HELO identico al PTR elimina la causa più comune di rifiuto soft.

swaks --to [email protected] --server localhost --helo mail.example.com

Quando non prende

Tre cause, nell'ordine in cui si verificano:

1. Il record diretto manca, è errato o non è ancora propagato.
2. L'indirizzo che hai modificato appartiene a un'istanza diversa da quella che invia il traffico.
3. Il tuo demone si lega a un altro indirizzo nel /64 rispetto a quello su cui hai impostato il PTR.

La terza è facile da non notare e facile da verificare:

ip -brief addr
ss -tlnp

Se l'indirizzo sorgente in una connessione in uscita non è quello che porta il tuo PTR, lega esplicitamente il demone piuttosto che sperare che il kernel scelga l'indirizzo che avevi in mente.