अध्याय 02
नेटवर्किंग, DNS & क्रिप्टो
एडमिन:
#pTls
10/10 DNS डिलीवरेबिलिटी, रिवर्स DNS (FCrDNS) & वाइल्डकार्ड DNS की कमियाँ
Gmail, Microsoft 365 और Deutsche Telekom जैसे प्रमुख प्राप्तकर्ता प्रेषक की प्रतिष्ठा का मूल्यांकन काफ़ी हद तक DNS संरेखण के आधार पर करते हैं। TLS & DNS एडवाइज़र (#pTls) में nextxch हर होस्ट किए गए डोमेन के लिए कॉपी करने योग्य रिकॉर्ड बनाता है और उन्हें सार्वजनिक DNS के विरुद्ध लाइव सत्यापित करता है।
संचालन सुझाव और आर्किटेक्चर नोट
वाइल्डकार्ड DNS (*.company.com -> वेब सर्वर IP) से सावधान रहें: वाइल्डकार्ड रिकॉर्ड autodiscover.company.com जैसे बिना कॉन्फ़िगर किए सबडोमेन को चुपचाप आपके मेल सर्वर के बजाय आपके वेब होस्ट पर भेज देता है! mail, autodiscover और autoconfig के लिए हमेशा स्पष्ट CNAME या A/AAAA रिकॉर्ड बनाएँ।
नमूना DNS ज़ोन रिकॉर्ड (BIND / RFC 1035)
'nextxch-cli dns company.com --bind' के माध्यम से या एडमिन कॉकपिट के अंदर #pTls से अपना सटीक डोमेन ज़ोन कभी भी निर्यात करें।
mail 3600 IN A 198.51.100.10
mail 3600 IN AAAA 2001:db8::10
@ 3600 IN MX 10 mail.firma.de.
@ 3600 IN TXT "v=spf1 mx ip4:198.51.100.10 ip6:2001:db8::10 -all"
s2026._domainkey 3600 IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
ed2026._domainkey 3600 IN TXT "v=DKIM1; k=ed25519; p=11qYAYKxCrfVS..."
_dmarc 3600 IN TXT "v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:dmarc@firma.de"
autodiscover 3600 IN CNAME mail.firma.de.
autoconfig 3600 IN CNAME mail.firma.de.
_imaps._tcp 3600 IN SRV 0 1 993 mail.firma.de.
_submission._tcp 3600 IN SRV 0 1 465 mail.firma.de.
_caldavs._tcp 3600 IN SRV 0 1 443 mail.firma.de.
_carddavs._tcp 3600 IN SRV 0 1 443 mail.firma.de.सेटिंग्स, डिफ़ॉल्ट मान और बेस्ट प्रैक्टिस
| सेटिंग / स्थान | विवरण | डिफ़ॉल्ट मान | उत्पादन बेस्ट प्रैक्टिस |
|---|---|---|---|
Reverse-DNS (PTR) & FCrDNS |
आपके ISP/होस्टिंग प्रदाता पर आपके सर्वर के सार्वजनिक IPv4 (और IPv6) पते को वापस ServerHostName पर मैप करता है (Forward-Confirmed Reverse DNS)। | Beim Hoster zu setzen / ISP panel |
Hetzner/IONOS/Netcup/AWS पर PTR को ServerHostName से 1:1 मेल खाने के लिए सेट करें। गायब या सामान्य PTR रिकॉर्ड सख्त ISP पर तुरंत 550 अस्वीकृति का कारण बनते हैं। |
SPF TXT (v=spf1) |
घोषित करता है कि कौन-से IPv4/IPv6 पते और MX होस्ट आपके डोमेन की ओर से मेल भेजने के लिए अधिकृत हैं (RFC 7208)। | v=spf1 mx a -all |
स्पष्ट भेजने वाले IP शामिल करें (v=spf1 mx ip4:... ip6:... -all), RFC की 10-लुकअप सीमा से काफ़ी नीचे रहें, और सभी प्रेषक सूचीबद्ध हो जाने पर -all लागू करें। |
Dual-DKIM (RSA-2048 + Ed25519) |
प्रति डोमेन दो समानांतर DKIM कुंजी जोड़े (उदा. RSA-2048 के लिए s2026 और Ed25519 के लिए ed2026), जो आउटबाउंड हेडर और बॉडी हैश को क्रिप्टोग्राफ़िक रूप से सील करते हैं। | Beide Keys automatisch erzeugt (s2026 + ed2026) |
दोनों DNS TXT रिकॉर्ड (s2026._domainkey & ed2026._domainkey) एक बार DNS में प्रकाशित करें, फिर सर्वर पर RSA-2048, Ed25519 या RFC 8463 Dual Signing के बीच तुरंत स्विच करें। |
DMARC (_dmarc.<domain>) |
SPF/DKIM संरेखण को दृश्यमान From हेडर से बाँधता है और प्राप्तकर्ताओं को निर्देश देता है कि स्पूफ़िंग को कैसे संभालें, साथ ही समेकित XML रिपोर्ट वापस /admin/ में भेजता है। | v=DMARC1; p=quarantine; ... |
2 सप्ताह के लिए p=quarantine और rua=mailto:dmarc@company.com से शुरू करें, बिल्ट-इन DMARC विश्लेषक देखें, फिर p=reject पर जाएँ। |
Autodiscover, Autoconfig & DNS-SRV |
केवल उपयोगकर्ता के ईमेल पते का उपयोग करके Outlook, Apple Mail, Thunderbird और मोबाइल क्लाइंट में बिना किसी मैन्युअल चरण के सर्वर खोज सक्षम करता है। | Auf Port 443 integriert |
mail.<domain> की ओर इंगित करते autodiscover & autoconfig के लिए स्पष्ट CNAME बनाएँ, साथ में SRV रिकॉर्ड (_imaps, _submission, _caldavs, _carddavs)। |