Τεκμηρίωση παραδείγματος: Mail DNS με SPF, DKIM και DMARC
1. Στόχος
Τα MX, SPF, DKIM selector και DMARC policy μοντελοποιούνται ως DNS RRsets.
2. Τι γίνεται
Το παράδειγμα δημιουργεί τοπικό evidence κάτω από το work/, ελέγχει τα zone files και εξετάζει την προαιρετική έξοδο εργαλείων όταν είναι εγκατεστημένα εργαλεία DNS.
3. Γιατί γίνεται
Οι αστοχίες DNS συχνά μοιάζουν με αστοχίες εφαρμογής ή δικτύου. Μόνο η συνδυασμένη εξέταση RCODE, SOA, TTL, delegation, resolver path και cache state επιτρέπει αξιόπιστη ανάλυση της βασικής αιτίας.
4. Τυπικές εντολές
dig example.test SOA +norecurse 2>/dev/null || true
dig www.example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
named-checkzone example.test zones/db.example.test 2>/dev/null || true
5. Έλεγχος επιτυχίας
- Τα artifacts είναι συντακτικά έγκυρα.
- Υπάρχει evidence κάτω από το
work/evidence/. - Κατονομάζονται RCODE, RRtype και zone.
- Όπου χρειάζεται, εξηγούνται TTL, cache ή delegation.
- Δεν χρησιμοποιούνται production secrets.
6. Συνηθισμένα λάθη
- Zone file χωρίς SOA ή NS.
- CNAME μαζί με άλλα records στο ίδιο owner name.
- Απουσία glue για name servers μέσα στην ίδια zone.
- Λανθασμένη ερμηνεία ενός DNSSEC SERVFAIL ως αστοχίας δικτύου.
- Υποτίμηση της συμπεριφοράς TTL και negative cache.
7. Ζητήματα ασφάλειας
Το DNS είναι υποδομή. Λανθασμένα resolver ACLs, ανοικτά zone transfers, μη ασφαλή dynamic updates ή αδύναμες διαδικασίες DNSSEC μπορούν να έχουν εκτεταμένες συνέπειες.
8. Ρεαλιστική χρήση
Το παράδειγμα εφαρμόζεται σε αλλαγές provider, εσωτερικές zones, Kubernetes DNS, σχεδιασμό split horizon, mail DNS, λειτουργία resolvers και incident response.
9. Ροή workshop
- Διαβάστε τον στόχο.
- Ανοίξτε τα artifacts.
- Εκτελέστε το
run.sh. - Εξετάστε το evidence.
- Κατονομάστε τον ρόλο DNS.
- Εξηγήστε RCODE και RRtype.
- Αξιολογήστε TTL και rollback.
- Κάντε review του αποτελέσματος.
10. Πίνακας review
| Πεδίο review | Αναμενόμενο |
|---|---|
| Ρόλος | Κατονομάζεται ο stub, recursive ή authoritative ρόλος. |
| Zone | Η zone, το owner name και το RRtype είναι σαφή. |
| Απάντηση | Είναι κατανοητά το RCODE και τα sections. |
| Λειτουργία | Τεκμηριώνονται TTL, cache και rollback. |
| Ασφάλεια | Εξαιρούνται secrets και production zones. |
Επίσημες αναφορές
- RFC 1034: https://datatracker.ietf.org/doc/html/rfc1034
- RFC 1035: https://datatracker.ietf.org/doc/html/rfc1035
- RFC 8499: https://www.rfc-editor.org/info/rfc8499/
- RFC 6891 EDNS(0): https://datatracker.ietf.org/doc/html/rfc6891
- RFC 4033 DNSSEC: https://datatracker.ietf.org/doc/html/rfc4033
- RFC 9364 DNSSEC BCP: https://www.rfc-editor.org/info/rfc9364/
- ISC BIND 9 Documentation: https://bind9.readthedocs.io/
- CoreDNS Documentation: https://coredns.io/manual/toc/
Παράρτημα παραδείγματος: Evidence, λειτουργία και μεταφορά γνώσης
Το παράρτημα ολοκληρώνει το παράδειγμα ως εκπαιδευτικό στοιχείο. Περιγράφει πώς ένα τοπικό μοντέλο DNS οδηγεί σε αξιόπιστη ανάλυση χωρίς χρήση production domains ή provider credentials.
B.1 Ορισμός πεδίου εφαρμογής
Το βήμα «Ορισμός πεδίου εφαρμογής» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.2 Έλεγχος artifacts
Το βήμα «Έλεγχος artifacts» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.3 Κατονομασία ρόλου DNS
Το βήμα «Κατονομασία ρόλου DNS» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.4 Ερμηνεία RCODE
Το βήμα «Ερμηνεία RCODE» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.5 Αξιολόγηση TTL
Το βήμα «Αξιολόγηση TTL» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.6 Έλεγχος delegation
Το βήμα «Έλεγχος delegation» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.7 Καταγραφή ορίων ασφάλειας
Το βήμα «Καταγραφή ορίων ασφάλειας» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.8 Σύνταξη rollback
Το βήμα «Σύνταξη rollback» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.9 Καθαρισμός evidence
Το βήμα «Καθαρισμός evidence» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.10 Εκτέλεση cleanup
Το βήμα «Εκτέλεση cleanup» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.11 Ολοκλήρωση
Ένα παράδειγμα ολοκληρώνεται όταν το script εκτελείται επιτυχώς, όλα τα artifacts είναι συντακτικά έγκυρα, κατονομάζεται ο ρόλος DNS και το evidence δεν περιέχει εμπιστευτικά δεδομένα.