Ağ Araçları

Her DNS sorusunun iki farklı cevabı vardır: yetkili ad sunucusunda ne yazdığı ve belirli bir çözücünün önbelleğinde ne durduğu. Yetkili sunuculara doğrudan sormak güncel gerçeği gösterir; bir genel çözücüye sormak kullanıcıların şu anda ne aldığını gösterir. İkisi çeliştiğinde yaptığınız şey aslında bir TTL’in dolmasını beklemektir. Hiçbir şey “yayılmaz”; kayıtlar talep üzerine çekilir ve yayımladığınız TTL süresince saklanır. Bu yüzden bir taşımadan bir gün önce TTL’i 300 saniyeye indirmek yapılabilecek tek gerçek hazırlıktır.

Bir alan adının kökü CNAME barındıramaz, çünkü bu kayıt türü orada bulunması zorunlu olan SOA ve NS kayıtlarıyla çakışır. Sağlayıcılar bunu, sorgu anında adrese çözülen ALIAS veya düzleştirme kayıtlarıyla aşar. Burayı yanlış kurarsanız e-posta durur, çünkü çakışan CNAME kaydı MX kaydını bastırır.

İki ad sunucusunu karşılaştırırken SOA seri numarasına bakın. Aralarında fark varsa biri en son bölge aktarımını almamış demektir; o zaman bir yapılandırma hatasının değil, bir tutarsızlığın peşindesiniz.

Yönlendiriciler, traceroute’un dayandığı ICMP “süre aşıldı” mesajlarını kontrol düzlemleriyle üretir ve bu düzlem, trafiği iletmeye göre bilerek daha düşük öncelikli tutulur. Ara bir sıçramanın 180 ms, son hedefin 30 ms göstermesi tamamen normaldir ve bir sorun anlamına gelmez. Gerçek gidiş dönüş süresini yalnızca son sıçramanın değeri anlatır.

Yıldız dizileri, o sıçramanın yanıt vermediğini gösterir; genelde orada ICMP filtrelendiği için, paketler düştüğü için değil. Dönüş yolları da sıkça asimetriktir, yani gördüğünüz şey iki yönlü bir yolculuğun tek yönüdür; MPLS tünelleri de tek bir bağlantı gibi görünen yerin arkasında birkaç fiziksel sıçramayı gizleyebilir. Traceroute’u performans ölçmek için değil, yolun hangi noktada sağlayıcı ya da coğrafya değiştirdiğini bulmak için kullanın.

Sertifika süresi en bariz ve en az ilginç konudur. İnsanlara asıl zaman kaybettiren hata eksik zincirdir: sunucu yaprak sertifikayı gönderir ama ara sertifikayı atlar. Tarayıcılar eksik sertifikayı AIA uzantısıyla çekip sorunu örter; site size düzgün görünürken curl, Java istemcileri, eski Android cihazlar ve ödeme webhook’ları aynı bağlantıyı reddeder. Zincir kontrolü bunu iş ortaklarınız fark etmeden yakalar.

Ayrıca ana makine adının artık kullanılmayan common name alanında değil SAN listesinde göründüğünü, TLS 1.2 ve 1.3’ün sunulup 1.0 ile 1.1’in kapatıldığını ve sertifikanın hizmet verdiğiniz bütün adları kapsadığını doğrulayın. Buna bir başlık kontrolünü — HSTS, yönlendirme zinciri, önbellek direktifleri, sunucunun tam sürümünü sızdırıp sızdırmadığı — eklediğinizde bir sunucunun kendini nasıl tanıttığına dair epey eksiksiz bir tablo çıkar.

SPF, alan adınız adına gönderim yapabilecek sunucuları listeler ve değerlendirme sırasında on DNS sorgusuyla sınırlıdır. Arka arkaya birkaç sağlayıcı include kaydı eklemek bu sınırı aşar ve kalıcı hata üretir; birçok alıcı bunu başarısızlık olarak işler. Yeni bir servis eklediğinizde sorgu sayınızı mutlaka sayın.

DKIM, mesajı özel anahtarla imzalar ve genel anahtarı alan adı altındaki bir seçicide yayımlar; böylece alıcı mesajın yolda değişmediğini kanıtlayabilir. DMARC ikisini birbirine bağlar, görünen From alan adı ile doğrulanmış alan adı arasında hizalama şartı koyar ve kontroller başarısız olduğunda alıcının ne yapacağını söyler. p=none ve bir rapor adresiyle başlayın, birkaç hafta toplu raporları okuyup bütün meşru göndericileri bulun, sonra quarantine’e ve en son reject’e geçin.