الفصل 02 الشبكات وDNS والتشفير المسؤول: #pTls

قابلية تسليم DNS بنسبة 10/10، وReverse DNS (FCrDNS)، ومزالق Wildcard DNS

يعتمد كبار المستقبلين مثل Gmail وMicrosoft 365 وDeutsche Telekom في تقييم سمعة المرسل اعتمادًا كبيرًا على توافق DNS. وضمن TLS & DNS Advisor (#pTls) يُنشئ nextxch سجلات جاهزة للنسخ لكل نطاق مستضاف ويتحقق منها مباشرة مقابل DNS العام.

نصيحة تشغيلية وملاحظة حول البنية

احذروا من DNS بأحرف البدل (*.company.com -> عنوان IP لخادم الويب): إذ يوجّه سجل أحرف البدل بصمت النطاقات الفرعية غير المُعدّة مثل autodiscover.company.com إلى مضيف الويب لديكم بدلًا من خادم البريد! أنشئوا دائمًا سجلات CNAME أو A/AAAA صريحة لـ mail وautodiscover وautoconfig.

نماذج سجلات منطقة DNS ‏(BIND / RFC 1035)

صدّروا منطقة نطاقكم الدقيقة في أي وقت عبر 'nextxch-cli dns company.com --bind' أو من #pTls داخل لوحة الإدارة.

المرجع / الإعداد

mail                  3600 IN A     198.51.100.10
mail                  3600 IN AAAA  2001:db8::10
@                     3600 IN MX 10 mail.firma.de.
@                     3600 IN TXT   "v=spf1 mx ip4:198.51.100.10 ip6:2001:db8::10 -all"
s2026._domainkey      3600 IN TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
ed2026._domainkey     3600 IN TXT   "v=DKIM1; k=ed25519; p=11qYAYKxCrfVS..."
_dmarc                3600 IN TXT   "v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:dmarc@firma.de"
autodiscover          3600 IN CNAME mail.firma.de.
autoconfig            3600 IN CNAME mail.firma.de.
_imaps._tcp           3600 IN SRV   0 1 993 mail.firma.de.
_submission._tcp      3600 IN SRV   0 1 465 mail.firma.de.
_caldavs._tcp         3600 IN SRV   0 1 443 mail.firma.de.
_carddavs._tcp        3600 IN SRV   0 1 443 mail.firma.de.

الإعدادات والقيم الافتراضية وأفضل الممارسات

الإعداد / الموقع	الوصف	القيمة الافتراضية	أفضل ممارسة للإنتاج
`Reverse-DNS (PTR) & FCrDNS`	يربط عنوان IPv4 العام (وIPv6) لخادمكم عكسيًا بـ ServerHostName لدى مزود الإنترنت أو مزود الاستضافة (Forward-Confirmed Reverse DNS).	`Beim Hoster zu setzen / ISP panel`	اضبطوا PTR لدى Hetzner/IONOS/Netcup/AWS ليطابق ServerHostName بنسبة 1:1. ويؤدي غياب سجلات PTR أو كونها عامة إلى رفض فوري برمز 550 لدى مزودي الإنترنت الصارمين.
`SPF TXT (v=spf1)`	يحدد عناوين IPv4/IPv6 ومضيفات MX المصرّح لها بإرسال البريد نيابةً عن نطاقكم (RFC 7208).	`v=spf1 mx a -all`	أدرجوا عناوين IP المرسلة صراحةً (v=spf1 mx ip4:... ip6:... -all)، وابقوا أقل بكثير من حد RFC البالغ 10 استعلامات، وطبّقوا -all بمجرد إدراج جميع المرسلين.
`Dual-DKIM (RSA-2048 + Ed25519)`	زوجان متوازيان من مفاتيح DKIM لكل نطاق (مثل s2026 لـ RSA-2048 وed2026 لـ Ed25519) يختمان تشفيريًا الترويسات الصادرة وتجزئات النص.	`Beide Keys automatisch erzeugt (s2026 + ed2026)`	انشروا سجلَي DNS TXT (s2026._domainkey & ed2026._domainkey) مرة واحدة في DNS، ثم بدّلوا فورًا على الخادم بين RSA-2048 أو Ed25519 أو التوقيع المزدوج وفق RFC 8463.
`DMARC (_dmarc.<domain>)`	يربط توافق SPF/DKIM بترويسة From المرئية ويوجّه المستقبلين إلى كيفية التعامل مع الانتحال، ويعيد تقارير XML المجمّعة إلى /admin/.	`v=DMARC1; p=quarantine; ...`	ابدؤوا بـ p=quarantine وrua=mailto:dmarc@company.com لمدة أسبوعين، وافحصوا محلل DMARC المدمج، ثم انتقلوا إلى p=reject.
`Autodiscover, Autoconfig & DNS-SRV`	يتيح اكتشاف الخادم دون أي تدخل في Outlook وApple Mail وThunderbird وعملاء الهاتف باستخدام عنوان البريد الإلكتروني للمستخدم فقط.	`Auf Port 443 integriert`	أنشئوا سجلات CNAME صريحة لـ autodiscover وautoconfig تشير إلى mail.<domain>، إضافة إلى سجلات SRV (_imaps و_submission و_caldavs و_carddavs).