Capitolo 02 Rete, DNS & crittografia Admin: #pTls

Recapitabilità DNS 10/10, reverse DNS (FCrDNS) & insidie del DNS wildcard

I grandi destinatari come Gmail, Microsoft 365 e Deutsche Telekom valutano la reputazione del mittente in larga misura in base all'allineamento DNS. In TLS & DNS Advisor (#pTls), nextxch genera record pronti da copiare per ogni dominio ospitato e li convalida in tempo reale sul DNS pubblico.

Suggerimento operativo & nota sull'architettura

Attenzione al DNS wildcard (*.company.com -> IP del web server): un record wildcard instrada silenziosamente i sottodomini non configurati, come autodiscover.company.com, verso il web host invece che verso il mail server! Creare sempre record CNAME o A/AAAA espliciti per mail, autodiscover e autoconfig.

Esempi di record della zona DNS (BIND / RFC 1035)

Esporti in qualsiasi momento la zona esatta del dominio tramite 'nextxch-cli dns company.com --bind' o da #pTls nell'Admin Cockpit.

Riferimento / configurazione

mail                  3600 IN A     198.51.100.10
mail                  3600 IN AAAA  2001:db8::10
@                     3600 IN MX 10 mail.firma.de.
@                     3600 IN TXT   "v=spf1 mx ip4:198.51.100.10 ip6:2001:db8::10 -all"
s2026._domainkey      3600 IN TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
ed2026._domainkey     3600 IN TXT   "v=DKIM1; k=ed25519; p=11qYAYKxCrfVS..."
_dmarc                3600 IN TXT   "v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:dmarc@firma.de"
autodiscover          3600 IN CNAME mail.firma.de.
autoconfig            3600 IN CNAME mail.firma.de.
_imaps._tcp           3600 IN SRV   0 1 993 mail.firma.de.
_submission._tcp      3600 IN SRV   0 1 465 mail.firma.de.
_caldavs._tcp         3600 IN SRV   0 1 443 mail.firma.de.
_carddavs._tcp        3600 IN SRV   0 1 443 mail.firma.de.

Impostazioni, valori predefiniti e best practice

Impostazione / posizione	Descrizione	Valore predefinito	Best practice per la produzione
`Reverse-DNS (PTR) & FCrDNS`	Associa l'indirizzo IPv4 (e IPv6) pubblico del server a ServerHostName presso l'ISP/provider di hosting (Forward-Confirmed Reverse DNS).	`Beim Hoster zu setzen / ISP panel`	Impostare il PTR presso Hetzner/IONOS/Netcup/AWS in modo che corrisponda 1:1 a ServerHostName. Record PTR mancanti o generici causano rifiuti 550 immediati presso gli ISP più severi.
`SPF TXT (v=spf1)`	Dichiara quali indirizzi IPv4/IPv6 e host MX sono autorizzati a inviare posta per conto del dominio (RFC 7208).	`v=spf1 mx a -all`	Includere esplicitamente gli IP di invio (v=spf1 mx ip4:... ip6:... -all), restare ben al di sotto del limite RFC di 10 lookup e applicare -all non appena tutti i mittenti sono elencati.
`Dual-DKIM (RSA-2048 + Ed25519)`	Due coppie di chiavi DKIM parallele per dominio (ad es. s2026 per RSA-2048 ed ed2026 per Ed25519) che sigillano crittograficamente gli header in uscita e gli hash del corpo.	`Beide Keys automatisch erzeugt (s2026 + ed2026)`	Pubblicare una sola volta nel DNS entrambi i record TXT (s2026._domainkey & ed2026._domainkey), poi passare istantaneamente sul server tra RSA-2048, Ed25519 o la doppia firma RFC 8463.
`DMARC (_dmarc.<domain>)`	Lega l'allineamento SPF/DKIM all'header From visibile e indica ai destinatari come gestire lo spoofing, restituendo i report XML aggregati a /admin/.	`v=DMARC1; p=quarantine; ...`	Iniziare con p=quarantine e rua=mailto:dmarc@company.com per 2 settimane, esaminare l'analizzatore DMARC integrato, quindi passare a p=reject.
`Autodiscover, Autoconfig & DNS-SRV`	Consente il rilevamento automatico del server senza intervento in Outlook, Apple Mail, Thunderbird e nei client mobili usando solo l'indirizzo e-mail dell'utente.	`Auf Port 443 integriert`	Creare CNAME espliciti per autodiscover & autoconfig che puntano a mail.<domain> più record SRV (_imaps, _submission, _caldavs, _carddavs).