JA
無料で始める
第 02 章 ネットワーク、DNS & 暗号 管理: #pTls

DNS 到達率 10/10、逆引き DNS (FCrDNS) とワイルドカード DNS の落とし穴

Gmail、Microsoft 365、Deutsche Telekom などの主要な受信側は、送信者レピュテーションの評価において DNS の整合性を重視します。nextxch は [TLS & DNS アドバイザー] (#pTls) で、ホストしているすべてのドメインについてコピーしてそのまま使えるレコードを生成し、公開 DNS に対してライブで検証します。

運用のヒントとアーキテクチャに関する注記

ワイルドカード DNS (*.company.com -> Web サーバーの IP) に注意してください。ワイルドカード レコードは、autodiscover.company.com のような未設定のサブドメインを、メール サーバーではなく Web ホストへ気付かないうちに向けてしまいます。mail、autodiscover、autoconfig には必ず明示的な CNAME または A/AAAA レコードを作成してください。

DNS ゾーン レコードの例 (BIND / RFC 1035)

'nextxch-cli dns company.com --bind' または管理コックピットの #pTls から、ドメイン ゾーンをいつでも正確にエクスポートできます。

リファレンス / 構成 
mail                  3600 IN A     198.51.100.10
mail                  3600 IN AAAA  2001:db8::10
@                     3600 IN MX 10 mail.firma.de.
@                     3600 IN TXT   "v=spf1 mx ip4:198.51.100.10 ip6:2001:db8::10 -all"
s2026._domainkey      3600 IN TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
ed2026._domainkey     3600 IN TXT   "v=DKIM1; k=ed25519; p=11qYAYKxCrfVS..."
_dmarc                3600 IN TXT   "v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:dmarc@firma.de"
autodiscover          3600 IN CNAME mail.firma.de.
autoconfig            3600 IN CNAME mail.firma.de.
_imaps._tcp           3600 IN SRV   0 1 993 mail.firma.de.
_submission._tcp      3600 IN SRV   0 1 465 mail.firma.de.
_caldavs._tcp         3600 IN SRV   0 1 443 mail.firma.de.
_carddavs._tcp        3600 IN SRV   0 1 443 mail.firma.de.

設定、既定値 & ベスト プラクティス

設定 / 場所 説明 既定値 本番環境のベスト プラクティス
Reverse-DNS (PTR) & FCrDNS ISP/ホスティング事業者で、サーバーのパブリック IPv4 (および IPv6) アドレスを ServerHostName に逆引きマッピングします (Forward-Confirmed Reverse DNS)。 Beim Hoster zu setzen / ISP panel Hetzner/IONOS/Netcup/AWS で PTR を ServerHostName と 1:1 で一致するように設定してください。PTR レコードがない、または汎用的な場合、厳格な ISP では直ちに 550 で拒否されます。
SPF TXT (v=spf1) ドメインに代わってメールを送信することが許可された IPv4/IPv6 アドレスと MX ホストを宣言します (RFC 7208)。 v=spf1 mx a -all 送信 IP を明示的に含め (v=spf1 mx ip4:... ip6:... -all)、RFC の上限である 10 ルックアップを十分に下回るようにし、すべての送信元を登録したら -all を適用してください。
Dual-DKIM (RSA-2048 + Ed25519) ドメインごとに 2 つの並列 DKIM キー ペア (例: RSA-2048 用の s2026 と Ed25519 用の ed2026) で、送信ヘッダーと本文ハッシュを暗号的に封印します。 Beide Keys automatisch erzeugt (s2026 + ed2026) 両方の DNS TXT レコード (s2026._domainkey & ed2026._domainkey) を一度 DNS に公開すれば、サーバー側で RSA-2048、Ed25519、RFC 8463 のデュアル署名を即座に切り替えられます。
DMARC (_dmarc.<domain>) SPF/DKIM の整合を表示上の From ヘッダーに結び付け、なりすましの扱い方を受信側に指示します。集計 XML レポートは /admin/ に取り込まれます。 v=DMARC1; p=quarantine; ... まず p=quarantine と rua=mailto:dmarc@company.com で 2 週間運用し、組み込みの DMARC アナライザーで確認してから p=reject に移行します。
Autodiscover, Autoconfig & DNS-SRV ユーザーのメール アドレスだけで、Outlook、Apple Mail、Thunderbird、モバイル クライアントがゼロタッチでサーバーを検出できます。 Auf Port 443 integriert autodiscover と autoconfig 用に mail.<domain> を指す明示的な CNAME と、SRV レコード (_imaps、_submission、_caldavs、_carddavs) を作成します。