第 02 章
ネットワーク、DNS & 暗号
管理:
#pTls
DNS 到達率 10/10、逆引き DNS (FCrDNS) とワイルドカード DNS の落とし穴
Gmail、Microsoft 365、Deutsche Telekom などの主要な受信側は、送信者レピュテーションの評価において DNS の整合性を重視します。nextxch は [TLS & DNS アドバイザー] (#pTls) で、ホストしているすべてのドメインについてコピーしてそのまま使えるレコードを生成し、公開 DNS に対してライブで検証します。
運用のヒントとアーキテクチャに関する注記
ワイルドカード DNS (*.company.com -> Web サーバーの IP) に注意してください。ワイルドカード レコードは、autodiscover.company.com のような未設定のサブドメインを、メール サーバーではなく Web ホストへ気付かないうちに向けてしまいます。mail、autodiscover、autoconfig には必ず明示的な CNAME または A/AAAA レコードを作成してください。
DNS ゾーン レコードの例 (BIND / RFC 1035)
'nextxch-cli dns company.com --bind' または管理コックピットの #pTls から、ドメイン ゾーンをいつでも正確にエクスポートできます。
mail 3600 IN A 198.51.100.10
mail 3600 IN AAAA 2001:db8::10
@ 3600 IN MX 10 mail.firma.de.
@ 3600 IN TXT "v=spf1 mx ip4:198.51.100.10 ip6:2001:db8::10 -all"
s2026._domainkey 3600 IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
ed2026._domainkey 3600 IN TXT "v=DKIM1; k=ed25519; p=11qYAYKxCrfVS..."
_dmarc 3600 IN TXT "v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:dmarc@firma.de"
autodiscover 3600 IN CNAME mail.firma.de.
autoconfig 3600 IN CNAME mail.firma.de.
_imaps._tcp 3600 IN SRV 0 1 993 mail.firma.de.
_submission._tcp 3600 IN SRV 0 1 465 mail.firma.de.
_caldavs._tcp 3600 IN SRV 0 1 443 mail.firma.de.
_carddavs._tcp 3600 IN SRV 0 1 443 mail.firma.de.設定、既定値 & ベスト プラクティス
| 設定 / 場所 | 説明 | 既定値 | 本番環境のベスト プラクティス |
|---|---|---|---|
Reverse-DNS (PTR) & FCrDNS |
ISP/ホスティング事業者で、サーバーのパブリック IPv4 (および IPv6) アドレスを ServerHostName に逆引きマッピングします (Forward-Confirmed Reverse DNS)。 | Beim Hoster zu setzen / ISP panel |
Hetzner/IONOS/Netcup/AWS で PTR を ServerHostName と 1:1 で一致するように設定してください。PTR レコードがない、または汎用的な場合、厳格な ISP では直ちに 550 で拒否されます。 |
SPF TXT (v=spf1) |
ドメインに代わってメールを送信することが許可された IPv4/IPv6 アドレスと MX ホストを宣言します (RFC 7208)。 | v=spf1 mx a -all |
送信 IP を明示的に含め (v=spf1 mx ip4:... ip6:... -all)、RFC の上限である 10 ルックアップを十分に下回るようにし、すべての送信元を登録したら -all を適用してください。 |
Dual-DKIM (RSA-2048 + Ed25519) |
ドメインごとに 2 つの並列 DKIM キー ペア (例: RSA-2048 用の s2026 と Ed25519 用の ed2026) で、送信ヘッダーと本文ハッシュを暗号的に封印します。 | Beide Keys automatisch erzeugt (s2026 + ed2026) |
両方の DNS TXT レコード (s2026._domainkey & ed2026._domainkey) を一度 DNS に公開すれば、サーバー側で RSA-2048、Ed25519、RFC 8463 のデュアル署名を即座に切り替えられます。 |
DMARC (_dmarc.<domain>) |
SPF/DKIM の整合を表示上の From ヘッダーに結び付け、なりすましの扱い方を受信側に指示します。集計 XML レポートは /admin/ に取り込まれます。 | v=DMARC1; p=quarantine; ... |
まず p=quarantine と rua=mailto:dmarc@company.com で 2 週間運用し、組み込みの DMARC アナライザーで確認してから p=reject に移行します。 |
Autodiscover, Autoconfig & DNS-SRV |
ユーザーのメール アドレスだけで、Outlook、Apple Mail、Thunderbird、モバイル クライアントがゼロタッチでサーバーを検出できます。 | Auf Port 443 integriert |
autodiscover と autoconfig 用に mail.<domain> を指す明示的な CNAME と、SRV レコード (_imaps、_submission、_caldavs、_carddavs) を作成します。 |