Reverse DNS (PTR): vom Nummer zurück zum Namen

Modul 4: Einträge für E-Mail · Lesezeit: 6 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, was Reverse DNS ist, wer es einrichtet und warum empfangende Mailserver darauf achten.

Kernbegriffe: Reverse DNS, PTR-Record, in-addr.arpa, ip6.arpa, Verwaltung durch den Eigentümer der IP-Adresse, Forward-Confirmed Reverse DNS (FCrDNS), HELO/EHLO-Name

Die andere Richtung

Bisher ging alles vom Namen zur Nummer: mail.example.com hat den A-Record 192.0.2.25. Reverse DNS geht den umgekehrten Weg: zur IP-Adresse 192.0.2.25 gehört der Name mail.example.com. Das steht in einem PTR-Record (Pointer).

Für eine gewöhnliche Website benötigen Sie kein Reverse DNS. Für einen Mailserver hingegen schon: Fast jeder empfangende Mailserver prüft bei einer eingehenden Verbindung, welcher Name zur IP-Adresse des Absenders gehört. Ein Server ohne Reverse DNS, oder mit einem allgemeinen Namen wie 192-0-2-25.dynamic.provider.example, wirkt wie ein gehackter Heimcomputer, der Spam versendet. Gmail verlangt seit Februar 2024 von allen Versendern, dass die IP-Adresse über ein gültiges Reverse DNS verfügt, das auch wieder zurückweist.

Wie sieht das aus?

Reverse DNS nutzt einen speziellen Teil des DNS-Baums. Für IPv4 ist das in-addr.arpa, und die IP-Adresse steht dort rückwärts:

192.0.2.25  →  25.2.0.192.in-addr.arpa.

25.2.0.192.in-addr.arpa.  3600  IN  PTR  mail.example.com.

Warum rückwärts? Ein DNS-Name wird von rechts nach links spezifischer (Lektion 1.2), eine IP-Adresse hingegen von links nach rechts. Durch die Umkehrung kann der Block 192.0.2 als eine Zone an den Eigentümer dieses Blocks delegiert werden.

Für IPv6 steht die Adresse unter ip6.arpa, ebenfalls rückwärts, aber pro Hexadezimalziffer (Nibble), mit allen ausgeschriebenen Nullen. Für 2001:db8::25 wird daraus ein langer Name, der auf ...8.b.d.0.1.0.0.2.ip6.arpa endet. Den müssen Sie nie selbst eintippen: Panels und Tools übernehmen das.

Wer richtet es ein?

Hier liegt der große Unterschied zu allen anderen Einträgen. Ein PTR-Record steht nicht in der Zone Ihrer Domain, sondern in der Reverse-Zone der IP-Adresse. Und die gehört demjenigen, der die IP-Adresse verwaltet: Ihrem Hostinganbieter, Ihrem VPS-Anbieter oder Ihrem Internetprovider.

Das bedeutet:

• Sie können einen PTR-Record nicht in der DNS-Verwaltung Ihrer Domain anlegen. Ein Eintrag vom Typ PTR in Ihrer gewöhnlichen Zone bewirkt nichts.
• Mieten Sie einen VPS oder Server, finden Sie meist im Panel Ihres Anbieters ein Feld „Reverse DNS" oder „rDNS", oder Sie fragen es über den Support an.
• Nutzen Sie ein Hostingpaket oder einen Mailprovider wie Microsoft 365 oder Google Workspace, kümmert sich dieser Anbieter um das Reverse DNS seiner eigenen Mailserver. Dafür müssen Sie nichts tun.
• Betreiben Sie zu Hause oder im Büro einen Mailserver über einen Internetanschluss, bestimmt Ihr Internetprovider das Reverse DNS. Viele Provider erlauben das bei Privatanschlüssen nicht.

Hin und zurück müssen übereinstimmen

Empfänger prüfen nicht nur, OB ein PTR vorhanden ist, sondern auch, ob er zurück passt:

1. Die IP-Adresse 192.0.2.25 hat den PTR mail.example.com.
2. Der Name mail.example.com hat den A-Record 192.0.2.25.

Stimmen beide Seiten überein, nennt man das Forward-Confirmed Reverse DNS (FCrDNS). Zusätzlich sollte der Name, mit dem sich der Mailserver vorstellt (der HELO- oder EHLO-Name), derselbe sein oder zumindest ein Name, der ebenfalls existiert.

Für IPv6 gilt dasselbe. Versendet Ihr Server auch über IPv6, benötigt die IPv6-Adresse einen eigenen PTR und einen AAAA-Record. Ein vergessener IPv6-PTR ist eine bekannte Ursache dafür, dass Mail bei Gmail abgelehnt wird, während über IPv4 alles einwandfrei funktioniert.

Überprüfen

Mit einem Befehlsfenster (Lektion 8.2):

dig -x 192.0.2.25 +short
nslookup 192.0.2.25

Online können Sie bei den meisten DNS-Tools eine „Reverse Lookup" oder „PTR Lookup" für eine IP-Adresse durchführen.

In der Praxis: So sieht es in einem Panel aus

In diesem Beispiel verwenden wir den VPS-Bildschirm in Mein WebOké: dort gibt es einen Reiter für Reverse DNS. Liegt die Domain in derselben DNS-Verwaltung, erstellt das Panel den A- und AAAA-Record sowie den PTR in einem Schritt. Liegt die Domain anderswo, legen Sie zuerst den A- und AAAA-Record bei Ihrem DNS-Verwalter an und beantragen danach das Reverse DNS.

Bei anderen VPS- und Serveranbietern heißt das Feld „Reverse DNS", „rDNS" oder „PTR" und steht meist bei der IP-Adresse des Servers. Das Prinzip ist dasselbe: Der Anbieter setzt den Eintrag, Sie wählen den Namen.

Zusammenfassung

• Ein PTR-Record verknüpft eine IP-Adresse zurück mit einem Namen (in-addr.arpa für IPv4, ip6.arpa für IPv6).
• Der Verwalter der IP-Adresse richtet ihn ein, nicht der Verwalter Ihrer Domain.
• Empfangende Mailserver erwarten, dass Reverse und Forward DNS zueinander passen (FCrDNS), sowohl für IPv4 als auch für IPv6.
• Für Websites und für Mail über einen Hostinganbieter oder Mailprovider müssen Sie selbst nichts tun.

Quiz

Aufgabe

Aufgabe Z4.6: Reverse DNS nachschlagen. Suchen Sie die MX-Records von wikipedia.org und wählen Sie einen Mailserver aus. Suchen Sie die IPv4-Adresse dieses Mailservers und anschließend das Reverse DNS (PTR) dieser Adresse. Tragen Sie die IP-Adresse und den gefundenen Namen ein. Bonus: Prüfen Sie, ob der Name wieder auf dieselbe IP-Adresse verweist. (Keine Einrichtungsaufgabe: Reverse DNS können Sie in einer Übungszone nicht selbst setzen, und genau das ist die Lektion.)

Weiterführende Informationen

Die Schritte in diesem Artikel gelten für die Panels von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• E-Mails von Ihrem VPS versenden und Reverse DNS einrichten
• DirectAdmin Anleitung 18.10: Ich kann keine E-Mail versenden
• RFC 1035 Abschnitt 3.5 (in-addr.arpa), RFC 3596 (ip6.arpa), Richtlinien für Versender von Google (Februar 2024)