Underscore in CNAME richiesto da SES non consentito dal registrar

Question

Il servizio di posta SES di Amazon richiede l'autenticazione DKIM. Un passo dell'autenticazione è aggiungere un record CNAME al DNS del tuo dominio.

Sfortunatamente il record CNAME ha un trattino basso. Il mio registrar, Network Solutions, non consente i caratteri di sottolineatura nei record CNAME.

Esiste una soluzione alternativa? Il trasferimento a un altro registrar è un'opzione, ma ovviamente un'opzione orribile.

Answer 1

DKIM viene eseguito con record TXT. Naturalmente è possibile avere un record (o una catena) CNAME che punta a un record TXT, ma è molto più comune creare semplicemente un record TXT direttamente.

Il provider DNS di servizi dei nomi autorevole dovrebbe consentire di inserire etichette con caratteri di sottolineatura (che DKIM richiede) nel file di zona del dominio. In caso contrario, selezionare un provider di servizi di nomi DNS diverso o utilizzare i propri server dei nomi.

Ciò che DNS registrar si utilizza non ha nulla a che fare con esso. Il registrar non controlla il contenuto del dominio né ne potrebbe nemmeno accorgersene.

Può darsi che il tuo registrar e il provider di servizi di nomi DNS siano la stessa organizzazione, ma sono ruoli separati e devono essere considerati separatamente.

Answer 2

L'Amazzonia forum (https://forums.aws.amazon.com/thread.jspa?threadID=119464) dice che è possibile utilizzare un record TXT se il record CNAME non funziona:

"Imposta una voce di TXT sulle mie impostazioni DNS, ma questo articolo si presenta come: Nome:. _domainkey.mydomain.com Tipo: TXT Valore: "p = AAZZZZZZEEEEEERRRRRRRRTTTTTTTYYYYYYYYY ..","

non sono stato in grado di farlo funzionare ancora, ma penso che sia la direzione giusta in quanto è altamente improbabile che Sarò in grado di yahoo et.al. per cambiare le loro politiche DNS.

Answer 3

Dopo oltre due ore al telefono con il servizio clienti di Network Solutions, inseriscono manualmente i record di autenticazione DKIM di Amazon SES.

In primo luogo, il fatto che non consentano trattini di sottolineatura nel loro CNAME è un comportamento NON CORRETTO.

Come da RFC 1034:

nomi che non sono nomi host possono essere costituiti da qualsiasi carattere ASCII stampabile.

serie DKIM richiedono l'sottolineatura, come da RFC 4871:

Tutte le chiavi DKIM sono memorizzate in un sottodominio denominato "_domainkey". Dato un campo DKIM- con un tag "d =" di "example.com" e un tag "s =" di "foo.bar", la query DNS sarà per "foo.bar._domainkey.example .com".

RFC 1034 descrive il record CNAME e indicano che il CNAME RR non è (necessariamente) un hostname, in modo che qualsiasi carattere ASCII stampabile dovrebbe essere consentito. Le soluzioni di rete sono SBAGLIATE su questo.

Mentre i record DKIM possono essere memorizzati come record TXT, Amazon SES utilizza i record CNAME in modo che possano ruotare le chiavi. Quale dovrebbe essere possibile, se non per le politiche inette della soluzione di rete.

Per la maggior parte informazioni su questo, vi consiglio this site, che spiega che tutte le voci DNS che sono sottolineatura non hostnames (che i campi in un CNAME può essere, ma non sono necessariamente) dovrebbe essere consentito.

Per riuscire finalmente a inserire manualmente i record, è necessario eseguire l'escalation del ticket. Doveva essere fatto al telefono, il mio ticket email iniziale è stato risposto con la risposta deludente "Devi chiamare."

Ho dovuto spiegare più volte che altri nameserver consentono i caratteri di sottolineatura nel CNAME e che se non ci possono accogliere, passeremo immediatamente.

Hanno dovuto parlare con il titolare del conto principale (che non ero io, e non era qualcuno tecnico) al fine di "confermare" che questi record DNS dovrebbero essere messi in atto. Anche se stava solo chiamando per "confermare", gli hanno dato una scappatoia al telefono per oltre 70 minuti. Questa conferma sembrava del tutto superflua, in quanto il mio account era autorizzato a modificare i record DNS.

È stata un'esperienza piuttosto frustrante e sto pianificando di migrare dalle soluzioni di rete non appena possibile. Il tempo di inattività richiesto ci ha dissuaso in passato, ma a questo punto credo che sia giustificato.

Mentre è possibile convincerli a immettere manualmente i record, è consigliabile cambiare i server dei nomi se è possibile.

Answer 4

DKIM richiede il sottodominio _domainkey (RFC 4871) (e underscores are completely valid for subdomains).

Cosa succede se il provider DNS non li consente?

1. Contattarli, dovrebbero correggerlo e, se possibile, valutare la possibilità di cambiare fornitore.
2. Come temporanea copia soluzione direttamente il record TXT (questo è temporaneo perché è destinata a cambiare in alcuni punti e dovrete aggiornare), vedere sotto:

Per esempio per SendGrid esso vi chiederà di indicare CNAME s1._domainkey.example.com-s1.domainkey.u1234567.00000.sendgrid.net, in modo da ottenere il record TXT via:

$ host -t txt s1.domainkey.u1234567.00000.sendgrid.net 
s1.domainkey.u1234567.00000.sendgrid.net descriptive text "k=rsa\; t=s\; p=SOMETHING+VERY+LOOOOOOOONG" 

Ora creare un record TXT per il sottodominio s1._domainkey con quanto contenuto (ricordarsi di non-ESCAP e \ per esempio):

k=rsa; t=s; p=SOMETHING+VERY+LOOOOOOOONG