Jak naprawić błąd „Odwrotny DNS nie pasuje do banera SMTP”

Kluczowe wnioski

Odwrotne DNS (rekordy PTR) muszą być zgodne z nazwą hosta używaną w banerze SMTP (HELO/EHLO).
Niezgodność między rekordami PTR a banerami SMTP uruchamia filtry antyspamowe i zmniejsza liczbę wiadomości trafiających do skrzynek odbiorczych.
Większość dostawców poczty elektronicznej wymaga potwierdzenia odwrotnego DNS (FCrDNS) w celu zapewnienia zaufania.
Nazwa hosta serwera pocztowego musi być w pełni kwalifikowaną nazwą domeny (FQDN).
Baner SMTP, rekord PTR i rekord A muszą być przypisane do tego samego adresu IP.
Dostawcy usług Cloud VPS często przypisują domyślne rekordy PTR, które należy ręcznie aktualizować.
Problemy z odwrotnym DNS mogą powodować ograniczenie przepustowości lub odrzucenie przed oceną DMARC.
Właściwe dopasowanie rDNS wzmacnia skuteczność SPF, DKIM i DMARC.
Regularne audyty zapobiegają cichym awariom dostarczalności spowodowanym dryftem DNS.

Jeśli zarządzasz własnym serwerem pocztowym, podczas testu dostarczalności wiadomości e-mail prawdopodobnie napotkasz błąd „Odwrotne DNS nie pasuje do banera SMTP”. To ostrzeżenie nie jest tylko kosmetyczne. Zignorowanie go bezpośrednio szkodzi zaufaniu do wiadomości e-mail, zwiększa filtrowanie spamu i może spowodować, że główni dostawcy, tacy jak Gmail i Outlook, całkowicie odrzucą Twoje wiadomości.

Odwrotny DNS pełni funkcję karty identyfikacyjnej serwera, natomiast baner SMTP pełni funkcję uzgodnienia. Gdy te dwa identyfikatory nie są zgodne, serwery odbiorcze traktują wiadomość jako podejrzaną. Ta niezgodność sygnalizuje słabą higienę serwera i jest częstą cechą infrastruktury spamowej.

„Odwrotny DNS nie pasuje do banera SMTP” oznacza, że nazwa hosta powiązana z Twoim adresem IP nadawcy (odwrotny DNS lub rekord PTR) nie pasuje do nazwy hosta, którą Twój serwer pocztowy podaje w swoim powitaniu SMTP (HELO/EHLO). Gdy te dane się nie zgadzają, serwery pocztowe odbiorców uznają połączenie za niewiarygodne i mogą oznaczyć lub zablokować Twoje e-maile.
Pomyśl o tym jak o procesie weryfikacji między dwoma serwerami.

Odwrotne DNS

Standardowy DNS zamienia nazwę domeny na adres IP. Odwrotny DNS działa odwrotnie – sprawdza adres IP i pyta: „Jaka nazwa jest z nim powiązana?”. Zajmuje się tym rekord PTR.

Kiedy serwer nawiązuje połączenie z innym serwerem, przedstawia się za pomocą powitania zwanego banerem SMTP. Powitanie to zawiera nazwę hosta (np. mail.example.com).

Porównanie

Kiedy Twoja wiadomość e-mail dociera do adresata, serwer odbiorczy sprawdza Twój adres IP i rekord PTR. Jeśli rekord PTR wskazuje server1.isp-provider.net, ale baner SMTP wskazuje mail.twojadomena.com, występuje niezgodność.

Krótki przykład:

Adres IP: 1.2.3.4
Baner SMTP: mail.business.com
Rekord PTR (odwrotny DNS): 1-2-3-4.dynamic.cloudhost.com
Wynik: Błąd! Tożsamości nie pasują.

Komponent	Przykład (zaliczony)	Przykład (niepowodzenie)
Adres IP	1.2.3.4	1.2.3.4
Zapis PTR	mail.przykład.com	host-1-2-3-4.isp.net
Baner SMTP	mail.przykład.com	mail.przykład.com
Zapis	mail.example.com → 1.2.3.4	mail.example.com → 1.2.3.4
Wynik	MATCH / ZAUFANY	NIEZGODNOŚĆ / SPAM

Dlaczego ten błąd ma znaczenie dla dostarczalności wiadomości e-mail

Serwery pocztowe wykorzystują tę kontrolę jako szybki sposób na wykrycie spamerów.

1. Wyzwalacze filtra antyspamowego

Spamerzy często korzystają z niekonfigurowanych serwerów lub botnetów. Ogólna lub niedopasowana nazwa hosta jest jedną z pierwszych rzeczy, które filtr antyspamowy oznaczy.

2. Reputacja i zaufanie

Duzi dostawcy usług internetowych nadają priorytet funkcji Forward-Confirmed Reverse DNS. Oznacza to, że Twój adres IP wskazuje nazwę, a nazwa ta wskazuje ten sam adres IP. Jeśli nie masz tej funkcji, Twój „wskaźnik zaufania” gwałtownie spada.

3. Sygnały uwierzytelniające

Chociaż technicznie oddzielone od SPF, DKIM i DMARC, rDNS stanowi część „szerszego obrazu” kondycji serwera. Jeśli podstawowe połączenie jest nieuporządkowane, polityka DMARC może okazać się niewystarczająca, aby uratować reputację.

Najczęstsze przyczyny niedopasowania

Oto kilka typowych przyczyn niedopasowania.

Domyślne nazwy hostów w chmurze

Korzystasz z serwera VPS i nie zmieniłeś domyślnego rekordu PTR przypisanego przez dostawcę.

Zapomnienie konfiguracji MTA

Zaktualizowałeś swoje rekordy DNS, ale zapomniałeś zaktualizować rzeczywiste ustawienia w swoim oprogramowaniu pocztowym.

Hosting współdzielony

Korzystasz ze współdzielonego adresu IP, którego dostawca ustawił PTR na swoją własną domenę główną, a nie na Twoją.

Kwestie związane z własnością intelektualną

Nie masz uprawnień do zmiany rekordu PTR, ponieważ adres IP jest zarządzany przez dostawcę usług internetowych, który nie przekazał Ci kontroli nad nim.

Jak sprawdzić swoje aktualne wartości

Zanim zaczniesz zmieniać ustawienia, musisz zobaczyć, co widzi reszta świata.

1. Sprawdź rekord PTR.

Uruchom szybkie polecenie terminala, aby sprawdzić, jaka nazwa hosta jest powiązana z Twoim adresem IP:

Mac/Linux: dig -x [Twój_adres_IP]
Windows: nslookup [Twój_adres_IP]

Użyj Telnet lub OpenSSL, aby sprawdzić, jak Twój serwer wita innych. Pierwsza linia odpowiedzi pokaże nazwę hosta Twojego banera SMTP.

3. Użyj scentralizowanego narzędzia

Ręczne sprawdzanie jest w porządku, ale narzędzia takie jak PowerDMARC’s DNS Record Lookup może pokazać, jak Twoje rekordy PTR i A wyglądają globalnie, aby upewnić się, że nie ma „opóźnienia DNS”, które daje fałszywe wyniki.

Oto kilka ważnych kroków, które należy wykonać, aby naprawić błąd.

Krok 1: Zidentyfikuj adres IP nadawcy

Sprawdź dokładny publiczny adres IP, którego używa Twój serwer pocztowy do wysyłania wiadomości. Jeśli korzystasz z zapory sieciowej, NAT lub serwera proxy, adres ten może różnić się od lokalnego adresu IP serwera.

Krok 2: Napraw rekord PTR

To jest część, na której większość ludzi się zatrzymuje. Zazwyczaj nie można tego zmienić w panelu DNS domeny. Należy to zrobić za pośrednictwem firmy, która jest właścicielem adresu IP.

Cloud VPS: Przejdź do panelu administracyjnego swojego dostawcy (sekcja Sieć/Statyczny adres IP) i poszukaj opcji „Reverse DNS” lub „PTR”.
Dedykowane/lokalne: może być konieczne zgłoszenie problemu do dostawcy usług internetowych.
Cel: Ustaw PTR na w pełni kwalifikowaną nazwę domeny.

Teraz upewnij się, że Twój serwer zna swoją nazwę. Wiele serwerów pocztowych korzysta z domyślnego szablonu banera dla powitania SMTP, więc musisz skonfigurować agenta transferu poczty, aby ogłaszał tę samą nazwę FQDN, którą ustawiłeś w kroku 2.

Postfix: Edytuj plik /etc/postfix/main.cf i zaktualizuj myhostname = mail.example.com.
Exim: Zaktualizuj primary_hostname w pliku konfiguracyjnym.
Po wprowadzeniu zmian należy ponownie uruchomić usługę!

Krok 4: Upewnij się, że dopasowanie DNS jest prawidłowe

Nazwa hosta użyta w krokach 2 i 3 musi również posiadać rekord A wskazujący na Twój adres IP. Gdy rekord PTR wskazuje na nazwę, a nazwa wskazuje na adres IP, uzyskujesz Forward-Confirmed Reverse DNS (FCrDNS).

Najlepsze praktyki pozwalające uniknąć błędów odwrotnego DNS

Postępuj zgodnie z poniższymi wskazówkami, aby uniknąć błędów odwrotnego DNS.

Jedno IP na nazwę hosta

Jeśli to możliwe, zachowaj spójność nazewnictwa poczty (np. mail1.domain.com).

Unikaj nazw ogólnych

Nigdy nie pozostawiaj swojego rDNS jako static.123.45.clients.provider.com.

Regularne audyty

Korzystaj z automatycznych narzędzi do monitorowania infrastruktury. PowerDMARCoferuje na przykład monitorowanie w czasie rzeczywistym, które może powiadomić Cię, jeśli Twoje rekordy przestaną być zgodne lub jeśli Twój adres IP trafi na czarną listę.

Dostosuj do uwierzytelniania

Upewnij się, że nazwa hosta odwrotnego DNS jest zawarta w rekordzie SPF, aby zapobiec „miękkim” błędom.

Jak ten błąd odnosi się do DMARC i uwierzytelniania wiadomości e-mail

Podczas gdy DMARC koncentruje się na integralności wiadomości, Reverse DNS i SMTP banner skupiają się na integralności połączenia. Można to porównać do dwóch warstw zabezpieczeń: jednej dla paczki, a drugiej dla samochodu dostawczego.
Oto, w jaki sposób niezgodność podważa szerszą strategię uwierzytelniania:

Priorytet oceny

Większość serwerów odbiorczych wykonuje kontrolę „handshake” jeszcze przed sprawdzeniem rekordów DMARC lub DKIM. Jeśli Twoje rDNS i baner nie są zgodne, Twoja wiadomość e-mail może zostać ograniczona lub odrzucona w bramie, zanim polityka DMARC „Odrzuć” będzie miała szansę potwierdzić, że wiadomość jest legalna.

Sygnał „profesjonalizmu”

Filtry bezpieczeństwa wykorzystują dopasowanie rDNS jako wskaźnik kondycji serwera. Niedopasowanie sugeruje źle skonfigurowany lub przejęty serwer, typowy dla botnetów, co może prowadzić do obniżenia oceny reputacji niezależnie od tego, jak doskonałe są Twoje rekordy SPF.

Zgodność z FCrDNS

Główni dostawcy usług internetowych często wymagają potwierdzonego odwrotnego DNS jako podstawy zaufania. Jeśli baner SMTP nie jest zsynchronizowany z rekordami PTR i A, weryfikacja zakończy się niepowodzeniem, co sprawi, że wiadomości e-mail zgodne z DMARC będą wyglądały podejrzanie.

Niewidoczne awarie

Bez platformy takiej jak PowerDMARC te luki infrastrukturalne często pozostają niezauważone. Chociaż standardowe kontrole DNS mogą wykazać, że Twoje rekordy są „aktywne”, nie zawsze informują one o tym, jak brama odbiorcy interpretuje niezgodność między Twoim banerem a adresem IP.

Jak PowerDMARC automatyzuje dostosowanie rDNS i SMTP

Ręczne sprawdzanie poleceń terminala i logowanie się do różnych pulpitów VPS może być czasochłonne i podatne na błędy ludzkie. PowerDMARC zapewnia scentralizowany zestaw narzędzi zaprojektowanych w celu zapewnienia, że „uścisk dłoni” serwera jest zawsze ważny i cieszy się zaufaniem globalnych dostawców usług internetowych.

1. Walidacja PTR i FCrDNS w czasie rzeczywistym

Nasze narzędzie do wyszukiwania rekordów DNS wykracza poza podstawowe sprawdzanie. Weryfikuje FCrDNS, jednocześnie sprawdzając rekord PTR i upewniając się, że wynikowa nazwa hosta wskazuje na adres IP nadawcy. Pomaga to zidentyfikować „niekompletne” konfiguracje, w których rekord PTR istnieje, ale nie jest prawidłowo dopasowany do rekordu A.

2. Proaktywne monitorowanie i alerty

Zdarza się, że dochodzi do dryftu DNS, dostawcy usług w chmurze resetują rekordy lub zakresy adresów IP są ponownie mapowane. Usługi monitorowania reputacji śledzą infrastrukturę 24 godziny na dobę, 7 dni w tygodniu. Jeśli zgodność rDNS ulegnie zakłóceniu lub adres IP serwera nagle pojawi się na czarnej liście z powodu błędu konfiguracji, otrzymasz powiadomienie, zanim wskaźniki dostarczalności zaczną spadać.

3. Kompleksowy pulpit nawigacyjny dotyczący dostarczalności

Podczas gdy rDNS obsługuje warstwę połączeń, PowerDMARC łączy te dane z wydajnością SPF, DKIM i DMARC. Przeglądając zbiorcze raporty RUA, można sprawdzić, czy określone adresy IP mają wysokie wskaźniki odrzucenia przez Gmaila lub Outlooka, co pomaga prześledzić problemy z dostarczalnością aż do niedopasowanych banerów SMTP.

Ostateczna lista kontrolna

Rekord PTR pasuje do banera SMTP.
Baner SMTP pasuje do Forward DNS (rekord A).
Reputacja adresu IP jest dobra (nie znajduje się na czarnych listach).
SPF, DKIM i DMARC są w pełni skonfigurowane i zsynchronizowane.

Podsumowanie

W końcu w przypadku poczty elektronicznej chodzi przede wszystkim o zaufanie. Jeśli Twój adres IP i powitanie serwera nie są zgodne, będziesz miał trudności z dotarciem do skrzynki odbiorczej. Ujednolicenie rekordów nie jest tylko „dobrą praktyką”, ale koniecznością, jeśli chcesz, aby Twoje wiadomości e-mail były faktycznie czytane.
Błędy infrastruktury, takie jak ten, mogą być trudne do wykrycia. PowerDMARC ułatwia sprawę, monitorując Twoją konfigurację i dostarczając jasne raporty na temat tego, co działa, a co nie. Wykrywa te luki w konfiguracji, zanim zamienią się one w koszmar związany z dostarczalnością.
Wypróbuj bezpłatną wersję próbną PowerDMARC i zobacz, jak Twoje serwery wyglądają dla reszty świata.

Najczęściej zadawane pytania

Czy mogę poprawić rekord PTR w rejestratorze domeny?
Nie. Rekordy PTR są powiązane z adresem IP. Musisz skontaktować się z dostawcą usług hostingowych lub dostawcą usług internetowych.
Czy spowoduje to niepowodzenie DMARC?
Niekoniecznie, ale i tak możesz zostać zablokowany. Wiele filtrów sprawdza baner „handshake” jeszcze przed sprawdzeniem rekordów DMARC.
Dlaczego błąd nadal występuje po jego naprawieniu?
Propagacja DNS. Rozpowszechnienie nowych rekordów w Internecie może potrwać do 24 godzin.
Co zrobić, jeśli mam wiele domen na jednym adresie IP?
Nie martw się, to bardzo częsta sytuacja. Nie potrzebujesz osobnego banera dla każdej domeny. Wystarczy wybrać jedną „główną” nazwę dla serwera i upewnić się, że rekordy PTR, SMTP i A wskazują tę nazwę. Jeśli są one ze sobą zgodne, inne domeny wysyłające wiadomości z tego adresu IP będą działać prawidłowo.

O
Latest Posts

Yunes Tarada

Ekspert ds. bezpieczeństwa domen i poczty e-mail w PowerDMARC

Yunes jest liderem zespołu operacyjnego w PowerDMARC z wiedzą ekspercką w zakresie uwierzytelniania i bezpieczeństwa poczty elektronicznej. Yunes jest certyfikowanym przez Microsoft Azure Administrator Associate z certyfikatami CompTIA A+ i wieloma innymi.

Najnowsze posty autorstwa Yunes Tarada (zobacz wszystkie)

Kompresja SPF: Ogranicz liczbę wyszukiwań DNS w ramach SPF i zoptymalizuj swój rekord SPF - 25 marca 2026 r.
Certyfikat znaku zweryfikowanego a certyfikat znaku powszechnego: wybór odpowiedniego rozwiązania – 10 marca 2026 r.
Poziom pewności spamu (SCL) -1 Bypass: co to oznacza i jak sobie z tym radzić – 4 marca 2026 r.

Jak naprawić błąd „Odwrotne DNS nie pasuje do banera SMTP”

Co oznacza komunikat „Odwrotny DNS nie pasuje do banera SMTP”?