FCrDNS: wat de cirkel tussen naam en adres over een mailserver zegt
Een server heeft twee identiteiten: het adres waarop hij zit en de naam die erbij hoort. Voor een mailserver moeten die twee op elkaar passen — niet omdat een RFC de cirkel voorschrijft, maar omdat ontvangende servers hem in de praktijk lopen als er een bericht binnenkomt. Dit artikel laat zien welke vragen er dan gesteld worden, waar ze gesteld worden, en wat een open cirkel praktisch betekent.
Reverse DNS loopt de hele cirkel in één verzoek: onze server vraagt de naam naar haar adressen (A en AAAA, met een CNAME apart als alias), laadt élk publieke adres daarvan terug (PTR), en vraagt élke PTR-naam die terugkwam opnieuw op. In jouw browser wordt per adres gelezen of de cirkel rondkomt — en élke naam, élk adres en élke gemiste vraag wordt bij naam genoemd.
Wat de tool niet doet, staat er expliciet bij: hij vraagt aan geen enkele mailserver wat die van de cirkel vindt, hij loopt hem bij één resolver op één moment, en wat buiten zijn plafond van drie adressen en twee namen per adres valt, noemt hij niet-bekeken in plaats van afwezig.
1. De wandeling, been voor been
De eerste vraag is voorwaarts: welke adressen wijst deze naam aan (A en AAAA), en is de naam zelf misschien een alias (CNAME)? De tweede vraag is achterwaarts: welke naam bij dit adres hoort — de PTR-record. Daar zit het detail dat zoneneigenaren verrast: de PTR staat niet in de eigen domeinzone maar in de reverse zone van het adresblok, en die wordt vaak beheerd door de provider of hoster die het blok uitdeelt, niet door de eigenaar van het domein. Een perfect onderhouden zone met een ontbrekende PTR is dus geen slordigheid van de zoneneigenaar, en de weg naar herstel is vaak een ticket bij de ISP.
De derde vraag sluit de cirkel: de PTR-naam wordt zelf opnieuw opgezocht en moet met een A- of AAAA-antwoord uitkomen op het adres waarvandaan hij kwam. RFC 1912 §2.1 formuleert dat als zone-advies — “make sure your PTR and A records match”, met de uitdrukkelijke noot dat een PTR naar een geldige A-record moet wijzen en niet naar een alias die met een CNAME is gedefinieerd — en RFC 5321 §2.3.5 noemt de naam die zo klopt de primary hostname van de host: de naam die de host zich geeft en in een EHLO zou noemen.
2. Wat een cirkel open houdt
De praktijk kent verscheidene vormen van een cirkel die niet rondkomt. Helemaal geen PTR — veel VPS-aanbieders geven alleen een generieke provider-hostnaam, of niets. Een PTR die naar een andere naam wijst dan de naam die terugwees — de PTR-naam antwoordt met een A-record op een ander adres, vaak een oude server of een load balancer. Een PTR die zelf naar een CNAME-alias wijst, precies waar RFC 1912 §2.1 voor waarschuwt. En een voorwaarts antwoord dat privé-adressen noemt — split-horizon zones die een LAN-adres door publieke DNS laten adverteren — welke niet terug te laden zijn en dus als privé-adres bij naam genoemd worden, zonder reverse-vraag.
Reverse DNS meldt elke vorm apart: niet rond, geen PTR, privé-adres, en bij een mislukte vraag “niet meetbaar” — want een resolver die niet antwoordde is een gemiste meting, geen gemeten afwezigheid. Voor mail is de cirkel de ondergrond van de EHLO-naam: RFC 5321 §4.1.1.1 schrijft voor dat een client zonder reverse-antwoord een adres-literal hoort te sturen, en staat een ontvangende server toe naam en adres tegen elkaar te controleren — met de grens er direct achter: hij mag mail niet afwijzen op alleen die controle. Veel filters kijken in de praktijk toch naar de PTR; een open cirkel is daarom een waarschuwing, geen bewezen weigering.
3. Eén resolver, één moment — en de cache ertussen
De wandeling wordt door één resolver gemaakt: die van deze server. Eén gecachet, vertraagd of half verlopen antwoord kan een cirkel open tonen die elders rond is — DNS-antwoorden cachen, en reverse zones worden door andere partijen bediend dan forward domeinzones. Voor wie het verschil tussen resolvers zelf wil zien staat DNS vergelijken klaar, en TTL en caching legt uit hoe lang antwoorden meeliften.
De cirkel beweegt bovendien mee met de infrastructuur: een migratie naar een nieuw adresblok, een andere hoster of een gewijzigde mailconfiguratie knipt hem door midden zonder dat er in de domeinzone iets te zien is. Bij storing of verhuizing aan de mailkant is het verstandig de cirkel vóór en ná de wijziging te lopen — de exportknop van de tool legt beide metingen als JSON op de schijf, en met Rapporten vergelijken leg je ze naast elkaar.
4. Wat deze meting niet beweert
De cirkel is geen reputatie. De wandeling zegt iets over de consistentie tussen naam en adres, niet over of het adres op een bloklijst staat of in een filter belandt; daarvoor staan Blacklist controle en het bloklijstartikel klaar, en voor de identiteit van de ondertekenende sleutels SPF, DKIM en DMARC. Ook de beveiliging van de nameservers zelf — de handtekeningen die DNS-antwoorden authenticeren — staat bij DNSSEC controle.
En de grens die RFC 5321 zelf trekt, blijft de kern van het verhaal: een ontvangende server mag naam en adres tegen elkaar aflopen en mag zijn gedrag daarop afstemmen, maar mail afwijzen op alleen die controle mag hij niet. Deze tool meet de cirkel en meldt wat hij vond — wat een platform er vervolgens van maakt, is het oordeel van dat platform, niet van deze meting.