我应该为反向 DNS PTR 记录使用哪个域？

Question

如果设置邮件服务器。用于 IP 的 PTR 记录的最佳域是什么？

通常使用“mail.domain.com”还是“domain.com”更好？

我了解如果设置了 PTR 记录，某些邮件提供商会尝试从原始地址获取 HELO 响应？因为我只从我自己的服务器发送邮件并且是通过我的代码完成的，所以我认为没有必要在 iptables 设置中打开端口 25。但似乎我可能需要让邮件提供商来做 HELO，对吗？即使我从自己的服务器发送邮件，打开端口 25 是否有任何安全隐患？

Answer 1

PTR 记录应指向主机名。不要将其指向域名。如果邮件服务器的名称mail在域中example.com，则：

mail.example.com -> 1.2.3.4
and
4.3.2.1.IN-ADDR.ARPA -> mail.example.com

大多数邮件服务器会尝试验证上述关系是否为真。

当邮件服务器连接时，它会打开与“EHLO mail.example.com”的对话。接收邮件服务器然后检查正向和反向查找（通常，它不是必需的，但大多数需要）。

如果您想接收电子邮件，您必须在端口 25 上接受它，并且也必须在您的防火墙 (iptables) 中进行配置。如果您没有在此服务器上接收电子邮件，那么您不必打开端口 25（用于传入连接）。对于邮件服务器来说，仅发送电子邮件是完全可以接受的配置。在这种情况下，最常见的是另一台服务器处理接收域的电子邮件，但这不是必需的。您的防火墙必须允许到目标端口 25 的传出连接。防火墙不过滤传出连接是很常见的（尽管在高安全性环境中很常见）。

您在防火墙上打开的每个端口都可能使您面临新的威胁。除非您知道这是必要的，否则永远不要打开端口。即便如此，也只有在采取合理措施保护服务器免受相关服务的常见攻击向量后才应这样做。