Chương 6
Vệ sinh email và tên miền
6.1 Mục tiêu học tập
- Bảo vệ tên miền khỏi bị chuyển trái phép bằng khóa chuyển (registrar lock).
- Hiểu DNSSEC là gì, khi nào nên bật và cách kiểm tra.
- Cấu hình bản ghi email cơ bản: MX, SPF, DKIM, DMARC.
- Dọn bản ghi DNS “treo” và quản lý gia hạn có hệ thống.
6.2 Khái niệm
Khóa chuyển tên miền
Khóa chuyển (ví dụ trạng thái clientTransferProhibited) ngăn tên miền bị chuyển sang registrar khác khi chưa mở khóa. Với nhiều tên miền quốc tế, registrar bật sẵn; với tên miền quốc gia, có thể là một dịch vụ riêng phải yêu cầu. Luôn kiểm tra, đừng giả định.
Nameserver và DNS
- Registrar là nơi bạn thuê tên miền. Nhà cung cấp DNS là nơi trả lời “tên miền này trỏ đi đâu”. Hai vai trò có thể ở hai công ty khác nhau.
- Bản ghi NS tại registrar phải trỏ đúng nameserver của nhà cung cấp DNS.
DNSSEC
DNSSEC ký số các câu trả lời DNS để chống giả mạo. Cách bật thường gồm hai bước: (1) bật ký số tại nhà cung cấp DNS, (2) gửi bản ghi DS lên registrar. Khi chuyển nhà cung cấp DNS, phải gỡ DS cũ trước, nếu không tên miền có thể “biến mất” khỏi Internet.
Bản ghi email
| Bản ghi | Tác dụng |
|---|---|
| MX | Chỉ máy chủ nhận thư cho tên miền |
| SPF | Liệt kê máy chủ được phép gửi thư nhân danh tên miền |
| DKIM | Chữ ký số trên thư gửi đi |
| DMARC | Chính sách khi thư không qua SPF/DKIM; nhận báo cáo giả mạo |
Tên miền không gửi thư cũng nên có SPF “không ai được gửi” và DMARC từ chối, để kẻ gian không giả danh.
Bản ghi treo
Bản ghi trỏ tới một dịch vụ bạn đã hủy (hosting cũ, nền tảng web cũ). Kẻ gian có thể đăng ký lại tài nguyên đó và chiếm tên miền con của bạn.
6.3 Ví dụ minh họa
Anh A có tên miền ở hai registrar nhưng gom DNS về một nhà cung cấp. Anh tạo bảng theo dõi:
| Tên miền | Registrar | NS đúng | DNSSEC | Khóa chuyển | MX/SPF/DKIM/DMARC | Bản ghi treo |
|---|---|---|---|---|---|---|
| example.vn | Registrar X | Đúng | Đã bật, DS đã gửi | Đã yêu cầu | Đủ 4 | Không |
| example.com | Registrar Y | Đúng | Đã bật | Bật | Đủ 4 | 1 bản ghi trỏ nền tảng web cũ: xóa |
| example-shop.net | Registrar Y | Đúng | Chưa | Bật | Không gửi thư: SPF -all, DMARC reject | Không |
6.4 Sai lầm thường gặp
- Đăng nhập registrar bằng email nằm trên tên miền mà chính registrar đó quản lý.
- Bật DNSSEC rồi chuyển nhà cung cấp DNS mà quên gỡ DS.
- Để DMARC ở chế độ “none” mãi mãi mà không đọc báo cáo.
- Không biết tài khoản registrar và DNS có 2FA hay chưa.
6.5 Checklist
6.6 Bài tập
- Tra trạng thái whois tên miền mẫu, tìm dòng trạng thái khóa chuyển.
- Viết bộ bản ghi SPF/DMARC cho một tên miền không dùng để gửi thư.
- Liệt kê tất cả bản ghi CNAME trong vùng DNS của bạn và đánh dấu dịch vụ nào còn dùng.
6.7 Tóm tắt
- Tên miền ROOT cần khóa chuyển, DNSSEC, gia hạn tự động và tài khoản registrar có lối vào độc lập.
- Registrar và DNS là hai vai trò khác nhau; phải quản cả hai.
- Dọn bản ghi treo là việc định kỳ.