Инструменты сетевой диагностики
Подключение к почтовому серверу и проверка STARTTLS
DNS и записи
Поиск DNS Все записи DNS для любого домена Поиск записи A Адреса IPv4 для домена Поиск записи AAAA Адреса IPv6 для домена Поиск MX Почтовые серверы домена Поиск NS Авторитетные серверы имён Поиск TXT Записи TXT, SPF, верификация Поиск CNAME Записи канонического имени (псевдонима) Поиск SOA Запись Start of Authority Поиск SRV Записи расположения сервисов Поиск CAA Какие УЦ могут выпускать сертификаты Обратный DNS (PTR) IP-адрес в имя хоста Проверка DNSSEC Подписан ли домен и проходит ли валидацию? Проверка здоровья DNS Полный отчёт о делегировании и состоянии DNSДоставляемость почты
Проверка SPF Проверьте вашу запись Sender Policy Framework Проверка DMARC Изучите и оцените вашу политику DMARC Проверка DKIM Найдите и проверьте ваш открытый ключ DKIM Проверка чёрных списков Проверьте IP по почтовым блок-листам (DNSBL) Тест SMTP Подключение к почтовому серверу и проверка STARTTLS Проверка MTA-STS Принудительная политика TLS для входящей почты Проверка BIMI Запись логотипа бренда для почты Проверка TLS-RPT Политика отчётности SMTP TLSСеть и веб
Проверка сертификата SSL Изучите сертификат TLS сайта и срок его действия Проверка HTTP-заголовков Изучите заголовки ответа, редиректы и безопасность Пинг (TCP) Доступность и задержка по TCP Проверка портов Какие распространённые порты открытыДомен
Поиск WHOIS Регистрационные данные для доменов, IP и ASNЭтот тест SMTP разрешает основной MX домена, открывает соединение на порту 25, считывает приветственный баннер и список возможностей EHLO и сообщает, предлагает ли сервер STARTTLS для зашифрованной доставки. Это быстрый способ убедиться, что почтовый сервер доступен и поддерживает TLS.
Когда вы указываете домен, IPeek ищет его MX-записи, выбирает хост с наивысшим приоритетом и открывает TCP-соединение на порту 25. Сервер отвечает приветственным баннером 220, который называет ПО, обычно Postfix, Exim или Microsoft. Затем IPeek отправляет EHLO и разбирает многострочный ответ 250 со списком поддерживаемых расширений. Ищите в этом списке STARTTLS: он сигнализирует, что сервер может повысить открытую сессию до зашифрованного канала TLS до того, как будут переданы какие-либо данные письма. SIZE, PIPELINING и 8BITMIME обычно появляются рядом с ним.
Начните с баннера. Ответ 220 означает, что сервер принял соединение и готов. Если в списке возможностей EHLO появляется STARTTLS, сервер может шифровать входящую доставку; его отсутствие означает, что почта может ретранслироваться открытым текстом. Тайм-аут или отклонённое соединение обычно указывают на межсетевой экран, неверную цель MX или хост, который недоступен. Учтите, что порт 25 предназначен для доставки между серверами, а не для отправки от клиента, которая использует 587 или 465. Имя хоста в баннере должно совпадать с вашей PTR-записью, чтобы удовлетворять получателей, которые её проверяют.
Отклонённое или истёкшее по тайм-ауту соединение — самый частый сбой, обычно межсетевой экран блокирует порт 25 или MX-запись указывает на неверный хост. Отсутствие строки STARTTLS означает, что принимающий сервер не может согласовать TLS, так что добавьте сертификат и включите его в своём MTA. Самоподписанный или просроченный сертификат всё равно объявляет STARTTLS, но ломает строгие политики TLS, такие как MTA-STS и DANE. Если баннер сообщает общее имя хоста, отличное от вашего обратного DNS, исправьте PTR-запись, ведь многие получатели отклоняют почту, когда баннер и PTR расходятся.
Доставка почты между серверами использует порт 25, к которому и подключается этот тест. Порты 587 и 465 зарезервированы для отправки почты от клиентов и приложений: 587 использует STARTTLS, а 465 — неявный TLS. IPeek проверяет порт 25, потому что именно там принимающие MX-серверы принимают входящую почту из интернета.
STARTTLS повышает открытую SMTP-сессию до зашифрованного соединения TLS. Сервер объявляет STARTTLS в ответе EHLO, а отправляющий сервер выдаёт команду, чтобы согласовать TLS до передачи каких-либо данных сообщения. Без него почта пересекает сеть открытым текстом и может быть прочитана или изменена в пути. STARTTLS оппортунистичен, если не обеспечен MTA-STS или DANE.
Тайм-аут почти всегда означает, что межсетевой экран блокирует порт 25 или MX-запись указывает на хост, который недоступен или не отвечает. Многие домашние и облачные сети по умолчанию блокируют исходящий порт 25. Убедитесь, что цель MX разрешается правильно, проверьте, что почтовый сервер слушает, и удостоверьтесь, что никакая группа безопасности или правило межсетевого экрана не отбрасывает соединение.
Это означает, что входящая почта на этот сервер может доставляться без шифрования, подвергаясь перехвату на канале. Большинство современных получателей всё равно принимают почту, но не могут зашифровать сессию. Чтобы исправить это, установите валидный TLS-сертификат и включите STARTTLS в конфигурации своего MTA, затем повторно запустите тест, чтобы убедиться, что возможность теперь появляется.
Приветственный баннер — это первая строка, которую почтовый сервер отправляет после подключения, начинающаяся с кода ответа 220. Он идентифицирует серверное ПО и имя хоста и подтверждает, что сервер готов принимать команды. Получатели часто сравнивают имя хоста в баннере с PTR-записью подключающегося IP, так что несоответствие может вызвать спам-фильтрацию или прямое отклонение.