PTR-record: sådan bliver et værtsnavn til en virksomhed

Den, der vil vide, hvem en IP-adresse tilhører, kigger som regel i netfortegnelsen, ved europæiske adresser altså i RIPE's database. Der findes en anden vej, som ofte overses: det omvendte opslag i DNS. Her spørger du ikke „Hvem tilhører netværket?“, men „Hvad hedder computeren bag denne adresse?“. Står der en virksomheds domæne i navnet, har du et brugbart fingerpeg.

Denne artikel forklarer, hvad en PTR-record (PTR-post) er, hvem der sætter den, hvordan du skelner brugbare fra værdiløse poster, og hvor metoden støder på grænser. Vejen via netfortegnelsen beskriver Reverse IP lookup forklaret enkelt.

Hvad en PTR-post er

DNS kender to retninger. Normalt spørger du efter et navn og får en adresse (A- eller AAAA-post). PTR-posten (engelsk pointer record) er modsat retning: Til en adresse leverer den et navn.

Teknisk bliver adressen dertil vendt om og forsynet med en særlig endelse. Af 203.0.113.25 bliver forespørgslen 25.113.0.203.in-addr.arpa. Ved IPv6 hedder endelsen ip6.arpa. Adressen vendes herved om tegn for tegn. Svaret er et værtsnavn, for eksempel mail.beispiel-firma.example.

Vigtigt: En PTR-post er frivillig. Der findes adresser uden post. Posten behøver ikke stemme overens med fremadposten. Den er et fingerpeg, intet bevis.

Hvem der sætter den

PTR-posten vedligeholdes af den, der forvalter adresseblokken:

• Udbydere sætter til deres kundeforbindelser som regel automatisk genererede samlenavne.
• Virksomheder med egen adresseblok vedligeholder posterne selv og indfører ofte deres eget domæne.
• Erhvervsforbindelser får hos nogle udbydere på ønske en post med kundens domæne. Det sker især ved mailservere, fordi mange modtagere afviser mails fra adresser uden passende værtsnavn.

Heraf følger: En post med eget domæne er et tegn på, at nogen bevidst har taget sig af adressen. Et automatisk genereret navn siger kun noget om udbyderen.

Genkend mønstre: samlenavn eller eget domæne

Værtsnavnet består af to dele: forreste del (mail, pool-1-2-3-4) og det registrerbare domæne til sidst (beispiel-firma.example). Domænet røber driftsherren, den forreste del røber, om navnet blev givet i hånden eller automatisk.

Typiske tegn på et samlenavn, der ikke røber en virksomhed:

• Dele af adressen står i navnet: 203-0-113-25.provider.example eller 25.113.0.203.provider.example
• Ord som dyn, dynamic, dial, pool, dsl, adsl, cable, cust, customer, mobile, lte, static, nat, cgn, client
• et domæne, der tydeligt tilhører en udbyder, hoster eller et datacenter

Typiske tegn på et brugbart navn:

• en sigende forreste del som mail, gw, fw, vpn, proxy eller smtp
• ingen adressedele i navnet
• et domæne, der tydeligt hører til en virksomhed og ikke til udbyderen

Tabellen viser også en faldgrube: Kommer domænet fra udbyderen eller hosteren, giver navnet dig intet, selv om det ser pænt ud. En brugbar analyse har derfor brug for en liste over kendte udbyder- og hosterdomæner, som udelukkes.

Fra domænet til virksomheden

Et domæne er endnu ikke en virksomhed. Den almindelige vej til virksomheden fører via hjemmesiden bag domænet:

1. Bestem det registrerbare domæne. Af mail.beispiel-firma.example bliver beispiel-firma.example. Ved endelser som co.uk tæller tre dele.
2. Åbn impressum. I Tyskland, Østrig og Schweiz skal erhvervsmæssige hjemmesider nævne driftsherren, som regel med retsform (GmbH, AG, KG og så videre).
3. Læs det juridiske navn ud og tjek, om det hører til en juridisk person og ikke til en privatperson.

Tekstsøgningen har grænser. Impressa er ikke ensartet opbygget, nogle sider indlæser indhold først via script. Nogle gange står der et bureau eller et moderselskab i impressum. En automatisk tilordning forbliver derfor et forslag, som et menneske i tvivlstilfælde tjekker. Alternativt leverer firmadatabaser til et domæne firmanavnet, også det er aldrig fuldstændigt.

Prøv det selv

Du behøver ingen specialsoftware. Under macOS og Linux findes dig, under Windows nslookup. Eksemplerne bruger 203.0.113.25, en adresse fra området til dokumentation (RFC 5737). Den tilhører ingen og har derfor ingen ægte post. Indsæt til egne forsøg adressen på din egen forbindelse eller server.

# Omvendt opslag, kun svaret
dig -x 203.0.113.25 +short

# Udførligt, med den omvendte forespørgsel
dig -x 203.0.113.25

# Windows, macOS og Linux
nslookup 203.0.113.25

Sådan læser du outputtet:

• Ved +short står der i svaret kun værtsnavnet, for eksempel mail.beispiel-firma.example. (punktummet til sidst er med vilje). Kommer der intet tilbage, findes der ingen post.
• Uden +short viser dig i afsnittet QUESTION den omvendte forespørgsel med in-addr.arpa. I afsnittet ANSWER står linjen med PTR og navnet.
• Statussen NXDOMAIN betyder: Til denne adresse findes ingen post. SERVFAIL eller en timeout betyder: Den ansvarlige navneserver svarer ikke.
• nslookup viser name = fulgt af værtsnavnet, eller meldingen om, at navnet ikke blev fundet.

Som modprøve spørger du navnet fremad (dig beispiel-firma.example +short). Peger navnet igen på den samme adresse, er posten mere troværdig. Stemmer frem- og bagudretning ikke overens, er forsigtighed på sin plads.

Metodens grænser

• Forældede poster. Adresser skifter ejer, poster bliver stående. Et navn, der var rigtigt for år tilbage, kan i dag føre til en anden virksomhed eller slet ingen mere.
• Tjenesteydernes mailservere. Mange virksomheder sender mails via en hoster eller et marketingværktøj. Værtsnavnet peger så på tjenesteyderen, ikke på virksomheden.
• Fælles brugte adresser. Bag en adresse med firmanavn kan der sidde flere lejere i en kontorbygning eller et coworking space. Navnet tilhører så udlejeren.
• Tidsgrænser. DNS-forespørgsler kan hænge. Den, der analyserer dem i baggrunden, må give op efter kort tid og må ikke gennemtvinge svaret.
• Hjemmekontor og mobilnet. Her findes der næsten altid kun samlenavne. Hvorfor det er sådan, står i Hjemmekontor, VPN og mobilnet: hvem du ikke ser.

Hvordan PTR, netfortegnelse og analyse tilsammen giver en besøgergenkendelse, viser overblikket Hvordan fungerer virksomhedsgenkendelse? Teknik i 6 trin. Dér står også, hvorfor træffene svinger kraftigt efter målgruppe.

Et eksempel fra praksis: Whovisit bruger det omvendte opslag kun ved adresser fra udbydernet, kasserer samlenavne og kendte udbyderdomæner, venter højst to sekunder på svaret og husker kun tilordningen af domæne til virksomhed, aldrig IP-adressen. Hvilke besøgsklasser der findes, og hvad de betyder, står i hjælpen under Besøgsklasser: virksomhed, internetudbyder, datacenter.

Kort sammenfattet

En PTR-post er et frivilligt fingerpeg om værtsnavnet bag en adresse. Værdifuld bliver den, når navnet indeholder et eget firmadomæne og ikke viser udbydermønstre. Fra domænet til virksomheden fører vejen som regel via impressum. Enhver tilordning forbliver en formodning med en fejlrate. Ingen post er bedre end en forkert.