Record PTR: come da un nome host si arriva a un'azienda

Chi vuole sapere a chi appartiene un indirizzo IP guarda di solito nell'elenco di rete, per gli indirizzi europei quindi nel database del RIPE. Esiste una seconda via, spesso trascurata: la ricerca inversa nel DNS. In questo caso non chiede „A chi appartiene la rete?“, ma „Come si chiama il computer dietro questo indirizzo?“. Se nel nome compare il dominio di un'azienda, ha un indizio utilizzabile.

Questo articolo spiega che cos'è un record PTR (voce PTR), chi lo imposta, come distinguere le voci utili da quelle prive di valore e dove il metodo trova i suoi limiti. La via dell'elenco di rete la descrive Reverse IP lookup spiegato semplicemente.

Che cos'è una voce PTR

Il DNS conosce due direzioni. Normalmente chiede un nome e riceve un indirizzo (voce A o AAAA). La voce PTR (in inglese pointer record) è la direzione opposta: per un indirizzo fornisce un nome.

Tecnicamente l'indirizzo viene invertito e dotato di un suffisso speciale. Da 203.0.113.25 nasce la richiesta 25.113.0.203.in-addr.arpa. Con IPv6 il suffisso si chiama ip6.arpa. L'indirizzo viene invertito carattere per carattere. La risposta è un nome host, ad esempio mail.beispiel-firma.example.

Importante: una voce PTR è facoltativa. Esistono indirizzi senza voce. La voce non deve coincidere con la voce diretta. È un indizio, non una prova.

Chi la imposta

La voce PTR la cura chi gestisce il blocco di indirizzi:

• I provider impostano per le connessioni dei loro clienti per lo più nomi generici generati automaticamente.
• Le aziende con un proprio blocco di indirizzi curano le voci da sole e spesso inseriscono il proprio dominio.
• Le connessioni business ottengono presso alcuni provider, su richiesta, una voce con il dominio del cliente. Succede soprattutto per i server di posta, perché molti destinatari rifiutano le e-mail provenienti da indirizzi senza un nome host adeguato.

Ne consegue: una voce con dominio proprio è il segno che qualcuno si è occupato consapevolmente dell'indirizzo. Un nome generato automaticamente dice qualcosa solo sul provider.

Riconoscere gli schemi: nome generico o dominio proprio

Il nome host si compone di due parti: la parte iniziale (mail, pool-1-2-3-4) e il dominio registrabile in fondo (beispiel-firma.example). Il dominio Le rivela il gestore, la parte iniziale Le rivela se il nome è stato assegnato a mano o automaticamente.

Indizi tipici di un nome generico che non rivela un'azienda:

• parti dell'indirizzo compaiono nel nome: 203-0-113-25.provider.example oppure 25.113.0.203.provider.example
• parole come dyn, dynamic, dial, pool, dsl, adsl, cable, cust, customer, mobile, lte, static, nat, cgn, client
• un dominio che appartiene riconoscibilmente a un provider, a un hoster o a un centro dati

Indizi tipici di un nome utilizzabile:

• una parte iniziale parlante come mail, gw, fw, vpn, proxy o smtp
• nessuna parte dell'indirizzo nel nome
• un dominio che appartiene riconoscibilmente a un'impresa e non al provider

La tabella mostra anche un'insidia: se il dominio proviene dal provider o dall'hoster, il nome non Le serve a nulla, anche se sembra bello. Una valutazione utilizzabile richiede quindi un elenco di domini noti di provider e hoster da escludere.

Dal dominio all'azienda

Un dominio non è ancora un'azienda. La via consueta verso l'azienda passa per il sito web dietro il dominio:

1. Determinare il dominio registrabile. Da mail.beispiel-firma.example si ottiene beispiel-firma.example. Con suffissi come co.uk contano tre parti.
2. Aprire le note legali. In Germania, Austria e Svizzera i siti web commerciali devono indicare il gestore, di solito con la forma giuridica (GmbH, AG, KG e così via).
3. Leggere la ragione sociale e verificare se appartiene a una persona giuridica e non a una persona privata.

La ricerca testuale ha dei limiti. Le note legali non sono strutturate in modo uniforme, alcune pagine caricano i contenuti solo tramite script. A volte nelle note legali compare un'agenzia o una capogruppo. Un'attribuzione automatica resta quindi una proposta, che un essere umano verifica in caso di dubbio. In alternativa i database aziendali forniscono per un dominio il nome dell'azienda, ma anche questo non è mai completo.

Provare da sé

Non Le serve alcun software speciale. Su macOS e Linux esiste dig, su Windows nslookup. Gli esempi usano 203.0.113.25, un indirizzo dell'intervallo riservato alla documentazione (RFC 5737). Non appartiene a nessuno e quindi non ha una vera voce. Per le Sue prove inserisca l'indirizzo della Sua connessione o del Suo server.

# Ricerca inversa, solo la risposta
dig -x 203.0.113.25 +short

# Dettagliata, con la richiesta invertita
dig -x 203.0.113.25

# Windows, macOS e Linux
nslookup 203.0.113.25

Così legge l'output:

• Con +short nella risposta c'è solo il nome host, ad esempio mail.beispiel-firma.example. (il punto finale è voluto). Se non torna nulla, non esiste alcuna voce.
• Senza +short dig mostra nella sezione QUESTION la richiesta invertita con in-addr.arpa. Nella sezione ANSWER c'è la riga con PTR e il nome.
• Lo stato NXDOMAIN significa: per questo indirizzo non esiste alcuna voce. SERVFAIL o un timeout significa: il server dei nomi competente non risponde.
• nslookup mostra name = seguito dal nome host, oppure il messaggio che il nome non è stato trovato.

Come controprova interroghi il nome in direzione diretta (dig beispiel-firma.example +short). Se il nome rimanda di nuovo allo stesso indirizzo, la voce è più credibile. Se andata e ritorno non coincidono, serve cautela.

Limiti del metodo

• Voci obsolete. Gli indirizzi cambiano proprietario, le voci restano. Un nome che anni fa era corretto può oggi portare a un'altra azienda o a nessuna.
• Server di posta di fornitori di servizi. Molte aziende inviano e-mail tramite un hoster o uno strumento di marketing. Il nome host rimanda allora al fornitore di servizi, non all'azienda.
• Indirizzi condivisi. Dietro un indirizzo con nome aziendale possono esserci più inquilini di un edificio per uffici o di uno spazio di coworking. Il nome appartiene allora al locatore.
• Limiti di tempo. Le richieste DNS possono bloccarsi. Chi le valuta in background deve rinunciare dopo poco e non deve forzare la risposta.
• Home office e rete mobile. Qui quasi sempre ci sono solo nomi generici. Perché sia così lo spiega Home office, VPN e rete mobile: chi non vedrà.

Come PTR, elenco di rete e valutazione insieme formino un riconoscimento dei visitatori lo mostra la panoramica Come funziona il riconoscimento delle aziende? La tecnica in 6 passaggi. Lì si spiega anche perché i riscontri oscillino molto a seconda del gruppo target.

Un esempio dalla pratica: Whovisit usa la ricerca inversa solo per gli indirizzi di reti di provider, scarta i nomi generici e i domini noti dei provider, attende al massimo due secondi la risposta e memorizza solo l'associazione tra dominio e azienda, mai l'indirizzo IP. Quali classi di visitatori esistano e che cosa significhino lo spiega la guida alla voce Classi di visitatori: azienda, provider Internet, centro dati.

In breve

Una voce PTR è un indizio facoltativo sul nome host dietro un indirizzo. Diventa preziosa quando il nome contiene un dominio aziendale proprio e non mostra schemi da provider. Dal dominio all'azienda porta di norma la nota legale. Ogni attribuzione resta una congettura con un tasso di errore. Meglio nessuna voce che una sbagliata.