PTR-record: hvordan et maskinnavn blir til en bedrift

Den som vil vite hvem en IP-adresse tilhører, ser som regel i nettkatalogen, for europeiske adresser altså i databasen til RIPE. Det finnes en annen vei som ofte overses: det omvendte oppslaget i DNS. Da spør du ikke «Hvem eier nettet?», men «Hva heter maskinen bak denne adressen?». Står bedriftens domene i navnet, har du et brukbart holdepunkt.

Denne artikkelen forklarer hva en PTR-record (PTR-oppføring) er, hvem som setter den, hvordan du skiller brukbare fra verdiløse oppføringer og hvor metoden når sine grenser. Veien via nettkatalogen beskriver Reverse IP lookup enkelt forklart.

Hva en PTR-oppføring er

DNS kjenner to retninger. Vanligvis spør du etter et navn og får en adresse (A- eller AAAA-oppføring). PTR-oppføringen (engelsk pointer record) er motsatt retning: Til en adresse leverer den et navn.

Teknisk blir adressen for dette snudd og forsynt med en spesialendelse. Av 203.0.113.25 blir oppslaget 25.113.0.203.in-addr.arpa. Ved IPv6 heter endelsen ip6.arpa. Adressen snus da tegn for tegn. Svaret er et maskinnavn, for eksempel mail.beispiel-firma.example.

Viktig: En PTR-oppføring er frivillig. Det finnes adresser uten oppføring. Oppføringen trenger ikke stemme med oppføringen i foroverretningen. Den er et holdepunkt, ikke et bevis.

Hvem som setter den

PTR-oppføringen vedlikeholdes av den som forvalter adresseblokken:

• Leverandører setter for kundetilknytningene sine som regel automatisk genererte samlenavn.
• Bedrifter med egen adresseblokk vedlikeholder oppføringene selv og skriver ofte inn sitt eget domene.
• Forretningstilknytninger får hos noen leverandører på ønske en oppføring med kundens domene. Det skjer først og fremst ved e-postservere, fordi mange mottakere avviser e-post fra adresser uten passende maskinnavn.

Av dette følger: En oppføring med eget domene er et tegn på at noen bevisst har tatt seg av adressen. Et automatisk generert navn sier bare noe om leverandøren.

Kjenn igjen mønstre: samlenavn eller eget domene

Maskinnavnet består av to deler: forleddet (mail, pool-1-2-3-4) og det registrerbare domenet på slutten (beispiel-firma.example). Domenet røper driveren for deg, forleddet røper om navnet ble gitt for hånd eller automatisk.

Typiske tegn på et samlenavn som ikke røper noen bedrift:

• Deler av adressen står i navnet: 203-0-113-25.provider.example eller 25.113.0.203.provider.example
• Ord som dyn, dynamic, dial, pool, dsl, adsl, cable, cust, customer, mobile, lte, static, nat, cgn, client
• et domene som synlig tilhører en leverandør, en hoster eller et datasenter

Typiske tegn på et brukbart navn:

• et talende forledd som mail, gw, fw, vpn, proxy eller smtp
• ingen adressedeler i navnet
• et domene som synlig hører til en virksomhet og ikke til leverandøren

Tabellen viser også en felle: Kommer domenet fra leverandøren eller hosteren, hjelper navnet deg ikke, selv om det ser pent ut. En brukbar analyse trenger derfor en liste over kjente leverandør- og hoster-domener som utelukkes.

Fra domene til bedrift

Et domene er ennå ikke en bedrift. Den vanlige veien til bedriften går via nettsiden bak domenet:

1. Bestem det registrerbare domenet. Av mail.beispiel-firma.example blir beispiel-firma.example. Ved endelser som co.uk teller tre deler.
2. Åpne impressum (opplysningene om driveren). I Tyskland, Østerrike og Sveits må næringsdrivende nettsider oppgi driveren, som regel med selskapsform (GmbH, AG, KG og så videre).
3. Les ut det rettslige navnet og kontroller at det hører til en juridisk person og ikke til en privatperson.

Tekstsøket har grenser. Impressum er ikke bygd opp ensartet, noen sider laster inn innhold først via skript. Av og til står det et byrå eller et morselskap i impressum. En automatisk kobling forblir derfor et forslag som et menneske ved tvil kontrollerer. Alternativt leverer bedriftsdatabaser bedriftsnavnet til et domene, også det er aldri fullstendig.

Prøv selv

Du trenger ingen spesialprogramvare. Under macOS og Linux finnes dig, under Windows nslookup. Eksemplene bruker 203.0.113.25, en adresse fra området for dokumentasjon (RFC 5737). Den tilhører ingen og har derfor ingen ekte oppføring. Sett for egne forsøk inn adressen til din egen tilknytning eller server.

# Omvendt oppslag, bare svaret
dig -x 203.0.113.25 +short

# Utførlig, med det snudde oppslaget
dig -x 203.0.113.25

# Windows, macOS og Linux
nslookup 203.0.113.25

Slik leser du utdataene:

• Ved +short står det i svaret bare maskinnavnet, for eksempel mail.beispiel-firma.example. (punktumet på slutten er med vilje). Kommer det ingenting tilbake, finnes det ingen oppføring.
• Uten +short viser dig i avsnittet QUESTION det snudde oppslaget med in-addr.arpa. I avsnittet ANSWER står linjen med PTR og navnet.
• Statusen NXDOMAIN betyr: For denne adressen finnes det ingen oppføring. SERVFAIL eller en tidsavbrytelse betyr: Den ansvarlige navneserveren svarer ikke.
• nslookup viser name = etterfulgt av maskinnavnet, eller meldingen om at navnet ikke ble funnet.

Som motprøve slår du opp navnet i foroverretningen (dig beispiel-firma.example +short). Peker navnet tilbake på samme adresse, er oppføringen mer troverdig. Stemmer ikke frem- og tilbakeretningen overens, er forsiktighet på sin plass.

Metodens grenser

• Utdaterte oppføringer. Adresser skifter eier, oppføringer blir stående. Et navn som var riktig for år siden, kan i dag føre til en annen bedrift eller ingen lenger.
• E-postservere hos tjenesteytere. Mange bedrifter sender e-post via en hoster eller et markedsføringsverktøy. Maskinnavnet peker da på tjenesteyteren, ikke på bedriften.
• Delte adresser. Bak en adresse med bedriftsnavn kan det sitte flere leietakere i en kontorbygning eller et coworking-space. Navnet tilhører da utleieren.
• Tidsgrenser. DNS-oppslag kan henge. Den som analyserer dem i bakgrunnen, må gi opp etter kort tid og kan ikke tvinge frem svaret.
• Hjemmekontor og mobilnett. Her finnes det nesten alltid bare samlenavn. Hvorfor det er slik, står i Hjemmekontor, VPN og mobilnett: hvem du ikke ser.

Hvordan PTR, nettkatalog og analyse sammen gir en besøkergjenkjenning, viser oversikten Hvordan fungerer bedriftsgjenkjenning? Teknikken i 6 trinn. Der står det også hvorfor treffene svinger sterkt etter målgruppe.

Et eksempel fra praksis: Whovisit bruker det omvendte oppslaget bare for adresser fra leverandørnett, kaster samlenavn og kjente leverandør-domener, venter høyst to sekunder på svaret og husker bare koblingen fra domene til bedrift, aldri IP-adressen. Hvilke besøksklasser som finnes og hva de betyr, står i hjelpen under Besøksklasser: bedrift, internettleverandør, datasenter.

Kort oppsummert

En PTR-oppføring er et frivillig holdepunkt om maskinnavnet bak en adresse. Verdifull blir den når navnet inneholder et eget bedriftsdomene og ikke viser leverandørmønstre. Fra domenet til bedriften fører som regel impressum. Hver kobling forblir en antagelse med feilrate. Ingen oppføring er bedre enn en gal.