Rekord PTR: jak z nazwy komputera powstaje firma

Kto chce wiedzieć, do kogo należy adres IP, zagląda zwykle do katalogu sieci, a w przypadku adresów europejskich do bazy RIPE. Jest druga droga, często pomijana: wyszukiwanie wsteczne w DNS. Nie pyta się wtedy „Do kogo należy sieć?”, lecz „Jak nazywa się komputer za tym adresem?”. Jeśli w nazwie występuje domena firmy, mają Państwo użyteczną wskazówkę.

Artykuł wyjaśnia, czym jest rekord PTR (wpis PTR), kto go ustawia, po czym odróżnić wpisy użyteczne od bezwartościowych i gdzie metoda napotyka granice. Drogę przez katalog sieci opisuje artykuł Reverse IP lookup w prostych słowach.

Czym jest wpis PTR

DNS zna dwa kierunki. Zwykle pyta się o nazwę i dostaje adres (wpis A lub AAAA). Wpis PTR (po angielsku pointer record) to kierunek przeciwny: dla adresu zwraca nazwę.

Technicznie adres jest w tym celu odwracany i opatrywany specjalnym zakończeniem. Z 203.0.113.25 powstaje zapytanie 25.113.0.203.in-addr.arpa. W IPv6 zakończenie brzmi ip6.arpa. Adres jest przy tym odwracany znak po znaku. Odpowiedzią jest nazwa komputera, na przykład mail.beispiel-firma.example.

Ważne: wpis PTR jest dobrowolny. Są adresy bez wpisu. Wpis nie musi zgadzać się z wpisem w przód. To wskazówka, a nie dowód.

Kto go ustawia

Wpis PTR prowadzi ten, kto zarządza blokiem adresów:

• Dostawcy ustawiają dla łączy klientów zwykle automatycznie generowane nazwy zbiorcze.
• Firmy z własnym blokiem adresów prowadzą wpisy same i często wpisują własną domenę.
• Łącza biznesowe otrzymują u niektórych dostawców na życzenie wpis z domeną klienta. Dzieje się tak głównie przy serwerach pocztowych, ponieważ wielu odbiorców odrzuca maile z adresów bez pasującej nazwy komputera.

Z tego wynika: wpis z własną domeną jest znakiem, że ktoś świadomie zajął się adresem. Automatycznie wygenerowana nazwa mówi tylko coś o dostawcy.

Rozpoznawanie wzorców: nazwa zbiorcza czy własna domena

Nazwa komputera składa się z dwóch części: przodu (mail, pool-1-2-3-4) i rejestrowalnej domeny na końcu (beispiel-firma.example). Domena zdradza operatora, przód zdradza, czy nazwę nadano ręcznie, czy automatycznie.

Typowe oznaki nazwy zbiorczej, która nie zdradza firmy:

• części adresu występują w nazwie: 203-0-113-25.provider.example lub 25.113.0.203.provider.example
• słowa takie jak dyn, dynamic, dial, pool, dsl, adsl, cable, cust, customer, mobile, lte, static, nat, cgn, client
• domena, która wyraźnie należy do dostawcy, hostingodawcy lub centrum danych

Typowe oznaki nazwy użytecznej:

• mówiący przód, taki jak mail, gw, fw, vpn, proxy lub smtp
• brak części adresu w nazwie
• domena, która wyraźnie należy do przedsiębiorstwa, a nie do dostawcy

Tabela pokazuje też pułapkę: jeśli domena pochodzi od dostawcy lub hostingodawcy, nazwa nic nie daje, nawet jeśli wygląda ładnie. Użyteczna analiza potrzebuje więc listy znanych domen dostawców i hostingodawców, które są wykluczane.

Od domeny do firmy

Domena nie jest jeszcze firmą. Zwykła droga do firmy prowadzi przez stronę internetową za domeną:

1. Ustalić rejestrowalną domenę. Z mail.beispiel-firma.example powstaje beispiel-firma.example. Przy zakończeniach takich jak co.uk liczą się trzy części.
2. Otworzyć impressum. W Niemczech, Austrii i Szwajcarii strony prowadzone zawodowo muszą podawać operatora, zwykle z formą prawną (GmbH, AG, KG i tak dalej).
3. Odczytać nazwę prawną i sprawdzić, czy należy do osoby prawnej, a nie do osoby prywatnej.

Wyszukiwanie tekstu ma granice. Impressa nie są zbudowane jednolicie, niektóre strony doładowują treści dopiero skryptem. Czasem w impressum figuruje agencja lub koncern macierzysty. Automatyczne przypisanie pozostaje więc propozycją, którą w razie wątpliwości sprawdza człowiek. Alternatywnie bazy danych o firmach podają dla domeny nazwę firmy, ale i to nigdy nie jest kompletne.

Samodzielna próba

Nie potrzebują Państwo specjalnego oprogramowania. W macOS i Linuksie jest dig, w Windows nslookup. Przykłady używają 203.0.113.25, adresu z zakresu przeznaczonego na dokumentację (RFC 5737). Nie należy do nikogo i dlatego nie ma prawdziwego wpisu. Do własnych prób należy wstawić adres własnego łącza lub serwera.

# Wyszukiwanie wsteczne, tylko odpowiedź
dig -x 203.0.113.25 +short

# Szczegółowo, z odwróconym zapytaniem
dig -x 203.0.113.25

# Windows, macOS i Linux
nslookup 203.0.113.25

Tak czyta się wynik:

• Przy +short w odpowiedzi znajduje się tylko nazwa komputera, na przykład mail.beispiel-firma.example. (kropka na końcu jest zamierzona). Jeśli nic nie wraca, nie ma wpisu.
• Bez +short dig pokazuje w sekcji QUESTION odwrócone zapytanie z in-addr.arpa. W sekcji ANSWER znajduje się wiersz z PTR i nazwą.
• Status NXDOMAIN oznacza: dla tego adresu nie ma wpisu. SERVFAIL lub przekroczenie czasu oznacza: właściwy serwer nazw nie odpowiada.
• nslookup pokazuje name = i nazwę komputera lub komunikat, że nazwy nie znaleziono.

Jako próbę odwrotną należy zapytać o nazwę w przód (dig beispiel-firma.example +short). Jeśli nazwa znów wskazuje ten sam adres, wpis jest wiarygodniejszy. Jeśli kierunek tam i z powrotem się nie zgadza, wskazana jest ostrożność.

Granice metody

• Przestarzałe wpisy. Adresy zmieniają właściciela, wpisy zostają. Nazwa, która przed laty była prawidłowa, może dziś prowadzić do innej firmy lub do żadnej.
• Serwery pocztowe usługodawców. Wiele firm wysyła maile przez hostingodawcę lub narzędzie marketingowe. Nazwa komputera wskazuje wtedy na usługodawcę, a nie na firmę.
• Wspólnie używane adresy. Za adresem z nazwą firmy może siedzieć kilku najemców budynku biurowego lub coworkingu. Nazwa należy wtedy do wynajmującego.
• Limity czasu. Zapytania DNS mogą się zawieszać. Kto analizuje je w tle, musi po krótkim czasie zrezygnować i nie może wymuszać odpowiedzi.
• Home office i sieć komórkowa. Tu prawie zawsze są tylko nazwy zbiorcze. Dlaczego tak jest, opisuje artykuł Home office, VPN i sieć komórkowa: kogo Państwo nie zobaczą.

Jak PTR, katalog sieci i analiza razem tworzą rozpoznawanie odwiedzających, pokazuje przegląd Jak działa rozpoznawanie firm? Technika w 6 krokach. Znajduje się tam także wyjaśnienie, dlaczego trafienia mocno się wahają w zależności od grupy docelowej.

Przykład z praktyki: Whovisit używa wyszukiwania wstecznego tylko dla adresów z sieci dostawców, odrzuca nazwy zbiorcze i znane domeny dostawców, czeka na odpowiedź co najwyżej dwie sekundy i zapamiętuje tylko przypisanie domeny do firmy, nigdy adresu IP. Jakie są klasy odwiedzających i co oznaczają, opisuje pomoc w części Klasy odwiedzających: firma, dostawca internetu, centrum danych.

W skrócie

Wpis PTR to dobrowolna wskazówka o nazwie komputera za adresem. Wartościowy staje się wtedy, gdy nazwa zawiera własną domenę firmy i nie wykazuje wzorców dostawcy. Od domeny do firmy prowadzi zwykle impressum. Każde przypisanie pozostaje przypuszczeniem z marginesem błędu. Brak wpisu jest lepszy niż błędny.