Constructeur de nom PTR inverse (IPv4)

L'outil Reverse PTR Name Builder pour IPv4 convertit les adresses IPv4 en leurs noms DNS inverses in-addr.arpa correspondants, utilises pour les enregistrements PTR. Saisissez une adresse comme 192.168.1.100 et l'outil retourne 100.1.168.192.in-addr.arpa. Il gere egalement les entrees en masse, convertissant des listes d'adresses IP pour la preparation de fichiers de zone en lot.

Comprendre le DNS inverse et les enregistrements PTR

Le DNS inverse est le mecanisme qui associe les adresses IP aux noms d'hotes. Alors que le DNS direct repond a la question « quelle est l'adresse IP de mail.example.com ? », le DNS inverse repond a la question opposee : « quel hostname est associe a 192.168.1.100 ? ». Cette correspondance est stockee dans des enregistrements PTR (pointer) sous le domaine special in-addr.arpa, et elle est utilisee partout en reseau pour la journalisation, la verification de securite et la delivrabilite des e-mails.

La raison pour laquelle le DNS inverse utilise un format special plutot que de simplement chercher l'IP directement est que le DNS resout les noms de maniere hierarchique de droite a gauche. Pour le DNS direct, mail.example.com est resolu en interrogeant d'abord les serveurs de noms com, puis example.com, puis mail.example.com. Pour que la delegation d'adresses IP fonctionne de la meme maniere, les octets de l'adresse doivent etre inverses. L'IP 192.168.1.100 devient 100.1.168.192.in-addr.arpa, ce qui permet a la delegation DNS de suivre le meme schema descendant : la zone 192.in-addr.arpa est deleguee au proprietaire du bloc 192.0.0.0/8, qui peut ensuite deleguer 168.192.in-addr.arpa au proprietaire de 192.168.0.0/16, et ainsi de suite jusqu'aux zones /24 individuelles.

Cette inversion est assez simple en theorie mais sujette aux erreurs en pratique. Transposer des octets a la main est une source fiable de fautes de frappe, surtout lorsqu'on travaille avec des dizaines d'adresses dans un fichier de zone. Cet outil elimine ce risque en calculant automatiquement le nom in-addr.arpa correct, y compris les limites de delegation de zone pour les blocs CIDR.

Comment construire un nom PTR inverse IPv4

1. Saisissez une ou plusieurs adresses IPv4 (ex. 192.168.1.100)
2. L'outil inverse l'ordre des octets et ajoute .in-addr.arpa
3. Consultez le nom PTR genere, pret a etre utilise dans les fichiers de zone DNS
4. Pour les entrees en masse, toutes les adresses sont converties simultanement avec les resultats listes ligne par ligne

Exemples de noms DNS inverses IPv4

Exemples de delegation de zones DNS inversees

Quand utiliser le constructeur de noms PTR IPv4

• Configuration de zones DNS inversees dans BIND, PowerDNS ou d'autres serveurs DNS faisant autorite
• Configuration de serveur de messagerie -- les serveurs de messagerie verifient les enregistrements PTR pour valider la legitimite de l'IP de l'expediteur ; des noms PTR incorrects entrainent des echecs de livraison
• Preparation d'entrees de fichiers de zone pour la creation en masse d'enregistrements PTR sur un bloc reseau /24 ou plus grand
• Depannage de resolutions inversees en confirmant le nom in-addr.arpa correct avant d'executer dig -x ou nslookup
• Demandes de delegation aupres du FAI -- fournir le nom de zone correct lors d'une demande de delegation DNS inversee a votre fournisseur amont
• Audit et documentation -- generer le nom inverse pour chaque IP de votre allocation a des fins de documentation d'infrastructure

Fonctionnement du DNS inverse IPv4

Le DNS inverse associe les adresses IP aux noms d'hotes en utilisant le domaine in-addr.arpa. Le systeme exploite la hierarchie DNS elle-meme en inversant l'ordre des octets de l'adresse IP afin que la delegation suive le meme schema descendant que le DNS direct.

Pourquoi les octets sont inverses

Le DNS resout les noms de droite a gauche dans la hierarchie. Pour le DNS direct, mail.example.com est resolu en interrogeant les serveurs com, puis example.com, puis mail.example.com. Pour que la delegation d'adresses IP fonctionne de la meme maniere, les octets doivent etre inverses :

• L'IP 192.168.1.100 appartient au bloc 192.0.0.0/8
• La zone inversee de ce bloc est 192.in-addr.arpa
• La zone /16 192.168.0.0/16 correspond a 168.192.in-addr.arpa
• La zone /24 192.168.1.0/24 correspond a 1.168.192.in-addr.arpa
• L'enregistrement PTR de l'hote individuel est 100.1.168.192.in-addr.arpa

Enregistrements PTR dans les fichiers de zone

Un enregistrement PTR dans le fichier de zone 1.168.192.in-addr.arpa ressemble a ceci :

100   IN  PTR  mail.example.com.

Le 100 est relatif a la zone (representant le dernier octet), et le nom d'hote cible doit se terminer par un point pour indiquer qu'il est pleinement qualifie.

Delegation inversee classless (RFC 2317)

Pour les allocations inferieures a un /24, comme un /28 ou /29, la delegation standard aux limites d'octets ne s'applique pas. La RFC 2317 definit une solution de contournement utilisant des enregistrements CNAME pour deleguer des portions d'une zone /24. Le constructeur de noms PTR gere ces cas en affichant a la fois le nom in-addr.arpa standard et le format de delegation approprie.

Le DNS inverse en pratique

La raison la plus importante de configurer correctement le DNS inverse est la messagerie. Lorsque votre serveur de messagerie se connecte a un autre serveur pour delivrer un message, le serveur destinataire effectue presque toujours une resolution DNS inversee sur votre adresse IP. S'il n'y a pas d'enregistrement PTR, ou si l'enregistrement PTR pointe vers un hostname qui ne resout pas vers votre IP (une verification forward-confirmed reverse DNS, ou FCrDNS), votre message sera probablement rejete ou envoye dans les spams. Chaque serveur de messagerie legitime a besoin d'un enregistrement PTR qui correspond a son DNS direct, et cet outil vous aide a construire le nom in-addr.arpa correct pour cet enregistrement.

Au-dela de la messagerie, le DNS inverse apparait dans les logs de securite, les systemes de detection d'intrusion et les tableaux de bord de supervision reseau. Lorsque vous voyez une adresse IP dans un log, avoir un hostname a cote rend l'investigation beaucoup plus rapide. Le DNS inverse joue egalement un role dans le controle d'acces : certains services autorisent ou refusent l'acces selon que l'IP de connexion possede ou non un enregistrement PTR valide. Bien que ce ne soit pas une mesure de securite forte en soi, cela fait partie de l'hygiene de base attendue des reseaux bien geres.

Lorsque vous demandez la delegation DNS inversee a votre FAI, vous devez fournir le nom de zone exact. Pour une allocation /24, c'est simple : 1.168.192.in-addr.arpa pour le bloc 192.168.1.0/24. Pour les allocations plus petites, le FAI gere generalement la zone et cree les enregistrements PTR individuels en votre nom, ou utilise le schema de delegation CNAME de la RFC 2317 pour vous donner le controle sur votre portion de la zone.

Questions frequentes

Pourquoi les serveurs de messagerie exigent-ils des enregistrements PTR ?

De nombreux serveurs de messagerie effectuent une verification DNS inversee sur les adresses IP entrantes comme mesure anti-spam. Si une IP n'a pas d'enregistrement PTR, ou si le nom d'hote PTR ne resout pas vers cette meme IP (verification forward-confirmed reverse DNS), le serveur destinataire peut rejeter ou mettre en quarantaine le message. La mise en place d'enregistrements PTR corrects est l'une des exigences fondamentales pour la delivrabilite des e-mails.

Peut-on creer des enregistrements PTR pour des adresses que l'on ne possede pas ?

Non. Les enregistrements PTR doivent etre crees dans la zone DNS inversee deleguee au proprietaire du bloc d'adresses IP. Si vous disposez d'une allocation /24 de votre FAI, celui-ci peut deleguer la zone inversee a vos serveurs de noms. Pour les allocations plus petites, vous devez generalement demander au FAI de creer les enregistrements PTR en votre nom.

Quelle est la difference entre dig -x et l'interrogation manuelle du nom PTR ?

La commande dig -x 192.168.1.100 est un raccourci qui construit automatiquement la requete pour 100.1.168.192.in-addr.arpa avec le type PTR. Le resultat est identique a l'execution manuelle de dig PTR 100.1.168.192.in-addr.arpa.

Le hostname de l'enregistrement PTR doit-il correspondre a l'enregistrement A du DNS direct ?

Oui. La bonne pratique est de s'assurer que l'enregistrement PTR d'une adresse IP pointe vers un hostname qui possede un enregistrement A resolvant vers cette meme IP. Ce DNS inverse confirme en direct (FCrDNS) est verifie par de nombreux serveurs de messagerie et outils de securite. Une incoherence ou une chaine brisee cause des problemes de delivrabilite et peut declencher des alertes de securite.

Comment configurer le DNS inverse pour un serveur heberge dans le cloud ?

Les fournisseurs cloud comme AWS, Azure et GCP proposent des mecanismes pour configurer les enregistrements PTR de vos instances. Chez AWS, vous soumettez un formulaire de demande pour associer un enregistrement PTR a une Elastic IP. Chez Azure et GCP, les enregistrements PTR peuvent etre configures via les parametres DNS ou d'interface reseau de la plateforme. Le processus exact varie selon le fournisseur, mais vous devez toujours connaitre le nom in-addr.arpa correct pour votre IP.

Outils associes

• Reverse PTR Name Builder (IPv6) - Construire des noms PTR ip6.arpa a partir d'adresses IPv6
• BIND Zone A/AAAA Generator - Generer des enregistrements A et AAAA de zone BIND a partir de CSV
• Hostname Validator - Valider les noms d'hotes selon la norme RFC 1123
• FQDN Validator - Valider les noms de domaine pleinement qualifies
• Zone File Linter - Verifier les fichiers de zone pour les erreurs de syntaxe et les doublons