DNS・名前解決 / DNS
PTRレコードとは
Pointer record。IPアドレスからホスト名を引くためのDNSレコードです。逆引きとも呼ばれます。
用語集内のカードを見るこの記事で学べること
PTRレコードを、定義だけで終わらせず、現場で出てくる場面、確認材料、見落としやすい点、関連語とのつながりまで順に確認できます。
- PTRレコードを読むときの前提
- 管理元と委任を確認する
- 正引きとメール送信元を突合する
- ログ調査で使う
- 変更証跡と引き継ぎ
実務メモ
逆引きは正引きDNSではなくIP管理元を確認する
どこで効くか
PTRレコードはメール送信元IP、公開IPのログ調査、クラウド移行、ISP回線変更で効きます。逆引きはドメイン側DNSではなく、IPを持つ事業者やクラウド側で管理されることが多いです。
残す証跡
証跡には対象IP、PTR回答、PTR名の正引き結果、管理元、問い合わせ先DNS、TTL、申請チケット、送信元サービス、テストメールのReceivedと確認時刻を残します。
避けたい誤解
正引きAレコードを変えてもPTRは自動で変わりません。PTRが合っていてもSPF/DKIM/DMARCが失敗すれば、メール送信評価の問題は残ります。
まず確認すること
- 逆引き管理元を確認する
- PTR名の正引きが対象IPへ戻るか見る
- メール送信元はHELOと認証結果も確認する
PTRレコードを読むときの前提
PTRレコード（Pointer record）は、IPアドレスからホスト名を引くためのDNSレコードです。逆引きとも呼ばれ、正引きのA/AAAAとは管理場所や委任元が異なることがあります。
実務では、公開IP、逆引きゾーン、ISP/クラウド事業者の管理画面、正引きとの整合、メール送信元IP、HELO名、ログ上の接続元、旧PTR残存を合わせて確認します。
証跡には、対象IP、PTR回答、正引き回答、管理元、問い合わせ先DNS、TTL、送信元サービス、確認時刻を残します。
管理元と委任を確認する
PTRは、ドメインの権威DNSではなくIPアドレスを持つ事業者側で管理することが多いです。クラウド、ISP、データセンター、社内IPAMで申請先が変わります。
正引きのDNSを変更してもPTRは自動では変わりません。メール送信元IPや公開サービスのIPを変更したときは、逆引きの管理元を確認します。
- 対象IPの逆引き管理元を確認する。
- PTR変更の申請経路と反映時間を記録する。
- 正引き変更とPTR変更を混同しない。
正引きとメール送信元を突合する
メール配送では、送信元IPのPTR、HELO名、正引き、SPF、MTA設定が受信側評価に関係します。PTRがない、汎用名のまま、正引きと合わない場合、評価が下がることがあります。
ただし、PTRが合っていてもDKIMやDMARCが失敗していれば、なりすまし対策として十分とは言えません。PTRは送信評価の一部として扱います。
- 送信元IPのPTRとHELO名を確認する。
- PTR名のA/AAAAが送信元IPへ戻るか見る。
- SPF/DKIM/DMARCの結果と合わせて判断する。
ログ調査で使う
FW、Proxy、メール、EDR、クラウドログでは、IPだけでなく逆引き名が表示されることがあります。PTRは調査の手掛かりになりますが、所有者を保証するものではありません。
攻撃者や外部サービスのIPでもPTR名が設定されていることがあります。調査では、WHOIS、クラウド事業者情報、正引き、証明書、通信内容を合わせて見ます。
- ログ上の逆引き名を鵜呑みにしない。
- IP所有者とPTR名を別々に確認する。
- 変更前後のログ表示差を記録する。
変更証跡と引き継ぎ
PTR変更では、旧PTR、新PTR、対象IP、正引き、管理元、申請チケット、反映確認、戻し条件を残します。メール送信元IPでは、変更後にテストメールのReceivedとAuthentication-Resultsも確認します。
引き継ぎでは、DNS管理者、ネットワーク管理者、クラウド管理者、メール基盤管理者、関連語としてAレコード、AAAAレコード、HELO、MTA、SPFを残すと追いやすくなります。
- PTRと正引きの両方を証跡化する。
- 管理元と申請手順を残す。
- メール送信元はテストメールで確認する。
関連語
同じ主要カテゴリの用語
DNS・名前解決の学習順
同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。