Trả lời nhanh: Năm nhóm bản ghi: một MX nhận thư, hai CNAME cho ứng dụng tự dò cấu hình, một TXT cho SPF, các bản ghi cho Teams, và bản ghi TXT cho DKIM. Trong đó chỉ MX là bản ghi cắt luồng thư, những cái còn lại trỏ trước đều an toàn.
Trang quản trị Microsoft 365 đưa ra một danh sách bản ghi và nhiều người trỏ hết một lượt rồi mất thư. Bài này giải thích từng bản ghi làm gì và cái nào an toàn để trỏ trước.
- Chỉ bản ghi MX là bản ghi cắt luồng thư, mọi cái khác trỏ trước đều an toàn.
- Hai CNAME giúp Outlook và điện thoại tự tìm ra máy chủ.
- Một tên miền chỉ được có đúng một bản ghi SPF, phải gộp chứ không thêm.
- DKIM không tự bật, phải cấu hình riêng sau khi thêm tên miền.
- Đặt DMARC ở chế độ chỉ theo dõi trước, đừng chặn ngay.
- Giá trị MX riêng cho từng tên miền, không phải một giá trị chung.
- Hạ thời gian sống của bản ghi trước một ngày để đổi nhanh và quay lui nhanh.
Bản ghi MX, cái duy nhất cắt luồng thư
Bản ghi MX nói cho cả thế giới biết thư gửi tới tên miền của bạn phải đi đâu. Đây là bản ghi quan trọng nhất và cũng là bản ghi duy nhất trong danh sách gây gián đoạn.
Ba quy tắc:
- Chỉ để đúng một bản ghi MX trỏ về Microsoft. Xóa hết bản ghi MX của hệ thống cũ. Để lẫn hai hệ thống là thư chia đôi ngẫu nhiên, và đây là tình huống khó gỡ nhất.
- Giá trị lấy đúng từ trang quản trị, vì nó riêng cho từng tên miền chứ không phải một giá trị chung.
- Trỏ sau cùng, khi đã tạo đủ hộp thư cho mọi người.
Nên đổi vào cuối ngày hoặc cuối tuần, và nên hạ thời gian sống của bản ghi xuống mức thấp từ hôm trước để đổi có hiệu lực nhanh và quay lui được nhanh.
Hai bản ghi CNAME cho tự dò cấu hình
Đây là hai bản ghi khiến trải nghiệm người dùng khác hẳn, dù nhiều người bỏ qua vì không hiểu chúng làm gì.
Bản ghi tự dò cấu hình. Khi nhân viên mở Outlook và gõ địa chỉ email công ty, ứng dụng sẽ hỏi DNS xem máy chủ thư nằm ở đâu. Có bản ghi này thì nó tự tìm ra và cấu hình xong trong vài giây. Không có thì người dùng phải nhập tay các thông số máy chủ, và phần lớn nhân viên không làm nổi việc đó.
Bản ghi cho dịch vụ doanh nghiệp, phục vụ các dịch vụ đi kèm.
Cả hai đều an toàn tuyệt đối để trỏ trước khi đổi MX, vì chúng chỉ giúp ứng dụng tìm đường chứ không định tuyến thư. Nên trỏ ngay sau khi xác minh tên miền.
Một lưu ý: nếu tên miền của bạn đang có bản ghi tự dò cấu hình trỏ về hệ thống email cũ, phải sửa chứ không thêm cái thứ hai, vì hai bản ghi cùng tên là xung đột.
SPF, chỉ được có một
SPF là bản ghi TXT liệt kê những máy chủ được phép gửi thư nhân danh tên miền của bạn. Máy chủ nhận dùng nó để lọc thư giả mạo.
Quy tắc quan trọng nhất: một tên miền chỉ được có đúng một bản ghi SPF. Có hai cái là cả hai đều hỏng, và hậu quả là thư của bạn bị đánh dấu đáng ngờ.
Nghĩa là nếu tên miền đang có SPF cho hệ thống cũ, hoặc cho công cụ gửi thư quảng cáo, hoặc cho phần mềm bán hàng gửi thông báo, bạn phải gộp phần của Microsoft vào bản ghi đang có, chứ không thêm bản ghi mới.
Hai điểm nữa:
- Giới hạn mười lượt tra cứu. Mỗi phần tham chiếu tới một dịch vụ khác tính một lượt. Vượt mười là bản ghi hỏng. Doanh nghiệp dùng nhiều dịch vụ gửi thư hay chạm giới hạn này mà không biết.
- Kết thúc bằng chế độ mềm hay cứng. Chế độ mềm chỉ đánh dấu đáng ngờ, chế độ cứng là từ chối thẳng. Nên bắt đầu bằng chế độ mềm, chuyển sang cứng sau khi chắc chắn đã liệt kê đủ mọi nguồn gửi.
Trỏ SPF trước khi đổi MX là an toàn và nên làm.
DKIM và DMARC, hai thứ hay bị quên
Bước thêm tên miền không tự bật hai thứ này, và thiếu chúng là thư của công ty bạn dễ vào thư rác của người nhận, đặc biệt khi gửi tới Gmail.
DKIM ký số vào từng thư gửi đi để người nhận biết thư không bị sửa dọc đường. Bạn thêm hai bản ghi CNAME lấy từ trang quản trị Exchange, rồi vào đó bật DKIM cho tên miền. Thêm bản ghi mà quên bật là chưa có tác dụng, đây là lỗi rất phổ biến.
DMARC nói cho máy chủ nhận biết phải làm gì khi thư không qua được SPF hoặc DKIM, và gửi báo cáo về cho bạn. Đây là bản ghi TXT bạn tự soạn.
Cách làm đúng với DMARC là đi ba nấc, mỗi nấc cách nhau vài tuần:
- Chế độ chỉ theo dõi. Không chặn gì, chỉ nhận báo cáo. Đọc báo cáo để phát hiện các nguồn gửi thư hợp lệ mà bạn quên khai.
- Chế độ cách ly, đẩy thư không đạt vào thư rác.
- Chế độ từ chối, chặn thẳng.
Nhảy thẳng vào chế độ từ chối là cách nhanh nhất để chặn nhầm thư hợp lệ của chính công ty mình.
Thứ tự an toàn và cách kiểm lại
Gom lại thành một trình tự bạn làm theo được.
Làm sớm, không rủi ro:
- Bản ghi TXT xác minh tên miền.
- Hai bản ghi CNAME tự dò cấu hình.
- Bản ghi SPF, nhớ gộp chứ không thêm.
- Các bản ghi cho Teams nếu công ty sẽ dùng.
- Hai bản ghi CNAME cho DKIM, rồi bật DKIM trong trang quản trị Exchange.
Làm sau cùng, đây là bước cắt: đổi bản ghi MX.
Làm sau khi ổn định vài tuần: thêm DMARC ở chế độ theo dõi, rồi siết dần.
Cách kiểm lại: trang quản trị Microsoft 365 có mục kiểm tra tình trạng tên miền, nó báo bản ghi nào thiếu hoặc sai. Ngoài ra có nhiều công cụ trực tuyến miễn phí cho phép tra cứu bản ghi thật đang công bố, dùng chúng để xác nhận thay vì tin vào giao diện quản lý DNS.
Lấy giá trị ở đâu và ai được làm
Đường vào chính thức, theo tài liệu Microsoft: trang quản trị Microsoft 365, chọn Settings (Cài đặt), Domains (Miền), bấm vào tên miền, thẻ DNS records, rồi Manage DNS. Mọi giá trị MX, CNAME, DKIM hiện ở đó và riêng cho tên miền của bạn. Cần vai trò Global Administrator hoặc Domain Name Administrator để thêm tên miền.
Ba giá trị cố định bạn có thể ghi nhớ, còn lại phải chép từ trang quản trị:
- SPF: bản ghi TXT tại
@, giá trịv=spf1 include:spf.protection.outlook.com -all. Đã có SPF thì gộp phầninclude:spf.protection.outlook.comvào bản ghi đang có, Microsoft nói rõ chỉ được một bản ghi. - Tự dò cấu hình: CNAME tại
autodiscover, giá trị chép từ trang quản trị. - DKIM: hai CNAME tại
selector1._domainkeyvàselector2._domainkey, giá trị chép từ trang quản trị hoặc từ Exchange admin center.
TTL đặt 3600. Riêng bản ghi MX, Exchange Online chỉ chấp nhận TTL dưới 6 giờ (21600 giây). Ưu tiên MX đặt số nhỏ nhất, thường là 0.
Bốn chỗ hay vướng ở nhà đăng ký tên miền Việt Nam
- Không có Domain Connect. Microsoft có cơ chế tự thêm bản ghi với nhà đăng ký hỗ trợ Domain Connect (GoDaddy, Cloudflare, Namecheap có trong danh sách). Phần lớn nhà đăng ký Việt Nam như Mắt Bão, PA Việt Nam, iNET, Nhân Hòa, Tenten chưa hỗ trợ, bạn làm tay. Nếu DNS đang đặt tại Cloudflare thì dùng được đường tự động.
- Tên mục quản lý DNS khác nhau. Microsoft lưu ý tên có thể là Zone File Settings, Manage Domains, Domain Manager hay DNS Manager. Ở nhà đăng ký Việt Nam thường là "Quản lý DNS" hoặc "Bản ghi DNS" trong trang quản lý tên miền.
- Ô Host không nhận ký hiệu a còng. Một số panel bắt để trống hoặc điền đúng tên miền thay cho
@. Với bản ghi SRV của Teams, nếu panel không có ô Service và Protocol riêng, ghi_sipfederationtls._tcpvào ô Host; nếu không có ô Priority, Weight, Port thì ghi cả chuỗi100 1 5061 sipfed.online.lync.comvào ô Target, có panel còn bắt thêm dấu chấm cuối. Đây là hướng dẫn xử lý chính thức của Microsoft cho các panel hạn chế. - Giá trị CNAME bị panel tự thêm tên miền. Vài panel tự nối tên miền vào sau giá trị, thành
autodiscover.outlook.com.congty.vn. Kiểm lại bằng lệnh ở mục dưới, thấy đuôi thừa thì thêm dấu chấm cuối giá trị hoặc bỏ dấu chấm tùy panel.
Kiểm tra từng bản ghi đã sống chưa
Đừng tin giao diện panel, tra bản ghi thật đang công bố. Trên Windows mở Command Prompt, trên macOS và Linux mở Terminal:
- MX:
nslookup -type=mx congty.vn. Đúng khi chỉ thấy một dòng trỏ về đuôimail.protection.outlook.com. - SPF:
nslookup -type=txt congty.vn. Đúng khi có đúng một dòng bắt đầu bằngv=spf1và trong đó cóspf.protection.outlook.com. - Tự dò:
nslookup -type=cname autodiscover.congty.vn. - DKIM:
nslookup -type=cname selector1._domainkey.congty.vn, rồi trong PowerShell Exchange Online chạyGet-DkimSigningConfig -Identity congty.vn | Format-List Enabled. Enabled phải là True, thêm CNAME mà chưa bật thì DKIM chưa ký. - Toàn bộ: trang quản trị, mục Domains, bấm tên miền, có nút kiểm tra tình trạng báo bản ghi nào sai. Hoặc dùng MXToolbox để xem từ bên ngoài.
Bốn lỗi hay gặp
- Thư gửi ra vào spam sau khi đổi. Kiểm đầu tiên là hai bản ghi SPF cùng tồn tại, cả hai đều vô hiệu. Gộp thành một.
- Người này nhận được thư, người kia không. Còn bản ghi MX cũ với độ ưu tiên ngang nhau, thư chia ngẫu nhiên giữa hai hệ thống. Xóa MX cũ hoặc đặt số ưu tiên lớn hơn.
- Trạng thái tên miền báo "Incomplete setup" nhiều giờ. Thường do TTL cũ dài (86400) nên bản ghi cũ còn trong bộ đệm, hoặc do giá trị CNAME bị nối thêm đuôi tên miền. Chờ hết TTL cũ và tra bằng nslookup.
- Outlook trên máy không tự cấu hình, phải nhập tay. Thiếu hoặc sai CNAME
autodiscover, hoặc bản ghi cũ trỏ về hệ thống email trước vẫn còn.
Câu hỏi thường gặp
Trỏ sai bản ghi thì sao
Tùy bản ghi. Sai CNAME thì ứng dụng không tự dò được, người dùng phải cấu hình tay nhưng thư vẫn tới. Sai SPF thì thư đi dễ vào thư rác. Sai MX thì thư không tới được, đây là cái duy nhất gây gián đoạn thật.
Mất bao lâu để bản ghi có hiệu lực
Phụ thuộc thời gian sống bạn đặt cho bản ghi và bộ nhớ đệm của các máy chủ DNS trên đường. Thường vài phút tới một giờ nếu thời gian sống ngắn, có thể tới một ngày nếu bản ghi cũ đặt thời gian sống dài.
Tên miền do bên khác quản lý thì làm sao
Bạn gửi cho họ danh sách bản ghi cần thêm, lấy đúng từ trang quản trị Microsoft 365. Nên gửi kèm yêu cầu hạ thời gian sống trước và hẹn giờ đổi MX, vì phần chậm nhất của dự án thường là chờ bên đó xử lý.
Có cần giữ lại bản ghi của hệ thống cũ không
Bản ghi MX cũ thì phải xóa, để lẫn là hỏng. Các bản ghi khác như SPF thì cần xem xét: nếu hệ thống cũ vẫn còn gửi thư trong giai đoạn chuyển tiếp, hãy gộp cả hai vào một bản ghi SPF cho tới khi ngừng hẳn.
Đổi MX có mất thư cũ trong hệ thống cũ không
Không. Thư cũ vẫn nằm nguyên ở hệ thống cũ, việc đổi MX chỉ ảnh hưởng thư mới. Chuyển thư cũ sang là một bước riêng, làm bằng công cụ di chuyển hoặc bằng cách xuất ra tệp rồi nhập vào.
Có cần bản ghi MX dự phòng không
Với Exchange Online thì không cần. Microsoft đã có nhiều máy chủ phía sau một giá trị MX duy nhất và tự xử lý dự phòng. Thêm bản ghi dự phòng chỉ tạo rủi ro thư đi nhầm chỗ.
Công ty có hai tên miền thì làm sao
Mỗi tên miền cần bản ghi MX riêng với giá trị riêng của nó. Thêm cả hai tên miền vào Microsoft 365, xác minh từng cái, rồi trỏ MX cho từng cái. Người dùng có thể nhận thư ở cả hai tên miền qua bí danh.
