Giải thích mã trả về DNSBL: 127.0.0.2, 127.255.255.x và NXDOMAIN
Một lần tra cứu DNSBL trả về địa chỉ trong 127.0.0.0/8 nghĩa là IP hoặc tên miền bị liệt kê; câu trả lời NXDOMAIN nghĩa là không bị liệt kê. Ngoài điều đó ra, con số cụ thể là riêng của từng danh sách, một số câu trả lời 127.x là mã lỗi chứ không phải mục liệt kê, và SERVFAIL hay hết thời gian chờ (timeout) hoàn toàn không cho bạn biết gì về trạng thái liệt kê.
Hướng dẫn này trình bày các quy ước được ghi nhận trong RFC 5782 và các mã trả về mà Spamhaus, SpamCop và UCEPROTECT công bố trên trang của chính họ. Nội dung dựa trên các trang chính thức đó tính đến tháng 11 năm 2026. Các danh sách có thể thay đổi dữ liệu và chính sách, vì vậy hãy kiểm tra tài liệu của đơn vị vận hành trước khi hành động dựa trên một kết quả. Nếu bạn cần kiến thức nền về cách hoạt động của danh sách chặn, hãy bắt đầu với DNSBL (RBL) là gì.
Cơ bản: RFC 5782 nói gì về mã trả về
RFC 5782, công bố vào tháng 2 năm 2010, mô tả cách truy vấn danh sách đen và danh sách trắng DNS và hình thức câu trả lời của chúng. Đây là tài liệu mang tính thông tin (Informational), không phải đặc tả thuộc Standards Track: tài liệu ghi nhận thực hành phổ biến, còn chi tiết về cách gán giá trị được để cho từng đơn vị vận hành danh sách quyết định.
Cách tạo truy vấn tra cứu
Với IPv4, bạn đảo ngược thứ tự các octet và nối thêm vùng (zone) của danh sách. Để kiểm tra 192.0.2.99 trên bl.example.com:
dig +short 99.2.0.192.bl.example.com A
dig +short 99.2.0.192.bl.example.com TXTVới IPv6, địa chỉ được viết thành 32 nibble thập lục phân theo thứ tự ngược, theo sau là vùng. Danh sách dựa trên tên miền chỉ cần lấy tên miền rồi nối tên vùng vào sau; RFC lưu ý rằng danh sách dựa trên tên ít phổ biến hơn nhiều so với danh sách dựa trên IP.
Bản ghi A: có bị liệt kê hay không
- Bị liệt kê: danh sách trả về một bản ghi A. RFC cho biết mọi giá trị A nên nằm trong 127.0.0.0/8 để tránh lưu lượng mạng ngoài ý muốn, và giá trị theo quy ước là 127.0.0.2.
- Không bị liệt kê: không được có bất kỳ bản ghi nào cho địa chỉ đó. Theo thuật ngữ DNS, câu trả lời là NXDOMAIN, nghĩa là tên không tồn tại.
- Giá trị bản ghi A không được dùng làm địa chỉ IP. 127.0.0.2 là một cờ báo hiệu, không phải máy chủ để kết nối tới.
Bản ghi TXT: lý do và một URL
Theo RFC, DNSBL nên công bố bản ghi TXT mô tả lý do một mục bị liệt kê, và lý do đó thường kèm một URL có thêm thông tin. Phần mềm máy khách phải kiểm tra bản ghi A và có thể kiểm tra bản ghi TXT. Nội dung TXT thường được đưa vào thông báo lỗi SMTP, nên thư báo lỗi (bounce) có thể chứa URL tra cứu hoặc gỡ danh sách lấy từ đó.
Vì sao các danh sách trả về những con số khác nhau: danh sách con và bitmask
Một giá trị khác 127.0.0.2 thường có nghĩa là vùng đó kết hợp nhiều danh sách con. RFC 5782 mô tả ba cách biểu diễn chúng: tên miền phụ, nhiều bản ghi A, và giá trị mã hóa theo bit.
- Nhiều bản ghi A: mỗi danh sách con có giá trị riêng, và danh sách trả về một bản ghi A cho mỗi danh sách con có chứa địa chỉ.
- Bitmask: mỗi danh sách con được gán một bit, và câu trả lời là phép OR logic của các bit ứng với mọi danh sách con khớp. Trong ví dụ của RFC, một địa chỉ nằm trên các danh sách con 127.0.0.2 và 127.0.0.4 sẽ trả về 127.0.0.6.
Điểm mấu chốt là chính RFC nêu rằng không có quy ước nào được dùng rộng rãi để ánh xạ tên danh sách con sang giá trị. Cùng một con số có thể mang ý nghĩa khác nhau trên các danh sách khác nhau. Hãy luôn đọc mã trả về cùng với vùng đã tạo ra nó, đối chiếu với tài liệu của chính danh sách đó. RFC cũng cho biết phần mềm máy khách nên có khả năng áp dụng bitmask và kiểm tra khoảng giá trị đối với các giá trị được trả về.
Spamhaus ZEN là ví dụ điển hình cho kiểu trả về nhiều câu trả lời. Tài liệu của họ cho biết một truy vấn thường tạo ra nhiều câu trả lời riêng biệt trong cùng một phản hồi DNS, mỗi câu trả lời ứng với một tập dữ liệu có liệt kê IP đó, với mã trả về khác nhau cho từng tập dữ liệu. Thấy hai hoặc ba mã cùng lúc là chuyện bình thường.
Mã trả về của các danh sách chặn lớn
Bảng dưới đây liệt kê các mã trả về mà các đơn vị vận hành công bố trên trang chính thức của họ.
| Danh sách (vùng) | Mã trả về | Ý nghĩa (theo đơn vị vận hành) |
|---|---|---|
| Spamhaus ZEN (zen.spamhaus.org) | 127.0.0.2 | SBL |
| Spamhaus ZEN | 127.0.0.3 | CSS |
| Spamhaus ZEN | 127.0.0.4 | XBL (dữ liệu CBL) |
| Spamhaus ZEN | 127.0.0.9 | DROP, được trả về cùng với 127.0.0.2 |
| Spamhaus ZEN | 127.0.0.10 / 127.0.0.11 | PBL (do ISP duy trì / do Spamhaus duy trì) |
| Spamhaus DBL (dbl.spamhaus.org) | 127.0.1.2, 127.0.1.4 đến 127.0.1.6 | Tên miền uy tín thấp: thư rác, lừa đảo, mã độc, C&C của botnet |
| Spamhaus DBL | 127.0.1.102 đến 127.0.1.106 | Tên miền hợp pháp đang bị lạm dụng (127.0.1.103: tên miền chuyển hướng bị lạm dụng trong thư rác) |
| Spamhaus DBL | 127.0.1.255 | Đã truy vấn một địa chỉ IP trên DBL, điều không được phép |
| SpamCop (bl.spamcop.net) | 127.0.0.2 | Bị liệt kê |
| UCEPROTECT (dnsbl-1, dnsbl-2, dnsbl-3.uceprotect.net) | Không được nêu trên trang hướng dẫn dùng DNS | Mỗi vùng tương ứng với Level 1, 2 và 3 |
- Spamhaus: ZEN kết hợp SBL, CSS, XBL và PBL và chỉ bao gồm địa chỉ IP; tên miền được kiểm tra trên DBL. DBL dùng 127.0.1.0/24 và danh sách Zero Reputation Domains dùng 127.0.2.0/24. Vì DBL luôn trả lời truy vấn IP bằng 127.0.1.255, nó không thể dùng để kiểm tra IP. Để biết ý nghĩa của từng danh sách Spamhaus và cách yêu cầu gỡ, xem hướng dẫn gỡ khỏi Spamhaus của chúng tôi.
- SpamCop: trang câu hỏi thường gặp chính thức nêu 127.0.0.2 là phản hồi cho biết IP bị liệt kê. Trang này cũng khuyến nghị cho người dùng truy cập được thư đã bị lọc, chẳng hạn bằng cách gắn nhãn hoặc chuyển vào một thư mục riêng, thay vì từ chối thẳng thừng. Việc gỡ được trình bày trong hướng dẫn gỡ khỏi SpamCop của chúng tôi.
- UCEPROTECT: trang hướng dẫn dùng DNS liệt kê ba tên vùng nhưng không mô tả giá trị trả về. Trang này cho biết phương thức DNS thực sự chỉ hữu ích với máy chủ thư cỡ nhỏ đến trung bình và gợi ý dùng rsync cho các hệ thống có hơn 100.000 truy vấn mỗi ngày. Các cấp độ được giải thích trong hướng dẫn về UCEPROTECT Level 2 và 3 của chúng tôi.
- Barracuda: giá trị trả về của Barracuda không được đề cập ở đây. Hãy xem các trang của chính Barracuda Central.
127.255.255.x và resolver công cộng: những câu trả lời không phải mục liệt kê
Spamhaus dành riêng 127.255.255.0/24 cho mã lỗi. Các mã này có thể được trả về cho bất kỳ vùng nào, và trang câu hỏi thường gặp chính thức nêu rằng không được hiểu chúng là đối tượng được truy vấn đang bị liệt kê.
| Mã trả về | Ý nghĩa |
|---|---|
| 127.255.255.252 | Gõ sai tên DNSBL |
| 127.255.255.254 | Truy vấn qua resolver công cộng hoặc resolver mở |
| 127.255.255.255 | Số lượng truy vấn quá mức |
Vì sao kết quả qua resolver công cộng không đáng tin cậy
Trang câu hỏi thường gặp của Spamhaus cho biết khi bạn truy vấn qua các resolver công cộng lớn, trong hầu hết trường hợp bạn sẽ nhận phản hồi không bị liệt kê (NXDOMAIN). Nói cách khác, một IP bị liệt kê có thể trông như sạch. Cũng trang này nêu việc dùng Amazon, Quad9, Google, Cloudflare hoặc một resolver công cộng khác là nguyên nhân phổ biến nhất của vấn đề ngược lại, khi một danh sách dường như chặn toàn bộ internet.
Một số resolver còn viết lại câu trả lời NXDOMAIN và trả về một địa chỉ IP cho những tên không tồn tại. Máy chủ thư có thể nhầm điều đó là bị liệt kê. Trang này gợi ý cấu hình máy chủ thư bỏ qua mọi phản hồi không nằm trong 127.0.0.0/8, tự vận hành resolver riêng, hoặc liên hệ ISP hay nhà cung cấp DNS của bạn. Để xem bạn thực sự đang dùng resolver nào, trang này đưa ra lệnh kiểm tra sau:
dig txt whoami.fastly.netNếu bạn chạy bộ lọc DNSBL trên máy chủ thư của chính mình, hãy bảo đảm nó không từ chối thư mỗi khi gặp câu trả lời 127.255.255.x. Spamhaus mô tả đó là cấu hình sai.
NXDOMAIN, SERVFAIL và hết thời gian chờ khác nhau thế nào
Mọi phản hồi DNS đều mang một mã phản hồi (RCODE), được định nghĩa trong RFC 1035. Khi đọc kết quả DNSBL, hãy tách RCODE khỏi giá trị bản ghi A.
| Phản hồi | Ý nghĩa trong DNS | Cách hiểu đối với DNSBL |
|---|---|---|
| Bản ghi A trong 127.0.0.0/8 (trừ 127.255.255.x) | Không có lỗi (NOERROR) | Bị liệt kê; đối chiếu giá trị với tài liệu của danh sách đó |
| NXDOMAIN (Name Error) | Tên được truy vấn không tồn tại | Không bị liệt kê, với điều kiện truy vấn đi qua một resolver phù hợp |
| 127.255.255.x | Một câu trả lời trông bình thường nhưng báo hiệu lỗi | Chưa rõ; hãy sửa resolver hoặc truy vấn |
| SERVFAIL (Server failure) | Name server không thể xử lý truy vấn | Chưa rõ |
| Hết thời gian chờ | Không nhận được câu trả lời | Chưa rõ |
RFC 5782 không nói máy khách nên xử lý thế nào khi một danh sách gặp lỗi hoặc không phản hồi. Hiểu SERVFAIL hay hết thời gian chờ là bị liệt kê hoặc không bị liệt kê đều là sai lầm. Hãy thử lại sau hoặc truy vấn qua một đường khác.
Dùng các mục kiểm thử để kiểm tra danh sách có hoạt động không
RFC 5782 yêu cầu danh sách IPv4 phải chứa mục cho 127.0.0.2 và không được chứa mục cho 127.0.0.1. Danh sách IPv6 dùng ::FFFF:7F00:2 (bị liệt kê) và ::FFFF:7F00:1 (không bị liệt kê), còn danh sách tên miền dùng tên dành riêng TEST (bị liệt kê) và INVALID (không bị liệt kê).
dig +short 2.0.0.127.zen.spamhaus.org A
dig +short 1.0.0.127.zen.spamhaus.org ANếu truy vấn thứ nhất trả về mã liệt kê (một giá trị 127.x khác 127.255.255.x) và truy vấn thứ hai không trả về gì, việc tra cứu trên danh sách đó đang hoạt động. Nếu truy vấn thứ nhất trả về 127.255.255.x, đường truy vấn của bạn đang bị từ chối. RFC cho biết máy khách nên định kỳ kiểm tra các mục kiểm thử và không nên dùng danh sách không có các mục kiểm thử đúng. RFC cũng lưu ý rằng các đơn vị vận hành khi đóng cửa danh sách đôi khi đã xóa mọi mục, hoặc cài một bản ghi wildcard liệt kê mọi địa chỉ. Nếu 127.0.0.1 cũng trả về là bị liệt kê, hãy nghi ngờ danh sách hoặc đường truy vấn của bạn, chứ không phải IP của bạn.
Cách thực tế để đọc kết quả của bạn
- Chọn đúng IP hoặc tên miền. Dùng IP trong thư báo lỗi, hoặc IP của máy chủ gửi lấy từ các dòng Received trong header thư.
- Kiểm tra nhiều danh sách cùng lúc. Công cụ kiểm tra danh sách đen của chúng tôi chạy các danh sách lớn trong một lượt.
- Đọc từng mã cùng với vùng của nó. Mã liệt kê trong 127.0.0.0/8 (ngoài 127.255.255.x) nghĩa là bị liệt kê; hãy tra ý nghĩa của giá trị đó trên danh sách tương ứng. Câu trả lời 127.255.255.x, SERVFAIL hoặc hết thời gian chờ nghĩa là trạng thái vẫn chưa rõ.
- Xem bản ghi TXT và trang tra cứu của đơn vị vận hành. Nhiều danh sách trả về lý do hoặc URL. Hãy coi trang tra cứu của chính đơn vị vận hành là kết quả có thẩm quyền.
- Khắc phục nguyên nhân, sau đó làm theo quy trình gỡ của danh sách đó. Mỗi đơn vị vận hành tự quyết định có gỡ hay không và khi nào. Nếu nguyên nhân vẫn còn, mục liệt kê thường sẽ quay lại.
Để xem toàn bộ quy trình xử lý sự cố khi thư bị trả về, xem email bị chặn bởi danh sách đen. Nếu bạn cần trợ giúp diễn giải kết quả hoặc truy tìm nguyên nhân, bạn có thể hỏi chúng tôi về việc gỡ danh sách.
Chúng tôi giới thiệu các nhà cung cấp nhận làm yêu cầu gỡ tên (delist), tư vấn và hỗ trợ (từ JPY 50,000). Việc gỡ tên do từng đơn vị quản lý danh sách quyết định và không thể được cam kết.
Nhận hỗ trợTrang web này có thể nhận phí giới thiệu từ các nhà cung cấp được liệt kê. About
Câu hỏi thường gặp
Tra cứu trả về 127.0.0.2. Tôi nằm trong danh sách nào?
Bạn nằm trong danh sách của vùng mà bạn đã truy vấn. 127.0.0.2 là giá trị theo quy ước mà nhiều danh sách sử dụng, nên chỉ riêng con số không xác định được danh sách. Trên Spamhaus ZEN, nó có nghĩa là SBL; trên SpamCop, nó chỉ đơn giản là bị liệt kê. Hãy đọc nó cùng với tên vùng và tài liệu của danh sách đó.
Tôi nhận được 127.255.255.254. Tôi có bị blacklist không?
Không. Trên các vùng của Spamhaus, đây là mã lỗi cho biết truy vấn đi qua resolver công cộng hoặc resolver mở. Nó không có nghĩa là IP bị liệt kê. Hãy kiểm tra lại trên trang tra cứu của chính Spamhaus, hoặc truy vấn mà không đi qua resolver công cộng.
Vì sao các công cụ khác nhau cho kết quả khác nhau về việc tôi có bị liệt kê hay không?
Một lý do phổ biến là resolver được dùng để tra cứu. Qua resolver công cộng, một IP bị liệt kê có thể trông như sạch, hoặc bạn có thể nhận mã lỗi. Một công cụ cũng có thể hiển thị SERVFAIL hoặc hết thời gian chờ thành không bị liệt kê. Khi còn nghi ngờ, hãy dùng trang tra cứu chính thức của đơn vị vận hành danh sách.
Mục liệt kê của tôi không có bản ghi TXT. Có gì sai không?
Không hẳn. RFC 5782 cho biết DNSBL nên công bố lý do qua TXT, nhưng đó không phải là bắt buộc, và việc kiểm tra bản ghi TXT là tùy chọn đối với máy khách. Bản ghi A mới là thứ quyết định việc bị liệt kê.
Các trang chính thức được tham khảo
Thông tin trong bài viết này đã được đối chiếu với các trang chính thức dưới đây tại thời điểm đăng. Chính sách và cách vận hành có thể thay đổi mà không báo trước, vì vậy bạn hãy kiểm tra lại các trang chính thức trước khi dựa vào thông tin cho việc quan trọng.
- RFC 5782: DNS Blacklists and Whitelists
- RFC 1035: Domain Names - Implementation and Specification (RCODE)
- Spamhaus FAQ: DNSBL Usage (return codes and public resolvers)
- Spamhaus: ZEN Blocklist
- Spamhaus: Domain Blocklist (DBL)
- SpamCop FAQ: How do I configure my mailserver to reject mail based on the blocklist?
- UCEPROTECT: Using DNS Lookups
Hướng dẫn liên quan
DNSBL là gì? Cách DNS blacklist và RBL hoạt động: tra cứu IP đảo ngược, bản ghi A và TXT, IPv6, danh sách IP và tên miền, whitelist, vì sao IP bị liệt kê.
Bị Spamhaus liệt kê? Xác định bạn nằm trong danh sách nào (ZEN, PBL, XBL, CSS, SBL, DBL), ý nghĩa của mã trả về và cách gỡ tên đúng cho từng danh sách.
Cách giám sát IP và tên miền gửi thư trên các danh sách đen DNS: script dig và cron, API kiểm tra hàng loạt với webhook, và cảnh báo tránh báo động giả.