A- und AAAA-Einträge ordnen einen Hostnamen IPv4 und IPv6 -Adressen zu. Dabei handelt es sich um Abhängigkeiten eines E-Mail-Dienstes und nicht um Erklärungen, dass der Dienst zum Senden bereit oder autorisiert ist. Durch die Veröffentlichung einer Adresse kann eine Route offengelegt werden, die Clients tatsächlich ausprobieren. Überprüfen Sie daher jede angekündigte Familie und jeden Endpunkt.
Folgen Sie dem vom Protokoll verwendeten Namen
Referenzen: RFC 5321 §5.1, RFC 7208 §5.3, RFC 7208 §5.4.
Lösen Sie für eingehendes SMTP die von MX zurückgegebenen Exchange-Hostnamen auf. Die Website-Adresse der Empfängerdomäne ist kein Ersatz, wenn ein expliziter Austausch unbrauchbar ist. Wenn kein MX vorhanden ist, kann die implizite MX-Regel von SMTP stattdessen die eigenen A- oder AAAA-Einträge der Empfängerdomäne relevant machen.
Für Outbound SPF, Untersuchen Sie die tatsächliche Richtlinie und die bewertete Identität. Ein a Der Mechanismus kann Adressen autorisieren, die für seinen angegebenen Namen zurückgegeben werden. eine Ebene Ein Rekord autorisiert selbst nichts. Ebenso das Ändern eines von einem SPF verwendeten Hostnamens mx Der Mechanismus kann die als autorisiert bewerteten Adressen ändern. Notieren Sie diese Referenzen, bevor Sie eine Änderung DNS -Adresse als reine Website-Änderung behandeln.
Behandeln Sie Dual Stack als zwei Betriebspfade
Referenzen: RFC 1035 §3.4.1, RFC 3596 §2.1, RFC 3596 §2.3.
Ein Hostname kann mehrere A-Records und mehrere AAAA-Records haben. Ihre Anwesenheit garantiert nicht die Erreichbarkeit, SMTP Dienst, das richtige Zertifikat oder eine gleichwertige Richtlinie. Ein fehlerfreier IPv4 Endpunkt stellt nicht sicher, dass IPv6 funktioniert. Umgekehrt beweist ein Ausfall auf einem Clientpfad nicht, dass jeder Absender diesen Pfad verwendet.
Erfassen Sie die tatsächlich versuchte Zieladresse, die Adressfamilie, das Verbindungsergebnis und SMTP Antwort. Wenn Sie ausgehenden Datenverkehr untersuchen, erfassen Sie die extern beobachtete Quelladresse, anstatt davon auszugehen, dass sie mit der in der Anwendung verwendeten Adresse übereinstimmt. NAT- und Provider-Egress-Pools können diese Werte unterschiedlich machen.
Reproduzieren Sie einen Adressfamilienfehler
Kunststoffbefestigung: example.com. MX 10 mx.example.com.; mx.example.com. A 192.0.2.10; mx.example.com . AAAA 2001:db8::10. Konfigurieren Sie im Labor den IPv4 -Endpunkt so, dass er TCP-Verbindungen auf Port 25 akzeptiert und den IPv6 Endpunkt nicht erreichbar lässt. Erwartete DNS Prüfungen sind für beide Eintragstypen erfolgreich, während ein familienspezifischer Verbindungstest nur für IPv4 erfolgreich ist.
Abfrage dig @AUTH mx.example.com . Ein +norecurse und dann den gleichen Befehl mit AAAA. Ersetzen Sie AUTH durch die isolierte Autorität. Notieren Sie beide Antworten. Verwenden Sie Ihren zugelassenen Labor- SMTP Client, um jedes Ziel unabhängig anzuheften und Verbindungs- und Protokollergebnisse aufzuzeichnen. Das Fixture veranschaulicht, warum DNS Erfolg kein Service-Erfolg ist; Es wird kein Anspruch auf den Fallback-Zeitpunkt eines bestimmten Absenders erhoben.
Ein zweites Gerät ändert nur die A-Adresse ab 192.0.2.10 Zu 192.0.2.20 während die SPF -Richtlinie lautet v=spf1 a:mx.example.com -all. Für eine IPv4 SPF -Bewertung mit ansonsten erfolgreichen Suchvorgängen ist die Adresse geeignet, mit der übereinzustimmen a Mechanismus ändert sich. Ein explizites ip4:192.0.2.10 Der Mechanismus würde stattdessen an dieses buchstäbliche Netzwerk gebunden bleiben, bis sich die Richtlinie selbst ändert.
Adressänderungen rückgängig machen
Referenzen: RFC 8767 §4.
Inventarisieren Sie alle Verbraucher des Hostnamens, einschließlich E-Mail-Routing, SPF Referenzen, Überwachung und Zertifikatserwartungen. Bereiten Sie den Endpunkt vor, bevor Sie ihn bekannt geben. Behalten Sie den alten Dienst bei, während geeignete Caches den Datenverkehr weiterhin dorthin leiten können, basierend auf dem tatsächlichen Migrationsplan und nicht auf einer universellen Wartezeit.
Vergleichen Sie nach der Änderung maßgebliche Antworten mit rekursiven Beobachtungen und Beweisen auf Nachrichtenebene. Ein ausgefallener IPv6 -Endpunkt sollte durch eine genehmigte Änderung repariert oder entfernt werden und nicht durch die Schwächung unabhängiger Authentifizierungsrichtlinien verdeckt werden. Schließen Sie die Arbeiten erst ab, wenn die vorgesehenen Adressen und Betriebspfade mit dem dokumentierten Servicedesign übereinstimmen.
Halten Sie den Umfang der Beweise explizit
Behalten Sie für das Zwei-Familien-Szenario den erwarteten IPv4 Erfolg und den erwarteten IPv6 Fehler als vorgeschlagene Laborbeobachtungen bei, bis sie getestet werden. Das SPF -Adressänderungsbeispiel setzt erfolgreiche Suchvorgänge und die angegebene Richtlinie voraus; Es stellt keine aktuelle Autorisierung für einen echten Absender dar.