Wenn zwei SPF Prüfer zeigen unterschiedliche Suchzahlen an. Wählen Sie nicht die beruhigendere Zahl. Stellen Sie fest, was jedes Werkzeug gemessen hat. Einer kann DNS-abhängige Begriffe auf einem ausgewerteten Pfad anzeigen, ein anderer kann ein Richtliniendiagramm erweitern und ein dritter kann Netzwerkabfragen anzeigen. Diese Ausgaben können unterschiedliche Fragen beantworten, selbst wenn sie dieselbe Domäne untersuchen.
Fragen Sie, was der Zähler bedeutet
RFC 7208 Abschnitt 4.6.4 schränkt die ausgewerteten DNS-abhängigen Begriffe über die Rekursion hinweg ein. Dabei handelt es sich nicht einfach um die Anzahl aller TXT Strings, jedes DNS Pakets oder die Anzahl der sichtbar auf der obersten Ebene geschriebenen Includes. Zwischengespeicherte Antworten gewähren kein größeres Budget für logische Terme.
Trennen Sie auch andere Einschränkungen. Die Spezifikationsadressen Leere Suchvorgänge und mechanismusspezifische Grenzwerte zusätzlich zur Hauptobergrenze des bewerteten Zeitraums. Ein Tool kann eine kombinierte Warnung anzeigen, während ein anderes jede Kategorie offenlegt. Bewahren Sie den genauen Warntext und die Dokumentation auf, anstatt davon auszugehen, dass jedes rote Etikett dasselbe bedeutet.
Geben Sie beiden Werkzeugen die gleiche Vorrichtung
Erfassen Sie die ausgewertete Domain, Verbindungs-IP, Absenderidentität, HELO ggf. Resolver-Ansicht und Abfragezeit. Wenn das Tool nur eine Domäne akzeptiert, finden Sie heraus, ob es sich bei der Anzahl um eine statische Schätzung, eine Worst-Case-Analyse oder einen bestimmten synthetischen Pfad handelt. Ein reiner Domänenscan ist nicht automatisch gleichbedeutend mit der Auswertung einer echten Verbindung.
Bei Richtlinien, die Makros verwenden, können die fehlenden Identitätseingaben direkt von Bedeutung sein. Vergleichen Sie IPv4 und IPv6 Fälle getrennt, wenn beide auftreten. Behalten Sie die DNS Antworten oder eine reproduzierbare kontrollierte Fixierung bei, damit ein späterer Anbieterwechsel nicht aus einem vermeintlichen Tool-Vergleich einen Vergleich verschiedener Richtlinien macht.
Gehen Sie ein kleines anschauliches Beispiel
Betrachten Sie eine synthetische Richtlinie:
v=spf1 ip4:192.0.2.10 include:_spf.vendor.example -all
Unter RFC 7208 §4.6.2 Und RFC 7208 §5.6, für 192.0.2.10 kann die explizite Adresse übereinstimmen, bevor das Include ausgewertet wird. Für eine andere Adresse kann die Auswertung das Include und seine verschachtelten Abhängigkeiten erreichen. Ein Diagrammerweiterungstool zeigt diesen Zweig möglicherweise auch dann an, wenn der Pfad der ersten Nachricht ihn nie erreicht. Die unterschiedlichen Zahlen bedürfen einer Erklärung, nicht einer automatischen Schlussfolgerung, dass eines der beiden Werkzeuge defekt ist.
Machen Sie das Include-Ziel explizit, um numerische Zählungen zu vergleichen. In dieser synthetischen Vorrichtung _spf.vendor.example hat genau einen SPF TXT Eintrag, v=spf1 ip4:192.0.2.20 -all. Gehen Sie von einem erfolgreichen DNS Abruf, einer gültigen Syntax, keinen zusätzlichen Abhängigkeiten und Normalität aus POST VON Auswertung für die übergeordnete Domäne.
- Eingabe 192.0.2.10 : Der erste IP4-Mechanismus des Elternteils stimmt überein. Der tatsächliche Pfad wertet 0 DNS-abhängige Begriffe aus und besucht niemals den Include.
- Eingabe 192.0.2.20 : Die IP4 des Elternteils stimmt nicht überein. Das Include wird ausgewertet, seine Ziel-IP4 stimmt überein und das übergeordnete Element gibt „pass“ zurück. Der tatsächliche Pfad wertet einen DNS-abhängigen Begriff aus, den include.
- Eingabe 192.0.2.30 : Das Include-Ziel erreicht -all und gibt einen Fehler zurück, sodass das Include nicht übereinstimmt. Das übergeordnete Element erreicht sein eigenes -all und die Rückgabe schlägt fehl. Der tatsächliche Pfad wertet immer noch 1 DNS-abhängigen Begriff aus, konsistent mit RFC 7208 §5.2.
Die statische Diagrammanzahl der DNS-abhängigen Begriffe beträgt für dieses gesamte Gerät 1, unabhängig davon, welche Verbindung ausgewählt ist. Der anfängliche TXT Abruf der übergeordneten Richtlinie ist erforderlich, gehört jedoch selbst nicht zu den bewerteten Bedingungen, die auf dieses Limit angerechnet werden. Somit kann eine Anzeige von 0 für die erste Eingabe und 1 für das erweiterte Diagramm erklärt werden. Dabei handelt es sich um analytisch erwartete Ergebnisse, nicht um durchgeführte Messungen oder Netzwerkpaketzahlen.
Stellen Sie sich nun vor, dass sich die enthaltene Richtlinie zwischen den beiden Scans ändert. Ein neuer Scan könnte durchaus einen anderen Abhängigkeitsbaum aufdecken. Speichern Sie Zeitstempel und tatsächliche Antworten, bevor Sie die Meinungsverschiedenheit eskalieren. Ein Screenshot ohne Eingaben ist ein schwacher Beweis.
Vergleichen Sie die Spuren bei der ersten Divergenz
Erstellen Sie eine Liste der bewerteten Begriffe nebeneinander. Finden Sie den ersten Ort, an dem die Tools nicht übereinstimmen: Datensatzauswahl, eine frühe Übereinstimmung, Rekursion, ein DNS Fehler, eine Makroerweiterung oder eine Zählkonvention. Überprüfen Sie, ob einer bei einem Fehler stoppt, während der andere zu Diagnosezwecken weiterläuft. Eine Diagnoseerweiterung kann sinnvoll sein, ohne dass es sich um eine gültige abgeschlossene Auswertung handelt.
Wenn ein Werkzeug im Widerspruch zur Norm zu stehen scheint, erstellen Sie eine minimale synthetische Vorrichtung und das erwartete Verhalten mit einer Abschnittsreferenz. Senden Sie diese über Ihren normalen Supportprozess an den Werkzeugbetreuer und vermeiden Sie vertrauliche Produktionsdaten, bei denen eine Vorrichtung ausreicht. Ändern Sie die Produktion nicht, nur um inkonsistente Dashboards in Einklang zu bringen.
Treffen Sie eine Entscheidung auf der Grundlage der geklärten Beweise
Ein gültiger kurzer Pfad für einen Absender stellt nicht die Integrität für jeden Absender her. Testen Sie repräsentative legitime Eingaben und eine nicht übereinstimmende Eingabe und prüfen Sie die Abhängigkeiten, die sich später ändern könnten. Umgekehrt ist ein großes statisches Diagramm allein kein Beweis dafür, dass jede Nachricht den Grenzwert für die ausgewertete Laufzeit überschreitet.
Notieren Sie, welche Messung Ihre Entscheidung unterstützt, alle ungelösten Tool-Einschränkungen und die erwarteten Auswirkungen einer vorgeschlagenen Änderung. Verwenden Reihenfolge der Mechanismen erst nachdem man diese Wege verstanden hat. Wenn Sie eine daraus resultierende Diskrepanz nicht in Einklang bringen können, bewahren Sie die aktuellen Beweise auf und fordern Sie eine umsetzungsspezifische Überprüfung an, anstatt eine ungeklärte Zahl als Gewissheit darzustellen.
Halten Sie die Entscheidung schriftlich fest
Behalten Sie für das angegebene Gerät mit zwei Datensätzen den übergeordneten und untergeordneten Text, die Eingabeadresse, die Zählungsdefinition und das erwartete Bestehen/Nichtbestehen bei. Bei den 0/1/1-Werten handelt es sich um analytisch ausgewertete Begriffszählungen, nicht um gemessene DNS Pakete oder die Ausführung unabhängiger Tools. Wenn ein Werkzeug eine andere Menge meldet, kennzeichnen Sie es vor dem Vergleich. Eine Diskrepanz in einem Fehlerbehandlungspfad erfordert eine eigene Korrektur und nicht eine Extrapolation aus diesen erfolgreichen Suchvorgängen.