Die IP4 und IP6 SPF Mechanismen vergleichen die Verbindungsadresse mit einer veröffentlichten Adresse oder CIDR Netzwerk. Sie sind unkompliziert, wenn Sie stabile Ausgangsserver steuern, aber ein kleiner Präfixfehler kann die Berechtigung für weitaus mehr Infrastruktur als beabsichtigt erteilen.
Verwenden Sie die Adresse, die der Empfänger tatsächlich sieht. Die private Schnittstellenadresse eines Servers, eine Website-Adresse und der allgemeine Netzwerkbereich eines Cloud-Kontos sind kein Ersatz für die ausgehende SMTP Quelle.
Wählen Sie den engsten gerechtfertigten Bereich
ip4:192.0.2.70 identifiziert eine IPv4 Adresse, da das weggelassene Präfix standardmäßig /32 ist. ip6:2001:db8::70 Der Standardwert ist ebenfalls /128. Ein /24 IPv4 Präfix repräsentiert 256 Adressen, während ein /64 IPv6 Präfix einen enormen Adressraum abdeckt. Die Netzwerkgröße ist kein Grund für die Autorisierung. Kontrolle und betriebliche Notwendigkeit sind.
RFC 7208 Abschnitt 5.6 Definiert die Matching- und Präfixregeln. Verwenden Sie vollständige Adressen und die richtige CIDR-Notation. Ein abgekürzter Wert wie 192.0.2. ist kein gültiger Ersatz für 192.0.2.0/24 .
Ausgearbeitetes Beispiel: Grenztests erfassen breite Zuschüsse
Betrachten Sie die synthetische Politik v=spf1 ip4:192.0.2.64/28 ip6:2001:db8:1::/64 -all. Der IPv4 Bereich reicht von 192.0.2.64 bis 192.0.2.79 . Eine Verbindungsadresse von 192.0.2.70 stimmt überein; 192.0.2.80 funktioniert nicht und erreicht -all , wenn nichts anderes übereinstimmt.
Die IPv6 Adresse 2001:db8:1::25 entspricht /64. Die Adresse 2001:db8:2::25 funktioniert nicht. Diese reservierten Dokumentationsadressen dienen der Begründung der Richtlinie und nicht den Live-Absendern.
Erstellen Sie für einen echten vorgeschlagenen Bereich dieselben Grenztests und listen Sie auf, wer jedes enthaltene Segment kontrolliert. Wenn der einzige zugelassene Absender ein Host ist, vergleichen Sie den Berechtigungssatz mit einem Einzeladressenmechanismus, bevor Sie das umfassendere Präfix genehmigen.
Überprüfen Sie sowohl Netzwerkfamilien als auch Ausgangspfade
Eine native IPv6 Quelle erfordert eine IPv6 Berechtigung. RFC 7208 RFC 7208 §5 erfordert separat, dass IPv4-zugeordnete IPv6 Adressen als IPv4 überprüft werden; Dies bedeutet nicht, dass ein IP4-Bereich natives IPv6 abdeckt. Ein System, das anfängt, IPv6 zu verwenden, kann plötzlich das Richtlinienende erreichen, obwohl seine IPv4 Nachrichten weiterhin weitergeleitet werden. Erhalten Sie Belege für empfangene Nachrichten oder ausgehende Infrastrukturdatensätze für beide tatsächlich genutzten Familien.
Berücksichtigen Sie auch NAT, Failover-Gateways, regionale Relays und geplante Jobs. Bei einem Test von einem einzelnen aktiven Knoten aus kann es passieren, dass eine Standby-Route übersehen wird. Lösen Sie Unsicherheiten nicht, indem Sie einen ganzen Hosting-Anbieter autorisieren. Richten Sie stattdessen den unterstützten Ausgangssatz und den Besitz ein.
Verstehen Sie den Wartungskompromiss
Unter RFC 7208 §4.6.4, ip4 und ip6 verbrauchen während der Mechanismusbewertung nicht das Budget für zehn DNS-Abfrage-verursachende Begriffe. Der Empfänger muss noch die erhalten SPF Eintrag, und Größe und Korrektheit der Politik sind immer noch wichtig. Ein Rekord mit Hunderten von kopierten Bereichen ist nicht automatisch wartbar, nur weil diese Begriffe nicht auf diese Grenze angerechnet werden.
Wenn ein Anbieter ein Include empfiehlt, werden Sie durch das Ersetzen durch einen Snapshot der IP-Adressen für zukünftige Änderungen verantwortlich gemacht. Notieren Sie, wie Änderungen erkannt werden, wer sie genehmigt und wie veraltete Adressen entfernt werden. Veraltete Berechtigungen können sowohl legitime E-Mails stören als auch den Zugriff auf die Infrastruktur verhindern, die Sie nicht mehr nutzen.
Mit einer Berechtigungsdifferenz veröffentlichen
Behalten Sie die alte Aufzeichnung und erläutern Sie die genauen Bereiche, die hinzugefügt und entfernt werden. Validieren Sie den gesamten vorgeschlagenen SPF Eintrag, testen Sie bekannte Absenderadressen und in der Nähe befindliche nicht autorisierte Adressen und überprüfen Sie die veröffentlichte TXT Antwort. Senden Sie dann repräsentative Nachrichten über normale und Failover-Pfade.
Wenn eine Adresse unerwartet außerhalb des genehmigten Bereichs liegt, untersuchen Sie die Route, bevor Sie sie erweitern. Ein unerwarteter ausgehender Datenverkehr kann eher auf einen Konfigurationsfehler oder einen nicht genehmigten Absender als auf eine fehlende Berechtigung hinweisen.
Der praktische Imbiss
Ein Adressmechanismus ist nur dann explizit, wenn sein Besitz und seine Grenzen explizit sind. Nutzen Sie den beobachteten Ausgang, testen Sie Bereichsgrenzen und behandeln Sie zukünftige Adressänderungen als Teil des Autorisierungslebenszyklus.
Notieren Sie die Entscheidung und ihre Grenzen
Notieren Sie für das /28-Spiel 192.0.2.63 als Außenseite, .64 und .79 als Innenseite und .80 als Außenseite. SPF Präfixabgleich umfasst alle Adressen im Block, nicht nur die herkömmliche Teilmenge der Hostadressen. Wenn nur .70 gerechtfertigt ist, vergleichen Sie /32 mit /28: Letzteres gewährt 16 Adressen, nicht eine. Hierbei handelt es sich um berechnete Mitgliedschaftsbeispiele, nicht um ausgeführte SPF Tests.