Eine Bewerbung kann bestanden werden SPF Bei einem Zustellversuch schlägt der Fehler fehl, bei einem anderen schlägt er fehl, wenn die Post über unterschiedliche Adressfamilien verschickt wird. Wenn in einer Bestandsaufnahme nur ausgehender IPv4 Datenverkehr aufgeführt ist, ist eine IPv6 Route möglicherweise legitim, aber von der tatsächlich ausgewerteten Richtlinie nicht autorisiert. Diagnostizieren Sie die Verbindungsadresse, bevor Sie den Datensatz erweitern.
Das Ziel ist eine präzise Abdeckung: Autorisieren Sie die IPv6 Quellen, die Ihre Organisation oder Ihr Anbieter tatsächlich nutzt, und bewahren Sie gleichzeitig das bestehende IPv4 Verhalten und halten Sie nicht verwandte Adressen außerhalb der Richtlinie.
Finden Sie die echten IPv6 Sendepfade
Sammeln Sie repräsentative Ergebnisse von vertrauenswürdigen Empfängern und ausgehenden Daten MTA Protokolle. Notieren Sie die Verbindungs-IP, die Umschlagdomäne usw. HELO Hostname, Absenderdienst und Zeitstempel. Gruppieren Sie Beobachtungen sowohl nach Domänenidentität als auch nach Adressfamilie. Ein Webserver AAAA-Rekord ist kein Beweis dafür, dass dieselbe Adresse E-Mails sendet, und ein eingehendes MX Ziel ist nicht automatisch eine ausgehende Quelle.
Beziehen Sie Fallback-Relais und regionale Routen ein. Eine einzelne Erfolgsmeldung kann nicht zeigen, dass jede Route abgedeckt ist. Fragen Sie Infrastrukturbesitzer, ob IPv6 auf Primärservern, Failover-Systemen und gehosteten Bereitstellungspfaden aktiviert ist, und vergleichen Sie diese Antworten dann mit den beobachteten Verbindungen.
Nutzen Sie die richtigen Mechanismen
SPF hat verschiedene IP4 Und IP6 Mechanismen unter RFC 7208 §5.6. IP4 autorisiert IPv4 -Adressen; Es deckt nicht automatisch IPv6 Äquivalente ab. Ein IP6 Mechanismus ohne Präfixlänge identifiziert eine Adresse, äquivalent zu /128. Breitere Präfixe autorisieren das passende Netzwerk. Verwenden Sie daher nur den Bereich, der durch Ihr tatsächliches Sendedesign gerechtfertigt ist.
Der a Und mx Mechanismen können Adressfamilien-spezifische Suchvorgänge umfassen: Bei IPv6 Auswertung werden gegebenenfalls AAAA-Adressen verwendet. Das macht sie nicht zu einem Ersatz für Inventar. Eine zukünftige AAAA-Änderung kann die Hosts ändern, die diese Mechanismen autorisieren. Anbieter umfassen möglicherweise beide Familien, prüfen Sie jedoch die unterstützte Richtlinie, anstatt davon auszugehen, dass dies bei allen Paketen der Fall ist.
RFC 7208 §5 befasst sich auch mit der IPv4-zugeordneten IPv6 Verarbeitung durch Bewerter. Wenn ein Tool eine IPv4 -Verbindung in zugeordneter Form darstellt, sollten Sie nicht mit dem Hinzufügen beliebiger IPv6 -Bereiche reagieren, ohne die Handhabung des Evaluators und die zugrunde liegende Verbindung zu überprüfen.
Testen Sie eine eng begrenzte Ergänzung
Synthetische Politik: v=spf1 ip4:192.0.2.10 ip6:2001:db8:1234::10 -all. Beide Adressen sind für die Dokumentation reserviert. Ein kontrollierter Evaluator sollte für jede der aufgelisteten Quellen, die die ausgewertete Domäne verwenden, einen Erfolg zurückgeben und für nicht übereinstimmende Quellen fehlschlagen, vorausgesetzt, dass kein DNS oder Syntaxfehler vorliegt.
Der oben genannte IPv6 Begriff autorisiert eine Adresse. Ersetzen Sie es durch ip6:2001:db8:1234::/48 erweitert das Set erheblich. Wählen Sie kein breites Präfix, nur weil es einer in einem Infrastruktur-Dashboard angezeigten Zuordnung ähnelt. Legen Sie fest, welcher Teil der Zuteilung für ausgehende E-Mails verwendet und kontrolliert wird.
Führen Sie die Produktionsänderung durch
Bestätigen Sie die vorgeschlagenen Adressen mit dem Dienstinhaber und den aktuellen Anbieterrichtlinien. Behalten Sie die bisherige Richtlinie bei, holen Sie die entsprechende Genehmigung ein und validieren Sie die vollständige Aufzeichnung vor der Veröffentlichung. Unter RFC 7208 §4.6.4, explizite IP-Mechanismen selbst verbrauchen nicht das DNS-Lookup-Termbudget von SPF , aber der Rest des Datensatzes muss noch ausgewertet werden.
Testen Sie eine IPv4 Route, eine IPv6 Route und eine nicht übereinstimmende Quelle unter Ihrer Kontrolle. Behalten Sie bei echten Empfängern die tatsächliche Verbindungs-IP und die ausgewertete Identität bei, sodass ein Test, bei dem IPv4 stillschweigend verwendet wurde, nicht als IPv6 Erfolg gemeldet wird. Berücksichtigen Sie zwischengespeicherte DNS -Antworten, wenn Sie Beobachtungen unmittelbar nach der Änderung vergleichen.
Behalten Sie die Grenze bei
Fügen Sie SPF -Überprüfung zu IPv6 Einführungs- und Netzwerkneunummerierungsverfahren hinzu. Wenn Adressen rotieren oder ein Anbieter einen großen Pool verwaltet, bevorzugen Sie die unterstützte Authentifizierungskonfiguration, anstatt vorübergehende Beobachtungen in eine permanente Zulassungsliste zu kopieren. Eine Beispiel-IP zeigt, dass eine Quelle verwendet wurde; es definiert nicht unbedingt den gesamten autorisierten Bereich des Anbieters.
Schließen Sie die Überprüfung mit dem Nachweis ab, dass beide Familien für die beabsichtigten Identitäten arbeiten und dass die gewählten Bereiche gerechtfertigt sind. IPv6 Abdeckung sollte eine Bestandsverbesserung sein und keine Entschuldigung dafür, ein ganzes Netzwerk ohne Eigentum zu autorisieren.
Notieren Sie die nächste Entscheidung
In der synthetischen Richtlinie wird die IPv6 -Adresse 2001:db8:1234::10 als /128 abgedeckt, 2001:db8:1234::11 jedoch nicht. Ein Wechsel zu /48 würde auch letztere und viele weitere Adressen abdecken. Notieren Sie den Umfang, den der Serviceeigentümer tatsächlich autorisiert, und die tatsächliche vom Empfänger beobachtete Familie. Eine erfolgreiche IPv4 Mail ist kein Beweis für IPv6 Abdeckung. Es wurde kein Live-Test durchgeführt.