SPF's Beschränkung auf 10 Suchvorgänge gilt für bestimmte DNS-abhängige Begriffe, die während einer SPF Prüfung ausgewertet werden. Es handelt sich nicht um eine Regel, die zehn sichtbare Include-Anweisungen im Stammdatensatz zulässt. Verschachtelte Richtlinien teilen sich das Limit der Auswertung, und eine frühe Übereinstimmung kann die Prüfung stoppen, bevor spätere Zweige erreicht werden.
Wenn die gezählte Laufzeitgrenze überschritten wird, ist das Ergebnis permerror. Eine nützliche Diagnose verfolgt den verbindenden Absender anhand der geltenden Richtlinie und zeichnet auf, wo die Auswertung fortgesetzt wird, übereinstimmt oder fehlschlägt. Dieser Trace zeigt, welche Abhängigkeiten Aufmerksamkeit erfordern und welche Berechtigungen das Unternehmen noch benötigt.
Verstehen Sie, worauf es SPF ankommt
RFC 7208 §4.6.4 identifiziert enthalten, a, mx, ptr Und existiert, plus die umleiten Modifikator, da DNS-Abfrage verursachende Begriffe bei der Auswertung dem Gesamtlimit unterliegen. Unter RFC 7208 §4.1, referenzierte Richtlinien teilen sich das globale Limit der Bewertung, anstatt neue unabhängige Zulagen zu erhalten.
Der alle, IP4 Und IP6 Mechanismen verbrauchen diese Laufzeitbegrenzung nicht. Der exp Der Modifikator verbraucht es während der SPF Auswertung nicht, obwohl später eine Erklärungssuche erfolgen kann. Es gelten weiterhin andere Grenzwerte und betriebliche Einschränkungen, einschließlich Anforderungen im Zusammenhang mit MX / PTR Erweiterung und Leere Suchvorgänge.
Die anfängliche SPF TXT Suche sollte nicht mit einem ausgewerteten Include-Mechanismus verwechselt werden. Eine Diagnose sollte angeben, was die angezeigte Zahl darstellt: eine Protokolltermanzahl, eine statische Erweiterungsschätzung oder beobachtete DNS Abfragen.
Ausgearbeitetes Beispiel: Zwei Includes führen zu einem elften Begriff
Das Folgende ist eine synthetische Vorrichtung unter Verwendung reservierter Beispieldomänen und Dokumentations-IP-Adressen. Es handelt sich nicht um Live DNS und es handelt sich nicht um einen Produktionseintrag zum Einfügen.
Die Root-Richtlinie lautet:
v=spf1 include:billing.example.net include:messages.example.org -allAngenommen, die Abrechnungsrichtlinie wertet drei weitere Includes aus, die jeweils nur einen enthalten IP4 Mechanismus und -all. Angenommen, die Nachrichtenrichtlinie wertet sechs weitere Includes aus, die auf die gleiche Weise erstellt wurden. Gehen Sie davon aus, dass jede erreichte Richtlinie über einen syntaktisch gültigen SPF verfügt TXT Eintrag, sind alle DNS Abrufe erfolgreich, jede Zwischenrichtlinie endet auf -all und es sind keine anderen Begriffe vorhanden. In diesem Beispiel stimmt keine ihrer autorisierten Adressen mit dem verbindenden Absender überein.
- Die Grundabrechnung umfasst: laufende Summe 1.
- Drei verschachtelte Abrechnungen umfassen: laufende Summe 4.
- Stammnachrichten umfassen: laufende Summe 5.
- Die ersten fünf verschachtelten Nachrichten umfassen: laufende Summe 10.
- Zu den sechsten verschachtelten Nachrichten gehören: würde den Grenzwert überschreiten und permerror erzeugen.
Das Stammverzeichnis enthält nur zwei sichtbare Includes. Der vollständige nicht passende Pfad versucht einen elften gezählten Begriff.
Betrachten Sie nun einen anderen Absender, der der ersten verschachtelten Abrechnungsrichtlinie entspricht. In diesem Spiel kann nach zwei gezählten Einschlüssen gepasst werden. Die Auswertung wird nicht über den späteren Zweig des Nachrichtendienstes fortgesetzt, nur um den Speicherplatz aufzubrauchen.
Aus diesem Grund sind eine Pfadverfolgung und ihre Eingabeadresse wichtig. Aus diesem Grund können ein statisches Erweiterungstool und die spezielle Auswertung eines Empfängers unterschiedlich aussehende Zählungen anzeigen, ohne dasselbe zu messen.
Verfolgen Sie die tatsächlich fehlgeschlagene Bewertung
Erfassen Sie die Verbindungs-IP, die SPF-evaluierte Umschlagdomäne, die vollständigen relevanten TXT Antworten und die Diagnose des Empfängers. Timing beibehalten: Die referenzierte Richtlinie eines Anbieters kann sich nach der ursprünglichen Lieferung ändern.
Notieren Sie jeden erreichten gezählten Zeitraum, die referenzierte Richtlinie und das Ergebnis, das dazu führt, dass die Bewertung fortgesetzt wird, übereinstimmt oder fehlschlägt. Es gibt mehrere Möglichkeiten, einen Fehler mit zu langen Begriffen von einer fehlerhaften Syntax zu unterscheiden SPF Einträge, eine zirkuläre Abhängigkeit oder ein vorübergehender DNS Fehler.
Eine Stammdatensatzsuche hilft dabei, den Ausgangspunkt festzulegen:
dig TXT example.com . +nein,alles +antwortenDer BIND-Dig-Handbuch dokumentiert diese DNS-Abfrage-/Anzeigeoptionen. SPF wird nicht selbst ausgewertet oder die Suchanzahl ermittelt. Ein DNS Abfragebefehl ist kein Ersatz für den Trace.
Wählen Sie eine wartbare Korrektur
Beginnen Sie mit veralteten Berechtigungen. Stellen Sie sicher, dass ein Include nicht mehr benötigt wird, bevor Sie es entfernen. Gemeinsame Dienste und saisonale Post können dazu führen, dass ein Ruheintervall irreführend ist.
Überprüfen Sie für aktive Dienste die unterstützte Konfiguration des Anbieters. Eine dedizierte sendende Subdomäne oder eine unterstützte benutzerdefinierte Umschlagidentität kann unabhängige Abhängigkeiten reduzieren und die Governance verbessern, aber die Identitäten und Ausrichtung muss noch verifiziert werden.
Durch Ändern der Mechanismusreihenfolge kann sich der ausgewertete Pfad ändern. Testen Sie repräsentative legitime und nicht übereinstimmende Eingaben, anstatt zuerst den am stärksten ausgelasteten Dienst zu verschieben und die gesamte Richtlinie für behoben zu erklären.
Durch die Reduzierung können referenzierte Richtlinien durch Adressdaten ersetzt und die gezählten Begriffe reduziert werden. Außerdem entsteht Wartungsaufwand: Adressänderungen des Providers müssen berücksichtigt, veraltete Berechtigungen entfernt und Ausfälle erkannt werden. Datensatzlängen- und DNS Einschränkungen verschwinden nicht. Verwenden Sie keine breiten oder freizügigen Bereiche +all als Abkürzung.
Überprüfen Sie die Auswirkungen auf legitime Dienste
Ein Unternehmen kann dieses Problem erreichen, nachdem es jahrelang Dienste zu derselben Domäne hinzugefügt hat. Alte Includes bleiben erhalten, Anbieter fügen Abhängigkeiten hinzu und niemand besitzt den vollständigen Berechtigungssatz.
Bitten Sie um eine Erklärung auf Serviceebene: Welche legitimen Nachrichten treffen auf den fehlerhaften Pfad, welche Berechtigungen sind noch erforderlich und wer kümmert sich um den Ersatz. Die billigste scheinbare Lösung kann teuer werden, wenn sie Anbieteradressen kopiert ein Rekord dass niemand auf dem Laufenden bleibt.
Beurteilen Sie das Ergebnis anhand wiederhergestellter legitimer E-Mails und kontrollierter Berechtigungen. Eine geringere Checker-Anzahl ist ein nützlicher Beweis, aber nicht das gesamte Geschäftsergebnis.
Überprüfen Sie die resultierenden Berechtigungen und DMARC Ausrichtung
Fordern Sie eine gepflegte Service-to-Permission-Karte, eine verantwortliche Änderung und Nachweise für alle betroffenen legitimen Routen an. Fragen Sie, ob durch den Fix eine neue Live DNS Abhängigkeit eingeführt, die Wartung ausgelagert oder unnötiger Infrastrukturzugriff beibehalten wurde.
Verfolgen Sie den Grund für jede Erlaubnis und die Bedingung für den Ruhestand. Eine technisch gültige SPF -Richtlinie kann immer noch zu viel zulassen. Es wird auch nicht festgestellt Reputation des Absenders oder die Sicherheit des Inhalts einer Nachricht.
Bewerten Sie nach der Korrektur die zuvor fehlgeschlagenen Eingaben und den repräsentativen legitimen Datenverkehr erneut. Dann überprüfen DMARC Ausrichtung separat durchführen. Ein wiederhergestellter roher SPF -Durchlauf für eine nicht verwandte Umschlagdomäne führt nicht zu einer Lösung ein Ausrichtungsfehler.
Der praktische Imbiss
Eine erfolgreiche Korrektur weist auf eine konforme Auswertung der relevanten Eingaben und einen weiterhin rechtmäßigen Versand hin. Behalten Sie die Abhängigkeitsverfolgung und den Grund für jede beibehaltene Berechtigung bei. Überprüfen Sie dann die Ausrichtung anhand realer Nachrichten. Ein repariertes Roh SPF -Ergebnis ist nur ein Teil von DMARC .
Notieren Sie die nächste Entscheidung
Das nicht übereinstimmende Spiel hat 1+3+1+6=11 gezählte Versuche; Das sechste verschachtelte Nachrichten-Include überschreitet den Grenzwert nach 10. Für den frühen Abrechnungsabgleich sind nur zwei Includes erforderlich. Behalten Sie diesen Annahmesatz bei jedem Werkzeugvergleich bei und beschriften Sie die Diagrammerweiterung getrennt von der Anzahl der ausgewerteten Pfade. Für diese Beispiele wurde kein Evaluator oder keine Netzwerkabfrage ausgeführt.