Wenn ein DNS -Editor eine Beschränkung auf 255 Zeichen meldet, bedeutet dies nicht zwangsläufig, dass Ihr Name gemeint ist SPF Die Richtlinie muss mehrere Datensätze enthalten. Das DNS TXT Format ermöglicht mehrere Zeichenfolgen innerhalb eines Ressourceneintrags. SPF behandelt ihren Inhalt als einen kontinuierlichen Wert. Die betriebliche Herausforderung besteht darin, den beabsichtigten Text beizubehalten und gleichzeitig die Richtlinie und ihre DNS Antworten verwaltbar zu halten.
Trennen Sie drei verschiedene Grenzwerte
Erstens ist eine einzelne TXT -Zeichenfolge auf 255 Oktette begrenzt. SPF Inhalt ist ASCII, sodass die gewöhnlichen Zeichen jeweils ein Oktett belegen. Eine Single TXT Eintrag kann mehr als eine solche Zeichenfolge enthalten. RFC 7208 Abschnitt 3.3 erlaubt diese Darstellung ausdrücklich.
Zweitens hat die DNS -Antwort eine Größe. Es umfasst Namen, Datensatzmetadaten und andere TXT Datensätze, die unter diesem Besitzernamen zurückgegeben werden, nicht nur SPF Text. In Abschnitt 3.4 wird empfohlen, SPF DNS Antworten klein genug zu halten, um die veraltete 512-Oktett-UDP-Verarbeitung zu ermöglichen. Dies ist eine Kompatibilitätsempfehlung und kein universeller Maximalwert von 512 Zeichen für SPF . Moderne DNS -Transportfunktionen beseitigen nicht jedes Resolver-, Firewall- oder Kürzungsproblem.
Drittens gibt es bei SPF -Bewertung Ressourcenbeschränkungen. Das Aufteilen von Text in Zeichenfolgen führt nicht zu einer Reduzierung der verschachtelten Include-Verarbeitung oder der Beschränkung auf zehn Suchbegriffe. Eine kurze Police kann diese Bewertungsgrenze überschreiten; eine längere Liste expliziter Adressen möglicherweise nicht. Bewerten Sie Syntax, DNS Transport und Evaluierungskosten unabhängig voneinander.
Behalten Sie Räume bewusst bei
SPF verkettet Zeichenfolgen, ohne Leerzeichen einzufügen. In einer Zonendateidarstellung, "v=spf1 ip4:192.0.2.10 " "ip4:198.51.100.20 -all" erzeugt die beabsichtigte kontinuierliche Richtlinie, da die erste Zeichenfolge mit einem Leerzeichen endet. Durch das Entfernen dieses Leerzeichens werden die beiden benachbarten Mechanismen zu ungültigem Text zusammengefügt.
Die oben genannten reinen Dokumentationsadressen dienen der Veranschaulichung. Es handelt sich hierbei nicht um autorisierte Werte für Ihre Domain. Die Anführungszeichen entsprechen der Zonendatei-Präsentationssyntax; Ob Sie sie in einen gehosteten DNS Editor eingeben, hängt von der dokumentierten Schnittstelle dieses Anbieters ab. Einige Editoren teilen lange Werte automatisch auf, während andere separate Zeichenfolgenfelder bereitstellen. Überprüfen Sie die bereitgestellte Antwort, anstatt davon auszugehen, dass die Anzeige des Editors mit dem Wire-Format übereinstimmt.
Erstellen Sie zu Beginn keinen zweiten TXT Ressourcendatensatz v=spf1 den Rest zu halten. Mehrere ausgewählt SPF Einträge produzieren permerror. Löschen Sie umgekehrt keine nicht zusammenhängenden TXT Verifizierungsdatensätze, da ein Diagnosetool mehrere TXT Antworten anzeigt.
Überprüfen Sie den veröffentlichten Wert
Erfassen Sie die maßgebliche TXT Antwort und identifizieren Sie, welche Zeichenfolgen zu den einzelnen Ressourcendatensätzen gehören. Rekonstruieren Sie den SPF Wert, indem Sie nur die Zeichenfolgen innerhalb seines einen Datensatzes verketten. Überprüfen Sie die Leerzeichen an jeder Teilungsgrenze und stellen Sie sicher, dass es eine Versionsmarkierung, gültige Mechanismen und die beabsichtigte Endaussage gibt.
Testen Sie dann rekursive DNS -Antworten von den Netzwerken, die wichtig sind. Wenn eine Antwort abgeschnitten ist oder die Auflösung fehlschlägt, untersuchen Sie DNS Transport- und Anbieterkonfiguration, anstatt willkürliche Mechanismen zu löschen. DNSSEC und der breitere Antwortsatz kann sich auf die Antwortgröße auswirken; Eine einfache Zeichenzählung ist kein vollständiger Paketgrößentest.
Ziehen Sie die Bereinigung von Richtlinien dem cleveren Packen vor
Eine wachsende Politik signalisiert häufig angesammelte Dienstleistungen. Überholte Überprüfungen umfassen unnötig breite Mechanismen und doppelte Berechtigungen, bevor die Komplexität zunimmt. Behalten Sie bei Bedarf aktuelle, vom Anbieter verwaltete Mechanismen bei, anstatt ihre aktuellen IP-Adressen nur zu kopieren, um den Datensatz zu kürzen oder umzugestalten. Manuell reduzierte Adressen können veraltet sein, wenn Anbieter die Infrastruktur ändern.
Speichern Sie für eine Richtlinie, die weiterhin mehrere Zeichenfolgen benötigt, den beabsichtigten ungeteilten Text zusammen mit der veröffentlichten Darstellung. Das gibt zukünftigen Administratoren ein stabiles Vergleichsziel. Eine harmlose Editor-Neuformatierung sollte nicht mit einer semantischen Richtlinienänderung verwechselt werden.
Überprüfen Sie das dem Leser zugewandte Ergebnis
Testen Sie nach einer genehmigten Änderung repräsentative Quellen und eine nicht übereinstimmende Quelle mit einem standardbewussten Gutachter und überprüfen Sie dann die tatsächlichen Ergebnisse vertrauenswürdiger Empfänger. Notieren Sie den rekonstruierten Wert, die Reaktionsbeobachtungen und die Bewertungsergebnisse. Schließen Sie das Problem, wenn sowohl DNS Darstellung als auch das Autorisierungsverhalten korrekt sind, und nicht erst, wenn der Editor die Speicherung akzeptiert.
Rekonstruieren Sie eine Anfrageantwort
Das Folgende ist eine synthetische Diagnoseübung, keine Abfrage, die wir ausgeführt haben oder ein Rekord zu veröffentlichen. Ersetzen Sie den tatsächlichen Namen SPF Besitzers durch einen verifizierten Autor Nameserver bevor Sie diese schreibgeschützten Befehle verwenden. Diese Vorlagen verwenden reservierte Beispielnamen.
dig @ ns1.example.net example.com TXT +noall +answer dig example.com TXT +noall +answerDer erste Befehl fragt den angegebenen autorisierenden Server; Der zweite verwendet den auf diesem Computer konfigurierten Resolver. Eine Antwort von einem rekursiven Resolver beweist nicht, dass jeder Empfänger die gleichen Daten sieht. Fragen Sie bei Bedarf einen anderen bekannten Resolver explizit mit @server-address ab.
Synthetische Antwort:
example.com . 300 IN TXT " v=spf1 ip4:192.0.2.10 " " ip4:198.51.100.20 -all "Rekonstruierter Wert:
v=spf1 ip4:192.0.2.10 ip4:198.51.100.20 -allOhne das abschließende Leerzeichen in der ersten Zeichenfolge lautet die Grenze 192.0.2.10ip4: 198.51.100.20 . Der Editor akzeptiert möglicherweise die TXT Daten, die SPF Richtlinie wird dadurch jedoch nicht gültig. Im Gegensatz dazu sind zwei separate Antwortdatensätze, die jeweils mit v=spf1 beginnen, ein Problem mit mehreren Richtlinien und keine Lösung zur Aufteilung von Zeichenfolgen.
Speichern Sie den abgefragten Server, den Besitzernamen, den Zeitstempel und die Antwort. Rekonstruieren Sie jeweils einen Datensatz, vergleichen Sie ihn mit der beabsichtigten Unsplitting-Richtlinie und bewerten Sie dann die Autorisierung des Absenders separat. Die Befehle prüfen DNS Darstellung; Sie führen keine vollständige SPF -Bewertung durch. Sehen RFC 7208 Abschnitt 3.3 zur Verkettung und Abschnitt 4.6.4 für Bewertungsgrenzen.