Los registros A y AAAA asignan un nombre de host a direcciones IPv4 e IPv6 . Son dependencias de un servicio de correo, no declaraciones de que el servicio está listo o autorizado para enviar. La publicación de una dirección puede exponer una ruta que los clientes realmente prueban, así que verifique cada familia y punto final anunciados.
Sigue el nombre utilizado por el protocolo.
Referencias: RFC 5321 §5.1, RFC 7208 §5.3, RFC 7208 §5.4.
Para SMTP entrante, resuelva los nombres de host de intercambio devueltos por MX . La dirección del sitio web del dominio destinatario no sustituye cuando los intercambios explícitos no se pueden utilizar. Si no existe ningún MX , la regla MX implícita de SMTP puede hacer que los registros A o AAAA del propio dominio del destinatario sean relevantes.
Para salida SPF, examine la política real y la identidad evaluada. Un a el mecanismo puede autorizar direcciones devueltas para su nombre especificado; una llanura Un récord no autoriza nada por sí solo. De manera similar, cambiar un nombre de host utilizado por un SPF mx El mecanismo puede cambiar las direcciones evaluadas como autorizadas. Registre estas referencias antes de tratar la edición de una dirección DNS como un cambio exclusivo del sitio web.
Trate la pila dual como dos rutas operativas
Referencias: RFC 1035 §3.4.1, RFC 3596 §2.1, RFC 3596 §2.3.
Un nombre de host puede tener varios registros A y varios registros AAAA. Su presencia no garantiza la accesibilidad, el servicio SMTP , el certificado correcto o una política equivalente. Un punto final IPv4 en buen estado no establece que IPv6 funcione. Por el contrario, una falla en la ruta de un cliente no prueba que todos los remitentes utilicen esa ruta.
Capture la dirección de destino realmente intentada, la familia de direcciones, el resultado de la conexión y la respuesta SMTP . Si investiga el tráfico saliente, capture la dirección de origen observada externamente en lugar de asumir que coincide con la dirección utilizada dentro de la aplicación. Los grupos de salida de proveedores y NAT pueden hacer que esos valores sean diferentes.
Reproducir un error de familia de direcciones
Accesorio sintético: example.com. MX 10 mx.example.com.; mx.example.com. A 192.0.2.10; mx.example.com . AAAA 2001:db8::10. En el laboratorio, configure el punto final IPv4 para aceptar conexiones TCP en el puerto 25 y deje el punto final IPv6 inalcanzable. Las comprobaciones DNS esperadas tienen éxito para ambos tipos de registros, mientras que una prueba de conexión específica de la familia solo tiene éxito para IPv4 .
Consulta cavar @AUTH mx.example.com . Un +norecurso y luego el mismo comando con AAAA. Reemplace AUTH con la autoridad aislada. Registre ambas respuestas. Utilice su cliente SMTP de laboratorio aprobado para fijar cada destino de forma independiente, registrando los resultados de la conexión y el protocolo. El accesorio ilustra por qué el éxito DNS no es el éxito del servicio; no hace ninguna afirmación sobre el momento de reserva de un remitente en particular.
Un segundo aparato cambia sólo la dirección A de 192.0.2.10 a 192.0.2.20 mientras que la política SPF es v=spf1 a:mx.example.com -all. Para una evaluación SPF IPv4 con búsquedas exitosas, la dirección elegible para coincidir con el a cambios de mecanismo. Un explícito ip4:192.0.2.10 En cambio, el mecanismo permanecería vinculado a esa red literal hasta que la política misma cambiara.
Hacer reversibles los cambios de dirección
Referencias: RFC 8767 §4.
Haga un inventario de todos los consumidores del nombre de host, incluido el enrutamiento de correo, las referencias SPF , el monitoreo y las expectativas de certificados. Prepare el punto final antes de anunciarlo. Conserve el servicio anterior mientras las cachés adecuadas aún puedan dirigir el tráfico allí, según el plan de migración real en lugar de un período de espera universal.
Después del cambio, compare las respuestas autorizadas con observaciones recursivas y evidencia a nivel de mensaje. Un punto final IPv6 fallido debe repararse o eliminarse mediante un cambio aprobado, y no ocultarse debilitando políticas de autenticación no relacionadas. Cierre el trabajo solo cuando las direcciones previstas y las rutas operativas coincidan con el diseño del servicio documentado.
Mantenga explícito el alcance de la evidencia
Para el escenario de dos familias, mantenga el éxito esperado IPv4 y el fracaso IPv6 como las observaciones de laboratorio propuestas hasta que se prueben. El ejemplo de cambio de dirección SPF supone búsquedas exitosas y la política establecida; no establece autorización vigente para ningún remitente real.