Una solicitud puede pasar SPF en un intento de entrega y falla en otro cuando su correo sale a través de diferentes familias de direcciones. Si un inventario enumera solo la salida IPv4 , una ruta IPv6 puede ser legítima pero no autorizada por la política realmente evaluada. Diagnosticar la dirección de conexión antes de ampliar el registro.
El objetivo es una cobertura precisa: autorizar las fuentes IPv6 que su organización o proveedor realmente utiliza, preservando al mismo tiempo el comportamiento IPv4 existente y manteniendo las direcciones no relacionadas fuera de la política.
Encuentre las rutas reales de envío IPv6
Recopile resultados representativos de receptores confiables y salientes MTA registros. Registre la IP de conexión, el dominio del sobre, HELO nombre de host, servicio del remitente y marca de tiempo. Observaciones grupales tanto por identidad de dominio como por familia de direcciones. de un servidor web récord AAAA no es prueba de que la misma dirección envíe correo y un destino MX entrante no es automáticamente una fuente saliente.
Incluya retransmisiones alternativas y rutas regionales. Un solo mensaje exitoso no puede mostrar que todas las rutas están cubiertas. Pregunte a los propietarios de infraestructura si IPv6 está habilitado en servidores primarios, sistemas de conmutación por error y rutas de entrega alojadas, luego compare esas respuestas con las conexiones observadas.
Utilice los mecanismos correctos
SPF tiene distintos ip4 y ip6 mecanismos bajo RFC 7208 §5.6. ip4 autoriza direcciones IPv4 ; no cubre automáticamente los equivalentes IPv6 . Un ip6 El mecanismo sin una longitud de prefijo identifica una dirección, equivalente a /128. Los prefijos más amplios autorizan la red coincidente, así que utilice sólo el rango justificado por su diseño de envío real.
El a y mx Los mecanismos pueden implicar búsquedas específicas de familias de direcciones: la evaluación IPv6 utiliza direcciones AAAA cuando corresponda. Eso no los convierte en un sustituto del inventario. Un futuro cambio de AAAA puede alterar los hosts que esos mecanismos autorizan. Las coberturas del proveedor pueden cubrir a ambas familias, pero inspeccione la póliza respaldada en lugar de asumir que todas las coberturas lo cubren.
RFC 7208 §5 también aborda el manejo de IPv6 mapeado IPv6 por parte de los evaluadores. Cuando una herramienta representa una conexión IPv4 en forma asignada, no responda agregando rangos arbitrarios IPv6 sin verificar el manejo del evaluador y la conexión subyacente.
Probar una adición de alcance limitado
Política sintética: v=spf1 ip4:192.0.2.10 ip6:2001:db8:1234::10 -all. Ambas direcciones están reservadas para documentación. Un evaluador controlado debe devolver aprobación para cualquiera de las fuentes enumeradas utilizando el dominio evaluado y fallar para fuentes no coincidentes, asumiendo que no interviene ningún error DNS o de sintaxis.
El término IPv6 anterior autoriza una dirección. Reemplazándolo con ip6:2001:db8:1234::/48 amplía sustancialmente el conjunto. No elija un prefijo amplio simplemente porque se parece a una asignación que se muestra en un panel de infraestructura. Establezca qué parte de la asignación se utiliza y controla para el correo saliente.
Poner en escena el cambio de producción
Confirme las direcciones propuestas con el propietario del servicio y la orientación del proveedor actual. Preservar la política anterior, obtener la aprobación correspondiente y validar el registro completo antes de su publicación. Bajo RFC 7208 §4.6.4, los mecanismos de IP explícitos no consumen en sí mismos el presupuesto del plazo de búsqueda de DNS de SPF , pero el resto del registro aún necesita evaluación.
Pruebe una ruta IPv4 , una ruta IPv6 y una fuente inigualable bajo su control. En los receptores reales, conserve la IP de conexión real y la identidad evaluada para que una prueba que utilizó IPv4 de forma silenciosa no se informe como un éxito IPv6 . Tenga en cuenta las respuestas DNS almacenadas en caché al comparar observaciones inmediatamente después del cambio.
Mantener el límite
Agregue la revisión SPF a la implementación IPv6 y a los procedimientos de renumeración de redes. Cuando las direcciones rotan o un proveedor administra un grupo grande, prefiera su configuración de autenticación admitida en lugar de copiar observaciones transitorias en una lista de permitidos permanente. Una IP de muestra muestra que se utilizó una fuente; no necesariamente define el rango autorizado completo del proveedor.
Cierre la revisión con evidencia de que ambas familias trabajan para las identidades previstas y que los rangos elegidos están justificados. La cobertura IPv6 debería ser una mejora del inventario, no una excusa para autorizar una red completa sin propiedad.
Registre la siguiente decisión
En la política sintética, la dirección IPv6 2001:db8:1234::10 está cubierta como /128, mientras que 2001:db8:1234::11 no. Cambiar a /48 también cubriría esta última y muchas más direcciones. Registrar qué alcance realmente autoriza el titular del servicio y la familia real observada por el receptor; El correo IPv4 exitoso no es evidencia de cobertura IPv6 . No se ejecutó ninguna prueba en vivo.