The SPF ptr-mekanismi on vanha tapa valtuuttaa yhdistävä isäntä validoidun kautta käänteinen DNS. Nykyisten SPF ohjeiden mukaan sitä ei pidä julkaista, koska se on hidas, epäluotettava joissakin DNS-virhetapauksissa ja toiminnallisesti raskas. Se on edelleen osa protokollaa, ja vaatimustenmukaisten arvioijien on tuettava sitä.
Tällä erolla on merkitystä: lannistuminen ei tarkoita yleisesti huomiotta jätettyä tai automaattisesti kelpaamatonta. Sen poistaminen tunnistamatta siitä riippuvia lähettäjiä voi muuttaa todellisia todennustuloksia. RFC 7208 kohta 5.5 antaa asiaankuuluvat ohjeet.
Ymmärrä korvattava lupa
Käsitteellisesti ptr alkaa yhdistävän osoitteen käänteisellä haulla. Sitten se edelleen ratkaisee palautetut nimet varmistaakseen, että ne osoittavat takaisin yhteysosoitteeseen. Vahvistetun nimen on vastattava kohdeverkkotunnusta tai oltava sen verkkotunnuksen rajojen sisällä, jotta mekanismi täsmää.
Tämä on enemmän kuin sen tarkistaminen, sisältääkö isäntänimi tutun merkkijonon. Nimi, kuten relay.example.com , on hakemistossa example.com ; relay.notexample.com ei ole. Käänteinen vastaus ei myöskään yksin riitä: eteenpäin tapahtuvalla validoinnilla on merkitystä.
Käänteistä DNS ää hallinnoi usein osoitteen omistaja eikä SPF muokkaava organisaatio. Tämä luo ylimääräisen hallinnollisen riippuvuuden, kun käytäntö perustuu valitun toimialueen alla oleviin isäntänimiin.
Kävele esimerkki synteettisestä perinnöstä
Oletetaan, että example.com julkaisee v=spf1 ptr:example.com -all. Yhteys saapuu osoitteesta 192.0.2.55 . Sen käänteinen vastaus on outbound.example.com , ja sen nimen vastaus sisältää 192.0.2.55 . Tässä yksinkertaistetussa sovitteessa vahvistettu nimi on example.com -sivustossa, joten ptr vastaa.
Jos edelleenlähetysosoite on sen sijaan 192.0.2.99 , käänteistä nimeä ei vahvisteta yhteysosoitteelle. Jos mikään muu vahvistettu nimi ei kelpaa, ptr ei täsmää ja käytäntö saavuttaa -all . Vastaavasti kohdeverkkotunnuksen ulkopuolella oleva vahvistettu nimi ei kelpaa pelkästään siksi, että se näyttää samanlaiselta.
Nämä ovat odotettuja protokollan tuloksia synteettisille syötteille, eivät havaintoja tuotantoalueelta. Todellinen arviointi soveltaa myös haku- ja käsittelyrajoja, mukaan lukien taaksepäin- ja eteenpäintyön rajoitukset.
Älä sekoita kahta käänteistä DNS-päätöstä
PTR-mekanismin poistaminen SPF :stä ei tarkoita palvelimen PTR tietueen poistamista. Käänteinen DNS voi silti olla merkityksellinen SMTP toimintojen, vastaanotinvaatimusten ja maineen tarkistamisen kannalta SPF stä riippumatta. Isännällä voi olla asianmukainen käänteinen DNS kun taas sen SPF -käytäntö käyttää ip4:ää, ip6:ta tai dokumentoitua palveluntarjoajaa.
Pidä siirto suppeasti rajoitettuna. Vaihda valtuutusmekanismi ja säilytä muut toimivat DNS asetukset, ellei erillinen, perusteltu muutos vaadi niitä.
Valitse korvaava havaittujen lähettäjien joukosta
Jotta hallinnassasi on oma vakaa ulospääsy, eksplisiittiset ip4- ja ip6-oikeudet tekevät aiotut osoitteet näkyvissä. Jos palvelussa on hallittu muuttuva infrastruktuuri, käytä sen dokumentoitua SPF määritystä palveluntarjoajan isäntänimisäännön rekonstruoimisen sijaan.
The mekanismi voi olla tarkoituksenmukaista, kun erityisesti ohjattu isäntänimi on tarkoitettu määrittämään lähetysosoitteet. Se ei ole automaattisesti paras ptr:n korvike: se muuttaa lupamallia ja luo oman eteenpäin suunnatun DNS-riippuvuuden.
Luo luettelo osoitteista, jotka tällä hetkellä kulkevat ptr:n kautta, ja hanki todisteet omistajuudesta. Sisällytä vikasieto, IPv6 ja harvinainen liikenne. Älä kerää muutamia viimeaikaisia osoitteita ja väitä, että olet luonut täydellisen käyttöoikeusjoukon.
Siirtykää piilottamatta epävarmuutta
Luo ehdotettu käytäntö, joka valtuuttaa vahvistetut lailliset reitit. Arvioi kyseisen joukon vanhat ja uudet käytännöt ja luvattomat hallintalaitteet. Tarkista, onko uusi apuraha laajempi kuin vanha ja ovatko tuntemattomat lähettäjät ratkaisematta.
Säilytä aiempi tietue ja määritä palautusehdot, jotka liittyvät laillisiin työnkulun virheisiin. Julkaise normaalin muutoksenhallinnan kautta, tarkista DNS vastaukset ja varmista edustajan vastaanottamat viestit. Jos laillinen lähettäjä epäonnistuu, vahvista sen henkilöllisyys ja omistajuus ennen luvan lisäämistä.
Käytännön takeaway
Poista ptr SPF -valtuutusmekanismina käyttämällä todisteita todellisista lähettäjistä. Säilytä tarvittava käänteinen DNS ja korvaa piilotetut isäntänimien riippuvuudet selkeällä, ylläpidettävällä käyttöoikeusmallilla.
Kirjoita seuraava päätös muistiin
Säilytä synteettiselle vanhalle lähteelle käänteinen vastaus, eteenpäin vastaus, vahvistettu nimi ja kohde-rajan vertailu erikseen. Vertaa sitten ehdotettua vaihtoa tunnettuihin, vikasieto- ja harvoin lähteisiin sekä luvattomaan valvontaan. Jos yhden lähettäjän omistajuus jää tuntemattomaksi, tallenna tämä aukko sen sijaan, että laajennat a CIDR. Tämä tarkistus ei suorittanut PTR -kyselyitä tai siirtoa.