I record A e AAAA associano un nome host agli indirizzi IPv4 e IPv6 . Sono dipendenze di un servizio di posta, non dichiarazioni che il servizio è pronto o autorizzato a inviare. La pubblicazione di un indirizzo può esporre un percorso che i client effettivamente provano, quindi verifica ogni famiglia ed endpoint pubblicizzati.
Seguire il nome utilizzato dal protocollo
Riferimenti: RFC 5321 §5.1, RFC 7208 §5.3, RFC 7208 §5.4.
Per SMTP in entrata, risolvere i nomi host di Exchange restituiti da MX . L'indirizzo del sito web del dominio destinatario non è sostitutivo quando gli scambi espliciti sono inutilizzabili. Se non esiste alcun MX , la regola MX implicita di SMTP può invece rendere rilevanti i record A o AAAA del dominio destinatario.
Per l'uscita SPF, esaminare la politica attuale e l'identità valutata. UN a il meccanismo può autorizzare gli indirizzi restituiti per il nome specificato; una pianura Un record non autorizza nulla di per sé. Allo stesso modo, la modifica di un nome host utilizzato da un SPF mx Il meccanismo può modificare gli indirizzi valutati come autorizzati. Registra questi riferimenti prima di considerare la modifica di un indirizzo DNS come una modifica riguardante solo il sito web.
Trattare il dual stack come due percorsi operativi
Riferimenti: RFC 1035 §3.4.1, RFC 3596 §2.1, RFC 3596 §2.3.
Un nome host può avere diversi record A e diversi record AAAA. La loro presenza non garantisce la raggiungibilità, il servizio SMTP , il certificato corretto o una policy equivalente. Un endpoint IPv4 integro non stabilisce che IPv6 funzioni. Al contrario, l'errore su un percorso client non dimostra che ogni mittente utilizza quel percorso.
Cattura l'indirizzo di destinazione effettivamente tentato, la famiglia di indirizzi, l'esito della connessione e la risposta SMTP . Se si analizza il traffico in uscita, acquisire l'indirizzo di origine osservato esternamente anziché presumere che corrisponda all'indirizzo utilizzato all'interno dell'applicazione. NAT e pool di uscita del provider possono rendere questi valori diversi.
Riprodurre un errore della famiglia di indirizzi
Apparecchio sintetico: example.com. MX 10 mx.example.com.; mx.example.com. A 192.0.2.10; mx.example.com . AAAA 2001:db8::10. Nel laboratorio, configura l'endpoint IPv4 per accettare connessioni TCP sulla porta 25 e lasciare l'endpoint IPv6 irraggiungibile. I controlli DNS previsti hanno esito positivo per entrambi i tipi di record, mentre un test di connessione specifico per la famiglia ha esito positivo solo per IPv4 .
Domanda dig @AUTH mx.example.com . A +noricorso e poi lo stesso comando con AAAA. Sostituisci AUTH con l'autorità isolata. Registra entrambe le risposte. Utilizza il client SMTP del tuo laboratorio approvato per fissare ciascuna destinazione in modo indipendente, registrando la connessione e i risultati del protocollo. L'evento illustra perché il successo DNS non equivale al successo del servizio; non fa alcuna pretesa sui tempi di fallback di un particolare mittente.
Un secondo apparecchio cambia solo l'indirizzo A da 192.0.2.10 A 192.0.2.20 mentre la politica SPF lo è v=spf1 a:mx.example.com -all. Per una valutazione SPF IPv4 con ricerche altrimenti riuscite, l'indirizzo idoneo a corrispondere a a cambiamenti nel meccanismo. Un esplicito ip4:192.0.2.10 Il meccanismo rimarrebbe invece legato a quella rete letterale fino a quando la politica stessa non cambierebbe.
Rendi reversibili le modifiche all'indirizzo
Riferimenti: RFC 8767 §4.
Inventaria tutti i consumatori del nome host, inclusi routing della posta, riferimenti SPF , monitoraggio e aspettative sui certificati. Preparare l'endpoint prima di pubblicizzarlo. Conserva il vecchio servizio mentre le cache appropriate possono ancora indirizzare il traffico lì, in base al piano di migrazione effettivo piuttosto che a un periodo di attesa universale.
Dopo la modifica, confronta le risposte autorevoli con osservazioni ricorsive e prove a livello di messaggio. Un endpoint IPv6 guasto dovrebbe essere riparato o rimosso tramite una modifica approvata, non nascosto indebolendo le policy di autenticazione non correlate. Chiudere il lavoro solo quando gli indirizzi e i percorsi operativi previsti corrispondono al progetto di servizio documentato.
Mantenere esplicito l'ambito delle prove
Per lo scenario bifamiliare, mantenere il successo IPv4 previsto e il fallimento IPv6 come osservazioni di laboratorio proposte fino al momento del test. L'esempio di modifica dell'indirizzo SPF presuppone ricerche riuscite e la politica dichiarata; non stabilisce l'autorizzazione corrente per alcun mittente reale.