Ip4 e ip6 SPF meccanismi confrontano l'indirizzo di connessione con un indirizzo pubblicato o CIDR rete. Sono semplici quando controlli server in uscita stabili, ma un piccolo errore nel prefisso può concedere l'autorizzazione a molte più infrastrutture del previsto.
Utilizza l'indirizzo che il destinatario vede effettivamente. L'indirizzo dell'interfaccia privata di un server, l'indirizzo di un sito Web e l'intervallo di rete generale di un account cloud non sostituiscono l'origine SMTP in uscita.
Scegli l'ambito giustificato più ristretto
ip4:192.0.2.70 identifica un indirizzo IPv4 perché il prefisso omesso per impostazione predefinita è /32. ip6:2001:db8::70 allo stesso modo il valore predefinito è /128. Un prefisso IPv4 /24 rappresenta 256 indirizzi, mentre un prefisso IPv6 /64 copre uno spazio di indirizzi enorme. La dimensione della rete non è un motivo per autorizzarla; il controllo e le esigenze operative sono.
RFC 7208 sezione 5.6 definisce le regole di corrispondenza e di prefisso. Utilizza indirizzi completi e la notazione CIDR corretta. Un valore abbreviato come 192.0.2. non è un sostituto valido per 192.0.2.0/24 .
Esempio pratico: i test di confine rilevano ampie sovvenzioni
Consideriamo la politica sintetica v=spf1 ip4:192.0.2.64/28 ip6:2001:db8:1::/64 -all. L'intervallo IPv4 va da 192.0.2.64 a 192.0.2.79 . Un indirizzo di connessione 192.0.2.70 corrisponde; 192.0.2.80 non lo fa e raggiunge -all se nient'altro corrisponde.
L'indirizzo IPv6 2001:db8:1::25 corrisponde a /64. L'indirizzo 2001:db8:2::25 no. Questi indirizzi di documentazione riservati servono per ragionare sulla politica, non per mittenti attivi.
Per un intervallo proposto reale, creare gli stessi test di confine ed elencare chi controlla ogni segmento incluso. Se l'unico mittente approvato è un host, confrontare il set di autorizzazioni con un meccanismo a indirizzo singolo prima di approvare il prefisso più ampio.
Controlla sia le famiglie di rete che i percorsi di uscita
Un'origine IPv6 nativa richiede un'autorizzazione IPv6 . RFC 7208 RFC 7208 §5 richiede separatamente che gli indirizzi IPv6 mappati su IPv4 vengano controllati come IPv4 ; questo non fa sì che un intervallo ip4 copra IPv6 nativo. Un sistema che inizia a utilizzare IPv6 potrebbe improvvisamente raggiungere la fine della policy anche se i suoi messaggi IPv4 continuano a passare. Ottenere prove dei messaggi ricevuti o record dell'infrastruttura in uscita per entrambe le famiglie effettivamente utilizzate.
Tieni conto anche di NAT, gateway di failover, relè regionali e processi pianificati. Un test da un singolo nodo attivo potrebbe perdere un percorso di standby. Non risolvere l’incertezza autorizzando un intero provider di hosting. Stabilire invece il set di uscita e la proprietà supportati.
Comprendere il compromesso di manutenzione
Sotto RFC 7208 §4.6.4, ip4 e ip6 non consumano il budget dei dieci termini che causano query DNS durante la valutazione del meccanismo. Il destinatario deve ancora ottenere il Registro SPF, e la dimensione e la correttezza delle politiche continuano a contare. Un record con centinaia di intervalli copiati non è automaticamente gestibile semplicemente perché tali termini non contano ai fini di tale limite.
Quando un provider consiglia un'inclusione, sostituirla con un'istantanea degli indirizzi IP ti rende responsabile delle modifiche future. Registra come verranno rilevate le modifiche, chi le approverà e come verranno rimossi gli indirizzi obsoleti. Le autorizzazioni obsolete possono interrompere la posta legittima e mantenere l'accesso per l'infrastruttura che non utilizzi più.
Pubblica con un'autorizzazione diff
Conserva il vecchio record e spiega gli intervalli esatti che vengono aggiunti e rimossi. Convalida l'intero record SPF proposto, testa gli indirizzi dei mittenti noti e gli indirizzi non autorizzati nelle vicinanze e verifica la risposta TXT pubblicata. Quindi invia messaggi rappresentativi attraverso percorsi normali e di failover.
Se un indirizzo è inaspettatamente al di fuori dell'intervallo approvato, indagare sul percorso prima di ampliarlo. Un'uscita imprevista potrebbe rivelare un errore di configurazione o un mittente non approvato anziché un'autorizzazione mancante.
Il pratico takeaway
Un meccanismo di indirizzo è esplicito solo quando la sua proprietà e i suoi confini sono espliciti. Utilizza l'uscita osservata, testa i limiti dell'intervallo e tratta le future modifiche degli indirizzi come parte del ciclo di vita dell'autorizzazione.
Registrare la decisione e i suoi limiti
Per l'incontro /28, registrare 192.0.2.63 come esterno, .64 e .79 come interno e .80 come esterno. La corrispondenza del prefisso SPF include tutti gli indirizzi nel blocco, non solo il sottoinsieme convenzionale dell'indirizzo host. Se solo .70 è giustificato, confronta /32 con /28: quest'ultimo garantisce 16 indirizzi, non uno. Questi sono esempi di appartenenza calcolati, non test SPF eseguiti.