Una domanda può essere approvata SPF in un tentativo di consegna e fallisce in un altro quando la posta parte attraverso famiglie di indirizzi diverse. Se un inventario elenca solo l'uscita IPv4 , un percorso IPv6 può essere legittimo ma non autorizzato dalla policy effettivamente valutata. Diagnosticare l'indirizzo di connessione prima di ampliare il record.
L'obiettivo è una copertura precisa: autorizzare le fonti IPv6 effettivamente utilizzate dalla propria organizzazione o fornitore, preservando il comportamento IPv4 esistente e mantenendo gli indirizzi non correlati al di fuori della policy.
Trova i percorsi di invio IPv6 reali
Raccogliere i risultati dei ricevitori fidati rappresentativi e quelli in uscita MTA registri. Registra l'IP di connessione, il dominio della busta, HELO nome host, servizio mittente e timestamp. Raggruppare le osservazioni sia per identità di dominio che per famiglia di indirizzi. Quello di un server web Record AAAA non è una prova che lo stesso indirizzo invii la posta e una destinazione MX in entrata non è automaticamente un'origine in uscita.
Includere relè di fallback e percorsi regionali. Un singolo messaggio di successo non può mostrare che ogni percorso è coperto. Chiedi ai proprietari dell'infrastruttura se IPv6 è abilitato su server primari, sistemi di failover e percorsi di distribuzione in hosting, quindi confronta le risposte con le connessioni osservate.
Utilizzare i meccanismi corretti
SPF ha distinto ip4 E ip6 meccanismi sotto RFC 7208 §5.6. ip4 autorizza gli indirizzi IPv4 ; non copre automaticamente gli equivalenti IPv6 . UN ip6 Il meccanismo senza lunghezza del prefisso identifica un indirizzo, equivalente a /128. Prefissi più ampi autorizzano la rete corrispondente, quindi utilizza solo l'intervallo giustificato dal tuo progetto di invio effettivo.
IL a E mx i meccanismi possono comportare ricerche specifiche per famiglia di indirizzi: la valutazione IPv6 utilizza indirizzi AAAA ove applicabile. Ciò non li rende un sostituto dell'inventario. Una futura modifica AAAA può alterare gli host autorizzati da tali meccanismi. Le inclusioni del fornitore possono coprire entrambe le famiglie, ma controlla la politica supportata anziché dare per scontato che tutte le inclusioni lo facciano.
RFC 7208 §5 affronta anche la gestione IPv6 da parte dei valutatori. Quando uno strumento rappresenta una connessione IPv4 in forma mappata, non rispondere aggiungendo intervalli IPv6 arbitrari senza verificare la gestione del valutatore e la connessione sottostante.
Testare un'aggiunta con ambito ristretto
Politica sintetica: v=spf1 ip4:192.0.2.10 ip6:2001:db8:1234::10 -all. Entrambi gli indirizzi sono riservati alla documentazione. Un valutatore controllato dovrebbe restituire un pass per una delle fonti elencate utilizzando il dominio valutato e fallire per le fonti senza corrispondenza, presupponendo che non intervengano errori DNS o di sintassi.
Il termine IPv6 sopra autorizza un indirizzo. Sostituendolo con ip6:2001:db8:1234::/48 amplia notevolmente il set. Non scegliere un prefisso ampio semplicemente perché assomiglia a un'allocazione mostrata nel dashboard dell'infrastruttura. Stabilire quale parte dell'allocazione viene utilizzata e controllata per la posta in uscita.
Mettere in scena il cambio di produzione
Conferma gli indirizzi proposti con il proprietario del servizio e la guida del fornitore attuale. Conservare la politica precedente, ottenere l'approvazione appropriata e convalidare il record completo prima della pubblicazione. Sotto RFC 7208 §4.6.4, i meccanismi IP espliciti non consumano di per sé il budget dei termini di ricerca DNS di SPF , ma il resto del record necessita ancora di valutazione.
Testa un percorso IPv4 , un percorso IPv6 e una fonte senza eguali sotto il tuo controllo. Nei ricevitori reali, conservare l'IP di connessione effettivo e l'identità valutata in modo che un test che utilizzasse silenziosamente IPv4 non venga segnalato come un successo IPv6 . Tenere conto delle risposte DNS memorizzate nella cache quando si confrontano le osservazioni immediatamente dopo la modifica.
Mantenere il confine
Aggiunta della revisione SPF alle procedure di implementazione IPv6 e di rinumerazione della rete. Laddove gli indirizzi ruotano o un provider gestisce un pool di grandi dimensioni, preferisci la configurazione di autenticazione supportata piuttosto che copiare le osservazioni temporanee in una lista consentita permanente. Un IP di esempio mostra che è stata utilizzata una fonte; non definisce necessariamente l'intera gamma autorizzata del fornitore.
Concludere la revisione con la prova che entrambe le famiglie lavorano per le identità previste e che gli intervalli scelti sono giustificati. La copertura IPv6 dovrebbe rappresentare un miglioramento dell'inventario, non una scusa per autorizzare un'intera rete senza proprietà.
Registra la decisione successiva
Nella policy sintetica, l'indirizzo IPv6 2001:db8:1234::10 è coperto come /128, mentre 2001:db8:1234::11 non lo è. Passare a /48 coprirebbe anche quest'ultimo e molti altri indirizzi. Registrare quale ambito il titolare del servizio effettivamente autorizza e la reale famiglia osservata del ricevente; La posta IPv4 riuscita non è prova della copertura IPv6 . Non è stato eseguito alcun test dal vivo.