SPF il reindirizzamento delega la restante decisione di autorizzazione a un'altra policy. È progettato per situazioni in cui diversi domini devono condividere autorizzazioni e policy gestite centralmente, spesso all'interno di un'unica organizzazione amministrativa.
Non è un alias di include e -all non è un backup. Comprendere quando viene eseguito il reindirizzamento è essenziale prima di consolidare i record. RFC 7208 sezione 6.1 ne definisce il comportamento.
Stabilire la condizione di delega
Quando nessun meccanismo corrisponde, nessun errore precedente ha interrotto la valutazione ed è presente il reindirizzamento, SPF valuta la destinazione del reindirizzamento. L'IP di connessione e il mittente rimangono gli stessi, mentre il dominio in valutazione diventa il target. La valutazione risultante fornisce il risultato, con SPF mancante nel divenire target permerror piuttosto che nessuno.
Se nel record esterno è presente un meccanismo completo, il reindirizzamento viene ignorato. Il posizionamento del reindirizzamento prima di tutto non lo salva. Scrivi il reindirizzamento alla fine per chiarezza, ma ricorda che si tratta di un modificatore piuttosto che di un meccanismo di corrispondenza da sinistra a destra.
Un meccanismo locale può precedere la delega. Ad esempio, un'autorizzazione ip4 esplicita può corrispondere prima che venga consultata la policy condivisa. Decidere se tali eccezioni sono previste; altrimenti una politica apparentemente centrale potrebbe non rappresentare l’intera storia dell’autorizzazione.
Esempio realizzato: due domini, una policy gestita
Presupponendo una sintassi valida, quella selezionata Registro SPF per nome e recupero DNS riuscito, in questo dispositivo sintetico, east.example.com e west.example.com pubblicano ciascuno v=spf1 redirect=policy.example.com. La destinazione condivisa pubblica v=spf1 ip4:192.0.2.30 -all.
Per 192.0.2.30 , ogni policy esterna delega, l'ip4 di destinazione corrisponde e il risultato è pass. Per 192.0.2.31 , la destinazione raggiunge -all e il risultato delegato è fail. Se l'obiettivo registrazione TXT scompare, le valutazioni che richiedono il reindirizzamento producono permerror .
Ora cambia la politica dell’est in v=spf1 ip4:198.51.100.8 redirect=policy.example.com. Questo indirizzo aggiuntivo passa localmente, anche se la destinazione condivisa non lo autorizza. Un audit basato sulla politica centrale deve quindi leggere ogni record di delega anziché rivedere solo l’obiettivo.
Confronta lo stesso target in include
Se la policy esterna invece contiene v=spf1 include:policy.example.com ~all, un pass figlio corrisponde all'include. Un bambino fallito non fornisce il risultato finale; l'elaborazione riprende e l'esterno ~all produce softfail .
Il reindirizzamento trasporta il risultato della politica target quando richiamato. Include chiede se la destinazione passa e poi continua con la politica esterna quando ciò non avviene. Scegli la costruzione che corrisponde al modello di proprietà invece di tradurre meccanicamente tra loro.
Controlla le regole sensibili al contesto
Il reindirizzamento modifica il dominio di valutazione corrente mantenendo l'input del mittente. Le macro e i meccanismi relativi al dominio possono quindi dipendere dal dominio o dal valore del mittente utilizzati. Una policy che funziona per un dominio non è automaticamente sicura per un altro.
Per un servizio di invio di terze parti, utilizzare il meccanismo di integrazione supportato dalla documentazione corrente. RFC 7208 avverte che il reindirizzamento oltre i confini amministrativi potrebbe non comportarsi in modo affidabile, soprattutto quando la politica di destinazione dipende da parti locali. Non sostituire un'inclusione documentata con un reindirizzamento semplicemente per abbreviare il record visibile.
Gestire la policy condivisa in modo sicuro
Inventaria tutti i domini dipendenti e le eccezioni locali. Assegnare un proprietario responsabile al target condiviso. Prima di modificarlo, testare un mittente consentito e uno non consentito per ciascun contesto di policy distinto, incluso IPv6 dove utilizzato. Conservare insieme i record originali di delega e di condivisione.
Sotto RFC 7208 §4.1 E RFC 7208 §4.6.4, il reindirizzamento e i termini nidificati raggiunti consumano il budget dei termini DNS SPF . Rileva loop e crescita delle dipendenze attraverso la valutazione anziché fare affidamento sulla breve durata di ciascun record locale. Dopo una modifica, ispeziona le risposte autorevoli e ricorsive e la posta ricevuta dal rappresentante del test.
Il pratico takeaway
Il reindirizzamento è una centralizzazione utile quando si desidera veramente una politica condivisa. Tieni tutto fuori dal record di delega, controlla le eccezioni locali e testa il contesto del mittente che sopravvive alla delega.
Mantenere la decisione riproducibile
Per east.example.com , l'eccezione locale 198.51.100.8 passa senza invocare la destinazione condivisa; pertanto, non è necessario che un'interruzione della destinazione condivisa influisca su quel percorso esatto. Un'origine diversa che richiede il reindirizzamento può riscontrare l'errore di destinazione. Registrare insieme il record esterno, l'input del mittente, l'obiettivo raggiunto e il risultato atteso prima di approvare la centralizzazione. Non è stata eseguita alcuna modifica della policy condivisa o test di interruzione.