アプリケーションは通過できます SPF ある配信試行では、メールが異なるアドレス ファミリを経由して送信されると、別の配信試行では失敗します。インベントリにIPv4出力のみがリストされている場合、 IPv6ルートは正当である可能性がありますが、実際に評価されるポリシーによって承認されていません。レコードを拡張する前に、接続アドレスを診断します。
目的は、正確な適用範囲です。つまり、既存のIPv4動作を維持し、無関係なアドレスをポリシーの範囲外に保ちながら、組織またはプロバイダーが実際に使用するIPv6ソースを承認します。
実際のIPv6送信パスを見つける
代表的な信頼できる受信者の結果とアウトバウンドを収集する MTA ログ。接続IP、エンベロープドメイン、 HELO ホスト名、送信者サービス、タイムスタンプ。ドメイン ID とアドレス ファミリの両方によるグループ観察。 Webサーバーの AAAA記録 同じアドレスがメールを送信することを証明するものではなく、受信MX宛先が自動的に送信送信元になるわけではありません。
フォールバック リレーと地域ルートが含まれます。 1 つの成功メッセージだけでは、すべてのルートがカバーされていることを示すことはできません。インフラストラクチャ所有者にプライマリ サーバー、フェイルオーバー システム、およびホストされた配信パスでIPv6が有効になっているかどうかを尋ね、その回答を観察された接続と比較します。
正しいメカニズムを使用する
SPFは特徴があります ip4 そして ip6 下のメカニズム RFC 7208 §5.6. ip4 IPv4アドレスを認可します。 IPv6に相当するものは自動的にカバーされません。アン ip6 プレフィックス長のないメカニズムは、/128 に相当する 1 つのアドレスを識別します。より広いプレフィックスにより一致するネットワークが許可されるため、実際の送信設計によって正当化される範囲のみを使用してください。
の a そして MX メカニズムには、アドレス ファミリ固有の検索が含まれる場合があります。IPv6 評価ではIPv6該当する場合、AAAA アドレスが使用されます。だからといって在庫の代わりになるわけではありません。将来の AAAA 変更により、これらのメカニズムが許可するホストが変更される可能性があります。プロバイダー インクルードは両方のファミリーをカバーできますが、すべてのインクルードがサポートされていると想定するのではなく、サポートされているポリシーを検査します。
RFC 7208 §5 評価者による IPv4 マップされたIPv6処理にも対応します。ツールがマップされた形式でIPv4接続を表す場合、評価者の処理と基礎となる接続を確認せずに、任意のIPv6範囲を追加して応答しないでください。
狭い範囲の追加をテストする
合成ポリシー: v=spf1 ip4:192.0.2.10 ip6:2001:db8:1234::10 -all。どちらのアドレスも文書用に予約されています。 DNSや構文エラーが介在しないと仮定すると、制御された評価者は、評価されたドメインを使用してリストされたソースのいずれかに対して合格を返し、一致しないソースに対しては失敗を返す必要があります。
上記のIPv6用語は 1 つのアドレスを許可します。それを次のものに置き換えると、 ip6:2001:db8:1234::/48 セットを大幅に拡張します。インフラストラクチャ ダッシュボードに表示される割り当てに似ているという理由だけで、幅広いプレフィックスを選択しないでください。割り当てのどの部分が送信メールに使用および制御されるかを確立します。
生産変更をステージングする
提案されたアドレスをサービス所有者および現在のプロバイダーのガイダンスに確認してください。以前のポリシーを保持し、適切な承認を得て、公開前に完全な記録を検証します。下 RFC 7208 §4.6.4、明示的な IP メカニズム自体はSPFの DNS ルックアップ期間バジェットを消費しませんが、レコードの残りの部分は依然として評価が必要です。
制御下にあるIPv4ルート、 IPv6ルート、および一致しないソースをテストします。実際の受信側では、実際の接続 IP と評価された ID を保持するため、 IPv4をサイレントに使用したテストはIPv6成功として報告されません。変更直後の観察を比較する場合は、キャッシュされたDNS応答を考慮してください。
境界線を維持する
IPv6ロールアウトとネットワークの再番号付け手順にSPFレビューを追加します。アドレスが循環する場合、またはプロバイダーが大規模なプールを管理する場合は、一時的な観察を永続的な許可リストにコピーするよりも、サポートされている認証構成を優先します。サンプル IP は、ソースが使用されたことを示します。必ずしもプロバイダーの完全な許可範囲を定義するわけではありません。
両方のファミリーが意図した ID で機能すること、および選択した範囲が正当であることを示す証拠を提示してレビューを終了します。 IPv6適用範囲は在庫の改善であるべきであり、所有権なしでネットワーク全体を認可する言い訳ではありません。
次の決定を記録する
合成ポリシーでは、 IPv6アドレス2001:db8:1234::10は /128 としてカバーされますが、 2001:db8:1234::11はカバーされません。 /48 に切り替えると、後者やさらに多くのアドレスもカバーされます。サービス所有者が実際に許可するスコープと、実際の受信者が監視するファミリーを記録します。 IPv4メールが成功しても、 IPv6がカバーされているという証拠にはなりません。ライブテストは実行されませんでした。