IP4와 IP6 SPF 메커니즘은 연결 주소를 게시된 주소와 비교하거나 CIDR 회로망. 안정적인 아웃바운드 서버를 제어할 때는 간단하지만 작은 접두사 오류로 인해 의도한 것보다 훨씬 더 많은 인프라에 권한이 부여될 수 있습니다.
받는 사람이 실제로 보는 주소를 사용하세요. 서버의 개인 인터페이스 주소, 웹사이트 주소 및 클라우드 계정의 일반 네트워크 범위는 아웃바운드 SMTP 소스를 대체하지 않습니다.
가장 좁은 정당한 범위를 선택하십시오
ip4:192.0.2.70 생략된 접두사의 기본값은 /32이므로 하나의 IPv4 주소를 식별합니다. ip6:2001:db8::70 마찬가지로 기본값은 /128입니다. /24 IPv4 접두사는 256개의 주소를 나타내는 반면, /64 IPv6 접두사는 막대한 주소 공간을 차지합니다. 네트워크 크기는 이를 승인하는 이유가 아닙니다. 통제 및 운영상의 필요가 있습니다.
RFC 7208 섹션 5.6 일치 및 접두사 규칙을 정의합니다. 완전한 주소와 적절한 CIDR 표기법을 사용하세요. 192.0.2와 같은 축약된 값입니다. 192.0.2.0/24 의 유효한 대체품이 아닙니다.
실제 사례: 경계 테스트는 광범위한 승인을 포착합니다.
합성 정책을 고려하십시오. v=spf1 ip4:192.0.2.64/28 ip6:2001:db8:1::/64 -all. IPv4 범위는 192.0.2.64 부터 192.0.2.79 까지입니다. 연결 주소 192.0.2.70 이 일치합니다. 192.0.2.80 일치하지 않으며 일치하는 항목이 없으면 -all 에 도달합니다.
IPv6 주소 2001:db8:1::25 는 /64와 일치합니다. 주소 2001:db8:2::25 는 그렇지 않습니다. 이러한 예약된 문서 주소는 실시간 발신자가 아닌 정책에 대한 추론을 위한 것입니다.
실제 제안된 범위의 경우 포함된 모든 세그먼트를 제어하는 동일한 경계 테스트 및 목록을 만듭니다. 승인된 유일한 발신자가 하나의 호스트인 경우 더 넓은 접두사를 승인하기 전에 권한 집합을 단일 주소 메커니즘과 비교하십시오.
네트워크 제품군과 송신 경로를 모두 확인하세요.
기본 IPv6 소스에는 IPv6 권한이 필요합니다. RFC 7208 RFC 7208 §5 별도로 IPv4로 매핑된 IPv6 주소를 IPv4 로 확인해야 합니다. 이는 IP4 범위가 기본 IPv6 포함하도록 만들지 않습니다. IPv6 사용하기 시작한 시스템은 IPv4 메시지가 계속 전달되더라도 갑자기 정책 종료에 도달할 수 있습니다. 실제로 사용된 두 제품군 모두에 대해 수신된 메시지 증거 또는 아웃바운드 인프라 기록을 얻습니다.
NAT, 장애 조치 게이트웨이, 지역 릴레이 및 예약된 작업도 고려하세요. 단일 활성 노드의 테스트에서 대기 경로가 누락될 수 있습니다. 전체 호스팅 제공업체에 권한을 부여하여 불확실성을 해결하지 마십시오. 대신 지원되는 송신 세트와 소유권을 설정하세요.
유지 관리 장단점 이해
아래에 RFC 7208 §4.6.4, ip4 및 ip6은 메커니즘 평가 중에 10개의 DNS 쿼리 유발 기간 예산을 소비하지 않습니다. 수신자는 여전히 SPF 레코드, 정책 규모와 정확성은 여전히 중요합니다. 기록 수백 개의 복사된 범위가 있는 용어는 해당 용어가 해당 제한에 포함되지 않기 때문에 자동으로 유지 관리할 수 없습니다.
공급자가 포함을 권장하는 경우 이를 IP 주소의 스냅샷으로 대체하면 향후 변경 사항에 대한 책임은 귀하에게 있습니다. 변경 사항을 감지하는 방법, 이를 승인할 사람, 오래된 주소를 제거하는 방법을 기록합니다. 오래된 권한은 합법적인 메일을 방해하고 더 이상 사용하지 않는 인프라에 대한 액세스를 유지할 수 있습니다.
권한 차이로 게시
이전 기록을 유지하고 추가 및 제거되는 정확한 범위를 설명하십시오. 제안된 전체 SPF 레코드를 검증하고, 알려진 발신자 주소와 근처의 승인되지 않은 주소를 테스트하고, 게시된 TXT 답변을 확인하세요. 그런 다음 일반 및 장애 조치 경로를 통해 대표 메시지를 보냅니다.
주소가 예기치 않게 승인된 범위를 벗어난 경우 경로를 확장하기 전에 경로를 조사하십시오. 예기치 않은 송신으로 인해 권한 누락이 아닌 구성 오류나 승인되지 않은 발신자가 드러날 수 있습니다.
실용적인 테이크아웃
주소 메커니즘은 소유권과 경계가 명시적인 경우에만 명시적입니다. 관찰된 송신을 사용하고, 범위 경계를 테스트하고, 승인 수명 주기의 일부로 향후 주소 변경을 처리합니다.
결정과 그 한계를 기록하십시오.
/28 고정 장치의 경우 192.0.2.63 외부로, .64 및 .79를 내부로, .80을 외부로 기록합니다. SPF 접두사 일치에는 기존 호스트 주소 하위 집합뿐만 아니라 블록의 모든 주소가 포함됩니다. .70만 정당화되는 경우 /32를 /28과 비교하십시오. 후자는 하나가 아닌 16개의 주소를 부여합니다. 이는 SPF 테스트를 실행한 것이 아니라 계산된 멤버십 예시입니다.