A- en AAAA-records wijzen een hostnaam toe aan IPv4 en IPv6 -adressen. Het zijn afhankelijkheden van een e-mailservice, geen verklaringen dat de service klaar is of geautoriseerd is om te verzenden. Het publiceren van een adres kan een route blootleggen die klanten daadwerkelijk proberen, dus verifieer elke geadverteerde familie en elk eindpunt.
Volg de naam die door het protocol wordt gebruikt
Referenties: RFC 5321 §5.1, RFC 7208 §5.3, RFC 7208 §5.4.
Voor inkomende SMTP lost u de uitwisselingshostnamen op die door MX worden geretourneerd. Het websiteadres van het ontvangende domein is geen vervanging wanneer expliciete uitwisselingen onbruikbaar zijn. Als er geen MX bestaat, kan de impliciete MX-regel van SMTP in plaats daarvan de eigen A- of AAAA-records van het ontvangende domein relevant maken.
Voor uitgaand SPF, onderzoek het feitelijke beleid en de geëvalueerde identiteit. Een a mechanisme kan adressen autoriseren die worden geretourneerd voor de opgegeven naam; een vlakte Een record autoriseert zelf niets. Op dezelfde manier verandert u een hostnaam die door een SPF wordt gebruikt MX mechanisme kan de adressen wijzigen die als geautoriseerd zijn beoordeeld. Noteer deze referenties voordat u een wijziging DNS -adres beschouwt als een wijziging die alleen betrekking heeft op de website.
Beschouw dual-stack als twee bedieningspaden
Referenties: RFC 1035 §3.4.1, RFC 3596 §2.1, RFC 3596 §2.3.
Een hostnaam kan meerdere A-records en meerdere AAAA-records hebben. Hun aanwezigheid garandeert geen bereikbaarheid, SMTP service, het juiste certificaat of een gelijkwaardig beleid. Een gezond IPv4 -eindpunt bewijst niet dat IPv6 werkt. Omgekeerd bewijst een fout op één clientpad niet dat elke afzender dat pad gebruikt.
Leg het daadwerkelijk geprobeerde bestemmingsadres, de adresfamilie, het verbindingsresultaat en SMTP antwoord vast. Als u uitgaand verkeer onderzoekt, leg dan het extern waargenomen bronadres vast in plaats van aan te nemen dat dit overeenkomt met het adres dat in de toepassing wordt gebruikt. NAT- en uitgaande pools van providers kunnen deze waarden verschillend maken.
Reproduceer een adresfamiliefout
Kunststof armatuur: example.com. MX 10 mx.example.com.; mx.example.com. A 192.0.2.10; mx.example.com . AAAA 2001:db8::10. Configureer in het lab het IPv4 -eindpunt om TCP-verbindingen op poort 25 te accepteren en het IPv6 eindpunt onbereikbaar te laten. De verwachte DNS controles slagen voor beide recordtypen, terwijl een familiespecifieke verbindingstest alleen slaagt voor IPv4 .
Vraag dig @AUTH mx.example.com . Een +norecurse en dan hetzelfde commando met AAAA. Vervang AUTH door de geïsoleerde autoriteit. Noteer beide antwoorden. Gebruik uw goedgekeurde SMTP labclient om elke bestemming afzonderlijk vast te zetten, waarbij de verbindings- en protocolresultaten worden vastgelegd. Het armatuur illustreert waarom DNS succes geen servicesucces is; het doet geen uitspraken over de terugvaltiming van een bepaalde afzender.
Een tweede armatuur verandert alleen het A-adres van 192.0.2.10 naar 192.0.2.20 terwijl het SPF beleid dat wel is v=spf1 a:mx.example.com -all. Voor een IPv4 SPF evaluatie met anderszins succesvolle zoekopdrachten komt het adres in aanmerking om overeen te komen met de a mechanisme verandert. Een expliciet ip4:192.0.2.10 Het mechanisme zou in plaats daarvan aan dat letterlijke netwerk gebonden blijven totdat het beleid zelf veranderde.
Maak adreswijzigingen omkeerbaar
Referenties: RFC 8767 §4.
Inventariseer alle consumenten van de hostnaam, inclusief e-mailrouting, SPF referenties, monitoring en certificaatverwachtingen. Bereid het eindpunt voor voordat u er reclame voor maakt. Behoud de oude service terwijl de juiste caches er nog steeds verkeer naartoe kunnen leiden, op basis van het daadwerkelijke migratieplan in plaats van een universele wachtperiode.
Vergelijk na de wijziging gezaghebbende antwoorden met recursieve observaties en bewijs op berichtniveau. Een mislukt IPv6 eindpunt moet worden gerepareerd of verwijderd via een goedgekeurde wijziging, en niet worden verborgen door het verzwakken van niet-gerelateerd authenticatiebeleid. Sluit het werk alleen af als de beoogde adressen en bedieningspaden overeenkomen met het gedocumenteerde serviceontwerp.
Houd de reikwijdte van het bewijs expliciet
Voor het scenario met twee gezinnen moet u het verwachte IPv4 succes en IPv6 falen aanhouden als voorgestelde laboratoriumobservaties totdat het wordt getest. Het SPF -adreswijzigingsvoorbeeld gaat uit van succesvolle zoekopdrachten en het aangegeven beleid; het vestigt geen huidige autorisatie voor een echte afzender.