SPF redirect delegeert de resterende autorisatiebeslissing naar een ander beleid. Het is ontworpen voor situaties waarin meerdere domeinen centraal beheerde autorisatie en beleid moeten delen, vaak binnen één administratieve organisatie.
Het is geen alias voor include en is tenslotte geen back -all . Begrijpen wanneer omleiding wordt uitgevoerd, is essentieel voordat records worden geconsolideerd. RFC 7208 sectie 6.1 bepaalt zijn gedrag.
Stel de delegatievoorwaarde vast
Wanneer geen enkel mechanisme overeenkomt, geen eerdere fout de evaluatie heeft beëindigd en er sprake is van een omleiding, evalueert SPF het omleidingsdoel. Het verbindende IP-adres en de afzender blijven hetzelfde, terwijl het domein dat wordt geëvalueerd het doelwit wordt. De resulterende evaluatie levert het resultaat op, waarbij ontbrekende SPF op het doel wordt permerror in plaats van geen.
Als er een all-mechanisme aanwezig is in het buitenste record, wordt de omleiding genegeerd. Het plaatsen van een redirect voor iedereen redt het niet. Schrijf omleiding aan het einde voor de duidelijkheid, maar onthoud dat het een modifier is en geen mechanisme voor het matchen van links naar rechts.
Aan de delegatie kan een lokaal mechanisme voorafgaan. Een expliciete ip4-toestemming kan bijvoorbeeld overeenkomen voordat het gedeelde beleid wordt geraadpleegd. Bepaal of dergelijke uitzonderingen bedoeld zijn; anders is een zogenaamd centraal beleid misschien niet het hele autorisatieverhaal.
Uitgewerkt voorbeeld: twee domeinen, één beheerd beleid
Uitgaande van een geldige syntaxis, is er één geselecteerd SPF record per naam en succesvol DNS ophalen, in deze synthetische armatuur publiceren east.example.com en west.example.com elk v=spf1 redirect=policy.example.com. Het gedeelde doel wordt gepubliceerd v=spf1 ip4:192.0.2.30 -all.
Voor 192.0.2.30 delegeert elk buitenste beleid, de doel-IP4 komt overeen en het resultaat is geslaagd. Voor 192.0.2.31 bereikt het doel -all en is het gedelegeerde resultaat mislukt. Als het doel TXT record verdwijnt, evaluaties die de omleiding vereisen, produceren permerror .
Verander nu het oostbeleid naar v=spf1 ip4:198.51.100.8 redirect=policy.example.com. Dat extra adres wordt lokaal doorgegeven, ook al autoriseert het gedeelde doel dit niet. Bij een centrale beleidsaudit moet daarom elk delegatieverslag worden gelezen in plaats van alleen het doel te worden beoordeeld.
Vergelijk hetzelfde doel onder include
Als het buitenste beleid in plaats daarvan bevat v=spf1 include:policy.example.com ~all, een kinderpas past hierbij. Een mislukt kind levert niet het eindresultaat op; de verwerking wordt hervat en de buitenste ~all softfail .
Omleiding draagt het resultaat van het doelbeleid wanneer het wordt aangeroepen. Include vraagt of het doel slaagt en gaat vervolgens verder onder het uiterlijke beleid als dit niet het geval is. Kies de constructie die past bij het eigendomsmodel in plaats van er mechanisch tussen te vertalen.
Contextgevoelige regels controleren
Redirect wijzigt het huidige evaluatiedomein terwijl de invoer van de afzender behouden blijft. Macro's en domein-relatieve mechanismen kunnen daarom afhankelijk zijn van welk domein of welke afzenderwaarde ze gebruiken. Een beleid dat voor het ene domein werkt, is niet automatisch veilig voor het andere.
Voor een verzendservice van derden gebruikt u het integratiemechanisme dat in de huidige documentatie wordt ondersteund. RFC 7208 waarschuwt dat omleidingen over administratieve grenzen heen zich mogelijk niet betrouwbaar gedragen, vooral wanneer het doelbeleid afhankelijk is van lokale onderdelen. Vervang een gedocumenteerde include niet door een redirect, alleen maar om het zichtbare record in te korten.
Voer het gedeelde beleid veilig uit
Inventariseer alle afhankelijke domeinen en lokale uitzonderingen. Wijs één verantwoordelijke eigenaar toe aan het gedeelde doel. Test voordat u deze wijzigt een toegestane en een niet-toegestane afzender voor elke afzonderlijke beleidscontext, inclusief IPv6 , indien gebruikt. Bewaar de originele delegerende en gedeelde records samen.
Onder RFC 7208 §4.1 En RFC 7208 §4.6.4, redirect en bereikte geneste termen verbruiken het SPF DNS termijnbudget. Detecteer lussen en afhankelijkheidsgroei door middel van evaluatie in plaats van te vertrouwen op de korte lengte van elk lokaal record. Na een wijziging inspecteert u gezaghebbende en recursieve antwoorden en test u de door de vertegenwoordiger ontvangen e-mail.
De praktische afhaalmaaltijd
Redirect is een nuttige centralisatie als je echt gedeeld beleid wilt. Houd alles buiten het delegatierecord, controleer lokale uitzonderingen en test de afzendercontext die de delegatie overleeft.
Houd de beslissing reproduceerbaar
Voor east.example.com gaat de lokale uitzondering 198.51.100.8 voorbij zonder het gedeelde doel aan te roepen; een uitval van een gedeeld doel hoeft daarom geen invloed te hebben op dat exacte pad. Een andere bron die omleiding vereist, kan de doelfout tegenkomen. Registreer het buitenste record, de input van de afzender, het bereikte doel en het verwachte resultaat samen voordat u de centralisatie goedkeurt. Er is geen gedeelde beleidswijziging of uitvaltest uitgevoerd.