Odwrócony DNS pyta o nazwę powiązaną z adresem IP. W przypadku nadawcy poczty odpowiednim adresem jest publiczne źródło używane w połączeniu SMTP . Rekord PTR pod tym adresem jest użytecznym dowodem na infrastrukturę, ale tak nie jest SPF autoryzacja, A Podpis DKIM lub dowód, że wiadomość jest wiarygodna.
Określ prawdziwy adres i organ
Referencje: RFC 1035 §3.5, RFC 3596 §2.5.
Zacznij od adresu IP widzianego przez system odbierający lub kontrolowanej zewnętrznej obserwacji SMTP . Adres prywatny aplikacji, adres modułu równoważenia obciążenia i adres wyjściowy dostawcy mogą się różnić. Lista wszystkich rodzin adresów wychodzących i puli, z których może korzystać usługa.
Zapytania zwrotne IPv4 używają odwróconych oktetów w pliku in-addr.arpa. IPv6 używa odwróconych półbajtów szesnastkowych w pliku ip6.arpa. Uprawnienia dla tych stref odwrotnych zależą od przydziału adresu IP i wszelkich delegacji. Zwykle jest to dostawca hostingu lub sieci, a nie rejestrator lub host DNS widocznej domeny nadawcy. Opublikowanie nazwy podobnej do PTR w niepowiązanej strefie forward nie zmieni prawdziwej odpowiedzi odwrotnej.
Koordynuj oba kierunki
Referencje: RFC 1912 §2.1, RFC 2181 §10.2.
Zapytaj operatora strefy odwrotnej o obsługiwany proces zmian i dokładny publiczny adres IP. Wybierz zamierzoną nazwę hosta infrastruktury i upewnij się, że jego dane adresowe zawierają ten adres IP. RFC 1912 zaleca dopasowanie danych wstecznych i przyszłych; są to wytyczne operacyjne, a nie uniwersalna umowa o odbiorze.
RFC 2181 wyjaśnia, że DNS nie ogranicza adresu do dokładnie jednego PTR . Wiele zwróconych nazwisk należy zachować w dowodach, a nie po cichu odrzucać. Aby zapewnić przewidywalną administrację, stabilna udokumentowana nazwa hosta jest często prostsza, ale wymagania specyficzne dla odbiorcy wymagają własnej, aktualnej dokumentacji. Nie twórz, że jeden wzór PTR gwarantuje dostawę do każdego dostawcy.
Odtwórz wyszukiwanie wsteczne
Syntetyczne urządzenie IPv4 : adres źródłowy 192.0.2.25; odwrotny właściciel 25.2.0.192.in -addr.arpa.; Cel PTR smtp.example.com.; skierować A do tego celu 192.0.2.25. Oczekiwana odpowiedź odwrotna to nazwa hosta, a oczekiwane potwierdzenie przekazania zawiera oryginalny adres IP.
Zapytaj w izolowanej strefie odwrotnej dig @AUTH -x 192.0.2.25 +norecurse a następnie zapytanie smtp.example.com. A przeciwko władzom przekazującym laboratorium. Zachowaj uprawnienia używane dla każdego kierunku, ponieważ nie muszą to być te same organizacje. Usuń PTR dla drugiego urządzenia: oczekiwanym dowodem jest brak lub błąd sklasyfikowany na podstawie rzeczywistej odpowiedzi, a nie nowo wymyślona nazwa hosta.
W przypadku IPv6 zamiast ręcznie skracać nazwę półbajtu, użyj narzędzia wyszukiwania do konwersji adresu na odwrotną. Zapytanie dig @AUTH -x 2001:db8::25 +norecurse, zastępując skonfigurowany moduł rozwiązywania problemów laboratoryjnych dla AUTH. Kontrola produkcji musi wykorzystywać rzeczywisty zaobserwowany adres źródłowy; te zakresy dokumentacji nie opisują aktywnego nadawcy.
Odróżnij infrastrukturę od uwierzytelniania
Referencje: RFC 7208 §5.5, RFC 9989 §5.3.5.
Cel PTR nie musi być widoczną domeną Od tylko dlatego, że poczta korzysta z tej domeny. Dostawca może obsługiwać współdzieloną infrastrukturę wysyłającą z własną nazwą hosta. To, co ma znaczenie dla konkretnej polityki odbiorczej, należy sprawdzić oddzielnie od SPF i DKIM wyrównanie.
Nie dodawaj odradzanego SPF pt mechanizm tylko po to, aby odwrotny DNS był odpowiedni dla SPF . Zachowaj PTR jako problem związany z infrastrukturą i skonfiguruj SPF z faktycznie obsługiwaną autoryzacją nadawcy. Po zmianach sprawdź odpowiedzi w przód i w tył, wprowadzenie SMTP i odpowiednią odpowiedź odbiorcy. Ogranicz wszelkie wnioski dotyczące dostawy do testowanej trasy i czasu.
Zachowaj wyraźny zakres dowodów
Konwersja lokalnej biblioteki adresów potwierdza odwzorowanie 192.0.2.25 na 25.2.0.192.in -addr.arpa i generuje pełną nazwę półbajtu IPv6 . Obliczenia te nie dotyczą żadnej strefy odwrotnej ani nie ustalają, czy istnieje PTR . Nie przeprowadzono testu zasad dostawy ani odbiorcy.