IP4 i ip6 SPF mechanizmy porównują adres łączący z adresem opublikowanym lub CIDR sieć. Są one proste, jeśli kontrolujesz stabilne serwery wychodzące, ale mały błąd prefiksu może udzielić pozwolenia na znacznie większą infrastrukturę niż zamierzono.
Użyj adresu, który faktycznie widzi odbiorca. Adres prywatnego interfejsu serwera, adres strony internetowej i ogólny zasięg sieci konta w chmurze nie zastępują wychodzącego źródła SMTP .
Wybierz najwęższy uzasadniony zakres
ip4:192.0.2.70 identyfikuje jeden adres IPv4 , ponieważ pominięty prefiks ma wartość domyślną /32. ip6:2001:db8::70 podobnie domyślnie jest to /128. Prefiks /24 IPv4 reprezentuje 256 adresów, podczas gdy prefiks /64 IPv6 obejmuje ogromną przestrzeń adresową. Rozmiar sieci nie jest powodem do autoryzacji; kontrola i potrzeby operacyjne są.
RFC 7208 sekcja 5.6 definiuje reguły dopasowywania i przedrostków. Używaj pełnych adresów i właściwej notacji CIDR. Skrócona wartość, taka jak 192.0.2. nie jest prawidłowym zamiennikiem 192.0.2.0/24 .
Sprawdzony przykład: testy graniczne wyłapują szerokie dotacje
Rozważmy politykę syntetyczną v=spf1 ip4:192.0.2.64/28 ip6:2001:db8:1::/64 -all. Zakres protokołu IPv4 obejmuje adresy od 192.0.2.64 do 192.0.2.79 . Adres łączący zgodny z 192.0.2.70 ; 192.0.2.80 nie ma i osiąga -all , jeśli nic innego nie pasuje.
Adres IPv6 2001:db8:1::25 pasuje do /64. Adres 2001:db8:2::25 nie. Te zastrzeżone adresy dokumentacji służą do uzasadnienia zasad, a nie do aktywnych nadawców.
Dla rzeczywiście proponowanego zakresu utwórz te same testy graniczne i listę osób kontrolujących każdy uwzględniony segment. Jeśli jedynym zatwierdzonym nadawcą jest jeden host, przed zatwierdzeniem szerszego prefiksu porównaj zestaw uprawnień z mechanizmem pojedynczego adresu.
Sprawdź zarówno rodziny sieci, jak i ścieżki wyjściowe
Natywne źródło IPv6 wymaga pozwolenia IPv6 . RFC 7208 RFC 7208 §5 osobno wymaga, aby adresy IPv6 mapowane na IPv4 były sprawdzane jako IPv4 ; nie oznacza to, że zakres IP4 obejmuje natywny IPv6 . System, który zaczyna korzystać z IPv6 może nagle osiągnąć koniec polityki, mimo że jego komunikaty IPv4 nadal są przesyłane. Uzyskaj dowody otrzymanych wiadomości lub zapisy infrastruktury wychodzącej dla obu rodzin, z których faktycznie korzystano.
Uwzględnij także NAT, bramy awaryjne, przekaźniki regionalne i zaplanowane zadania. Test z pojedynczego aktywnego węzła może pominąć trasę rezerwową. Nie rozwiązuj niepewności, autoryzując całego dostawcę usług hostingowych. Zamiast tego ustal obsługiwany zestaw wyjściowy i własność.
Zrozum kompromis w zakresie konserwacji
Pod RFC 7208 §4.6.4, ip4 i ip6 nie zużywają budżetu dziesięciu terminów powodujących zapytania DNS podczas oceny mechanizmu. Odbiorca nadal musi uzyskać Rekord SPF, a rozmiar i poprawność polityki nadal mają znaczenie. Rekord z setkami skopiowanych zakresów nie jest automatycznie utrzymywalny tylko dlatego, że te warunki nie wliczają się do tego limitu.
Gdy dostawca zaleca dołączenie, zastąpienie go migawką adresów IP powoduje, że jesteś odpowiedzialny za przyszłe zmiany. Zapisz, w jaki sposób zmiany zostaną wykryte, kto je zatwierdzi i w jaki sposób zostaną usunięte nieaktualne adresy. Nieaktualne uprawnienia mogą zarówno zakłócić działanie legalnej poczty, jak i zachować dostęp do infrastruktury, której już nie używasz.
Publikuj z różnicą uprawnień
Zachowaj stary zapis i wyjaśnij dokładnie, które zakresy są dodawane i usuwane. Sprawdź poprawność całego proponowanego rekordu SPF , przetestuj znane adresy nadawców i pobliskie nieautoryzowane adresy oraz zweryfikuj opublikowaną odpowiedź TXT . Następnie wysyłaj reprezentatywne wiadomości ścieżkami normalnymi i awaryjnymi.
Jeśli adres nieoczekiwanie znajdzie się poza zatwierdzonym zakresem, sprawdź trasę przed jej poszerzeniem. Nieoczekiwany wyjście może ujawnić błąd konfiguracji lub niezatwierdzonego nadawcę, a nie brakujące uprawnienia.
Praktyczne dania na wynos
Mechanizm adresowania jest jawny tylko wtedy, gdy jego własność i granice są wyraźne. Wykorzystaj zaobserwowane wyjścia, krawędzie zakresu testowego i traktuj przyszłe zmiany adresów jako część cyklu życia autoryzacji.
Zapisz decyzję i jej ograniczenia
Dla urządzenia /28 zapisz 192.0.2.63 jako zewnętrzne, .64 i .79 jako wewnętrzne i .80 jako zewnętrzne. Dopasowanie prefiksu SPF obejmuje wszystkie adresy w bloku, a nie tylko konwencjonalny podzbiór adresów hosta. Jeśli uzasadnione jest tylko .70, porównaj /32 z /28: ten ostatni przyznaje 16 adresów, a nie jeden. Są to obliczone przykłady członkostwa, a nie wykonane testy SPF .