Os registros A e AAAA mapeiam um nome de host para endereços IPv4 e IPv6 . São dependências de um serviço de correio, e não declarações de que o serviço está pronto ou autorizado a enviar. A publicação de um endereço pode expor uma rota que os clientes realmente tentam, portanto, verifique cada família e endpoint anunciados.
Siga o nome usado pelo protocolo
Referências: RFC 5321 §5.1, RFC 7208 §5.3, RFC 7208 §5.4.
Para SMTP de entrada, resolva os nomes de host de troca retornados por MX . O endereço do site do domínio destinatário não substitui quando as trocas explícitas são inutilizáveis. Se não existir nenhum MX , a regra MX implícita do SMTP pode tornar relevantes os registros A ou AAAA do próprio domínio do destinatário.
Para saída SPF, examine a política real e a identidade avaliada. Um a o mecanismo pode autorizar endereços retornados para seu nome especificado; uma planície Um recorde não autoriza nada por si só. Da mesma forma, alterar um nome de host usado por um SPF MX mecanismo pode alterar os endereços avaliados como autorizados. Registre essas referências antes de tratar uma edição de endereço DNS como uma alteração apenas no site.
Trate a pilha dupla como dois caminhos operacionais
Referências: RFC 1035 §3.4.1, RFC 3596 §2.1, RFC 3596 §2.3.
Um nome de host pode ter vários registros A e vários registros AAAA. A sua presença não garante acessibilidade, serviço SMTP , certificado correto ou política equivalente. Um endpoint IPv4 íntegro não estabelece que IPv6 funcione. Por outro lado, a falha em um caminho do cliente não prova que todos os remetentes usam esse caminho.
Capture o endereço de destino realmente tentado, a família de endereços, o resultado da conexão e a resposta SMTP . Se estiver investigando o tráfego de saída, capture o endereço de origem observado externamente em vez de assumir que ele corresponde ao endereço usado dentro do aplicativo. Os pools de saída do provedor e do NAT podem tornar esses valores diferentes.
Reproduzir uma falha de família de endereços
Fixação sintética: example.com. MX 10 mx.example.com.; mx.example.com. A 192.0.2.10; mx.example.com . AAAA 2001:db8::10. No laboratório, configure o endpoint IPv4 para aceitar conexões TCP na porta 25 e deixar o endpoint IPv6 inacessível. As verificações DNS esperadas são bem-sucedidas para ambos os tipos de registro, enquanto um teste de conexão específico da família é bem-sucedido apenas para IPv4 .
Consulta cavar @AUTH mx.example.com . Um +norecurse e então o mesmo comando com AAAA. Substitua AUTH pela autoridade isolada. Registre ambas as respostas. Use seu cliente SMTP de laboratório aprovado para fixar cada destino de forma independente, registrando resultados de conexão e protocolo. O cenário ilustra por que o sucesso DNS não é o sucesso do serviço; ele não faz nenhuma reivindicação sobre o tempo de fallback de um remetente específico.
Um segundo aparelho altera apenas o endereço A de 192.0.2.10 para 192.0.2.20 enquanto a política SPF é v=spf1 a:mx.example.com -all. Para uma avaliação IPv4 SPF com pesquisas bem-sucedidas, o endereço elegível para corresponder ao a mudanças de mecanismo. Um explícito ip4:192.0.2.10 em vez disso, o mecanismo permaneceria vinculado a essa rede literal até que a própria política mudasse.
Tornar as alterações de endereço reversíveis
Referências: RFC 8767 §4.
Faça um inventário de todos os consumidores do nome do host, incluindo roteamento de correio, referências SPF , monitoramento e expectativas de certificado. Prepare o endpoint antes de anunciá-lo. Mantenha o serviço antigo enquanto os caches apropriados ainda podem direcionar o tráfego para lá, com base no plano de migração real, em vez de em um período de espera universal.
Após a mudança, compare respostas confiáveis com observações recursivas e evidências em nível de mensagem. Um endpoint IPv6 com falha deve ser reparado ou removido por meio de uma alteração aprovada, e não ocultado pelo enfraquecimento de políticas de autenticação não relacionadas. Encerre o trabalho somente quando os endereços e caminhos operacionais pretendidos corresponderem ao design de serviço documentado.
Mantenha o escopo da evidência explícito
Para o cenário de duas famílias, mantenha o sucesso esperado IPv4 e a falha IPv6 conforme propostas de observações de laboratório até serem testadas. O exemplo de alteração de endereço SPF pressupõe pesquisas bem-sucedidas e a política declarada; não estabelece autorização atual para nenhum remetente real.