ip4 ve ip6 SPF mekanizmalar bağlantı adresini yayınlanmış bir adresle karşılaştırır veya CIDR ağ. Kararlı giden sunucuları kontrol ettiğinizde bunlar basittir, ancak küçük bir önek hatası, amaçlanandan çok daha fazla altyapıya izin verebilir.
Alıcının gerçekte gördüğü adresi kullanın. Bir sunucunun özel arayüz adresi, bir web sitesi adresi ve bir bulut hesabının genel ağ aralığı, giden SMTP kaynağının yerine geçmez.
En dar gerekçeli kapsamı seçin
ip4:192.0.2.70 atlanan önek varsayılan olarak /32 olduğundan bir IPv4 adresini tanımlar. ip6:2001:db8::70 benzer şekilde varsayılan olarak /128'dir. /24 IPv4 öneki 256 adresi temsil ederken, /64 IPv6 öneki çok büyük bir adres alanını kapsıyor. Ağ boyutu buna izin vermek için bir neden değildir; kontrol ve operasyonel ihtiyaç vardır.
RFC 7208 bölüm 5.6 Eşleşme ve önek kurallarını tanımlar. Tam adresleri ve uygun CIDR gösterimini kullanın. 192.0.2 gibi kısaltılmış bir değer. 192.0.2.0/24 için geçerli bir yedek değil.
Çözümlü örnek: sınır testleri geniş hibeleri yakalıyor
Sentetik politikayı düşünün v=spf1 ip4:192.0.2.64/28 ip6:2001:db8:1::/64 -all. IPv4 aralığı 192.0.2.64 192.0.2.79 kadar uzanır. 192.0.2.70 bağlantı adresi eşleşiyor; 192.0.2.80 başka hiçbir şey eşleşmezse -all ulaşmaz ve ulaşır.
IPv6 adresi 2001:db8:1::25 /64 ile eşleşir. 2001:db8:2::25 adresi bunu yapmaz. Bu ayrılmış belge adresleri, canlı gönderenler için değil, politika hakkında fikir yürütmek içindir.
Önerilen gerçek bir aralık için aynı sınır testlerini oluşturun ve dahil edilen her segmenti kimin kontrol ettiğini listeleyin. Onaylanan tek gönderen bir ana bilgisayarsa, daha geniş öneki onaylamadan önce izin kümesini tek adres mekanizmasıyla karşılaştırın.
Hem ağ ailelerini hem de çıkış yollarını kontrol edin
Yerel bir IPv6 kaynağı IPv6 izni gerektirir. RFC 7208 RFC 7208 §5 ayrı olarak IPv4 eşlemeli IPv6 adreslerinin IPv4 olarak kontrol edilmesini gerektirir; bu, bir ip4 aralığının yerel IPv6 kapsadığı anlamına gelmez. IPv6 kullanmaya başlayan bir sistem, IPv4 mesajları iletilmeye devam etmesine rağmen aniden politika sonuna ulaşabilir. Gerçekte kullanılan her iki aile için alınan mesaj kanıtlarını veya giden altyapı kayıtlarını edinin.
Ayrıca NAT'ı, yük devretme ağ geçitlerini, bölgesel geçişleri ve zamanlanmış işleri de hesaba katın. Tek bir aktif düğümden yapılan test, bekleme rotasını kaçırabilir. Belirsizliği, bir barındırma sağlayıcısının tamamını yetkilendirerek çözmeyin. Bunun yerine desteklenen çıkış kümesini ve sahipliği oluşturun.
Bakım dengesini anlayın
Altında RFC 7208 §4.6.4, ip4 ve ip6, mekanizma değerlendirmesi sırasında DNS sorgusuna neden olan on dönem bütçesini tüketmez. Alıcının hâlâ bu bilgiyi alması gerekiyor. SPF kaydıve politikanın boyutu ve doğruluğu hala önemlidir. Bir kayıt Yüzlerce kopyalanan aralığın otomatik olarak bakımı yapılamaz çünkü bu terimler bu sınıra dahil edilmez.
Bir sağlayıcı bir ekleme önerdiğinde, bunu IP adreslerinin anlık görüntüsüyle değiştirmek sizi gelecekteki değişikliklerden sorumlu kılar. Değişikliklerin nasıl tespit edileceğini, bunları kimin onaylayacağını ve eski adreslerin nasıl kaldırılacağını kaydedin. Eski izinler hem meşru postayı bozabilir hem de artık kullanmadığınız altyapıya erişimi koruyabilir.
İzin farkıyla yayınlama
Eski kaydı saklayın ve eklenen ve kaldırılan aralıkları tam olarak açıklayın. Önerilen SPF kaydının tamamını doğrulayın, bilinen gönderen adreslerini ve yakındaki yetkisiz adresleri test edin ve yayınlanan TXT yanıtını doğrulayın. Daha sonra normal ve yük devretme yollarından temsili mesajlar gönderin.
Bir adres beklenmedik bir şekilde onaylanan aralığın dışındaysa, rotayı genişletmeden önce araştırın. Beklenmeyen bir çıkış, eksik bir izin yerine bir yapılandırma hatasını veya onaylanmamış bir göndereni ortaya çıkarabilir.
Pratik paket servis
Bir adres mekanizması yalnızca sahipliği ve sınırları açık olduğunda açıktır. Gözlenen çıkışı kullanın, aralık kenarlarını test edin ve gelecekteki adres değişikliklerini yetkilendirme yaşam döngüsünün bir parçası olarak değerlendirin.
Kararı ve sınırlarını kaydedin
/28 fikstürü için 192.0.2.63 dış olarak, 0,64 ve 0,79'u iç olarak ve 0,80'i dış olarak kaydedin. SPF öneki eşleştirmesi yalnızca geleneksel ana bilgisayar adresi alt kümesini değil, bloktaki tüm adresleri içerir. Yalnızca 0,70 haklıysa, /32'yi /28 ile karşılaştırın: ikincisi bir değil 16 adres verir. Bunlar hesaplanmış üyelik örnekleridir, yürütülen SPF testleri değildir.