Jak skonfigurować SPF dla wielu domen na serwerze? (zezwalając również na Gmaila jako nadawcę)

SPF (Sender Policy Framework) wydaje się dobrym sposobem na zwalczanie spamerów / fałszowania.

Jednak pomimo kilkukrotnego przeczytania wyjaśnień nie do końca rozumiem, jak poprawnie to skonfigurować.

Powiedzmy, że mam serwer na a.x.comktórym gospodarze www.x.comi b.x.coma c.x.comi tak dalej.

Mam również a.co.uk b.net c.infoi tak dalej, każdy z nich z asortymentem subdomen, wszystkie hostowane nax.com

W przypadku wszystkich tych domen i subdomen chcę zezwolić na wysyłanie poczty a.x.com

Chciałbym też, aby wszystkie zezwoliły na pocztę wysyłaną z Gmaila dla wszystkich tych domen.

Jak skonfigurować to za pomocą SPF?

Czy mogę ustawić jeden rekord SPF dla x.com(lub a.x.com), a następnie dla wszystkiego innego mieć po prostu prosty wskaźnik włączania / wskaźnika do x.comrekordu, czy też trzeba to zrobić inaczej?

Czy ktoś może podać rekordy SPF dla powyższego przykładu?

Uwaga: na drugą część mojego pytania udzielono odpowiedzi (użyj „ v=spf1 include:x.com -all”, aby dołączyć / wskaż x.comrekord), ale kluczowa część tego, co ustawić, x.compozostaje bez odpowiedzi ...

Nie można uniknąć konieczności zmiany plików stref dla domen innych niż x.com, ale można zaoszczędzić sobie wiele kłopotów, definiując wspólne zasady hostowane w jednej domenie i używając redirectsłowa kluczowego SPF w innych domenach. Przykład:

• W pliku strefy dla x.comdomeny:

_policy1 IN TXT "v = spf1 a: axcom -all"
_policy2 IN TXT "v = spf1 obejmują: _spf.google.com a: axcom -all"

_spf.google.comjest rekordem zawierającym rekord SPF Gmaila. Nie jestem pewien, czy jest to udokumentowane. Teoretycznie powinieneś, include:gmail.comale to jest przekierowanie do, _spf.google.coma dla qmaila była co najmniej jedna powszechnie używana łatka SPF, która nie postępowała zgodnie z nią (została naprawiona w sierpniu 2008 roku, ale nadal może zostać wdrożona). Dwie zasady są oczywiście przykładami - posiadanie więcej niż jednego z różnymi poziomami rygorystyczności jest niezwykle przydatne podczas debugowania, ponieważ wystarczy zmienić krótką nazwę w domenie docelowej zamiast podatnego na błędy kopiowania.

• W plikach strefy dla innych domen:

@ IN TXT „v = spf1 redirect = _policy1.x.com”

lub

@ IN TXT „v = spf1 redirect = _policy2.x.com”

itp. Używam redirect, nie include, aby sprawić, że kontrola SPF całkowicie zastąpi aktualnie oceniany rekord na ten, do którego przekierowuję. includenie robi tego - na przykład znak „ -allna końcu” includenie powoduje zatrzymania oceny ( includejest to duży błąd). Należy unikać używania, includegdy chcemy „aliasować” rekord SPF z innej domeny, ponieważ jest on dość kruchy - jeśli przypadkowo zapomnisz końcowy -all, możesz sprawić, że cały SPF w tej domenie będzie nieskuteczny.

Edycja: pamiętaj jednak, że musisz być czujny, jeśli chcesz zezwolić serwerom Gmaila na wysyłanie. Chaptcha Gmaila została złamana, co oznacza, że ​​można zautomatyzować rejestrację konta, co oznacza, że ​​Gmail może (pośrednio) być używany jako otwarty przekaźnik (dostaję dziesiątki próśb o rejestrację spambotu na forum mojej firmy, wszystkie za pomocą adresy e-mail gmail.com - a te adresy są aktywne, pozwoliłem przejść kilku osobom w celu sprawdzenia). Ponadto każdy, kto ma konto Gmail, może pominąć sprawdzanie SPF, jeśli zna części uwsername adresów e-mail w twoich domenach .

Tak, możesz dołączyć konfigurację z jednej ze swoich domen do rekordów SPF dla wszystkich pozostałych domen. Ustawienie rekordu SPF innych domen na następujące powinno załatwić sprawę:

v=spf1 include:x.com -all

Czy próbowałeś użyć narzędzia internetowego na http://www.openspf.org/ ? Może ci to ułatwić poradzenie sobie z tym ...

Po prostu wpisz swoją domenę w prawym górnym polu i kliknij przycisk Idź. Stamtąd powinieneś być w stanie szybko wszystko skonfigurować.

Standard RFC 4408 , zawiera kilka przykładów, które są bardzo zbliżone do tego, co chcesz. Oto fragment pliku strefy x.com:

@ IN TXT "v = spf1 a: axcom -all"
      W SPF „v = spf1 a: axcom -all”

www IN TXT "v = spf1 a: axcom -all"
      W SPF „v = spf1 a: axcom -all”

Uwagi:

• Nie dodałem serwerów poczty Gmail, ponieważ ich nie znam, zapytaj ludzi Gmaila
• „a” jest „adres” (to nie rekord DNS A, zawiera on IPv6)
• Dodałem rekordy SPF, zgodnie z RFC, chociaż prawie wszystkie implementacje używają tylko rekordu TXT

Tak, musisz dodać konkretny rekord SPF do każdej domeny osobno.

Powodem tego jest to, że jedynym (użytecznym) rekordem typu aliasingu w DNS jest CNAMErekord. Jednak CNAMErekord powoduje aliasing dla WSZYSTKICH typów RR w zestawie RR - nie można powiedzieć „ CNAMErekord SPF, ale nie MXrekordy ”