Как настроить SPF для нескольких доменов на сервере? (также позволяя отправлять Gmail в качестве отправителя)

SPF (Sender Policy Framework) кажется хорошим способом борьбы со спамерами / спуфингом.

Однако, несмотря на то, что я несколько раз прочитал объяснения, я не совсем понимаю, как правильно его настроить.

Скажем , у меня есть свой сервер , на a.x.comкотором хозяева www.x.comи b.x.comи c.x.comи так далее.

У меня также есть a.co.uk b.net c.infoи так далее, каждый из них с ассортиментом поддоменов, все размещены наx.com

Для всех этих доменов и поддоменов я хочу разрешить отправку почты с a.x.com

Я также хотел бы, чтобы все они разрешали отправку почты из Gmail для всех этих доменов.

Как мне установить это с SPF?

Могу ли я установить одну запись SPF для x.com(или a.x.com), а затем для всего остального просто включить / указатель на x.comзапись, или это нужно сделать по-другому?

Может ли кто-нибудь предоставить некоторые записи SPF для приведенного выше примера?

Примечание. На вторую часть моего вопроса был дан ответ (используйте « v=spf1 include:x.com -all», чтобы включить / указать на x.comзапись), но ключевая часть того, что установить, x.comостается без ответа ...

Вы не можете избежать необходимости изменять файлы зон для доменов, отличных от x.com, но вы можете избежать многих проблем, определяя общие политики, размещенные в одном домене, и используя redirectключевое слово SPF в других доменах. Пример:

• В файле зоны для x.comдомена:

_policy1 IN TXT "v = spf1 a: axcom -all"
_policy2 IN TXT "v = spf1 include: _spf.google.com a: axcom -all"

_spf.google.comявляется записью, содержащей запись SPF Gmail. Не уверен, документировано ли это. Теоретически вы должны это сделать, include:gmail.comно это редирект, _spf.google.comи был по крайней мере один широко используемый SPF-патч для qmail, который не следовал ему должным образом (исправлен в августе 2008 года, но все еще может быть развернут). Конечно, эти две политики являются примерами - наличие более одного с различными уровнями строгости чрезвычайно полезно при отладке, поскольку вам нужно всего лишь изменить короткое имя в целевом домене вместо подверженного ошибкам копирования.

• В файлах зоны для других доменов:

@ IN TXT "v = spf1 redirect = _policy1.x.com"

или

@ IN TXT "v = spf1 redirect = _policy2.x.com"

и т. д. Я использую redirect, но не для того include, чтобы проверка SPF полностью заменяла текущую оценочную запись той, на которую я перенаправляю. includeне делает этого - например, -allконец в конце includeне приводит к остановке оценки ( includeэто большой ошибочный код). Следует избегать использования, includeкогда вы хотите «псевдоним» записи SPF из другого домена, поскольку она довольно хрупкая - если вы случайно забудете конечный -all, вы можете сделать весь SPF в этом домене неэффективным.

Изменить: Обратите внимание, однако, что вы должны быть начеку, если вы хотите, чтобы серверы Gmail были отправителями. Chaptcha Gmail был взломан, что означает, что можно автоматизировать регистрацию учетных записей, что означает, что Gmail может (косвенно) использоваться в качестве открытого реле (я получаю десятки запросов на регистрацию спамботов в неделю для моего дискуссионного форума компании, все с использованием Адреса электронной почты gmail.com - и эти адреса являются действующими, я разрешил нескольким из них пройти проверку в целях проверки.) Кроме того, любой пользователь с учетной записью Gmail может обойти проверку SPF, если знаком с частями адресов электронной почты адресов ваших доменов в ваших доменах. ,

Да, вы можете включить конфигурацию из одного из ваших доменов в записи SPF для всех остальных доменов. Задание записи SPF других доменов в следующем случае должно помочь:

v=spf1 include:x.com -all

Вы пытались использовать веб-инструмент на http://www.openspf.org/ ? Возможно, вам будет легче справиться с этим ...

Просто введите свой домен в верхнем правом углу и нажмите кнопку «Перейти». Оттуда вы должны быть в состоянии настроить вещи в спешке.

Стандарт RFC 4408 предоставляет несколько примеров, которые очень близки к тому, что вы хотите. Вот выдержка из файла зоны x.com:

@ IN TXT "v = spf1 a: axcom -all"
      В SPF "v = spf1 a: axcom -all"

www IN TXT "v = spf1 a: axcom -all"
      В SPF "v = spf1 a: axcom -all"

Ноты:

• Я не добавил почтовые серверы Gmail, потому что я их не знаю, спросите людей Gmail
• «a» для «адреса» (это не запись DNS A, она включает IPv6)
• Я добавил записи SPF согласно RFC, хотя почти во всех реализациях используется только запись TXT.

Да, вам нужно добавить определенную запись SPF для каждого домена в отдельности.

Причина этого заключается в том, что единственной (полезной) записью типа псевдонима в DNS является CNAMEзапись. Однако CNAMEзапись приводит к появлению псевдонимов для ВСЕХ типов RR в наборе RR - невозможно сказать « CNAMEзапись SPF, но не MXзаписи »