Inhalt

Einführung

Anforderungen

Bedeutung von SPF-Makros

SPF-Datensatz erklärt

Zusätzliche Informationen

Einführung

Dieses Dokument beschreibt, wie der von Cisco für CES gehostete Kunden empfohlene SPF-Datensatz funktioniert.

Anforderungen

1. Grundlegende Informationen über die Funktionsweise von DNS

Bedeutung von SPF-Makros

Der von Cisco empfohlene Datensatz verwendet ein SPF-Makro, das in RFC 7208 Abschnitt 7 definiert ist. Das Makro wird in diesem Fall verwendet, um die Anzahl der DNS-Lookups zu reduzieren, die erforderlich sind, damit die CES-Appliances die SPF-Überprüfung bestehen können. Dies ist wichtig, da SPF die Anzahl der DNS-Lookups pro SPF-Überprüfung gemäß RFC7208 Abschnitt 4.6.4 auf 10 beschränkt. Wenn mehr als 10 DNS-Lookups benötigt werden, ist das Ergebnis der SPF-Überprüfung fehlerfrei. Dies mag kein Problem sein, aber wenn mehr gehostete ESAs bereitgestellt werden, sind weitere DNS-Lookups erforderlich.

Sie können die IP-Adresse jeder gehosteten ESA zum SPF-Datensatz hinzufügen. Dies erfordert keine zusätzlichen DNS-Lookups während der SPF-Überprüfung. Der Nachteil besteht jedoch darin, dass Sie den SPF-Datensatz ändern müssen, wenn neue ESAs bereitgestellt werden oder wenn sich die IP-Adresse einer vorhandenen ESA ändert. Der SPF-Datensatz, den Cisco empfiehlt, erfordert keine Verwaltung von Ihnen, nachdem der Datensatz hinzugefügt wurde.

SPF-Datensatz erklärt

Das folgende Beispiel zeigt den SPF-Datensatz:

$ dig acme.com txt +short

"v=spf1 exists:%{i}.spf.acme.iphmx.com ~all"

Hinweis: Der "acme"-Teil dieses SPF-Datensatzes wird als Zuweisungsname betrachtet. Ihr CES-gehosteter Cluster hat einen eindeutigen Zuweisungsnamen und sollte anstelle von "acme" verwendet werden, wenn Sie diesen SPF-Datensatz zu DNS hinzufügen.

In diesem SPF-Datensatz wird das Makro "%{i}" verwendet. Dieses Makro wird als Variable verwendet, die bei der SPF-Überprüfung durch die IP-Adresse des verbindenden Hosts ersetzt wird. Wenn beispielsweise 192.168.0.1 der sendende Host ist, würde der Hostname "%{i}.spf.acme.iphmx.com" auf "192.168.0.1.spf.acme.iphmx.com" erweitert.

Der Mechanismus "vorhanden" wird in RFC7208 Section-5.7 definiert und stimmt überein, wenn der Hostname "%{i}.spf.acme.iphmx.com" einen A-Eintrag im DNS hat. Beispiel: 192.168.0.1 ist wieder der sendende Host. Der Hostname "%{i}.spf.acme.iphmx.com" würde auf "192.168.0.1.spf.acme.iphmx.com" erweitert, und der überprüfende Host würde die folgende DNS-Suche durchführen:

$ dig 192.168.0.1.spf.acme.iphmx.com a +short

127.0.0.2

Hinweis: Die Domäne iphmx.com wird von Cisco verwaltet. Aus diesem Grund kann nur Cisco DNS-Datensätze für diese Domäne wie den obigen Datensatz hinzufügen/entfernen/ändern. Das bedeutet für Sie, dass Sie diese Datensätze nicht jedes Mal hinzufügen müssen, wenn neue ESAs für Ihr CES-Cluster bereitgestellt werden. Es liegt in der Verantwortung von Cisco, sicherzustellen, dass diese Datensätze hinzugefügt und korrekt sind.

Da die IP-Adresse 127.0.0.2 zurückgegeben wurde, würde der vorhandene Mechanismus übereinstimmen, und das Ergebnis der SPF-Verifizierung würde übergeben.

Angenommen, der sendende Host ist 10.0.0.1. Der Hostname "%{i}.spf.acme.iphmx.com" würde auf "10.0.0.1.spf.acme.iphmx.com" erweitert, und der überprüfende Host würde die folgende DNS-Suche durchführen:

$ dig 10.0.0.1.spf.acme.iphmx.com a +short

$

Da kein Ergebnis zurückgegeben wurde, stimmt der vorhandene Mechanismus nicht überein, und das Ergebnis der SPF-Verifizierung ist softfail-Fehler.

Zusätzliche Informationen

Die SPF-Technologie kann komplex sein, abhängig von der Anzahl der Hosts, die Sie für die Weiterleitung von E-Mails an Ihre Domäne autorisieren möchten. Wenn die CES-gehosteten Appliances die einzigen Hosts sind, die autorisiert sind, E-Mails für Ihre Domäne weiterzuleiten, dann funktioniert der obige Datensatz hervorragend für Sie. Andernfalls müssen Sie den von uns bereitgestellten SPF-Datensatz so ändern, dass er alle Hosts autorisiert, für die Sie ihn benötigen.

Wenn Sie einen vorhandenen SPF-Datensatz haben, kann diesem SPF-Datensatz "vorhanden:%{i}.spf.acme.iphmx.com" hinzugefügt werden.