目录

简介

先决条件

要求

使用的组件

确保DKIM签名已关闭

创建DKIM SigningKey

生成新的DKIM签名配置文件并将DNS记录发布到DNS

打开DKIM签名

测试邮件流以确认DKIM通过

验证

故障排除

相关信息

简介

本文档介绍如何在邮件安全设备(ESA)上配置DomainKeys Identified Mail(DKIM)签名。

先决条件

要求

Cisco 建议您了解以下主题：

- 邮件安全设备(ESA)访问。

- 添加/删除TXT记录的DNS编辑权限。

使用的组件

本文档不限于特定的软件和硬件版本。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

确保DKIM签名已关闭

您需要确保在所有邮件流策略中禁用DKIM签名。这允许您配置DKIM签名而不影响邮件流：

1. 导航到邮件策略>邮件流策略。

2. 导航到每个邮件流策略，并确保域密钥/DKIM签名(Domain Key/DKIM Signing)设置为关闭。

创建DKIM签名密钥

您需要在ESA上创建新的DKIM签名密钥：

1. 导航到邮件策略>签名密钥，然后选择添加密钥……

2. 为DKIM密钥命名，并生成新的私钥或粘贴到当前密钥中。
注：在大多数情况下，建议选择2048位的私钥大小。

3. 提交更改。

生成新的DKIM签名配置文件并将DNS记录发布到DNS

接下来，您需要创建新的DKIM签名配置文件，从该DKIM签名配置文件生成DKIM DNS记录并将该记录发布到DNS:

1. 导航到Mail Policies > Signing Profiles，然后点击Add Profile。

1. 在Profile Name字段中为配置文件指定描述性名称。

2. 在域名字段中输入您的域。

3. 在Selector字段中输入新的选择器字符串。

注意：选择器是一个任意字符串，用于允许给定域的多个DKIM DNS记录。

4. 在Signing Key字段中选择上一节中创建的DKIM签名密钥。

5. 单击“Submit”。

2. 在此处，点击刚创建的签名配置文件的DNS文本记录列生成，并复制生成的DNS记录。其外观必须类似于以下内容：

selector2._domainkey.domainsite IN TXT "v=DKIM1; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAwMaX6wMAk4iQoLNWiEkj0BrIRMDHXQ7743OQUOYZQqEXSs+jMGomOknAZJpjR8TwmYHVPbD+30QRw0qEiRY3hYcmKOCWZ/hTo+NQ8qj1CSc1LTMdV0HWAi2AGsVOT8BdFHkyxg40oyGWgktzc1q7zIgWM8usHfKVWFzYgnattNzyEqHsfI7lGilz5gdHBOvmF8LrDSfN""KtGrTtvIxJM8pWeJm6pg6TM/cy0FypS2azkrl9riJcWWDvu38JXFL/eeYjGnB1zQeR5Pnbc3sVJd3cGaWx1bWjepyNQZ1PrS6Zwr7ZxSRa316Oxc36uCid5JAq0z+IcH4KkHqUueSGuGhwIDAQAB;"

3. 提交更改。

4. 将步骤2中的DKIM DNS TXT记录提交到DNS。

5. 等待DKIM DNS TXT记录完全传播。

6. 转至邮件策略>签名配置文件。

7. 在测试配置文件列下，单击新DKIM签名配置文件的测试。如果测试成功，请继续本指南。如果不是，请确认DKIM DNS TXT记录已完全传播。

打开DKIM签名

现在，ESA已配置为DKIM签名邮件，我们可以启用DKIM签名：

1. 导航到邮件策略>邮件流策略。

2. 转到具有连接行为中继的每个邮件流策略，并将域密钥/DKIM签名设置为On。

注意：默认情况下，具有Connection BehaviorRelay的唯一邮件流策略是名为Relayed的邮件流策略。您需要确保只有DKIM签名邮件是出站邮件。

3. 提交更改。

测试邮件流以确认DKIM通过

此时，DKIM已配置。但是，您需要测试DKIM签名，以确保它按预期对出站邮件进行签名，并且通过DKIM验证：

1. 通过ESA发送消息，并确保其获得ESA签名的DKIM以及另一台主机验证的DKIM。

2. 在另一端收到消息后，检查消息的报头中是否存在报头Authentication-Results。查找报头的DKIM部分以确认它是否通过DKIM验证。报头必须类似于以下示例：
Authentication-Results: mx1.domainsite; spf=SoftFail smtp.mailfrom=user1@domainsite;

dkim=pass header.i=none; dmarc=fail (p=none dis=none) d=domainsite

3. 查找报头“DKIM-Signature”，并确认使用了正确的选择器和域：

DKIM-Signature: a=rsa-sha256; d=domainsite; s=selector2;

c=simple; q=dns/txt; i=@domainsite;

t=1117574938; x=1118006938;

h=from:to:subject:date;

bh=MTIzNDU2Nzg5MDEyMzQ1Njc4OTAxMjM0NTY3ODkwMTI=;

b=dzdVyOfAKCdLXdJOc9G2q8LoXSlEniSbav+yuU4zGeeruD00lszZ

VoG4ZHRNiYzR

验证

当前没有可用于此配置的验证过程。

故障排除

当前没有对此配置进行故障排除的具体方法。

相关信息

- 思科技术支持和下载