Introducción
Este documento describe cómo funciona el registro SPF recomendado por Cisco para clientes alojados en CES.
Requirements
- Comprensión básica de cómo funciona DNS.
Importancia de las macros SPF
El registro recomendado por Cisco utiliza una macro SPF definida en RFC7208 Sección 7. La macro se utiliza en este caso para reducir la cantidad de búsquedas de DNS que se requerirían para permitir que los dispositivos CES pasen la verificación SPF. Esto es importante porque SPF limita la cantidad de búsquedas de DNS por verificación SPF a 10 de acuerdo con la sección 4.6.4 de RFC7208. Si se requieren más de 10 búsquedas de DNS, el resultado de la verificación SPF será permerror. Puede que esto no sea un problema, pero si se aprovisionan más ESA alojados, se requerirán más búsquedas de DNS.
Puede agregar la dirección IP de cada ESA alojado al registro SPF. Esto no requerirá ninguna búsqueda de DNS adicional durante la verificación SPF. Sin embargo, la desventaja de esto es que tiene que cambiar el registro SPF cada vez que se aprovisionan nuevos ESA o cuando cambia la dirección IP de un ESA existente. El registro SPF que Cisco recomienda no requiere ninguna gestión por su parte después de agregar el registro.
Explicación del registro SPF
A continuación se muestra un ejemplo del registro SPF:
$ dig acme.com txt +short
"v=spf1 exists:%{i}.spf.acme.iphmx.com ~all"
Nota: La parte "acme" de este registro SPF se considera el nombre de asignación. El clúster alojado de CES tiene un nombre de asignación único y se debe utilizar en lugar de "acme" si agrega este registro SPF al DNS.
En este registro SPF, se utiliza la macro "%{i}". Esta macro se utiliza como variable que se reemplaza por la dirección IP del host de conexión cuando tiene lugar la verificación SPF. Por ejemplo, si 192.168.0.1 es el host de envío, el nombre de host "%{i}.spf.acme.iphmx.com" se expandiría a "192.168.0.1.spf.acme.iphmx.com."
El mecanismo "existe" se define en RFC7208 Section-5.7 y coincidirá si el nombre de host "%{i}.spf.acme.iphmx.com" tiene un registro A en DNS. Por ejemplo, supongamos que 192.168.0.1 es el host de envío de nuevo. El nombre de host "%{i}.spf.acme.iphmx.com" se expandiría a "192.168.0.1.spf.acme.iphmx.com" y el host de verificación realizaría la siguiente búsqueda de DNS:
$ dig 192.168.0.1.spf.acme.iphmx.com a +short
127.0.0.2
Nota: Cisco administra el dominio iphmx.com. Debido a esto, solo Cisco puede agregar/quitar/modificar registros DNS para ese dominio como el registro anterior. Lo que esto significa para usted es que no necesita agregar estos registros cada vez que se aprovisionan nuevos ESA a su clúster CES. Es responsabilidad de Cisco garantizar que estos registros se agregan y corrigen.
Debido a que se devolvió la dirección IP 127.0.0.2, el mecanismo exists coincidiría y el resultado de la verificación SPF sería pass.
Digamos que el host de envío es 10.0.0.1. El nombre de host "%{i}.spf.acme.iphmx.com" se expandiría a "10.0.0.1.spf.acme.iphmx.com" y el host de verificación realizaría la siguiente búsqueda de DNS:
$ dig 10.0.0.1.spf.acme.iphmx.com a +short
$
Dado que no se devolvió ningún resultado, el mecanismo exists no coincidiría y el resultado de la verificación SPF sería softfail.
Additional Information
La tecnología SPF puede ser compleja dependiendo de la cantidad de hosts que desea autorizar para retransmitir correo para su dominio. Si los dispositivos alojados CES son los únicos hosts autorizados para retransmitir correo para su dominio, el registro anterior funciona muy bien para usted. De lo contrario, tendrá que modificar el registro SPF que proporcionamos para que autorice todos los hosts para los que lo necesite.
Si ya tiene un registro SPF, se puede agregar "exists:%{i}.spf.acme.iphmx.com" a ese registro SPF.
Comentarios