简介
本文档介绍如何在不停机的情况下替换ESA上现有的DKIM签名密钥和DNS中的DKIM公钥。
要求
- 访问邮件安全设备(ESA)。
- 访问DNS以添加/删除TXT记录。
- ESA必须已使用DKIM配置文件对邮件签名。
创建新的DKIM签名密钥
您首先需要在ESA上创建新的DKIM签名密钥：
- 转到“邮件策略”>“签名密钥”，然后选择“添加密钥……”
- 为DKIM密钥命名，并生成新私钥或粘贴到现有私钥中。
注意：在大多数情况下，建议选择2048位的私钥大小。
- 提交更改。
注意：此更改不会影响DKIM签名或邮件流。我们只是在添加DKIM签名密钥，尚未将其应用于任何DKIM签名配置文件。
生成新的DKIM签名配置文件并将DNS记录发布到DNS
接下来，您需要创建新的DKIM签名配置文件，从该DKIM签名配置文件生成DKIM DNS记录并将该记录发布到DNS:
- 转至Mail Policies > Signing Profiles并点击“Add Profile...”
- 在“配置文件名称”(Profile Name)字段中为配置文件指定描述性名称。
- 在“域名”字段中输入您的域。
- 在“选择器”字段中输入新的选择器字符串。
注意： 选择器是一个任意字符串，用于允许给定域的多个DKIM DNS记录。我们将使用选择器为您的域在DNS中允许多个DKIM DNS记录。必须使用不同于现有DKIM签名配置文件的新选择器。
- 在“Signing Key”字段中选择在上一节中创建的DKIM签名密钥。
- 在签名配置文件的底部，添加新的“用户”。 此用户应是未使用的占位符电子邮件地址。
警告：您必须添加未使用的电子邮件地址作为此签名配置文件的用户。否则，此配置文件可能会在发布DKIM TXT记录之前对出站邮件进行签名，从而导致DKIM验证失败。将未使用的电子邮件地址添加为用户可确保此签名配置文件不对任何出站邮件签名。
- 单击 submit。
- 在此处，点击刚创建的签名配置文件的“DNS文本记录”列中的“生成”，并复制生成的DNS记录。其外观应类似于以下内容：
selector2._domainkey.example.com. IN TXT "v=DKIM1; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAwMaX6wMAk4iQoLNWiEkj0BrIRMDHXQ7743OQUOYZQqEXSs+jMGomOknAZJpjR8TwmYHVPbD+30QRw0qEiRY3hYcmKOCWZ/hTo+NQ8qj1CSc1LTMdV0HWAi2AGsVOT8BdFHkyxg40oyGWgktzc1q7zIgWM8usHfKVWFzYgnattNzyEqHsfI7lGilz5gdHBOvmF8LrDSfN" "KtGrTtvIxJM8pWeJm6pg6TM/cy0FypS2azkrl9riJcWWDvu38JXFL/eeYjGnB1zQeR5Pnbc3sVJd3cGaWx1bWjepyNQZ1PrS6Zwr7ZxSRa316Oxc36uCid5JAq0z+IcH4KkHqUueSGuGhwIDAQAB;"
- 提交更改。
- 将步骤2中的DKIM DNS TXT记录提交到DNS。
- 等待DKIM DNS TXT记录完全传播。
删除旧的签名配置文件并从新的签名配置文件中删除占位符用户
将DKIM TXT记录提交到DNS并确保已传播后，下一步是删除旧的签名配置文件并从新的签名配置文件中删除占位符用户：
注意： 强烈建议您在继续执行以下步骤之前备份ESA配置文件。这是因为，如果您删除了旧的DKIM签名配置文件，并且需要恢复为以前的配置，则可以轻松加载已备份的配置文件。
- 转至Mail Policies > Signing Profiles，选择旧DKIM签名配置文件，然后点击“Delete”。
- 进入新的DKIM签名配置文件，选择当前占位符用户，然后点击“删除”。
- 点击“提交”。
- 在“Test Profile”列下，点击新DKIM签名配置文件的“Test”。如果测试成功，请继续下一步。如果不是，请确认DKIM DNS TXT记录已完全传播。
- 提交所做的更改。
测试邮件流以确认DKIM通过
此时，您已完成进一步配置DKIM。但是，您应测试DKIM签名，以确保它按预期对出站邮件进行签名并通过DKIM验证：
- 通过ESA发送消息，确保其获得ESA签名的DKIM和另一台主机验证的DKIM。
- 在另一端收到消息后，检查消息的报头，查看报头“Authentication-Results”。 查找报头的DKIM部分以确认它是否通过DKIM验证。标题应类似于以下内容：
Authentication-Results: mx1.example.net; spf=SoftFail smtp.mailfrom=user1@example.net;
dkim=pass header.i=none; dmarc=fail (p=none dis=none) d=example.net
- 查找报头“DKIM-Signature”，并确认使用了正确的选择器和域：
DKIM-Signature: a=rsa-sha256; d=example.net; s=selector2;
c=simple; q=dns/txt; i=@example.net;
t=1117574938; x=1118006938;
h=from:to:subject:date;
bh=MTIzNDU2Nzg5MDEyMzQ1Njc4OTAxMjM0NTY3ODkwMTI=;
b=dzdVyOfAKCdLXdJOc9G2q8LoXSlEniSbav+yuU4zGeeruD00lszZ
VoG4ZHRNiYzR
- 一旦您确信DKIM按预期工作，请至少等待一个星期再删除旧DKIM TXT记录。这可确保已处理由旧DKIM密钥签名的所有邮件。
反馈