在专用服务器上设置SPF记录

Question

我有一个问题，在一个专门的托管环境SPF记录。我希望为我的专用服务器建立SPF记录，但我不确定我的理解是否正确。

第一个问题:我是否只需要为保存NS和PTR记录的域设置SPF记录，还是需要为服务器上的每个域设置SPF记录？

如果我只需要为NS域设置它，可以在每个域上设置它来覆盖NS域吗？

此外，如果它只是为NS域，我如何确保我的客户端与远程SMTP服务器没有问题，发送电子邮件？即。谷歌应用程序或外部MX记录。

我的NS域名是example.com，我的客户之一是helloworld.com，我需要在helloworld.com、example.com或两者都设置SPF记录吗？如果我不将SPF记录放在example.com上，helloworld.com上的SPF记录会影响helloworld.com吗？

Answer 1

(根据问题的编辑编辑的答案。)

那得看情况。SPF记录应该应用于信封From，而不是头From:。如果您的服务器正在使用SRS，一切都应该是安全的；信封From将被重写为example.com，并且您的SPF记录将覆盖它。否则，它将取决于它们的MUA(和/或内部邮件服务器)将信封From设置为什么；如果是helloworld.com，那么是的，它们的SPF记录(如果存在)将需要允许您的基础设施发送。

这就是说，如果他们是你的客户，他们没有伤害，包括你在他们的SPF记录，他们可以做一个简单的include:。安全总比抱歉好，别忘了留意DNS的查找限制。

至于你问题的最后一部分，你应该读一下关于建立SPF记录的规范问题。

Answer 2

SPF需要为每个域配置。虽然您可以使用通配符，但这会有效地创建与通配符匹配的所有子域。你很少会想要使用通配符。SPF不适用于PTR记录，并且您的NS域通常不应该发送电子邮件。

如果你想保护不应该发送电子邮件的域被用来发送垃圾邮件，请使用像v=spf1 -all这样的SPF记录。我建议这样做，但许多领域没有这方面的报道。(我看到很多垃圾邮件被我的垃圾邮件过滤器拒绝了。)这应该包括一些垃圾邮件发送者倾向于喜欢的网络域。

信封中使用的域，如address、From:、Sender:和类似的头文件，应该有类似于v=spf1 a mx -all的SPF记录。这将给使用其他SMTP服务器从您的域发送电子邮件的发件人带来问题。SPF将应用于信封的地址，在大多数情况下，应该匹配一个发件人地址头。

如果您希望允许其他SMTP服务器代表您的域发送，则可以使用include机制。可以应用的域查找的数量有限，因此使用A或MX之类的机制进行深度嵌套可能会导致检查在所有机制完成之前失败。您还可能导入一个~all机制，这将大大降低使用SPF的目的。

设置SMTP服务器以接受来自Submisssion端口(587)上的用户的身份验证连接，将允许他们使用邮件服务器发送电子邮件。应该将提交端口配置为启用StartTLS。身份验证应该需要TLS。

您的SMTP服务器应该有SPF记录，允许它发送电子邮件。像v=spf1 a -all这样的记录是合适的。

考虑查看DMARC，它将允许您发布关于如何处理电子邮件、SPF和DKIM的策略。您还可以收到关于您的域是否符合您的策略的反馈。这可以包括你的域名被用来发送垃圾邮件的迹象。