Как правильно прописать несколько DKIM?

Question

[FloorZ]

Как правильно прописать в DNS записи несколько DKIM записей?
Сейчас dkim прописан (none - какой то домен):

v=spf1 a:mail.none.ru -all
none._domainkey		v=DKIM1; p=%%%%%%%%%
_adsp._domainkey	dkim=unknown
_domainkey		o=~

Но сейчас хотим отправлять рассылку с SMTP сервера spam.none.ru, с другим IP
Просто добавить еще аналогичную запись или просто публичный ключ?

Answer 1

[Николай Брянский]

mail._domainkey.domain.ltd = "v=DKIM1...."
mail2._domainkey.domain.ltd = "v=DKIM1...."
В милтере на сервере указываете какой конкретно открытый ключ использовать
SPF тут немного ни при чем.

Comments

[FloorZ]

mail2._domainkey.domain.ltd = "v=DKIM1...."
Т.е. текущую запись переделать с
none._domainkey v=DKIM1; p=%openkey%
на
mail._domainkey.none.ru v=DKIM1; p=%openkey%
И добавить ниже
spam._domainkey.none.ru v=DKIM1; p=%openkey%
так?

И что там по v=spf1 a:mail.none.ru -all?
Сейчас в этой записи у нас хостинг почты, который предоставляет корп почту, но тарифы на рассылку. Т.е. там сейчас записи из разряда v=spf1 a:mail.hosting.ru -all. Принимать все с этого адреса?
Стоит ли ее вообще оставлять?

[Николай Брянский]

FloorZ: Смотрите DKIM, это цифровая подпись, при отправке почты вам необходимо настроить программу которая будет добавлять эту подпись в заголовки письма.
Обычно это милтер opendkim, инструкцию по настройке можно найти к примеру здесь:
vladimir-stupin.blogspot.ru/2014/02/postfix-opendk...
раздел 8.
В общем и целом настройка выглядит так.
1. устанавливаем милтер
2. генерируем пары открытый закрытый ключ
3. настраиваем каким ключом подписывать какую почту.
4. Размещаем закрытый ключ в DNS.
5. подключаем милтер к почтовой службе.

В вашем случае вы генерируете по паре ключей, одну на одном сервере, вторую на втором сервере.
Соответственно в DNS прописываете 2 TXT записи, к примеру
server1._domainkey.domain.tld = "блабла1"
server2._domainkey.domain.tld = "блабла2"
В настройках милтера(для опендким)
первый сервер
/etc/opendkim/KeyTable
server1._domainkey.domain.tld domain.tld:mail:/etc/opendkim/keys/domain.tld/server1.private
/etc/opendkim/SigningTable
*@domain.tld server1._domainkey.domain.tld

второй сервер
/etc/opendkim/KeyTable
server2._domainkey.domain.tld domain.tld:mail:/etc/opendkim/keys/domain.tld/server2.private
/etc/opendkim/SigningTable
*@domain.tld server2._domainkey.domain.tld

server1.private и server2.private это файлы с закрытыми ключами которые соответствуют открытым ключам в DNS.
В таком виде каждый из серверов будет подписывать всю отправляемую почту из домена domain.tld подписывая своим ключом.

Описан не весь процесс настройки, но иначе бы оно было в 2-3 раза длиннее.

По SPF, упрощенно это запись которая указывает с каких IP адресов может отправляться ваша почта. В вашем случае она будет приниматься только если отправлена с IP адреса за хостнеймом mail.none.ru.
Нужно будет добавить второй сервер.
Подробнее про то как составляется SPF можно почитать тут.
www.openspf.org/SPF_Record_Syntax
К сожалению оригинальную документацию нашел только на английском.

[FloorZ]

Отлично. Теперь внятно все. Но вопрос наверное по другой теме. В Керео мейл сервер 7ой версии отсутствует DKIM в настройках домена. Это где то скрыто по умолчанию или необходимо обновлять это дело?

[Николай Брянский]

FloorZ: С почтовиком от керио не работал, помочь не смогу.
Посмотрите kb.kerio.com скорее всего там есть готовые рецепты.
Сейчас быстренько пробежался вроде нашел что-то похожее, но не факт что для вашей версии.
kb.kerio.com/product/kerio-connect/server-configur...
И черт его знает позволяют ли они настраивать больше одного ключа на домен.

[FloorZ]

Николай Брянский: это 8ая версия. Вот в седьмой этого поля нет, просто нету функционала =(.

[Николай Брянский]

FloorZ: Задумайтесь, может имеет смысл под отправку поставить отдельный сервсис с поддержкой DKIM тогда, и только принимать в керио?

Answer 2

[zorruch]

Сделайте еще одну txt запись в dns на spam.none.ru и подписывайте ключи на этом сервере от его имени.