Как прописать SPF? Нужны ли префиксы в SPF записи?

Question

[Евгений Матвеев]

Как правильно создать spf на 30 доменов. Для вспомогательных системных 29
Ограничение по запросу spf стоит 10.
У меня есть dnsmta.xyz / dnsmail.xyz / dnssis.xyz
к примеру на домене клиента domain.ru мы запрашиваем spf в dnsmta.xyz / dnsmail.xyz / dnssis.xyz через redirect
где каждый из dnsmta.xyz / dnsmail.xyz / dnssis.xyz имеет разрешающие записи на свою группу серверов, к примеру

dnssis.xyz IN TXT v=spf1 ip4:95.46.114.185 ip4:95.46.8.104 ip4:78.108.95.160 ip4:78.108.82.196 ip4:93.170.123.71 ip4:95.46.8.188 ip4:178.250.241.129 ip4:93.170.123.238 ip4:31.148.99.113 ip4:31.148.99.161 ~all
и остальные свои по 10 запросов - как в таком случае высчитать кол-во запросов. Пройдет ли такая конструкция?

Вижу у некоторых доменов прописан spf redirect и include с префиксом. Как правильно прописать
v=spf1 redirect=spf.dnsmta.xyz
v=spf1 redirect=_spf.dnsmta.xyz
v=spf1 redirect=dnsmta.xyz

Answer 1

[Владимир Дубровин]

ip4/ip6 не требет дополнительного запроса, поэтому их лучше всего и использовать..
каждый 'redirect', 'include' требует дополнительный запрос + все запросы включаемой зоны
'a' требует 1 дополнительный запрос
'mx' трубет 1 запрос на получение списка MX-записей + по 1 дополнительному запросу на каждую MX запись.
Про использование redirect и include и вообще рекомендации по вашему вопросу достаточно подробно есть здесь (ближе к концу).

Comments

[Евгений Матвеев]

Читаю, все что Вы мне уже подсказывали и подсказываете - за что большой поклон, вроде на столько все просто - не могу догнать. Тестить все мои умо.пробы надо, на живом это очень проблематично в большой инфраструктуре. Все описания по ссылкам общие и описаны в применении к 2/3 серверам.

рабочий домен к примеру dnsmail.xyz v=spf1 a mx redirect=spf.dnssis.xyz redirect=spf.dnssis2.xyz
я получаю разрешения с dnssis.xyz и dnssis2.xyz
- это позволит клиенту не следить за изменениями на наших серверах (в этом вся и загвоздка, что сервера динамически могут меняться)

мне надо дать разрешение с 20+ серверов - я сделаю 2 редирект на 2 домена dnssis.xyz иdnssis2.xyz на каждом из которых будет по валидному числу разрешений по запросам - я парюсь как их высчитать.., такие я видел большие разрешающие архитектуры.

Задача чтобы письмо с dnsmail.xyz - отпраляемое через сервера перечисленные в dnssis.xyz и dnssis2.xyz были легетимными при приеме потовой системой

dnssis.xyz IN TXT v=spf1 ip4:95.46.114.120 ip4:90.22.9.112 ip4:40.50.20.84 ip4:35.24.82.143 ip4:11.190.145.17 ip4:92.40.11.109 ip4:126.12.254.130 ip4:46.270.209.143 ip4:22.165.98.244 ip4:30.86.287.294 ~all

dnssis2.xyz IN TXT v=spf1 ip4:95.46.114.185 ip4:95.46.8.104 ip4:78.108.95.160 ip4:78.108.82.196 ip4:93.170.123.71 ip4:95.46.8.188 ip4:178.250.241.129 ip4:93.170.123.238 ip4:31.148.99.113 ip4:31.148.99.161 ~all

Я правильно понимаю что сейчас у меня перебор с запросами более 10? я насчитал 24
Я в неправильную сторону смотрю, не вижу что мне показывают или не возможно так дать разрешение на большое кол-во и мне нужно объединять отправляющие сервера в под сеть?

[Владимир Дубровин]

Евгений Матвеев, не может быть двух редиректов в одной spf-записи, может быть два include.

Если вам надо 20 серверов - перечисляйте 20 ip4, в чем проблема? ip4 не требует отдельного DNS-разрешения, не надо их считать, они никак не влияют на лимит в 10 DNS-запросов.

[Евгений Матвеев]

Вот я про это и ломаю голову, не могу понять что такое dns запрос. Я до сих пор его понимаю как 1 сопоставляемое значение = 1 запрос. Ну ок, я принял Ваш совет попробую, надеюсь завтра не покраснею.