Demo
Demo
База знаний PMTA›Блок <source>›Директива§ 3.3.7.25

check-iprev-inbound

<source>

Проверять ли, что адрес подающего сходится с его именем
в конфигурации это строкаcheck-iprev-inbound falseвнутри блока <source>
Сходится ли то, чем представились, с тем, откуда пришли

Проверка простая и старая: у адреса, с которого пришло соединение, берётся обратная запись в DNS, и она сверяется с именем, которым подающий представился в приветствии. Результат ложится в тот же заголовок, что и результаты прочих проверок на входе.

Чем она отличается от SPF. Та спрашивает у домена отправителя, разрешено ли слать с этого адреса, — то есть опирается на чужую запись, которую владелец домена ведёт сам. Эта опирается на запись адреса, которую ведёт владелец адреса, — и говорит не о праве слать, а об аккуратности настройки.

Умолчания трёх отказов здесь противоположны семье SPF. Там все три отвергают, тут все три пропускают. Включение проверки само по себе ничего не отклоняет.

Главная ловушка — принимают отсутствие обратной записи за подделку. Её не бывает у множества законных отправителей: у машин в облаках, за трансляцией адресов, у мелких почтовых узлов. Проверка говорит об аккуратности, а не о праве отправлять, и отвергать по ней — значит отвергать по косвенному признаку.
Что делает Хаб. Не пишет: узлы принимают почту только от самого Хаба. Зато обратную запись Хаб проверяет с другой стороны — у своих адресов отправки, потому что приёмники делают ровно эту проверку и относятся к адресу без записи хуже.
Рекомендуемые значения

Включать безопасно. В отличие от SPF, здесь умолчания отказов пропускают: проверка сначала только наблюдает.

Результат — признак, а не приговор. Его место в оценке письма вместе с прочими, а не в решении «принять или нет».

След включайте отдельно и временно — trace-iprev-check.

Разграничение «признак против приговора» — наше. Из руководства здесь умолчание, состав проверки (адрес и имя из приветствия) и умолчания трёх строк отказа.
Пример в конфигурации
# проверяем и записываем результат; отказов не включаем
<source 0/0>
    check-iprev-inbound true</source>
Три строки отказа здесь не нужны: их умолчания пропускают письмо. Это противоположность семье SPF, где включение проверки сразу включает отказы.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается2 ошибки▶

Считают отсутствие записи признаком подделки

наш опыт

Чем чреватоОбратной записи нет у множества законных отправителей — в облаках, за трансляцией адресов, у мелких узлов. Отказ по этому признаку отсекает их вместе с подделками.
Как заметитьОтклоняются письма отправителей, чья почта проходит у других получателей.
Как правильноДержать результат признаком в общей оценке, а не поводом для отказа.

Переносят настройки отказов из семьи SPF

наш опыт

Чем чреватоУмолчания противоположны: там три строки отвергают, здесь пропускают. Скопировав блок SPF и поменяв имена, вы включаете отказы там, где вендор их намеренно выключил.
Как заметитьТри строки reject-iprev-* заданы значением «отвергать».
Как правильноВернуть умолчания и включать отказ осознанно, по одному.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
check-iprev-inbound <boolean>
Значения
yes или no; true и false принимаются наравне с ними
Умолчание
false § 3.3.7.25
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
<source>
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Значение задаётся в блоке <source> и действует на почту, поданную подходящим источником; при нескольких подходящих блоках выигрывает наиболее точный. Подхватывается по pmta reload; на открытые соединения не влияет.
⇄

Связанные директивы

2 связи

На что влияет

reject-iprev-check-fail<source>Что делать при несовпадении; по умолчанию — пропускать. § 3.3.7.29

Обычно вместе с

check-spf-inbound<source>Соседняя проверка входящей почты: результат ложится в тот же заголовок. § 3.3.7.25

Сюда ссылаются

trace-iprev-check<source>Строка не срабатывает, пока обратная проверка не включена. § 3.3.7.26reject-iprev-check-temperror<source>Строка не срабатывает, пока обратная проверка не включена. § 3.3.7.27reject-iprev-check-permerror<source>Строка не срабатывает, пока обратная проверка не включена. § 3.3.7.28

Как проверить на узле
Значение задаётся в конфигурации источника; результат виден в заголовке принятого письма, а саму запись можно посмотреть напрямую:
grep -n check-iprev-inbound /etc/pmta/config
dig +short -x 198.51.100.10
Вторая команда показывает обратную запись адреса — то, с чем узел и сверяет имя из приветствия. Хаб этой строки не пишет.
◇

Что ещё почитать

3 статьи

◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Два обработчика входящих отчётов и что с ними делатьОтказы письмом и жалобы разбираются двумя одинаково устроенными блоками; у каждого свой список адресов и своя пара решений о судьбе письма.◇Списки адресов — именованные и безымянныеСписок адресов, доменов, образцов или хешей; именованный подключается директивами вроде подавления, безымянный живёт внутри процессора входящей почты.

В Хабе
Цена ошибки
обратимо: вредит, пока стоит
Сценарии
Приём входящей почты
Соседние настройки блока <source>:reject-iprev-check-temperrorcheck-spf-inbound-max-void-lookupsreject-iprev-check-failreject-iprev-check-permerrorprocess-x-dkim-keyВсе 74 директив блока →