check-spf-inbound
<source>
Обратная сторона check-spf-outbound: та проверяет нашу исходящую почту, эта — чужую входящую. Узел сверяет адрес, с которого пришло письмо, с записью SPF домена его отправителя и добавляет к письму заголовок с результатом проверки.
Сама по себе она ничего не отвергает. Результат только записывается в заголовок. Отказом на неудачную проверку управляют три отдельные строки: reject-spf-check-fail, reject-spf-check-permerror и reject-spf-check-temperror — и все три по умолчанию отвергают.
Отсюда порядок: включив проверку, вы сразу включаете и отказы. Умолчание строки — «не проверять», и это единственное, что удерживает узел от отказов на входе.
Включайте вместе с решением об отказах. Три строки отказа по умолчанию отвергают; если нужно только наблюдение, их надо явно перевести в положение «не отвергать».
Наблюдение — разумный первый шаг. Неделя с записанными результатами и без отказов покажет, что вы отвергнете, когда включите.
Для своих источников проверка избыточна. Подающий известен по адресу; запись SPF отвечает на вопрос, который уже решён.
# сначала только наблюдаем: проверяем, но не отвергаем <source 10.0.0.0/8> check-spf-inbound true reject-spf-check-fail false reject-spf-check-permerror false reject-spf-check-temperror false </source>
▲
Типичные ошибки и проблемы
что делают не так и чем это кончается2 ошибки▶
Включают проверку, не тронув строки отказа
наш опыт
Включают для своих источников
наш опыт
- Синтаксис
- check-spf-inbound <boolean>
- Значения
- yes или no; true и false принимаются наравне с ними
- Умолчание
- false § 3.3.7.22
- Применение
- reload, перезапуск не нужен
- Очередь
- уже поставленное в очередь не затронет
- Где писать
- <source>
- Сколько раз
- один раз в блоке
Связанные директивы
4 связи
reject-spf-check-temperror<source>Что делать при временной ошибке проверки; по умолчанию отвергать. § 3.3.7.69reject-spf-check-permerror<source>Что делать при постоянной ошибке проверки; по умолчанию отвергать. § 3.3.7.70reject-spf-check-fail<source>Что делать при неудачной проверке; по умолчанию отвергать. § 3.3.7.71
check-arc-inbound<source>Соседняя проверка входящей почты: результат ложится в тот же заголовок. § 3.3.7.18check-dkim-inbound<source>Соседняя проверка входящей почты: результат ложится в тот же заголовок. § 3.3.7.19trace-spf-check<source>Строка не срабатывает, пока проверка на входе не включена. § 3.3.7.21check-spf-inbound-best-guess<source>Действующая строка, которой пользуются вместо этой. § 3.3.7.23check-iprev-inbound<source>Соседняя проверка входящей почты: результат ложится в тот же заголовок. § 3.3.7.25check-spf-outbound<domain>Та же проверка с другой стороны: та смотрит чужую входящую почту, эта — свою исходящую. § 3.3.7.22
grep -n check-spf-inbound /etc/pmta/config grep -i 'Authentication-Results' /var/log/pmta/pmta.log | tail -5
Что ещё почитать
3 статьи
◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Группа, дающая право управлятьЧленство в группе pmta даёт непривилегированному пользователю право звать команды узла и пользоваться подачей.◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.
- Цена ошибки
- опасно: последствия переживут откат
- Сценарии
- Приём входящей почты · Безопасность узла