Exchange管理員需要了解的發件人策略框架 (SPF)

企業 Exchange 郵件系統的規劃部署和運維并不太難，反而垃圾郵件是組織面臨的巨大問題。通常情況下，Exchange 管理員都會采取非常多的措施來保證服務器盡可能不受垃圾郵件侵擾。但我們還需要注意如何防止垃圾郵件發送者欺騙或者模仿組織的域名發送郵件，畢竟域名被冒用發送虛假或惡意軟件可能對企業造成嚴重的后果。

為了檢測偽造郵件，許多大型郵件服務提供商，如：國外的 Microsoft、Yahoo、Google 和 AOL，以及國內的騰訊、新浪、網易都會執行發件人策略框架以檢查發件人的域名（SPF）記錄。

SPF 記錄允許郵件系統管理員指定哪些郵件服務器可以使用該域名來發送郵件，接收服務器會在收到郵件時驗證發件人在 SMTP 會話中執行 MAIL FROM 命令時的郵件地址是否與域名 SPF 記錄中所指定的源 IP 匹配，以判斷是否為發件人域名偽造。

SPF 記錄早已經被國際主流的郵件服務商所采用，如果你的域名沒有配置 SPF 記錄，極有可能直接被郵件接收方的服務器（特別是國外服務商）直接拒絕。

簡單來說，SPF 記錄其實就是一條有特殊語法的 TXT 記錄，它由「匹配機制」和「修飾符」2 部分組成。「修飾符」通常只作為可選項，一般情況下 Exchange 管理員只會用到并處理包含「匹配機制」的 SPF 記錄。

SPF 記錄的匹配機制主要用于定義和指定可由該域名發送郵件的主機，其定義方式包括：

• all 匹配任何主機，它寫在 SPF 記錄最后以匹配在其前面所列出的主機。
• ip4 匹配 IPv4 地址或網絡范圍。
• ip6 匹配 IPv6 地址或網絡范圍。
• a 匹配主機名或域名。
• mx 匹配域名的 MX 記錄，當出站與入站郵件為同一服務器時通常采用此種機制。
• ptr 通過 DNS 反向記錄來匹配發件人 IP 和域名，由于會增加 DNS 負載，一般不采用此種機制。
• exists 只檢查域是否在 DNS 中存在。
• include 將發件人 IP 和 SPF 記錄指向另一個域，這種匹配機制通常用于云服務，如 Exchange Online Protection。

SPF 記錄的匹配機制會結合一些限定詞來使用，以告訴服務器找到一條匹配記錄時該怎么辦。常見的限定詞有：

• + 放行，如果沒有明確指定限定詞，則為默認值。
• –?硬拒絕，直接拒絕來自未經授權主機的郵件。
• ~ 軟拒絕，郵件可被接受，也可被標記為垃圾郵件。
• ? 中性，不考慮郵件是否被接受。

SPF 記錄會結合「匹配機制」和「限定詞」使用，例如：在 SPF 記錄的末尾處寫有 -all 則表明在不匹配前面所列主機時，接收服務器需要將郵件全部拒絕。

在配置好 SPF 記錄之后，還需要對其進行驗證，特別是在有外部機構拒絕你發的郵件時，更應該驗證 SPF 記錄的正確性。MXToolbox 這個廣為 Exchange 管理員所使用的在線服務中便有 SPF 記錄驗證工具，只需輸入域名和 IP 即可。

MXToolbox SPF 記錄查找工具將驗證 DNS 查詢及 SPF 語法中的常見問題，以幫助管理員排錯。

盡管 SPF 記錄在互聯網郵件傳遞中至關重要，但組織內部 Exchange Server 之間的郵件流不依賴于 SPF 記錄，Exchange Server 會默認處于同一組織中的所有 Exchange 服務器都是權威的。