作者aeolus0829 (阿洽)
看板MIS
标题Re: [请益] 请问各位在设mail server的dns有ip反解吗
时间Fri Jul 22 11:46:32 2016
※ 引述《oherman (qq)》之铭言：
: 本公司的mail server有设定ip反解，为了，
: 垃圾邮件防护机制收信时也会检查寄信ip是否是
: 该公司的ip。要防止被冒用网域名寄垃圾信，及收到
: 垃圾信。
: 但是问题来了，很多业务在外面寄信的ip常不是公司的
: ip，虽然已经勾选outlook的寄信认证，但寄信时记录的ip
: 还是外部ip非公司的ip，以致於有可能被判断是垃圾信
: 我们公司是用众至的mail sever，请问各位遇到这种情况
: 有没有好的解决方式？
一般 mail server 的行为都是会带自己的 wan IP
除非众至比较特别会去改写你的 mail header 的 ip 位址
不然应该是不会有 '业务在外部用公司 mail 寄信，带的是外部 IP'
如果有的话应该是有别的因素要查，这部份先略过
个人实务经验是有发生：公司有八个 IP
然後 wan IP (防火墙IP) x.x.x.1
mail server IP x.x.x.2
之前我以为 mail server IP 应该会带 .2
但在测 SPF 设定时发现，其实 mail server 带的会是 .1 的 IP
在没有特别设定下，你 mail sever 是透过 firewall NAT 出去，NAT 後 IP header
会被改写成 firewall 的 IP
我後来用的解法是在 dns 的 spf 设定成 firewall wan1 的 IP
但其实也可以用 policty route 的方式让 firewall 让 mail server 的 IP header
改写成 .2 的 IP，那你在 spf 的部份就设定成 .2 的 IP 即可
现在我比较推荐 policty route 的作法，资料和设定一致後面别人要抓问题会简单点
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 211.20.129.1
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/MIS/M.1469159194.A.BE5.html
1F：→ yeh1518: 正常的firewall都能设定nat带哪个source ip出去吧 07/22 16:11
我家 fortigate 是要定 policy route 不然就是带 wan IP
2F：推 dymegod: 听说 fortinet 在4.x 不会带vip 要自己定pool... 07/22 22:44
3F：→ marcus6: spf 可以设定整个网段上去 07/25 19:44
没错 这也是个方法
※ 编辑: aeolus0829 (211.20.129.1), 07/26/2016 09:39:17