作者aeolus0829 (阿洽)
看板MIS
標題Re: [請益] 請問各位在設mail server的dns有ip反解嗎
時間Fri Jul 22 11:46:32 2016
※ 引述《oherman (qq)》之銘言：
: 本公司的mail server有設定ip反解，為了，
: 垃圾郵件防護機制收信時也會檢查寄信ip是否是
: 該公司的ip。要防止被冒用網域名寄垃圾信，及收到
: 垃圾信。
: 但是問題來了，很多業務在外面寄信的ip常不是公司的
: ip，雖然已經勾選outlook的寄信認證，但寄信時記錄的ip
: 還是外部ip非公司的ip，以致於有可能被判斷是垃圾信
: 我們公司是用眾至的mail sever，請問各位遇到這種情況
: 有沒有好的解決方式？
一般 mail server 的行為都是會帶自己的 wan IP
除非眾至比較特別會去改寫你的 mail header 的 ip 位址
不然應該是不會有 '業務在外部用公司 mail 寄信，帶的是外部 IP'
如果有的話應該是有別的因素要查，這部份先略過
個人實務經驗是有發生：公司有八個 IP
然後 wan IP (防火牆IP) x.x.x.1
mail server IP x.x.x.2
之前我以為 mail server IP 應該會帶 .2
但在測 SPF 設定時發現，其實 mail server 帶的會是 .1 的 IP
在沒有特別設定下，你 mail sever 是透過 firewall NAT 出去，NAT 後 IP header
會被改寫成 firewall 的 IP
我後來用的解法是在 dns 的 spf 設定成 firewall wan1 的 IP
但其實也可以用 policty route 的方式讓 firewall 讓 mail server 的 IP header
改寫成 .2 的 IP，那你在 spf 的部份就設定成 .2 的 IP 即可
現在我比較推薦 policty route 的作法，資料和設定一致後面別人要抓問題會簡單點
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 211.20.129.1
※ 文章網址: https://webptt.com/m.aspx?n=bbs/MIS/M.1469159194.A.BE5.html
1F：→ yeh1518: 正常的firewall都能設定nat帶哪個source ip出去吧 07/22 16:11
我家 fortigate 是要定 policy route 不然就是帶 wan IP
2F：推 dymegod: 聽說 fortinet 在4.x 不會帶vip 要自己定pool... 07/22 22:44
3F：→ marcus6: spf 可以設定整個網段上去 07/25 19:44
沒錯 這也是個方法
※ 編輯: aeolus0829 (211.20.129.1), 07/26/2016 09:39:17