SPF (Sender Policy Framework) 防止冒用網域名稱

Source: http://ithelp.ithome.com.tw/question/10023169

你一定常收到 寄件者與收件者都是同一人的廣告信件，依照以下設定方法就可以簡單的阻擋這類廣告信. SPF 功能是用來防止他人冒用你的Email 位址來發信，在外部DNS與內部DNS內加入 SPF record，在設定宣告後，就可以馬上啟用這項功能. 

舉例來說，假設您的網域 example.com 使用 Gmail。您可以建立 SPF 紀錄，用來識別 Google Apps 郵件伺服器的確是您網域的授權郵件伺服器。當收件者的郵件伺服器收到 user@example.com 寄來的郵件，可以檢查 example.com 的 SPF 紀錄，判斷它是否為有效的郵件。如果發出該郵件的伺服器「未」明列在 SPF 紀錄的 Google Apps 郵件伺服器清單中，收件者的郵件伺服器即可將郵件視為垃圾郵件並加以拒絕。

設定方法: 

第一步:在外部DNS 的Text裡加入二項設定: 

第一個record: hotst = “@” , TXT Value = “v=spf1 include:_spf.why0412.com –all “ (備註: why0412.com就是你的網域名稱) 

第二個record: host = “_spf”,TXT Value = “v=spf1 mx mx:mail.why0412.com ip4:1.1.1.0/24 ip4:2.2.2.0/24 –all “ (備註: ip4:後入你的Email server的外部IP 位址) 

第二步:重覆第一步驟，將 record 加到內部的DNS Server裡 

完成設定.完成設定.完成設定.完成設定.完成設定.完成設定.完成設定.完成設定.完成設定.完成設定.完成設定.完成設定.完成設定.完成設定.完成設定.完成設定.完成設定. 

若要查詢設定是否成功 (以google 為例) 

到 DNS裡查看記錄是否這二筆 records 

至cmd下 

Z:\>nslookup
預設伺服器: us-dc1.why0412.com
Address: 10.1.1.2 

> server 168.95.1.1 <--轉換到hinet的DNS做查詢
預設伺服器: dns.hinet.net
Address: 168.95.1.1 

> set type=txt
> google.com
伺服器: dns.hinet.net
Address: 168.95.1.1 

google.com text = 

"v=spf1 include:_netblocks.google.com ~all" 註: 這是我們第1組所設定的值

> _spf.google.com
伺服器: dns.hinet.net
Address: 168.95.1.1 

未經授權的回答:
_spf.google.com text = 

"v=spf1 ip4:216.239.32.0/19 ip4:64.233.160.0/19 ip4:66.249.80.0/20 ip4:72.14.192.0/18 ip4:209.85.128.0/17 ip4:66
.102.0.0/20 ip4:74.125.0.0/16 ip4:64.18.0.0/20 ip4:207.126.144.0/20 ?all" 

這個只是在 DNS 上設定 SPF 的 TXT 記錄的步驟完成而已，
真正會有效果的是：
全世界的任何 Mail Server，在接受任何 SMTP 過來的時候，
有做 check 該信 From 哪裡的 SPF 的機制，才真的有效用。
也就是說：如果任何宣稱該信是 From: 哪裡來時，
除了從 DNS check 該 @ 後面的 host 名稱是否效之外，
也去 query 其 TXT 值是否有 SPF 的設定，
若有，則會依照 TXT 中指定的 IP 視為有效範圍，
若 送這信過來的 IP ，是屬其範圍，就接受，
若不屬該範圍，則看 Mail Server 所裝的過濾器，
看要給該信做怎樣的標示，及後續的處理。

所以設定 SPF record，只是讓有設 SPF filter 的 Mail Server，
可以去判定或過濾那些 可能是冒用 有設 SPF 網域 的信件。