AWS 筆記 - 使用 Amazon Route53 設定 DNS SPF Record

如果說 MX 是用來提供寄件者得知 mail server 在哪邊，那 SPF 則是提供 mail receiver 驗證寄件者使用的 mail server 是不是接近已知、合法的 server。因此，設定 DNS SPF Record 是會降低信件誤判成垃圾郵件的機率。

採用 Amazon Route53 時，設定 TXT Record (有 SPF Record，但這次沒試)

"v=spf1 a mx a:YourServerHostname  ~all"

最後面的 ~all 代表上述未定義的，可能是錯的。若要強制歸類在錯誤，就用 -all 即可。

驗證方式（此例以 cs.nctu.edu.tw 為例）：

$ nslookup -q=txt cs.nctu.edu.tw
...
cs.nctu.edu.tw  text = "v=spf1 a mx a:farewell.cs.nctu.edu.tw a:csmailer.cs.nctu.edu.tw a:tcsmailer.cs.nctu.edu.tw a:csmailgate.cs.nctu.edu.tw a:csmail1.cs.nctu.edu.tw a:csmail2.cs.nctu.edu.tw a:csws1.cs.nctu.edu.tw a:csws2.cs.nctu.edu.tw ~all"
...

可以看到 "v=spf1 ... " 資訊，代表 DNS TXT Record 設定無誤，記得這是有 dns cache 機制，不見得馬上更改或是馬上可以查詢到。

接著，可以用 Gmail 來測試，從自家 mail server 寄信到 Gmail，若沒有設定 DNS SPF Record ，會顯示：

Received-SPF: none (google.com: YourSender@YourMailServer does not designate permitted sender hosts) client-ip=YourMailServerIP;

若有設定 DNS SPF Record 但不在名單內，此例為 ~all 用法：

Received-SPF: softfail (google.com: domain of transitioning YourSender@YourMailServer does not designate YourMailServerIP as permitted sender) client-ip=YourMailServerIP;

若設定正確即在 DNS SPF Record 定義內：

Received-SPF: pass (google.com: domain of YourSender@YourMailServer designates YourMailServerIP as permitted sender) client-ip=YourMailServerIP;

要留意，如果租的機器是在一些常見的 VPS 時，對外走的可能是 IPv6 ，此時記得 DNS Reocrd 中，也要用 AAAA Record (IPv6) 定義。