web-dev-qa-db-ja.com

Postfix：バウンスメールがnull送信者「<>」から送信された場合のサブドメインDMARC、DKIM、およびSPFの管理

ドメイン（example.com）に代わってメールを送信するpostfixサーバーがいくつかあります。差出人アドレスが指定されている場合、DKIMとSPFは正しく渡されます。ただし、DMARC通知で、postfixサーバーから送信されている失敗した電子メールが多数あることに気付きました。

各Postfixサーバーは、DNSのサブドメイン（smtp1.example.com、smtp2.example.com）にマップされます。逆引き参照は、送信IP用にAWSで設定されます。

メールが返送されると、postfixは配信不能通知メールを送信者に送信しますが、送信者はnullです。これらのメッセージは、MAILER-DAEMON @ example.comではなく[email protected]から送信されるため、DKIMおよび場合によってはSPFに失敗するようです。

これを管理するための最良の方法は何ですか？サブドメインごとにDKIMおよびSPFレコードを作成する必要がありますか？ postfixのmailer-daemon送信者をカスタマイズして、サブドメインではなくドメインから送信する方法はありますか？

更新：

「/etc/postfix/main.cf」で$ mydomain変数をexample.comに変更し、$ myoriginを$ mydomainを使用するように設定する必要があることがわかりましたが、DKIMがアタッチされていません。私はOpenDKIMを使用して各送信メールにDKIMを適用していますが、postfixは[email protected]の代わりにfrom = <>を使用しているため、それが理由かどうかはわかりませんが、スキップしているようです。

更新：

次のように「/etc/postfix/main.cf」に「internal_mail_filter_classes = bounce」を追加することで、バウンスされた電子メールに対してDKIMを送信することができました。

http://www.postfix.org/MILTER_README.html

これが私の目標を達成するための最良の方法であるかどうか、私はまだ疑問に思っています。

更新：

バウンスされた電子メールは[email protected]から送信されますが、受信者には、smtp1.example.comから送信され、example.comによって署名された電子メールが表示されます。これには、smtp1.example.com用に構成された別のspfレコードが必要であり、これは必要ありません。バウンスは、ルートドメインから送信されたものとして表示されます。

これを達成するにはどうすればよいですか？

更新：

メールヘッダーの追加とpostconf -nの出力。 IPアドレスとドメイン名のみを難読化しました。メールはGmail管理ドメインによって受信されました。

メールヘッダー

Delivered-To: [email protected]
Received: by 2002:a2e:45d5:0:0:0:0:0 with SMTP id s204-v6csp753516lja;
        Wed, 26 Sep 2018 10:59:51 -0700 (PDT)
X-Google-Smtp-Source: ACcGV62LaRKlAeJoVcCqIQRgHXwen7bLAev7n/gyBtIF7yWMLpmgBaL1q8D3Qm0zEMcDjPEmCjCz
X-Received: by 2002:a0c:a9d2:: with SMTP id c18-v6mr54933qvb.191.1537984791474;
        Wed, 26 Sep 2018 10:59:51 -0700 (PDT)
ARC-Seal: i=1; a=rsa-sha256; t=1537984791; cv=none;
        d=google.com; s=arc-20160816;
        b=0LNTMB+qiHPz1eHGcLyPLE1FcSmW30xptS1xcbd9Vmy1Wdx3/tg96AUrAeuoDSznHE
         b96zAG+sJHLASokmbete92FHI1G8rD8PgjH/IUCJ48Tl6fBZwkdKU7AGYAJ/2TTCBAuV
         V5qcBCIuomDpUVXLeDNYSpTPEpAtaUrm+l5S3wIkZXlyzTsEL9utiVdoKTmYNcyXzM53
         afDdaokbJdrmm6h904P49QEgm1/76LVyjh3QvpzVmVkmz7bsRleBypROkS4GERE0UD87
         ZVEKMlCkVw8y2lUJwx8OvYTIALGHLsrjHk3cICv8uCsCQleDeMK+Y7mxJ4og8isdmEJm
         aNTw==
ARC-Message-Signature: i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20160816;
        h=message-id:mime-version:auto-submitted:to:subject:from:date
         :dkim-signature;
        bh=/kHg6GHVOA4im8+tNe6f5EdTttqwbtTK3EvxVBpLPe0=;
        b=VNuEQyKlo1YCgSBznYzBqNzJzJHaTqIxYzzEOhVfWH7KP4IdBvSQ5nwbigujfhq+a1
         ch04W6nNbOaeTvC6hRdztL+Qw+lria0hOIx6eo3Hc8swQseAv6+iKh8hwbL4DM1tr84l
         wDmcPy808/tamGIBHacA1vhe7LU1ZWhaFmBcynllMaLXJDxDsJuZc2pAfQe3cu+1da0h
         twdEY+fYo8tVlVC/A0fb6iedP57tYygfg1LMSZhOxqwWiFDuNsOOn2Px0geyYcHWiyTj
         uZEtS4L1nfYr2J2tbeZsHMzrjPkM4etZMK52duSiNpMZnV0CN4dioHQcSskrik8Jgnmh
         Ki/g==
ARC-Authentication-Results: i=1; mx.google.com;
       dkim=pass [email protected] header.s=example header.b="Kh/wMFFv";
       spf=pass (google.com: domain of [email protected] designates <IP-Address> as permitted sender) smtp.helo=smtp1.example.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=example.com
Return-Path: <>
Received: from smtp1.example.com (smtp1.example.com. [<IP-Address>])
        by mx.google.com with ESMTPS id 144-v6si4528390qkh.294.2018.09.26.10.59.51
        for <[email protected]>
        (version=TLS1_2 cipher=ECDHE-RSA-AES128-GCM-SHA256 bits=128/128);
        Wed, 26 Sep 2018 10:59:51 -0700 (PDT)
Received-SPF: pass (google.com: domain of [email protected] designates <IP-Address> as permitted sender) client-ip=<IP-Address>;
Authentication-Results: mx.google.com;
       dkim=pass [email protected] header.s=example header.b="Kh/wMFFv";
       spf=pass (google.com: domain of [email protected] designates <IP-Address> as permitted sender) smtp.helo=smtp1.example.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=example.com
Received: by smtp1.example.com (Postfix) id 1CEE260DBC; Wed, 26 Sep 2018 17:59:51 +0000 (UTC)
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=example.com; s=example; t=1537984791; bh=DalucSR/izsrTI/4cwdDwKrGi8R0OywUerOF7byykLI=; h=Date:From:Subject:To; b=Kh/wMFFvEE/uPx/7qKnYVZZACU6zzLl9S+Jwr1hXSBhIg0mfkqpVXgxvhUxqNkJXw
     xIPvmuJU9ERlA5RqT+xUC3y4kkxIbig6gBogUEFtOkbp1bNj+yWEKxcFpHJXEnDneP
     Na3dzhGZScaUK83sKEPMFkjubyiPR/6uoc5zcEVc=
Date: Wed, 26 Sep 2018 17:59:51 +0000 (UTC)
From: Mail Delivery System <[email protected]>
Subject: Undelivered Mail Returned to Sender
To: [email protected]
Auto-Submitted: auto-replied
MIME-Version: 1.0
Content-Type: multipart/report; report-type=delivery-status; boundary="DF7BD600B7.1537984791/smtp1.example.com"
Message-Id: <[email protected]>

postconf -nの出力

alias_database = hash:/etc/aliases
alias_maps = hash:/etc/aliases
bounce_notice_recipient = [email protected]
command_directory = /usr/sbin
config_directory = /etc/postfix
daemon_directory = /usr/libexec/postfix
data_directory = /var/lib/postfix
debug_peer_level = 2
html_directory = no
inet_interfaces = localhost
inet_protocols = ipv4
internal_mail_filter_classes = bounce
mail_owner = postfix
mailq_path = /usr/bin/mailq.postfix
manpage_directory = /usr/share/man
milter_default_action = accept
milter_protocol = 2
mydestination = $myhostname, localhost.$mydomain, localhost
mydomain = example.com
myhostname = smtp1.example.com
myorigin = $mydomain
newaliases_path = /usr/bin/newaliases.postfix
non_smtpd_milters = $smtpd_milters
queue_directory = /var/spool/postfix
readme_directory = /usr/share/doc/postfix-2.6.6/README_FILES
sample_directory = /usr/share/doc/postfix-2.6.6/samples
sendmail_path = /usr/sbin/sendmail.postfix
setgid_group = postdrop
smtp_tls_security_level = may
smtpd_milters = inet:127.0.0.1:8891
postfixspfdkimdmarc
1
jnrcorp

Michaelが述べたように、NDRメールには空のReturn-Path <>をお勧めします。これまでに経験したように、多くのMTAは、このヘッダーにDKIM署名を適用することに基づいています。これにより、解決できたDKIM署名が欠落していました。

仕様に記載されているように、リターンパスが欠落している場合、SPFはHELO/EHLOドメインにフォールバックします。

http://www.openspf.org/svn/project/specs/rfc4408.txt

たとえば、リバースパスがnullの場合、EHLO/HELOドメインが使用され、それに関連する問題が発生します（セクション2.1を参照）。

主な質問がこれらのメールでDMARCアライメントを取得することである場合は、NDRメールにDKIMを適用していることを確認するだけで十分です。そのような状況では、smtpサブドメインの個別のSPFレコードを設定する必要はありません。これは、DMARCをサポートしていない受信者のNDRメールが失われないようにすることをお勧めします。

SMTPサーバーのリストが長い場合は、IPアドレスを具体的に許可するワイルドカードSPFを公開することもできます。

これはあなたを助けますか？

よろしく、

ミシエル

DMARCアナライザー

3
DMARC Analyzer - Michiel