企業(yè) Exchange 郵件系統(tǒng)的規(guī)劃部署和運維并不太難，反而垃圾郵件是組織面臨的巨大問題。通常情況下，Exchange 管理員都會采取非常多的措施來保證服務(wù)器盡可能不受垃圾郵件侵?jǐn)_。但我們還需要注意如何防止垃圾郵件發(fā)送者欺騙或者模仿組織的域名發(fā)送郵件，畢竟域名被冒用發(fā)送虛假或惡意軟件可能對企業(yè)造成嚴(yán)重的后果。

為了檢測偽造郵件，許多大型郵件服務(wù)提供商，如：國外的 Microsoft、Yahoo、Google 和 AOL，以及國內(nèi)的騰訊、新浪、網(wǎng)易都會執(zhí)行發(fā)件人策略框架以檢查發(fā)件人的域名（SPF）記錄。

SPF 記錄允許郵件系統(tǒng)管理員指定哪些郵件服務(wù)器可以使用該域名來發(fā)送郵件，接收服務(wù)器會在收到郵件時驗證發(fā)件人在 SMTP 會話中執(zhí)行 MAIL FROM 命令時的郵件地址是否與域名 SPF 記錄中所指定的源 IP 匹配，以判斷是否為發(fā)件人域名偽造。

SPF 記錄早已經(jīng)被國際主流的郵件服務(wù)商所采用，如果你的域名沒有配置 SPF 記錄，極有可能直接被郵件接收方的服務(wù)器（特別是國外服務(wù)商）直接拒絕。

簡單來說，SPF 記錄其實就是一條有特殊語法的 TXT 記錄，它由「匹配機制」和「修飾符」2 部分組成。「修飾符」通常只作為可選項，一般情況下 Exchange 管理員只會用到并處理包含「匹配機制」的 SPF 記錄。

SPF 記錄的匹配機制主要用于定義和指定可由該域名發(fā)送郵件的主機，其定義方式包括：

• all 匹配任何主機，它寫在 SPF 記錄最后以匹配在其前面所列出的主機。
• ip4 匹配 IPv4 地址或網(wǎng)絡(luò)范圍。
• ip6 匹配 IPv6 地址或網(wǎng)絡(luò)范圍。
• a 匹配主機名或域名。
• mx 匹配域名的 MX 記錄，當(dāng)出站與入站郵件為同一服務(wù)器時通常采用此種機制。
• ptr 通過 DNS 反向記錄來匹配發(fā)件人 IP 和域名，由于會增加 DNS 負(fù)載，一般不采用此種機制。
• exists 只檢查域是否在 DNS 中存在。
• include 將發(fā)件人 IP 和 SPF 記錄指向另一個域，這種匹配機制通常用于云服務(wù)，如 Exchange Online Protection。

SPF 記錄的匹配機制會結(jié)合一些限定詞來使用，以告訴服務(wù)器找到一條匹配記錄時該怎么辦。常見的限定詞有：

• + 放行，如果沒有明確指定限定詞，則為默認(rèn)值。
• –?硬拒絕，直接拒絕來自未經(jīng)授權(quán)主機的郵件。
• ~ 軟拒絕，郵件可被接受，也可被標(biāo)記為垃圾郵件。
• ? 中性，不考慮郵件是否被接受。

SPF 記錄會結(jié)合「匹配機制」和「限定詞」使用，例如：在 SPF 記錄的末尾處寫有 -all 則表明在不匹配前面所列主機時，接收服務(wù)器需要將郵件全部拒絕。

在配置好 SPF 記錄之后，還需要對其進(jìn)行驗證，特別是在有外部機構(gòu)拒絕你發(fā)的郵件時，更應(yīng)該驗證 SPF 記錄的正確性。MXToolbox 這個廣為 Exchange 管理員所使用的在線服務(wù)中便有 SPF 記錄驗證工具，只需輸入域名和 IP 即可。

MXToolbox SPF 記錄查找工具將驗證 DNS 查詢及 SPF 語法中的常見問題，以幫助管理員排錯。

盡管 SPF 記錄在互聯(lián)網(wǎng)郵件傳遞中至關(guān)重要，但組織內(nèi)部 Exchange Server 之間的郵件流不依賴于 SPF 記錄，Exchange Server 會默認(rèn)處于同一組織中的所有 Exchange 服務(wù)器都是權(quán)威的。