SPFレコードの設定について

Question

現在運用改善系のサービスの導入を進めています。
該当サービスのメールサーバーから送信したメールを弊社のドメインから送信されたようにする為に(ドメイン偽装)、
SPFの設定を行おうと思います。

現在記載されているものに追加して、SPFレコードにipv4で追記しようと思い、

YYYYY.jp(弊社メールドメイン).        300    IN    TXT    "v=spf1 ip4:XXX.XXX.XXX.XXX ip4:XXX.XXX.XXX.XXX ~all"

下記のコマンドで該当ホストのIPアドレスを調べました。
nslookup -type=mx XXXXX.com
dig mx XXXXX.com
※XXXXX.comは該当サービスのメール送信元ホスト

よくよくIPアドレスを確認してみると、先週上記コマンドを入力した際に表示されたIPアドレスと、
今週コマンドを入力したときとで、IPアドレスが異なります。
また、nslookupとdigでも結果のIPアドレスに差があります。

SPFレコードには一体どのIPを追記すればいいのでしょうか？
どなたかご教示頂けますと幸いです。

Answer 1

顧客のドメインを使ってメール送信を代行するサービスであれば、顧客のドメインでSPFレコードをどう設定すべきかの設定情報を持っているはずです。ドキュメントを確認するかサポート窓口に問い合わせてください。この問い合わせに対応できないサービスは利用しない方がよいです。

闇雲に調べた確証のない情報を設定すると、ある日突然その設定が「誤ったもの」になって困ったことになります。

Answer 2

YYYY.jp の SPFレコードを追加しようとしていることから、「From: [e-mail]」をヘッダに持つメールを送信しようとしているのですよね？
もし、そうであれば、「From: [e-mail]」メールを送信するメールサーバーのIPアドレス(メールを受け取る MTA側から見ると接続元IPアドレス)を SPFレコードに設定します。
メールサーバーのIPアドレスがプライベートIPアドレスの場合、インターネットに出て行く際にグローバルIPアドレスに変換(NAT)されますので、SPFレコードには変換後のグローバルIPアドレスを設定します。

また、MXレコードは、「envelope to: user@ドメイン名」メールを受け取る MTA のホスト名を設定するものですので、SPFレコードと同じである必要はありません。

Comments

[TaichiYanagiya]

マイナス評価が付いていますが、質問を読み違えていますでしょうか？
本人所有のドメイン、メールサーバーだと思ったのですが。
誤りをご指摘いただければと思います。

[wuzzy]

前半の前提については理解した上で、複数あるIPのうちどれを設定すればよいか判断しかねていた為その判断方法についてご記載頂きたかったのです！

Answer 3

クラウドのサービスでは、メールサーバの負荷分散のために、IPアドレスが複数あり、DNSが問い合わせるたびに異なる答えを返してくるのはよくあることです。これは GSLB(Global Site Load Balancing)という技法であり、dig で IPアドレスを特定することができません。また、そうでなくてもサービス提供者の都合でメールサーバのIPアドレスが変わる可能性があります。
このような場合、一般的にはそのサービス自身のSPFレコードをインクルードします。

dig txt XXXXX.com

とやって、 v=spf1 ... というのが表示されるのであれば、

v=spf1 include:XXXXX.com ~all

とされるのが簡単です。これで、インクルード元と同じSPFレコードを設定したことになります。
もし、spf レコードが設定されていない場合は、推奨されていませんが、PTRを使うことになりますでしょうか。

v=spf1 ptr:XXXXX.com ~all

仕様書上はこう書けそうです。しかし、この場合、SPFを参照したメールサーバは XXXXX.com のIPアドレスをDNSで調べるでしょうから、GSLBで負荷分散されている場合はIPアドレスが一致しないことになってしまいます。IPアドレスが1個しかなくて、サービス提供者の都合でメールサーバのIPアドレスが変わったという場合には対応できますので、 dig で調べたIPアドレスを書くよりは少しましかなというところです。

参考：http://salt.iajapan.org/wpmu/anti_spam/admin/tech/explanation/spf/#40