Как я могу диагностировать / проверить подпись AR C для переадресованного сообщения? - PullRequest
Новая
       118

Как я могу диагностировать / проверить подпись AR C для переадресованного сообщения?

0 голосов
/ 11 февраля 2020

Я пытаюсь настроить подпись AR C на сообщениях, пересылаемых через систему доморощенных рассылок, и пока она очень не работает. Я основал свой код на Mailman 3 (https://gitlab.com/mailman/mailman/-/blob/master/src/mailman/handlers/arc_sign.py), поэтому я использую https://github.com/ValiMail/authentication-headers для проверки и подписания.

Я опубликовал несколько сырых примеры входящей и исходящей электронной почты с заголовками (слегка анонимными):

Входящие: https://textbin.net/LoN7XCS3A3
Исходящие: https://textbin.net/aaLP24eevF

Исходящее сообщение процитировано из сообщения отказов от Google, поэтому я думаю, что оно должно отражать то, что фактически покинуло нашу систему.

У нас есть несколько запутанная настройка почтового сервера, и я подозреваю, что это может быть частью проблемы.

Например, я заметил, что входящее сообщение имеет 2 Authentication-Results заголовка: 

Authentication-Results: hub.MYDOMAIN.EDU (amavisd-new);
    dkim=pass (2048-bit key) header.d=yahoo.com
Authentication-Results: norman.MYDOMAIN.EDU;
    dkim=pass (2048-bit key) header.d=yahoo.com header.i=@yahoo.com header.b="Sgc5mP+2"

Кажется, только первый (самый новый) заголовок обрабатывается и включается в последующую подпись: 

ARC-Authentication-Results: i=1; MYDOMAIN.EDU;
 dkim=pass header.d=yahoo.com;
  arc=none;
  dmarc=none
Authentication-Results: MYDOMAIN.EDU; dkim=pass header.d=yahoo.com;
 arc=none; dmarc=none

Следуя коду Mailman, я удаляю все более ранние Authentication-Results заголовки (хотя, кажется, не имеет значения, если я их оставлю).

Кроме того, наш исходящий почтовый сервер добавляет еще один заголовок аутентификации: 

Authentication-Results: norman.MYDOMAIN.EDU;
    dkim=pass (1024-bit key) header.d=MYDOMAIN.EDU header.i=@MYDOMAIN.EDU header.b="Z0jGIQ32"
* 103 6 * Я сильно подозреваю, что эти махинации разрушают «цепную» часть AR C, но я не смог найти никакого подтверждения этому.

Например, если я отправлю сообщение https://appmaildev.com/en/dkim, происходит сбой DMAR C с сообщением: 

_dmarc.yahoo.com: v=DMARC1; p=reject; pct=100; rua=mailto:dmarc_y_rua@yahoo.com; 
Received-SPF: pass (appmaildev.com: domain of adam@MYDOMAIN.EDU designates 128.95.166.28 as permitted sender) client-ip=128.95.166.28
Authentication-Results: appmaildev.com;
    dkim=pass header.d=MYDOMAIN.EDU;
    spf=pass (appmaildev.com: domain of adam@MYDOMAIN.EDU designates 128.95.166.28 as permitted sender) client-ip=128.95.166.28;
    dmarc=fail (adkim=r aspf=r p=reject) header.from=yahoo.com;

Указывает ли тот факт, что он проверяет оригинальную (yahoo.com) запись DMAR C, что AR C цепь вышла из строя? (Или это просто означает, что система appmaildev не поддерживает AR C?)

...