Vademecum impostazioni SMTP, SPF, PTR records

Ciao a tutti,
negli ultimi mesi mi è capitato più volte di prendere in carico problematiche segnalate da diversi clienti, legate all'invio/ricezione della posta che per un motivo o per l'altro non arrivavano a destinazione.
Visto che le cause sono sempre state le medesime, ho pensato di condividere degli appunti con possibili soluzioni (con i vostri commenti potremo anche ampliare questo post ovviamente, aggiungendo altri scenari)

Problematica invio legata SPF record

Ci si accorge dell'errore solitamente perchè la mail in uscita tornano indietro con il seguente messaggio:

"Error transferring to PINCOPALINO.COM; SMTP Protocol Returned a Permanent Error 554 5.7.1 : Recipient address rejected: Please see http://spf.pobox.com/why.html?sender=Daniele Grillo%40dominopoint.it&ip=XXX.XXX.XXX.XX"

Cosa significa?

Significa che sul DNS del vostro dominio internet (ex. dominopoint.it) è presente un record SPF e che non è impostato correttamente.

In pratica in questo record speciale andremo a definire l'elenco di IP o domini autorizzati a spedire le mail in uscita  (potete utilizzare i vostri IP pubblici o qualora utilizziate ad esempio un servizio di newsletter o smtp esterno è consigliato indicare gli IP di invio)
Nel caso più semplice può essere il vostro antispam appliance e non direttamente Domino o un SMTP esterno abilitato ad inviare le mail verso l'esterno.
Una possibile sintatti potrebbe essere questa (di sintassi e casi ce ne sono diversi, vi invito a leggere le specifiche del record a questa pagina ufficiale SPF):

"v=spf1 mx ip4:XXX.XXX.XXX.XXX/32 -all"

dove

XXX.XXX.XXX.XXX = IP pubblico che spedisce le mail
mx = possono inviare le mail anche gli IP indicati nell'MX record
-all = tutti gli altri non sono validi

Con l'esempio sopra indicherete che solo 1 IP pubblico specifico e i vostri server MX che ricevono la posta sono autorizzati ad inviare le mail del vostro dominio.

Per risolvere il vostro problema dovrete impostare correttamente il record SPF (è solitamente un record TXT) sul vostro dominio internet gestito dal vostro provider sui cui è registrato il dominio (ex: register.it, aruba.it, etc...etc..)
Il concetto di funzionamento è davvero molto semplice.
Il server ricevente  verificherà se esiste il record SPF in questione (se abilitato ovviamente come controllo) e se esiste verificherà che l'IP che si è collegato sulla porta SMTP è uno di quelli accreditati interrogando il record SPF.
Un modo per testare l'implementazione dell'SPF record è questo tool online
Per verificare una volta che i DNS si è propagati (24/48h) basta mandare una mail a questo indirizzo spf-test@openspf.net  (la mail ritornerà indietro come un delivery failure con scritto PASS o FAIL nell'header)
Tenete presente che anche se molti provider non attivano il controllo SPF io consiglio sempre di implementarlo per sicurezza.

Reverse DNS Lookup

Detto anche PTR record.
Il vostro IP che spedirà la posta verso l'esterno solitamente ha un IP pubblico che gli è stato attribuito (Domino direttamente oppure Antispam solitamente)
Quell'IP pubblico solitamente avrà nel vostro DNS del vostro provider un record Host attribuito (solitamente è MX di ricezione, ma non è detto..può essere anche un semplice HOST)
Un ulteriore controllo che viene fatto dai destinatari di posta è che l'IP pubblico collegato abbia settato la risoluzione del nome al contrario partendo dall'IP.

Come testarlo?

Usate il tool di MX Toolbox a questa pagina ed inserite il vostro IP di spedizione della posta

Se non è settato o è sbagliato...dovrete contattare il vostro fornitore xDSL (telecom, fastweb etc...) che vi fornisce il range di IP pubblici e chiedergli di implementare il vostro PTR record in maniera corretta (ex: mail.dominopoint.it)

SMTP Reverse Banner Check

Anche in ricezione sarebbe opportuno che sulla porta 25 del vostro/i  MX record (solitamente un Antispam o Domino direttamente) rispondesse con un HELO domain corretto (ex. mail.dominopoint.it)
Se è Domino direttamente a rispondere ricordatevi di mettere la variabile nel notes.ini

SMTPGreeting = servername.domain.com SMTP Server ready at %S

Come testarlo?

Usate il tool di MX Toolbox a questa pagina (inserendo il vostro IP/hostname di ricezione)

Posta in uscita - permanent error Status: 2562

I vostri utenti vi segnalano spesso SMTP Permanent Error, ed andando a debuggare la comunicazione SMTP in uscita ( Leggete questa technote per capire come attivare il Debug) vi accorgerete che ad un certo punto...sulla console di Domino appare

SMTPClient: Data Send Failed XXXX  bytes, Status: 2562
SMTPClient: Connection broken after an error sending DATA command

Questo è solitamente un problema legato all'ESMTP Inspector  dei CISCO ASA firewall (Vi invito a leggere questa technote di IBM) o a fattori esterni a Domino che in qualche modo intercettano la porta 25,

Cosa fare?

Sembra che anche sui recenti firmware dei CISCO ASA sia stato reintrodotto il BUG,  quindi l'unica soluzione è farsi disattivare questa feature

Mi auguro che questi appunti siano stati utili, ed aspetto da voi qualunque suggerimento od ampliamento vogliate fare

Ciao!