Postfix、转发和SPF

问题描述

我一直在用 dovecot+postfix 实现一个转发代理，一切顺利，公网 IP 是 AAA.AAA.AAA.AAA

xxxxxx.com.ar 有这个 SPF 记录 "v=spf1 mx AAA.AAA.AAA.AAA -all"

MX 指向相同的 AAA.AAA.AAA.AAA IP，但是 google（我也收到了来自 Zoho Mail 的更少但相同的报告）是否在为假而烦恼？ DMARC 拒绝：

    <?xml version="1.0" encoding="UTF-8" ?>
    <feedback>
      <report_metadata>
        <org_name>google.com</org_name>
        <email>[e-mail]</email>
        <extra_contact_info>https://support.google.com/a/answer/2466580</extra_contact_info>
        <report_id>733545798811562331</report_id>
        <date_range>
          <begin>1616544000</begin>
          <end>1616630399</end>
        </date_range>
      </report_metadata>
      <policy_published>
        <domain>xxxxxx.com.ar</domain>
        <adkim>r</adkim>
        <aspf>r</aspf>
        <p>reject</p>
        <sp>reject</sp>
        <pct>100</pct>
      </policy_published>
      <record>
        <row>
          <source_ip>AAA.AAA.AAA.AAA</source_ip>
          <count>4</count>
          <policy_evaluated>
            <disposition>none</disposition>
            <dkim>pass</dkim>
            **<spf>fail</spf>**
          </policy_evaluated>
        </row>
        <identifiers>
          <header_from>xxxxxx.com.ar</header_from>
        </identifiers>
        <auth_results>
          <dkim>
            <domain>xxxxxx.com.ar</domain>
            <result>pass</result>
            <selector>default</selector>
          </dkim>
          <spf>
            <domain>mail.minte.com.ar</domain>
            <result>pass</result>
          </spf>
        </auth_results>
      </record>
    </feedback>

最奇怪的事情：看看谷歌如何从这个域读取有效的电子邮件：

将不胜感激任何帮助，恐怕谷歌会将 AAA.AAA.AAA.AAA 标记为垃圾邮件

谢谢！！

解决方法

正如 Zoho 支持团队所说，问题在于 SPF 对齐。

在分析随附的 DMARC 报告时，我们看到使用源 IP“XXX.XXX.XXX.XXX”发送的电子邮件已通过 SPF 和 DKIM 身份验证。 请注意，DMARC 策略是根据“SPF 身份验证和 SPF 对齐”或“DKIM 身份验证和 DKIM 对齐”评估的。 在下面随附的报告中，我们看到 SPF 身份验证已通过，但 SPF 对齐失败，因为来自域“client.com.ar”和返回路径域“server.com”不同，这就是其被提及为失败的原因。 要了解有关 DMARC 政策的更多信息， https://postmarkapp.com/guides/dmarc#how-does-dmarc-work

这是由于 postfix 应用了 SRS，所以回复是 @forwarder-domain.com，因此破坏了 SPF 与发件人域的对齐。

似乎无法解决。