第 02 章网络、DNS & 加密管理：#pTls

10/10 DNS 送达率、反向 DNS (FCrDNS) & 通配符 DNS 陷阱

Gmail、Microsoft 365 和 Deutsche Telekom 等大型收件方在很大程度上依据 DNS 对齐情况评估发件人信誉。在“TLS & DNS 顾问”(#pTls) 中，nextxch 为每个托管域生成可直接复制的记录，并针对公共 DNS 实时校验。

运维提示与架构说明

注意通配符 DNS（*.company.com -> Web 服务器 IP）：通配符记录会悄无声息地把未配置的子域（如 autodiscover.company.com）指向您的 Web 主机，而不是邮件服务器！请始终为 mail、autodiscover 和 autoconfig 创建明确的 CNAME 或 A/AAAA 记录。

DNS 区域记录示例（BIND / RFC 1035）

可随时通过 'nextxch-cli dns company.com --bind' 或在管理控制台的 #pTls 中导出准确的域区域文件。

参考 / 配置

mail                  3600 IN A     198.51.100.10
mail                  3600 IN AAAA  2001:db8::10
@                     3600 IN MX 10 mail.firma.de.
@                     3600 IN TXT   "v=spf1 mx ip4:198.51.100.10 ip6:2001:db8::10 -all"
s2026._domainkey      3600 IN TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
ed2026._domainkey     3600 IN TXT   "v=DKIM1; k=ed25519; p=11qYAYKxCrfVS..."
_dmarc                3600 IN TXT   "v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:dmarc@firma.de"
autodiscover          3600 IN CNAME mail.firma.de.
autoconfig            3600 IN CNAME mail.firma.de.
_imaps._tcp           3600 IN SRV   0 1 993 mail.firma.de.
_submission._tcp      3600 IN SRV   0 1 465 mail.firma.de.
_caldavs._tcp         3600 IN SRV   0 1 443 mail.firma.de.
_carddavs._tcp        3600 IN SRV   0 1 443 mail.firma.de.

设置、默认值与最佳实践

设置 / 位置	说明	默认值	生产环境最佳实践
`Reverse-DNS (PTR) & FCrDNS`	在您的 ISP/托管服务商处将服务器的公网 IPv4（和 IPv6）地址反向映射到 ServerHostName（正向确认反向 DNS）。	`Beim Hoster zu setzen / ISP panel`	在 Hetzner/IONOS/Netcup/AWS 上设置 PTR，使其与 ServerHostName 1:1 一致。PTR 记录缺失或为通用名称时，严格的 ISP 会立即以 550 拒收。
`SPF TXT (v=spf1)`	声明哪些 IPv4/IPv6 地址和 MX 主机有权代表您的域发送邮件 (RFC 7208)。	`v=spf1 mx a -all`	明确列出发送 IP（v=spf1 mx ip4:... ip6:... -all），远低于 RFC 规定的 10 次查询上限，并在列出所有发件方后强制使用 -all。
`Dual-DKIM (RSA-2048 + Ed25519)`	每个域两对并行的 DKIM 密钥（例如 RSA-2048 用 s2026，Ed25519 用 ed2026），以加密方式封签出站邮件头和正文哈希。	`Beide Keys automatisch erzeugt (s2026 + ed2026)`	在 DNS 中一次性发布两条 DNS TXT 记录（s2026._domainkey & ed2026._domainkey），之后即可在服务器上即时切换 RSA-2048、Ed25519 或 RFC 8463 双重签名。
`DMARC (_dmarc.<domain>)`	将 SPF/DKIM 对齐绑定到可见的 From 头，指示收件方如何处理仿冒，并将汇总 XML 报告回传至 /admin/。	`v=DMARC1; p=quarantine; ...`	先以 p=quarantine 和 rua=mailto:dmarc@company.com 运行 2 周，查看内置 DMARC 分析器，然后升级到 p=reject。
`Autodiscover, Autoconfig & DNS-SRV`	仅凭用户的电子邮件地址，即可在 Outlook、Apple Mail、Thunderbird 和移动客户端中实现零接触服务器发现。	`Auf Port 443 integriert`	为 autodiscover & autoconfig 创建指向 mail.<domain> 的显式 CNAME，并添加 SRV 记录（_imaps、_submission、_caldavs、_carddavs）。