Rspamd RBL模块中IPv4/IPv6配置失效问题分析与修复方案

问题背景

在Rspamd邮件过滤系统的RBL（实时黑名单）模块中，管理员发现当配置resolve_ip = true且检查类型为URL时，系统会无视配置文件中明确设置的ipv4和ipv6参数。具体表现为：无论是否禁用IPv6检查，系统都会强制查询URL对应的AAAA记录（IPv6地址），并对获取到的IPv6地址执行RBL查询。

技术细节分析

该问题出现在rbl.lua脚本的DNS解析回调函数中。核心逻辑缺陷在于：

1. 当启用resolve_ip功能时，系统会无条件地同时发起A记录（IPv4）和AAAA记录（IPv6）的DNS查询
2. 后续的RBL查询也相应地会对两种IP地址类型都执行检查
3. 这种硬编码行为完全覆盖了用户在配置文件中设置的ipv4/ipv6开关参数

影响范围

• 影响版本：至少影响Rspamd 3.9.0版本
• 影响场景：所有使用resolve_ip功能且配置了checks = ['urls']的RBL规则
• 副作用：
  • 产生不必要的DNS查询流量
  • 增加系统资源消耗
  • 可能违反某些RBL服务的使用条款（如明确禁止IPv6查询时）

解决方案

通过修改rbl.lua脚本，在发起DNS查询前增加对配置参数的检查：

-- 修改前（无条件查询）
if r:resolve_a({...}) then...
if r:resolve('aaaa', {...}) then...

-- 修改后（根据配置决定）
if rule.ipv4 and r:resolve_a({...}) then...
if rule.ipv6 and r:resolve('aaaa', {...}) then...

验证结果

测试表明修改后行为符合预期：

1. 当ipv4=true; ipv6=false时：
   • 仅查询A记录
   • 仅对IPv4地址执行RBL检查
2. 当ipv4=false; ipv6=true时：
   • 仅查询AAAA记录
   • 仅对IPv6地址执行RBL检查

最佳实践建议

1. 明确配置IP协议版本：在RBL规则中始终显式设置ipv4和ipv6参数
2. 监控DNS查询：定期检查Rspamd日志确认DNS查询行为符合预期
3. 性能调优：对于纯IPv4环境，建议禁用IPv6查询以减少不必要的资源消耗

总结

该修复方案有效解决了RBL模块中IP协议版本控制失效的问题，使系统行为与配置文件声明完全一致。这个案例也提醒我们，在实现DNS相关功能时，需要特别注意协议版本的兼容性控制，避免产生意料之外的网络流量和系统负载。