はじめに
AWSでは、デフォルトでEC2インスタンスやLambdaから外部へのSMTP通信(25番ポート)をブロック(Outbound Port 25 Blocking)していて、それらサービスからメール送信を行うためにはAWSにOP25BKの解除申請を行う必要があります。
解除申請はAWSが用意しているフォームから申請する必要があります。
このフォームが英語のため、英文で申請する必要があるのかと思われがちですが、実は日本語でも申請できるという話を耳にしたので、本当にできるのかというのを試してみました。
申請方法
OP25BKを解除したいEC2インスタンスやLambdaが登録されているAWSアカウントにログインした状態で、解除申請フォームにアクセスして、必要事項を記入します。
https://console.aws.amazon.com/support/contacts?#/rdns-limits
Email address ：解除申請のやり取りを行うアドレス
Use case description ：メール送信したい理由や、スパム等の不正配送に利用されないための対策について記載する
Elastic IP address - option ：逆引きを設定している場合はEIPと対応するrDNSを記載する
AWS公式ページには、Use case descriptionについて以下の説明がある。
また、フォームは英語表記のため、英文での説明が必要だと思っていたが、日本語でも申請が出来たという情報を耳にしたので、今回は最後まで日本語で通してみた。
Use Case descriptionに記載した内容は以下の通り。
1日100通程です。
リージョンは東京リージョン(ap-northeast-1)です。
SMTP接続はEC2インスタンスのローカルホストからのみに限定しており、外部からのSMTP接続はありません。
ポート25の制限解除をお願いいたします。
また、この解除申請はリージョン単位で有効になるため、同一アカウント、同一リージョン内に複数のインスタンスがある場合も、一度の申請を通すだけで良いことがわかった。
申請後は、上記Email addressで登録したアドレス宛に、最大48時間待つ旨のメールが送られてきます。
今回の検証では、約24時間後に追加質問のメールが送られてきました。
日本語訳は以下の通り。
この度は、rDNS更新のリクエストをお送りいただき、ありがとうございます。
このリクエストをできるだけ早く処理するために、以下の情報を提供してください。
このアカウントが不要なメールの送信に関与しないことを保証する方法を示す技術的なステートメント。
PTRレコードは、私たちの側でリバースDNSレコードを作成する前に存在する必要があることに注意してください。
この情報を受け取り次第、お客様のリクエストを進めることができますので、ご協力をお願いいたします。
ご不明な点がございましたら、お問い合わせください。
よろしくお願いします。 AWSの信頼と安全 アマゾン ウェブ サービス合同会社
ご要望の詳細は以下の通りです。
フォームからの申請だけでは通さないようにしている節も感じられるが、以下のように日本語で返信しました。
すると、今度は20分程で更なる確認メールが送られてきました。
日本語訳は以下の通り。
この度は、rDNS更新のリクエストをお送りいただき、ありがとうございます。
このリクエストをできるだけ早く処理するために、以下の情報を提供してください。
* EC2からメールを送信するための明確な/詳細なユースケース。
* インフラやセキュリティ対策の詳細を含む、貴社のスパム防止メカニズムに関する技術的な説明。
これらの情報を受け取り次第、リクエストを進めることができますので、ご協力をお願いいたします。
ご不明な点がございましたら、ご連絡ください。
よろしくお願いします。
最初のフォームや、先程の返信で回答したような内容について、再度質問が来たので、以下のように日本語で返信しました。
ひょっとしてループしてる！？
すると、20分程で解除が完了した旨の返信がきました。
日本語訳は以下の通り。
Amazon Web Services アカウントのEC2メール送信制限の解除依頼を、以下のリージョン ap-northeast-1 で承認しました! 他のAmazon Elastic IPのメール送信制限の解除をリクエストした場合、それらも解除されました。
DNSのリバースレコードエントリーは一般的にアンチスパムフィルターで考慮されるため、第三者へのメール送信に使用するElastic IPアドレスにDNSのリバースレコードを割り当てることをお勧めします。このリンクにあるフォームを使用して、リバースDNSエントリーをリクエストしてください。https://aws-portal.amazon.com/gp/aws/html-forms-controller/contactus/ec2-email-limit-rdns-request
Elastic IPにリバースDNSレコードを割り当てる場合、まずドメインのAレコードをお客様側の希望するPTRレコードに一致するように設定します。
以下のリンクの指示に従って、Aレコードを作成してください。https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/resource-record-sets-creating.html
ご不明な点がございましたら、ご連絡ください。
よろしくお願いします。AWSの信頼と安全アマゾン ウェブ サービス合同会社
該当アカウントの東京リージョン(ap-northeast-1)において、他のEIPも含めてOP25BKを解除した旨が記載されていました。
試しに申請に記載したインスタンスと、別のインスタンス両方で外部へのSMTP通信を試してみたところ、どちらも問題なく通信ができることを確認できました。
まとめ
今回の検証で以下のことがわかった。
- 申請におけるOP25BKの解除対象はインスタンスではなくリージョン全体
- 申請フォームは英語だが、日本語でも申請可能(その後の英文メールで追加質問が来た場合も日本語で返信してOK)
- 追加質問の発生有無は割当る担当者次第の可能性大(フォーム申請だけで通る可能性もあり？)
- SPFやDKIM設定はする予定みたいに書いておけばOK(多分チェックされていない)
過去いくつも解除申請を上げているが、未だかつてフォーム申請だけで解除されたことがありません。
ひょっとしたら不正防止などの観点から、少なくとも一回は再質問がくるのかな？と思いつつ、一発で通れば楽なのになと思う今日この頃です。
