LINUX.ORG.RU
ФорумAdmin

Postfix: не отправляется почта в gmail.com, mail.ru


1

2

При отправке почты в gmail.com:

<EMAILADDR@gmail.com>: host gmail-smtp-in.l.google.com[74.125.143.27] said:
    550-5.7.1 [<MYIP>      12] Our system has detected that this message
    is 550-5.7.1 likely unsolicited mail. To reduce the amount of spam sent to
    Gmail, 550-5.7.1 this message has been blocked. Please visit 550-5.7.1
    http://support.google.com/mail/bin/answer.py?hl=en&answer=188131 for 550
    5.7.1 more information. ug4si2099005lac.133 - gsmtp (in reply to end of
    DATA command)

При отправке почты в mail.ru:

<EMAILADDR@mail.ru>: host mxs.mail.ru[94.100.180.150] said: 550 Sorry, we do not
    accept mail from hosts with dynamic IP or generic DNS PTR-records. Please
    get a custom reverse DNS name from your ISP for your host <MYIP> or
    contact abuse@corp.mail.ru in case of error (in reply to RCPT TO command)

IP адрес статический, получен неделю назад вместе с новым 100 Mbit/s ethernet подключением. Мы никакого спама не слали точно, никакого завирусованного виндоуса у нас никогда не было в помине, postfix поставил только сегодня. Какие меры возможно предпринять?

В DNS только A record. Не понимаю зачем нужно MX record, может ли это являться причиной?

Ответ на: комментарий от tux2015

Подумал что для простых конфигураций где не требуется MX record будет работать.

Да работать то будет, но это именно fallback. Молодец что сделали. Вы не безнадёжны.

Jameson ★★★★★
()
Ответ на: комментарий от AS

Знать, даже, не надо: mail.ru пальцем уже показал. Google - не знаю, там надо по ссылкам ходить.

Вобщем MX не помог, по крайней мере пока (может ещё надо подождать).

tux2015
() автор топика
Ответ на: комментарий от tux2015

По поводу PTR позвоню утром, может поможет.

tux2015
() автор топика
Ответ на: комментарий от tux2015

Почему же спамеры то не перепишут свой софт если тратяться миллисекунды?

Некоторые это учитывают, а некоторым всё равно. Они рассылают миллионы сообщений по огромному количеству адресов. Тупо долбиться до сервера, который вообще может быть давно выключен, нерационально. Рационально бежать дальше по спамбазе.

Мой опыт даёт примерно 30% отсев с этим трюком. А от остального спасает spamassasin и greylisting. В целом нагрузка на сервер становится ниже.

Jameson ★★★★★
()
Ответ на: комментарий от Jameson

Дело в том, что smtp сервера начинают просматривать список с начала или с конца.

Нет. В соответствии с весом. При одинаковом весе - случайно.

1. MX на несуществующий домен, например fake1.yourdomain.ltd

Убьёт доставку от серверов с MTA Qmail, кстати: у DJB своё видение, как должен работать smtp. Впрочем, это проблема пользователей непатченного Qmail...

Но уж лучше паузу сделать секунд на 10-15 перед первым приветствием и отлуп, если торопыга начал передачу раньше времени.

AS ★★★★★
()
Ответ на: комментарий от tux2015

Вобщем MX не помог, по крайней мере пока

Я же написал открытым текстом: mail.ru ругался не на MX, а на внешний вид PTR-записи. То есть, вероятно, даже не на её отсутствие - тут уж смотря как фильтр это отсутствие рассматривает.

AS ★★★★★
()
Ответ на: комментарий от tux2015

Думаю лучше фильтровать спам другими методами

Не надо вот только рассказывать, как это делать, тем, кто занимается проблемой лет 15 и сжевал не одну собаку. ;-) Причём, анализ PTR я начал делать на много раньше mail.ru, судя по всему. Но не первым - подсмотрел в своё время.

AS ★★★★★
()
Последнее исправление: AS (всего исправлений: 1)
Ответ на: комментарий от AS

Нет. В соответствии с весом. При одинаковом весе - случайно.

Да. Пр веса забыл. Веса расставляю. Просто спамсофт часто хватает сразу или первый или последний по весу. И мало кто потом пробует второй.

Способ грязненький, но у меня работает уже года три. Да, мне организаций с непатченным qmail ни разу пока не попадалось. Короче за три года никто не пожаловался на невозможность доставки к нам почты по этой причине :)

Jameson ★★★★★
()
Ответ на: комментарий от AS

Вопрос по PTR. В установщике системы был вопрос Hostname, ввёл tux. В итоге в логах postfix он идентцифицирует себя не просто как «mydomain.com» а как «tux.mydomain.com». Стоит удалить этот Hostname т.е. оставить его пустым или можно оставить так? Никогда не понимал что это такое. И в PTR просить вписать:

ddd.ccc.bbb.aaa.in-addr.arpa PTR mydomain.com

или

ddd.ccc.bbb.aaa.in-addr.arpa PTR tux.mydomain.com

?

tux2015
() автор топика
Ответ на: комментарий от tux2015

Использоваться будет только один IP (и одна машина) для всего, поэтому и неясно зачем нужен host. Можно ли сделать PTR *.mydomain.com ?

И ещё могут ли быть проблемы из-за self-signed certificate? И если необходимо поддержать certification mafia какой authority лучше выбрать?

tux2015
() автор топика
Ответ на: комментарий от tux2015

Стоит удалить этот Hostname т.е. оставить его пустым или
можно оставить так? Никогда не понимал что это такое

http://ru.wikipedia.org/wiki/FQDN

И в PTR просить вписать:
ddd.ccc.bbb.aaa.in-addr.arpa PTR mydomain.com
или
ddd.ccc.bbb.aaa.in-addr.arpa PTR tux.mydomain.com

В зависимости от ответа на предыдущий вопрос, который надо дать самостоятельно. Но я бы написал не tux, а mail.

AS ★★★★★
()
Ответ на: комментарий от tux2015

Можно ли сделать PTR *.mydomain.com

В твоём случае нужно ddd.ccc.bbb.aaa.in-addr.arpa PTR mydomain.com

Только у самого сервера имя не отбирай, пусть будет. Лучше сделай mydomain.com как CNAME для tux.mydomain.com или тупо две A записи создай с одним IP, для mydomain.com и tux.mydomain.com, так тоже можно.

self-signed certificate

Последнее время подобное не в моде, говорят. Вон, в jre https адреса c self-signed надо теперь руками в белый список самому вносить, иначе оно ругается и не коннектицца. С аутглюком 2010 у меня проблемы, постоянно сообщает что сертификат проверить не может и предлагает ручками кнопочку нажимать каждый раз, пользователи пугаются. К тому же несолидно, если вы бизнес-организация а не студенческая контора.

И если необходимо поддержать certification mafia какой authority лучше выбрать?

Не подскажу, сам нищеброд с self-signed. После праздников решил таки заплатить мафии.

Jameson ★★★★★
()
Ответ на: комментарий от AS

Так одна машина будет использоваться для всего и один IP. Можно ли вообще удалить этот Host что бы было не mail.mydomain.com а просто mydomain.com? Или сделать PTR *.mydomain.com ?

tux2015
() автор топика
Ответ на: комментарий от Jameson

Только у самого сервера имя не отбирай, пусть будет. Лучше сделай mydomain.com как CNAME для tux.mydomain.com или тупо две A записи создай с одним IP, для mydomain.com и tux.mydomain.com, так тоже можно.

Есть A record *.mydomain.com. Этого достаточно или обязательно CNAME?

tux2015
() автор топика
Ответ на: комментарий от tux2015

Можно ли вообще удалить этот Host что бы было не mail.mydomain.com а просто mydomain.com ?

Можно. Это будет явно лучше, чем то, на что ругается mail.ru, но не так хорошо, как mail.*. Например, у меня для хостов, PTR которых с mail/mx/relay (на самом деле, список чуть побольше) начинаются, тщательность проверок дополнительно уменьшается.

AS ★★★★★
()
Последнее исправление: AS (всего исправлений: 1)
Ответ на: комментарий от AS

Не вижу смысла.

Хех, я тоже не вижу :( Но вот прописывать всем нашим клиентам каждый раз ручками свой сертификат как корневой и ручками распространять белые списки для jre тоже не вариант. Раньше то нормально жилось, а сейчас с этой грёбаной 8 жабой... Должно сразу работать, так что я выхода не вижу если честно.

Jameson ★★★★★
()
Ответ на: комментарий от Jameson

Должно сразу работать, так что я выхода не вижу если честно.

Я, всё-таки, склонен считать это проблемой пользователя. Я не вижу, почему я должен доверять не себе любимому, а верисигну какому-нибудь...

AS ★★★★★
()
Ответ на: комментарий от tux2015

Есть A record *.mydomain.com. Этого достаточно или обязательно CNAME?

Я не понимаю звёздочки в *.mydomain.com. Для одного IP тебе достаточно A записи для mydomain.com.

Jameson ★★★★★
()
Ответ на: комментарий от AS

Я, всё-таки, склонен считать это проблемой пользователя.

Я тоже склонен :) Только пользователи считают это моей проблемой :) И посколько их много, и они все стараются эту «проблему» до меня донести, это таки становится моей проблемой :) И вот на прошлой неделе я устал разъяснять и отбиваться и дозрел :(

Jameson ★★★★★
()
Ответ на: комментарий от Jameson

Для связи с другими SMTP серверами это важно? Пользователи все внутренние и используют thunderbird в котором достаточно нажать «Add Exception».

tux2015
() автор топика
Ответ на: комментарий от tux2015

Для связи с другими SMTP серверами это важно?

Для шифрования smtp <----> smtp нет. Ну, по крайней мере, у меня работает самоподписный без нареканий и жалоб. Главное без пароля генери.

thunderbird в котором достаточно нажать «Add Exception».

А у меня аутглюки. Без вариантов. Он почему то запоминать отказывается. Приходится каждому руками принудительно в корневые прописывать.

Jameson ★★★★★
()
Ответ на: комментарий от tux2015

Вообще то есть бесплатный https://www.startssl.com/?app=12

10х, посмотрю. Правда всё рвно непонятно, с какого им кто либо доверять должен, как и всей этой мафии, но мне уже плевать. Лишь бы от воплей юзеров избавиться.

Jameson ★★★★★
()
Ответ на: комментарий от parrto

Халявный только если будет поддержка любого протокола публикации серта через dnssec. Verisiggn одобряе

Вот это будет кошерное решение, согласен, а не текущее копеечное вымогательство.

Jameson ★★★★★
()
Ответ на: комментарий от tux2015

Пользователи все внутренние и используют thunderbird

А внутри то тебе шифрование зачем? Разве что ради потренироваться. Если у тебя кто трафик внутренний перед сервером снифает шифрование почты наименьшая из твоих потенциальных проблем :)

Jameson ★★★★★
()
Ответ на: комментарий от Jameson

Клиент может подключаться например через wifi с нетбука. Имелось ввиду что клиенты все сотрудники фирмы и технически достаточно грамотны.

tux2015
() автор топика

А что если сделать

*.mydomain.com CNAME ddd.ccc.bbb.aaa.in-addr.arpa

можно ли обойтись без ожидания когда телекомовцы оторвут свою задницу от стула?

tux2015
() автор топика
Ответ на: комментарий от tux2015

Они вообще не обязаны тебе ничего прописывать потому что такой услуги у них скорее всего вообще нет.

У меня была проблема похожая с микрософтом и их офисом облачным, рабочий сервер свой, а почта у них, внезапно перестали доходить письма. SPF, DKIM, PTR - все есть, сервер в датацентре даже свой собственный блок IP адресов зарегистрирован. В итоге сказали что единственное ими поддерживаемое решение это настраивать почтовый релей.

hidden_4003
()
Ответ на: комментарий от hidden_4003

Тупые тётки-эникейщицы из техподдержки достали, с трудом переключили на какого то мужика который послал в какой то отдел. Пойду схожу...

tux2015
() автор топика
Ответ на: комментарий от tux2015

*.mydomain.com CNAME ddd.ccc.bbb.aaa.in-addr.arpa

Нельзя. Проблема в том, что делается это в зоне ccc.bbb.aaa.in-addr.arpa. А она точно не у тебя, если тебе весь диапазон /24 не отдали.

Можно в прямой сделать
qqq PTR mail.example.com.

Но, всё рано, у оператора должно быть прописано
NNN CNAME qqq.example.com.

Такая запись у оператора даст тебе возможность PTR менять оперативно, но, всё равно, в первый раз надо оператора ждать.

AS ★★★★★
()
Последнее исправление: AS (всего исправлений: 1)
Ответ на: комментарий от hidden_4003

Они вообще не обязаны тебе ничего прописывать потому что такой услуги у них скорее всего вообще нет.

Это где же такие провайдеры? Им деньги за услугу и корпоративные клиенты не нужны?

За 16 лет ни разу не встречал такого по отношению к юрлицу. Попробую догадаться, вы решили съэкономить и подключились как физлицо?

Jameson ★★★★★
()
Ответ на: комментарий от Jameson

Это где у вас такие провайдеры что они юрлицу дают адрес из динамического диапазона?

Попробую догадаться, вы решили съэкономить и подключились как физлицо?

Разговор вообще-то не обо мне, но если бы вы внимательно прочитали мой пост то увидели бы слова о том что блок ip адресов зарегистрированный на юрлицо.

hidden_4003
()
Ответ на: комментарий от tux2015

Тупые тётки-эникейщицы из техподдержки достали, с трудом переключили на какого то мужика который послал в какой то отдел.

Поздравляю. Так будет каждый раз с каждым новым провайдером. Эта просьба действительно вгоняет саппорт в ступор, если пров на физиков ориентирован. Кстати, процесс может неожиданно затянуться. Мне один международный пров рожал обратную зону неделю, поскольку отдел занимающийся ДНС находился в другой стране и говорил на другом языке :) В результате элементарный по сути процесс оброс длиннющей почтовой двуязычной перепиской менеджеров и прочих невъезжающих людей. И потом ещё месяц она у них спонтанно отваливалась, пока мы санкциями не пригрозили (они нам много чего должны - взаиморасчёт у нас).

Jameson ★★★★★
()
Ответ на: комментарий от hidden_4003

Это где у вас такие провайдеры что они юрлицу дают адрес из динамического диапазона?

А откуда это следует? А, у вас физикам динамику в основном дают? У нас просто многие раздают статику физикам за смешные деньги, один адрес и впн подключение конечно, многие юрики пытаются экономить... Вот им обратные зоны и блоки адресов не выдаются и не прописываются конечно, предлагают «выйти из сумрака» и перезаключить договор.

блок ip адресов зарегистрированный на юрлицо.

Невнимательно читал, прошу прощения. И всё равно непонятно. Провайдера без своих DNS серверов не бывает, если они владельцы AS (а какой они провайдер без этого) им ничего не стоит прописать обратные адреса, им это право делегируется как владельцам AS. Юрик со своей ИТ инфраструктурой - небедный юрик... Неужели им не пофиг клиентов терять?

Jameson ★★★★★
()
Ответ на: комментарий от snaf

Это не у меня надо спрашивать. По факту — неверная подпись, неверный домен и прочее. Слэшдот постоянно выставляет неверную подпись, например.

x3al ★★★★★
()
Ответ на: комментарий от x3al

Ааа.... я не правильно понял. Я подумал что речь идёт о некой ошибке в протоколе)

snaf ★★★★★
()
Ответ на: комментарий от Jameson

А внутри то тебе шифрование зачем? Разве что ради потренироваться. Если у тебя кто трафик внутренний перед сервером снифает шифрование почты наименьшая из твоих потенциальных проблем :)

С чего бы относиться к внутренним как-то по-другому? Они тоже могут пользоваться вайфаем со всеми вытекающими. И точно так же могут не доверять провайдеру.

x3al ★★★★★
()
Ответ на: комментарий от Jameson

Эта просьба действительно вгоняет саппорт в ступор

Эту просьбу лучше
а) формулировать в почту;
б) внятно.

Обычная техподдержка, даже у провайдера для юриков, может теряться. Но кто-то грамотный у провайдера должен быть, и непонятные моменты разбирать. Может быть не мгновенно, но шанс есть.

AS ★★★★★
()
Ответ на: комментарий от hidden_4003

Они вообще не обязаны тебе ничего прописывать потому что
такой услуги у них скорее всего вообще нет.

Ладно ?! А как же «любой каприз за ваши деньги» ? :-)

AS ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.