LINUX.ORG.RU
решено ФорумAdmin

Ип почтового сервера заблокирован гуглом, яндексом и даже мейлом.

 , , , ,


0

2

Приветствую. Может кто знает почему такое произошло? Нет соединения с smtp гугла и остальных поисковиков. Соответственно не уходит почта, в логах ничего, кроме того что это именно ошибка соединения. Пробовал тельнетом, итог тот же, хотя пинг идёт)

2018-11-27 12:52:54 1gRa0x-0004Nq-Fi H=mx.yandex.ru [213.180.193.89] Connection timed out

2018-11-27 12:38:34 1gRZn6-0004CR-0O H=gmail-smtp-in.l.google.com [173.194.222.27] Connection timed out

2018-11-27 12:40:45 1gRZn6-0004CR-0O H=alt1.gmail-smtp-in.l.google.com [108.177.125.27] Connection timed out

2018-11-27 12:47:22 1gRZn6-0004CR-0O H=alt2.gmail-smtp-in.l.google.com [74.125.195.27] Connection timed out 2018-11-27 12:49:33 1gRZn6-0004CR-0O H=alt3.gmail-smtp-in.l.google.com [64.233.178.27] Connection timed out

Есть домен domain.com, он находится на одном сервере. По задаче почта была вынесена на отдельный сервер. Арендовал, настроил и mail.domain.com (МХ) направил на него. SPF, DKIM, DMARC и PTR сделал тоже. После чего попытался послать себе проверочное письмо и вижу это (то, что выше). Начал копаться, нашел ип нового сервера в двух спам базах. Так и не понял почему он туда попал, подозреваю что из за ошибки в конфигурации PTR, по привычке она была направлена на domain.com, а не mail.domain.com. Заявки подал, из баз вытащило (SEM URIRED и dnsbl.spfbl.net), на второй как раз и писало, что ип добавлен из за неправильного PTR. Но ип так и не разблокировало, доступа нет до сих пор (прошли почти сутки). Самое интересное, что входящая почта на сервер идёт, именно исходящую не хочет, т.е коннект только от меня не принимается. Подскажите, что можно сделать, спасибо)

Ответ на: комментарий от Serge10

Но диски-то тут каким боком (речь вроде как идет про пустые соединения)?

Например лог пишется. Своп отключен, оперативы с запасом.

Dimarius
()
Ответ на: комментарий от anc

Например посмотрим на размер входящих и иcходящих пакетов

Ясно, спасибо за пояснения.

Serge10 ★★★★★
()
Ответ на: комментарий от Dimarius

Так это умеет милтер, а не сендмейл.

Это неразрывные вещи. Грейлистинг, анализ на спам, проверка антивирусом - все эти фильтры вызываются Sendmail'ом через механизм милтеров. В других почтовиках это не так. Так что можно считать милтеры особенностью архитектуры Sendmail'а.

Serge10 ★★★★★
()
Ответ на: комментарий от Dimarius

Например лог пишется.

Запись логов серьезную нагрузку на диск, IMHO, в принципе не в состоянии создать. Раньше все остальные подсистемы лягут, чем такой объем логов сгенерируется...

Serge10 ★★★★★
()
Ответ на: комментарий от Serge10

Ну вы оборону держите по полной. Но IMHO не убедили отказаться от iptables, да и на почтовике обычно сервисов сетевых с десяток нужных, далеко не все из них имеют митлеры и аналоги в себе.

Dimarius
()
Ответ на: комментарий от Dimarius

Но IMHO не убедили отказаться от iptables

Да я и не ставил такой цели :). Просто хотел показать, что в данной конкретной ситуации (одиночный сервер) применение iptables не сильно повышает уровень защиты.

Плюс узнал для себя новую информацию - оказывается, на узких каналах политика DROP может защитить от примитивных DDOS-атак. До этого обсуждения считал, что подобная защита возможна только уровнем выше, на провайдерской стороне канала...

Так что спасибо за интересную дискуссию :).

Serge10 ★★★★★
()
Ответ на: комментарий от Serge10

При всех фильтрах был случай на 100Мбит канале появились потери 40% пакетов, как оказалось ддосили оборудование провайдера, так что уровнем выше ещё веселее.

И вам спасибо за общение, узнал о милтерах 😊

Dimarius
()
Ответ на: комментарий от Dimarius

При всех фильтрах был случай на 100Мбит канале появились потери 40% пакетов, как оказалось ддосили оборудование провайдера, так что уровнем выше ещё веселее.

Может все-таки не оборудование, а сетки прова?

anc ★★★★★
()
Ответ на: комментарий от anc

Обычно цель ddos высадить именно оборудование (шлюзы, коммутаторы, серверы или что там у них конкретно я хз), поэтому и говорю, что ддосят оборудование (посредством сетей).

Dimarius
()
Ответ на: комментарий от Dimarius

Ну «обычно цель ddos высадить» конкретную машинку/машинки/сетку/сетки. Наверное можно говорить в терминах «оборудование» :)

anc ★★★★★
()
Ответ на: комментарий от Serge10

В других почтовиках это не так. Так что можно считать милтеры особенностью архитектуры Sendmail'а.

Которая (особенность), надо заметить, была так же портирована в Postfix, правда с некоторыми ограничениями.

AS ★★★★★
()
Ответ на: комментарий от Serge10

какой именно работы добавляют Вам «кустарные» почтовые серверы?

Берём вот Cбербанк.

$ host -t mx sberbank.ru
sberbank.ru mail is handled by 50 email11.sberbank.ru.
sberbank.ru mail is handled by 50 email10.sberbank.ru.

$ telnet email11.sberbank.ru 25
<...>
220 email11.sberbank.ru ESMTP Smtpd; Wed, 5 Dec 2018 16:24:27 +0300
helo <хостнейм>
250 email11.sberbank.ru Hello ...
mail from:<>
550 5.5.0 Sender domain is empty.

Дальше можно подискутировать на тему, хорошо или плохо smtp callback, но факт-то в грубом нарушении STD3. Вроде бы и организация не очень бедная, но как-то так вот со специалистами.

AS ★★★★★
()
Ответ на: комментарий от AS

mail from:<>
550 5.5.0 Sender domain is empty.

Так и правильно отфутболивают, нет PTR записи для внешнего IP - сразу досвидос.

Причём тут smtp callback?

Dimarius
()
Ответ на: комментарий от AS

Или вот ещё:

$ host -t txt baltika.ru
...
baltika.ru descriptive text "v=spf1 include:mailgate3.baltika.ru include:mailgate4.baltika.ru ~all"
хорошо, идём дальше, и...
$ host -t txt mailgate3.baltika.ru[br]mailgate3.baltika.ru has no TXT record
Пщщщщ....

Читаем https://tools.ietf.org/html/rfc7208,5.2. «include», смотрим там табичку: «none -> return permerror». Смотрим дальше «8.7. Permerror». Куда у нас идёт почта @baltika.ru? Правильно, в пешее эротическое, если мы SPF обрабатываем правильно.

Самое смешное - логи серверов не смотрим, отлупы не контролируем. Месяцами.

AS ★★★★★
()
Последнее исправление: AS (всего исправлений: 1)
Ответ на: комментарий от Dimarius

Так и правильно отфутболивают, нет PTR записи для внешнего IP - сразу досвидос.

Какое слово во фразе «Sender domain is empty» надо перевести? При чём тут PTR? И да, это я с нашего MX делал, там всё есть и всё правильно.

AS ★★★★★
()
Ответ на: комментарий от Dimarius

Причём тут smtp callback?

Потому, что если smtp callback используется, то почта из сбера не придёт.

AS ★★★★★
()
Ответ на: комментарий от AS

«Sender domain is empty»

Домен отправителя пустой = нет обратной записи для вашего ip адреса. Вроде не пил, не курил, неужели ошибаюсь?

А вот это вместе:

mail from:<>
«Sender domain is empty»

уже похоже на то, что вы свою проверку существования ящика организовали с пустым полем from и логично, что почтовик сбера такие запросы шлёт лесом.

Dimarius
()
Ответ на: комментарий от anc

Ну блин вы и нашли пример. У них и сайт не работает.

Прелестно... В прошлом месяце ещё жив был. :-)

AS ★★★★★
()
Ответ на: комментарий от Dimarius

Домен отправителя пустой = нет обратной записи для вашего ip адреса.

Нет.

Вроде не пил, не курил, неужели ошибаюсь?

Да. Вот так ему уже нравится:

mail from:<qq@mail.ru>
250 2.1.0 <qq@mail.ru>... Sender ok

AS ★★★★★
()
Ответ на: комментарий от AS

Почти достаточно знать про один: http://puszcza.gnu.org.ua/software/mailfromd/

:-) Почитал для интереса вашу ссылку. (через гугпереводчик естесственно). Mailfromd не впечатлил. Тотже набор инструментов как у постфикса. Проверил его 1 способ наличие (телнетом) пустого узера у своего почтовика. Мой почтовик заверил что фейковый адрес существует. ::). По логике: Mailfromd не сработал. По причине параметра:

smtpd_delay_reject = yes

Bootmen ☆☆☆
()
Ответ на: комментарий от Bootmen

Тотже набор инструментов как у постфикса.

На много больше. :-) Вот, например, как пометить сообщение, как спам, на основании возврата результата от SpamAssassin, но если скор не просто больше, а в разы больше, то вообще не принимать?

Мой почтовик заверил что фейковый адрес существует. ::)

callback - это изначальная, но сейчас уже давно не главная функциональность Mailfromd.

AS ★★★★★
()
Ответ на: комментарий от AS

Вот, например, как пометить сообщение, как спам, на основании возврата результата от SpamAssassin,

Ну этим у меня занимается sieve. Причем примеров для обработки им сообщений от спаоотсосина в Инете навалом. Даже самому мозг напрягать не надо.

Bootmen ☆☆☆
()
Ответ на: комментарий от Bootmen

Ну этим у меня занимается sieve.

Уже после приёма? Но отфутболить-то надо до, чтобы проблема боунса была не твоей проблемой, а отправителя.

В общем конфиг mailfromd - это скрипт на языке примерно уровня sh, с функциями, регулярными выражениями и т.п. С возможностью писать в базу (bdb), работать с ClamAV, SpamAssassin, другими мильтерами и делать с возвращаемым результатом любые действия, соответственно.

AS ★★★★★
()
Ответ на: комментарий от AS

Тут немного непонятно. Например спамоотсосин обрабатывает сообщения после принятия его постфиксом. Естественно никакого реджекта не получится во время сессии. Разве что послать bonus, что противопоказано.

Bootmen ☆☆☆
()
Ответ на: комментарий от Bootmen

Тут немного непонятно. Например спамоотсосин обрабатывает сообщения после принятия его постфиксом.

mailfromd может скормить сообщение спамассасину на стадии eom, когда MTA ещё не вернул отправителю OK и по результату проверки сказать вернуть 5xx. Вот тут есть пример фрагмента конфига: https://puszcza.gnu.org.ua/software/mailfromd/manual/html_node/SpamAssassin.html

Разве что послать bonus, что противопоказано.

А без боунса получается сервер чёрная дыра, и непонятно, что хуже. А если это будет не спам? Так что только отлуп на этапе приёма, и никак иначе.

AS ★★★★★
()
Последнее исправление: AS (всего исправлений: 1)
Ответ на: комментарий от AS

Во, yabloko.ru пойдёт

Да кому оно нужно?

tn.rosneft.ru ещё вот...

А у этих что не так? Наискосок не вижу. Плиз поясните.

anc ★★★★★
()
Ответ на: комментарий от anc

Да кому оно нужно?

Вот и я так подумал. :-)

А у этих что не так? Наискосок не вижу.

Тоже синтаксическая очепятка, как и у яблока: «ip46.39.6.102». У яблока i лишняя, эти двоеточие потеряли.

AS ★★★★★
()
Последнее исправление: AS (всего исправлений: 1)
Ответ на: комментарий от AS

Тоже синтаксическая очепятка, как и у яблока: «ip46.39.6.102». Двоеточие потеряли.

Точно, есть такое, не заметил. Посмотрел наискось. У ябла то «трэш» сразу в глаза бросается. «У яблока i лишняя, эти двоеточие потеряли» если бы только это.

anc ★★★★★
()
Последнее исправление: anc (всего исправлений: 1)
Ответ на: комментарий от anc

У ябла то «трэш» сразу в глаза бросается.

Нет, разрывы вида «ip4:92.63.1» «11.220 ip4:212.109.217.184», как раз, допустимы. Это «3.3. Multiple Strings in a Single DNS Record» в том же самом 7208.

AS ★★★★★
()
Ответ на: комментарий от AS

Век живи. Спасибо!

ЗЫ Самое противное для меня, ведь уже в курсе такого был, но забыл. :(
Надо «таблеточки для памяти» попить.

anc ★★★★★
()
Последнее исправление: anc (всего исправлений: 2)
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.