July 2017 - postfix-users

Address verification
by Joachim Fahrner 27 Jul '17

27 Jul '17

Ich mach mal einen neuen Thread auf, da das jetzt nix mehr mit dem M$ Exchange zu tun hat. Hier habe ich eine schöne Erklärung gefunden, wie die Adress Verifikation ablaufen sollte: http://www.fsf.org/about/systems/sender-verification Unter "Misconfiguration #1" kann man lesen: wenn jemand keine Antwort erhalten möchte (z.B. auf einen Newsletter-Versand), dann muss er nach RFC den Null-Absender verwenden. Er darf keine Adresse verwenden die bei ihm nicht existiert. Jochen

5 11

Microsoft ESMTP MAIL Service
by Joachim Fahrner 25 Jul '17

25 Jul '17

Hat hier schon mal jemand was mit dem im Betreff genannten Mailserver zu tun gehabt? Der benimmt sich ja merkwürdig. Im Envelope-From setzt der ein "prvs=[Hexstring]=" vor den eigentlichen Absender. Was soll denn das? Und wenn mein reject_unverified_sender versucht dem etwas zuzustellen, dann kommt folgendes als Antwort: RCPT from mx00.pricosoft.com[80.152.164.96]: 450 4.1.7 <prvs=8378AE1123=user@domain>: Sender address rejected: unverified address: host mx00.pricosoft.com[80.152.164.96] said: 451 4.7.1 <prvs=8378AE1123=user@domain>: Recipient address rejected: Throttling too many connections from new source - Try again later. (in reply to RCPT TO command) Und das mit den "too many connections" halte ich für arg übertrieben, habe heute ganze 6 Mails davon im Log. Was treibt Microsoft da??? Jochen

9 32

Re: AW: AW: Microsoft ESMTP MAIL Service
by Joachim Fahrner 25 Jul '17

25 Jul '17

Am 2017-07-24 13:01, schrieb Uwe Drießen: > disable_vrfy_command = yes > > das sitzt bei mir in der Main.cf und verhindert das durch abfragen > dieser verifys Mailadressen bekannt werden Das hilft dir nix. Ich hab mir mal ein Script gebastelt, und ein bisschen mit deinem Server geplaudert. ;-) Das erzählt er mir: $ smtp_verify driessen(a)fblan.de connect: ('mx.fblan.de.', 25) reply: '220 mx.fblan.de ESMTP Secure Mailserver (7.9.0.3)\r\n' reply: retcode (220); Msg: mx.fblan.de ESMTP Secure Mailserver (7.9.0.3) connect: mx.fblan.de ESMTP Secure Mailserver (7.9.0.3) send: 'helo server.fahrner.name\r\n' reply: '250 mx.fblan.de\r\n' reply: retcode (250); Msg: mx.fblan.de send: 'mail FROM:<double-bounce(a)fahrner.name>\r\n' reply: '250 2.1.0 Ok\r\n' reply: retcode (250); Msg: 2.1.0 Ok send: 'rcpt TO:<driessen(a)fblan.de>\r\n' reply: '250 2.1.5 Ok\r\n' reply: retcode (250); Msg: 2.1.5 Ok send: 'quit\r\n' reply: '221 2.0.0 Bye\r\n' reply: retcode (221); Msg: 2.0.0 Bye driessen(a)fblan.de existiert

2 2

Mario Rönsch
by Joachim Fahrner 19 Jul '17

19 Jul '17

Hallo Liste, es gibt da einen ziemlich üblen kriminellen Burschen namens Mario Rönsch. Der hat diverse Datenbanken gehackt und sich deren Mailadressen bemächtigt. Nun schickt der Typ penetrant rechtsextreme Mails an all diese Adressen. Ihm gehört die Seite anonymousnews.ru, früher migrantenschreck.ru (das war ein Onlineshop der ihm von den Behörden dicht gemacht wurde), und mittlerweile betreibt er einen neuen Shop patriotenshop.com für den er Werbung macht. Ich hab keinen Plan wie ich den effektiv blocken kann. Ich weiß auch nicht wie er es schafft unter dem Radar diverser Blacklists zu bleiben. Wahrscheinlich, weil seine Adressen eben echte Adressen sind und keine Honigtöpfe. Hat jemand eine Idee? Das ist eine aktuelle Mail von ihm: Jul 18 18:06:04 server postfix/postscreen[8738]: CONNECT from [193.70.118.115]:62287 to [172.31.1.100]:25 Jul 18 18:06:04 server postfix/dnsblog[8739]: addr 193.70.118.115 listed by domain dnsbl-2.uceprotect.net as 127.0.0.2 Jul 18 18:06:04 server postfix/postscreen[8738]: PREGREET 11 after 0.01 from [193.70.118.115]:62287: EHLO User\r\n Jul 18 18:06:04 server postfix/postscreen[8738]: DNSBL rank 2 for [193.70.118.115]:62287 Jul 18 18:06:04 server postfix/postscreen[8738]: DISCONNECT [193.70.118.115]:62287 Jul 18 18:09:01 server postfix/postscreen[8938]: CONNECT from [198.2.181.10]:29100 to [172.31.1.100]:25 Jul 18 18:09:01 server postfix/postscreen[8938]: PASS OLD [198.2.181.10]:29100 Jul 18 18:09:01 server postfix/smtpd[8939]: connect from mail10.suw17.mcsv.net[198.2.181.10] Jul 18 18:09:05 server postgrey[2574]: action=pass, reason=triplet found, delay=907, client_name=mail10.suw17.mcsv.net, client_address=198.2.181.10, s ender=bounce-mc.us16_78343126.45573-jf=fahrner.name(a)mail10.suw17.mcsv.net, recipient=jf(a)fahrner.name Jul 18 18:09:05 server postfix/policyd-weight[23996]: decided action=PREPEND X-policyd-weight: using cached result; rate: -6.1; <client=mail10.suw17.m csv.net[198.2.181.10]> <helo=mail10.suw17.mcsv.net> <from=bounce-mc.us16_78343126.45573-jf=fahrner.name(a)mail10.suw17.mcsv.net> <to=jf(a)fahrner.name>; d elay: 0s Jul 18 18:09:05 server postfix/smtpd[8939]: D52EC1000F7: client=mail10.suw17.mcsv.net[198.2.181.10] Jul 18 18:09:05 server postfix/cleanup[8983]: D52EC1000F7: message-id=<78975410ea83919029406d9c3.90be32de70.20170718155312.e4577d47ca.b67f221f@mail10. suw17.mcsv.net> Jul 18 18:09:06 server opendkim[3978]: D52EC1000F7: mail10.suw17.mcsv.net [198.2.181.10] not internal Jul 18 18:09:06 server opendkim[3978]: D52EC1000F7: not authenticated Jul 18 18:09:06 server opendkim[3978]: D52EC1000F7: DKIM verification successful Jul 18 18:09:06 server opendkim[3978]: D52EC1000F7: s=k1 d=mail10.suw17.mcsv.net SSL Jul 18 18:09:06 server opendmarc[3989]: D52EC1000F7: patriotenshop.com none Jul 18 18:09:06 server spamd[16259]: spamd: got connection over /var/run/spamd.sock Jul 18 18:09:06 server spamd[16259]: spamd: processing message <78975410ea83919029406d9c3.90be32de70.20170718155312.e4577d47ca.b67f221f(a)mail10.suw17.mcsv.net> for jf:116 Jul 18 18:09:08 server spamd[16259]: spamd: clean message (1.1/5.0) for jf:116 in 1.4 seconds, 67257 bytes. Jul 18 18:09:08 server spamd[16259]: spamd: result: . 1 - HEADER_FROM_DIFFERENT_DOMAINS,HTML_MESSAGE,MIME_QP_LONG_LINE,T_DKIM_INVALID,UNPARSEABLE_RELAY,URIBL_GREY scantime=1.4,size=67257,user=jf,uid=116,required_score=5.0,rhost=localhost,raddr=127.0.0.1,rport=/var/run/spamd.sock,mid=<78975410ea83919029406d9c3.90be32de70.20170718155312.e4577d47ca.b67f221f(a)mail10.suw17.mcsv.net>,autolearn=no autolearn_force=no Jul 18 18:09:08 server postfix/qmgr[22427]: D52EC1000F7: from=<bounce-mc.us16_78343126.45573-jf=fahrner.name(a)mail10.suw17.mcsv.net>, size=66809, nrcpt=1 (queue active) Jul 18 18:09:08 server spamd[6562]: prefork: child states: II Jul 18 18:09:08 server postfix/smtpd[8939]: disconnect from mail10.suw17.mcsv.net[198.2.181.10] Jul 18 18:09:08 server postfix/pipe[8985]: D52EC1000F7: to=<...>, orig_to=<jf(a)fahrner.name>, relay=dovecot, delay=6.6, delays=6.5/0.02/0/0.13, dsn=2.0.0, status=sent (delivered via dovecot service) Jul 18 18:09:08 server postfix/qmgr[22427]: D52EC1000F7: removed

8 19

Greylisting
by Joachim Fahrner 11 Jul '17

11 Jul '17

Hallo, in letzter Zeit habe ich mich an Roberts Vorschlag gehalten und Greylisting nur selektiv angewandt (Dialin-IPs usw.). Langsam komme ich ins Grübeln, ob ich das nicht doch generell wieder für alles aktivieren soll. Ich bekomme in letzter Zeit häufig Spam und Phishing von "echten" Mailservern (wurden die gehackt?), für die Greylisting nicht angewandt wurde, und die auch (noch) auf keiner Blacklist waren. Kurze Zeit später findet man die dann auch auf manchen Blacklists. Das heisst: die ziehen ihre Aktionen in kürzester Zeit über (gehackte?) Server durch, und suchen sich dann wieder einen anderen "unverbrauchten" Server. Hier würde Greylisting enorm helfen, das verzögert die Zustellung, und beim nächsten Versuch steigt die Wahrscheinlichkeit, dass sie von einer Blacklist registriert wurden. Was meint ihr? Jochen

3 3

SPF - "It is impossible for us to say why it was rejected."
by Marc Risse 10 Jul '17

10 Jul '17

Hallo zusammen, ich habe ein Phänomen: Mein Server akzeptiert die Mails der Ruhr-Uni Bochum nicht und gibt mir auch keinerlei Infos warum der SPF-Check negativ ausfällt. Der Link zu openspf sagt folgendes: mail@empfänger rejected a message that claimed an envelope sender address of sender(a)ruhr-uni-bochum.de. mail@empfänger received a message from out1.mail.ruhr-uni-bochum.de (2a05:3e00:8:1001::8693:3595) that claimed an envelope sender address of sender(a)ruhr-uni-bochum.de. The domain ruhr-uni-bochum.de has authorized out1.mail.ruhr-uni-bochum.de (2a05:3e00:8:1001::8693:3595) to send mail on its behalf, so the message should have been accepted. It is impossible for us to say why it was rejected. What should I do? If the problem persists, contact the ruhr-uni-bochum.de postmaster. Log: Jul 9 23:33:49 relay postfix/smtpd[4750]: Anonymous TLS connection established from out1.mail.ruhr-uni-bochum.de[2a05:3e00:8:1001::8693:3595]: TLSv1.2 with cipher ECDHE-RSA-AES256-GCM-SHA384 (256/256 bits) Jul 9 23:33:52 relay postgrey[721]: action=pass, reason=triplet found, client_name=out1.mail.ruhr-uni-bochum.de, client_address=2a05:3e00:8:1001::8693:3595, sender=sender(a)ruhr-uni-bochum.de, recipient=mail@empfänger Jul 9 23:33:52 relay postfix/smtpd[4750]: NOQUEUE: reject: RCPT from out1.mail.ruhr-uni-bochum.de[2a05:3e00:8:1001::8693:3595]: 550 5.7.1 <mail@empfänger>: Recipient address rejected: Message rejected due to: SPF fail - not authorized. Please see http://www.openspf.net/Why?s=mfromblabla; from=<sender(a)ruhr-uni-bochum.de> to=<mail@empfänger> proto=ESMTP helo=<out1.mail.ruhr-uni-bochum.de> Jul 9 23:33:52 relay postfix/smtpd[4750]: disconnect from out1.mail.ruhr-uni-bochum.de[2a05:3e00:8:1001::8693:3595] ehlo=2 starttls=1 mail=1 rcpt=0/1 data=0/1 rset=1 quit=1 commands=6/8 Hattet Ihr so etwas schon mal? Was kann ich tun? Der Postmaster der Ruhr-Uni reagiert nicht auf meine Anfrage. Hier der SPF-Record: ruhr-uni-bochum.de. 74421 IN TXT "v=spf1 exists:%{ir}.%{v}._spfx.ruhr-uni-bochum.de exists:%{ir}._ip.%{l}._spfx.ruhr-uni-bochum.de -all" DNS, SPF und IPv6 funktionieren problemlos, habe echt keine Idee... :( -- Mit freundlichen Grüßen Marc Risse RZ-Projekte Telefon: +49 2372 5520-385 Fax: +49 2372 5520-61-385 E-Mail: risse(a)citkomm.de Internet: http://www.citkomm.de ===================================== KDVZ Citkomm (Kommunaler Zweckverband) Citkomm services GmbH* Sonnenblumenallee 3, 58675 Hemer Telefon: +49 2372 5520-0 Fax: +49 2372 5520-279 E-Mail: post(a)citkomm.de *Tochtergesellschaft: Citkomm services GmbH Sitz der Gesellschaft: Hemer Handelsregister: AG Iserlohn, HRB 26 86 Geschäftsführer: Dr. Michael Neubauer, Kerstin Pliquett

4 4

Phishing Mails
by Joachim Fahrner 07 Jul '17

07 Jul '17

Hallo, so langsam wird das hier zum (unfreiwilligen) Hobby mit den Phishing-Mails. Ich frage mich gerade, warum das hier nicht abgewiesen wurde: Received: from mail.sicherheit.de (unknown [83.169.1.6]) Die IP hat zwar einen Reverse pointer zu mail.sicherheit.de: $ host 83.169.1.6 6.1.169.83.in-addr.arpa domain name pointer mail.sicherheit.de. Aber mail.sicherheit.de hat eine ganz andere IP: $ host mail.sicherheit.de mail.sicherheit.de has address 72.52.10.14 Sowas müsste sich doch blocken lassen. Ist das nicht Bestandteil von reject_invalid_helo_hostname? Jochen

5 22

HELO Access restrictions
by Joachim Fahrner 05 Jul '17

05 Jul '17

Hallo, ich stelle mal eine Frage zur Diskussion: nützen die HELO Access restrictions heute überhaupt noch was? Wenn ich so in meinen Logs stöbere, finde ich da kaum abgewiesene Mails. Und wenn, dann war es kein Spam. Der meiste Spam wird bei mir durch RBL geblockt. Die Idee hinter den HELO restrictions war ja, dass Botnet Zombies normal keinen korrekt konfigurierten Hostnamen und DNS-Einträge haben. Aber die Spamsoftware wird auch immer schlauer, und es ist ja ein Leichtes mit 2 DNS-Abfragen einen zur IP passenden Hostnamen zu bekommen: $ host 93.104.124.64 64.124.104.93.in-addr.arpa domain name pointer ppp-93-104-124-64.dynamic.mnet-online.de. $ host ppp-93-104-124-64.dynamic.mnet-online.de ppp-93-104-124-64.dynamic.mnet-online.de has address 93.104.124.64 Und wenn ich mir die Logs so ansehe bestätigt das meine These: da gibt es sehr viele HELO Namen die ziemlich kryptisch aussehen, so wie die von DSL-Anschlüssen. Also wären diese Prüfungen ja reine Zeitverschwendung, und sogar kontraproduktiv. Jochen

3 5