Czy to dobra praktyka, czy też zbyt drakońska, aby odrzucać wiadomości e-mail z serwerów poczty bez RDNS

Niedawno zrezygnowałem ze SpamAssassin i teraz opieram odrzucanie spamu na DNSRBL, szarej liście i innych podstawowych testach i zastanawiam się, czy powinienem również blokować hosty, które nie mają prawidłowego RDNS pasującego do EHLO?

Jeśli to zrobię, czy będę sprawiał kłopoty z dużą ilością legalnej poczty i denerwował moich klientów? Słyszałem, jak ludzie chwytają się, że AOL to robi, co sprawia, że ​​uważam, że może to dla mnie zbyt rzadkie.

Zastanawiam się również, czy mogę pójść na kompromis, sprawdzając, czy RDNS jest przynajmniej ustawiony na coś, ale nie próbuj dopasować go do EHLO. Czy jest to możliwe dzięki Postfix (i czy jest to przydatne)?

Wypróbowałem wiele metod sprawdzania HELO / EHLO z dość przyzwoitą bazą klientów liczącą od 100 000 do 200 000 użytkowników i ostatecznie opracowałem rozwiązanie, które:

• Sprawdź, czy HELO / EHLO zawiera nazwę domeny. - To głównie sprowadza się do tego, czy nazwa ma kropkę. Sprawdzanie DNS w nazwie doprowadziło do WIELU awarii serwerów, ponieważ często zdarza się, że serwer ma wewnętrzną nazwę lub coś, czego nie można poprawnie rozwiązać.
• Sprawdź, czy adres IP ma odwrotny rekord DNS. - Znów jest to luźne ustawienie, ponieważ nie porównujemy go z HELO / EHLO. W porównaniu z HELO / EHLO stworzono tak wiele biletów, że to ustawienie nie trwało nawet jednego dnia.
• Sprawdź, czy nazwa domeny nadawcy jest poprawna. - To jest podstawowa kontrola, aby upewnić się, że jeśli będziemy musieli odrzucić wiadomość, będzie przynajmniej sposób na znalezienie serwera dla niej.

Oto blok Postfix, którego używamy do tych kontroli:

smtpd_recipient_restrictions =
    reject_non_fqdn_sender,
    reject_unauth_destination,
    reject_unknown_reverse_client_hostname,
    reject_invalid_helo_hostname,
    reject_non_fqdn_helo_hostname,
    reject_unknown_sender_domain,
    reject_non_fqdn_recipient

Bardzo często blokowane są serwery SMTP, które nie mają tych podstaw:

1. Nazwa hosta w przekazie HELO rozwiązuje połączenie IP, z którego pochodzi.
2. Połączenia pochodzenia IP odwraca się do nazwy hosta zgłoszonej w HELO.
3. Jeśli istnieją zasady SPF, DKIM lub DMARC, sprawdź.

Każdy, kto chwyta się zablokowania z powodu jednego z nich, powinien zostać smołowany i upierzony.
Ludzie, którzy zostaną zablokowani z innych powodów, szczególnie sytuacji, które polegają na zgodności z RFC w „nienormalnych” sytuacjach, będę współczuć. Spam to taki problem, że po prostu nie ma usprawiedliwienia dla pominięcia podstaw.

Spodziewałbym się, że wysłanie MTA będzie mieć ważny RDNS, ale naleganie na dopasowanie EHLO zależy od tego, kim są „klienci”. Kilka interesujących wskazówek można znaleźć w RFC5321 :

2.3.5

(...) Nazwa domeny podana w poleceniu EHLO MUSI być albo podstawową nazwą hosta (nazwa domeny, która zmienia się na adres RR), albo, jeśli host nie ma nazwy, dosłowny adres (...)

4.1.4

(...) Serwer SMTP MOŻE sprawdzić, czy argument nazwy domeny w poleceniu EHLO faktycznie odpowiada adresowi IP klienta. Jeśli jednak weryfikacja się nie powiedzie, serwer NIE MOŻE odmówić przyjęcia wiadomości na tej podstawie.

ale potem w 7.9.

Ugruntowaną zasadą jest to, że serwer SMTP może odmówić przyjęcia poczty z jakiegokolwiek powodu operacyjnego lub technicznego, który ma sens dla witryny dostarczającej serwer. (...)

Wyszukiwanie wsteczne niekoniecznie wskazuje nazwę hosta podaną w HELO. Czasami wiele domen hostowanych na tym samym hoście i wszystkie mają ten sam adres IP. Ale kiedy spróbujesz wykonać wyszukiwanie wsteczne, otrzymasz nazwę, która została umieszczona w rekordzie PTR. Oczywiste jest, że obie nazwy FQDN będą różne - i jest to całkowicie akceptowalne.

Jedyną okolicznością, która pozwala upuścić wiadomość, jest nieudane wyszukiwanie wsteczne. Pomyślne wyszukanie oznacza, że ​​host jest prawidłowy. Nazwy nie powinny się zgadzać.

Zastanawiam się, czy powinienem również blokować hosty, które nie mają prawidłowego RDNS pasującego do EHLO?

Nie powinieneś. Blokuje cały e-mail tylko według jednego kryterium, jest to zła praktyka.

Jeśli to zrobię, czy będę sprawiał kłopoty z dużą ilością legalnej poczty i denerwował moich klientów?

bardziej prawdopodobne jest, że zrobisz to i utracisz legalną pocztę

Zastanawiam się również, czy mogę pójść na kompromis, sprawdzając, czy RDNS jest przynajmniej ustawiony na coś, ale nie próbuj dopasować go do EHLO. Czy jest to możliwe dzięki Postfix (i czy jest to przydatne)?

tak, to możliwe. Możesz użyć parametru nazwa_hosta_klienta_odrzucania_rewersu zamiast nazwa_hosta_klienta_odrzucania

Niestety, postfiks nie ma elastycznych opcji „złożonej decyzji”. W exim możesz dodać punkty za takie maile, np

Score = 0 
1. The HELO or EHLO hostname is not in fully-qualified domain or address literal form. Score +=10
2. The HELO or EHLO hostname has no DNS A or MX record. Score +=20
3. The HELO or EHLO hostname is listed with the A record "d.d.d.d" under rbl_domain. Score +=20
4. The sender domain has no DNS A or MX record. Score +=10
5. SPF checks return softfail. Score +=10, fail, Score +=20
...

I tak dalej. Po zakończeniu wszystkich kontroli i jeśli miałeś Wynik> 100, możesz odrzucić pocztę. W rzeczywistości możesz uzyskać takie zachowanie, ale musisz napisać własną usługę polisy