Dotaz: Postfix zrací zprávy spamerům.

[Kall Ell]

Ahoj, Mám instalaci Debianu s Postfixem, Dovecotem a Amavisem. Verze Debianu je 7.1. Ač mě to nedělal, z nějakého důvodu se mě ve frontě hromadí pošta pro e-maily co evidentně neexistují. Při zkoumání logu jsem přišel k zjištění, že nějaký spamer posílá na naše adresy spam. Amavis spam zdetekuje a označí ho a pak se ho snaží vrátit odesílateli a tyto maily se mě hromadí ve frontě. Přikládám kousek logu, kde je to vidět.

Aug 22 10:56:00 mail postfix/smtpd[4294]: connect from twisted.concursodobanco.com[66.37.19.140]
Aug 22 10:56:00 mail postfix/smtpd[4294]: 741982579DE: client=twisted.concursodobanco.com[66.37.19.140]
Aug 22 10:56:00 mail postfix/cleanup[4303]: 741982579DE: message-id=<01938162868739623529971353240353@yakuzatube.com>
Aug 22 10:56:00 mail postfix/qmgr[3330]: 741982579DE: from=(bronislav12zwmn5@yakuzatube.com), size=3802, nrcpt=1 (queue active)
Aug 22 10:56:00 mail postfix/smtpd[4294]: disconnect from twisted.concursodobanco.com[66.37.19.140]
Aug 22 10:56:01 mail postfix/smtpd[4364]: connect from localhost[127.0.0.1]
Aug 22 10:56:01 mail postfix/smtpd[4364]: 1B36D2579EB: client=localhost[127.0.0.1]
Aug 22 10:56:01 mail postfix/cleanup[4303]: 1B36D2579EB: message-id=(SSlqYPO99ZbjRX@mail.mojedomena.cz)
Aug 22 10:56:01 mail postfix/qmgr[3330]: 1B36D2579EB: from=<>, size=4433, nrcpt=1 (queue active)
Aug 22 10:56:01 mail amavis[3929]: (03929-15) Blocked SPAM {BouncedOpenRelay,Quarantined}, [66.37.19.140] 
    (bronislav12zwmn5@yakuzatube.com) -> (z.kucerka@mojedomena.cz), quarantine: l/spam-lqYPO99ZbjRX.gz, Message-ID:
    (01938162868739623529971353240353@yakuzatube.com), mail_id: lqYPO99ZbjRX, Hits: 7.2, size: 3800, 424 ms
Aug 22 10:56:01 mail postfix/smtp[4401]: 741982579DE: to=(z.kucerka@mojedomena.cz), relay=127.0.0.1[127.0.0.1]:10024, delay=0.71,
    delays=0.29/0/0/0.43, dsn=2.5.0, status=sent (250 2.5.0 Ok, id=03929-15, BOUNCE)
Aug 22 10:56:01 mail postfix/qmgr[3330]: 741982579DE: removed
Aug 22 10:56:01 mail postfix/smtp[4378]: connect to yakuzatube.com[185.140.110.3]:25: Connection refused
Aug 22 10:56:01 mail postfix/smtp[4378]: 1B36D2579EB: to=(bronislav12zwmn5@yakuzatube.com), relay=none, delay=0.09, 
    delays=0.06/0/0.03/0, dsn=4.4.1, status=deferred (connect to yakuzatube.com[185.140.110.3]:25: Connection refused)

Ten server mě běží asi dva roky a tohle mě začal dělat cca měsíc zpátky. V konfigu jsem nic neměnil. Nevíte proč to dělá? Níže uvádím konfiguraci main.cf. Ještě upřesním, že mám virtuální uživatele v mysql.

# TLS parameters
smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
smtpd_use_tls=yes
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtp_host_lookup = native

smtpd_client_restrictions =
  permit_mynetworks,
  check_sender_access hash:/etc/postfix/access,
  permit

smtpd_sender_restrictions =
  permit_mynetworks,
  reject_non_fqdn_sender,
  reject_unknown_sender_domain,
  check_sender_access hash:/etc/postfix/access,
  permit

smtpd_recipient_restrictions =
  permit_mynetworks,
  reject_unauth_destination,
  reject_non_fqdn_recipient,
  reject_unknown_recipient_domain,
  check_recipient_access hash:/etc/postfix/access,
  permit_sasl_authenticated,
  permit

smtpd_error_sleep_time = 30
smtpd_soft_error_limit = 10
smtpd_hard_error_limit = 20

content_filter = smtp-amavis:[127.0.0.1]:10024

disable_vrfy_command = yes

# reject_unknown_recipient_domain

virtual_mailbox_domains = mysql:/etc/postfix/mysql/vdomains.cf
virtual_mailbox_maps = mysql:/etc/postfix/mysql/vmailbox.cf
virtual_alias_maps = mysql:/etc/postfix/mysql/vvirtual.cf
virtual_mailbox_base = /data/mail
virtual_minimum_uid = 1101
virtual_uid_maps = static:1101
virtual_gid_maps = static:1101
virtual_transport = dovecot
dovecot_destination_recipient_limit = 1

smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes
broken_sasl_auth_clients = yes

smtp_helo_name = mail.mojedomena.cz

myhostname = mail.mojedomena.cz
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
myorigin = /etc/mailname
mydestination = mail.mojedomena.cz, localhost.mojedomena.cz, , localhost
relayhost = 
mynetworks = 192.168.168.0/24 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_command = /usr/libexec/dovecot/deliver
mailbox_size_limit = 104857600
recipient_delimiter = +
inet_interfaces = all
home_mailbox = Maildir/
html_directory = /usr/share/doc/postfix/html
message_size_limit = 104857600

---

---

Odpovědi

[Mortal]

tak v amavisu nastav at se spamy mazou
nedavno se objevila vlna spamu, kdy spameri vyzadovali success DSN i to se da zakazat: http://www.postfix.org/DSN_README.html

[Kall Ell]

Ahoj, mrkl jsem na to a zkusil jsem to nastavit. Teď sleduju, jestli to zafunguje.

[Kall Ell]

Tak tohle nepomohlo

[David Heidelberg]

Doporučuji nasadit RSpamd místo SA.

RSpamd má poměrně jednoduchou konfiguraci (a taky bych řekl lepší dokumentaci), lepší výkon a zatím jsem nezaznamenal žádný problém (narodíl od SA se kterým jsem se zlobil do té doby poměrně často)..

Vím, že to není odpověď na tvoji konkrétní otázku, ale potom co jsem se dlouhodobě trápil s SA mě instalace RSpamd ušetřila od trápení (a překvapivě i ušetřila i trochu výkonu spotřebovávaného SpamAsassinem)

[Filip Jirsák]

To, že se váš server pokouší na ty e-maily odpovídat, je samozřejmě špatně – drtivá většina těch adres odesílatele je zfalšovaných. Takže „ztrácí“ je špatné nazvání, chyba je v tom, že ty e-maily vůbec vytváří.

A za to vytváření může s největší pravděpodobností Amavis, protože content_filter říká Postfixu, co má s e-mailem udělat – zda má projít, zda ho má zahodit, nebo zda má odpovědět chybou. Ve vašem případě zřejmě Amavis vrací reject (odmítnutí zprávy s chybou), měl by ale e-mail zahodit (discard) nebo uložit do karantény.

[pavlix]

Neměl by být jistý rozdíl mezi odmítnutím zprávy a vytvořením chybové odpovědi?

[Filip Jirsák]

Rozdíl v tom je a na e-mailových serverech se vždy používá jedno nebo druhé, podle toho, zda je aktivní spojení, kterým je zpráva přijímána (a je tedy možné ji odmítnout), nebo zda už je zpráva ve frontě a jediná možnost informování o chybě je vytvořit chybovou zprávu. V tomto případě se zjevně vytváří chybová odpověď.

[GeorgeWH]

Nastav amavis, aby neposielal bounce na spam.

[Kall Ell]

amavisd.conf

$final_spam_destiny = D_DISCARD; #D_BOUNCE; #D_REJECT; #D_DISCARD; #!!! D_DISCARD / D_REJECT

$warnspamsender = 0;

nemas tam nahodou D_BOUNCE ?

[Kall Ell]

Ano bylo to tam, před půl hodinou jsem to změnil na D_DISCARD a zdá se, že už to funguje a neodesílá ty notifikace.

[trekker.dk]

Akorát když vám spamfiltr něco chybně vyhodnotí, odesílatel se o tom nijak nedozví.

[Kall Ell]

proměnou $warnspamsender = 0; jsem nikde v configu amavisu nenašel. Ale i tak se zdá, že to funguje.

[Josef Kufner]

Pokud cílové adresy neexistují, tak to ani nemá předávat spamfiltru, ale mělo by se to rovnou odmítnout ještě před přijetím, tedy že už na "RCPT TO" to řekne chybu. Nemáš tuhle kontrolu nějak rozbitou?

[Filip Jirsák]

Tohle jsou ale neexistující zdrojové adresy. Na cílové adresy se překlopí teprve v okamžiku, kdy se snaží na tu zdrojovou adresu poslat zprávu o chybě.

[Kall Ell]

Přesně tak, cílová adresa existuje, až ta odpověď na neexistujícího odesílatele je problém.

[MMMMMMMMM]

Myslím, že je to trošku jinak. Nejde o vracení e-mailu, ale o potvrzení doručení na server. Tento spam se tak chová, děje se tak i u nás a u všech ostatních. Náš Amavisd spam zahodí, ale přesto Postfix chce odeslat potvrzení o doručení na IP 185.140.110.3, ve frontě máme takových pokusů denně mrtě... Nejde o chybu konfigurace. :)

http://www.abclinuxu.cz/blog/doli/2017/7/boj-s-ceskym-spamem/diskuse#32

[pavlix]

Posílat notifikaci o doručení je podle mě chyba samo o sobě.

[Adam]

Souhlasím, že toto bude spíše ten hlavní důvod. I ten amavis to může dělat, ale to potvrzení o doručení je klíčové. Pokud chcete tento spam zastavit úplně, zkuste do /etc/postfix/main.cf do smtpd_recipient_restrictions = přidat:

check_sender_ns_access hash:/etc/postfix/check_sender_ip,

a do check_sender_ip:

dns1.registrar-servers.com. REJECT

dns2.registrar-servers.com. REJECT

od verze 3.0 lze:

check_sender_a_access hash:/etc/postfix/check_sender_ip,

pak by v souboru check_sender_ip mělo být:

185.140.110.3 REJECT

a načíst pomocí: postmap check_sender_ip

První zmíněné blokuje komplet celý nameserver. Je na uvážení, zda to zavést či nikoli. Druhé je ideální řešení, protože zmíněná IP je zřejmě evil.

Vše zmíněné bude fungovat jen do doby, než si spameři změní uvedené parametry.