Chvála greylistingu (diskuse)

[Michal Kubeček]

Greylisting, podobně jako třeba neméně populární portknocking, je představitelem metod, které z principu mohou fungovat jen tehdy, když se budou používat jen zřídka a každý si bude jejich implementaci muset zbastlit na koleně. Jakmile budou k dispozici "click and go" balíčky a tyto metody se stanou mainstreamem, protistranu to dotlačí k tomu, aby se s nimi vyrovnala. Zatím jí to nestojí za to.

[Luk]

Právě v souvislosti s tím mě překvapuje, že se greylisting zatím mainstreamem nestal, protože se o něm hovořilo už velice dávno a většina nejpoužívanějších SMTP serverů implementaci buď přímo obsahuje, nebo ji lze velice snadno přidat.

[kaaja]

Pokud by se protistrana byla nucena s tim vyrovnavat by to zase na druhou stranu nebylo úplně špatné. Protože pokud by spamer musel ze serveru opakovaně odesílat vrácené zprávy, stálo by ho to další kapacitu a také by to mohlo snížit objem spamu ( nebo by spameri koupili rychlejší servery a lepší konektivitu)

[Michal Kubeček]

To máte samozřejmě pravdu, ale on bohužel ani ten greylisting není zadarmo - ve smyslu nároků na síťovou kapacitu a systémové zdroje. Takže by si vlastně připlatily obě strany a jediný, kdo by na tom vydělal, by patrně byli poskytovatelé konektivity a výrobci hardware. Tím samozřejmě nechci říct, že mám lepší řešení (kdybych znal skutečně efektivní a spolehlivé řešení spamu, tak mám vystaráno), jen že jsem ohledně tohoto typu problémů dost skeptický.

[lm]

dalsi problem sposobuju smtp clustre. velke mailove servery byvaju nastavene tak, ze ak sa na prvy krat mail nepodari dorucit, zaradi sa do fronty (queue) ale ta uz bezi na druhom servri. cize: prvy krat pride mail od jozko@maluzina.sk pre palko@maluzina.sk z ip a.b.c.d, greylist si to zapise a caka nasaveny timeout ci sa mail server opat pokusi mail dorucit. ale stane sa to, ze sice pride mail z adresy jozko@maluzina.sk pre palko@maluzina.sk ale z ip napr. a.b.c.d+1 a to moze sposobovat problemy, pretoze takyto sposobom sa odosielatel nikdy nedostane do autowhitelistu greylistu . toto sa da riesit napr. pre greylist-milter pre sendmail directivou "subnetmatch /24" (resp. ina rozumna hodnota) alebo rucne hladat problemove servery a robit to casto

mozno to niekomu pomoze

[Luk]

takyto sposobom sa odosielatel nikdy nedostane do autowhitelistu greylistu

Dostat se tam může, ale bude to trvat dlouho. Což při dostatečně velkém clusteru a dostatečně malé frekvenci zpráv znamená, že se tam nedostane vůbec.

Jinak těch clusterů zase tolik není a v distribučním souboru postgrey_whitelist_clients už jsou ty známé obsaženy.

I když je samozřejmě pravda, že je to komplikace, která může někoho od nasazení greylistingu odradit.

[lm]

ved prave preto som to pisal, aby som doplnil inak dost dobre a vycerpavajuco napisany popis greylisingu a mozno aj niekomu ulahcil hladanie riesenia pre tento problem.

[shadowmaster]

Jojo, jen kdyby tech mailovych clusteru nebylo vic, nezli si myslis :D :D :D O par vim a vsadim se, ze ne vsechny budou zaneseny... jakakoliv vetsi infrastruktura k tomu casem nejspis taky dojde.... jeden smtp server je dost malo na globalni spolecnosti... nemyslis? ;)

[Luk]

Jojo, jen kdyby tech mailovych clusteru nebylo vic, nezli si myslis

Jenže ono jich skutečně zase tak moc není (z celkového počtu mailserverů), byť tam všechny zanesené samozřejmě nejsou.

jakakoliv vetsi infrastruktura k tomu casem nejspis taky dojde.... jeden smtp server je dost malo na globalni spolecnosti... nemyslis? ;)

Nemyslím. Často se totiž objevuje opačný trend, tedy pouze jediný výstupní SMTP server a další jsou jen jako zálohy. Provoz více rovnocenných výstupních serverů nepřináší žádné výrazné výhody, nevýhod ovšem řadu. Proto i ty největší firmy volí často jiné řešení.

[Petr]

Konkrétně u Postgrey, o kterém je zde řeč:

--lookup-by-subnet strip the last 8 bits from IP addresses (default)

Toliko pouze na doplnění k úplnosti.

[Filip Jirsák]

Jen pro pořádek: Contactel jse součástí GTS Novera, nikoli Radiokomuikací…

[Luk]

Ano, omlouvám se za chybu, spletl jsem si to s TELE2. Opravím to

[Petr]

Tak on ten server nemusel ani diletant nastavovat, takové Kerio Mail Server je také pikoška...

[Luk]

O firmě Kerio radši ani nemluvit. Nemohu jí přijít na jméno od doby, kdy po instalaci patche do Windows zmizely z Kerio Winroute Pro (velmi draze zaplacená verze s neomezeným počtem uživatelů) poštovní aliasy. Byly uložené v registrech Windows. Kerio tehdy svalilo vinu na Microsoft, ten od toho dal ruce pryč (OEM verze Windows), dodavatel počítače to "prý" reportoval Microsoftu jako bug. Každopádně od Keria radši dále...