Mailserver lijkt spam door te sturen?

[Richard Rasker]

Al geruime tijd zie ik in de logbestanden van mijn mailserver een hoop van dit
soort meldingen van verbindingspogingen:

Sep 22 13:17:39 hedgehog postfix/smtp[2828]: connect to exchange.anderol.com[199.184.166.16]: No route to host (port 25)
Sep 22 13:17:39 hedgehog postfix/smtp[2828]: B4D9B56C223: to=<***@royallube.com>, relay=none, delay=216820, delays=216820/0.2/0.18/0, dsn=4.4.1, status=deferred (connect to exchange.anderol.com[199.184.166.16]: No route to host)
Sep 22 13:17:39 hedgehog postfix/smtp[2832]: connect to mail.vtyzdyjl.net[195.88.226.6]: Connection refused (port 25)
Sep 22 13:17:39 hedgehog postfix/smtp[2832]: 03E9356C12B: to=<***@vtyzdyjl.net>, relay=none, delay=37928, delays=37928/0.31/0.34/0, dsn=4.4.1, status=deferred (connect to mail.vtyzdyjl.net[195.88.226.6]: Connection refused)
Sep 22 13:17:39 hedgehog postfix/smtp[2828]: connect to mail.vtyzdyjl.net[195.88.226.6]: Connection refused (port 25)
Sep 22 13:17:39 hedgehog postfix/smtp[2828]: C4B6D56C270: to=<***@vtyzdyjl.net>, relay=none, delay=111612, delays=111611/0.44/0.17/0, dsn=4.4.1, status=deferred (connect to mail.vtyzdyjl.net[195.88.226.6]: Connection refused)
Sep 22 13:17:39 hedgehog postfix/smtp[2837]: connect to sleet.lakeheadu.ca[65.39.15.141]: Connection refused (port 25)
Sep 22 13:17:39 hedgehog postfix/smtp[2837]: A866856C11A: to=<***@sleet.lakeheadu.ca>, relay=none, delay=41545, delays=41544/0.46/0.27/0, dsn=4.4.1, status=deferred (connect to sleet.lakeheadu.ca[65.39.15.141]: Connection refused)

Kennelijk wordt mijn mailserver op een of andere manier misbruikt om spam aan
te bieden aan andere servers. Bijgevolg is mijn server zo te zien ook
opgenomen op minstens ééń blacklist:

http://www.mail-abuse.com/cgi-bin/lookup?ip_address=92.254.53.208

Toch geven alle relay-tests aan dat de server in ieder geval geen open relay
vormt. Nu had ik enige tijd geleden al uitgezocht dat dit te maken heeft met
iets van 'mail bounce', maar het fijne is me even ontgaan -- en ook ben ik er
nog niet uit wat ik hier precies aan kan doen (ik zou me nog steeds eens
verder moeten verdiepen in mailservers, maar kom er telkens niet aan toe).

Kortom: enige uitleg en/of tips zijn erg welkom!

Alvast weer mijn dank,

Richard Rasker

[Fred Mobach]

Post by Richard Rasker
Al geruime tijd zie ik in de logbestanden van mijn mailserver een hoop
Sep 22 13:17:39 hedgehog postfix/smtp[2828]: connect to
exchange.anderol.com[199.184.166.16]: No route to host (port 25)
delays=216820/0.2/0.18/0, dsn=4.4.1, status=deferred (connect to
exchange.anderol.com[199.184.166.16]: No route to host)

[...]

Post by Richard Rasker
Kennelijk wordt mijn mailserver op een of andere manier misbruikt om
spam aan te bieden aan andere servers. Bijgevolg is mijn server zo te
http://www.mail-abuse.com/cgi-bin/lookup?ip_address=92.254.53.208

Hier sta je ook: http://www.backscatterer.org/index.php

Post by Richard Rasker
Toch geven alle relay-tests aan dat de server in ieder geval geen open
relay vormt.

Jij kunt dat het beste zien, maar het lijkt erop of je foutmeldingen
(NDRs) de deur wilt uitsturen voor reeds aangenomen berichten. Omdat je
ook een spamtrap van UCEprotect hebt geraakt zouden dat wel eens
foutmeldingen op aan niet bestaande mailboxen gerichte spam kunnen
zijn.

Wat voor berichten staan er in de queue ? Soms gericht aan een
onbestaande mailbox bij jou en met (zogenaamde) afzenders die met de
foutboodschap en het spambericht verblijd zouden moeten worden ?

Het lijkt me het handigst als je op de aanwezigheid van een mailbox
controleert voordat je een bericht aanneemt. Bestaat de mailbox niet,
dan kun je de TCP sessie met een foutcode / -melding (5xx no such user
here o.i.d.) termineren.

[Richard Rasker]

Post by Fred Mobach

Post by Richard Rasker
Al geruime tijd zie ik in de logbestanden van mijn mailserver een hoop
Sep 22 13:17:39 hedgehog postfix/smtp[2828]: connect to
exchange.anderol.com[199.184.166.16]: No route to host (port 25)
delays=216820/0.2/0.18/0, dsn=4.4.1, status=deferred (connect to
exchange.anderol.com[199.184.166.16]: No route to host)

[...]

Post by Richard Rasker
Kennelijk wordt mijn mailserver op een of andere manier misbruikt om
spam aan te bieden aan andere servers. Bijgevolg is mijn server zo te
http://www.mail-abuse.com/cgi-bin/lookup?ip_address=92.254.53.208

Hier sta je ook: http://www.backscatterer.org/index.php

Post by Richard Rasker
Toch geven alle relay-tests aan dat de server in ieder geval geen open
relay vormt.

Jij kunt dat het beste zien, maar het lijkt erop of je foutmeldingen
(NDRs) de deur wilt uitsturen voor reeds aangenomen berichten. Omdat je
ook een spamtrap van UCEprotect hebt geraakt zouden dat wel eens
foutmeldingen op aan niet bestaande mailboxen gerichte spam kunnen
zijn.
Wat voor berichten staan er in de queue ? Soms gericht aan een
onbestaande mailbox bij jou en met (zogenaamde) afzenders die met de
foutboodschap en het spambericht verblijd zouden moeten worden ?

Inderdaad, daar lijkt het behoorlijk op:

# postqueue -p
-Queue ID- --Size-- ----Arrival Time---- -Sender/Recipient-------
2954B56C086 2844 Fri Sep 18 05:34:09 MAILER-DAEMON
(connect to mail2.e-mg.co.za[152.111.116.136]: Connection timed
out) ***@e-mg.co.za

12DDE56C25A 8017 Sun Sep 20 13:00:50 MAILER-DAEMON
(connect to deactivatedon.com[216.8.179.24]: Connection timed
out) ***@deactivatedon.com

10A0D56C222 2772 Sat Sep 19 22:05:18 MAILER-DAEMON
(connect to lurker.csiro.au[150.229.2.80]: Connection timed
out) ***@mst.csiro.au

1641D56C10D 5487 Fri Sep 18 22:28:02 MAILER-DAEMON
(connect to ppp-61-90-103-110.revip.asianet.co.th[61.90.103.110]: Connection
timed out)
...

Post by Fred Mobach
Het lijkt me het handigst als je op de aanwezigheid van een mailbox
controleert voordat je een bericht aanneemt. Bestaat de mailbox niet,
dan kun je de TCP sessie met een foutcode / -melding (5xx no such user
here o.i.d.) termineren.

Na wat onderzoek en de tip van Koos heb ik nu in main.cf onder meer het
volgende staan om rommel te weren:

smtpd_recipient_restrictions =
permit_sasl_authenticated,
permit_mynetworks,
reject_unauth_destination
reject_non_fqdn_sender
reject_unlisted_recipient
reject_unlisted_sender

De laatste drie regels zijn nieuw toegevoegd, maar lijken het probleem niet
op te lossen:

# postqueue -p
-Queue ID- --Size-- ----Arrival Time---- -Sender/Recipient-------
849FD56C086 3998 Tue Sep 22 20:36:40 MAILER-DAEMON
(connect to grey-area.mailhostingserver.com[67.15.149.233]: Connection
timed out)
***@insurancescope.com

B1E0C56C06C 4694 Tue Sep 22 20:28:52 MAILER-DAEMON
(connect to mail.roverworx.com[207.44.162.36]: Connection
refused)
***@roverworx.com

0B0CD56C082 2768 Tue Sep 22 20:30:03 MAILER-DAEMON
(host hermes.digi.com.br[201.76.144.99] said: 450 4.7.1
<hedgehog.linetec.nl>: Helo command rejected: Host not found (in reply to
RCPT TO command))
***@digi.com.br

-- 11 Kbytes in 3 Requests.


Hoe kan ik die controle uitvoeren vóór het aannemen van een bericht?

Richard Rasker

[Paul van der Vlis]

Post by Richard Rasker

Post by Fred Mobach

Post by Richard Rasker
Al geruime tijd zie ik in de logbestanden van mijn mailserver een hoop
Sep 22 13:17:39 hedgehog postfix/smtp[2828]: connect to
exchange.anderol.com[199.184.166.16]: No route to host (port 25)
delays=216820/0.2/0.18/0, dsn=4.4.1, status=deferred (connect to
exchange.anderol.com[199.184.166.16]: No route to host)

[...]

Post by Richard Rasker
Kennelijk wordt mijn mailserver op een of andere manier misbruikt om
spam aan te bieden aan andere servers. Bijgevolg is mijn server zo te
http://www.mail-abuse.com/cgi-bin/lookup?ip_address=92.254.53.208

Hier sta je ook: http://www.backscatterer.org/index.php

Post by Richard Rasker
Toch geven alle relay-tests aan dat de server in ieder geval geen open
relay vormt.

Jij kunt dat het beste zien, maar het lijkt erop of je foutmeldingen
(NDRs) de deur wilt uitsturen voor reeds aangenomen berichten. Omdat je
ook een spamtrap van UCEprotect hebt geraakt zouden dat wel eens
foutmeldingen op aan niet bestaande mailboxen gerichte spam kunnen
zijn.
Wat voor berichten staan er in de queue ? Soms gericht aan een
onbestaande mailbox bij jou en met (zogenaamde) afzenders die met de
foutboodschap en het spambericht verblijd zouden moeten worden ?

# postqueue -p
-Queue ID- --Size-- ----Arrival Time---- -Sender/Recipient-------
2954B56C086 2844 Fri Sep 18 05:34:09 MAILER-DAEMON
(connect to mail2.e-mg.co.za[152.111.116.136]: Connection timed
12DDE56C25A 8017 Sun Sep 20 13:00:50 MAILER-DAEMON
(connect to deactivatedon.com[216.8.179.24]: Connection timed
10A0D56C222 2772 Sat Sep 19 22:05:18 MAILER-DAEMON
(connect to lurker.csiro.au[150.229.2.80]: Connection timed
1641D56C10D 5487 Fri Sep 18 22:28:02 MAILER-DAEMON
(connect to ppp-61-90-103-110.revip.asianet.co.th[61.90.103.110]: Connection
timed out)
...

Post by Fred Mobach
Het lijkt me het handigst als je op de aanwezigheid van een mailbox
controleert voordat je een bericht aanneemt. Bestaat de mailbox niet,
dan kun je de TCP sessie met een foutcode / -melding (5xx no such user
here o.i.d.) termineren.

Na wat onderzoek en de tip van Koos heb ik nu in main.cf onder meer het
smtpd_recipient_restrictions =
permit_sasl_authenticated,
permit_mynetworks,
reject_unauth_destination
reject_non_fqdn_sender
reject_unlisted_recipient
reject_unlisted_sender
De laatste drie regels zijn nieuw toegevoegd, maar lijken het probleem niet
# postqueue -p
-Queue ID- --Size-- ----Arrival Time---- -Sender/Recipient-------
849FD56C086 3998 Tue Sep 22 20:36:40 MAILER-DAEMON
(connect to grey-area.mailhostingserver.com[67.15.149.233]: Connection
timed out)
B1E0C56C06C 4694 Tue Sep 22 20:28:52 MAILER-DAEMON
(connect to mail.roverworx.com[207.44.162.36]: Connection
refused)
0B0CD56C082 2768 Tue Sep 22 20:30:03 MAILER-DAEMON
(host hermes.digi.com.br[201.76.144.99] said: 450 4.7.1
<hedgehog.linetec.nl>: Helo command rejected: Host not found (in reply to
RCPT TO command))
-- 11 Kbytes in 3 Requests.
Hoe kan ik die controle uitvoeren vóór het aannemen van een bericht?

Dit is wat ik gebruik:

---------
smtpd_recipient_restrictions =
check_sender_access hash:/etc/postfix/whitelist,
permit_mynetworks,
permit_sasl_authenticated,
reject_invalid_hostname,
reject_non_fqdn_sender,
reject_non_fqdn_recipient,
reject_unknown_sender_domain,
reject_unknown_recipient_domain,
reject_unauth_pipelining,
reject_unauth_destination,
check_policy_service unix:private/shadelist,
reject_rbl_client bl.spamcop.net,
reject_rbl_client dnsbl.njabl.org,
reject_rbl_client zen.spamhaus.org,
reject_rbl_client cbl.abuseat.org,
permit
---------

De regels waarin "whitelist" en "shadelist" staan werken niet zomaar en
kun je in eerste instantie weglaten. De whitelist is om bepaalde IP's
door te laten, ook staan ze in een blacklist. Shadelist gebruik ik als
whitelist voor belangerijke IP's die ik nooit geblacklist wil hebben,
het is een DNS lijst die door Bit wordt gemaakt.

Berichten die niet mogen worden onmiddelijk geweigerd, er wordt dus geen
mail teruggestuurd.

Met vriendelijke groet,
Paul van der Vlis.

[Richard Rasker]

Post by Paul van der Vlis

Post by Richard Rasker
Na wat onderzoek en de tip van Koos heb ik nu in main.cf onder meer het
smtpd_recipient_restrictions =
permit_sasl_authenticated,
permit_mynetworks,
reject_unauth_destination
reject_non_fqdn_sender
reject_unlisted_recipient
reject_unlisted_sender
De laatste drie regels zijn nieuw toegevoegd, maar lijken het probleem
niet op te lossen

...

Post by Paul van der Vlis

Post by Richard Rasker
Hoe kan ik die controle uitvoeren vóór het aannemen van een bericht?

---------
smtpd_recipient_restrictions =
check_sender_access hash:/etc/postfix/whitelist,
permit_mynetworks,
permit_sasl_authenticated,
reject_invalid_hostname,
reject_non_fqdn_sender,
reject_non_fqdn_recipient,
reject_unknown_sender_domain,
reject_unknown_recipient_domain,
reject_unauth_pipelining,
reject_unauth_destination,
check_policy_service unix:private/shadelist,
reject_rbl_client bl.spamcop.net,
reject_rbl_client dnsbl.njabl.org,
reject_rbl_client zen.spamhaus.org,
reject_rbl_client cbl.abuseat.org,
permit
---------
De regels waarin "whitelist" en "shadelist" staan werken niet zomaar en
kun je in eerste instantie weglaten. De whitelist is om bepaalde IP's
door te laten, ook staan ze in een blacklist. Shadelist gebruik ik als
whitelist voor belangerijke IP's die ik nooit geblacklist wil hebben,
het is een DNS lijst die door Bit wordt gemaakt.
Berichten die niet mogen worden onmiddelijk geweigerd, er wordt dus geen
mail teruggestuurd.

OK, ik heb deze configuratie overgenomen (afgezien dan van de whitelist en
shadelist), en de eerste resultaten zijn bemoedigend -- er wordt al (na een
half uur) aanzienlijk meer rommel aan de poort geweigerd, mede ook dankzij
de blacklist-checks.

Mijn dank!

Richard Rasker

[Paul van der Vlis]

Post by Richard Rasker

Post by Paul van der Vlis

Post by Richard Rasker
Na wat onderzoek en de tip van Koos heb ik nu in main.cf onder meer het
smtpd_recipient_restrictions =
permit_sasl_authenticated,
permit_mynetworks,
reject_unauth_destination
reject_non_fqdn_sender
reject_unlisted_recipient
reject_unlisted_sender
De laatste drie regels zijn nieuw toegevoegd, maar lijken het probleem
niet op te lossen

...

Post by Paul van der Vlis

Post by Richard Rasker
Hoe kan ik die controle uitvoeren vóór het aannemen van een bericht?

---------
smtpd_recipient_restrictions =
check_sender_access hash:/etc/postfix/whitelist,
permit_mynetworks,
permit_sasl_authenticated,
reject_invalid_hostname,
reject_non_fqdn_sender,
reject_non_fqdn_recipient,
reject_unknown_sender_domain,
reject_unknown_recipient_domain,
reject_unauth_pipelining,
reject_unauth_destination,
check_policy_service unix:private/shadelist,
reject_rbl_client bl.spamcop.net,
reject_rbl_client dnsbl.njabl.org,
reject_rbl_client zen.spamhaus.org,
reject_rbl_client cbl.abuseat.org,
permit
---------
De regels waarin "whitelist" en "shadelist" staan werken niet zomaar en
kun je in eerste instantie weglaten. De whitelist is om bepaalde IP's
door te laten, ook staan ze in een blacklist. Shadelist gebruik ik als
whitelist voor belangerijke IP's die ik nooit geblacklist wil hebben,
het is een DNS lijst die door Bit wordt gemaakt.
Berichten die niet mogen worden onmiddelijk geweigerd, er wordt dus geen
mail teruggestuurd.

OK, ik heb deze configuratie overgenomen (afgezien dan van de whitelist en
shadelist), en de eerste resultaten zijn bemoedigend -- er wordt al (na een
half uur) aanzienlijk meer rommel aan de poort geweigerd, mede ook dankzij
de blacklist-checks.

Wellicht is ook de regel met sasl_authenticated niet nodig. ik gebruik
dat voor authenticated SMTP, bijvoorbeeld voor laptops die onderweg
zijn. Eventueel kan ik uitleggen hoe het moet, het heeft mij veel moeite
gekost.

Die whitelist is heel handig maar niet vaak nodig, gewoon een bestand
/etc/postfix/whitelist aanmaken, zoiets:
-----------
# whitelist
#
# postmap /etc/postfix/whitelist
# een IP werkt volgens mij niet, gebruik een naam!
#
brinbox-super.test.local OK
mail.hallo24.nl OK
---------
En dan dus "postmap /etc/postfix/whitelist" draaien.


Om de shadelist te kunnen gebruiken zet ik dit aan het eind van master.cf:
---------
shadelist unix - n n - - spawn
user=nobody argv=/usr/bin/perl /usr/local/bin/shadelist.pl -nd -w
nlwhitelist.dnsbl.bit.nl
--------
(laatste 2 regels moeten op 1 regel).

Verder moet je dus het script shadelist.pl hebben, dat kun je hier
downloaden: http://www.skopos.be/downloads/postfix/shadelist.html

Eigenlijk wil ik overigens wel van shadelist af, mocht je wat beters
vinden voor een whitelisting DNS dan hoor ik dat graag. Postfix kan dat
namelijk niet zelf volgens mij. Een optie lijkt me om die Bit list te
downloaden, maar ik weet nog niet hoe.


Met vriendelijke groet,
Paul van der Vlis.

[Maurice Janssen]

Post by Richard Rasker
Al geruime tijd zie ik in de logbestanden van mijn mailserver een hoop van dit

<knip>

Post by Richard Rasker
Kennelijk wordt mijn mailserver op een of andere manier misbruikt om spam aan
te bieden aan andere servers. Bijgevolg is mijn server zo te zien ook
http://www.mail-abuse.com/cgi-bin/lookup?ip_address=92.254.53.208

Of je spam doorstuurt weet ik niet, maar aan die blacklist moet je niet
te veel waarde toekennen. Dat is een zogenaamde dial-up list; vroeger
een lijst van IP's van inbel-verbindingen, tegenwoordig ook van ADSL/kabel
verbindingen. Kortom: als je als policy hebt om geen mail van consumenten-
aansluitingen aan te nemen, dan kun je die lijst gebruiken.
Maar het zegt helemaal niets over het al dan niet versturen van spam via
jouw IP-adres.
Waarschijnlijk staat het hele blok IP-adressen om je heen er ook op.

Post by Richard Rasker
Toch geven alle relay-tests aan dat de server in ieder geval geen open relay
vormt. Nu had ik enige tijd geleden al uitgezocht dat dit te maken heeft met
iets van 'mail bounce', maar het fijne is me even ontgaan -- en ook ben ik er
nog niet uit wat ik hier precies aan kan doen (ik zou me nog steeds eens
verder moeten verdiepen in mailservers, maar kom er telkens niet aan toe).
Kortom: enige uitleg en/of tips zijn erg welkom!

Voor wat betreft die 'mail bounce': neem je wellicht mail aan voor alles
binnen je domein, wat dan een stap later bouncet omdat ***@linetec.nl
niet bestaat? Als de mail dan een valse afzender heeft, krijgt die de
bounce op z'n dak. Dat is inderdaad wel een manier om op blacklists te
komen.

[Richard Rasker]

Post by Maurice Janssen

Post by Richard Rasker
Al geruime tijd zie ik in de logbestanden van mijn mailserver een hoop van

<knip>

Post by Richard Rasker
Kennelijk wordt mijn mailserver op een of andere manier misbruikt om spam
aan te bieden aan andere servers. Bijgevolg is mijn server zo te zien ook
http://www.mail-abuse.com/cgi-bin/lookup?ip_address=92.254.53.208

Of je spam doorstuurt weet ik niet, maar aan die blacklist moet je niet
te veel waarde toekennen.

...

Post by Maurice Janssen
Waarschijnlijk staat het hele blok IP-adressen om je heen er ook op.

Dat lijkt inderdaad het geval te zijn.

...

Post by Maurice Janssen
Voor wat betreft die 'mail bounce': neem je wellicht mail aan voor alles
niet bestaat? Als de mail dan een valse afzender heeft, krijgt die de
bounce op z'n dak. Dat is inderdaad wel een manier om op blacklists te
komen.

Hm, zoals al gezegd moet ik me toch eens wat meer verdiepen in mailservers,
want ik weet eerlijk gezegd niet precies wat op welk moment gebeurt. Hier
is in ieder geval mijn main.cf te vinden:
http://www.linetec.nl/linux/main.cf



Richard Rasker

[Koos van den Hout]

Post by Richard Rasker
Al geruime tijd zie ik in de logbestanden van mijn mailserver een hoop van dit
Sep 22 13:17:39 hedgehog postfix/smtp[2828]: connect to exchange.anderol.com[199.184.166.16]: No route to host (port 25)
Toch geven alle relay-tests aan dat de server in ieder geval geen open relay
vormt. Nu had ik enige tijd geleden al uitgezocht dat dit te maken heeft met
iets van 'mail bounce', maar het fijne is me even ontgaan -- en ook ben ik er
nog niet uit wat ik hier precies aan kan doen (ik zou me nog steeds eens
verder moeten verdiepen in mailservers, maar kom er telkens niet aan toe).
Kortom: enige uitleg en/of tips zijn erg welkom!

Ik zie aan je esmtp banner dat je postfix draait. Recent kwam ik ergens een
postfix installatie tegen die relatief veel bounces veroorzaakte omdat
postfix wel diverse keren een upgrade had gehad maar de config niet, en de
betekenis van virtual_domains en virtual_alias_domains subtiel verschillend
zijn. Het gevolg van het gebruik van 'virtual_mailbox_domains" was dat
mail voor alle virtual domains altijd aangepakt werd en vervolgens pas
bounces opleverde. Aangepast naar 'virtual_alias_domains' en ineens werd er
in de esmtp fase al geroepen dat iets niet bestond.

Maar misschien is het in jouw postfix config een ander, vergelijkbaar,
item. Let ook op:

smtpd_reject_unlisted_recipient (default: yes)
Request that the Postfix SMTP server rejects mail for unknown
recipient
addresses, even when no explicit reject_unlisted_recipient
access
restriction is specified. This prevents the Postfix queue from
filling
up with undeliverable MAILER-DAEMON messages.

Koos