Аспро: ЛайтШоп [тема: Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов]

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Tue, 19 May 2020 10:26:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
По трем письмам, где ты присылал мне логи — соединение пришло с IP-адреса, который не входит в SPF-запись для домена отправителя. SPF работает только в том случае, если в записи явно указан допустимый IP — если положительного результата нет, применяется серый список (greylisting). Если в записи есть жесткий отказ (hard-fail), письмо отклоняется. Надеюсь, это поможет!
19.05.2020 10:26:00, Stoiko Ivanov.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Mon, 18 May 2020 12:24:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Мне нужны логи нескольких таких писем, а также вывод команды `pmgconfig dump`. Вы можете отправить их на почту s.ivanov _at_ proxmox.com.
18.05.2020 12:24:00, Stoiko Ivanov.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Mon, 18 May 2020 11:53:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Я быстро проверил, и большая часть писем из серого списка приходит с домена с правильной SPF-записью. Если хочешь, могу в личку прислать некоторые домены.
18.05.2020 11:53:00, Stefano Giunchi.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Mon, 18 May 2020 11:42:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Странно — не мог бы ты прислать лог письма с домена, у которого правильно настроена SPF-запись, но которое попало в серый список?
18.05.2020 11:42:00, Stoiko Ivanov.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Mon, 18 May 2020 11:42:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Я использую https://github.com/0xbharath/assets-from-spf для полуавтоматических (рекурсивных) проверок:
Код:
assets-from-spf$ python3 ./assets_from_spf.py outlook.com
spf-a.outlook.com
spf-b.outlook.com
157.55.9.128/25
spf.protection.outlook.com
spf-a.hotmail.com
_spf-ssg-b.microsoft.com
_spf-ssg-c.microsoft.com

assets-from-spf$ python3 ./assets_from_spf.py spf.protection.outlook.com
40.92.0.0/15
40.107.0.0/16
52.100.0.0/14
104.47.0.0/17
2a01:111:f400::/48
2a01:111:f403::/48
spfd.protection.outlook.com

git/assets-from-spf$ python3 ./assets_from_spf.py spfd.protection.outlook.com
51.4.72.0/24
51.5.72.0/24
51.5.80.0/27
51.4.80.0/27
2a01:4180:4051:0800::/64
2a01:4180:4050:0800::/64
2a01:4180:4051:0400::/64
2a01:4180:4050:0400::/64

Но я не хочу поддерживать белый список вручную или с помощью кастомных скриптов.
18.05.2020 11:42:00, some-admins.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Mon, 18 May 2020 11:40:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Ручное редактирование белого списка грейлистинга — это еще хуже. У меня уже включена проверка SPF, но насколько я знаю, она не работает с грейлистингом. SPF показывает, может ли сервер отправлять почту от имени этого домена ВООБЩЕ (или выносит плохую оценку, если SPF помечен как "~", а не "-"). Грейлистинг блокирует первое подключение серверов, разрешённых SPF, и принимает сервер при следующей попытке (или для более широкого диапазона, к которому принадлежит сервер, начиная с PMG 6.2). Может, я и ошибаюсь, но, по-моему, корректная SPF-запись не отключает грейлистинг для домена.
18.05.2020 11:40:00, Stefano Giunchi.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Mon, 18 May 2020 11:40:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Как насчёт ежедневной проверки указанных доменов?
18.05.2020 11:40:00, some-admins.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Mon, 18 May 2020 11:27:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Единственная проблема, которую я вижу в этом, заключается в том, что крупные облачные провайдеры (например, Google, Office 365) довольно часто добавляют и удаляют диапазоны IP-адресов, а кэширование результата SPF для конкретного домена на всё время работы PMG кажется не самым удачным решением.
* Почему бы просто не включить функцию использования SPF? (все домены, использующие Office 365, должны добавить их в свою SPF-запись, чтобы это работало)
* всегда можно внести в белый список те домены, у которых нет корректной SPF-записи
* правильная SPF-запись отключает greylisting для домена

Надеюсь, это поможет!
18.05.2020 11:27:00, Stoiko Ivanov.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Mon, 18 May 2020 10:54:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Из-за protection.outlook.com нам нужно добавить:
* 40.92.0.0/15
* 40.107.0.0/16
* 52.100.0.0/14
* 104.47.0.0/17
* 51.4.72.0/24
* 51.5.72.0/24
* 51.5.80.0/27
* 51.4.80.0/27

Было бы здорово сделать это одной записью.
18.05.2020 10:54:00, some-admins.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Mon, 18 May 2020 10:52:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Новая настройка размера сети, безусловно, помогает, но проблему это не решает. Серверы Google или Office365 находятся в широких, раздельных сетевых диапазонах. Все эти диапазоны прописаны в SPF-записях и обновляются владельцами серверов-отправителей. Я думаю, что обновление серой списка путём получения данных из SPF-записи недавно подключившегося сервера было бы и элегантным, и действенным решением. Конечно, это всего лишь предложение, возможно, есть проблемы, которые я не учитываю. Например, спамер может использовать настоящую SPF-запись, фактически занося всех своих серверов в белый список...
18.05.2020 10:52:00, Stefano Giunchi.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Mon, 18 May 2020 10:36:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
В PMG 6.2 вы можете настроить размер сети, для которой активен greylisting (раньше считалось, что IP-адреса из одного /24 похожи, теперь можно задать большее значение, например /19). Посмотрите в GUI -> Configuration -> Mail Proxy -> Options -> Netmask for Greylisting — возможно, это решит вашу проблему!
18.05.2020 10:36:00, Stoiko Ivanov.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Mon, 18 May 2020 10:27:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Мы бы тоже хотели иметь такую функцию. Как мы можем отслеживать этот запрос?
18.05.2020 10:27:00, some-admins.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Mon, 06 Apr 2020 14:29:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Я думаю, это для обычного использования SPF, а не для внесения в белый список IP-адресов, которые можно получить из SPF. Все внешние серверы, даже с правильной записью SPF, попадают в серый список. Это нормально. Мое предложение — добавить здесь «IP-адреса из SPF домена (отправителя)»: При добавлении домена таким способом, будут получены все IP-хосты и сети из SPF и добавлены в белый список. Используя это для одного домена с серверами o365, я фактически внесу в белый список все сервера o365, и мне не придется делать это для каждого домена, который их использует. Если я не ошибаюсь, создам запрос на доработку в Bugzilla.
06.04.2020 14:29:00, Stefano Giunchi.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Mon, 06 Apr 2020 10:32:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
С первого взгляда это должно работать, если у вас включена опция «Use SPF» в GUI->Configuration->Mail Proxy->Options. Если это у вас не работает, пожалуйста, опубликуйте логи письма, которое должно приходить с IP из SPF-записи, но было отклонено или помечено серым списком. Спасибо.
06.04.2020 10:32:00, Stoiko Ivanov.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Sun, 05 Apr 2020 16:26:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
По мере того как всё больше компаний переходят на office365, gsuite и другие большие облачные сервисы, серое занесение в чёрный список становится всё более проблематичным. Могу предложить функцию для получения белого списка IP-адресов из SPF домена отправителя?
05.04.2020 16:26:00, Stefano Giunchi.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Wed, 20 May 2020 17:45:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Ты совершенно прав. Письма, попадающие в серый список, либо без SPF, либо с неправильным SPF. Спасибо, что уделил время, чтобы меня убедить, Stefano.
20.05.2020 17:45:00, Stefano Giunchi.

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов

Wed, 11 Mar 2020 11:44:00 +0300

Проблема серой фильтрации с отправителями из широкого диапазона IP-адресов Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Привет! Я заметил, что если у отправителя большой диапазон исходящих SMTP-серверов, и письма каждый раз отправляются с случайного IP из этого диапазона, то такие письма часто не доходят из-за серого списка. Письма с Outlook, размещённого на собственном домене, вызывают эту ошибку. Ниже приведены записи из лога, которые это показывают:

Код:
Mar 11 09:28:36 pmg postfix/smtpd[7562]: NOQUEUE: reject: RCPT from mail-db8eur05on2122.outbound.protection.outlook.com[40.107.20.122]: 450 4.7.1 : Recipient address rejected: Service is unavailable (try later); from= to= proto=ESMTP helo=
Mar 11 09:44:28 pmg postfix/smtpd[7730]: NOQUEUE: reject: RCPT from mail-eopbgr20138.outbound.protection.outlook.com[40.107.2.138]: 450 4.7.1 : Recipient address rejected: Service is unavailable (try later); from= to= proto=ESMTP helo=
Mar 11 10:02:53 pmg postfix/smtpd[7728]: NOQUEUE: reject: RCPT from mail-eopbgr40093.outbound.protection.outlook.com[40.107.4.93]: 450 4.7.1 : Recipient address rejected: Service is unavailable (try later); from= to= proto=ESMTP helo=
Mar 11 10:32:06 pmg postfix/smtpd[7726]: NOQUEUE: reject: RCPT from mail-eopbgr30112.outbound.protection.outlook.com[40.107.3.112]: 450 4.7.1 : Recipient address rejected: Service is unavailable (try later); from= to= proto=ESMTP helo=

Поэтому было бы здорово добавить возможность настроить шаблон "домена сервера-отправителя", например *.outbound.protection.outlook.com, чтобы вносить его в белый список серого списка. Возможно ли это через Mail filter? Я не могу найти подходящую опцию.

Спасибо за помощь!
11.03.2020 11:44:00, sandor.