Newsgroup: it.comp.appl.notes-domino
Titolo: Il mio server finisce in blacklist!

Da qualche settimana sto avendo un problema a cui non riesco ad arrivare a 
capo: di tanto in tanto, l'ip del mio server Domino finisce in una qualche 
blacklist mondiale, e non ne capisco la ragione.
La situazione attualmente e' questa:
http://www.dnsstuff.com/tools/ip4r.ch?&ip=87.241.13.68
Dai (non molti, viste le mie per ora limitate conoscenze in merito) 
controlli che ho fatto non sono riuscito a trovare nessuna risposta. Il 
server attualmente gira su una macchina Win 2003, la rete e' protetta da 
IPCop e nel NAT apro solo la 80, la 110 e la 143. Oltre alla 1352 per 
Domino e la 1723 per la VPN.
Ho provato a fare delle scenzioni con Ethereal ma pure qui non ho avuto 
fortuna. Ma credo che cio' dipenda dalla mia scarsa conoscenza di 
Ethereal/Wireshark.
Mi potete dare qualche consiglio, per favore? Magari anche un qualche 
modulo aggiuntivo per IPCop, in modo da implementare una prima protezione 
antivirus/antispam
-- 
 Cristian Castellari - 
www.skyflash.it
 XBox Live TAG: Wiitiful Sky
 Wii TAG: 2634 4285 3158 4638

 protezione antivirus/antispam
Chiudi la 25 ai client e se puoi fai in modo che il mail server esca con un 
indirizzo diverso, sul quale registrerai rDNS e record 'a' di conseguenza. 
Elimina prima la fonte dello spamming e poi chiedi di essere rimosso dalle 
liste di spamcop che durano di solito 24 ore, su uce invece il remove è 
automatico dopo 7 giorni.
-- 
Michele.

 indirizzo diverso, sul quale registrerai rDNS e record 'a' di conseguenza. 
Il reverse DNS gia' c'e' sull'IP attuale. Posso provare a creare un alias 
ip in IPCop, anche se e' una cosa che non ho mai fatto.


 alias ip in IPCop, anche se e' una cosa che non ho mai fatto.
Se non hai troppi pc prova a bloccare semplicemente la 25 in uscita, 
probabile che tu risolva momentaneamente. 
-- 
Michele.

 
Precisooooooooooooooooo

 Non è che per caso, banalmente, la tua macchina è un OpenRelay?
Ups, non avevo pensato ad un'eventualità così drastica :D
Nel caso per il nostro amico uitiful scai c'e' un bel test 
http://www.abuse.net/relay.html
 che chiarisce ogni dubbio. 
-- 
Michele.

 mandi un uscita la 25 se hai un Mail Server?
Si, infatti faro' cosi' :)


 pubblico, e non apro la 25 dall'esterno.
Se il mail server riceve e spedisce posta all'esterno alle spalle del 
nat, significa che la porta e' aperta sia in entrata che in uscita 
almeno per l'ip interno del server, per cui se non hai messo delle 
regole anti-OpenRelay il tuo server *e'* OpenRelay, il nat non ci puo' 
fare niente.
-- 
Dr.Ugo Gagliardelli,Modena,ItalyCertifiedUindoscrasherAñejoAlcoolInside
Spaccamaroni andate a cagare/Spammers not welcome/Spammers vão à merda
Spamers iros a la mierda/Spamers allez vous faire foutre/Spammers loop
schijten/Spammers macht Euch vom Acker/Spamerzy wypierdalac'

 nat, significa che la porta e' aperta sia in entrata che in uscita 
Il server spedisce, ma non riceve direttamente. Ho un'altra macchina che va 
a fare fetch delle caselle tramite POP3 ogni 5 minuti presso il mio 
provider di posta.


 
Per cui nel record MX del tuo DNS pubblico, c'e' il tuo indirizzo IP o 
quello del provider?
Se c'e' quello del provider, e non il tuo, succede che che non si vuole 
ricevere posta da un indirizzo non associato ad un record MX, per cui 
vai sulla black-list. Dovresti piuttosto utilizzare il tuo provider come 
mail-relay.


 quello del provider?
Quello del provider. Pero' il mio ip e' registrato correttamente come 
reverse dns (visto che e' cmq in previsione di prendermi gli MX "in casa") 
per cui da questo punto di vista sono a posto.
In pratica, il mio mail server posta al mondo con un reverse dns corretto e 
qualificato.


 
Che non e' la stessa cosa.
nel record MX ci deve essere il nome del mail server (magari a bassa 
priorita') che deve coincidere con cio' che risulta da una richiesta 
reverse al dns. Altrimenti viene considerato un mail server  abusivo.


 reverse al dns. Altrimenti viene considerato un mail server  abusivo.
Su questo non sono daccordo, io potrei avere il server in entrata sull'mx 
ed il server in uscita no, non vedo il problema.
La cosa importante è l'indirizzo ip statico ed il reverse dns registrato 
correttamente sul server in uscita.
Secondo me il problema principale è l'ip in uscita uguale a quello dei 
client...
-- 
Michele.

 ed il server in uscita no, non vedo il problema.
Infatti dal punto di vista del server non ci sono problemi.
I problemi nascono quando qualcuno che riceve la posta voglia 
controllare che l'indirizzo IP compaia in un record MX. E' una regola 
come tante per minimizzare lo spam.


 come tante per minimizzare lo spam.
Certo, ma intendevo dire che non credo che sia specificato negli standard 
rfc, che il server in uscita debba per forza comparire nel record mx. 
Purtroppo risulta molto restrittivo e può portare problemi anche solo 
controllare che il dominio del mittente esista.
Io sto ottenendo buoni risultati usando in combinazione 3 bl
e postgrey, prima di spamassassin. Diciamo che un buon 80% di mail 
indesiderate si fermano fuori dal server, il resto viene bloccato da sa e 
passa davvero pochissimo per ora.
-- 
Michele.

 controllare che il dominio del mittente esista.
No, non e' standard, ma con il volume di spam attuale, viene adottato 
sempre piu' di frequente.
