Newsgroup: it.news.net-abuse
Titolo: e' corretto il filtro su HELO?

Salve,
Uso postfix come smtp per un server mail.
Il server e' pubblico.
Tra i vari filtri per evitare lo spam ho un controllo sugli HELO.
Se il mio dominio e' 
miaazienda.it
, rigetto tutte le connesioni al mio serve
smtp il cui HELO sia 
miaazienda.it
.
Un client esterno al mio dominio non puo' mandare un HELO dicendo sono
miaazienda.it
.
E' corretto il ragionamento?
Il dubbio deriva dal fatto che alcuni client di utenti conosciuti, e che
quindi non sono spemmers, non riescono ad inviarmi posta proprio perche'
vengono rigettati in seguito al quel HELO, percio' ora non so se il filtro
e' corretto oppure ho fatto una cavolata.
Grazie.


Quel filtro č perfetto, purchč sia applicato a connessioni in *ingresso* 
(ovvero dirette al server in quanto MX, e pertanto provenienti da server 
SMTP).
Non va bene se la applichi anche ai client che cerchino di usare la 
macchina come relay, in quanto ci sono alcuni client che usano come helo 
il dominio del mittente per conto del quale inviano posta (netscape?).
Pertanto devi assicurarti che i vari permit_mynetworks, 
permit_sasl_authenticated, ecc. lascino passare questi client *prima* 
dell'applicazione del filtro su helo.
Bye


Cosa dovrei fare?

 filtraggio dell'helo.
In realtą č piuttosto utile, sopratutto per i molti virus che tendono a 
presentarsi in quel modo e normalmente non dovrebbe creare falsi 
positivi: una macchina dovrebbe presentarsi con helo 
miaazienda.it
 
solamente se quello č il suo hostname.
Nel caso, puoi prevedere un whitelisting per-IP prima dell'applicazione 
del check su helo, per escludere gli IP "leciti" che risultino 
incocciare nel filtro per ragioni balenghe...

 Cosa dovrei fare?
regione.XXX.it
 ??? AARGG!!!
è un ente pubblico ?
Non credo, visto l'IP.
Io farei il talebano e non accetterei quelle email.
E' veramente strano che provengano in quel modo.
Max

CtRiX wrote:

Infatti lo trovo strano anche'io, come potrei eseguire delle analisi piu'
approfondite sul mio server mail per cercare di capire un po meglio da dove
provengono queste mail e perche' si prensentano con il nome della mia
azienda?
Inoltre, mi scuso per l'ignoranza, sarebbe possibile monitorizzare lo
scambio di messaggi che avviene tra i due server?

 ovviamente
[..]
Quotando le statistiche postate da D'Itri quel filtro elimina il 2,65% dei 
tentativi di connessione al server
->   859760 58.72% Bad HELO
Rejected HELO commands:
   650408 75.65% fake IP literal in HELO hostname
   165204 19.22% unqualified HELO hostname
->  38866  4.52% using my own HELO hostname
     4042  0.47% Invalid name
     1240  0.14% forged HELO hostname
In questo 2,65% sono compresi anche mittenti del tutto legittimi come nel 
tuo caso.
Vedi te in base ai tuoi log se il gioco vale la candela o se puoi inserire 
qualche regola che escluda il test su helo se proveniente da trusted hosts. 

 scambio di messaggi che avviene tra i due server?
tcpdump ?
(l'altro non è un server)
Max

 hosts.
Comunque come regola generale non dovrebbero presentarsi col nome della mia
azienda, pertanto il problema e' tutto loro non mio, giusto?

 quindi in caso di problemi ti contattano.
E infatti mi hanno contattato dicendo che non riescono a mandarci mail :-(


E tu chiedigli perche' hanno i client o il server che si presenta con lo
stesso nome del tuo dominio come helo.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 azienda, pertanto il problema e' tutto loro non mio, giusto?
Se non ricordo male (c'era stata una discussione sul tema "Libero e helo" 
qualche tempo fa) la RFC 2821 impone la specifica del FQDN o, in sua 
mancanza (nel caso di IP dinamici, ma tu penso escludi di ricevere posta da 
questo tipo di indirizzi) il client _dovrebbe_  fornire il suo address 
literal.
Per client piu' datati si ricade nella RFC 821 che richiede l'indicazione 
del solo host name.
In base a tali considerazioni, se non erro, l'indicazione nell' EHLO o HELO 
del domain name del server non e' corretta e puo' essere rifiutata.
http://www.faqs.org/rfcs/rfc2821.html
http://www.faqs.org/rfcs/rfc821.html
 

 Quell'IP io lo risolvo in 
82-168-59-1.dsl.ip.tiscali.nl
.
non e' quello reale, lo avevo alterato.
quello reale risolve in 
host1-39.pool82187.interbusiness.it
.


Non e' quello il mail che intendono.  Quello e' un virus  (ma perche'
hai cambiato l'IP prima di postare? 82.168.59.1 non e' certo di 
Telecom Italia. Se usavi quello originale si vedeva se era un
dinamico o una assegnazione a un ente pubblico).
Fatti dare mittente, destinatario e ora approssimativa di spedizione,
e rintraccia il vero messaggio bloccato nei logs, che non e' quello.
furio


E' in CBL da 3 giorni: 
http://cbl.abuseat.org/lookup.cgi?ip=82.187.39.1
Infettato, al 100%.  
furio


Come ha detto Skull, ci sono dei casi in cui l'HELO uguale al 'nome di
dominio' è legittimo (confermo usando Netscape). Ti consiglio a questo
punto di non filtrare "
miaazienda.it
", ma di filtrare solamente
"
MX.miaazienda.it
" (es io filtro 
mail.onenet.it
), nonché gli HELO uguali
all'IP del tuo mail server (anche quelli di back-up) o di altri tuoi server.
Invece usa le black-list per i dinamici o i "trojanizzati" che si
collegano direttamente.
Gabriele

 sai che e' infettato?
CBL elenca solo macchine abusate:
" The CBL takes its source data from very large spamtraps, and only
lists IPs exhibiting characteristics which are specific to open proxies
of various sorts (HTTP, socks, AnalogX, wingate etc) which have been
abused to send spam, worms/viruses that do their own direct mail
transmission, or some types of trojan-horse or "stealth" spamware,
without doing open proxy tests of any kind. "
Gabriele

 Gabriele
Ma i filtri dovrebbero essere *dopo* l'autenticazione, quindi la cosa 
migliore è prima autenticare con sasl o altro, poi, se il client non è 
autenticato, passare ai filtri
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Noi lo chiamiamo `Colorado' perche' e' daltonico.  E' daltonico persino
coi numeri: non distingue i pari dai dispari!
		-- Francesco Salvi

 autenticato, passare ai filtri
Oddio, immagino che ciò dipenda anche da che programma usi per il server
di posta.
Uno può anche voler controllare ciò che arriva dai clienti autenticati,
ad esempio, e quindi il filtro viene prima di tutto.
Al contrario può anche darsi che se il cliente invece della porta 25 usa
la 587, passa indenne.
Io dicevo solo che, autenticazione o meno, filtrare '
nomedominio.it
'
porta a dei problemi, mentre '
mail.nomedominio.it
' non ha
controindicazioni, così come bloccare chiunque si presenti con i tuoi IP
in HELO (se non hai sul server di posta qualche altro sw che invia posta
senza passare dal sw del server stesso, tipo notifiche automatiche
dell'UPS o altra roba simile).
Gabriele