Newsgroup: it.comp.os.linux.sys
Titolo: Aiuto... sono in blacklist!!!!

Non riuscendo da un paio di giorni a mandare email ad un mio fornitore 
guardo nei log del mio qmail e trovo:
Remote_host_said:_451_Listed_in_PSBL,_see_
http://psbl.surriel.com/listing?ip=85.43.42.243
Il mio ip blacklistato da 
psbl.surriel.com
 !
Guardate il motivio:
http://psbl.surriel.com/evidence?ip=85.43.42.243&action=Check+evidence
Ora, mi spiegate come e' possibile, tenendo presente che:
1) Il mio qmail e' super blindato, figuriamoci poi un banale open-relay, non 
e' questo il caso.
2) Grarantisco che dai log questa email non e' MAI partita da qui.

 whitelist.
Ok, ho fatto!
Solo che volevo sapere come e' potuto succedere! 

 interbusiness? comunque, appoggiarsi _solo_ a blacklist e' una cagata.
Francamente, questa uscita è tecnicamente una boutade che ti potevi
tranquillamente risparmiare...
-- 
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.

 2) Grarantisco che dai log questa email non e' MAI partita da qui.
Hai l'IP di qmail usato anche per il NAT della LAN, e la porta 25 non è
bloccata per quest'ultime.
Una delle macchine interne è trojanizzata e, uscendo in directo-to-mx, è
 libera di spammare il mondo.
Questo è lo scenario classico.
Blocca la 25 per le macchine diverse dal mailserver o, se proprio non
puoi, NATta il mailserver e la LAN con IP distinti, in modo che buchi
sulla LAN non impattano sull'IP da cui la posta lecita deve uscire.


 Davide
Sono d'accordo, appoggirsi solo alle Blacklist è una Grande Cagata.
                                -- Yena -- 

 di sti problemi, però lo scenario tipo non è questo.
Per cortesia, contestualizziamo: 'sta frase non ha senso.
Una *DNSBL* (SBL è *una* DNSBL, gestita da una entità ben precisa, e con
determinate policies) è solamente un metodo di interrogazione che
fornisce informazioni sulla presenza o meno di un indirizzo IP in un
database. Nulla di più.
Quindi, quello che è significativo, non è il fatto che si usi una DNSBL
(e per questa ragione ritengo che l'affermazione di Davide è una
vaccata, detta così "secca"), quanto le *policies* che comportano
l'inserimento in una DNSBL, e il come la si utilizza, ovvero che l'uso
che se ne fa sia conforme alle policies che si vogliono imporre.
Fine.
Ci sono DNSBL che listano IP di macchine trojanizzate, che listano proxy
aperti, che listano allocazioni di IP assegnate a spammer noti, che
listano IP allocati dinamicamente....
Ci sono DNSBL che listano tutti gli IP che stanno in Corea, oppure tutti
quelli che stanno in Svizzera, o tutti quelli che stanno in Italia...
Ci sono DNSBL che listano server di posta noti, quanto a quello...
Peraltro, nessuno mi vieta di pubblicare anche io una DNSBL che contenga
0.0.0.0/0
.
Quindi, di cosa stiamo parlando? Ma soprattutto, usato *da chi* e per
fare *cosa*?


 utilizzando alcune poche, selette e affidabili BL
Seleche?
See you,	
	Silver Drake
-- 
RADIO HELL - HELL FORCE ONE
Scaricalo da 
http://www.radiohell.it
 
o ascoltalo su 
http://www.myspace.com/rh666
 
Blog (in italiano) 
http://www.radiohell.it/blog/ita.html

 fare *cosa*?
Parliamo di uno strumento che mette a disposizione dei risultati sulla quale
basare[*][**] una politica contro lo spam. Te lo avevo detto...alla fine
dei conti stiamo sostenendo proprio li stessi concetti :)
Ciao 
   Giuseppe
[*] Il problema IMHO non e' se e' corretto utilizzare una blacklist per
fermare o meno posta di dubbia provenienza (credo possiamo concordare che
il meccanismo sulla quale si basa e' valido, collaudato e certamente atto a
portare un beneficio) ma sulla autorevoleza dei risultati ottenuti. E' qui
che spesso si fanno delle grandi cagate...e qui ti do' ragione in todo.
[**] basare, cioe' che include il REJECT di posta proveniente da server
palesemente dubbi ma che non si limita a solo questo tipo di operazioni.
Dieri che e' un buon metodo per collezionare dati e statististe che possano
aiutare a mentenere delle proprie liste locali.

 dei conti stiamo sostenendo proprio li stessi concetti :)
Si, nell'obiettivo, è vero. Quel che ho contestato (e che continuo a
contestare) è la *boutade* "appoggiarsi _solo_ a blacklist e' una
cagata", che è e rimane una vaccata di asserzione.
Quello che è una cagata è mettere il filtraggio della propria posta in
mano a chi sul tema non ha competenza sufficiente.
E, purtroppo, di questi casi qui, in giro ne vedo a decine da mane a sera.
Il fatto che questi le cagate le faccia tramite l'uso delle DNSBL
sbagliate o applicando le regole di SA al contrario è *del tutto*
irrilevante[1].
Full stop.
[1] Peraltro, vorrei capire sulla base di quale informazione sottobanco
si sarebbe capito che il destinatario della mail di cui all'OP si
appoggia "_solo_ a blacklist", dato che io non ho visto il ruleset del
destinatario da alcuna parte...


 destinatario da alcuna parte...
Con tutta franchezza manco io ma non credo ci sia dato da sapere. Quanto
meno a dato modo di fare due chiacchiere :)
Ciao 
   Beppe

 Remote_host_said:_451_Listed_in_PSBL,_see_
http://psbl.surriel.com/listing?ip=85.43.42.243
Non è che quella macchina faccia anche il nat per la LAN?
In quel caso un PC della tua LAN è probabilmente infetto.

<ti...@no.way.man> ha scritto nel messaggio 
news:4uvc7pF...@mid.individual.net...

Si potrebbe essere... ma il mio firewalle permette l'uso della porta 25 solo 
al mailserver! 

 l'uso della porta 25 solo  al mailserver!
Sei quindi nella condizione che i client della
tua LAN possono accedere alla porta 25 del solo
mailserver e che il solo mailserver può uscire
su internet connettendosi a una porta 25...
In più e leggo che "dai log questa email non e'
MAI partita da qui"...
In effetti messa così è strana!!!

 al mailserver! 
Questo mi convince poco: a meno che quella DNSBL (di cui non conosco
l'amministratore) non usi falsificare le  evidenze, non c'è verso per
cui il loro server possa riportare il tuo IP se la mail non è partita
davvero dalla tua rete.
E quel campione è sicuramente stato inviato da un PC windows trojanizzato.
Verificherei il ruleset e -eventualmente- lo stato dei collegamenti
fisici...
