Newsgroup: it.comp.os.linux.sys
Titolo: Postfix & Backscatter

Ciao, un indirizzo è letteralmente bombardato di mail delivery service 
non legittimi.
E' possibile bloccarli in qualche modo?
Ho già letto il postfix backscatter howto ma non fa per me in quanto le 
mail che tornano indietro sono perfettamente regolari (helo corretto, 
hostname corretto etc etc) e poi, sempre a seconda dell'howto, bisogna 
bloccare dominio per dominio e le mail che arrivano sono di un numero 
non ben precisato di domini.

 E' possibile bloccarli in qualche modo?
Oggi è capitato ad un mio cliente.
Per fortuna, nonostante i server che generassero backscatter fossero tanti,
TUTTI i messaggi avevano allegato il messaggio originale che conteneva il
mittente fakeato all'interno. Ed era sempre uguale. (era ovviamente spam)
Segati con una regexp sul body
Max

 
Non volevo dire che quell'indirizzo č la mia info
Speravo passasse inosservato.

 Segati con una regexp sul body
Infatti stavo proprio analizzando i messaggi di ritorno ma molti sono 
diversi.
E non tutti hanno allegati.
Credo che sia un bel po complessa la cosa.

 Credo che sia un bel po complessa la cosa.
comunque, su internet girano delle regexp per postifx per segare buona
parte del backscatter.
Se non hai molto traffico prova quell'approccio.
max

 Se non hai molto traffico prova quell'approccio.
Ora le cerco.
Sai già dove andare?

 
:D

 Se non hai molto traffico prova quell'approccio.
Però i bounce in caso di indirizzi inesistenti sono generati dal server 
che invia....
esempio:
pi...@dominio.com
 invia a 
ci...@libero.it
nel caso 
ci...@libero.it
 non dovesse esistere, a pippo torna indietro un 
messaggio proveniente da 
MAILER...@dominio.com
 dicendo: 
"
ci...@libero.it
 non esiste".
quindi potrei bloccare tutti i mailer-daemon provenienti da indirizzi 
diversi dal mio.....
Al momento ricevo svariati messaggi provenienti da mailer-daemon russi.
o mi sta sfuggendo qualcosa?

> o mi sta sfuggendo qualcosa?
ti sta sfuggento che mailer daemon DEVE poter mandare notifiche.
Non č solo il tuo ...
il link non me lo ricordo.
lo trovai tempo fa e non bloccava mailer daemon.
Bloccava il backscatter generato da virus e spam.
MAx

 Bloccava il backscatter generato da virus e spam.
Si l'ho trovato sul sito di postfix.

 Si l'ho trovato sul sito di postfix.
SE info@ non lo usi per inviare ma solo per ricevere (normalemente è
così), puoi droppare direttamente tutte le notifiche in ingresso verso
info@ dato che sono per forza di cose fasulle.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 info@ dato che sono per forza di cose fasulle.
Si invia anche come info.

 Speravo passasse inosservato.
Blocca i bounce destinati a info@tuodominio. Per un 
po', intendo.
Fabio
 

 po', intendo.
Il problema è che con la info la gente invia messaggi.
E' un po difficile bloccare i bounce.
Cmq ho notato che parecchi bounce vengono da qui
62.118.0.0
Blocco di ip dello stesso AS (uno di mosca). Quasi quasi lo butto in 
blacklist.

 E' un po difficile bloccare i bounce.
In che senso?
Non è "pulita", ma come soluzione temporanea è applicabile:
in una access-list di tua scelta:
in...@miodominio.tld           check_sender_access hash:reject-bounces
in reject-bounces:
<>  550 This mailbox is under a joejob attack and not accepting DSNs.
Nota che nella maggioranza di casi in cui quell'utenza dovrà ricevere
DSN leciti, saranno NDN generati dal suo server di uscita (salvo in quei
casi in cui il server destinatario è multitier con il tier esterno non a
conoscenza degli untenti, ecc. ecc.... Oppure è qmail... :-D ).
In quel caso l'NDN lecito lo ricevi lo stesso (si spera che i tuoi
stessi server siano in whitelist...), quindi, come detto, come soluzione
temporanea mentre sei invaso di bounce, ci può stare...

 conoscenza degli untenti
Probabilmente Freud avrebbe di che osservare... :-\

 temporanea mentre sei invaso di bounce, ci può stare...
Più che temporanea potrebbe essere anche una soluzione abbastanza 
permanente. Quali bounce dovrei ricevere generati da altri server?

 permanente. Quali bounce dovrei ricevere generati da altri server?
Esempio: manda una mail ad un indirizzo sicuramente inesistente su
MClink.it.
Vedi chi genera il bounce.
In generale, ci sono diverse situazioni in cui il server che fa da MX
per un dominio non ha visibilità degli utenti realmente esistenti sulla
macchina che, alla fine del tragitto, riceverà le mail.
Poi c'è il caso del server configurato male, che prima accetta tutto e
poi bounca...
Poi c'è qmail (e dubito sia l'unico), che (salvo patch) proprio nun j'a
fa...

 macchina che, alla fine del tragitto, riceverà le mail.
Lo genera il mio smtp il bounce.


 <>  550 This mailbox is under a joejob attack and not accepting DSNs.
Testato da ieri sera a stamattina.
Risultato: ho ricevuto un mare di merda ugualmente.
Vado a far sparire la russia dalla carte geografiche del mio postfix 
adesso. :)

 Risultato: ho ricevuto un mare di merda ugualmente.
Impossibile.
Mostra il ruleset: 'sta cosa è utilizzata per mitigare i joejob da
quando esistono i joejob...
(ovviamente, do per scontato che la prima rule sia in una acl applicata
sul destinatario, altrimenti mi par palese che non ha alcun senso...)

 Lo genera il mio smtp il bounce.
Nel caso di mclink, dici? poesse che abbiano sanato la configurazione,
chè fino a poco tempo fa non era.
In ogni caso, il caso generale rimane valido.

 sul destinatario, altrimenti mi par palese che non ha alcun senso...)
Cioe stai pensando che ho applicato la rule riferita a 
"ab...@dominio.tld" ad un altro indirizzo?
Che simpatico burlone.... :)

 Probabilmente Freud avrebbe di che osservare... :-\
ROTFL!

 Risultato: ho ricevuto un mare di merda ugualmente.
Penso che non sia possibile. Sei sicuro che siano dei veri DSN e non 
spam cammuffato da DSN? A volte hanno return-path non vuoto. Prova a
postare gli header, magari.
Fabio

 In ogni caso, il caso generale rimane valido.
No infatti non mi è ancora arrivata la mail di errore.
a meno che non esista
dadasdasd...@mclink.it


X-Spam-Status: No, hits=0.126 tagged_above=-999 required=1 
tests=BAYES_00, HTML_MESSAGE, MIME_BASE64_NO_NAME, 
RAZOR2_CF_RANGE_51_100, RAZOR2_CF_RANGE_E4_51_100, RAZOR2_CHECK
X-Spam-Level:
X-Antivirus: avast! (VPS 0609-2, 02/03/2006), Inbound message
X-Antivirus-Status: Clean
########################################################################
########################################################################

 Che simpatico burlone.... :)
Deh. Spiego.
Il senso di quella serie di restriction deve essere: tutto quello
diretto all'utente bl...@miodominio.tld viene fatto passare attraverso la
restriction reject-bounce, ove vengono respinti tutti i mittenti con
envelope sender nullo (quasi certamente bounce).
Ipotizzando quindi che l'utente 
pi...@pluto.it
 sia il joejobbato, avrai:
smtpd_recipient_restrictions    =
	[...]
	check_recipient_access hash:$config_directory/recipient-access,
	[...]
dentro a recipient-access avrai
pi...@pluto.it
           check_sender_access hash:reject-bounces
dentro a reject-bounces:
<>  550 This mailbox is under a joejob attack and not accepting DSNs.
Un dettaglio non precisato precedentemente (poichè così è di default) è
quello di verificare con postconf che
smtpd_null_access_lookup_key = <>
altrimenti devi cambiare la scrittura in reject-bounces per adeguarla...

 Return-Path: <MAILER...@miodominio.tld>
In un bounce normale questo dovrebbe essere <>.
Quel return path lo forzi tu o ti si presentano così già sul socket?
Nel secondo caso, sostituisci (o, meglio, aggiungi) nel reject-bounces
di cui sopra una riga analoga con MAILER...@miodominio.tld al posto
di <>...

 altrimenti devi cambiare la scrittura in reject-bounces per adeguarla...
Io ho:
/etc/postfix/reject-bounces:
<> 550 This mailbox is under a joejob attack and not accepting DSNs.
/etc/postfix/spazzatura:
noreply@ DISCARD
in...@dominio.tld check_sender_access hash:/etc/postfix/reject-bounces
/etc/postfix/
main.cf
:
spazzatura = check_recipient_access hash:/etc/postfix/spazzatura
smtpd_recipient_restrictions =
    $spazzatura,
    [...]
messo come variabile perchè mi serve anche in 
master.cf
 (per amavis...)
postmappato tutti i file
se scrivo ad in...@dominio.tld mi da errore postfix (server configuration 
error).
se tolgo in...@dominio.tld da spazzatura tutto va.

> Return-Path: <MAILER...@miodominio.tld>
C'e' qualcosa che non va. Verifica se sei tu a riscrivere il 
return-path a questo modo. In ogni caso, il filtro che ti ha
dato skull fa match su un return-path nullo. Se non e' nullo
non funziona, ovviamente.
Fabio

 di <>...
Ok.
Ma se deve essere <>, come faccio a farlo diventare cosi? io li ricevo 
tutti come mailer-daemon

 non funziona, ovviamente.
Io non lo riscrivo il return path.
Però, se vi può interessare, postfix mi cambia sempre tutti i 
return-path. E mi da un bel fastidio anche con gli script in php.
Si prende il return path del servizio che invia (se invio con apache mi 
mette da solo nobody@dominio e non ce modo di farlo smettere).
Come faccio a farlo smettere?

 Come faccio a farlo smettere?
Difficile a dirsi. Sembrerebbe che qualcosa provveda a tua insaputa a
riscrivere gli envelope sender nulli, poichè quello non è il
comportamento di default.
Impossibile puntare un dito, in mancanza del ruleset... :-\

 Impossibile puntare un dito, in mancanza del ruleset... :-\
Dimmi che ti può servire che te lo mando...

 Dimmi che ti può servire che te lo mando...
Mboh...
Il primo posto in cui puntare il dito sarebbero eventuali
sender_canonical_maps, per i rewrite.
Per il resto potrebbero esserci altre condizioni in cui questo accade,
magari come effetto collaterale di qualche configurazione, ma non mi
viene in mente nulla di specifico.
Partirei dal 
main.cf
, a 'sto punto.
L'email a mittente è valida...

 sender_canonical_maps, per i rewrite.
Di canonical maps ne ho uno che dice che tutta la posta in uscita da web 
(fa relay su server smtp) deve avere mittente = nor...@wsmtp02.dominio.tld
perchè almeno facendo cosi non mi si bombarda di mail in ingresso il 
server web ma finiscono tutte sul server di posta (dove ho un DISCARD 
che funziona un po si e un po no per eliminare i bounce)
