Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > de.comm.software.mailserver > #7087 > unrolled thread

Blacklisten in Spamassassin

Back to article view | Back to de.comm.software.mailserver

Contents

  Blacklisten in Spamassassin Tim Ritberg <tim@server.invalid> - 2024-09-13 11:55 +0200
    Re: Blacklisten in Spamassassin Marco Moock <mm+solani@dorfdsl.de> - 2024-09-13 17:03 +0200
      Re: Blacklisten in Spamassassin Tim Ritberg <tim@server.invalid> - 2024-09-13 19:09 +0200
        Re: Blacklisten in Spamassassin Marco Moock <mm+solani@dorfdsl.de> - 2024-09-13 19:55 +0200
      Re: Blacklisten in Spamassassin Arno Welzel <usenet@arnowelzel.de> - 2024-09-18 09:04 +0200
        Re: Blacklisten in Spamassassin Tim Ritberg <tim@server.invalid> - 2024-09-18 11:28 +0200
        Re: Blacklisten in Spamassassin Marco Moock <mm+solani@dorfdsl.de> - 2024-09-18 17:21 +0200
          Re: Blacklisten in Spamassassin Tim Ritberg <tim@server.invalid> - 2024-09-18 18:29 +0200
            Re: Blacklisten in Spamassassin Marco Moock <mm+solani@dorfdsl.de> - 2024-09-18 21:00 +0200
              Re: Blacklisten in Spamassassin Tim Ritberg <tim@server.invalid> - 2024-09-18 21:31 +0200
                Re: Blacklisten in Spamassassin Marco Moock <mm+solani@dorfdsl.de> - 2024-09-19 13:09 +0200
                  Re: Blacklisten in Spamassassin Tim Ritberg <tim@server.invalid> - 2024-09-19 14:45 +0200
                    Re: Blacklisten in Spamassassin Marco Moock <mm+solani@dorfdsl.de> - 2024-09-19 16:41 +0200
                      Re: Blacklisten in Spamassassin Tim Ritberg <tim@server.invalid> - 2024-09-29 00:16 +0200

#7087 — Blacklisten in Spamassassin

Tag Gruppe!

Ich bin gerade dabei meine Wirksamkeit der Spamassassinregeln zu prüfen.

Dabei habe ich einige Treffen für *_BLOCKED gefunden, was auf Aussetzer 
von RBL hindeutet.

Bei einigen Mails habe ich aber Treffer plus Aussetzer:
URIBL_ABUSE_SURBL=1.25, URIBL_BLOCKED=0.001

Wie geht sowas?

Tim

[toc] | [next] | [standalone]

#7088

Am 13.09.2024 11:55 Uhr schrieb Tim Ritberg:

> Dabei habe ich einige Treffen für *_BLOCKED gefunden, was auf
> Aussetzer von RBL hindeutet.

Eine RBL kann nicht erreichbar sein, es kann an deinem DNS-Resolver
liegen, am DNS der RBL oder an sonstwas. Das war ggf. nur temporär der
Fall.
Das ist halt alles Mutmaßung. Um das zu analysieren braucht es einen
kompletten Paketmitschnitt für den Zeitraum, um mal zu analysieren, was
an Pakete überhaupt durch die Gegend ging.

> Bei einigen Mails habe ich aber Treffer plus Aussetzer:
> URIBL_ABUSE_SURBL=1.25, URIBL_BLOCKED=0.001

Da war die RBL halt erreichbar und der Query lief durch.

-- 
Gruß
Marco

Spam und Werbung bitte an
1726221357ichwillgesperrtwerden@nirvana.admins.ws

[toc] | [prev] | [next] | [standalone]

#7089

Am 13.09.24 um 17:03 schrieb Marco Moock:
> Am 13.09.2024 11:55 Uhr schrieb Tim Ritberg:
> 
>> Dabei habe ich einige Treffen für *_BLOCKED gefunden, was auf
>> Aussetzer von RBL hindeutet.
> 
> Eine RBL kann nicht erreichbar sein, es kann an deinem DNS-Resolver
> liegen, am DNS der RBL oder an sonstwas. Das war ggf. nur temporär der
> Fall.
In der resolv.conf stand meiner localer DNS und 2 externe, die habe ich 
jetzt mal rausgenommen,

> Das ist halt alles Mutmaßung. Um das zu analysieren braucht es einen
> kompletten Paketmitschnitt für den Zeitraum, um mal zu analysieren, was
> an Pakete überhaupt durch die Gegend ging.
> 
>> Bei einigen Mails habe ich aber Treffer plus Aussetzer:
>> URIBL_ABUSE_SURBL=1.25, URIBL_BLOCKED=0.001
> 
> Da war die RBL halt erreichbar und der Query lief durch.
Du meinst eine Query lief durch, die andere nicht.

Tim

[toc] | [prev] | [next] | [standalone]

#7090

Am 13.09.2024 19:09 Uhr schrieb Tim Ritberg:

> Am 13.09.24 um 17:03 schrieb Marco Moock:
> > Am 13.09.2024 11:55 Uhr schrieb Tim Ritberg:
> >   
> >> Dabei habe ich einige Treffen für *_BLOCKED gefunden, was auf
> >> Aussetzer von RBL hindeutet.  
> > 
> > Eine RBL kann nicht erreichbar sein, es kann an deinem DNS-Resolver
> > liegen, am DNS der RBL oder an sonstwas. Das war ggf. nur temporär
> > der Fall.  
> In der resolv.conf stand meiner localer DNS und 2 externe, die habe
> ich jetzt mal rausgenommen,

Da gibt es noch Optionen wie round-robin und Timeout.
Standardmäßig ist da kein round-robin aktiv und Timeout soll bei 5s
liegen.
Das kann dann schon für einen Abbruch reichen.

> > Das ist halt alles Mutmaßung. Um das zu analysieren braucht es einen
> > kompletten Paketmitschnitt für den Zeitraum, um mal zu analysieren,
> > was an Pakete überhaupt durch die Gegend ging.
> >   
> >> Bei einigen Mails habe ich aber Treffer plus Aussetzer:
> >> URIBL_ABUSE_SURBL=1.25, URIBL_BLOCKED=0.001  
> > 
> > Da war die RBL halt erreichbar und der Query lief durch.  
> Du meinst eine Query lief durch, die andere nicht.

Ja.

-- 
Gruß
Marco

Spam und Werbung bitte an
1726247377ichwillgesperrtwerden@nirvana.admins.ws

[toc] | [prev] | [next] | [standalone]

#7091

Marco Moock, 2024-09-13 17:03:

> Am 13.09.2024 11:55 Uhr schrieb Tim Ritberg:
> 
>> Dabei habe ich einige Treffen für *_BLOCKED gefunden, was auf
>> Aussetzer von RBL hindeutet.
> 
> Eine RBL kann nicht erreichbar sein, es kann an deinem DNS-Resolver
> liegen, am DNS der RBL oder an sonstwas. Das war ggf. nur temporär der
> Fall.

Und die meisten RBLs erlauben nur eine sehr begrenzte Anzahl an Abfragen
von einer IP-Adresse aus pro Tag. Deshalb ist für sowas sinnvoll, einen
lokalen Nameserver als Cache zu nutzen.


-- 
Arno Welzel
https://arnowelzel.de

[toc] | [prev] | [next] | [standalone]

#7092

Am 18.09.24 um 09:04 schrieb Arno Welzel:
> Marco Moock, 2024-09-13 17:03:
> 
>> Am 13.09.2024 11:55 Uhr schrieb Tim Ritberg:
>>
>>> Dabei habe ich einige Treffen für *_BLOCKED gefunden, was auf
>>> Aussetzer von RBL hindeutet.
>>
>> Eine RBL kann nicht erreichbar sein, es kann an deinem DNS-Resolver
>> liegen, am DNS der RBL oder an sonstwas. Das war ggf. nur temporär der
>> Fall.
> 
> Und die meisten RBLs erlauben nur eine sehr begrenzte Anzahl an Abfragen
> von einer IP-Adresse aus pro Tag. Deshalb ist für sowas sinnvoll, einen
> lokalen Nameserver als Cache zu nutzen.
> 
> 
Ich habe einen lokalen Bind laufen. Die TTL der Einträge ist aber nicht 
groß, da gibts nicht viel zu cachen...

Die BL NiX scheint am Besten, damit hatte ich nie Probleme.

Tim

[toc] | [prev] | [next] | [standalone]

#7093

Am 18.09.2024 09:04 Uhr schrieb Arno Welzel:

> Marco Moock, 2024-09-13 17:03:
> 
> > Am 13.09.2024 11:55 Uhr schrieb Tim Ritberg:
> >   
> >> Dabei habe ich einige Treffen für *_BLOCKED gefunden, was auf
> >> Aussetzer von RBL hindeutet.  
> > 
> > Eine RBL kann nicht erreichbar sein, es kann an deinem DNS-Resolver
> > liegen, am DNS der RBL oder an sonstwas. Das war ggf. nur temporär
> > der Fall.  
> 
> Und die meisten RBLs erlauben nur eine sehr begrenzte Anzahl an
> Abfragen von einer IP-Adresse aus pro Tag. Deshalb ist für sowas
> sinnvoll, einen lokalen Nameserver als Cache zu nutzen.

Manche RBLs wie uceprotect bieten auch die Zonendateien zum Download
per rsync an, mit denen man den DNS-Server selbst betreiben kann.

In dem hier geschilderten Fall muss man aber mal nachgucken, was die
eigentliche Ursache ist.

-- 
Gruß
Marco

Spam und Werbung bitte an
1726643044ichwillgesperrtwerden@nirvana.admins.ws

[toc] | [prev] | [next] | [standalone]

#7094

Am 18.09.24 um 17:21 schrieb Marco Moock:
> Manche RBLs wie uceprotect bieten auch die Zonendateien zum Download
> per rsync an, mit denen man den DNS-Server selbst betreiben kann.
Wie gut ist die BL?


> In dem hier geschilderten Fall muss man aber mal nachgucken, was die
> eigentliche Ursache ist.
Gibt es vielleicht Quota per Netzbereich?
Meine Server sind eigentlich Low-Traffic.

Tim

[toc] | [prev] | [next] | [standalone]

#7095

Am 18.09.2024 18:29 Uhr schrieb Tim Ritberg:

> Am 18.09.24 um 17:21 schrieb Marco Moock:
> > Manche RBLs wie uceprotect bieten auch die Zonendateien zum Download
> > per rsync an, mit denen man den DNS-Server selbst betreiben kann.  
> Wie gut ist die BL?

Ist uceprotect und ich finde die sehr gut. Bitte aber nur die Listen
nehmen, die das tun, was du haben willst.

> > In dem hier geschilderten Fall muss man aber mal nachgucken, was die
> > eigentliche Ursache ist.  
> Gibt es vielleicht Quota per Netzbereich?
> Meine Server sind eigentlich Low-Traffic.

Prüfe das am besten manuell mit einem gescheiten Logging der
DNS-Anfragen und -Antworten.

-- 
Gruß
Marco

Spam und Werbung bitte an
1726676982ichwillgesperrtwerden@nirvana.admins.ws

[toc] | [prev] | [next] | [standalone]

#7096

Am 18.09.24 um 21:00 schrieb Marco Moock:

> 
> Ist uceprotect und ich finde die sehr gut. Bitte aber nur die Listen
> nehmen, die das tun, was du haben willst.
Über Spamassassin eingebaut?

> 
>>> In dem hier geschilderten Fall muss man aber mal nachgucken, was die
>>> eigentliche Ursache ist.
>> Gibt es vielleicht Quota per Netzbereich?
>> Meine Server sind eigentlich Low-Traffic.
> 
> Prüfe das am besten manuell mit einem gescheiten Logging der
> DNS-Anfragen und -Antworten.
Bei einem Mailserver habe ich wirklich ein Problem gefunden.
Bind möchte was über ipv6 machen, aber die Kisten hatte keine ipv6-Adresse.

Ich bekomme den NL vom Handelsblatt, deren IP konnte er nicht immer 
auflösen:
dig -x 13.111.12.188

Das geht jetzt.
Der anderer Server hat keine erkennbaren DNS-Probleme, dennoch gibts 
URIBL_BLOCKED.

Tim

[toc] | [prev] | [next] | [standalone]

#7097

Am 18.09.2024 21:31 Uhr schrieb Tim Ritberg:

> Bind möchte was über ipv6 machen, aber die Kisten hatte keine
> ipv6-Adresse.

Letzteres lässt sich ändern.

> Ich bekomme den NL vom Handelsblatt, deren IP konnte er nicht immer 
> auflösen:
> dig -x 13.111.12.188

Prüfe, ob das Problem bei dir liegt.

-- 
Gruß
Marco

Spam und Werbung bitte an
1726687880ichwillgesperrtwerden@nirvana.admins.ws

[toc] | [prev] | [next] | [standalone]

#7098

Am 19.09.24 um 13:09 schrieb Marco Moock:
> Am 18.09.2024 21:31 Uhr schrieb Tim Ritberg:
> 
>> Bind möchte was über ipv6 machen, aber die Kisten hatte keine
>> ipv6-Adresse.
> 
> Letzteres lässt sich ändern.
Weiss ich und hab ich.

> 
>> Ich bekomme den NL vom Handelsblatt, deren IP konnte er nicht immer
>> auflösen:
>> dig -x 13.111.12.188
> 
> Prüfe, ob das Problem bei dir liegt.
Ipv6 abstellen hilft bei dem Problem.

Das Prüfscript für abgelehnte Firewallverbindungen Port 25 läuft auf 
einem Server immer noch nicht richtig, soll die IPs zu Namen umsetzen:

124.10.190.188.in-addr.arpa domain name pointer 
188-190-10-124.clevhosting.com.
;; communications error to 127.0.0.1#53: timed out
;; communications error to 127.0.0.1#53: timed out
;; no servers could be reached

Bind9 mit Standardeinstellung muss doch reichen.

Tim

[toc] | [prev] | [next] | [standalone]

#7099

Am 19.09.2024 14:45 Uhr schrieb Tim Ritberg:

> Ipv6 abstellen hilft bei dem Problem.

Richtig konfigurieren ist aber halt besser.

-- 
Gruß
Marco

Spam und Werbung bitte an
1726749908ichwillgesperrtwerden@nirvana.admins.ws

[toc] | [prev] | [next] | [standalone]

#7100

Am 19.09.24 um 16:41 schrieb Marco Moock:
> Am 19.09.2024 14:45 Uhr schrieb Tim Ritberg:
> 
>> Ipv6 abstellen hilft bei dem Problem.
> 
> Richtig konfigurieren ist aber halt besser.
> 

Hab jetzt gesehen, dass mir Hetzner mit dhcp andere Nameserver in die 
resolv.conf gesetzt hat.

Spamassassin ist jetzt auf den lokalen Bind gesetzt. Mal sehen, wie das 
wirkt.

Tim

[toc] | [prev] | [standalone]

Back to top | Article view | de.comm.software.mailserver

csiph-web