Verständnisfrage Helo, Hostname und Reverse-DNS

[AWOHille]

Hallo,

generell handhabe ich es im Moment so, das jedes eingehende Mail abgelehnt wird, falls Helo, Hostname und Reverse-DNS nicht übereinstimmen. Allerdings hatte ich in der Vergangenheit ab und zu mal das Problem, das so auch Mails von legitimen Mailservern abgelehnt wurden. Mich würde interessieren, wie ist dies generell geregelt bzw. wie sollte man es sinnvoller Weise handhaben?

[Joe User]

Die Postmaster der betreffenden Systeme auf deren Miskonfiguration hinweisen und gegebenenfalls eine eigene (temporäre) Whitelist für diese Mailserver führen.

[AWOHille]

Die Postmaster der betreffenden Systeme auf deren Miskonfiguration hinweisen und gegebenenfalls eine eigene (temporäre) Whitelist für diese Mailserver führen.

Hatte ich gemacht, folgende Antwort kam :-?

"der Spam-Filter des Empfängers ist hier fehlerhaft oder zu streng
kontrolliert.
Systembedingt weicht der Hostname im HELO-greeting vom MTA-hostnamen ab,
dies ist durchaus üblich und darf nicht zur Ablehnung der E-Mail führen."

Hier noch mal der passende Log-Auzug

Code: Select all

HELO and DNS MX settings or to get removed from DNSBLs; MTA helo:
mailout1.netbeat.de, MTA hostname: arotar.netbeat.de[46.151.162.115
(helo/hostname mismatch) (in reply to RCPT TO command)

Wie ist es generell geregelt, sollte man Mails ablehnen, die ein fehlerhaftes Helo oder Hostname haben?

[jan10001]

Wie ist es generell geregelt, sollte man Mails ablehnen, die ein fehlerhaftes Helo oder Hostname haben?

Also bei mir werden solche E-Mails abgelehnt, das reduzierte nachweislich die SPAM Flut und soweit ich weiß macht es GMX genauso. Aber geht man streng nach der "neuen" Norm müsste man solche Mails annehmen.

[AWOHille]

Ich denke mal, ich werde es auch weiter so beibehalten und die entsprechenden Domains über eine Whitelist filtern.
In den main.cf habe ich das so gelöst

Code: Select all

smtpd_client_restrictions =
  sleep 1,
  permit_mynetworks,
  permit_sasl_authenticated,
  check_client_access hash:/etc/postfix/whitelist_client,
  check_sender_access hash:/etc/postfix/whitelist_sender,
  reject_unknown_reverse_client_hostname,
  reject_unauth_pipelining,
  permit


smtpd_data_restrictions =
  permit_mynetworks,
  permit_sasl_authenticated,
  reject_unauth_pipelining,
  permit


smtpd_helo_restrictions =
  permit_mynetworks,
  permit_sasl_authenticated,
  reject_invalid_helo_hostname,
  reject_non_fqdn_helo_hostname,
  reject_unauth_pipelining,
  permit

smtpd_recipient_restrictions =
  permit_mynetworks,
  permit_sasl_authenticated,
  reject_non_fqdn_recipient,
  reject_unknown_recipient_domain,
  reject_unauth_destination,
  reject_unauth_pipelining,
  reject_unknown_reverse_client_hostname,
  check_policy_service inet:127.0.0.1:12525,
  check_policy_service inet:127.0.0.1:12340,
  check_policy_service unix:private/policy,
  permit

Meine Frage, greift die client_restrictions vor der helo_restrictions oder muss ich dort reject_invalid_helo_hostname auskommentieren bzw. in die recipient_restrictions setzen?

[Joe User]

In http://www.postfix.org/SMTPD_ACCESS_README.html findest Du eine Tabelle in der die Restrictions in Abarbeitungsreihenfolge aufgeführt sind.