Guten Morgen zusammen, nachdem ich gestern den Blog Post bzgl Spamhaus gelesen habe hab ich mir dort einen Account erstellt. Den DQS Key habe ich in die mailcow.conf ganz unten beim neu hinzugekommenen Parameter eingetragen (nur der "Query Key", richtig?) und via docker compose alles durchgestartet. Dann habe ich über den Spamhaus Blocklist Tester meinen Server getestet. Alle Test Mails sind durch gekommen die jetzt eigentlich geblockt werden sollten... hab ich irgendwas vergessen zu konfigurieren? Gruß Christian

OK, ich glaube ich habe das Problem gefunden, die dns_blocklists.cf wird aktuell nicht analog der extra.cf mit in die main.cf gepackt https://github.com/mailcow/mailcow-dockerized/blob/020cb21b35723339008d745c479cd039dca7475b/data/Dockerfiles/postfix/postfix.sh#L540 Dadurch wird die Config nicht aktiv

Ich habe gerade auch unter data/conf/postfix die dns_blocklists.cf geprüft, da wurde es jetzt eingetragen (Key ersetzt durch XXXXXXXXXXXX) ``` # grep -i spamhaus * dns_blocklists.cf: XXXXXXXXXXXX.zen.dq.spamhaus.net=127.0.0.[4..7]*6 dns_blocklists.cf: XXXXXXXXXXXX.zen.dq.spamhaus.org=127.0.0.[10;11]*8 dns_blocklists.cf: XXXXXXXXXXXX.zen.dq.spamhaus.org=127.0.0.3*4 dns_blocklists.cf: XXXXXXXXXXXX.zen.dq.spamhaus.org=127.0.0.2*3 dns_blocklists.cf: XXXXXXXXXXXX.dbl.dq.spamhaus.net=127.0.0.3*4 dns_blocklists.cf: XXXXXXXXXXXX.zrd.dq.spamhaus.net=127.0.0.2*3 ```

Schau dir mal die empfangenen Testmails in der Mailcow-Adminoberfläche unter "Protokolle/Rspamd" an. Dort sollten unter "Symbols" die Spamhaus-Bewertungen sichtbar sein. Da sie aber nur mit 4 Punkten in die Gesamtbewertung eingehen, werden die Mails i.d.R. nicht als Spam klassifiziert. Bei mir sieht die Bewertung einer der Testmails z.B. so aus: ``` RBL_SPAMHAUS_XBL (4) [199.168.89.85:from] BAD_REP_POLICIES (2) MX_INVALID (0.5) [] MIME_GOOD (-0.1) [text/plain] IP_REPUTATION_HAM (-0.002046) [asn: 54054(0.00), country: US(-0.00), ip: 199.168.89.85(0.00)] BAYES_HAM (-0.000068) [24.36%] ``` Macht in der Summe 6.4, mein Schwellwert ist höher. Eine "echte" Spam-Mail hätte sicher noch mehr negative Punkte gesammelt.

Also ich habe gerade getestet. Es scheint als würde die dns_blocklists.cf, die mit den letzten Commits jetzt erzeugt wird, gar nicht geladen von Postfix. Ich habe den Inhalt mal in die extra.cf gepackt (die ist ja von Postfix für User Configs gedacht), dann klappts (zumindest mit einigen Mails, da müsst ich jetzt noch die ganzen Spamhaus Regeln darin checken) Siehe https://github.com/mailcow/mailcow-dockerized/commit/815572f2009e7964599de20e2d9e9e177bf15a27 Finde auch überhaupt nichts bzgl eines Files "dns_blocklists.cf" das von Postfix automatisch geladen wird @"[deleted]"#926 das ist ja der Rspamd, mir gehts um Postfix

Habt Ihr Euch die Seite von Spamhaus mal genauer durchgelesen? Da steht, dass der DQS.Key nur 30 Tage gratis ist und danach ein Abo ab US$250 notwendig wird. Tut mir leid, aber als privater Anwender ist mir das zu viel, so dass ich gerne auf Spamhaus verzichte.

Also [da](https://www.spamhaus.com/de/nutzungsbedingungen-richtlinie-fur-die-gerechte-nutzung-des-kostenlosen-data-query-service/) steht folgendes: 1.1. Der Data Query Service wird kleinen und mittelgroßen Organisationen kostenlos für die nichtgewerbliche Nutzung bereitgestellt. So hab ich mich da jetzt auch angemeldet, ist ja nur privat mein Server.

Korrektur: war ein bisschen versteckt, aber scheinbar ist es für nicht-kommerzielle User doch kostenlos: https://www.spamhaus.com/free-trial/sign-up-for-a-free-data-query-service-account/

Ja, genau. Hilft leider alles nichts solange die Config nicht geladen wird... Ich werde heute Abend mal ein Issue auf GitHub erstellen, habe vorher keine Zeit Das Schlimme ist dass mit dem Commit auch die restlichen Blocklisten aus der main.cf entfernt wurden und somit auch gar nicht mehr gezogen werden

@"DocFraggle"#p10015 Eigenartig, die Datei **dns_blocklists.cf** existiert bei mir gar nicht in **data/conf/postfix**.

Bist Du denn auf der neuesten Version?

@"DocFraggle"#p10031 Ja, allerdings mit der ARM64-dev auf einem Hetzner-Server. Lief seit Wochen völlig problemlos. Ich muss mal gucken, ob die von Dir erwähnte Datei vor dem gestrigen Update noch vorhanden war. Zur Not muss ich sonst ein Snapshot von vor dem Update wieder einspielen. Das wäre allerdings schade.

Spamhaus Config

DocFraggle

Nein, nicht bei einem texthash

texthash (read-only)
A table that produces similar results as hash: files, except that you don’t have to run the postmap(1) command before you can use the file, and that texthash: does not detect changes after the file is read. The lookup table name is “texthash:filename”, where the file name is taken literally; no suffix is appended.

Stange dass das bei Dir nicht klappt…

jimmy_jummy

DocFraggle

Alles klar. Das wusste ich nicht. Danke!
Konntest Du das denn bereits erfolgreich bei Dir testen?

DocFraggle

Ja, bei mir klappt das

jimmy_jummy

OK, gut zu wissen. Ich warte jetzt mal ab bis Dein Pull Request durchgegangen ist und mache dann ein Update. Mal schauen, ob ich damit die Kuh vom Eis bekomme. 😉

DocFraggle

In der Zwischenzeit kannst Du ja direkt im Container mal via ‘postconf -n’ die Config checken, evtl hat es nicht richtig gezogen?

jimmy_jummy

DocFraggle

Ja, das hatte ich bei meinen vorherigen Versuchen auch schon gemacht. Hatte auch immer geklappt.

Egal, ich warte jetzt auf’s nächste Update. Ist ja alles nicht so dramatisch.

DocFraggle

So, das Update ist draussen. Ich habs auch nochmal frisch gezogen, bei mir wird der Key nach wie vor nicht mehr exposed.

jimmy_jummy

Hi Christian,

danke für Deine Mühe.

Hab’ gerade das Update gemacht. Für den Key sieht es sehr gut aus, aber von den sieben Testmails kommen fünf ganz normal in die Inbox. Die sollten doch eigentlich ALLE rejected werden, oder nicht?

DocFraggle

Ja, werden sie bei mir auch:

jimmy_jummy

DocFraggle

Hast Du es bei Dir zusätzlich auch noch unter smtpd_recipient_restrictions eingetragen?

DocFraggle

Ach Moment, ich hab das ja bei mir angepasst! Die data/conf/postfix/extra.cf:

myhostname = my.host.name

smtpd_recipient_restrictions = check_recipient_mx_access proxy:mysql:/opt/postfix/conf/sql/mysql_mbr_access_maps.cf,
  permit_sasl_authenticated,
  permit_mynetworks,
  check_recipient_access proxy:mysql:/opt/postfix/conf/sql/mysql_tls_enforce_in_policy.cf,
  reject_invalid_helo_hostname,
  reject_unauth_destination,
  reject_rhsbl_sender         XXXXXXXXXXXXXXXXXXX.dbl.dq.spamhaus.net=127.0.1.[2..99],
  reject_rhsbl_helo           XXXXXXXXXXXXXXXXXXX.dbl.dq.spamhaus.net=127.0.1.[2..99],
  reject_rhsbl_reverse_client XXXXXXXXXXXXXXXXXXX.dbl.dq.spamhaus.net=127.0.1.[2..99],
  reject_rhsbl_sender         XXXXXXXXXXXXXXXXXXX.zrd.dq.spamhaus.net=127.0.2.[2..24],
  reject_rhsbl_helo           XXXXXXXXXXXXXXXXXXX.zrd.dq.spamhaus.net=127.0.2.[2..24],
  reject_rhsbl_reverse_client XXXXXXXXXXXXXXXXXXX.zrd.dq.spamhaus.net=127.0.2.[2..24],
  reject_rbl_client           XXXXXXXXXXXXXXXXXXX.zen.dq.spamhaus.net=127.0.0.[2..255]

rbl_reply_maps = hash:/opt/postfix/conf/dnsbl-reply-map

Dann die Datei data/conf/postfix/dnsbl-reply-map anlegen mit diesem Inhalt:

XXXXXXXXXXXXXXXXXXX.sbl.dq.spamhaus.net=127.0.0.[2..255]      $rbl_code Service unavailable; $rbl_class [$rbl_what] blocked using sbl.spamhaus.org${rbl_reason?; $rbl_reason}
XXXXXXXXXXXXXXXXXXX.xbl.dq.spamhaus.net=127.0.0.[2..255]      $rbl_code Service unavailable; $rbl_class [$rbl_what] blocked using xbl.spamhaus.org${rbl_reason?; $rbl_reason}
XXXXXXXXXXXXXXXXXXX.pbl.dq.spamhaus.net=127.0.0.[2..255]      $rbl_code Service unavailable; $rbl_class [$rbl_what] blocked using pbl.spamhaus.org${rbl_reason?; $rbl_reason}
XXXXXXXXXXXXXXXXXXX.sbl-xbl.dq.spamhaus.net=127.0.0.[2..255]  $rbl_code Service unavailable; $rbl_class [$rbl_what] blocked using sbl-xbl.spamhaus.org${rbl_reason?; $rbl_reason}
XXXXXXXXXXXXXXXXXXX.zen.dq.spamhaus.net=127.0.0.[2..255]      $rbl_code Service unavailable; $rbl_class [$rbl_what] blocked using zen.spamhaus.org${rbl_reason?; $rbl_reason}
XXXXXXXXXXXXXXXXXXX.dbl.dq.spamhaus.net=127.0.1.[2..99]       $rbl_code Service unavailable; $rbl_class [$rbl_what] blocked using dbl.spamhaus.org${rbl_reason?; $rbl_reason}
XXXXXXXXXXXXXXXXXXX.zrd.dq.spamhaus.net=127.0.2.[2..24]      $rbl_code Service unavailable; $rbl_class [$rbl_what] blocked using zrd.spamhaus.org${rbl_reason?; $rbl_reason}

Dann einmal im Container posthash drüber laufen lassen

Das müsste man jetzt halt auch noch mal ins postfix.sh einbauen…

jimmy_jummy

Also, am Ende muss alles quasi doppelt angelegt sein?
Also zusätzlich zu dem, was Mailcow bereits automatisch anlegt, nochmal eine dnsbl-replay-map anlegen etc.?

DocFraggle

Genau, der postscreen hat nicht alles abgefangen und mein Rspamd fügt immer 5.5 Punkte wegen Bayes_HAM hinzu, hab ich noch nicht rausgefunden warum, so dass die 5 restlichen Mails dann im Postfach ankamen

jimmy_jummy

Alright. Baue ich jetzt nochmal nach. Danke Dir!

jimmy_jummy

Jetzt klappt’s. 👍👍👍👍👍👍
Ich musste das allerdings alles in die main.cf packen. Wenn ich’s in die extra.cf schreibe, wird’s nicht geladen. Egal.

DANKE!!!

DocFraggle

Die extra.cf aus dem data/conf/postfix Verzeichnis wird nur bei Container-Erstellung rein gepackt, ich hab noch nicht geschaut wie man das zur Laufzeit macht, drum hab ichs im Container auch nochmal in die extra.cf gepackt beim testen. Wenn das nächste Update kommt wird das was Du jetzt in der data/conf/postfix/extra.cf hast mit in die main.cf gepastet

Die main.cf ist imho auf Dauer auch der falsche Platz, da die ja via Git immer wieder mal angepasst wird und dann gibts beim Update evtl Konflike. Die extra.cf ist meines Wissens nach genau dafür da, eigene Overrides mit rein zu packen

jimmy_jummy

DocFraggle

Alles klärchen. Bin sehr zufrieden. Danke nochmals.

DocFraggle

Ich werde mich die Tage auf jeden Fall mal mit Rspamd auseinandersetzen, davon hab ich bisher eigentlich gar keine Ahnung… denn das mit dem BAYES_HAM bei den Test-Mails ist schon komisch

X-Spamd-Result: default: False [-5.70 / 15.00];
	BAYES_HAM(-5.50)[100.00%];
	MX_INVALID(0.50)[];
	IP_REPUTATION_HAM(-0.40)[asn: 54054(-0.12), country: US(0.00), ip: 199.168.89.101(-0.29)];
	R_SPF_ALLOW(-0.20)[+ip4:199.168.89.101/32:c];
	MIME_GOOD(-0.10)[text/plain];
	FROM_EQ_ENVFROM(0.00)[];
	RCVD_COUNT_ZERO(0.00)[0];
	R_DKIM_NA(0.00)[];
	MIME_TRACE(0.00)[0:+];
	ARC_SIGNED(0.00)[domain.eu:s=dkim:i=1];
	ASN(0.00)[asn:54054, ipnet:199.168.88.0/22, country:US];
	ARC_NA(0.00)[];
	RCPT_COUNT_ONE(0.00)[1];
	DMARC_NA(0.00)[spamhaus.net];
	BCC(0.00)[];
	MID_RHS_MATCH_FROMTLD(0.00)[];
	FROM_HAS_DN(0.00)[];
	TO_DN_NONE(0.00)[];
	TO_MATCH_ENVRCPT_ALL(0.00)[];
	RCPT_MAILCOW_DOMAIN(0.00)[domain.eu]

zum Beispiel

« Previous Page Next Page »