Борьба со спамом, средствами самого Postfix - История изменений

Misha: Откат правок Ingra (обсуждение) к версии Misha

2013-03-05T13:13:59Z

Откат правок Ingra (обсуждение) к версии Misha

← Предыдущая версия		Версия от 16:13, 5 марта 2013
Строка 2:		Строка 2:

	'''Пролог:''' спам - чума 21 века. В данной статье приведены практические рекомендации, позволяющие избавиться от этой чумы.		'''Пролог:''' спам - чума 21 века. В данной статье приведены практические рекомендации, позволяющие избавиться от этой чумы.

	~~'''Source(s):''' [http://www.downloadranking.com Борьба со спамом, средствами самого Postfix]~~

	==Имеем:==		==Имеем:==
	стандартную конфигурацию почтовой системы, '''Postfix + SASL + CYRUS'''.		стандартную конфигурацию почтовой системы, '''Postfix + SASL + CYRUS'''.

	~~'''Source(s):''' [http://www.downloadranking.com Борьба со спамом, средствами самого Postfix]~~

	==Задача: ==		==Задача: ==
	минимизировать трафик, поступаемый вместе со спамом, а также уменшить кол-во спама, попадающего в почтовые ящики конечных пользователей.		минимизировать трафик, поступаемый вместе со спамом, а также уменшить кол-во спама, попадающего в почтовые ящики конечных пользователей.

	~~'''Source(s):''' [http://www.downloadranking.com Борьба со спамом, средствами самого Postfix]~~

	==Требуемая политика для Postfix:==		==Требуемая политика для Postfix:==
	*разрешена отправка писем с адресов внутренней сети		*разрешена отправка писем с адресов внутренней сети
Строка 21:		Строка 12:
	*прием писем только для имеющихся на сервере адресатов		*прием писем только для имеющихся на сервере адресатов
	для отправки писем FROM: @mysite.ru с невнутренних хостов требовать обязательную авторизацию, без авторизации письма отклонять		для отправки писем FROM: @mysite.ru с невнутренних хостов требовать обязательную авторизацию, без авторизации письма отклонять

	~~'''Source(s):''' [http://www.downloadranking.com Борьба со спамом, средствами самого Postfix]~~

	==Применяемые технические решения:==		==Применяемые технические решения:==
	*разрешать внутренним ип-адресам отправлять письма на несуществующие email-адреса (рассылка рекламного отдела)		*разрешать внутренним ип-адресам отправлять письма на несуществующие email-адреса (рассылка рекламного отдела)
Строка 33:		Строка 21:
	*проверять заголовок письма на предмет наличия аттачя, содержащего файлы с неразрешенными типами расширений		*проверять заголовок письма на предмет наличия аттачя, содержащего файлы с неразрешенными типами расширений
	для “особо продвинутых” респондентов применять “белые списки”		для “особо продвинутых” респондентов применять “белые списки”

	~~'''Source(s):''' [http://www.downloadranking.com Борьба со спамом, средствами самого Postfix]~~

	==Настройки:==		==Настройки:==
Строка 57:		Строка 43:
	relayhost =		relayhost =
	</pre>		</pre>

	~~'''Source(s):''' [http://www.downloadranking.com Борьба со спамом, средствами самого Postfix]~~

	===Часть 2 - защита от спама===		===Часть 2 - защита от спама===

Ingra в 03:09, 2 марта 2013

2013-03-02T03:09:14Z

← Предыдущая версия		Версия от 06:09, 2 марта 2013
Строка 2:		Строка 2:

	'''Пролог:''' спам - чума 21 века. В данной статье приведены практические рекомендации, позволяющие избавиться от этой чумы.		'''Пролог:''' спам - чума 21 века. В данной статье приведены практические рекомендации, позволяющие избавиться от этой чумы.

			'''Source(s):''' [http://www.downloadranking.com Борьба со спамом, средствами самого Postfix]

	==Имеем:==		==Имеем:==
	стандартную конфигурацию почтовой системы, '''Postfix + SASL + CYRUS'''.		стандартную конфигурацию почтовой системы, '''Postfix + SASL + CYRUS'''.

			'''Source(s):''' [http://www.downloadranking.com Борьба со спамом, средствами самого Postfix]

	==Задача: ==		==Задача: ==
	минимизировать трафик, поступаемый вместе со спамом, а также уменшить кол-во спама, попадающего в почтовые ящики конечных пользователей.		минимизировать трафик, поступаемый вместе со спамом, а также уменшить кол-во спама, попадающего в почтовые ящики конечных пользователей.

			'''Source(s):''' [http://www.downloadranking.com Борьба со спамом, средствами самого Postfix]

	==Требуемая политика для Postfix:==		==Требуемая политика для Postfix:==
	*разрешена отправка писем с адресов внутренней сети		*разрешена отправка писем с адресов внутренней сети
Строка 12:		Строка 21:
	*прием писем только для имеющихся на сервере адресатов		*прием писем только для имеющихся на сервере адресатов
	для отправки писем FROM: @mysite.ru с невнутренних хостов требовать обязательную авторизацию, без авторизации письма отклонять		для отправки писем FROM: @mysite.ru с невнутренних хостов требовать обязательную авторизацию, без авторизации письма отклонять

			'''Source(s):''' [http://www.downloadranking.com Борьба со спамом, средствами самого Postfix]

	==Применяемые технические решения:==		==Применяемые технические решения:==
	*разрешать внутренним ип-адресам отправлять письма на несуществующие email-адреса (рассылка рекламного отдела)		*разрешать внутренним ип-адресам отправлять письма на несуществующие email-адреса (рассылка рекламного отдела)
Строка 21:		Строка 33:
	*проверять заголовок письма на предмет наличия аттачя, содержащего файлы с неразрешенными типами расширений		*проверять заголовок письма на предмет наличия аттачя, содержащего файлы с неразрешенными типами расширений
	для “особо продвинутых” респондентов применять “белые списки”		для “особо продвинутых” респондентов применять “белые списки”

			'''Source(s):''' [http://www.downloadranking.com Борьба со спамом, средствами самого Postfix]

	==Настройки:==		==Настройки:==
Строка 43:		Строка 57:
	relayhost =		relayhost =
	</pre>		</pre>

			'''Source(s):''' [http://www.downloadranking.com Борьба со спамом, средствами самого Postfix]

	===Часть 2 - защита от спама===		===Часть 2 - защита от спама===

Misha: /* Часть 1 - настройка сети */

2009-12-25T08:45:58Z

Часть 1 - настройка сети

← Предыдущая версия		Версия от 11:45, 25 декабря 2009
Строка 37:		Строка 37:
	172.16.132.0/24		172.16.132.0/24

	~~#relay_domains = volmed.org.ru, miac35.ru~~
	relay_domains = $mydestination		relay_domains = $mydestination

Строка 44:		Строка 43:
	relayhost =		relayhost =
	</pre>		</pre>

	===Часть 2 - защита от спама===		===Часть 2 - защита от спама===
	<pre># запрещаем проверку отправителем существование адреса получателя		<pre># запрещаем проверку отправителем существование адреса получателя

Misha: /* Настройки: */

2009-12-25T08:45:13Z

Настройки:

Внесённые изменения

Misha: /* Настройки: */

2009-06-09T05:43:36Z

Настройки:

← Предыдущая версия		Версия от 08:43, 9 июня 2009
Строка 138:		Строка 138:

	# запрещаем прием писем с картинками ведущим по ссылкам в IFRAME		# запрещаем прием писем с картинками ведущим по ссылкам в IFRAME
	body_checks = regexp:/etc/postfix/body_checks</pre>		body_checks = regexp:/etc/postfix/body_checks
			## И обязательно строку
			address_verify_sender = $double_bounce_sender</pre>

	остальное вообщем-то на усмотрение или стандартно.		остальное вообщем-то на усмотрение или стандартно.

Misha: /* Настройки: */

2009-06-07T14:09:11Z

Настройки:

← Предыдущая версия		Версия от 17:09, 7 июня 2009
Строка 56:		Строка 56:
	# а также прописываем разрешения для "продвинутых"		# а также прописываем разрешения для "продвинутых"
	check_helo_access hash:/etc/postfix/helo_access,		check_helo_access hash:/etc/postfix/helo_access,
			# отсекаем тех, кто представляется ИП-адресом.
			# это явное нарушение RFC, но практика показала, что это один из явных признаков спама.
			check_helo_access regexp:/etc/postfix/helo_regexp,
	# отсекаем почту с хостов (вида вроде news.intranet.),		# отсекаем почту с хостов (вида вроде news.intranet.),
	# не имеющих полноценного доменного		# не имеющих полноценного доменного
Строка 142:		Строка 145:

	/etc/postfix/helo_access		/etc/postfix/helo_access
	<pre>~~mysite~~.ru REJECT you are not in my local networks		<pre>example.com REJECT you are not in my local networks
	my.~~public~~.ip.~~address~~ REJECT you are not in my local networks</pre>		80.80.80.80 REJECT you are not in my local networks
			dc.DOM OK broken M$ Widnows server</pre>
	последняя строка иллюстрирует пример “продвинутого” респондента, чей компьютер выдает бесмысленное приветствие helo, а почту от такого респондента принимать надо.		последняя строка иллюстрирует пример “продвинутого” респондента, чей компьютер выдает бесмысленное приветствие helo, а почту от такого респондента принимать надо.

	/etc/postfix/dul_checks		/etc/postfix/dul_checks
	<pre>/\.~~dsl~~.\..\..*/i 553 ~~AUTO_DSL spam~~		<pre>/81-177-70-6\.donnetwork\.ru/i OK 81-177-70-6.donnetwork.ru (@aaanet.ru)
	/[ax]~~dsl~~.\..\..*/i 553 ~~AUTO_XDSL spam~~		/([0-9]-){3}[0-9](\..*){2,}/i 553 SPAM_ip-add-rr-ess_networks
	/client.\..\..*/i 553 ~~AUTO_CLIENT spam~~		/([0-9]\.){4}(.\.){3,}.*/i 553 SPAM_ip-add-rr-ess_networks
	/cable.\..\..*/i 553 ~~AUTO_CABLE spam~~		/.\..\...\.comcast\.net/i 553 SPAM_comcast-net
	/pool.\..\..*/i 553 ~~AUTO_POOL spam~~		/.yahoobb.\.bbtec\.net/i 553 SPAM_yahoobb_bbtec-net
	/dial.\..\..*/i 553 ~~AUTO_DIAL spam~~		/[0-9]{12}\.bbtec\.net/i 553 SPAM_host_bbtec-net
	/ppp.\..\..*/i 553 ~~AUTO_PPP spam~~		/.*\.broadband\.hu/i 553 SPAM_broadband-hu
	/dslam.\..\..*/i 553 ~~AUTO_DSLAM spam~~		/client.\..\..*/i 553 SPAM_CLIENT
	/~~node~~.\..\..*/i 553 ~~AUTO_NODE spam~~		/cable.\..\..*/i 553 SPAM_CABLE
	/~~dhcp~~.\..\..*/i 553 ~~AUTO_DHCP spam~~</pre>		/pool.\..\..*/i 553 SPAM_POOL
			/dial.\..\..*/i 553 SPAM_DIAL
			/ppp.\..\..*/i 553 SPAM_PPP
			/dslam.\..\..*/i 553 SPAM_DSLAM
			/dhcp.\..\..*/i 553 SPAM_DHCP
			/adsl\.r61\.net/i OK adsl.r61.net
			/adsl\.infotecstt\.ru/i OK adsl.infotecstt.ru
			/[\.-]dsl.\..\..*/i 553 SPAM_DSL
			/[ax]dsl.\..\..*/i 553 SPAM_XDSL
			/.([0-9]\.){4}cableonline\.com\.mx/i 553 SPAM_IP-cableonline-com-mx
			/.\.([0-9]\.){4}ip\.holtonks\.net/i 553 SPAM_ip-holtonks-net
			/([0-9]-){3}[0-9]\.fibertel\.com\.ar/i 553 SPAM_IP-fibertel-com-ar
			/.[0-9]-[0-9]*\.fibertel\.com\.ar/i 553 SPAM_IP-fibertel-com-ar
			/[0-9]*\.user\.veloxzone\.com\.br/i 553 SPAM_user-veloxzone-com-br
			/[0-9]*\.customer\.alfanett\.no/i 553 SPAM_customer-alfanett-no
			/.([0-9]-){3}[0-9]*\.telecom\.net\.ar/i 553 SPAM_host-telecom-net-ar
			/.(-[0-9]){2}\.telpol\.net\.pl/i 553 SPAM_host-telpol-net-pl
			/(.*\.){2}maxonline\.com\.sg/i 553 SPAM_host-maxonline-com-sg
			/(.-){2}.\.fairgamemail\.us/i 553 SPAM_host-fairgamemail-us
			/[0-9][0-9]-\.wispnet\.net/i 553 SPAM_host-wispnet-net
			/.-.(\..*){2}\.ne\.jp/i 553 SPAM_host-ne-jp
			/[0-9]\..\.ne\.jp/i 553 SPAM_h09t-ne-jp
			/(.*\.){3}ad\.jp/i 553 SPAM_host-ad-jp
			/(.*\.){4}revip\.asianet\.co\.th/i 553 SPAM_revip-asianet-co-th
			/[0-9]\..\.virtua\.com\.br/i 553 SPAM_host-virtua-com-br
			/([0-9]-){3}[0-9]\.exatt\.net/i 553 SPAM_host-exatt-net
			/([0-9]*\.){4}ip\.alltel\.net/i 553 SPAM_host-ip-alltel-net
			/[0-9]{6,}\.chello\.../i 553 SPAM_host-chello
			/.[0-9]\..*\.chello\.../i 553 SPAM_host-chello-xx
			/.\..\.t-dialin\.net/i 553 SPAM_t-dialin-net
			/.\..\.t-ipconnect\.de/i 553 SPAM_t-ipconnect-de
			/([0-9]-){2,3}[0-9]\..*\.cgocable\.net/i 553 SPAM_host-cgocable-net
			/.\..\.shawcable\.net/i 553 SPAM_host-shawcable-net
			/p[0-9]\.mp[0-9]\.aaanet\.ru/i 553 SPAM_aaa_modem_pool
			/([0-9]-){2}[0-9]\.ip\.adsl\.hu/i 553 SPAM_ip-adsl-hu
			/([0-9]{1,3}\.){2}broadband4\.iol\.cz/i 553 SPAM_broadband-iol-cz
			/.*\.yandex\.ru/i OK yandex.ru
			</pre>
	/etc/postfix/sender_access		/etc/postfix/sender_access
	<pre>/.*@aaanet\.ru/i OK		<pre>/.*@aaanet\.ru/i OK
Строка 164:		Строка 205:

	/etc/postfix/recipient_access		/etc/postfix/recipient_access
	<pre>/.*@~~aaanet~~\.ru/i OK</pre>		<pre>/.*@friends\.ru/i OK
			/.*evil\.org/i REJECT</pre>
	разрешаем отправку писем на эти адреса		разрешаем отправку писем на эти адреса

Строка 173:		Строка 215:
	/etc/postfix/body_checks		/etc/postfix/body_checks
	<pre>/^ < iframe src=(3D)?cid:.* height=(3D)?0 width=(3D)?0>$/ REJECT IFRAME vulnerability exploit</pre>		<pre>/^ < iframe src=(3D)?cid:.* height=(3D)?0 width=(3D)?0>$/ REJECT IFRAME vulnerability exploit</pre>

			файл /etc/postfix/helo_regexp:
			<pre>/([0-9]{1,3}(\.\|-)){3}[0-9]{1,3}/i REJECT IP-able helo SPAM</pre>
			запрещаем ИП-адрес в качестве HELO.
			Это явное нарушение RFC, но практика показала, что это работает без сбоев.

	после создания файлов helo_access, client_access и dul_checks необходимо выполнить		после создания файлов helo_access, client_access и dul_checks необходимо выполнить

Misha: Защищена страница «Борьба со спамом, средствами самого Postfix» [edit=autoconfirmed:move=autoconfirmed]

2007-10-25T05:18:50Z

Защищена страница «Борьба со спамом, средствами самого Postfix» [edit=autoconfirmed:move=autoconfirmed]

← Предыдущая версия	Версия от 08:18, 25 октября 2007
(нет различий)

Misha: Новая: По материалам статьи [http://www.mactime.ru/Environ/WebObjects/mactime.woa/wa/Main?textid=5409&level1=mactimes Антиспам без оружия, или настро...

2007-10-23T09:57:18Z

Новая: По материалам статьи [http://www.mactime.ru/Environ/WebObjects/mactime.woa/wa/Main?textid=5409&level1=mactimes Антиспам без оружия, или настро...

Новая страница

По материалам статьи [http://www.mactime.ru/Environ/WebObjects/mactime.woa/wa/Main?textid=5409&level1=mactimes Антиспам без оружия, или настройка Postfix]

'''Пролог:''' спам - чума 21 века. В данной статье приведены практические рекомендации, позволяющие избавиться от этой чумы.
==Имеем:==
стандартную конфигурацию почтовой системы, '''Postfix + SASL + CYRUS'''.
==Задача: ==
минимизировать трафик, поступаемый вместе со спамом, а также уменшить кол-во спама, попадающего в почтовые ящики конечных пользователей.
==Требуемая политика для Postfix:==
*разрешена отправка писем с адресов внутренней сети
*разрешен прием писем снаружи для адресатов внутри
*прием писем только от существующих и корректных адресатов
*прием писем только для имеющихся на сервере адресатов
*для отправки писем FROM: *@mysite.ru с невнутренних хостов требовать обязательную авторизацию, без авторизации письма отклонять
==Применяемые технические решения:==
*разрешать внутренним ип-адресам отправлять письма на несуществующие email-адреса (рассылка рекламного отдела)
*проверять существование и корректность адреса отправителя
*проверять существование и корректность адреса получателя
*проверять корректность IP-адреса сервера передающего письм
*проверять наличие IP-адреса отправителя в списках DNSBL
*отклонять письма с IP-адресов, определяемых как динамические (dialup & adsl)
*проверять заголовок письма на предмет наличия аттачя, содержащего файлы с неразрешенными типами расширений
для “особо продвинутых” респондентов применять “белые списки”

==Настройки:==
файл /etc/postfix/main.cf:
<pre># список подсетей, которым разрешена отправка писем, и на
# письма с которых многие проверки не распространяются.
# здесь не должно быть подсетей, которые не являются “внешними”
mynetworks = my.public.ip.address, 192.168.0.0/24, 10.0.14.0/24, 127.0.0.0/8
# отсекаем криво настроенные почтовые агенты
strict_rfc821_envelopes = yes

# запрещаем проверку отправителем существование адреса получателя
# на этапе передачи заголовка
disable_vrfy_command = yes

# разрешаем дополнительные проверки пока отправитель
# передает RCPT TO: и MAIL FROM: заголовки. Для детализации mail.log
smtpd_delay_reject = yes

# требуем от отправителя представиться
# (на том, как себя представляет передающий комп,
# основаны многие эффективные проверки "на вшивость"
# автоматических рассылок от зомби и троянов)
smtpd_helo_required = yes

# ограничения на приветствие отправителя
smtpd_helo_restrictions =
# отсекаем кривые адреса
reject_invalid_hostname,
# разрешаем "своим" почти все
permit_mynetworks,
# "Белый Список" должен быть впереди остальных проверок
# отсекаем приветствия отправителя от моего имени
# а также прописываем разрешения для "продвинутых"
check_helo_access hash:/etc/postfix/helo_access,
# отсекаем почту с хостов (вида вроде news.intranet.),
# не имеющих полноценного доменного
# имени вида что-то.домен.домен_верхнего_уровня
reject_non_fqdn_hostname,
# требуем отправителя представиться доменным именем,
# имеющим полноценный IP-адрес
reject_unknown_hostname,
# если все вышеперечисленное подошло, идем дальше
permit

# ограничения, проверяемые на этапе MAIL FROM:
smtpd_sender_restrictions =
# принимаем почту на отправку с "чужих" хостов, если пользователь
# авторизовался по логину/паролю
permit_sasl_authenticated,
# "своим" можно и "просто"
permit_mynetworks,
# разрешаем или запрещаем "продвинутым"
regexp:/etc/postfix/sender_access,
# см комментарий к разделу smtpd_helo_restrictions
reject_non_fqdn_sender,
reject_unknown_sender_domain,
# если все вышеперечисленное подошло, идем дальше
permit

# ограничения, проверяемые на этапе RCPT TO:
smtpd_recipient_restrictions =
# запрещаем выдачу писем в поток, как это делают
# нетерпеливые спаммеры
reject_unauth_pipelining,
# см комментарий к разделу smtpd_sender_restrictions
reject_non_fqdn_recipient,
reject_unknown_recipient_domain,
permit_sasl_authenticated,
permit_mynetworks,
# запрещаем или разрешаем "продвинутым"
regexp:/etc/postfix/recipient_access,
# !!! !!! !!! !!! !!!
# запрещаем прием и передачу писем, не относящихся к нам
# без этой строчки сервер становится open-relay

reject_unauth_destination,
# !!! !!! !!! !!! !!!
# если все вышеперечисленное подошло, идем дальше
permit

# проверяем, а не является (по признакам ДНС-имен) ли
# динамически-назначаемым IP-адрес хоста-отправителя (определяемого
# по соединению, а не по приветствию или разрешенному ДНС/IP-адресу)
smtpd_client_restrictions =
# разрешаем "своим" почти все
permit_mynetworks,
# прописываем адреса "продвинутых" в белом списке
hash:/etc/postfix/client_access,
# в файле dul_checks регулярные выражения доменных имен,
# наиболее часто используемых для обратных зон блоков
# динамически назначаемых адресов и
# широкополосных клиентских подключений
regexp:/etc/postfix/dul_checks,
# проверяем IP-адрес отправителя по спискам DNSBL (www.ordb.org)
reject_rbl_client list.dsbl.org,
reject_rbl_client bl.spamcop.net,
reject_rbl_client cbl.abuseat.org,
reject_rbl_client psbl.surriel.com,
reject_rbl_client spamsources.fabel.dk,
reject_rbl_client opm.blitzed.org,
reject_rbl_client combined.njabl.org,
reject_rbl_client relays.ordb.org,
reject_rbl_client dul.ru,
reject_rbl_client dialup.balcklist.jippg.org,
reject_rbl_client relays.mail-abuse.org,
reject_rbl_client dnsbl.sorbs.net,
# требуем определяемого обратного ДНС-имени IP-адреса хоста-client
reject_unknown_client

# запрещаем прием писем с вирями (по расширениям файлов) в атачах
header_checks = regexp:/etc/postfix/header_checks

# запрещаем прием писем с картинками ведущим по ссылкам в IFRAME
body_checks = regexp:/etc/postfix/body_checks</pre>

остальное вообщем-то на усмотрение или стандартно.

теперь указанные в кач-ве параметров файлы:

/etc/postfix/helo_access
<pre>mysite.ru REJECT you are not in my local networks
my.public.ip.address REJECT you are not in my local networks</pre>
последняя строка иллюстрирует пример “продвинутого” респондента, чей компьютер выдает бесмысленное приветствие helo, а почту от такого респондента принимать надо.

/etc/postfix/dul_checks
<pre>/\.dsl.*\..*\..*/i 553 AUTO_DSL spam
/[ax]dsl.*\..*\..*/i 553 AUTO_XDSL spam
/client.*\..*\..*/i 553 AUTO_CLIENT spam
/cable.*\..*\..*/i 553 AUTO_CABLE spam
/pool.*\..*\..*/i 553 AUTO_POOL spam
/dial.*\..*\..*/i 553 AUTO_DIAL spam
/ppp.*\..*\..*/i 553 AUTO_PPP spam
/dslam.*\..*\..*/i 553 AUTO_DSLAM spam
/node.*\..*\..*/i 553 AUTO_NODE spam
/dhcp.*\..*\..*/i 553 AUTO_DHCP spam</pre>
/etc/postfix/sender_access
<pre>/.*@aaanet\.ru/i OK
/.*@.*tele2\.../i REJECT</pre>
здесь задаем маски адресов, от кого мы хотим получать корреспонденцию несмотря на то, что домены этих адресов могут быть неопределены.<br />
Нижняя строчка также иллюстрирует блокировку распространненного спама, якобы от пользователей Tele2.

/etc/postfix/recipient_access
<pre>/.*@aaanet\.ru/i OK</pre>
разрешаем отправку писем на эти адреса

/etc/postfix/header_checks
<pre>/^content-(type|disposition):.*name[[:space:]]*=.*\.(dll|vbs|pif|com|bat|scr|lnk)/ REJECT Prohibited attachement file name extension: $2</pre>
конечно, вирь может прийти в виде файла с расширением EXE или ZIP, но это могут быть и нормальные файлы

/etc/postfix/body_checks
<pre>/^ < iframe src=(3D)?cid:.* height=(3D)?0 width=(3D)?0>$/ REJECT IFRAME vulnerability exploit</pre>

после создания файлов helo_access, client_access и dul_checks необходимо выполнить
<pre>server# postmap helo_access
server# postmap client_access
server# postmap dul_checks
server# postfix check</pre>
и если все прошло без ругани, то
<pre>server# postfix reload </pre>
и можно смотреть лог-файл на предмет ошибок и наличие ошибочных срабатываний (if ever any :) ).

В моем примере я несколько дней изучал журналы /var/log/mail.log на предмет ложных срабатываний, и не обнаружил ни одного случая блокировки нормальной почты по вине нашего сервера (один из респондентов пытался отправлять письма с просроченного домена, записи о котором оставались в whois и были убраны из DNS). Следует отметить, что встречались очень искусные попытки мимикрии под реальные емайл-адреса, которые тем не менее легко проверялись с помощью whois-запросов.

В течение двух недель также выявились “продвинутые” респонденты, которые отсылали письма с адресов, не имеющих ДНС-имен или с некорректным HELO.
Для них всех были добавлены записи в “белые списки”, что также решило проблему.

Как показал опыт, DNSBL-проверки отсекают примерно 70% спама в процессе приема заголовков, и на этом экономится трафик не принятых тел писем спамов (примерно 20-50 kb на каждой попытке, а их может быть примерно 30-50 тыс в неделю).

Удивительное рядом, но на проверках HELO/EHLO отсекается большинство хитрых спаммеров, которые пытаются замаскироваться под приличный сервер(10% от общего числа писем). А на проверках по выражениям dul_checks вместе с требованием существования и корректности обратного ДНС-имени хоста-отправителя эффективно отсекаются хосты-зомби с динамическими адресами.

Это особенно актуально в связи с тем, что динамически выделяемые IP-адреса технически не очень эффективно попадают в DNSBL-списки, так как часто к моменту проверки на open-relay'ность некоторого адреса на нем уже “сидит” совершенно другой комп. Зато по обратным доменным именам такие адреса легко распознаются :), и это не зависит от спаммеров, а только от ISP.

Приведенные настройки обеспечили эффективную фильтрацию спама, уменьшив его кол-во на порядок (с 300-500 спамов в сутки до 10-15 на один ящик электронной почты).

Для сервера с 30 почтовыми ящиками (примерно 5 тыс принятых и 10 тыс отклоненных писем в неделю) кумулятивная экономия трафика составляет примерно 300 мб в неделю, или около полутора гигабайт в месяц.

Стоит отметить, что вместе с “закручиванию гаек” для проверок на этапе SMTP-соединений осуществлялись offline-меры по борьбе со спамом. Среди них анализ тенденций по журналу mail.log, отсылка spam-report'ов на www.spamcop.net и DSBL-проверки IP-адресов из спамных писем.

"Спам - явление социальное, и только объединившись и действуя сообща, мы сможем его победить" (Кто-то из великих)