Re: Postfix: ordre des vérifications (greylisting, RBL)?

[mouss <mouss@netoyen.net>]

Julien Valroff wrote:
> [snip]
> C'est un petit serveur avec seulement 3 ou 4 utilisateurs réguliers, je
> suis de loin celui qui reçoit le plus de mail, donc mon approche est la
> bonne.
>
>   


dans une config "normale", l'approche 1 est la plus commune (lancer le 
GL à la fin).

> postgrey a comme configuration par défaut de whitelister automatiquement
> tous les serveurs ayant passé cette barrière avec succès 5 fois
> (configurable bien entendu), en plus d'une whitelist maintenue
> manuellement par les développeurs (listant les plus gros serveurs ayant
> des problèmes avec le greylisting ou ceux qui sont bien connus de tous).
>
> Le paquet Debian a par ailleurs ajouté les serveurs debian.org ("and
> related") sur lesquels tournent de vrai serveurs smtp.
> J'ai de mon coté ajouté certains serveurs de mailing-lists afin d'éviter
> le problème dont tu parles plus haut.
>   

tu peux utiliser dnswl comme liste blanche. Pour cela, il faut la 
telecharger avec rsync
   http://www.dnswl.org/tech#rsync
et l'utiliser avec un
   check_client_access cidr:/chemin/vers/postfix-dnswl-permit

comme ça, pas de risque de bloquer un "bon" client, et ça évite de 
devoir gérer ça en interne. Par exemple:

$ grep -i debian 
/usr/local/etc/postfix/maps/cidr/dnswl.org/postfix-dnswl-permit
217.196.43.134/32       permit_auth_destination low debian.org DNSWLId 1791
202.134.73.140/32       permit_auth_destination low debian.org.hk 
DNSWLId 8772
202.134.73.139/32       permit_auth_destination low debian.org.hk 
DNSWLId 8772
194.109.137.218/32      permit_auth_destination low debian.org DNSWLId 1791
192.25.206.59/32        permit_auth_destination low debian.org DNSWLId 1791
192.25.206.57/32        permit_auth_destination low debian.org DNSWLId 1791
192.25.206.33/32        permit_auth_destination low debian.org DNSWLId 1791
192.25.206.28/32        permit_auth_destination low debian.org DNSWLId 1791
192.25.206.16/32        permit_auth_destination low debian.org DNSWLId 1791
192.25.206.10/32        permit_auth_destination low debian.org DNSWLId 1791
146.82.138.6/32 permit_auth_destination low debian.org DNSWLId 1791
140.211.166.43/32       permit_auth_destination low debian.org DNSWLId 1791
87.106.4.56/32  permit_auth_destination low debian.org DNSWLId 1791
86.59.118.152/32        permit_auth_destination med debian.or.at DNSWLId 
11329
86.59.21.34/32  permit_auth_destination low debian.or.at DNSWLId 6694
82.195.75.100/32        permit_auth_destination low debian.org DNSWLId 1791
80.68.80.176/32 permit_auth_destination none debian-administration.org 
DNSWLId 3368
78.47.201.134/32        permit_auth_destination low debianforum.de 
DNSWLId 11631
70.103.162.31/32        permit_auth_destination low debian.org DNSWLId 1791
70.103.162.29/32        permit_auth_destination low debian.org DNSWLId 1791


> Pour moi, les résultats ne sont pas vraiment probants, les RBL sont de
> loin la technique me permettant d'éliminer le plus de spam, 

ici, reject_non_fqdn_helo_hostname vire plus de 30% des transactions 
(par transaction, je veux dire un RCPT TO. donc un client qui tente 
d'envoyer à plusieurs destinataires sera compté plusieurs fois).

> mais comme
> je n'ai pas leur contrôle, je n'ai pas vraiment confiance (certaines des
> plus connues ont déjà blacklisté les serveurs Debian ou ceux d'Orange
> notamment).
>   

tu parles de sorbs? il y a eu une "bataille" entre sorbs et orange. le 
tort est partagé. Orange n'ont pas été très fins: ils ont demandé aux 
hebergeurs de sorbs de virer sorbs... 

zen.spamhaus.org a la réputation d'etre "safe" et suffit par rapport aux 
autres.