Это хорошая практика или слишком суровый, чтобы отклонять почту с почтовых серверов без RDNS

Я недавно удалил SpamAssassin и теперь основываю отклонение спама на DNSRBL, сером списке и других базовых тестах, и мне интересно, должен ли я также блокировать хосты, у которых нет действительного RDNS, соответствующего EHLO?

Если я сделаю это, я собираюсь доставить неприятности за много законной почты и расстроить моих клиентов? Я слышал, как люди говорят, что AOL делают это, и это заставляет меня думать, что это слишком необычно для меня.

Мне также интересно, могу ли я пойти на компромисс, проверив, что RDNS по крайней мере настроен на что-то, но не попытаться сопоставить его с EHLO. Возможно ли это с Postfix (и полезно ли это)?

Я испробовал несколько подходов с проверкой HELO / EHLO с довольно приличной клиентской базой от 100 до 200 тыс. Пользователей, и в итоге выбрал решение, которое выполняет следующее:

• Убедитесь, что HELO / EHLO содержит доменное имя. - Это в основном сводится к тому, что в названии есть точка. Проверка DNS на имени привела к МНОГИМ отказавшим серверам, поскольку весьма обычно, чтобы сервер представил внутреннее имя или что-то, что вы не можете разрешить должным образом.
• Убедитесь, что IP-адрес имеет обратную запись DNS. - Опять же, это слабая настройка, поскольку мы не сравниваем ее с HELO / EHLO. Проверка на HELO / EHLO создала так много билетов, что эта настройка не продлилась ни одного дня.
• Проверьте правильность имени домена отправителей. - Это базовая проверка, чтобы удостовериться, что если нам действительно нужно отослать сообщение, найдется хотя бы какой-нибудь способ найти сервер для него.

Вот блок Postfix, который мы используем для этих проверок:

smtpd_recipient_restrictions =
    reject_non_fqdn_sender,
    reject_unauth_destination,
    reject_unknown_reverse_client_hostname,
    reject_invalid_helo_hostname,
    reject_non_fqdn_helo_hostname,
    reject_unknown_sender_domain,
    reject_non_fqdn_recipient

Крайне распространено блокировать SMTP-серверы, у которых нет этих основ:

1. Имя хоста в HELO forward преобразуется в IP-соединение, возникшее из.
2. Исходный IP-адрес подключения обращается к имени хоста, указанному в HELO.
3. Если существуют политики SPF, DKIM или DMARC, проверьте.

Любой, кто пытается получить блокировку из-за одного из них, должен быть закрашен и обработан.
Я буду сочувствовать людям, которые в конечном итоге будут заблокированы по другим причинам, особенно в ситуациях, которые основаны на соответствии RFC в «ненормальных» ситуациях. Спам - это такая проблема, что просто нет оправдания отсутствию основ.

Я ожидаю, что отправка MTA будет иметь действительный RDNS, но настаивать на сопоставлении EHLO будет зависеть от того, кто «клиенты». Вы можете найти некоторые интересные рекомендации в RFC5321 :

2.3.5.

(...) Доменное имя, указанное в команде EHLO, ДОЛЖНО быть либо основным именем хоста (доменное имя, которое разрешается в адрес RR), либо, если у хоста нет имени, адресным литералом (...)

4.1.4.

(...) SMTP-сервер МОЖЕТ проверить, что аргумент имени домена в команде EHLO действительно соответствует IP-адресу клиента. Однако, если проверка не удалась, сервер НЕ ДОЛЖЕН отказать в приеме сообщения на этой основе.

но потом в 7,9.

Это общепризнанный принцип, согласно которому SMTP-сервер может отказаться принимать почту по любой операционной или технической причине, которая имеет смысл для сайта, предоставляющего сервер. (...)

Обратный поиск не обязательно указывает на имя хоста, указанное в HELO. Иногда несколько доменов размещаются на одном хосте, и все они имеют одинаковый IP-адрес. Но когда вы попытаетесь выполнить обратный поиск, вы получите имя, которое было помещено в PTR-запись. Очевидно, что оба FQDN будут разными - и это полностью приемлемо.

Единственное обстоятельство, которое позволяет отбросить сообщение - неудачный обратный поиск. Любой успешный поиск означает, что хост действителен. Имена не должны совпадать.

Мне интересно, должен ли я также блокировать хосты, у которых нет действительного RDNS, соответствующего EHLO?

Нет, ты не должен Блокирует всю электронную почту только по одному критерию, это плохая практика.

Если я сделаю это, я собираюсь доставить неприятности за много законной почты и расстроить моих клиентов?

Скорее всего, вы потеряете законную почту

Мне также интересно, могу ли я пойти на компромисс, проверив, что RDNS по крайней мере настроен на что-то, но не попытаться сопоставить его с EHLO. Возможно ли это с Postfix (и полезно ли это)?

да, это возможно. Вы можете использовать reject_unknown_reverse_client_hostname вместо reject_unknown_client_hostname

К сожалению, у postfix нет гибких опций для «сложного решения». В exim вы можете добавить несколько пунктов для таких писем, например:

Score = 0 
1. The HELO or EHLO hostname is not in fully-qualified domain or address literal form. Score +=10
2. The HELO or EHLO hostname has no DNS A or MX record. Score +=20
3. The HELO or EHLO hostname is listed with the A record "d.d.d.d" under rbl_domain. Score +=20
4. The sender domain has no DNS A or MX record. Score +=10
5. SPF checks return softfail. Score +=10, fail, Score +=20
...

И так далее. После того, как все проверки будут завершены, и если у вас есть Счет> 100, вы можете отклонить почту. На самом деле вы можете получить такое поведение, но вам нужно будет написать свой собственный сервис политики