[debian] postfix en hoog aantal rejections

[Profidiam]

Sinds een aantal weken is het aantal rejections op onze mailserver specataculair gestegen (van 10% naar 43%). Ik vraag mij af van waar dit afkomstig is. Het aantal legitieme mails is niet in dezelfde grootte-orde gestegen.
Wat me vooral zorgen maakt is dat er in het aantal rejections vrij constant is ('snachts en overdag +- dezelfde hoeveelheid) , terwijl het legitieme verkeer duidelijk 's nachts minder groot is dan overdag.

Heeft iemand enig idee wat dit zou kunnen veroorzaken? Als ik naar de smtp logs kijk, zie ik geen specifieke afzender, maar een reeks van hosts die geweigerd worden. Zit mijn server in een lijst van spammers die continu proberen met een stroom berichten? Heeft iemand dit al eens gezien/meegemaakt?

[Wilke]

Zit er nog enige logica in die reeks van hosts? Bijvoorbeeld allemaal in een bepaald land of subnet of whatever?

Ik bedoel, hoe kunnen wij hier iets zinvols over zeggen zonder die logs te kunnen zien?

Misschien is het tijd voor een block op IP-level van bepaalde IP-ranges (ik denk dat je niet de eerste bent die bv. compleet Rusland en China zou blocken..), hoewel je dat waarschijnlijk beter niet kunt doen als de mogelijkheid bestaat dat je daar klanten of medewerkers hebt zitten

[Profidiam]

De massa van de rejections is om deze reden : Sender address rejected: Domain not found Allemaal afkomstig van slechts een aantal adressen :

279 [e-mail]
279 [e-mail]
186 [e-mail]
186 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]
93 [e-mail]


Een stukje log :


Feb 23 11:42:46 localhost fetchmail[15913]: reading message [e-mail]:28 of 39 (15969 octets)
Feb 23 11:42:47 localhost pop3-login: Login: [e-mail] [81.82.234.16]
Feb 23 11:42:47 localhost postfix/smtpd[21637]: NOQUEUE: reject: RCPT from localhost[127.0.0.1]: 450 <[e-mail]>: Sender address rejected: Domain not found; from=<[e-mail]> to=<[e-mail]> proto=ESMTP helo=<localhost>
Feb 23 11:42:48 localhost fetchmail[15913]: SMTP error: 450 <[e-mail]>: Sender address rejected: Domain not found
Feb 23 11:42:49 localhost postfix/smtpd[21637]: too many errors after RCPT from localhost[127.0.0.1]
Feb 23 11:42:49 localhost postfix/smtpd[21637]: disconnect from localhost[127.0.0.1]
Feb 23 11:42:49 localhost fetchmail[15913]: not flushed
Feb 23 11:42:49 localhost fetchmail[15913]: reading message [e-mail]:29 of 39 (1444 octets)
Feb 23 11:42:50 localhost fetchmail[15913]: not flushed


blijkbaar heeft fetchmail er nog iets mee te zien ook ...

[Adrianb]

Ik ken geen zak van deze dingen, maar is dit niet gewoon een soort aanval om meer bandwith x load te veroorzaken?

[Verwijderd]

Domain not found betekend dus dat ewv.be geen mx record heeft in de DNS (dit heeft hij ook niet heb het gecheckt). Die accepteerd jouw mailserver dus niet! Jpuw server is denk ik gewoon in een lijstje terecht gekomen voor attacks. Vooral die mooie 93 van die hosts.

[Verwijderd]

Profidiam schreef op donderdag 23 februari 2006 @ 13:42:
Feb 23 11:42:47 localhost postfix/smtpd[21637]: NOQUEUE: reject: RCPT from localhost[127.0.0.1]: 450 <[e-mail]>: Sender address rejected: Domain not found; from=<[e-mail]> to=<[e-mail]> proto=ESMTP helo=<localhost>
Feb 23 11:42:48 localhost fetchmail[15913]: SMTP error: 450 <[e-mail]>: Sender address rejected: Domain not found
Feb 23 11:42:49 localhost postfix/smtpd[21637]: too many errors after RCPT from localhost[127.0.0.1]
Feb 23 11:42:49 localhost postfix/smtpd[21637]: disconnect from localhost[127.0.0.1]

Nu ben ikzelf meer een Sendmail gebruiker en ken de logging van Postfix niet zo verschrikkelijk goed, maar volgens mij probeert iemand je MTA als (open)relay te gebruiken. Het feit dat postfix de mail reject heeft te maken met de volgorde waarop hij de mail controleert. Ik verwacht/hoop dat de "relaying denied" regel hierna komt. Controleer je MTA voor de zekerheid even via ORDB.

[Thc_Nbl]

tjsa , dat zijn toch of virussen of spammers hoor die email adressen,
om dat tegen te gaan heb ik deze rbl servers in postfix gezet en dat scheelt
weer ook hoop onduidelijkheden ( en spam en virussen natuurlijk ) ;-)
onder staan een stukje van mijn postfix opzet, ik heb ook smtp-auth op ssl vandaar de sasl_auth..

de db.spamtram bevast een emailadres met een DISCARD er bij
b.v. [e-mail] DISCARD , plaats een fake email adres b.v. [e-mail]
op je site in dezelfde kleur als je achtergrond. een robot zit dit en zal deze harvesten maar een mens niet.
zet [e-mail] DISCARD en je hebt veel minder spam, op deze manier krijg je ook geen meldingen en wordt de spam aan de voordeur al tegen gehouden en kost het dus weer minder cpu tijd e.d.

reject_rbl_client relays.ordb.org,
reject_rbl_client bl.spamcop.org,
reject_rbl_client sbl-xbl.spamhaus.org,
zijn blok list servers en moet zeggen laatst sbl-xbl.spamhaus.org erbij gestopped en deze blokkeerd
zeker 80-90 % van alle spam en virus versprijders.


smtpd_recipient_restrictions = permit_mynetworks,
permit_sasl_authenticated,
check_recipient_access hash:/etc/postfix/db.spamtrap,
reject_invalid_hostname,
reject_unknown_sender_domain,
reject_unauth_pipelining,
reject_unknown_recipient_domain,
reject_non_fqdn_sender,
check_client_access mysql:/etc/postfix/my_pbsp.cf
reject_rbl_client relays.ordb.org,
reject_rbl_client bl.spamcop.org,
reject_rbl_client sbl-xbl.spamhaus.org,
reject_non_fqdn_recipient,
reject_unauth_destination