[Postfix] Nieuw domein mag niet naar buiten mailen

[Demo]

Ik draai al jaren een Postfix-server met een MySQL-backend voor virtuele gebruikers op diverse domeinen, zonder noemenswaardige problemen. Nou heb ik laatst geprobeerd om een extra domein toe te voegen, maar ik krijg steeds de volgende foutmelding terug:

code:

This is the mail system at host DEADBEEF.cm-6-8d.dynamic.ziggo.nl.

I'm sorry to have to inform you that your message could not
be delivered to one or more recipients. It's attached below.

For further assistance, please send mail to postmaster.

If you do so, please include this problem report. You can
delete your own text from the attached returned message.

                   The mail system

<[e-mail]>: host smtp.ziggo.nl[212.54.42.9] said: 550 Sender
    e-mail address invalid / Afzender e-mail adres bestaat niet (in reply to
    MAIL FROM command)
Reporting-MTA: dns; DEADBEEF.cm-6-8d.dynamic.ziggo.nl
X-Postfix-Queue-ID: 371C714C7F
X-Postfix-Sender: rfc822; [e-mail]
Arrival-Date: Tue, 28 Jul 2015 19:19:49 +0200 (CEST)

Final-Recipient: rfc822; [e-mail]
Original-Recipient: rfc822;[e-mail]
Action: failed
Status: 5.0.0
Remote-MTA: dns; smtp.ziggo.nl
Diagnostic-Code: smtp; 550 Sender e-mail address invalid / Afzender e-mail
    adres bestaat niet

Het lijkt er dus op alsof de SMTP relay van Ziggo de nieuwe domeinnaam niet accepteert, terwijl het adres bestaat, het MX record verwijst naar dezelfde server als alle andere domeinen die wel gewoon kunnen mailen, het SPF-record verwijst is hetzelfde als op de andere domeinen. (include het spf-record van mijn eigen domeinnaam)
Zie ik hier nou iets heel voor de hand liggends over het hoofd of is er toch iets vreemds aan de hand? Heb de melding uiteraard gegoogled, maar dan kom ik vooral op mensen die config-foutjes hebben gemaakt die er bij mij allemaal niet in zitten.

[CAPSLOCK2000]

Ziggo klaagt over het sender-adres. Dat heeft hier geen relatie met het nieuwe domein he? Is dat echt "[e-mail]"? Probeer het eens met een niet-hotmail.com adres. Doe je nog iets met DKIM?

[johnkeates]

Staat de DNS zone voor het domein dat je toevoegt goed?

[Bastien]

Wat staat er in de email dan als afzender? Zeker weten dat het de domeinnaam is en geen local iets? Kijk dus even in de email zelf in de sent items. Weet even niet zeker of in de mail.log dit ook correct wordt weergegeven.

Anders is dit misschien nog een mogelijkheid om te doen?

[ Voor 20% gewijzigd door Bastien op 28-07-2015 22:24 ]

[Hero of Time]

Wat is het domein van de mail die je hiervoor had en nog gewoon werkt en wat is het domein wat je nu probeert toe te voegen? Ik heb zo het idee dat de SMTP server van Ziggo zo is ingesteld dat het maar bepaalde mail domeinen mag relayen, al het anderen geeft 't terug met een foutmelding.

Is het domein werkelijk outlook.com of hotmail.com, dan moet je voor dat domein de SMTP servers van Microsoft gebruiken.

[Demo]

CAPSLOCK2000 schreef op dinsdag 28 juli 2015 @ 22:07:
Ziggo klaagt over het sender-adres. Dat heeft hier geen relatie met het nieuwe domein he? Is dat echt "[e-mail]"? Probeer het eens met een niet-hotmail.com adres. Doe je nog iets met DKIM?

Ik moet via de SMTP-relay mailen van Ziggo, omdat 25 outbound geblokkeerd wordt. Dus de sender is een adres op het nieuwe domein waarmee ik probeer te mailen. Hetzelfde gebeurt bij mailen naar Gmail.

Hero of Time schreef op dinsdag 28 juli 2015 @ 22:27:
Wat is het domein van de mail die je hiervoor had en nog gewoon werkt en wat is het domein wat je nu probeert toe te voegen? Ik heb zo het idee dat de SMTP server van Ziggo zo is ingesteld dat het maar bepaalde mail domeinen mag relayen, al het anderen geeft 't terug met een foutmelding.

Is het domein werkelijk outlook.com of hotmail.com, dan moet je voor dat domein de SMTP servers van Microsoft gebruiken.

Mijn eigen domeinnaam is fscker.nl, die gebruik ik zowel als intern als extern domein. Verder ontvang ik nog mail voor wat vrienden en vriendinnen en nu wilde ik daar voor mijn zusje supermerkatie.nl aan toevoegen. Inkomende mail wordt ontvangen, maar uitgaande mail lijkt dus te worden gebounced door de relay. Alleen voor dit ene nieuwe domein, alle andere domeinen kunnen zonder problemen naar buiten mailen. Ik mail dus vanaf eigen domeinnamen naar Hotmail, ik probeer me niet voor te doen als een Outlook/Hotmail adres via de Ziggo relay. Ik heb ook al gezocht naar enige documentatie over de restricties van de Ziggo SMTP-server, maar helaas niets kunnen vinden

[Hero of Time]

Heb je al contact opgenomen met de supportdesk van Ziggo? Zij kunnen je vast wel helpen, desnoods doorsturen naar 2e/3e lijns. Ik weet uit ervaring dat de zakelijke relay server zo goed als geen restricties heeft, zolang het maar uit het Ziggo netwerk komt (dus als KPN klant kan je de relay van Ziggo niet gebruiken).

[Demo]

Vaagheid:

code:

Connected to smtp.mail.gtm.iss.as9143.net.
Escape character is '^]'.
220-smtp9.tb.mail.iss.as9143.net ESMTP Wed, 29 Jul 2015 11:47:45 +0200
220-Sending spam or unsolicited commercial e-mail to this server is strictly
220-prohibited by our NO UBE / NO UCE policy. Abuse will be prosecuted and/or
220 charged per attempted recipient at international postal rates.
EHLO fscker.nl
250-smtp9.tb.mail.iss.as9143.net Hello 5357d32a.cm-6-8d.dynamic.ziggo.nl [83.87.                                                                                                                                                                                               211.42]
250-SIZE 31457280
250-8BITMIME
250-PIPELINING
250 HELP
MAIL FROM: [e-mail]
250 OK

code:

EHLO supermerkatie.nl
250-smtp9.tb.mail.iss.as9143.net Hello 5357d32a.cm-6-8d.dynamic.ziggo.nl [83.87.                                                                                                                                                                                               211.42]
250-SIZE 31457280
250-8BITMIME
250-PIPELINING
250 HELP
MAIL FROM: [e-mail]
RCPT TO: 550 Sender e-mail address invalid / Afzender e-mail adres bestaat niet

Direct tegen de Ziggo relay aan ge-telnet. Ik ga hun hulp inderdaad maar inschakelen...

[MartinMeijerink]

Jouw ipadres is geblacklist, zie https://mxtoolbox.com/Pro...blacklist&ip=83.87.211.42, misschien heeft dit er iets mee te maken?

[DiedX]

MartinMeijerink schreef op woensdag 29 juli 2015 @ 17:45:
Jouw ipadres is geblacklist, zie https://mxtoolbox.com/Pro...blacklist&ip=83.87.211.42, misschien heeft dit er iets mee te maken?

Nee, want het is een dynamische range, dus die zit altijd in Zen.

[CyBeR]

$host -t MX supermerkatie.nl
supermerkatie.nl mail is handled by 10 mail.fscker.nl.
$host mail.fscker.nl
mail.fscker.nl has IPv6 address 2001:1af8:fe00:83e0::cb
$

Moet je niet een IPv4-adres opgeven denk je?

[Bastien]

Het lijkt mij dat Ziggo op haar eigen relay niet de IP's uit de eigen range gaat blacklisten. Al weet je maar nooit.

Inderdaad zoals Cyber zegt bestaat er geen A record voor mail.fscker.nl. Je hebt op dat domein zelf als MX record fscker.nl. Geen idee of Ziggo al met IPv6 om kan gaan op de mailserver maar hoe dan ook zou ik het dan allebei in de DNS zone zetten.

[MartinMeijerink]

Ik zie wel verschillen in je TXT-records:

fscker.nl.              280     IN      TXT     "v=spf1 mx a ptr:mail.iss.as9143.net ~all"
supermerkatie.nl.       13887   IN      TXT     "v=spf1 mx a include:fscker.nl ~all"

Op zich klopt die onderste ook gewoon, maar als je nou eens voor de gein die van supermerkatie.nl gelijk maakt aan die van fscker.nl? Misschien snapt Ziggo je include mechanisme niet?

[Demo]

CyBeR schreef op woensdag 29 juli 2015 @ 17:49:

$host -t MX supermerkatie.nl
supermerkatie.nl mail is handled by 10 mail.fscker.nl.
$host mail.fscker.nl
mail.fscker.nl has IPv6 address 2001:1af8:fe00:83e0::cb
$

Moet je niet een IPv4-adres opgeven denk je?

Ik heb het nu expliciet als A-record aangemaakt, maar in principe zou een IPv4 lookup van mail.fscker.nl via een wildcard CNAME uit moeten komen op mijn IPv4-adres.

MartinMeijerink schreef op woensdag 29 juli 2015 @ 17:45:
Jouw ipadres is geblacklist, zie https://mxtoolbox.com/Pro...blacklist&ip=83.87.211.42, misschien heeft dit er iets mee te maken?

Één listing van de 104 die ze checken, met de volgende uitleg:
Dynamic-based Blacklists will list many DHCP ranges of IP Addresses from Internet Service Providers. You could be listed if your IP Address was previously dynamically assigned, or if your ISP gave you a static assignment and did not assign a distinguished PTR-Record, aka a "Reverse DNS Entry."

Het is natuurlijk een dynamisch IP-adres, dus die vind ik niet zo gek. Daarnaast zou ook dat moeten betekenen dat ik met geen enkel adres naar buiten zou kunnen mailen.

MartinMeijerink schreef op woensdag 29 juli 2015 @ 22:44:
Ik zie wel verschillen in je TXT-records:

fscker.nl.              280     IN      TXT     "v=spf1 mx a ptr:mail.iss.as9143.net ~all"
supermerkatie.nl.       13887   IN      TXT     "v=spf1 mx a include:fscker.nl ~all"

Op zich klopt die onderste ook gewoon, maar als je nou eens voor de gein die van supermerkatie.nl gelijk maakt aan die van fscker.nl? Misschien snapt Ziggo je include mechanisme niet?

Gedaan, meteen ook het IPv6 adres toegevoegd.

[CyBeR]

Demoniac schreef op woensdag 29 juli 2015 @ 22:54:
[...]
Ik heb het nu expliciet als A-record aangemaakt, maar in principe zou een IPv4 lookup van mail.fscker.nl via een wildcard CNAME uit moeten komen op mijn IPv4-adres.

Je kunt geen CNAME en iets anders tegelijk hebben voor hetzelfde label. Dat werkt niet. Dus haal je AAAA weg of maak er een A naast en haal je CNAME weg. (Spectechnisch is de CNAME weghalen de beste optie trouwens.)

[ Voor 6% gewijzigd door CyBeR op 29-07-2015 23:26 ]

[Demo]

Het expliciet aanmaken van mail.fscker.nl als A-record bleek de oplossing. Dank voor het meedenken, ik heb ook weer iets geleerd

[Thc_Nbl]

Als je niet je server via de ziggo relay laat sturen, bestaat de kans dat je mail alsnog geweigerd wordt.

lees RFC2821 b.v. even,

je server moet namelijk een A of MX en PTR record hebben.
Als je reverse record, terugkomt met b.v.
5357d32a.cm-6-8d.dynamic.ziggo.nl

dan zal je mail bij veel servers geweigerd worden omdat je vanaf een dynamisch ip mailt.

test bv. je server even via mxtoolbox.com en http://www.emailsecuritygrader.com/
en als laatste even een testje via http://multirbl.valli.org/ testen of je ip niet ergens geblack list wordt.

De RFC voor mail servers.
hier staat https://tools.ietf.org/html/rfc2821.

3.6 Domains


Only resolvable, fully-qualified, domain names (FQDNs) are permitted
when domain names are used in SMTP. In other words, names that can
be resolved to MX RRs or A RRs (as discussed in section 5) are
permitted, as are CNAME RRs whose targets can be resolved, in turn,
to MX or A RRs. Local nicknames or unqualified names MUST NOT be
used. There are two exceptions to the rule requiring FQDNs:

- The domain name given in the EHLO command MUST BE either a primary
host name (a domain name that resolves to an A RR) or, if the host
has no name, an address literal as described in section 4.1.1.1.

- The reserved mailbox name "postmaster" may be used in a RCPT
command without domain qualification (see section 4.1.1.3) and
MUST be accepted if so used.

Iets wat veel mensen fout hebben staan.
vooral dat stukje :
EHLO command MUST BE either a primary
host name (a domain name that resolves to an A RR) or, if the host
has no name, an address literal as described in section 4.1.1.1.

[DiedX]

Demoniac schreef op woensdag 29 juli 2015 @ 22:54:
[...]
Ik heb het nu expliciet als A-record aangemaakt, maar in principe zou een IPv4 lookup van mail.fscker.nl via een wildcard CNAME uit moeten komen op mijn IPv4-adres.

Volgens mij mocht een MX niet op een CNAME uitkomen. Ik snap het probleem echter niet meer, ik ben benieuwd wat Ziggo erop te zeggen heeft...

Thc_Nbl schreef op maandag 03 augustus 2015 @ 13:04:
Als je niet je server via de ziggo relay laat sturen, bestaat de kans dat je mail alsnog geweigerd wordt.

lees RFC2821 b.v. even,

je server moet namelijk een A of MX en PTR record hebben.
Als je reverse record, terugkomt met b.v.
5357d32a.cm-6-8d.dynamic.ziggo.nl

Hoewel je theoretisch gezien gelijk hebt, is een mailbeheerder die FQDN afdwingt ronduit anaal bezig. 95% van de mail zal dan geweigerd worden...

[ Voor 38% gewijzigd door DiedX op 03-08-2015 13:15 ]

[Thc_Nbl]

DiedX schreef op maandag 03 augustus 2015 @ 13:14:
Hoewel je theoretisch gezien gelijk hebt, is een mailbeheerder die FQDN afdwingt ronduit anaal bezig. 95% van de mail zal dan geweigerd worden...

RFC is RFC, dus ja, ik dwing FQDN af, hoofdreden is toch wel dat je dan gelijk zo'n 90% minder spam ontvangt. zo'n 5% van de servers die ons e-mailen had de helo niet goed staan.
en in samenspraak met de klant help ik ze wel om het goed te zetten, uit eindelijk zijn ze er allemaal blij mee, gezien ook hun minder spam ontvingen na alle aanpassingen. ( niet alleen de helo hoor )

Mijn servers controleren of de HELO FQDN goed staat, niet de hostname, die vergeten al zoveel mensen goed te zetten, ja dan mis je wel heel veel mail, maar goed is anders.

Als iedereen zich nu netjes aan de standaarden houd, heeft spam veel minder kans.
Ik ben dus voor afdwingen van FQDN ( in eersten instantie dus op alleen HELO ).

Staat de helo fqdn niet goed, jammer dan, dan ontvang ik die email naar niet, moeten ze het maar goed regelen.
Zo komen ook gelijk de "onwetende" ict bedrijfjes naar boven, en daar zijn er zat van.
En tuurlijk die help ik ook. en gelukkig zijn er steeds meer bedrijven die de fqdn afdwingen.
En zo hoort het nu eenmaal.

daarnaast, wordt b.v. een antispam dienst gebruikt of een paar blocklijst servers, zoals baracuda central of spamhaus, en moet je wel goed instellingen hebben anders wordt je alsnog geweigerd.
en ook een microsoft en google doen controles hierop.

[ Voor 8% gewijzigd door Thc_Nbl op 04-08-2015 12:58 ]