Tweakers die hun eigen mail hosten?

[ericafterdark]

jurroen schreef op donderdag 18 januari 2024 @ 19:54:
[...]


Tenzij je op een netwerk zit waar veel abuse vandaan komt en dus redelijke hoge kans dat het hele netwerk op RBLs komt te staan, is het in mijn ervaring niet nodig om een externe / outbound MTA te gebruiken.

Een beetje fatsoenlijke logging kan je prima vertellen waardoor andere partijen mails niet willen afleveren.

Ik gebruik zelf overigens de CLI gebaseerde mutt. Maar omdat niet iedereen een hardcore Unix fanboii is draai ik (elders) ook een webnail ding. Ik gebruik hiervoor SnappyMail (gemaakt door een Tweaker).

Ja, goed punt. Ik heb mijn VPS bij Hetzner en nam daarom maar meteen het zekere voor het onzekere

[jurroen]

ericafterdark schreef op donderdag 18 januari 2024 @ 20:02:
[...]


Ja, goed punt. Ik heb mijn VPS bij Hetzner en nam daarom maar meteen het zekere voor het onzekere

Helaas valt Hetzner wel onder die partijen die wel eens op een RBL komen. Dus misschien niet zo'n heel slecht idee

[jurroen]

Ik ben bijna twee decennia geleden begonnen met het draaien van een eigen mailserver. Dat doe ik nu al vrij lang met OpenSMTPD als de MTA. Daarvoor Postfix op OpenBSD, maar wat een enorm verschil

Uiteraard met TLS, SPF, DKIM, DMARC, DANE, MTA-STS etc. En een 100% op internet.nl (plus de hoogst mogelijke score op andere testen, waaronder hardenize).

Ik maak geen gebruik van externe partijen - dus MTA draai ik geheel zelf. De mailserver heeft FDE en daarnaast is er ook per-mailbox encryptie.

De mailserver draait alleen de bare necessities. Dus MTA, MDA en anti-spam. Webmail heb ik in een VM (VPS op eigen hardware) draaien - omdat ik geen webstack inclusief PHP hoef op een mailserver.

[vanaalten]

jurroen schreef op donderdag 18 januari 2024 @ 22:21:
Ik ben bijna twee decennia geleden begonnen met het draaien van een eigen mailserver. Dat doe ik nu al vrij lang met OpenSMTPD als de MTA. Daarvoor Postfix op OpenBSD, maar wat een enorm verschil

Uiteraard met TLS, SPF, DKIM, DMARC, DANE, MTA-STS etc. En een 100% op internet.nl (plus de hoogst mogelijke score op andere testen, waaronder hardenize).

Ik maak geen gebruik van externe partijen - dus MTA draai ik geheel zelf. De mailserver heeft FDE en daarnaast is er ook per-mailbox encryptie.

De mailserver draait alleen de bare necessities. Dus MTA, MDA en anti-spam. Webmail heb ik in een VM (VPS op eigen hardware) draaien - omdat ik geen webstack inclusief PHP hoef op een mailserver.

Eigen mailserver, ruim 20 jaar ondertussen, op een minicomputer in de meterkast met Debian Linux, Postfix, dovecot, Spamassassin en ga zo maar door. Met inderdaad DKIM, SPF, DMARC en TLS (en DANE/MTA-STS zegt mij even niets... huiswerk voor mij om dat uit te zoeken);
De test op internet.nl kende ik nog niet en zit 'slechts' op 68% - denk vooral omdat ik IPv6 hier nog niet ingesteld heb, al lijkt er nog wel iets meer aan de hand te zijn.
Ook via port25.com kan je checken hoe zuiver je uitgaande mail is (https://postmarkapp.com/b...on-and-spam-assassin-tool), hier in elk geval SPF en DKIM in orde, enkel "iprev" fail.

Voorheen zat ik bij Ziggo en moet uitgaande mail via hun mailserver - wat nogal vervelend is, want dan ben je ook afhankelijk van de spam-check op diezelfde server. Toch al een paar keer meegemaakt dat een legitieme uitgaande mail door Ziggo geblokt werd. Nu bij Freedom zodat ik weer rechtstreeks mail kan uitsturen - en binnenkort dan ook een 'reverse ptr' record laten instellen, dat zal wellicht ook helpen in de ontvangst van m'n mail.

Maar hoe dan ook: goede logging aan mijn kant helpt niet bij het bepalen van wat er aan de ontvangstkant gebeurd. Gmail/Hotmail kunnen af en toe besluiten mijn mail te weigeren. Ook vorig jaar een mail naar een of ander duits energiebedrijf die niet aankwam (of daar in een spamfolder kwam) en dan heb je als verzender echt geen idee wat je kan doen om je mail wel te laten aankomen. Dat is wel het grote nadeel aan zelf je mail hosten.

Maar @jurroen, dank voor de tips in je post, heb hier weer wat werk om dingen te verbeteren.

[jurroen]

vanaalten schreef op vrijdag 19 januari 2024 @ 09:27:
[...]

Eigen mailserver, ruim 20 jaar ondertussen, op een minicomputer in de meterkast met Debian Linux, Postfix, dovecot, Spamassassin en ga zo maar door. Met inderdaad DKIM, SPF, DMARC en TLS (en DANE/MTA-STS zegt mij even niets... huiswerk voor mij om dat uit te zoeken);

Nice! Ik vind het echt heerlijk om een eigen mailserver te draaien.

DANE is een techniek waarbij je de fingerprint van het SSL TLS certificaat in een (TLSA) DNS record 'embed'. Hoewel de ondersteuning van browsers nog erg teleurstellend is voor DANE, is dat met MTAs een ander verhaal.

Met MTA-STS serveer je op een webserver een bestandje die aangeeft welke mailservers namens je domein mogen mailen en dat in het vervolg de verbindjng via TLS moet gaan. Een soort HSTS (HTTP Strict Transport Security) maar dan voor mail.

De test op internet.nl kende ik nog niet en zit 'slechts' op 68% - denk vooral omdat ik IPv6 hier nog niet ingesteld heb, al lijkt er nog wel iets meer aan de hand te zijn.

Internet.nl kijkt naar meer dingen, onder andere DANE. Als je dat hebt scoor je dus al hoger. De missende IPv6 zou ik mij nog niet teveel zorgen om maken, maar als je het kunt fixen vooral doen. Zonder kun je niet hoger scoren dan 7x of 8x procent.

Ook via port25.com kan je checken hoe zuiver je uitgaande mail is (https://postmarkapp.com/b...on-and-spam-assassin-tool), hier in elk geval SPF en DKIM in orde, enkel "iprev" fail.

Nice! Ik gebruik zelf vaak ook mail-tester.com.

Voorheen zat ik bij Ziggo en moet uitgaande mail via hun mailserver - wat nogal vervelend is, want dan ben je ook afhankelijk van de spam-check op diezelfde server. Toch al een paar keer meegemaakt dat een legitieme uitgaande mail door Ziggo geblokt werd. Nu bij Freedom zodat ik weer rechtstreeks mail kan uitsturen - en binnenkort dan ook een 'reverse ptr' record laten instellen, dat zal wellicht ook helpen in de ontvangst van m'n mail.

Let wel, als je één IP hebt kan abuse van je webverkeer ook invloed hebben op je deliverability. In theorie, althans.

Maar hoe dan ook: goede logging aan mijn kant helpt niet bij het bepalen van wat er aan de ontvangstkant gebeurd. Gmail/Hotmail kunnen af en toe besluiten mijn mail te weigeren. Ook vorig jaar een mail naar een of ander duits energiebedrijf die niet aankwam (of daar in een spamfolder kwam) en dan heb je als verzender echt geen idee wat je kan doen om je mail wel te laten aankomen. Dat is wel het grote nadeel aan zelf je mail hosten.

Voor Office365 kun je je aanmelden voor SNDS. Die doet wel een check over de eigenaar van het IP adres, ligt eraan hoe je provider dat ingeregeld heeft. Pro-tip: doe dat pas nadat je de PTR hebt geregeld. Met SNDS kun je goed inzichtelijk krijgen of je issues hebt naar O365.

Verder is hiervoor een DMARC record met een forensic adres erg geschikt. Uitlezen van die reports kan via een SaaS tool als powerdmarc.com. Er is ook een open source tooltje voor beschikbaar - moet je de naam even schuldig blijven.

[ Voor 0% gewijzigd door jurroen op 19-01-2024 14:47 . Reden: Quote tag gefixt ]

[ericafterdark]

jurroen schreef op donderdag 18 januari 2024 @ 22:21:
Ik ben bijna twee decennia geleden begonnen met het draaien van een eigen mailserver. Dat doe ik nu al vrij lang met OpenSMTPD als de MTA. Daarvoor Postfix op OpenBSD, maar wat een enorm verschil

Uiteraard met TLS, SPF, DKIM, DMARC, DANE, MTA-STS etc. En een 100% op internet.nl (plus de hoogst mogelijke score op andere testen, waaronder hardenize).

Ik maak geen gebruik van externe partijen - dus MTA draai ik geheel zelf. De mailserver heeft FDE en daarnaast is er ook per-mailbox encryptie.

De mailserver draait alleen de bare necessities. Dus MTA, MDA en anti-spam. Webmail heb ik in een VM (VPS op eigen hardware) draaien - omdat ik geen webstack inclusief PHP hoef op een mailserver.

Ik behaal een score van 93% op internet.nl dus ben ook goed op weg.

Zorgt DANE niet voor een potentieel compatibiliteit probleem met sommige servers?

[ahbart]

Ik draai een Ubuntu server bij contabo. Al enige jaren inmiddels. In eerste instantie alles zelf geregeld met Postfix, Dovecot etc. Inclusief alle beveiligingszaken en dns instellingen.
Inmiddels al 1,5 jaar over gestapt op MailCow dockers. Dat werkt nog beter en is aanzienlijk onderhoudsvriendelijker en 'zorg ontnemend' vergeleken met alles zelf regelen.
Internet.nl geeft me een score van 95%. Hoger dan toen ik het zelf regelde.

Tenminste één van je mailserverdomeinen bevat geen TLSA-record voor DANE.

Maar geen problemen met mail delivery en ontvangst.
Edit: Ik zie nu dat Dane wel slaagt op het hoofddomein. Ik heb 3 domeinen namelijk. Nog maar even uitzoeken hoe dat kan.

[ Voor 9% gewijzigd door ahbart op 19-01-2024 12:20 ]

[jurroen]

ericafterdark schreef op vrijdag 19 januari 2024 @ 12:00:
[...]


Ik behaal een score van 93% op internet.nl dus ben ook goed op weg.

Zorgt DANE niet voor een potentieel compatibiliteit probleem met sommige servers?

Nice! Gefeliciteerd!

Nee, DANE levert geen compatibility issues op. De MTAs die het niet ondersteunen kunnen het natuurlijk ook niet nazoeken in de DNS.

Het enige is wel: als je een ACME CA gebruikt dien je even na te pluizen of de private key per domein veranderd na een renewal. Bij certbot en acme.sh is dat niet het geval, bij DirectAdmin bijvoorbeeld weer wel.

Andere private key is ook een andere fingerprint.

[mfkne]

Ik draai al jaren alles op basis van iRedMail, maar intussen wel erg zelf aangepast. Draait op een ARM-VPS bij Hetzner en haal 100% in de internet.nl test.

Er zijn alleen twee problemen, Google vind dat de reputatie van het IPv6 adres niet goed genoeg is (dus heb ik Postfix maar zo ingesteld dat hij uitgaand alleen IPv4 gebruikt) en zo'n beetje alle e-mail naar O365 adressen gaat naar Spam daar. Voor domeins waarvan ik weet dat ze op O365 draaien heb ik Postfix zo ingesteld dat e-mails via SMTP2GO worden gestuurd.

[begintmeta]

begintmeta schreef op vrijdag 5 februari 2016 @ 12:04:
Hier ook alweer een jaar of vijf mail op basis vanPostfix/Dovecot (met SOGo als web-frontend/Card-/CalDAV-service).

Ik heb sinds kort mijn e-mail-services weer uit handen gegeven... Wel heel lang probleemloos bovenstaande combinatie gedraaid.

[vanaalten]

jurroen schreef op vrijdag 19 januari 2024 @ 10:18:
Internet.nl kijkt naar meer dingen, onder andere DANE. Als je dat hebt scoor je dus al hoger. De missende IPv6 zou ik mij nog niet teveel zorgen om maken, maar als je het kunt fixen vooral doen. Zonder kun je niet hoger scoren dan 7x of 8x procent.

DANE record toegevoegd.
En nu kan ik, zonder IPv6, een score van 87% of zo halen... MAAR, ik heb ook een fall-back MX (relay.transip.nl) en daar valt die test op uit. STARTTLS is not reachable op die relay. Nou weet ik niet hoe zinnig het is om een relay te hebben - zo heel af en toe gebeurd het wel eens dat m'n mailserver er uit ligt, of de provider er uit ligt, dan is het toch fijn als er iemand anders is die de mail opvangt en t.z.t. doorstuurt.

Binnenkort ook IPv6 maar eens aanzetten. Destijds bij Ziggo gaf dat op een gegeven moment ineens storing waarna ik het maar had uitgezet; wellicht dat het nu bij Freedom beter werkt. Maar even wachten wanneer hier in huis er minder internet-afhankelijkheid is voor ik wat ga verprutsen.

[jurroen]

vanaalten schreef op vrijdag 19 januari 2024 @ 16:38:
[...]

DANE record toegevoegd.

Super, echt lekker bezig!

Nou weet ik niet hoe zinnig het is om een relay te hebben - zo heel af en toe gebeurd het wel eens dat m'n mailserver er uit ligt, of de provider er uit ligt, dan is het toch fijn als er iemand anders is die de mail opvangt en t.z.t. doorstuurt.

Als het niet vaak gebeurd en we het niet over meerdere dagen hebben dan heb je zo'n relay in de praktijk niet echt nodig.

Dat komt omdat mail behoorlijk vergevingsgezind is, op een MX die niet bereikbaar is. Als het een "hard bounce" is (dus als jouw MTA m weigert) is dat een ander verhaal.

Als je nachtrust daaronder zou leiden, kun je er natuurlijk voor kiezen om je mailserver extern te monitoren. En als er wat mee is, dat je dan een push bericht krijgt, een SMS of whatever. Het kan zelfs via Signal (Uptime Kuma op een externe VPS, heb je wel een nummer nodig daarvoor - maar gratis SIM is zo gehaald).

[Vergeten]

Ik heb een oplossing met Ubuntu/postfix/dovecot/let'sencrypt/snappymail. Die werkt goed en inmiddels een 100% score op internet.nl (mits relay.transio.nl mee werkt). Mijn grote uitdaging is MFA of 2FA op dovecot. Iemand daar ervaring mee? Primaire client is Mail op iOS...

[pennywiser]

Debian, Postfix 25 en 587, Courier IMAP en POP3, LE, SMTP smarthost via KPN, Roundcube, Fetchmail, Amavis. Dit draait hier al sinds 2005 zo. Gewoon elke keer dist-upgrade, ook weleens herinstallatie, maar ik schuif over het algemeen alles met LVM naar nieuwe hardware.

Ik krijg altijd commentaar dat ik "nog" Courier gebruik, maar het wordt gewoon doorontwikkeld tot heden. Dovecot nooit iets mee gedaan.

Dingen als Fetchmail en Postfix virtual zijn erg handig. Ik ga Snappymail eens testen. Rainloop ook weleens getest. En in begin altijd Squirrel natuurlijk. Maar meeste mail wordt toch naar mijn andere Gmails doorgestuurd.

[pennywiser]

jurroen schreef op vrijdag 19 januari 2024 @ 17:01:
[...]


Als het niet vaak gebeurd en we het niet over meerdere dagen hebben dan heb je zo'n relay in de praktijk niet echt nodig.

Dat komt omdat mail behoorlijk vergevingsgezind is, op een MX die niet bereikbaar is. Als het een "hard bounce" is (dus als jouw MTA m weigert) is dat een ander verhaal.

Een fallback mx is niet nodig inderdaad. Postfix en andere MTA's houden alles sws 5 dagen in queue tot ze het kunnen afleveren. Een harde bounce gaat een fallback mx ook niet oplossen, dat is een policy aan jouw kant.

[jb044]

De boel ge'upgrade naar AlmaLinux 9 en draai nu bijna alle server zaken in podman containers. Mail in docker mailserver, aangevuld met een simpele hello world web pod voor antimatisch vernieuwen van de let's encrypt certs en een solr pod voor snel zoeken in mijn belachelijk grote imap collectie van 20+ jaar aan mail. Kers op taart: een custom sogo pod voor webmail en card- en caldav.

Vooral docker mailserver is een verademing, aan werkelijk bijna alles is gedacht, het is stabiel en makkelijk op te zetten en vooral het werkt! Aanrader

[vanaalten]

Kick, maar dit topic lijkt mij wel een toepasselijk punt om m'n vraag te stellen:

Eerder deze week een mailtje gestuurd naar de redactie van De Correspondent (online krant) en enkele dagen later een reactie met o.a. "excuses voor late reactie maar je mail was in de spambox beland waardoor die over het hoofd is gezien".

Nu ben ik benieuwd wat ik kan doen om de kans te verkleinen dat m'n mail in de spambox van een bedrijf beland.

Situatie:

• Mailserver thuis met Debian (stable), Postfix, Dovecot, Roundcube (die laatste is waar ik de mail mee heb verstuurd, voor het geval dat relevant is)
• Provider: Freedom. Versturen en ontvangen vanaf m'n server via poort 25, geen relay ertussen.
• Bij Freedom dus ook reverse-DNS record ingesteld
• Mailtje gestuurd naar '[e-mail]' om een report terug te krijgen over hoe goed m'n setup is: SPF pass; 'iprev' pass; DKIM pass.
• Server laten checken op internet.nl en 100% score.

Nou weet ik natuurlijk niet op basis waarvan m'n mail in een spambox is gekomen, maar wat zijn de dingen die ik zelf nog kan controleren?

[RobbyTown]

En als je dat betreffende mailtje stuurt naar www.mail-tester.com wat komt daar voor score uit?

[vanaalten]

RobbyTown schreef op vrijdag 29 november 2024 @ 08:38:
En als je dat betreffende mailtje stuurt naar www.mail-tester.com wat komt daar voor score uit?

Ah, daar komen wel wat interessante dingen uit. Score: 9.5.

• Halve punt aftrek is voor "We found 6 images without alt attribute in your message body". Mja, ik heb dus een reply gedaan op een mail van De Correspondent, heb zelf geen plaatjes toegevoegd dus lijkt mij dat de oorspronkelijke mail geen 'alt' attrib aan de plaatjes had gegeven.
• Geen aftrek maar wel een oranje vinkje op "Your message does not contain a List-Unsubscribe header". Mja. Mailtjes die ik zelf stuur zijn niet van een mailinglist, dus lijkt mij onzin dat ik dan een list-unsubscribe header moet meesturen.
• Waar ik het interessant vind worden: "Your message failed the DMARC verification". Maar, details:
  code:
  

  The DMARC test failed but we didn't find any obvious reason why.
  If you recently modified your DNS, please wait a few hours and then test again.
  
  DMARC DNS entry found for the domain _dmarc.mijndomein.tld:
  
  "v=DMARC1; p=reject; ruf=mailto:[e-mail]"
  
  Verification details:
  
      mail-tester.com; dmarc=none header.from=mijndomein.tld
      mail-tester.com; dkim=pass (2048-bit key; unprotected) header.d=mijndomein.tld header.i=@mijndomein.tld header.b=BmUMymo6; dkim-atps=neutral
      From Domain: mijndomein.tld
      DKIM Domain: mijndomein.tld

  
  (mijn domeinnaam vervangen door mijndomein.tld)
  Hier moet ik op een rustig moment misschien eens naar kijken, wat DMARC precies inhoudt, hoe de check werkt en waarom die failed.
• En nog een oranje vinkje: "Your reverse DNS does not match with your sending domain.". Die is een stuk concreter:
  
  code:
  

  HELO: mail.mijndomein.tld
  rDNS: mijndomein.tld

  
  Eens kijken of dit eenvoudig aan te passen is - maar in elk geval wat duidelijker dan de DMARC melding.

Mogelijk dat er met die laatste twee bullets nog wat te halen valt. Weliswaar zorgden die niet voor punten-aftrek, maar wellicht dat een spamfilter daar wel gevoelig voor is. Dank voor de tip!

--

Edit: myhostname in Postfix setup gecorrigeerd naar mijndomein.tld. Mailtje naar '[e-mail]' geeft nog steeds 3 x pass, maar mail-tester.com geeft nu betere resultaten. Zowel de DMARC verification als reverse-DNS zijn daarmee opgelost.
Mooi, hopelijk daarmee nog wat minder in spambox belanden.

[ Voor 7% gewijzigd door vanaalten op 29-11-2024 09:38 ]

[RobbyTown]

Het stond toch al aardig goed ingesteld. Heb het beroerder gezien.

DMARC is een redelijk belangrijke tegenwoordig om spam tegen te gaan. Als bedrijven dat streng hebben staan beland het in de spam of direct delete. Vorige werk ook zo ingesteld om spam tegen te gaan. Maar hierdoor werden er veel klanten gemist die het beroerd hadden ingesteld. Die werden gemist omzet verlies ligt aan de IT!

Onzin gewoon die spambox bijhouden en klant opvoeden elders kan hun mail dan ook in de spam belanden, maar is niet ons probleem. Het koste omzet.

Sales is heilig dus minder streng ingesteld. Minder klanten in de spam. Maar ook echte spam kwam door was niet zo fijn maar liever dat dan klanten missen.

Prima tot je keer een foute mailtje te pakken hebt .

[ahbart]

Wat ik begreep wat ook nog kan helpen in de Google mailserver wereld is om je domein aan te melden bij postmaster.google.com. En daar een verificatie te regelen in je eigen dns.

Naar aanleiding van je bericht @vanaalten heb ik ook maar weer eens ter controle gekeken naar mail-tester.com -> score 10/10 !! Yes.

[vanaalten]

ahbart schreef op vrijdag 29 november 2024 @ 11:39:
Wat ik begreep wat ook nog kan helpen in de Google mailserver wereld is om je domein aan te melden bij postmaster.google.com. En daar een verificatie te regelen in je eigen dns.

Maar... dat kan alleen, zo te zien, als je een google account hebt.

[ahbart]

vanaalten schreef op vrijdag 29 november 2024 @ 12:45:
[...]

Maar... dat kan alleen, zo te zien, als je een google account hebt.

Ja klopt. Een gratis gmail account. Die gebruik ik verder nog maar heel beperkt.

[Compizfox]

ahbart schreef op vrijdag 29 november 2024 @ 11:39:
Wat ik begreep wat ook nog kan helpen in de Google mailserver wereld is om je domein aan te melden bij postmaster.google.com. En daar een verificatie te regelen in je eigen dns.

Wat doet dat precies? En heb je daar mogelijk ook iets aan als je geen problemen ondervindt met de bezorgbaarheid van je email bij GMail?

[ahbart]

Compizfox schreef op vrijdag 29 november 2024 @ 13:05:
[...]

Wat doet dat precies? En heb je daar mogelijk iets aan als je geen problemen ondervindt met de bezorgbaarheid van je email bij GMail?

Het is al weer een tijd geleden. Maar ik had in het verleden wel eens mail die niet aankwam bij gmail gebruikers. Toen meen ik te hebben gelezen dat je domein aanmelden bij postmaster.google.com hielp om google je domein als betrouwbare mailserver aan te melden. Ik heb 3 domeinen zo geverifieerd en volgens mij nooit problemen meer. Dus blijkbaar werkt dat.
Postmaster geeft een sleutel die je in je dns moet opnemen als txt regel. Daarmee verifieer je.
Dus als je geen problemen hebt met gmail bezorging dat hoeft dat denk ik niet.

[ Voor 5% gewijzigd door ahbart op 29-11-2024 13:09 ]

[mrmrmr]

ahbart schreef op vrijdag 29 november 2024 @ 13:09:
[...]

Het is al weer een tijd geleden. Maar ik had in het verleden wel eens mail die niet aankwam bij gmail gebruikers. Toen meen ik te hebben gelezen dat je domein aanmelden bij postmaster.google.com hielp om google je domein als betrouwbare mailserver aan te melden. Ik heb 3 domeinen zo geverifieerd en volgens mij nooit problemen meer. Dus blijkbaar werkt dat.
Postmaster geeft een sleutel die je in je dns moet opnemen als txt regel. Daarmee verifieer je.

En als je via IPv6 mail verstuurt, dan heeft dat IP adres een PTR record ("reverse DNS") nodig. Die moet je dan regelen bij je hoster. Sommige hosters, zoals Strato, bieden die mogelijkheid niet bij de goedkopere VPS. Het is mogelijk om bijvoorbeeld in de Exim configuratie IPv6 voor Google servers te vermijden.

code:

hostlist google_ipv6 = <; 2001:4860::/32 ; 2401:fa00::/32 ; 2404:6800::/32 ; 2600:1900::/28 \
        ; 2605:ef80::/32 ; 2607:f8b0::/32 ; 2620:0:1000::/40 ; 2620:120:e000::/40 ; 2620:15c::/36 \
        ; 2800:3f0::/32 ; 2a00:1450::/32 ; 2a00:79e0::/32 ; 2a03:ace0::/32 ; 2c0f:fb50::/32

dnslookup:
  ignore_target_hosts = 0.0.0.0 : 127.0.0.0/8 : 192.168.0.0/16 :\
                        172.16.0.0/12 : 10.0.0.0/8 : 169.254.0.0/16 :\
                        255.255.255.255 : +google_ipv6