DNSBL Problem

[TRK68]

Liebe PMG-Gemeinde, ohne jede Änderung an meinem seit langer Zeit laufenden System (PMG v8 Community) werden seit gestern 8 Uhr ALLE eingehenden Mails - über 30 von unterschiedlichsten Absender-IP - zurückgewiesen, weil bl.score.senderscore.com diese als Spam einstuft. Habe mir selber mit einem Mail-Account eine Mail zugesendet - blockiert (550 5.7.1.)
Nehme ich diese Liste raus, werden ALLE eingehenden Mails blockiert durch rbl.realtimeblacklist.com (550 5.7.1.). Nehme ich diese auch raus, funktioniert alles wieder.
Prüfe ich dagegen die Absende-IP der betreffenden Mails manuell gegen die fraglichen DNSBL, sind diese nicht gesperrt!
Was ist hier passiert? Gibt es eine plausible Erklärung, warum nur 2 DNSBL Amok laufen und das offenbar nur in meinem System?

TRK68

So siehts beim Absender aus:

This message was created automatically by mail delivery software.
A message that you sent could not be delivered to one or more of
its recipients. This is a permanent error.
The following address failed:
xxx@xxxxxxx.de:
SMTP error from remote server for RCPT TO command, host: mail.xxxxxxx.de (185.xxx.xxx.xxx) reason: 550 5.7.1 Service unavailable; client [212.227.126.187]
blocked using rbl.realtimeblacklist.com

 

[MaFL]

rbl.realtimeblacklist.com war seit 2-3 Monaten down. Wenn Du deine alten Syslogs durchschaust wirst Du Einträge in der Art finden wie:
warning: dnsblog_query: lookup error for DNS query 101.41.37.193.rbl.realtimeblacklist.com: Host or domain name not found. Name service error for name=101.41.37.193.rbl.realtimeblacklist.com type=A: Host not found, try again

Am Montag wurde die Domain neu registriert. Zumindest ist Bewegung im Whois erkennbar. Dort ist jetzt ein normaler Nameserver am Werk, der alle Anfragen mit der registrierten IP beantwortet. Das führt dazu, dass jede Anfrage als Treffer, sprich Mailserver IP ist geblacklisted, interpretiert wird.

Das führte bei mir zu einem ähnlichen Verhalten. Die Auswirkungen sind je nach konfigurierten Score unterschiedlich, aber das Problem haben alle... nur eventuell noch nicht bemerkt.

Senderscore sehe ich keine Auffälligkeiten.

 

[TRK68]

Danke, das erklärt das Problem mit rbl.realtimeblacklist.com plausibel

Habe testweise meine DNSBL-Server-Liste bis auf bl.score.senderscore.com komplett geleert - unverändert nur da immer noch false-positives.
Der einzige Unterschied im Syslog ist, dass senderscore listed als 127.255.255.255; wohingegen alle anderen DNSBL-Server das mit 127.0.0.1 bis 127.0.0.9 tun.

postfix/dnsblog[18102]: addr 212.227.126.131 listed by domain bl.score.senderscore.com as 127.255.255.255

Nach entfernen auch dieser DNSBL funktioniert alles wieder und ich bin zumindest froh, dass nicht mein System intern zerschossen ist.

TRK68

 

[MaFL]

Ah... du nutzt vermutlich einen Public DNS.

https://www.spamhaus.org/resource-hub/dnsbl/using-our-public-mirrors-check-your-return-codes-now./
-> 127.255.255.255 | Excessive Number of Queries

Eigener DNS Resolver
Am wenigsten Konfigurationsaufwand hast Du mit pdns-recursor.
apt-get install pdns-recursor, ggf allow-from/local-address in der recursor.conf anpassen. Ich glaube aber default bindet er sich sowieso nur an localhost. /etc/resolv.conf die 127.0.0.1 rein, fertig.

 

[TRK68]

Danke nochmal, wieder was gelernt!

TRK68