Het hanteren van de RFC's op je mailservers

Afzender domein bestaat niet, dus gewoon rejecten met een permanent error.

Daarnaast, als een bedrijf serieus een systeembezweerder heeft die .local in de HELO/EHLO van z'n mailserver heeft staan, dan is de kans erg groot dat er meer mis is met zo'n mailserver. Ik zie eigenlijk totaal geen reden om mail te accepteren van .local's. Dat is net zoiets als zelf een kartonnen doos aan een paal schroeven, oranje verven, je post daarin proppen en hopen dat de TNT je "brievenbus" wel even komt legen voor je. :p

Citaat:

---

Oorspronkelijk geplaatst door crazycoder

Nee. De stommeling die z'n spulletje niet goed heeft geconfigureerd.

Wij accepteren .local niet als afzender..

---

Over mensen gesproken die hun zaken niet op orde hebben...

May 8 07:03:30 pop001 postfix/smtpd[23398]: NOQUEUE: reject: RCPT from mail.t-mobile.nl[84.241.249.133]: 450 4.7.1 <promailgwhq-01.tm.nl.ad.tmo>: Helo command rejected: Host not found; from=<facilitairezaken@t-mobile.nl> to=<info@***.nl> proto=ESMTP helo=<promailgwhq-01.tm.nl.ad.tmo>
May 8 07:03:31 pop001 postfix/smtpd[23398]: NOQUEUE: reject: RCPT from mail.t-mobile.nl[84.241.249.133]: 450 4.7.1 <promailgwhq-01.tm.nl.ad.tmo>: Helo command rejected: Host not found; from=<facilitairezaken@t-mobile.nl> to=<***@***.nl> proto=ESMTP helo=<promailgwhq-01.tm.nl.ad.tmo>

--

May 8 07:17:58 pop001 postfix/smtpd[27341]: NOQUEUE: reject: RCPT from ip3bs.bumastemra.nl[212.78.179.247]: 450 4.7.1 <bsexcmail01.sirius.local>: Helo command rejected: Host not found; from=<*** @bumastemra.nl> to=<****@rige.net> proto=ESMTP helo=<bsexcmail01.sirius.local>
May 8 07:18:59 pop001 postfix/smtpd[23879]: NOQUEUE: reject: RCPT from ip3bs.bumastemra.nl[212.78.179.247]: 450 4.7.1 <bsexcmail01.sirius.local>: Helo command rejected: Host not found; from=<****@bumastemra.nl> to=<****@rige.net> proto=ESMTP helo=<bsexcmail01.sirius.local>

@wido:

nou heb ik net geprobeert aan te melden op dat forum op www.pcextreme.nl. Alleen komt de aanmeldings mail niet aan. Komt het omdat ik mijn server volgens de eisen werken van welke in jou openings post staan?

Code:

---

Received: from wscp.pcextreme.nl (www.pcextreme.nl [85.92.129.31])
        by smtp1.[mxservert].nl (Postfix) with ESMTP id 8EB5DA68001
        for <bakkerl@[mydomain].nl>; Tue,  8 May 2007 16:36:26 +0200 (CEST)

---

Jou machine roept dat die wscp.pcextreme.nl is. terwijl die het ip 85.92.129.31 gebruikt.

Code:

---

[bakkerl@manus ~]$ host 85.92.129.31
31.129.92.85.in-addr.arpa domain name pointer www.pcextreme.nl.

---

Je reverse op wscp.pcextreme.nl klopt wel.

Code:

---

[bakkerl@manus ~]$ host 85.92.129.32
32.129.92.85.in-addr.arpa domain name pointer wscp.pcextreme.nl.

---

Maar goed, mijn voorlopig eindconclusie is een fout geconfigureerde email
server (gebind aan verkeerde ip) veroorzaakt nu het niet aankomen van email.

Wat ik met deze post wil bereiken is:

Citaat:

---

- Mensen leren hoe het wel moet, hoe je je server dus moet configureren.

---

Postfix ging daar inderdaad met het verkeerde IP naar buiten, dat is inmiddels aangepast.

Als je die mail hebt geweigerd, dan was dat legitiem. Al vereis ik in mijn postfix niet dat jouw HELO terugkoppelt naar je rDNS.

Ik vereis dat je een geldige rDNS hebt én een HELO die een A-record heeft.

Citaat:

---

Oorspronkelijk geplaatst door Jurian

Afzender domein bestaat niet, dus gewoon rejecten met een permanent error.

Daarnaast, als een bedrijf serieus een systeembezweerder heeft die .local in de HELO/EHLO van z'n mailserver heeft staan, dan is de kans erg groot dat er meer mis is met zo'n mailserver. Ik zie eigenlijk totaal geen reden om mail te accepteren van .local's. Dat is net zoiets als zelf een kartonnen doos aan een paal schroeven, oranje verven, je post daarin proppen en hopen dat de TNT je "brievenbus" wel even komt legen voor je. :p

---

Ik lag helemaal dubbel van dat bericht :W: :D

Over dat commando om te controleren of de HELO werd geweigerd.
Ik krijg elke keer 0 terug :huh:

Omdat HELO hooftletter gevoelig is :o

Wel zie ik soms dit terug?

Code:

---

Apr 27 03:41:51 rollerscapes postfix/smtp[5773]: warning: host 127.0.1.50[127.0.1.50] replied to HELO/EHLO with my own hostname mail.rollerscapes.net

---

Citaat:

---

Oorspronkelijk geplaatst door Wido

Als je die mail hebt geweigerd, dan was dat legitiem. Al vereis ik in mijn postfix niet dat jouw HELO terugkoppelt naar je rDNS.

Ik vereis dat je een geldige rDNS hebt én een HELO die een A-record heeft.

---

Volgens de link die in de je eerste postings staat:

Citaat:

---

PCextreme B.V. gebruikt Postfix voor haar maildiensten.

De hostname die uw server doorgeeft tijdens het HELO commando dient aan de volgende regels te voldoen:

* Het moet een FDQN zijn (bijvoorbeeld: mail.pcextreme.nl)
* De hostname moet in de DNS voorkomen (de hostname moet zijn te resolven naar een IP-Adress)
* De reverseDNS op het IP-Adres moet overeenkomen met de hostname die in het HELO commando wordt doorgegeven


Bijvoorbeeld

Uw hostname is mail.uwserver.nl. In de DNS verwijst deze hostname naar het IP-Adres 1.2.3.4

De reverseDNS van het IP 1.2.3.4 verwijst vervolgens naar mail.uwserver.nl

Het ziet er dan als volgt uit: mail.uwserver.nl -> 1.2.3.4 -> mail.uwserver.nl

Indien dit niet correct is, wordt uw server geweigerd.

---

pcextreme zal de mail dus wel weigeren volgens hun eigen documentatuie.

Ik heb de mail server nu ingesteld
main.cf:

Code:

---

myhostname = mail.rollerscapes.net
mydomain = rollerscapes.net
mydestination = $myhostname
local_recipient_maps = $alias_maps $virtual_mailbox_maps unix:passwd.byname
home_mailbox = Maildir/

smtpd_sasl_auth_enable = yes
smtpd_sasl2_auth_enable = yes
smtpd_sasl_security_options = noanonymous
smtpd_sasl_local_domain = $myhostname
broken_sasl_auth_clients = yes
smtpd_recipient_restrictions = permit_mynetworks,permit_sasl_authenticated,check_recipient_access pgsql:/etc/postfix/pgsql-recipient.cf,reject_unauth_destinat
ion,permit
# The above line must be fitted in one line DONT FORGET

smtpd_sender_restrictions = check_sender_access pgsql:/etc/postfix/pgsql-sender.cf
smtpd_client_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unknown_client, check_client_access pgsql:/etc/postfix/pgsql-client.cf

alias_maps = pgsql:/etc/postfix/pgsql-aliases.cf
relocated_maps = pgsql:/etc/postfix/pgsql-relocated.cf

transport_maps = pgsql:/etc/postfix/pgsql-transport.cf
maildrop_destination_recipient_limit = 1
virtual_transport = maildrop
virtual_mailbox_domains = pgsql:/etc/postfix/pgsql-virtual-domains.cf
virtual_alias_maps = pgsql:/etc/postfix/pgsql-virtual.cf
virtual_mailbox_base = /data/vmail
virtual_mailbox_maps = pgsql:/etc/postfix/pgsql-virtual-maps.cf
virtual_uid_maps = pgsql:/etc/postfix/pgsql-virtual-uid.cf
virtual_gid_maps = pgsql:/etc/postfix/pgsql-virtual-gid.cf

smtpd_helo_required = yes
disable_vrfy_command = yes
smtpd_data_restrictions = reject_unauth_pipelining
smtpd_etrn_restrictions = reject

content_filter=smtp-amavis:[127.0.0.1]:10024

# Added on 08-05-2007
smtpd_helo_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_invalid_hostname, reject_unknown_hostname

---

@wido:
En mag ik, als ik iets verder ga kijken, pcextreme wel mail weigeren van hun klanten omdat de mail servers zijn geconfigureerd zoals je eerder noemde, maar durft pcextreme die config zelf niet aan en laat die mail via een server lopen welke niet die rfc's afdwingt. Dit lijkt de schijn op te hebben dat pcextreme zelf geen mail wil missen hoe brak de verzendende kant ook is.

Verbeter de wereld en begin bij jezelf toch en niet bij je eigen klanten.
*mompel iets met "Eat your own dogfood"*

Mail servers voor pcextreme klanten:

Code:

---

[bakkerl@manus ~]$ telnet mail.pcextreme.nl 25
Trying 89.18.161.70...
Connected to mail.pcextreme.nl (89.18.161.70).
Escape character is '^]'.
220 smtp04.mail.pcextreme.nl ESMTP Postfix (PCextreme B.V.).
HELO een.niet.bestaande.hostname
250 smtp04.mail.pcextreme.nl
mail from: bakkerl@[mydomain].nl
250 Ok
rcpt to: support@pcextreme.nl
450 <een.niet.bestaande.hostname>: Helo command rejected: Host not found
rset
250 Ok
quit
221 Bye
Connection closed by foreign host.

---

Mail naar @pcextreme.nl adressen:

Code:

---

[bakkerl@manus ~]$ host -t MX pcextreme.nl
pcextreme.nl mail is handled by 10 support.pcextreme.nl.
pcextreme.nl mail is handled by 20 mx20.pcextreme.nl.

[bakkerl@manus ~]$ telnet support.pcextreme.nl 25
Trying 85.92.147.21...
Connected to support.pcextreme.nl (85.92.147.21).
Escape character is '^]'.
220 support.pcextreme.nl ESMTP Postfix (Ubuntu)
HELO een.niet.bestaande.hostname
250 support.pcextreme.nl
mail from: bakkerl@lannerd.nl
250 2.1.0 Ok
rcpt to: support@pcextreme.nl
250 2.1.5 Ok
rset
250 2.0.0 Ok
quit
221 2.0.0 Bye
Connection closed by foreign host.

---

ps. Dit alles is niets persoonlijk tegen Wido of PCExtreme, maar als je op een formum roept dat je het zelf allemaal zo goed doet en als goed voorbeeld wil zijn, doe het dan goed. Alleen is Wido/PCExtreme hier de topic starter en vandaar nu even het subject.

Die hebben we express nog niet aangepast zodat partijen die problemen hebben, contact op kunnen nemen met ons, wel zo handig :)

Citaat:

---

Oorspronkelijk geplaatst door Wido

Die hebben we express nog niet aangepast zodat partijen die problemen hebben, contact op kunnen nemen met ons, wel zo handig :)

---

Neem dan in de URL naar de pagina waar de uitleg in staat op in het ND report, maar weiger het zelf dan ook.
Iets als in:

Code:

---

450 <een.niet.bestaande.hostname>: Helo command rejected: Host not found. More information about this error http://pcextreme/faqpagina

---

Want als 'klant' zou ik ook graag willen dat de verzende partij mij een bericht kan sturen over het eventuele probleem ;)

Beetje tegenstrijdig allemaal of je houd je aan RFC of je gaat er flexibel mee om, niet alleen wanneer het je zelf uit komt.

@ bakkerl, goed idee, dat ga ik in de config meenemen.

@ It-Biz, zoals ik aangaf, staat het express nog niet aan zodat partijen die problemen hebben, ons kunnen bereiken. Op termijn gaat het op die machine ook zeker aan.

De fallback (mx20) staat overigens al een hele tijd op deze strenge instellingen.

@Wido,

Toch nog een opmerking :)

Kun je dan ook een 5xx foutmelding terug gaan geven ipv een 4xx melding.
De 4xx serie meldingen worden gebruikt voor tijdelijke problemen. Een mail server aan de andere kant kan na een 4xx melding de mail vast houden om nogmaals op een later tijdstip te proberen.
Een melding uit de 5xx duidt op een permanent probleem. Na een 5xx melding zou er geen verdere poging tot afleveren gedaan moeten worden. Een ND/bounce report kan op dat moment direct terug gezonden worden.

De code aanpassen kan gedaan worden met

Code:

---

unknown_local_recipient_reject_code = 550
unknown_address_reject_code = 550
unknown_client_reject_code = 550
unknown_hostname_reject_code = 550
unknown_relay_recipient_reject_code = 550
unknown_virtual_alias_reject_code = 550
unknown_virtual_mailbox_reject_code = 550
unverified_recipient_reject_code = 550
unverified_sender_reject_code = 550

---

Tevens moet de soft_bounce op "no" staan. Al zou deze alleen tijdens testen op "yes" moeten staan.
Of welke je dan ook wil gebruiken.

Nee, een 5xx zou bij een tijdelijke DNS storing (aan welke zijde dan ook) er voor zorgen dat de mail direct terug bij de gebruiker in de mailbox ligt. Terwijl hij iets later misschien nog prima kan worden afgeleverd.

Maar de argumenten die jij aandraagt hebben ook weer zijn voordelen. Het is te overwegen.

Citaat:

---

Oorspronkelijk geplaatst door It-Biz

Beetje tegenstrijdig allemaal of je houd je aan RFC of je gaat er flexibel mee om, niet alleen wanneer het je zelf uit komt.

---

Hun servers, hun regels. :p