Spamassassin dropt mail niet

[Cakkie]

Via Directadmin geef ik in dat spam geflagged moet worden vanaf een score van 5.0, en dat het onderwerp aangepast moet worden. Verder heb ik ook opgegeven dat alle mail met een score hoger dan 10.0 gewoon geblokkeerd moet worden.

Dit laatste werkt goed voor spam die aan mij gericht is. Als het echter om een non-delivery report gaat (bv als een spammer mijn adres gebruikt als afzender, en het berichtje bounced), dan komt hij er wel gewoon door hoewel hij wel als spam gemarkeerd is. In de headers kan ik zien dat het wel degelijk mijn server is die de spamscore heeft toegekend, soms zelfs scores tot 25 a 30.

Enig idee waar dit aan kan liggen?

[Marco Mahieu]

Waarscheinlijk blokkeert de server geen berichten die als afzender een domein hebben, welke op dezelfde server staat ingesteld.

Misschien kan je proberen SPF instellen, dan kan hij hem aan de hand daarvan misschien alsnog blokkeren. (Weet niet zeker of dit werkt, maar kan je proberen.)

[Cakkie]

Dit is een stukje uit de exim mainlog.

2009-11-25 15:45:15 1NDJ7L-0001Ld-5L <= <> H=gvo14028.gvodatacenter.com [12.68.140.28] P=esmtps X=TLSv1:AES256-SHA:256 S=2525 id=E1NDJ7w-0007bV-EW@gvo14028.gvodatacenter.com T="Mail delivery failed: returning message to sender" from <> for -snip-@-snip-.be
2009-11-25 15:45:19 1NDJ7L-0001Lk-KT <= <> U=mail P=spam-scanned S=5622 id=E1NDJ7w-0007bV-EW@gvo14028.gvodatacenter.com T="**SPAM-24.8** Mail delivery failed: returning message to sender" from <> for -snip-@-snip-.be
2009-11-25 15:45:19 1NDJ7L-0001Lk-KT => cakkie <-snip-@-snip-.be> F=<> R=localuser T=local_delivery S=5732
2009-11-25 15:45:19 1NDJ7L-0001Lk-KT Completed
---
2009-11-25 15:45:20 1NDJ7Q-0001M9-LA <= igiintact@delagrave.fr H=dslb-094-223-232-114.pools.arcor-ip.net [94.223.232.114] P=smtp S=3208 T="Dear -snip-@-snip-.be 75% 0FF on Pfizer." from <igiintact@delagrave.fr> for -snip-@-snip-.be
2009-11-25 15:45:24 1NDJ7Q-0001MC-T7 <= igiintact@delagrave.fr U=mail P=spam-scanned S=7787 T="**SPAM-40.8** Dear -snip-@-snip-.be 75% 0FF on Pfizer." from <igiintact@delagrave.fr> for -snip-@-snip-.be
2009-11-25 15:45:24 1NDJ7Q-0001MC-T7 => discarded <-snip-@-snip-.be> R=domain_filter
2009-11-25 15:45:24 1NDJ7Q-0001MC-T7 Completed

De eerste komt toe, de tweede wordt gedropped. Het enige verschil wat ik zo meteen kan vinden, is dat het eerste geen from address heeft <>, en de tweede wel.

[Marco Mahieu]

Kijk eens in het DNS record van je domein. Staat daarin de volgende regel:
domein.tld. TXT "v=spf1 a mx ip4:ip.addr ~all"

Het systeem wordt niet veel meer gebruikt, maar Direct Admin maakt er nog altijd wel gebruik van. Dit zorgt ervoor dat als er een e-mail gestuurd wordt naar server A, en server A maakt gebruik van SPF, dan gaat deze in het DNS record van @domein.tld kijken of daar een dergelijk record is opgegeven. Als blijkt dat de e-mail van een andere server afkomstig is als in de DNS van dat domein is opgegeven, wordt deze automatisch als SPAM aangemerkt.

[Cakkie]

Ik denk dat je de situatie verkeerd begrijpt. SPF heeft hier volgens mij niets mee te maken.

Iemand stuurt een spam email met valse afzender (mijn adres). De ontvanger zijn adres bestaat niet meer, dus die mailserver zal een NDR genereren die hij terugstuurd naar de vervalste afzender (ik dus). Deze NDR heeft geen return path (dat hoort zo). Op mijn server vindt spamassassin dat het mailtje spam is, maar de MTA levert hem toch af in mijn mailbox.

Als iemand de spam rechtstreeks naar mijn adres stuurt, dus als gewone mail en niet als NDR, dan zegt spamassassin ook dat het spam is, maar dan levert de MTA die mail NIET af in mijn mailbox (logisch, want het is spam).

[Marco Mahieu]

Ik denk dat je de situatie verkeerd begrijpt. SPF heeft hier volgens mij niets mee te maken.

Iemand stuurt een spam email met valse afzender (mijn adres). De ontvanger zijn adres bestaat niet meer, dus die mailserver zal een NDR genereren die hij terugstuurd naar de vervalste afzender (ik dus). Deze NDR heeft geen return path (dat hoort zo). Op mijn server vindt spamassassin dat het mailtje spam is, maar de MTA levert hem toch af in mijn mailbox.

Als iemand de spam rechtstreeks naar mijn adres stuurt, dus als gewone mail en niet als NDR, dan zegt spamassassin ook dat het spam is, maar dan levert de MTA die mail NIET af in mijn mailbox (logisch, want het is spam).

Ah op die manier, dan had ik je idd verkeerd begrepen. Het gaat dus om de bounce die je krijgt vanuit een externe server (als het domein wel bestaat, maar het e-mail adres niet). Dan heeft SPF daar idd niets mee te maken, sorry

In dat geval zou spamassign het normaal gesproken gewoon op te horen vangen. Ik weet zo 1-2-3 even niet hoe je dit oplost, misschien dat ik mij later nog iets bedenk. In de tussentijd: heeft iemand anders misschien nog een idee?