后缀- SPF关卡后跳过RBL检查

Question

我已经开始使用保险单spf，并且正在使用以下收件人限制。我想要的是通过SPF检查的发件人跳过任何RBL检查。不幸的是，这并没有发生。

  smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_non_fqdn_sender,
    reject_non_fqdn_recipient,
    reject_unauth_destination,
    reject_unauth_pipelining,
    reject_invalid_hostname,
    check_policy_service unix:private/policy-spf
    check_sender_access mysql:/etc/postfix/mysql_sender_checks.cf
    reject_rbl_client zen.spamhaus.org,
    reject_rbl_client bl.spamcop.net,
    reject_rbl_client cbl.abuseat.org,
    reject_rbl_client dnsbl.sorbs.net

失败的SPF检查是正确的，但正如您从syslog -policyd spf中可以看到的那样，它已经通过，但是继续进行RBL检查：

Mar 29 13:15:51 policyd-spf[6442]: Pass; identity=mailfrom; client-ip=69.171.232.144; helo=mx-out.facebook.com; envelope-from=REDACTED; receiver=REDACTED
Mar 29 13:15:51 postfix/smtpd[5971]: NOQUEUE: reject: RCPT from 69-171-232-144.outmail.facebook.com[69.171.232.144]: 554 5.7.1 Service unavailable; Client host [69.171.232.144] blocked using dnsbl.sorbs.net; Currently Sending Spam See: http://www.sorbs.net/lookup.shtml?69.171.232.144; from=<REDACTED> to=<REDACTED> proto=ESMTP helo=<mx-out.facebook.com>

是否有人熟悉后缀-政策-spf-python，如果是的话，你能解释为什么它没有按照预期的工作。

使用：

Debian GNU/Linux 7
Linux XXXXX 3.2.0-4-amd64 #1 SMP Debian 3.2.82-1 x86_64 GNU/Linux
Postfix 2.9.6-2
postfix-policyd-spf-python 1.0.2

Answer 1

根据日志，该消息被list dnsbl.sorbs.net拒绝。

正如使用SORBS介绍中所描述的那样

作为SORBS列表的潜在用户，您需要问自己的最重要的问题是:我是否理解我计划使用的列表(S)的列表标准？然后，您有许多选择/决定要做出：

1. 你想要在阻止垃圾邮件方面有多积极？
2. 您想要信任SORBS管理员以及测试脚本吗？
3. 您是否信任SORBS管理员使用的脚本来识别配置不良的主机？

list dnsbl.sorbs.net是一个聚合区域，包含除spam.dnsbl.sorbs.net以外的所有SORBS区域)。这意味着你的设置是非常积极的停止垃圾邮件，也就是说，你可能会有假阳性，就像你已经做了。

这是真的(来自后缀配置参数，smtpd_recipient_restrictions)

按照指定的顺序应用限制；匹配的第一个限制将获胜。

check_policy_service只会导致向指定的策略服务器发送查询，而不是直接发送reject或permit。然后，您的python-policyd-spf可以返回reject如果PermError_reject = True，否则它只会添加Received-SPF头和处理限制继续。

您应该阅读使用SORBS以获得可用区域的列表。然后，您可以决定哪些区域最适合您的需要，并分别添加它们。

smtpd_recipient_restrictions =
    . . .
    reject_rbl_client relays.dnsbl.sorbs.net,
    reject_rbl_client web.dnsbl.sorbs.net,
    reject_rbl_client escalations.dnsbl.sorbs.net,
    reject_rbl_client block.dnsbl.sorbs.net,
    reject_rbl_client zombie.dnsbl.sorbs.net,
    reject_rbl_client dul.dnsbl.sorbs.net,
    reject_rbl_client noserver.dnsbl.sorbs.net,
    reject_rbl_client rhsbl.sorbs.net,
    . . .

或者，您可以将dnsbl.sorbs.net交换为不太激进的聚合区域safe.dnsbl.sorbs.net。