sorbs.net

足足化了一個月才可以從 sorbs.net 中 delist 出來。

我有幾個客戶是使用 PXXW 的 broadband 作為公司的對外網絡，取的是固定 (fixed) ip address，也自然的起了個 email server。從六用初開始發覺很多郵件不能寄出，彈回頭的信件說有關的寄件 ip address 已經給 sorbs.net blacklist 了。再看清楚資料和上 sorbs.net 做 database check，竟然發覺有關的 ip address 是歸納為 Dynamic ip range ，即跟家用的 broadband 一樣。

我首先是利用網上的 delisting request 上訴，回覆 (是一個 robot 回覆，還要三日後 ! @@) 說它們仍然認為這是 Dynamic Range，還直指整個 Class C 都是。沒有辦法了，只好找 ISP 吧，就是這麼，就化了接近一個月才 delist。在這事情上，我了解到:

1. 愈來愈多機構的 email server 都用上了不同形式的 antispam 方式。幾年前基本上沒有給對方擋信的問題。
2. 如果閣下的 ip address 入了 DNSBL ，以前有關機構是會寄信到 ip range/domain 的 postmaster，我發覺近這一兩年是沒有的，你要自己查看才知道。
3. PXXW 真的是一間大公司，由我第一天投訴給 Account Manager 開始，到了第十天才有 Technical Manager 跟我聯繫上，再「游」了兩天 (我也開始懷疑我的表達能力!) ，他才充分明白問題是在 ISP 身上，是要他們解決的。但他跟著說：「我想要我們的 Postmaster 才可以跟 sorbs.net 溝通」我差點想講粗口了!!!
4. 為了「成功」寄信，我最初設定客戶的 email server 改為使用 PXXW 的 smtp server 作為 Relay server ，但用上幾天，發覺有新的問題。原來 PXXW 的 smtp server 是有做 rate control 的，稍稍數量多了 (其實我的客戶每天都是 3xx 封信左右!) ，就會彈信回頭。
5. 最後我改為使用我公司的 smtp server 作為 relay 才完全解決問題。這令我想到提供 Relay Service 給這類被 blacklisted 的公司可能都是一個好的生意。要詳細規劃下.....

Barracuda Reputation Block List (BRBL)

Barracuda 是一間郵件及網路安全設備的供應商，Antispam 是她們的專長。除了自己的 Filtering 技術外，也有用上自家的 RBL 。上年八月左右她們將這個 RBL 公開給其他人使用，大家只需要到

http://www.barracudacentral.org/rbl
登記後，你的 email server 便可使用。(但我試過就算不登記也可使用 :-D)

跟著在 spamassassin rules 加上:


header RCVD_IN_BRBL eval:check_rbl('brbl-lastexternal', 'bb.barracudacentral.org.')
describe RCVD_IN_BRBL Received via a relay in Barracuda BRBL
tflags RCVD_IN_BRBL net
score RCVD_IN_BRBL 2.5


DNSBL 以外

除了 DNS Based Blacklist 系統外 (DNSBL) ，各大 ISP 和 Email providers 都會有自己的 blacklist database。有些是可以 online 查詢，有些是不可以。例如 Gmail, Yahoo 和 Hotmail等都無法知悉它們如何判斷 blacklist。以下是部份可以 online check 的 providers:

Outblaze spamblock
MailProve Spam Evidence
FortiGuard AntiSpam Lookup
Barracuda Reputation

Commtouch IP Reputation
ProofPoint

失眠時幫手 Click 下

http://www.spamornot.org/ 是一個 rate Spam Image 的網站，它的主要用途是給 MSRBL Image 的 signature database 用。

ORDB 結束營業

ORDB 結束營業已經不是新消息了，這是我開始寫這 blog 之前的新聞。但到昨天才感受到它帶來的影響:

昨天一個舊客打比我說收不到電郵。他的 server 已經是兩年前安裝的，當時他堅持要安裝 qmail (這是一個我最不熟悉的 MTA ，我對 qmal 的評語一向都是「安裝容易，管理、除錯麻煩」的東東)。老實說，自此之後我從沒有再安裝過 qmail。
他打電話來時我也考慮過幫不幫他呢? 我心想，收錢都未必解決到問題喎，我對 qmail 的認識只是到了安裝階段，兩年都無問題真的要感恩了。聽他說得那麼緊急，即管上去看看吧。他公司電郵伺服器病徵是:

telnet mail.emailserver.com 25 後的 220 greeting response 要很久才有回應 (要等足足三分鐘!!)。一般來說這一定是 DNS 問題 (nameserver set 錯了)，但為何同一部機的 pop3 就無問題!! 跟了足足一個鐘頭仍然毫無頭緒，正常告訴客人有錢也賺不到，準備離開時忽然醒覺這個 qmail 是有做 MTA level 的 DNSBL (RBL) blocking 的，立即找找它用的 RBL ---- 其中一個是 relay.ordb.org!!
我的天啊，難道真的是這一個。刪除了這一個 RBL，restart qmail。Bingo!!! 一切回復正常。
我回來後再看看資料，ordb 的 server 應該是 06年12月31日 shutdown 了，但為何我的客戶說他到前天才有問題呢?? 難道 31日後仍然運作了一段時間??
還有的是立即看看我其他客戶的電郵 server 有沒有相同問題..........

Composite RBL (DNSBL) checking

以下網址幫你一次過檢視大部份公開 (Public) 的DNSBL site
這些網址將會不定期更新!!!

http://openrbl.org
http://www.robtex.com/rbls.html (www.robtex.com 也有很多有用的工具可用)
http://www.completewhois.com/rbl_lookup.htm
http://moensted.dk/spam
http://ipremoval.sms.symantec.com/lookup/
http://www.myiptest.com/staticpages/index.php/check-Blacklisted-IP-DNSBL
http://www.dnsstuff.com (我最常用的，除了 RBL checking 外也有 DNS checking 和 Email address checking 等服務。
http://multirbl.valli.org

Spamhaus PBL

Spamhuas 新推出的 DNSBL

The Policy Block List

The Spamhaus PBL is a DNSBL database of end-user IP address ranges which should not be delivering unauthenticated SMTP email to any Internet mail server except those provided for specifically by an ISP for that customer's use. The PBL helps networks enforce their Acceptable Use Policy for dynamic and non-MTA customer IP ranges.

PBL IP address ranges are added and maintained by each network participating in the PBL project, working in conjunction with the Spamhaus PBL team, to help apply their outbound email policies. Additional IP address ranges may be added and maintained by the Spamhaus PBL Team, particularly for networks which are not participating themselves, and where spam, rDNS and server patterns
are consistent with end-user IP space which typically contain high concentrations of "botnet zombies", a major source of spam.

A list of participating networks will be available soon. Spamhaus encourages all dialup, DSL and cable modem providers to participate and submit their own PBL ranges.

這是 ISP 自動參與的 DNSBL，ISP 指定那些 ip range 不是用她們指定的 SMTP server 寄信，而真接 email direct to MX.
但我的問題是: 為何這些 ISP 不 block 了 outgoing port 25，正如香港的ISP Netvigator那般，根本她們的用戶就不能 direct to mx!!

maRBL

MTA level 的 antispam 方法一般是使用 RBL，但又恐怕會「殺錯」良民，經常跟中國大陸電郵聯絡的都知道很多 ip address 已經入了後多的 RBL，如果在 MTA level 已擋回，正常郵件真的無法進入，使用 spamassassin 只是可以針對 RBL 計分，實際郵件數量是沒有減少的。上文提到的 greylist 也有它的問題。現在就有一種融合兩者好處的方式: maRBL。它對郵件的處理方式是: 只針對 RBL 內的 ip address 做 greylisting，其它不做。
即就算是入了 RBL 的寄件者只要通過 greylisting 仍然可以寄到信給我們。
Greylist 也不需要考慮 smtp cluster 的問題了 (我想興建了 smtp cluster 的 ISP/mail providers 不會對 RBL 不處理吧)


更多資料:
Greylist (my blog)
maRBL

中國垃圾郵件聯盟

http://www.anti-spam.org.cn/

主要提供以下名單:
DNS實時黑名單服務（RBL）主要包括四個部分：CBL、CDL和CBL+、CBL-。
CBL包含近期中國國內的主要垃圾郵件發送源。
CDL包含中國國內動態分配地址。
CBL+為CBL和CDL的合集。
CBL-是CBL+中去除了中國郵件服務運營商白名單服務（CML）的內容后的黑名單，該黑名單方便于既想使用實時黑名單，而又要保証在任何情況下都能收到來著他們的郵件的用戶。


Spamassassin 的設定:

CODE
#最佳推荐之使用CBL-#
header RCVD_IN_CBLLESS eval:check_rbl('cblless', 'cblless.anti-spam.org.cn.', '127.0.8.5')
describe RCVD_IN_CBLLESS Received via a relay in cblless.anti-spam.org.cn
tflags RCVD_IN_CBLLESS net
score RCVD_IN_CBLLESS 3.5

#最佳推荐之使用CML#
header RCVD_IN_CML eval:check_rbl('cml', 'cml.anti-spam.org.cn.', '127.0.8.1')
describe RCVD_IN_CML Received via a white list relay in cml.anti-spam.org.cn
tflags RCVD_IN_CML net nice
score RCVD_IN_CML -20.0

#header RCVD_IN_CBL eval:check_rbl('cbl', 'cbl.anti-spam.org.cn.')
#describe RCVD_IN_CBL Received via a relay in cbl.anti-spam.org.cn
#tflags RCVD_IN_CBL net
#score RCVD_IN_CBL 2.0

#header RCVD_IN_CBL_DIALUP eval:check_rbl('cdl-notfirsthop', 'cdl.anti-spam.org.cn.', '127.0.8.4')
#describe RCVD_IN_CBL_DIALUP CBL: dialup sender did non-local SMTP
#tflags RCVD_IN_CBL_DIALUP net
#score RCVD_IN_CBL_DIALUP 1.5

#header RCVD_IN_CBL_PLUS eval:check_rbl('cblplus', 'cblplus.anti-spam.org.cn.')#describe RCVD_IN_CBL_PLUS Received via a relay in cblplus.anti-spam.org.cn
#tflags RCVD_IN_CBL_PLUS net
#score RCVD_IN_CBL_PLUS 1.0