🚀 go-pugleaf

Stephan Goeldi in ch.admin:

> Irgendwas versteh ich bei Whitelist Eintr�gen scheinbar nicht so ganz.
> Das folgende Hegi- oder F�rst-Mail erhaltet ein Kunde, weil der Absender
> angeblich in seiner Whitelist sei. Hier der Header (der Domain des Kunden
> heisst hier einfach firma.ch:
>
> [snip und umformatiert]
> An: internet@firma.ch 
> Von: schwarzeslips@psicorps.com
> [..]
> Was ich nicht verstehe, warum meldet SpamAssassin USER_IN_WHITELIST wenn
> schwarzeslips@psicorps.com das gar nicht ist?
> 
> BTW: *@firma.net und *@firma.ch sind sehr wohl in der Whitelist. Liegt es
> daran? Gibt es da ein Workaround?

whitelist_from geht nicht nur auf das From: in der Nachricht
("RFC-2822-From"), sondern auch auf andere m�gliche
Absender-Adressen (s. [1]). Wahrscheinlich stand eine
Mailadresse aus der eigenen .net/.ch-Domain in einem dieser
Header (oder eine andere Adresse, die zuf�lligerweise auf ein
whitelist_from gepasst hat).

Zudem: whitelist_from ist relativ unsicher, da es sich auf beliebig
f�lschbare Absenderadressen st�tzt. Wesentlich besser ist
whitelist_from_rcvd, welches einen Whitelist-Eintrag nur dann
beachtet, wenn das Mail von einem passenden Host eingeliefert
wurde. Beispiel:

whitelist_from_rcvd *@astrum.ch net.astrum.ch

Alle Mails von der Domain astrum.ch sind gewhitelistet, wenn sie
von einem Host stammen, dessen Reverse DNS auf "net.astrum.ch"
endet. 

SpamAssassin verwendet die auf den letzten
trusted_networks-Eintrag folgenden Received:-Header um den
einliefernden Host zu bestimmen. Wenn der Mailserver, auf dem
SpamAssassin l�uft (mail-in.example.com), beispielsweise in
einem fiktiven Netz 1.2.3.0/24 liegt, w�rde das wie folgt
aussehen:

--- /etc/mail/local.cf ---
trusted_networks 1.2.3.0/24
whitelist_from_rcvd *@astrum.ch net.astrum.ch
--- cut ---

Der Whitelist-Eintrag w�rde damit bei folgendem Mail greifen:

| Received: from mail.astrum.ch (trillian.net.astrum.ch [213.144.132.251])
|	by mail-in.example.com (Postfix) with ESMTP id 59E4261473;
|	for <foo@example.com>; Fri, 17 Sep 2004 19:57:23 +0200 (CEST)
| Received: <irrelevant>
| [..]
| To: foo@example.com
| From: matthias@astrum.ch

Bei folgendem Mail w�rde der Whitelist-Eintrag nicht greifen:

| Received: from example.org (some-dialup.bigISP.invalid [4.3.2.1])
|	by mail-in.example.com (Postfix) with ESMTP id 4067B2B05F;
|	for <foo@example.com>; Sun, 12 Sep 2004 05:46:22 +0200 (CEST)
| Received: <irgendwas gef�lschtes>
| [..]
| To: foo@example.com
| From: matthias@astrum.ch

Ja, den Effekt k�nnte man auch mit SPF haben, und erst noch
wesentlich weniger wartungsintensiv...

Btw., wenn wir schon bei den Received:-Zeilen sind: Viele
Spammer melden sich im HELO mit dem Domainnamen oder der
IP-Adresse des Zielsystems. Das kommt in den wenigsten
Situationen legitimerweise vor, so dass sich die folgende Regel
anbietet:

header ML_HELO_1   Received =~ /from example\.com/i
header ML_HELO_2   Received =~ /from 1\.2\.3\.4/i

score  ML_HELO_1   <irgend ein absurd hoher Score>
score  ML_HELO_2   <irgend ein absurd hoher Score>

(Falls es einige legitime F�lle gibt, kann man die mit einer
Meta-Rule abfangen; je nach Mailserver muss man das Format etwas
anpassen.)

-- Matthias

[1] http://spamassassin.apache.org/doc/Mail_SpamAssassin_Conf.html 

-- 
Brain-Log                               http://matthias.leisi.net/