Używam tego fałszywego MX ( wariant nolistingu ) i działa bardzo dobrze.
Użyłem postfiksu MX ze wszystkimi zwykłymi filtrami i po jakimś czasie spambotu udało się przeciążyć serwer 2 lub 3 razy, postanowiłem spróbować ... oto wynik:
spróbuj zgadnąć, kiedy zaimplementowałem fake-mx! 8)
Rezultat jest taki sam jak postgrey, ale w przeciwieństwie do postgrey, nie trzeba zmieniać serwera poczty
Spamboty będą teraz albo próbować z wysokim MX, albo z niskim MX, uwalniając prawdziwy MX od obciążenia związanego z próbą filtrowania (nawet z DNSBL, obciążenie było wysokie) i prawdziwy e-mail dociera z minimalnym opóźnieniem.
Ale ostrzegamy, istnieje ryzyko:
Niektóre serwery mogą mieć długie czasy ponownych prób. Większość serwerów ponowi próbę następnego MX po pierwszych przekroczeniach limitu czasu, inne spróbują za kilka minut, ale już widziałem serwery, które ponawiają próbę dopiero po godzinie lub dniu. Są bardzo rzadkie i dla tych, których udało mi się złapać, była to zła konfiguracja. rozmowa z drugim postmasterem rozwiązuje problem
Wszystkie e-maile będą miały opóźnienie. Właściwie nie widzę żadnego opóźnienia, prawie wszystkie prawdziwe serwery pocztowe spróbują ponownie przejść do następnego MX po pierwszym limicie czasu, więc mówimy o opóźnieniu 30 sekund. Zazwyczaj próbują co najmniej 3 MX przed umieszczeniem wiadomości w kolejce dla dłuższego opóźnienia. ale możesz mieć kontakt z jednym uszkodzonym serwerem poczty, który może tego nie zrobić i opóźnić każdą wiadomość o kilka minut. Tak więc należy to monitorować podczas wdrażania tego rozwiązania.
Zepsute strony. Niektóre serwery WWW wysyłają e-maile z hasłami, powiadomieniami itp. Zamiast dostarczać wewnętrzny prawdziwy serwer pocztowy, starają się być „fałszywym” serwerem pocztowym i dostarczać bezpośrednio. Jako serwer sieciowy nigdy nie spróbują ponownie, a wiadomość e-mail zostanie utracona. Znowu jest to zła konfiguracja webmasterów / programistów, ponieważ tylko prawdziwe serwery e-mail powinny wysyłać wiadomości e-mail. Za każdym razem, gdy znajduję te problemy, rozmawiam z webmasterem o problemie i zwykle problem jest naprawiony.
Brak dzienników. Jako fałszywa pozycja MX dla niepołączonych adresów IP, nie masz dzienników tego, co próbowano dostarczyć. wiesz tylko, że coś poszło nie tak, gdy ktoś narzeka. ale to też dobrze. Zawsze możesz twierdzić, że nie próbujesz dostarczyć żadnej wiadomości e-mail, więc jest to zdalny problem. Druga strona musi sprawdzić swoje dzienniki i rozwiązać problem. Mogę udowodnić, że nie ma żadnego połączenia z moim prawdziwym serwerem, przenosząc presję rozwiązania problemu na drugą stronę. Jeśli druga strona nie jest w stanie rozwiązać problemu, wyglądało to na niezaufane, niewiarygodne.
Brak białej listy. dotyczy to wszystkich serwerów za pośrednictwem usługi dns, więc nie można dodać jednego serwera do białej listy ... w rzeczywistości jest to tylko połowa prawdy, ale jest trudniejsza. rozwiązaniem białej listy jest to, że najniższe MX wskazuje adres IP, na którym działa smtp, ale jest filtrowany przez zaporę ogniową dla wszystkich. Te serwery, które chcesz umieścić na liście, musiały być dozwolone w zaporze ogniowej. W ten sposób wszystkie serwery zostaną odrzucone przez zaporę ogniową, a biała lista będzie mogła dostarczyć serwer pocztowy. Działa, ale tylko dla białej listy adresów IP, nie dla białej listy adresów e-mail.
W przeciwieństwie do postgrey, gdzie zdalny nadawca ma dziennik „odrzuconej” dostawy (a więc może wskazywać na nas jako problem), fałszywy MX pokaże, że serwer sieciowy nie mógł się nawet połączyć i nie ponowił próby, nie dając żadnej wymówki dla odległej strony na temat problemu. Niepowodzenie MX lepiej jest zaakceptować w stosunku do postgrey, ponieważ zawsze możemy twierdzić, że istnieje „problem z routingiem, ale zapasowy MX działa dobrze, otrzymujemy wszystkie inne e-maile”
Mając to na uwadze, otrzymuję bardzo mało skarg (około 1 co 3 miesiące), więc uważam to za wystarczająco bezpieczne (każdy filtr antyspamowy ma ryzyko).
Pamiętaj, że używam prawidłowego adresu IPv4 dla wszystkich MX, ale dla fałszywych używam kontrolowanego adresu IP, który nie jest używany (a więc daje limit czasu / hosta nieosiągalny dla żadnego połączenia). zasady te obowiązują nawet, jeśli z nich nie korzystasz. Istnieją serwery dns i smtp, które wymagają idealnie poprawnej konfiguracji dns, aby e-mail działał. Fake-MX musi być również ważny, po prostu nie powinny być osiągalne.
Nie używaj prywatnych adresów IP lub adresów IP, których nie kontrolujesz dla fałszywego MX (jeśli dodasz adres IPv6, RÓWNIEŻ dodaj adres IPv4). Pozwala to uniknąć problemów z uszkodzonymi serwerami DNS i serwerami pocztowymi oraz niespodzianek innych osób otrzymujących pocztę e-mail (instalując serwer smtp pod adresem IP, którego nie kontrolujesz). Ponadto CNAME jest zabronione dla MX, więc nie używaj go, tylko zwykły rekord A.
Na koniec należy wysłać reset tcp dla fałszywego MX, aby poprawić wydajność (host lub port nieosiągalny) zamiast zwykłego limitu czasu (po upuszczeniu pakietu), dlatego zaleca się dodanie go do zapory.
w każdym razie, nie tylko nadal go używam, ponieważ polecam wszystkim, aby z niego korzystali