È buona norma o troppo draconiano rifiutare le e-mail dai server di posta senza RDNS

Di recente ho abbandonato SpamAssassin e ora sto basando il rifiuto dello spam su DNSRBL, lista grigia e altri test di base e mi chiedo se dovrei anche bloccare host che non hanno un RDNS valido corrispondente a EHLO?

Se lo faccio, creerò problemi per posta legittima e sconvolgerò i miei clienti? Ho sentito gente lamentarsi che AOL lo facesse, il che mi fa pensare che forse sia troppo raro per me farlo.

Mi chiedo anche se posso scendere a compromessi controllando che RDNS sia almeno impostato su qualcosa, ma non provi ad abbinarlo a EHLO. È possibile con Postfix (ed è utile)?

Ho provato diversi approcci con il controllo HELO / EHLO con una base clienti di dimensioni abbastanza decenti tra 100k-200k utenti e ho finito con una soluzione che procede come segue:

• Verificare che HELO / EHLO contenga un nome di dominio. - Questo per lo più si riduce a se il nome ha un punto. Il controllo del DNS sul nome ha portato a MOLTI server non riusciti poiché non è insolito che il server presenti un nome interno o qualcosa che non è possibile risolvere correttamente.
• Verificare che l'IP abbia un record DNS inverso. - Ancora una volta questa è un'impostazione lassista poiché non la controlliamo con HELO / EHLO. Controllando con HELO / EHLO creato così tanti biglietti questa impostazione non è durata nemmeno un giorno.
• Verifica che il nome del dominio dei mittenti sia valido. - Questo è un controllo di base per assicurarsi che se dobbiamo far rimbalzare il messaggio ci sarà almeno un modo per trovare un server per esso.

Ecco il blocco Postfix che usiamo per questi controlli:

smtpd_recipient_restrictions =
    reject_non_fqdn_sender,
    reject_unauth_destination,
    reject_unknown_reverse_client_hostname,
    reject_invalid_helo_hostname,
    reject_non_fqdn_helo_hostname,
    reject_unknown_sender_domain,
    reject_non_fqdn_recipient

È estremamente comune bloccare i server SMTP che non hanno queste basi:

1. Il nome host in avanti HELO si risolve in una connessione IP originata da.
2. L'IP di origine delle connessioni si inverte al nome host rivendicato in HELO.
3. Se esistono criteri SPF, DKIM o DMARC, verificare.

Chiunque si preoccupi di essere bloccato a causa di uno di questi dovrebbe essere asfaltato e piumato.
Le persone che finiscono per essere bloccate per altri motivi, in particolare situazioni che si basano sulla conformità RFC in situazioni "anormali", avrò simpatia per. Lo spam è un tale problema che però non ci sono scuse per perdere le basi.

Mi aspetto che l'invio di MTA abbia un RDNS valido ma insistere sulla corrispondenza di EHLO dipenderà da chi sono i "clienti". Puoi trovare alcune linee guida interessanti in RFC5321 :

2.3.5.

(...) Il nome di dominio fornito nel comando EHLO DEVE essere un nome host primario (un nome di dominio che si risolve in un indirizzo RR) o, se l'host non ha un nome, un indirizzo letterale (...)

4.1.4.

(...) Un server SMTP PU verify verificare che l'argomento del nome di dominio nel comando EHLO corrisponda effettivamente all'indirizzo IP del client. Tuttavia, se la verifica fallisce, il server NON DEVE rifiutare di accettare un messaggio su tale base.

ma poi in 7.9.

È un principio consolidato che un server SMTP può rifiutare di accettare la posta per qualsiasi motivo operativo o tecnico che abbia senso per il sito che fornisce il server. (...)

La ricerca inversa non indica necessariamente il nome host fornito in HELO. A volte più domini ospitati sullo stesso host e tutti hanno lo stesso indirizzo IP. Ma quando provi a fare la ricerca inversa, otterrai il nome che è stato inserito nel record PTR. È ovvio che entrambi i nomi di dominio completi saranno diversi - e questo è completamente accettabile.

L'unica circostanza che consente di eliminare il messaggio è la ricerca inversa non riuscita. Qualsiasi ricerca riuscita indica che l'host è valido. I nomi non dovrebbero corrispondere.

Mi chiedo se dovrei anche bloccare host che non hanno un RDNS valido corrispondente a EHLO?

No, non dovresti. Blocca un'intera e-mail solo secondo un criterio, è una cattiva pratica.

Se lo faccio, creerò problemi per posta legittima e sconvolgerò i miei clienti?

più probabilmente lo fai e perderai la posta legittima

Mi chiedo anche se posso scendere a compromessi controllando che RDNS sia almeno impostato su qualcosa, ma non provi ad abbinarlo a EHLO. È possibile con Postfix (ed è utile)?

si possibile. Puoi usare reject_unknown_reverse_client_hostname invece di reject_unknown_client_hostname

Sfortunatamente, postfix non ha opzioni flessibili per "decisione complessa". In exim è possibile aggiungere alcuni punti per tali messaggi, ad es

Score = 0 
1. The HELO or EHLO hostname is not in fully-qualified domain or address literal form. Score +=10
2. The HELO or EHLO hostname has no DNS A or MX record. Score +=20
3. The HELO or EHLO hostname is listed with the A record "d.d.d.d" under rbl_domain. Score +=20
4. The sender domain has no DNS A or MX record. Score +=10
5. SPF checks return softfail. Score +=10, fail, Score +=20
...

E così via. Dopo aver completato tutti i controlli e se hai ottenuto un punteggio> 100, puoi rifiutare la posta. In realtà è possibile ottenere tale comportamento, ma è necessario scrivere il proprio servizio di politica