Eu tenho um host, vamos chamar de foo.com, no qual eu estou executando o Postfix no Debian. O postfix está atualmente configurado para fazer estas coisas:
No entanto, notei recentemente que alguns spammers conseguem enviar spam para mim enquanto passam nas verificações do SPF. Após uma inspeção mais aprofundada, parece que eles se conectam ao meu servidor Postfix e dizem
HELO bar.com
MAIL FROM:<[email protected]> <---- this!
RCPT TO:<[email protected]>
DATA
From: "Buy Viagra" <[email protected]> <--- and this!
...
Como evito isso? Eu só quero aplicativos em execução no localhost para poder dizer MAIL FROM:<[email protected]> . Aqui está minha configuração atual (main.cf): link
Você precisa do smtpd_sender_restrictions para ser:
smtpd_sender_restrictions = permit_mynetworks, check_sender_access hash:/etc/postfix/notfromme
e em /etc/postfix/notfromme você colocou
foo.com REJECT
, em seguida, postmap /etc/postfix/notfromme e recarregue o postfix.
Feito.
Aqui está minha opinião sobre isso:
O SPFv1 protege o endereço do remetente do envelope (Return-Path), não o endereço do remetente do cabeçalho (De). Na maioria dos casos (pelo menos que eu vi) o endereço do remetente do cabeçalho (De) é falsificado (como foo.com), mas não é isso que o SPFv1 está verificando, portanto ele passa.
Eu acho que se você adicionar:
smtpd_helo_required = yes smtpd_helo_restrictions = permit_mynetworks check_helo_access hash: / etc / postfix / helo_access,
para o seu main.cf e:
foo.com REJECT
para / etc / postfix / helo_access, seguido por "postmap helo_access" e reiniciando o postfix, que deve significar que qualquer um que se identifique como "@ foo.com" será rejeitado, a menos que a conexão seja do localhost, caso em que isso será permitido (devido a permit_mynetworks ter uma classificação maior que check_helo_access).
edit - na verdade, isso provavelmente não ajudaria no caso de alguém se identificar como "HELO randomhost.net" e então enviar e-mails de @ foo.com. O que você precisa implementar é provavelmente header_checks:
Uma vez que você tenha o header_checks configurado para detectar e-mails do @ foo.com, você deve ser capaz de configurar o master.cf para que qualquer coisa do localhost pule essas verificações, e somente mensagens de entrada de outros sistemas sejam verificadas. Então, quando você receber um e-mail do @ foo.com de outro sistema da Internet, isso deve ser descartado.