check helo в postfix

[kirill666]

доброго времени суток, с недавнего времени postfix стал резать много хостов по check helo, причем если на той же машине, выполнить nslookup -type=ptr xx.xx.xx.xx то система разрешает имя коректно.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Mikl]

а конфиг глянуть можно?

[kirill666]

Код: Выделить всё

 These are changed by postfix install script
readme_directory = /usr/share/doc/postfix-2.3.3/README_FILES
html_directory = /usr/share/doc/postfix-2.3.3/html
sendmail_path = /usr/sbin/sendmail.postfix
setgid_group = postdrop
command_directory = /usr/sbin
manpage_directory = /usr/share/man
daemon_directory = /usr/lib/postfix
newaliases_path = /usr/bin/newaliases
mailq_path = /usr/bin/mailq
queue_directory = /var/spool/postfix
mail_owner = postfix

# User configurable parameters

inet_interfaces = all
#delay_warning_time = 4h
soft_bounce = no

myhostname = mail.MYDOMAIN.com
mydomain = MYDOMAIN.com
#myorigin = $myhostname
myorigin = $mydomain

mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain


#mynetworks_style = class
mynetworks_style = subnet
#mynetworks_style = host

mynetworks = 172.16.0.0/24, 127.0.0.0/8

#relay_domains = $mydestination
relay_domains = $mynetworks


transport_maps = hash:/etc/postfix/transport

alias_maps = hash:/etc/postfix/aliases
alias_database = hash:/etc/postfix/aliases

#recipient_delimiter = +

#home_mailbox = Mailbox
#home_mailbox = Maildir/

#mail_spool_directory = /var/mail
#mail_spool_directory = /var/spool/mail

header_checks = regexp:/etc/postfix/header_checks
body_checks = regexp:/etc/postfix/body_checks
mime_header_checks = regexp:/etc/postfix/mime_header_checks

smtpd_banner = $myhostname ESMTP

local_destination_concurrency_limit = 2

######################################################

message_size_limit = 20485760
strict_rfc821_envelopes = yes
disable_vrfy_command = yes
smtpd_delay_reject = yes
smtpd_helo_required = yes

smtpd_client_restrictions = reject_unauth_pipelining,
  check_client_access pcre:/etc/postfix/client_checks,
  check_client_access hash:/etc/postfix/access

smtpd_helo_restrictions =
  permit_mynetworks 
  # Put here your clients without reverse names,
  # ie only IP-addresses of their mail servers:
  hash:/etc/postfix/client_access
  check_helo_access hash:/etc/postfix/access
  check_helo_access hash:/etc/postfix/helo_checks
  #reject_invalid_helo_hostname
  reject_non_fqdn_helo_hostname
  reject_unknown_hostname

smtpd_sender_restrictions =
  permit_mynetworks
  reject_unauth_pipelining
  check_sender_access hash:/etc/postfix/access_usernames
  reject_unknown_sender_domain
  reject_non_fqdn_sender

smtpd_recipient_restrictions =
  permit_mynetworks
  permit_mx_backup
  permit_auth_destination
  reject_unauth_destination
  reject_invalid_hostname
  reject_unauth_pipelining
  reject_non_fqdn_recipient
  reject_non_fqdn_sender
  reject_unknown_sender_domain
  reject_unknown_recipient_domain
  reject_multi_recipient_bounce
  check_helo_access hash:/etc/postfix/helo_checks
  check_helo_access pcre:/etc/postfix/helo_checks_pcre
  check_recipient_access hash:/etc/postfix/access_usernames
  reject_unknown_address

smtpd_client_restrictions =
  permit_mynetworks
  # Put here your clients without reverse names, 
  # ie only with IP-addresses of their MX:
  hash:/etc/postfix/client_access
  reject_unauth_pipelining
  # Next rule breaks RFC, but is VERY helpfull!:
  reject_unknown_client
  reject_unknown_reverse_client_hostname
  check_client_access hash:/etc/postfix/access
  check_client_access pcre:/etc/postfix/client_checks

smtpd_data_restrictions = reject_unauth_pipelining
smtpd_end_of_data_restrictions = reject_unauth_pipelining

unknown_address_reject_code = 553
unknown_hostname_reject_code = 553
unknown_client_reject_code = 550
smtpd_reject_unlisted_sender = yes

virtual_alias_maps = hash:/etc/postfix/virtual
local_recipient_maps = $alias_maps 
  hash:/etc/postfix/relay_recipients 
unknown_local_recipient_reject_code = 554

relay_recipient_maps = hash:/etc/postfix/relay_recipients
unknown_relay_recipients_reject_code = 554

#recipient_canonical_maps = hash:/etc/postfix/canonical_recipient
#sender_canonical_maps = hash:/etc/postfix/canonical_sender
#smtp_generic_maps = hash:/etc/postfix/generic

smtp_rcpt_timeout = 600s
smtp-filter_destination_concurrency_limit = 1
lmtp-filter_destination_concurrency_limit = 1
# AMAVISD:
content_filter = smtp-filter:[127.0.0.1]:10025
receive_override_options = no_address_mappings
queue_run_delay = 100s

[rayder]

а можно пример реджектов? может и не в постфиксе дело-то

[kirill666]

например.

Код: Выделить всё

 17 14:11:00 localhost postfix/smtpd[5952]: NOQUEUE: reject: RCPT from unknown[xx.xx.xx.xx]: 550 5.7.1 Client host rejected: cannot find your hostname, [xx.xx.xx.xx]; from=<user@dstdomain.com> to=<User@mydomain.com> proto=ESMTP helo=<mail.dstdomain.com>

причем выполняю на том же хосте
# nslookup -type=ptr xx.xx.xx.xx

Код: Выделить всё

Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
xx.xx.xx.xx.in-addr.arpa	name = mail.dstdomain.com

[rayder]

на сервере тоже гугловские нс-ы прописаны?
попробуй прописать нс, например, прова своего или свой

[kirill666]

Сначала были свои, потом пробовал прова, теперь прописал гугловые...
Результат тот же.
check helo не хочу отрубать, много спама валит сразу.
Как как прописать чтобы не проверялись несколько конкретных доменов?

[rayder]

через check_helo_access

[kirill666]

у меня там только получается принудительно заблочить без проверки,
как как туда написать корректно.

[rayder]

так же как и блочите, только всесто REJECT, OK напишите.

Код: Выделить всё

domain.com OK

[kirill666]

Еще спрошу, подскажите, пож. как настроить проверку времени, в основном спам я поборол, но иногда приходят спамерские письма, которые получены, на 5-6 часов позже текущей даты, и встают с самое начало списка писем.
Хочу реализовать проверку времени, с допустимым расхождением минут в 10.

[rayder]

гм, тут скорее всего придется рисовать скрипт который будет проверять хедеры, и постфиксом передавать ему письмо на обработку.
примерно как тут