IP адресът ви е в блоклист: как да проверите за 5 минути и какво наистина ви маха от списъка

Пощата започва да се връща, защитната стена на партньор спира да отговаря или сайт показва на сървъра ви стена от captcha. Някой казва „IP-то ти е в черния списък“ и първият инстинкт е да поискате нов. Обикновено това е грешна първа стъпка. Ето как да разберете какво всъщност става, за около пет минути, и какво го оправя окончателно.

Какво всъщност е „блоклист“

Думата покрива три различни неща и те се оправят по различен начин.

1. DNS блоклисти (DNSBL). Публични списъци с адреси, които са пращали спам или са показали признаци на компрометиране. Пощенските сървъри ги питат при всяка входяща връзка. Това обикновено се има предвид под „в черния списък“ и това е видът, който се оправя.
2. Частна репутация при големите пощенски доставчици. Големите уебмейл услуги водят собствени оценки и не ги публикуват. Виждате ефекта (пощата отива в спам или се забавя), но няма списък за проверка, само техните postmaster инструменти.
3. Класификация на мрежата. Много сайтове и системи против измами третират всеки адрес от център за данни като „хостинг“ и го проверяват или блокират. Това не е вписване и не може да бъде премахнато; то описва към какъв вид мрежа принадлежи адресът.

Останалата част от статията е главно за първия вид, защото него можете да проверите и оправите сами.

Списъците, които си струва да проверите

• Spamhaus е този, който ползват повечето пощенски сървъри. Комбинираната му зона, ZEN, включва SBL (известни източници на спам), XBL (заразени или експлоатирани машини, захранван от CBL), PBL (диапазони, които не бива да пращат поща директно) и CSS (спам с малък обем тип „snowshoe“).
• Barracuda поддържа собствен списък, използван от много корпоративни пощенски шлюзове.
• SpamCop вписва адреси, докладвани от потребители; вписванията изтичат сами около 24 часа след последния доклад.
• UCEPROTECT има три нива. Ниво 1 са отделни адреси и изтича автоматично след седем дни без нов спам. Нива 2 и 3 вписват цели разпределения и мрежи заради поведението на съседи и продават „експресно“ премахване. Големите пощенски доставчици рядко разчитат на нива 2 и 3.

Проверката

DNS блоклистите се питат, като се обърнат октетите на адреса и той се потърси под зоната на списъка. От всеки Linux сървър:

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

Липсата на отговор означава, че не сте вписани. Отговор в диапазона 127.0.0.x означава, че сте, а при Spamhaus последното число показва коя част от ZEN:

Последният ред обърква много хора. Spamhaus не отговаря на заявки, пристигащи през големи публични DNS резолвери, и вместо това връща код за грешка. Ако всички проверки изглеждат странно, пуснете ги от сървър, който ползва собствения си резолвер, или използвайте страницата за проверка на сайта на всеки списък. Някои списъци също искат от интензивните потребители да се регистрират, преди да ги питат през DNS.

Първо отстранете причината

Заявка за премахване без поправка ви купува ден-два до следващото вписване, а повторните вписвания се изчистват по-бавно. Затова разберете откъде идва вписването:

• Бил ли е адресът вписан, преди да го получите? Сравнете датата на вписването с датата на създаване на сървъра ви. Старо вписване без нова активност е лесният случай: отидете направо към формуляра за премахване.
• Вписване в XBL или CBL: списъкът е видял от адреса ви трафик, типичен за зловреден софтуер или ботнет. Потърсете процеси, които не разпознавате, неочаквани изходящи връзки към порт 25, нови записи в cron и непознати SSH ключове. Компрометирано уеб приложение или слаба парола е обичайната входна точка. Ако не сте сигурни, че машината е чиста, изградете я наново.
• Вписване в SBL или CSS: пощата от адреса ви е приличала на спам. Проверете формулярите за контакт, които пращат поща без captcha, скриптовете за бюлетини и всяка SMTP услуга, която слуша на публичния интерфейс.
• Изобщо пращате ли поща? При много доставчици изходящите портове 25 и 465 са затворени по подразбиране; пощата трябва да минава през пощенски доставчик на порт 587. Ако никога не пращате поща, а пак сте вписани, нещо друго на сървъра го прави.

Ако изпълнявате недоверен код на същата машина, която праща пощата ви, сега е моментът да ги разделите. Пясъчник или втори сървър за рисковата работа държи проблемите ѝ с репутацията далеч от пощенския ви адрес; нивата на изолация за недоверен код сравняват вариантите.

После — премахването

• Spamhaus: използвайте страницата за проверка, която води към правилния процес за премахване за съответната зона. Премахването от XBL/CBL и PBL е самообслужване, щом причината изчезне; премахването от PBL има смисъл само ако наистина поддържате пощенски сървър със съответстващ обратен DNS.
• Barracuda: подайте формуляра за премахване с кратко обяснение какво сте поправили. Очаквайте до около ден.
• SpamCop: нищо не е нужно; вписването изтича само около ден след като докладите спрат.
• UCEPROTECT: ниво 1 изтича след седем дни без нов спам. Игнорирайте нива 2 и 3 и не плащайте за премахване.

След премахването настройте основните неща, които ви държат извън списъците: име в обратния DNS, съвпадащо с hostname на сървъра, SPF, DKIM и DMARC за домейна ви и седмична cron задача, която пуска горната проверка и ви пише по имейл, ако нещо се промени.

Кога новият адрес е правилният отговор

Понякога е: например адресът носи старо вписване в SBL, което не можете да премахнете, или ви трябва чиста репутация за нов проект. При нас друг адрес означава нов сървър: поръчвате го, местите данните си и след това прекратявате стария; смяната на IP адреса описва всички варианти. Ако смятате, че вписване на текущия ви адрес е погрешно, отворете тикет с името на списъка и линк. Разглеждаме всеки случай, но не сменяме адреси по заявка.

Две последни неща. Ако репутацията изобщо има значение (поща, allowlist-и на партньори, API ключове, вързани за адрес), използвайте тарифа със собствен IPv4, като Small-IP: при NAT тарифа изходящият адрес не е ваш собствен и не може да носи вашата собствена репутация на подател. И ако сайт ви блокира, защото сте в център за данни, никакъв списък и никакъв нов адрес от център за данни няма да промени това; мрежа и портове обяснява какво излага всяка тарифа.