Din IP står på en blokeringsliste: sådan tjekker du det på 5 minutter, og hvad der faktisk får den af

Mails begynder at komme retur, en partners firewall holder op med at svare, eller en hjemmeside viser din server en mur af captchaer. Nogen siger „din IP er sortlistet“, og den første indskydelse er at bede om en ny. Som regel er det det forkerte første skridt. Sådan finder du ud af, hvad der virkelig foregår, på cirka fem minutter, og hvad der løser det for altid.

Hvad en „blokeringsliste“ egentlig er

Ordet dækker tre forskellige ting, og de løses på forskellige måder.

1. DNS-blokeringslister (DNSBL'er). Offentlige lister over adresser, der har sendt spam eller vist tegn på kompromittering. Mailservere spørger dem ved hver indgående forbindelse. Det er som regel det, „sortlistet“ betyder, og det er den slags, der kan løses.
2. Privat omdømme hos store mailudbydere. Store webmailtjenester fører deres egne scorer og offentliggør dem ikke. Du ser effekten (mails havner i spam eller forsinkes), men der er ingen liste at tjekke, kun deres værktøjer til afsendere.
3. Klassificering af nettet. Mange hjemmesider og svindelsystemer behandler enhver datacenteradresse som „hosting“ og udfordrer eller blokerer den. Det er ikke en listning og kan ikke fjernes; den beskriver, hvilken slags net adressen tilhører.

Resten af artiklen handler mest om den første slags, fordi den kan du selv tjekke og løse.

De lister, der er værd at tjekke

• Spamhaus bruges af flest mailservere. Den samlede zone, ZEN, omfatter SBL (kendte spamkilder), XBL (inficerede eller udnyttede maskiner, fodret af CBL), PBL (intervaller, der ikke bør sende mail direkte) og CSS („snowshoe“-spam i lav volumen).
• Barracuda driver sin egen liste, som mange virksomheders mailgateways bruger.
• SpamCop lister adresser, som brugere har anmeldt; listninger udløber af sig selv cirka 24 timer efter den seneste anmeldelse.
• UCEPROTECT har tre niveauer. Niveau 1 er enkelte adresser og udløber automatisk efter syv dage uden ny spam. Niveau 2 og 3 lister hele tildelinger og net for naboers adfærd og sælger „ekspres“-fjernelse. Store mailudbydere læner sig sjældent op ad niveau 2 og 3.

Tjekket

DNS-blokeringslister forespørges ved at vende adressens oktetter om og slå den op under listens zone. Fra enhver Linux-server:

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

Intet svar betyder ikke listet. Et svar i intervallet 127.0.0.x betyder listet, og hos Spamhaus fortæller det sidste tal, hvilken del af ZEN:

Den sidste række snyder mange. Spamhaus besvarer ikke forespørgsler, der kommer via store offentlige DNS-resolvere, og returnerer i stedet en fejlkode. Ser hvert tjek mærkeligt ud, så kør det fra en server med sin egen resolver, eller brug opslagssiden på hver listes hjemmeside. Nogle lister beder også storbrugere om at registrere sig, før de spørger via DNS.

Fiks årsagen først

En anmodning om fjernelse uden en rettelse giver dig en dag eller to til næste listning, og gentagne listninger tager længere tid at slippe af med. Find derfor ud af, hvor den kom fra:

• Stod adressen på listen, før du fik den? Sammenlign listningsdatoen med oprettelsesdatoen for din server. En gammel listning uden ny aktivitet er det lette tilfælde: gå direkte til fjernelsesformularen.
• XBL- eller CBL-listning: listen så trafik fra din adresse, der er typisk for malware eller et botnet. Kig efter processer, du ikke genkender, uventede udgående forbindelser på port 25, nye cron-poster og ukendte SSH-nøgler. En kompromitteret webapp eller en svag adgangskode er den sædvanlige vej ind. Er du ikke sikker på, at maskinen er ren, så byg den op igen.
• SBL- eller CSS-listning: mail fra din adresse lignede spam. Tjek kontaktformularer, der sender mails uden captcha, nyhedsbrevsscripts og enhver SMTP-tjeneste, der lytter på den offentlige grænseflade.
• Sender du overhovedet mail? Hos mange udbydere er udgående porte 25 og 465 lukket som standard; mail bør gå gennem en mailudbyder på port 587. Hvis du aldrig sender mail og alligevel er listet, er det noget andet på serveren, der gør det.

Kører du upålidelig kode på den samme maskine, som sender din mail, er det nu, du skal adskille dem. En sandbox eller en anden server til det risikable arbejde holder dets omdømmeproblemer væk fra din mailadresse; isolationsniveauer for upålidelig kode sammenligner mulighederne.

Derefter fjernelse

• Spamhaus: brug opslagssiden, som linker til den rette fjernelsesproces for zonen. Fjernelse fra XBL/CBL og PBL er selvbetjening, når årsagen er væk; PBL-fjernelse giver kun mening, hvis du virkelig kører en mailserver med matchende omvendt DNS.
• Barracuda: send fjernelsesformularen med en kort forklaring af, hvad du har fikset. Regn med op til cirka et døgn.
• SpamCop: intet at gøre; listningen udløber af sig selv cirka et døgn efter, at anmeldelserne stopper.
• UCEPROTECT: niveau 1 udløber efter syv dage uden ny spam. Ignorer niveau 2 og 3, og betal ikke for fjernelse.

Efter fjernelsen sætter du det grundlæggende op, der holder dig væk fra listerne: et omvendt DNS-navn, der matcher serverens værtsnavn, SPF, DKIM og DMARC for dit domæne, og et ugentligt cron-job, der kører tjekket ovenfor og mailer dig, hvis noget ændrer sig.

Når en ny adresse er det rigtige svar

Nogle gange er den: for eksempel hvis adressen bærer på en gammel SBL-listning, der ikke kan fjernes, eller hvis du har brug for et rent omdømme til et nyt projekt. Hos os betyder en anden adresse en ny server: bestil den, flyt dine data, og opsig derefter den gamle; skift IP-adresse gennemgår alle mulighederne. Mener du, at en listning af din nuværende adresse er forkert, så opret en sag med listens navn og et link. Vi ser på hvert tilfælde, men vi bytter ikke adresser efter ønske.

To sidste ting. Betyder omdømmet noget som helst (mail, partneres tilladelseslister, API-nøgler knyttet til en adresse), så vælg en tarif med egen IPv4 som Small-IP: på en NAT-tarif er den udgående adresse ikke din egen og kan ikke bære dit eget afsenderomdømme. Og blokerer en hjemmeside dig, fordi du er i et datacenter, ændrer ingen liste og ingen ny datacenteradresse på det; netværk og porte forklarer, hvad hver tarif eksponerer.