כתובת ה־IP שלכם ברשימת חסימה: איך לבדוק תוך 5 דקות ומה באמת מוציא אתכם ממנה

הדואר מתחיל לחזור, חומת האש של שותף מפסיקה לענות, או שאתר מציג לשרת שלכם קיר של captcha. מישהו אומר „ה־IP שלך ברשימה השחורה“, והאינסטינקט הראשון הוא לבקש חדש. בדרך כלל זה צעד ראשון שגוי. הנה איך לברר מה באמת קורה, בתוך כחמש דקות, ומה מתקן את זה לתמיד.

מה זו בעצם „רשימת חסימה“

המילה מכסה שלושה דברים שונים, וכל אחד מתוקן בדרך אחרת.

1. רשימות חסימה מבוססות DNS ‏(DNSBL). רשימות ציבוריות של כתובות ששלחו ספאם או הראו סימני פריצה. שרתי דואר שואלים אותן על כל חיבור נכנס. לזה בדרך כלל מתכוונים ב„רשימה שחורה“, וזה הסוג שאפשר לתקן.
2. מוניטין פרטי אצל ספקי תיבות הדואר הגדולים. שירותי דואר אינטרנטי גדולים מחזיקים ציונים משלהם ולא מפרסמים אותם. אתם רואים את ההשפעה (דואר נוחת בספאם או מתעכב), אבל אין רשימה לבדוק, רק כלי ה־postmaster שלהם.
3. סיווג רשת. אתרים ומערכות נגד הונאה רבים מתייחסים לכל כתובת של מרכז נתונים כ„אחסון“ ודורשים ממנה אימות או חוסמים אותה. זה לא רישום ואי אפשר להסיר אותו; הוא מתאר לאיזה סוג רשת הכתובת שייכת.

שאר המאמר עוסק בעיקר בסוג הראשון, כי אותו אפשר לבדוק ולתקן בעצמכם.

הרשימות שכדאי לבדוק

• ‏Spamhaus היא הרשימה שרוב שרתי הדואר משתמשים בה. האזור המאוחד שלה, ZEN, כולל את SBL (מקורות ספאם ידועים), ‏XBL (מכונות נגועות או מנוצלות, מוזן מ־CBL), ‏PBL (טווחים שלא אמורים לשלוח דואר ישירות) ו־CSS (ספאם בנפח נמוך מסוג „snowshoe“).
• ‏Barracuda מפעילה רשימה משלה, שמשמשת שערי דואר ארגוניים רבים.
• ‏SpamCop רושמת כתובות שמשתמשים מדווחים עליהן; הרישומים פגים מעצמם כ־24 שעות אחרי הדיווח האחרון.
• ‏UCEPROTECT כוללת שלוש רמות. רמה 1 היא כתובות בודדות ופגה אוטומטית אחרי שבעה ימים בלי ספאם חדש. רמות 2 ו־3 רושמות הקצאות ורשתות שלמות בגלל התנהגות של שכנים, ומוכרות הסרה „מזורזת“. ספקי הדואר הגדולים כמעט לא מסתמכים על רמות 2 ו־3.

הבדיקה

שואלים רשימות חסימה מבוססות DNS על ידי היפוך סדר האוקטטים של הכתובת וחיפוש שלה תחת האזור של הרשימה. מכל שרת Linux:

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

אין תשובה פירושו שאינכם רשומים. תשובה בטווח 127.0.0.x פירושה שאתם רשומים, וב־Spamhaus המספר האחרון אומר איזה חלק של ZEN:

השורה האחרונה מבלבלת הרבה אנשים. ‏Spamhaus לא עונה לשאילתות שמגיעות דרך שרתי DNS ציבוריים גדולים, ומחזירה במקום זאת קוד שגיאה. אם כל הבדיקות נראות מוזרות, הריצו אותן משרת שמשתמש בשרת DNS משלו, או השתמשו בדף החיפוש באתר של כל רשימה. חלק מהרשימות גם מבקשות ממשתמשים כבדים להירשם לפני שהם שואלים אותן דרך DNS.

קודם מתקנים את הסיבה

בקשת הסרה בלי תיקון קונה לכם יום או יומיים עד הרישום הבא, ורישומים חוזרים לוקחים יותר זמן להתנקות. לכן בררו מאיפה הגיע הרישום:

• האם הכתובת הייתה רשומה לפני שקיבלתם אותה? השוו את תאריך הרישום למועד שבו השרת שלכם נוצר. רישום ישן בלי פעילות חדשה הוא המקרה הקל: גשו ישר לטופס ההסרה.
• רישום ב־XBL או ב־CBL: הרשימה ראתה מהכתובת שלכם תעבורה שאופיינית לנוזקה או לבוטנט. חפשו תהליכים שאינכם מזהים, חיבורים יוצאים לא צפויים בפורט 25, רשומות cron חדשות ומפתחות SSH לא מוכרים. אפליקציית ווב פרוצה או סיסמה חלשה הן נקודת הכניסה הרגילה. אם אינכם בטוחים שהמכונה נקייה, בנו אותה מחדש.
• רישום ב־SBL או ב־CSS: דואר מהכתובת שלכם נראה כמו ספאם. בדקו טופסי יצירת קשר ששולחים דואר בלי captcha, סקריפטים ששולחים ניוזלטרים, וכל שירות SMTP שמאזין בממשק הציבורי.
• אתם בכלל שולחים דואר? אצל ספקי אחסון רבים, הפורטים היוצאים 25 ו־465 סגורים כברירת מחדל; דואר צריך לעבור דרך ספק דואר בפורט 587. אם אתם אף פעם לא שולחים דואר ועדיין רשומים, משהו אחר על השרת שולח.

אם אתם מריצים קוד לא מהימן על אותה מכונה ששולחת את הדואר שלכם, זה הרגע להפריד ביניהם. ארגז חול או שרת שני לעבודה המסוכנת מרחיקים את בעיות המוניטין שלה מכתובת הדואר שלכם; רמות בידוד לקוד לא מהימן משווה בין האפשרויות.

ואז מבקשים הסרה

• ‏Spamhaus: השתמשו בדף החיפוש, שמפנה לתהליך ההסרה הנכון לאותו אזור. הסרה מ־XBL/CBL ומ־PBL היא בשירות עצמי ברגע שהסיבה נעלמה; הסרה מ־PBL הגיונית רק אם אתם באמת מפעילים שרת דואר עם DNS הפוך תואם.
• ‏Barracuda: הגישו את טופס ההסרה עם הסבר קצר על מה שתיקנתם. צפו לעד יום בערך.
• ‏SpamCop: אין מה לעשות; הרישום פג מעצמו כיום אחרי שהדיווחים נפסקים.
• ‏UCEPROTECT: רמה 1 פגה אחרי שבעה ימים בלי ספאם חדש. התעלמו מרמות 2 ו־3, ואל תשלמו על הסרה.

אחרי ההסרה, הגדירו את היסודות שמרחיקים אתכם מהרשימות: שם DNS הפוך שתואם את שם המארח של השרת, ‏SPF, ‏DKIM ו־DMARC לדומיין שלכם, ומשימת cron שבועית שמריצה את הבדיקה שלמעלה ושולחת לכם מייל אם משהו משתנה.

מתי כתובת חדשה היא התשובה הנכונה

לפעמים היא כן: למשל, כשהכתובת נושאת רישום SBL ישן שאינכם מצליחים להסיר, או כשאתם צריכים מוניטין נקי לפרויקט חדש. אצלנו, כתובת אחרת פירושה שרת חדש: מזמינים אותו, מעבירים את הנתונים, ואז מבטלים את הישן; החלפת כתובת IP עובר על כל האפשרויות. אם אתם סבורים שרישום של הכתובת הנוכחית שלכם שגוי, פתחו פנייה עם שם הרשימה וקישור. אנחנו בוחנים כל מקרה, אבל לא מחליפים כתובות לפי בקשה.

שתי נקודות אחרונות. אם המוניטין חשוב ולו במעט (דואר, רשימות היתרים של שותפים, מפתחות API שקשורים לכתובת), השתמשו בתוכנית עם IPv4 משלה, כמו Small-IP: בתוכנית NAT הכתובת היוצאת אינה שלכם, ולכן היא לא יכולה לשאת את מוניטין השולח שלכם. ואם אתר חוסם אתכם כי אתם במרכז נתונים, שום רשימה ושום כתובת חדשה ממרכז נתונים לא ישנו את זה; רשת ופורטים מסביר מה כל תוכנית חושפת.