IP가 블록리스트에 올랐다면: 5분 만에 확인하는 법과 실제로 목록에서 빠지는 방법

메일이 반송되기 시작하거나, 파트너의 방화벽이 응답을 멈추거나, 어떤 웹사이트가 서버에 캡차 벽을 보여 줍니다. 누군가 "IP가 블랙리스트에 올랐네요"라고 말하면, 가장 먼저 새 IP를 요청하고 싶어집니다. 하지만 대개 그것은 잘못된 첫걸음입니다. 실제로 무슨 일이 일어나고 있는지 약 5분 만에 알아내는 방법과, 이를 확실히 해결하는 방법을 소개합니다.

'블록리스트'란 실제로 무엇인가

이 단어는 세 가지 다른 것을 가리키며, 해결 방법도 각각 다릅니다.

1. DNS 블록리스트(DNSBL). 스팸을 보냈거나 침해 징후를 보인 주소의 공개 목록입니다. 메일 서버는 들어오는 연결마다 이 목록을 조회합니다. 보통 '블랙리스트에 올랐다'고 하면 이것을 말하며, 고칠 수 있는 종류입니다.
2. 대형 메일 서비스의 비공개 평판. 대형 웹메일 서비스는 자체 점수를 매기고 공개하지 않습니다. 효과(메일이 스팸함으로 가거나 지연됨)는 보이지만 확인할 목록은 없고, 그들의 postmaster 도구만 있을 뿐입니다.
3. 네트워크 분류. 많은 웹사이트와 사기 방지 시스템은 모든 데이터 센터 주소를 '호스팅'으로 취급해 추가 인증을 요구하거나 차단합니다. 이것은 등재가 아니며 삭제할 수도 없습니다. 그 주소가 어떤 종류의 네트워크에 속하는지를 나타낼 뿐입니다.

이 글의 나머지는 주로 첫 번째 종류를 다룹니다. 직접 확인하고 고칠 수 있는 것이 이것이기 때문입니다.

확인할 가치가 있는 목록

• Spamhaus는 대부분의 메일 서버가 사용하는 목록입니다. 통합 영역인 ZEN에는 SBL(알려진 스팸 발송원), XBL(감염되었거나 악용된 머신, CBL 데이터 기반), PBL(메일을 직접 보내면 안 되는 대역), CSS(소량씩 보내는 '스노슈' 스팸)가 포함됩니다.
• Barracuda는 자체 목록을 운영하며, 많은 기업 메일 게이트웨이가 이를 사용합니다.
• SpamCop은 사용자가 신고한 주소를 등재합니다. 등재는 마지막 신고 후 약 24시간이 지나면 저절로 만료됩니다.
• UCEPROTECT에는 세 단계가 있습니다. 1단계는 개별 주소 대상이며, 새로운 스팸이 없으면 7일 후 자동 만료됩니다. 2단계와 3단계는 이웃의 행동을 이유로 할당 대역과 네트워크 전체를 등재하고, '급행' 삭제를 판매합니다. 주요 메일 서비스는 2단계와 3단계에 거의 의존하지 않습니다.

확인 방법

DNS 블록리스트는 주소의 옥텟을 거꾸로 뒤집어 목록의 영역 아래에서 조회합니다. 어느 Linux 서버에서든 다음과 같이 실행합니다.

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

응답이 없으면 등재되지 않은 것입니다. 127.0.0.x 범위의 응답이 오면 등재된 것이며, Spamhaus의 경우 마지막 숫자로 ZEN의 어느 부분인지 알 수 있습니다.

마지막 행에서 많은 사람이 헷갈립니다. Spamhaus는 대형 공개 DNS 리졸버를 거쳐 들어온 조회에 응답하지 않고, 대신 오류 코드를 반환합니다. 모든 확인 결과가 이상해 보인다면 자체 리졸버를 쓰는 서버에서 실행하거나, 각 목록 웹사이트의 조회 페이지를 이용하세요. 조회가 많은 사용자에게는 DNS로 조회하기 전에 등록을 요구하는 목록도 있습니다.

원인부터 고치기

원인을 고치지 않고 삭제를 요청하면 다음 등재까지 하루 이틀을 버는 것뿐이고, 반복 등재는 해제되기까지 더 오래 걸립니다. 그러니 등재가 어디서 왔는지 알아내세요.

• 받기 전부터 그 주소가 등재되어 있었나요? 등재 날짜와 서버 생성 날짜를 비교하세요. 새로운 활동이 없는 오래된 등재라면 쉬운 경우입니다. 바로 삭제 신청서로 가세요.
• XBL 또는 CBL 등재: 목록이 여러분의 주소에서 악성 코드나 봇넷의 전형적인 트래픽을 보았습니다. 알아보지 못하는 프로세스, 25번 포트로 향하는 예상치 못한 아웃바운드 연결, 새로운 cron 항목, 모르는 SSH 키를 찾아보세요. 침해된 웹 앱이나 약한 비밀번호가 흔한 침입 경로입니다. 머신이 깨끗한지 확신할 수 없다면 다시 구축하세요.
• SBL 또는 CSS 등재: 여러분의 주소에서 보낸 메일이 스팸처럼 보였습니다. 캡차 없이 메일을 보내는 문의 양식, 뉴스레터를 보내는 스크립트, 공개 인터페이스에서 대기 중인 SMTP 서비스를 확인하세요.
• 메일을 보내기는 하나요? 많은 호스팅에서 아웃바운드 25번과 465번 포트는 기본적으로 닫혀 있으며, 메일은 메일 서비스의 587번 포트를 통해 보내야 합니다. 메일을 전혀 보내지 않는데도 등재되어 있다면 서버의 다른 무언가가 보내고 있는 것입니다.

메일을 보내는 같은 머신에서 신뢰할 수 없는 코드를 실행하고 있다면, 지금이 둘을 분리할 때입니다. 위험한 작업을 샌드박스나 두 번째 서버로 옮기면 그 평판 문제를 메일 주소에서 떼어 놓을 수 있습니다. 선택지 비교는 신뢰할 수 없는 코드를 위한 격리 수준을 참고하세요.

그다음에 삭제 신청

• Spamhaus: 조회 페이지를 이용하세요. 해당 영역에 맞는 삭제 절차로 연결됩니다. 원인이 사라지면 XBL/CBL과 PBL 삭제는 셀프서비스로 가능합니다. PBL 삭제는 역방향 DNS가 일치하는 메일 서버를 실제로 운영할 때만 의미가 있습니다.
• Barracuda: 무엇을 고쳤는지 짧게 설명해 삭제 신청서를 제출하세요. 최대 하루 정도 걸린다고 보면 됩니다.
• SpamCop: 할 일이 없습니다. 신고가 멈추고 약 하루가 지나면 등재는 저절로 만료됩니다.
• UCEPROTECT: 1단계는 새로운 스팸이 없으면 7일 후 만료됩니다. 2단계와 3단계는 무시하고, 삭제에 돈을 내지 마세요.

삭제된 뒤에는 목록에 오르지 않게 해 주는 기본을 갖추세요. 서버의 호스트 이름과 일치하는 역방향 DNS 이름, 도메인의 SPF·DKIM·DMARC, 그리고 위의 확인을 매주 실행해 변화가 있으면 메일로 알려 주는 cron 작업입니다.

새 주소가 정답일 때

그럴 때도 있습니다. 예를 들어 삭제할 수 없는 오래된 SBL 등재가 주소에 남아 있거나, 새 프로젝트를 위해 깨끗한 평판이 필요한 경우입니다. 저희에게서 다른 주소란 새 서버를 뜻합니다. 새 서버를 주문하고, 데이터를 옮긴 다음, 이전 서버를 해지하세요. 모든 선택지는 IP 주소 변경에서 안내합니다. 현재 주소의 등재가 잘못되었다고 생각하면 목록 이름과 링크를 첨부해 티켓을 열어 주세요. 사례마다 살펴보지만, 요청만으로 주소를 바꿔 드리지는 않습니다.

마지막으로 두 가지. 평판이 조금이라도 중요하다면(메일, 파트너 허용 목록, 주소에 묶인 API 키), Small-IP처럼 자체 IPv4가 있는 요금제를 쓰세요. NAT 요금제의 아웃바운드 주소는 여러분 자신의 주소가 아니어서 자신만의 발신자 평판을 쌓을 수 없습니다. 그리고 데이터 센터에 있다는 이유로 웹사이트가 차단한다면, 어떤 목록도, 어떤 새 데이터 센터 주소도 그것을 바꾸지 못합니다. 각 요금제가 무엇을 노출하는지는 네트워크와 포트에서 설명합니다.