Twój IP jest na liście blokad: jak sprawdzić to w 5 minut i co naprawdę zdejmuje wpis

Poczta zaczyna wracać, firewall partnera przestaje odpowiadać albo strona pokazuje twojemu serwerowi ścianę captchy. Ktoś mówi „twój IP jest na czarnej liście”, a pierwszy odruch to poprosić o nowy. Zwykle to zły pierwszy krok. Oto jak w około pięć minut ustalić, co naprawdę się dzieje, i co naprawi to na dobre.

Czym właściwie jest „lista blokad”

Słowo obejmuje trzy różne rzeczy, a każdą naprawia się inaczej.

1. Listy blokad DNS (DNSBL). Publiczne listy adresów, które wysyłały spam lub wykazywały oznaki przejęcia. Serwery pocztowe odpytują je przy każdym połączeniu przychodzącym. Zwykle to właśnie oznacza „na czarnej liście” i to rodzaj, który da się naprawić.
2. Prywatna reputacja u dużych dostawców poczty. Duże usługi webmail prowadzą własne oceny i ich nie publikują. Widzisz skutek (poczta trafia do spamu albo jest odkładana), ale nie ma listy do sprawdzenia, są tylko ich narzędzia dla nadawców.
3. Klasyfikacja sieci. Wiele stron i systemów antyfraudowych traktuje każdy adres centrum danych jako „hosting” i sprawdza go lub blokuje. To nie jest wpis i nie da się go usunąć; opisuje, do jakiego typu sieci należy adres.

Reszta artykułu dotyczy głównie pierwszego rodzaju, bo ten możesz sprawdzić i naprawić sam.

Listy, które warto sprawdzić

• Spamhaus jest używany przez najwięcej serwerów pocztowych. Jego łączna strefa ZEN obejmuje SBL (znane źródła spamu), XBL (zainfekowane lub wykorzystane maszyny, zasilana przez CBL), PBL (zakresy, które nie powinny wysyłać poczty bezpośrednio) i CSS (niskonakładowy spam „snowshoe”).
• Barracuda prowadzi własną listę, używaną przez wiele firmowych bramek pocztowych.
• SpamCop wpisuje adresy zgłaszane przez użytkowników; wpisy wygasają same około 24 godzin po ostatnim zgłoszeniu.
• UCEPROTECT ma trzy poziomy. Poziom 1 to pojedyncze adresy, wpis wygasa automatycznie po siedmiu dniach bez nowego spamu. Poziomy 2 i 3 wpisują całe przydziały i sieci za zachowanie sąsiadów i sprzedają „ekspresowe” usunięcie. Duzi dostawcy poczty rzadko opierają się na poziomach 2 i 3.

Sprawdzenie

Listy DNS odpytuje się, odwracając oktety adresu i szukając go w strefie listy. Z dowolnego serwera z Linuksem:

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

Brak odpowiedzi oznacza brak wpisu. Odpowiedź z zakresu 127.0.0.x oznacza wpis, a w Spamhaus ostatnia liczba mówi, w której części ZEN:

Ten ostatni wiersz myli wiele osób. Spamhaus nie odpowiada na zapytania przychodzące przez duże publiczne resolvery DNS i zamiast tego zwraca kod błędu. Jeśli wszystkie sprawdzenia wyglądają dziwnie, uruchom je z serwera używającego własnego resolvera albo skorzystaj ze strony wyszukiwania na witrynie każdej listy. Niektóre listy proszą też intensywnych użytkowników o rejestrację przed odpytywaniem ich przez DNS.

Najpierw usuń przyczynę

Prośba o usunięcie bez naprawy daje dzień lub dwa do kolejnego wpisu, a powtarzające się wpisy schodzą dłużej. Ustal więc, skąd się wziął:

• Czy adres był na liście, zanim go dostałeś? Porównaj datę wpisu z datą utworzenia serwera. Stary wpis bez nowej aktywności to łatwy przypadek: od razu do formularza usunięcia.
• Wpis w XBL lub CBL: lista widziała z twojego adresu ruch typowy dla złośliwego oprogramowania lub botnetu. Szukaj nieznanych procesów, nieoczekiwanych połączeń wychodzących na port 25, nowych wpisów cron i obcych kluczy SSH. Zwykłym punktem wejścia jest przejęta aplikacja webowa albo słabe hasło. Jeśli nie masz pewności, że maszyna jest czysta, postaw ją od nowa.
• Wpis w SBL lub CSS: poczta z twojego adresu wyglądała jak spam. Sprawdź formularze kontaktowe wysyłające maile bez captchy, skrypty newsletterów i każdą usługę SMTP nasłuchującą na publicznym interfejsie.
• Czy w ogóle wysyłasz pocztę? U wielu dostawców wychodzące porty 25 i 465 są domyślnie zamknięte; poczta powinna iść przez dostawcę poczty na porcie 587. Jeśli nigdy nie wysyłasz poczty, a wpis jest, to wysyła coś innego na serwerze.

Jeśli uruchamiasz niezaufany kod na tej samej maszynie, która wysyła twoją pocztę, to dobry moment, by je rozdzielić. Sandbox albo drugi serwer do ryzykownej pracy trzyma jej problemy z reputacją z dala od twojego adresu pocztowego; poziomy izolacji dla niezaufanego kodu porównują opcje.

Potem poproś o usunięcie

• Spamhaus: użyj strony wyszukiwania, która prowadzi do właściwej procedury usunięcia dla danej strefy. Usunięcia z XBL/CBL i PBL są samoobsługowe, gdy przyczyna zniknie; usunięcie z PBL ma sens tylko wtedy, gdy naprawdę prowadzisz serwer pocztowy z pasującym odwrotnym DNS.
• Barracuda: wyślij formularz usunięcia z krótkim wyjaśnieniem, co naprawiłeś. Licz się z mniej więcej dobą.
• SpamCop: nic nie trzeba robić; wpis wygasa sam około doby po ustaniu zgłoszeń.
• UCEPROTECT: poziom 1 wygasa po siedmiu dniach bez nowego spamu. Poziomy 2 i 3 zignoruj i nie płać za usunięcie.

Po usunięciu ustaw podstawy, które trzymają cię z dala od list: odwrotną nazwę DNS zgodną z nazwą hosta serwera, SPF, DKIM i DMARC dla domeny oraz cotygodniowe zadanie cron, które uruchamia powyższe sprawdzenie i wysyła ci maila, gdy coś się zmieni.

Kiedy nowy adres to dobra odpowiedź

Czasem tak jest: na przykład na adresie ciąży stary wpis w SBL, którego nie da się usunąć, albo potrzebujesz czystej reputacji dla nowego projektu. U nas inny adres oznacza nowy serwer: zamów go, przenieś dane, a potem anuluj stary; zmiana adresu IP omawia wszystkie opcje. Jeśli uważasz, że wpis twojego obecnego adresu jest błędny, otwórz zgłoszenie z nazwą listy i linkiem. Rozpatrujemy każdy przypadek, ale nie wymieniamy adresów na życzenie.

Dwie ostatnie uwagi. Jeśli reputacja ma choć trochę znaczenia (poczta, allowlisty partnerów, klucze API przypisane do adresu), wybierz taryfę z własnym IPv4, na przykład Small-IP: w taryfie NAT adres wychodzący nie jest Twój i nie zbudujesz na nim własnej reputacji nadawcy. A jeśli strona blokuje cię, bo jesteś w centrum danych, żadna lista i żaden nowy adres z centrum danych tego nie zmienią; co udostępnia każda taryfa, wyjaśnia strona sieć i porty.