Din IP står på en blocklista: så kontrollerar du det på 5 minuter och vad som faktiskt får bort den

Mejl börjar studsa, en partners brandvägg slutar svara eller en webbplats visar din server en vägg av captchas. Någon säger ”din IP är svartlistad”, och den första impulsen är att be om en ny. Oftast är det fel första steg. Så här tar du reda på vad som verkligen pågår, på ungefär fem minuter, och vad som löser det för gott.

Vad en ”blocklista” egentligen är

Ordet täcker tre olika saker, och de åtgärdas på olika sätt.

1. DNS-blocklistor (DNSBL). Publika listor över adresser som har skickat spam eller visat tecken på intrång. E-postservrar frågar dem vid varje inkommande anslutning. Det är oftast det som menas med ”svartlistad”, och det är den sort som går att åtgärda.
2. Privat rykte hos stora e-postleverantörer. Stora webbmejltjänster för egna poäng och publicerar dem inte. Du ser effekten (mejl hamnar i skräpposten eller fördröjs), men det finns ingen lista att kontrollera, bara deras verktyg för avsändare.
3. Klassificering av nätet. Många webbplatser och bedrägerisystem behandlar varje datacenteradress som ”hosting” och utmanar eller blockerar den. Det är ingen listning och kan inte tas bort; den beskriver vilken typ av nät adressen tillhör.

Resten av artikeln handlar mest om den första sorten, eftersom den kan du kontrollera och åtgärda själv.

Listorna som är värda att kontrollera

• Spamhaus används av flest e-postservrar. Dess kombinerade zon, ZEN, omfattar SBL (kända spamkällor), XBL (infekterade eller utnyttjade maskiner, matad av CBL), PBL (intervall som inte borde skicka e-post direkt) och CSS (”snowshoe”-spam i låg volym).
• Barracuda driver en egen lista, som många företags e-postgateways använder.
• SpamCop listar adresser som användare anmält; listningar löper ut av sig själva ungefär 24 timmar efter den senaste anmälan.
• UCEPROTECT har tre nivåer. Nivå 1 gäller enskilda adresser och löper ut automatiskt efter sju dagar utan ny spam. Nivå 2 och 3 listar hela tilldelningar och nät för grannars beteende, och säljer ”express”-borttagning. Stora e-postleverantörer förlitar sig sällan på nivå 2 och 3.

Kontrollen

DNS-blocklistor frågas genom att vända på adressens oktetter och slå upp den under listans zon. Från valfri Linux-server:

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

Inget svar betyder inte listad. Ett svar i intervallet 127.0.0.x betyder listad, och hos Spamhaus anger den sista siffran vilken del av ZEN:

Den sista raden lurar många. Spamhaus svarar inte på frågor som kommer via stora publika DNS-resolvrar och returnerar i stället en felkod. Om varje kontroll ser konstig ut, kör den från en server som använder sin egen resolver, eller använd uppslagssidan på varje listas webbplats. Vissa listor ber också storanvändare att registrera sig innan de frågar via DNS.

Åtgärda orsaken först

En begäran om borttagning utan åtgärd ger dig en dag eller två till nästa listning, och upprepade listningar tar längre tid att bli av med. Ta alltså reda på var den kom ifrån:

• Stod adressen på listan innan du fick den? Jämför listningsdatumet med datumet då din server skapades. En gammal listning utan ny aktivitet är det enkla fallet: gå direkt till borttagningsformuläret.
• XBL- eller CBL-listning: listan såg trafik från din adress som är typisk för skadlig kod eller ett botnät. Leta efter processer du inte känner igen, oväntade utgående anslutningar på port 25, nya cron-poster och okända SSH-nycklar. En komprometterad webbapp eller ett svagt lösenord är den vanliga vägen in. Om du inte är säker på att maskinen är ren, bygg om den.
• SBL- eller CSS-listning: e-post från din adress såg ut som spam. Kontrollera kontaktformulär som skickar mejl utan captcha, nyhetsbrevsskript och alla SMTP-tjänster som lyssnar på det publika gränssnittet.
• Skickar du ens e-post? Hos många leverantörer är utgående portar 25 och 465 stängda som standard; e-post bör gå via en e-postleverantör på port 587. Om du aldrig skickar e-post och ändå är listad är det något annat på servern som gör det.

Om du kör opålitlig kod på samma maskin som skickar din e-post är det här läget att skilja dem åt. En sandbox eller en andra server för det riskabla arbetet håller dess ryktesproblem borta från din e-postadress; isoleringsnivåer för opålitlig kod jämför alternativen.

Sedan borttagning

• Spamhaus: använd uppslagssidan, som länkar till rätt borttagningsprocess för zonen. Borttagning från XBL/CBL och PBL sker med självbetjäning när orsaken är borta; PBL-borttagning är bara meningsfull om du verkligen kör en e-postserver med matchande omvänd DNS.
• Barracuda: skicka borttagningsformuläret med en kort förklaring av vad du åtgärdat. Räkna med upp till ungefär ett dygn.
• SpamCop: inget att göra; listningen löper ut av sig själv ungefär ett dygn efter att anmälningarna upphört.
• UCEPROTECT: nivå 1 löper ut efter sju dagar utan ny spam. Strunta i nivå 2 och 3 och betala inte för borttagning.

Efter borttagningen sätter du upp grunderna som håller dig borta från listor: ett omvänt DNS-namn som matchar serverns värdnamn, SPF, DKIM och DMARC för din domän, och ett veckovis cron-jobb som kör kontrollen ovan och mejlar dig om något ändras.

När en ny adress är rätt svar

Ibland är den det: till exempel om adressen bär på en gammal SBL-listning som inte går att få bort, eller om du behöver ett rent rykte för ett nytt projekt. Hos oss betyder en annan adress en ny server: beställ den, flytta din data och säg sedan upp den gamla; byta IP-adress går igenom alla alternativ. Om du tror att en listning av din nuvarande adress är felaktig, öppna ett ärende med listans namn och en länk. Vi tittar på varje fall, men vi byter inte adresser på begäran.

Två sista saker. Om ryktet spelar någon roll alls (e-post, partners tillåtelselistor, API-nycklar knutna till en adress), välj en tariff med egen IPv4, som Small-IP: på en NAT-tariff är den utgående adressen inte din egen och kan inte bära ditt eget avsändarrykte. Och om en webbplats blockerar dig för att du är i ett datacenter ändrar ingen lista och ingen ny datacenteradress på det; nätverk och portar förklarar vad varje tariff exponerar.