你的 IP 上了黑名单：5 分钟查清楚，以及真正能让你被移除的做法

邮件开始被退回，合作方的防火墙不再响应，或者某个网站给你的服务器弹出一整面验证码墙。有人说“你的 IP 被拉黑了”，第一反应就是申请一个新的。通常这是错误的第一步。下面介绍如何在大约五分钟内弄清到底发生了什么，以及怎样彻底解决。

“黑名单”到底是什么

这个词涵盖三种不同的东西，解决方式也各不相同。

1. DNS 黑名单（DNSBL）。 公开的地址名单，收录发送过垃圾邮件或出现被入侵迹象的地址。邮件服务器对每个入站连接都会查询它们。人们说“被拉黑”通常指的就是这个，而且这是可以解决的那一种。
2. 大型邮箱服务商的私有信誉。 大型网页邮箱服务维护自己的评分，并不公开。你能看到效果（邮件进了垃圾箱或被延迟），但没有名单可查，只能用它们的 postmaster 工具。
3. 网络分类。 许多网站和反欺诈系统把所有数据中心地址都视为“托管”，并对其质询或屏蔽。这不是列入记录，也无法移除；它描述的是这个地址属于哪一类网络。

本文其余部分主要讲第一种，因为这是你能自己检查和修复的。

值得检查的名单

• Spamhaus 是大多数邮件服务器使用的名单。它的综合区域 ZEN 包括 SBL（已知垃圾邮件来源）、XBL（被感染或被利用的机器，数据来自 CBL）、PBL（不应直接发送邮件的地址段）和 CSS（低频的“雪鞋式”垃圾邮件）。
• Barracuda 运营自己的名单，许多企业邮件网关都在用。
• SpamCop 收录用户举报的地址；列入记录会在最后一次举报约 24 小时后自动过期。
• UCEPROTECT 分三级。第 1 级针对单个地址，在七天内没有新的垃圾邮件后自动过期。第 2 级和第 3 级会因为邻居的行为而把整个分配段和网络列入，并出售“加急”移除服务。主流邮件服务商很少依赖第 2、3 级。

检查方法

查询 DNS 黑名单的方法是把地址的各个八位组倒序，然后在名单的区域下查询。在任何 Linux 服务器上：

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

没有返回表示未被列入。返回 127.0.0.x 范围内的地址表示已被列入；对于 Spamhaus，最后一个数字说明是 ZEN 的哪一部分：

最后一行让很多人摸不着头脑。Spamhaus 不回应通过大型公共 DNS 解析器发来的查询，而是返回一个错误码。如果所有检查结果都很奇怪，请在使用自有解析器的服务器上运行，或使用各名单网站上的查询页面。有些名单还要求高频查询者在通过 DNS 查询前先注册。

先解决根源

不修复就申请移除，只能为你换来一两天，然后再次被列入，而重复列入需要更长时间才能清除。所以要先弄清列入记录从何而来：

• 你拿到这个地址之前它就被列入了吗？ 把列入日期和你的服务器创建时间对比。旧的列入记录且没有新活动是最简单的情况：直接去填移除申请。
• XBL 或 CBL 列入： 名单从你的地址看到了典型的恶意软件或僵尸网络流量。查找你不认识的进程、发往 25 端口的异常出站连接、新的 cron 条目和陌生的 SSH 密钥。被入侵的 Web 应用或弱密码是常见入口。如果你不确定机器是否干净，就重建它。
• SBL 或 CSS 列入： 从你地址发出的邮件看起来像垃圾邮件。检查不带验证码就发邮件的联系表单、发送新闻简报的脚本，以及任何监听在公网接口上的 SMTP 服务。
• 你到底有没有在发邮件？ 在许多服务商那里，出站 25 和 465 端口默认关闭；邮件应通过邮件服务商的 587 端口发送。如果你从不发邮件却仍被列入，那就是服务器上的其他东西在发。

如果你在发送邮件的同一台机器上运行不可信代码，现在就是把它们分开的时候。为高风险工作单独准备一个沙箱或第二台服务器，就能让它的信誉问题远离你的邮件地址；运行不可信代码的隔离级别对比了各种方案。

然后申请移除

• Spamhaus： 使用查询页面，它会链接到相应区域正确的移除流程。根源消除后，XBL/CBL 和 PBL 的移除可以自助完成；只有当你确实在运行一个反向 DNS 匹配的邮件服务器时，申请移出 PBL 才有意义。
• Barracuda： 提交移除表单，并简要说明你修复了什么。通常最多一天左右。
• SpamCop： 什么都不用做；举报停止大约一天后，列入记录会自动过期。
• UCEPROTECT： 第 1 级在七天内没有新垃圾邮件后过期。忽略第 2、3 级，也不要付费移除。

移除之后，把能让你远离黑名单的基础工作做好：与服务器主机名一致的反向 DNS 名称，为你的域名配置 SPF、DKIM 和 DMARC，再加一个每周运行上述检查、有变化就给你发邮件的 cron 任务。

什么时候换新地址才是正确答案

有时候确实是：比如这个地址带着一条你无法移除的旧 SBL 记录，或者你需要为新项目准备一个干净的信誉。在我们这里，换地址就意味着换一台新服务器：下单新服务器、迁移数据，然后取消旧的；更换 IP 地址介绍了所有选项。如果你认为当前地址的某条列入记录有误，请提交工单，附上名单名称和链接。我们会逐一查看每个案例，但不会应要求更换地址。

最后两点。如果信誉对你有任何意义（邮件、合作方白名单、绑定地址的 API 密钥），请使用带独立 IPv4 的套餐，例如 Small-IP：NAT 套餐的出站地址不是你自己的，无法积累你自己的发件人信誉。如果某个网站因为你在数据中心而屏蔽你，那么任何名单、任何新的数据中心地址都改变不了这一点；网络与端口说明了每个套餐对外开放的内容。