DNS-Blacklisting: So konfiguriert man ohne Sorgen

Fast alle SMTP-Mail-Transfer-Agents (MTA) bieten die Nutzung von DNS-Blacklisting an, unabhängig von einem installierten Spamfilter. In der Unix-Welt ist Sendmail am weitesten verbreitet. In der M4-Konfigurationsdatei, meist /etc/mail/sendmail.mc, können Blacklisten einfach eingetragen werden.

Das generelle Format ist:

<br /> FEATURE(`dnsbl‘, `dns-adresse.blacklist.provider‘,`"550 5.7.1 Ablehnungsinfo für den Absender"‘)dnl<br />

Um die kombinierte Verified-Spam- und Exploits-Liste von Spamhaus zu verwenden, wäre beispielsweise einzutragen:

<br /> FEATURE(`dnsbl‘, `sbl-xbl.spamhaus.org‘, `"550 5.7.1 Your host "$&{client_name}" is suspected to be used for spamming. This is reported by http://www.spamhaus.org/query/bl?="$&{client_addr}" Please use an SMTP-server provided by your ISP."‘)dnl<br />

Das eingebaute Makro dnsbl.m4 weist die E-Mail immer dann zurück, wenn die direkte Absender-IP-Adresse auf der Blacklist steht. Wird bei der Abfrage der Liste ein Rückgabewert zurückgegeben, warum diese IP-Adresse auf der Liste steht, kann dies mit dem Standard-Makro nicht ausgewertet werden.

Bei Microsoft Exchange werden Blacklisten im System Manger konfiguriert. Minimum Version ist hier Exchange 2003 SP2. Zunächst muss Connection Filtering generell
aktiviert werden, wie in Bild 2 gezeigt.

Als nächstes werden, gemäß Bild 3, alle IP-Adressen von den SMTP-Servern eingetragen, die direkt E-Mails aus dem Internet annehmen. Dies ermöglicht eine Filterung, auch wenn der Exchange-Server die E-Mail nicht direkt aus dem
Internet erhält oder nicht als einziger SMTP-Server erhält, indem die Received-By-Einträge im Mail-Header ausgewertet werden.

Dieses Feature ist mit Vorsicht zu genießen, da der Spammer den Mail-Header fälschen kann. Dies ist jedoch unwahrscheinlich, da er jeden Header individuell auf den Empfänger zuschneiden müsste. Am sichersten ist die Ausstattung jedes einzelnen Frontend-Servers mit einem Blacklisten-Filter.

Sendmail dagegen ist darauf angewiesen, dass jeder Front-End-SMTP-Server mit DNS-Blacklist-Filtering ausgestattet wird, da es nur die IP-Adressen auswertet, von denen es die E-Mails direkt erhält. Kommen E-Mails beispielsweise von einem Backup MX-Server, so kann Sendmail den Weg nicht mehr rückverfolgen.

Zu guter Letzt werden die Regeln, wie in Bild 4 gezeigt, eingetragen. Exchange kann standardmäßig Returncodes auswerten, so dass leichter kombinierte Listen verwendet werden können.

Generell bietet Exchange einige Features mehr als Sendmail, jedoch ist man im Wesentlichen auf die eingebauten Möglichkeiten beschränkt. Sendmail bietet demjenigen, der eigene M4-Macros verwendet, die größte Flexibilität, siehe Bild 5. Für andere MTAs, wie Postfix oder Exim, bietet der Blacklister Sorbs eine gute
Konfigurationshilfe.