spamhaus.org 正在阻止我们的 IP，因为我们使用了多个不相关的 HELO 值

Question

spamhaus.org 正在阻止我们的 IP，因为我们使用多个域名从单个 IP 发送邮件。

消息是

使用 aaa.bbb.ccc.ddd 的设备（计算机、服务器、移动电话等）或设备上的应用程序受到感染、严重配置错误或受到损害。它正在端口 25 上与多个不相关的 HELO 值建立 SMTP 连接。

最近的检测时间为：2022 年 5 月 18 日，10:20:00 UTC（+/- 5 分钟）。观察到的 HELO 值为 xxx yyy zzz ,...

我们有很多不同的电子邮件域（一个客户 = 一个域），并且所有电子邮件都是从同一 IP 发送的（使用同一互联网网关的多个不同服务器）。

我们应该如何处理这个用例？我们目前在多个服务器上使用 exim4 作为邮件服务器。

Answer 1

您将其配置为为每个服务的域提供不同的 HELO 名称？这确实是个坏主意。这就是 Spamhaus 对你生气的原因。

• 您的服务器应该有一定的 FQDN，至少对于邮件服务来说是这样mail.example.org；
• 将该 FQDN 名称设置为单个常量 HELO 名称，该名称始终由 MTA 提供，无论现在正在传送哪个域的邮件；
• 该名称应具有解析为服务器 IP 地址的 A 或 AAAA 记录，例如mail.example.org. A 192.0.2.1；
• 服务器在进行传出连接时使用此 IP 地址或其他某个 IP 地址。该传出 IP 地址的反向 DNS 查找应指向同一个 FQDN，例如1.2.0.192.in-addr.arpa. PTR mail.example.org.；
• 理想情况下，启用 STARTTLS 并使用对此 FQDN 有效的 SSL 证书，例如CN=mail.example.orgSAN 字段包含DNS:mail.example.org或DNS:*.example.org。

然后您在服务域的 MX 记录中指定此 FQDN，如下所示：（example.com. MX 10 mail.example.org.也不要忘记设置 SPF、DKIM、DMARC 记录）。

请注意，单个 IP 地址不能有多个 PTR 记录；从技术上讲，你可以，但这不会像你想象的那样工作。某些 DNS 服务器会检查这三项（HELO、HELO 名称的正向 DNS 查询和您的 IP 的反向 DNS 查询）以匹配消息，如果不匹配则阻止消息。这部分回答了为什么您不应该更改每条消息的 HELO 名称。

（它与链接的“规范问题”中的答案本质上相同）