web-dev-qa-db-ja.com

Postfixは、4.7.25の一部の（良好な）サーバーからの受信メールを拒否しますが、正しい逆引きDNSがあります

シナリオ：

これは4年前からの本番メールサーバーであり、約50のドメインに約2000のメールボックスがあり、他のほとんどすべてのメールサーバーでうまく機能します。ログは常に監視されており、最近次の問題が発生しました。

編集1：Ubutntu 16.04.6-接尾辞（3.1.0-3ubuntu0.3）

問題：

このシステムにメールを配信できないように見えるメールサーバーがあります。

4.7.25クライアントホストが拒否されて失敗します。

NOQUEUE: reject: RCPT from unknown[159.135.224.3]: 450 4.7.25 Client Host rejected: cannot find your hostname, [159.135.224.3]

逆引きDNSレコードのないリレーを避けたいので、このように接尾辞を構成しました。

root@mail:~# grep restrictions /etc/postfix/main.cf
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination, reject_rbl_client zen.spamhaus.org, check_recipient_access mysql:/etc/postfix/mysql-virtual_recipient.cf, check_recipient_access mysql:/etc/postfix/mysql-virtual_policy_greylist.cf, check_policy_service unix:private/policy-spf
smtpd_helo_restrictions = permit_sasl_authenticated, permit_mynetworks, check_helo_access regexp:/etc/postfix/helo_access, reject_invalid_hostname, reject_non_fqdn_hostname, reject_invalid_helo_hostname, reject_unknown_helo_hostname, check_helo_access regexp:/etc/postfix/blacklist_helo
smtpd_sender_restrictions = check_sender_access regexp:/etc/postfix/tag_as_originating.re , permit_mynetworks, permit_sasl_authenticated, check_sender_access mysql:/etc/postfix/mysql-virtual_sender.cf, check_sender_access regexp:/etc/postfix/tag_as_foreign.re, reject_unknown_sender_domain, reject_unknown_reverse_client_hostname, check_client_access hash:/etc/postfix/client_access, reject_unknown_client_hostname
smtpd_client_restrictions = check_client_access mysql:/etc/postfix/mysql-virtual_client.cf

しかし、有効なものがあり、メールサーバーでローカルにテストが実行されます。

159.135.224.3でのDNSテスト

root@mail:~# nslookup 159.135.224.3
Server:         1.1.1.1
Address:        1.1.1.1#53

Non-authoritative answer:
3.224.135.159.in-addr.arpa      name = relay.teamgioia.it.

Authoritative answers can be found from:

root@mail:~# Dig 159.135.224.3

; <<>> Dig 9.10.3-P4-Ubuntu <<>> 159.135.224.3
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 23656
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1452
;; QUESTION SECTION:
;159.135.224.3.                 IN      A

;; AUTHORITY SECTION:
.                       10165   IN      SOA     a.root-servers.net. nstld.verisign-grs.com. 2019083000 1800 900 604800 86400

;; Query time: 6 msec
;; SERVER: 1.1.1.1#53(1.1.1.1)
;; WHEN: Fri Aug 30 12:18:21 CEST 2019
;; MSG SIZE  rcvd: 117

resolv.conf内：

nameserver 1.1.1.1
nameserver 1.0.0.1

質問：

どして reject_unknown_client_hostname期待どおりに機能していませんか？

それがこのサーバーのせいではなく送信者のせいである場合、メールが拒否されないように一部の送信者をホワイトリストに登録するにはどうすればよいですか？

また、彼らのせいは何であるかを説明または推測できますか？

linuxemailpostfixemail-server
1
Marco

IPアドレスがドメインルックアップと一致しません。

ドキュメント からの引用：

reject_unknown_client_hostname
1）クライアントのIPアドレス->名前のマッピングが失敗した場合、2）名前->アドレスのマッピングが失敗した場合、または3）名前->アドレスのマッピングが失敗した場合にリクエストを拒否しますクライアントのIPアドレスと一致しません。

クライアントのIPアドレスを検索する場合は、解決されたDNS名を再度検索し、それらを比較します。

$ nslookup 159.135.224.3
3.224.135.159.in-addr.arpa      name = relay.teamgioia.it.
$ nslookup relay.teamgioia.it.
Non-authoritative answer:
relay.teamgioia.it      canonical name = mailgun.org.
Name:   mailgun.org
Address: 52.2.180.207
Name:   mailgun.org
Address: 52.4.250.90

元のIPアドレスがDNSで解決されたアドレスと一致していないことがわかります。そのため、チェックに失敗します。

1
Gerald Schneider