REJECT für Spam-Versende-Hosts mit localhost als reverse DNS name pointer

[Martin Steigerwald]

Am Dienstag, 24. Januar 2017, 18:11:29 CET schrieb Martin Steigerwald:
> Am Dienstag, 24. Januar 2017, 17:58:36 CET schrieb Martin Steigerwald:
> > Hmmm, der scheint das zu bouncen:
> > 
> > Dec 27 11:40:16 mondschein postfix/pickup[10897]: 412285E4: uid=120
> > from=<martin at lichtvoll.de> Dec 27 11:40:16 mondschein
> > postfix/cleanup[11175]: 412285E4:
> > message-id=<5862A776.4147.4B18D8 at martin.lichtvoll.de> Dec 27 11:40:16
> > mondschein postfix/cleanup[11175]: 412285E4: reject: header X-Spam-Flag:
> > YES from local; from=<martin at lichtvoll.de>
> > to=<martin at mondschein.lichtvoll.de>: 5.7.1 Your mail appears to be spam
> 
> Und ich lese:
> 
> Backscatter occurs because worms and spam messages often forge their sender
> addresses. Instead of simply rejecting a spam message, a misconfigured mail
> server sends a bounce message to such a forged address. This normally
> happens when a mail server is configured to relay a message to an
> after-queue processing step, for example, an antivirus scan or spam check,
> which then fails, and at the time the antivirus scan or spam check is done,
> the client already has disconnected. In those cases, it is normally not
> possible to reject the SMTP transaction, since a client would time out
> while waiting for the antivirus scan or spam check to finish. The best
> thing to do in this case, is to silently drop the message, rather than risk
> creating backscatter.
> 
> https://en.wikipedia.org/wiki/Backscatter_(email)
> 
> Heißt das Postfix macht aus meinem REJECT stillschweigend einen Bounce?
> 
> Also geht das gar nicht, via SpamAssassin als Spam erkannte Mails noch zu
> rejecten? Von Beobachten des Mail-Logs gehe ich davon aus, dass ein Check
> auf Spam üblicherweise auf meinem System nicht mehr als 2 Sekunden dauert.
> 
> Dann würde ich den Header-Check erstmal auf DISCARD umstellen, bis mir
> etwas besseres einfällt.

Manpage header_checks(5):
DESCRIPTION
       This  document  describes access control on the content of mes‐
       sage headers and message body lines; it is implemented  by  the
       Postfix cleanup(8) server before mail is queued.  See access(5)
       for access control on remote SMTP client information.

[…]

       REJECT optional text...
              Reject  the  entire message. Reply with optional text...
              when the optional text  is  specified,  otherwise  reply
              with a generic error message.

              Note: this action disables further header or body_checks
              inspection of the current message and affects all recip‐
              ients.

              Postfix  version  2.3  and later support enhanced status
              codes.  When no code is specified at  the  beginning  of
              optional  text...,  Postfix  inserts  a default enhanced
              status code of "5.7.1".

              This feature is  not  supported  with  smtp  header/body
              checks.

Und soweit ich das verstehe, sind smtp_header_checks, wenn mein Postfix selbst 
eine Mail versendet. Ich verwende jedoch die "header_checks" ohne "smtp_" 
davor.

Und für das Postfix-Buch gibts das als Idee ja auch:

http://www.postfixbuch.de/upload/header_checks

(wenn auch diese Datei veraltet ist und ich mir stattdessen die Spamassassin-
Regeln ziehe)

Auch laut Kapitel 5.2.8 im Postfix-Buch ist für header_checks durchaus ein 
REJECT möglich. Da ist dann auch eine Referen auf 5.2.7 zur access-Tabelle, wo 
klar steht, dass der REJECT noch in der SMTP-Sitzung kommt.

Das müsste also prinzipiell schon so funktionieren. *kopfkratz*

Ciao,
-- 
Martin