Beiträge von mainziman

    Stichwort Domainparking. Da wird dann eine Website angezeigt. Dafür braucht man DNS.

    und genau das ist kompletter Quark, was meinst was f. ein Schwachsinn es wäre prophylaktisch

    wenn sämtliche TLD-Zonen in etwa so aussähen ...

    Code
    domain1.tld.  NS    ns1.dnsdomain.com.
    domain1.tld.  NS    ns2.dnsdomain.com.
    
    domain2.tld.  NS    ns1.dnsdomain.com.
    domain2.tld.  NS    ns2.dnsdomain.com.
    ...
    *            A     17.17.17.17
    *            AAAA  2001:db8::1

    17.17.17.17 bzw. 2001:db8::1 stellen den Webserver mit den Domainparking-Quark dar ...

    Natürlich zuhause (DTAG in meinem Fall).

    i.d.R. rufe ich Webseiten immer vom heimischen Rechner auf, statt dafür einen vServer zu verwenden. :)

    ich auch, aber der curl-Test, ließ es mich auf meinen vServern ausprobieren;;)

    weil ich ja im Browser zu Hause auf eine 403-Seite starre :D


    in einer VM mit der Zusatzoption -4 bekomm ich HTTP/1.1 200 OK, ohne hingegen HTTP/1.1 403 Forbidden
    was daraus schließen läßt, dass sämtliche meine IPv6 Prefixe (6in4 Tunnel, ebenfalls netcup) da ausgesperrt sind;

    eben praktisch "höflich" sein hab vlt das wort formell falsch benutzt

    ja Idealismus ist was gutes, in dem Fall aber bringt es nichts; wenn nicht auf Punkt und Beistrich Verbote in den Gestzen stehen und gleich die Strafen auch angeführt sind, und es ebenso exekutiert wird, nur dann halten sich alle brav daran;

    sprich dein 'höflich' is fürn Hugo; ist ja nirgends festgeschrieben;

    darum auch diese radikalen Regeln auf meinem Mailserver;:)

    bzgl deines zweiten beispiels folge ich nicht ganz, der reject kommt weil du die ganze .com tld blockiert hast?

    richtig; die paar GMail-Adressen die ich kenne sind in einer Whitelist; auch sonst ein paar Domains; und das wars, der Rest wird gleich mal im Vorfeld geblockt;

    würd es sowas wie ein Porto auf E-mails geben würd nicht jede Dumpfbacke auf die Idee kommen: "na probieren wir mal¹, vlt. beisst er an"

    ¹ das jetzt egal, ob es einfach Mails mit der versteckten Botschaft: "es gibt einen Verstorbenen der Millionen hinterläßt, bezahle uns ein paar 1000 an Gebühren, damit wir Dir das Erbe aushändigen können", oder es um Phishing bzw. gleich der kompletter Palette an Malware wie z.B. Ransomware geht;;)

    rein anhand dieser daten würde ich noch keinen komplettblock machen, aber sicher je nach inhalt und sonstiger Daten in den Spam werfen.

    also meinst Du es wirklich so wie Du es geschrieben hast;

    ob eine Mail im sogenannten 'Posteingang' landet od im 'Junk', 'Spam' od. sonst einem Ordner ist unerheblich;

    und damit das einfachste Angriffsszenario überhaupt: in 'affenartiger' Geschwindigkeit das Postfach zumüllen², dann kann nämlich auch kein anderes Mail mehr zugestellt werden; da würd sich Dein Chef noch viel mehr aufregen, wenn auf die Art vlt. wichtige Mails viel zu spät - wenn den gerade mal Speicher frei - oder überhaupt nicht ankommen - und das wichtigste: das hast ganz Du selbst in der Hand;

    ² der Speicher f. Postfächer ist nicht unendlich; und weniger als 1000 User verteilt auf der Welt mit je 1-2 Mails mit einem Attachment so um die 1-5 MByte sind dafür hinreichend; so schnell kannst gar nicht schauen ist das Postfach voll ...

    ich meine eher dass der punkt wo du es um die header geht

    das ist irgendwie nicht ganz Deutsch; kannst Du das näher ausführen?:rolleyes:

    Mein problem ist halt dass diese blacklists mMn als viel zu heilig angesehen werden, und gerade eine komplette blockade aller mails einer IP insbesondere von einem Sharedhoster mMn recht overkill ist.

    das mag sein, aber das einzige wirksame Mittel; wie gesagt der Empfänger hat hier das sagen; nicht der Absender; wie ja bereits oben ausgeführt, da Absender weder höflich noch nett sind, dürfen sie sich auch nicht wundern;:P

    und jetzt eine Anekdote aus der realen Welt: bei mir zu Hause hat es ein ¾ Jahr gedauert bis die Post endlich begriffen hat, dass Sticker am Postkasten ihren Sinn haben, bzw. es nicht so läuft wie die es sich eingebildet hätten: "ich gebe meine Daten f. eine Art schwarze Liste bekannt, und dann werde ich von dem Schrott³ verschont":D

    ( ist ja fast wie ignorieren der Bremslichter vom Vordermann, der soll gefällgst die Genehmigung einholen ob er bremsen darf, ich will vollgas fahren )

    ³ sämtliches ohne Empfängeradresse ohne öffentlichem Interesse;

    Jester der Link liefert eine 403-Seite ...

    wobei um die Geschichte nochmals etwas aufzurollen ...

    weil bei den vielen Portfreigaben (Regeln) ganz oben,

    stell ich mal folgendes in den Raum:

    "wenn mit Anbieter X der VPN funktioniert,

    dann braucht man den VPN doch nur auf dem VPS ident zu konfigurieren, und es läuft wieder?"

    wobei wie ich schon weiter oben sagte, ist hier ein VPN das falsche Werkzeug;

    in so nem fall ist die mail aber sowieso nicht formell korrekt.

    ich denke Du solltest hier 'formell korrekt' definieren, denn lt. RFC ist das korrekt;

    das hat mit der blockierliste eher wenig zutun.

    doch in irgendeiner Form schon, denn alles was Du gleich im Vorfeld am Absenden hinderst kann auch in keiner SPAM-Falle landen;

    und damit wird der absendende Mailserver auf keiner Blockliste aufgenommen;

    dazu kommt die frage was ist als "postfach" definiert?

    das ist eindeutig, alles; inkl. aller Unterordner; es benötigt ja schließlich auch Speicher am Mailserver (Postfach Storage)

    darum ja auch oben die Frage, ob es wirklich so zu verstehen ist wie Du es schreibst;

    auf meinem Mailserver ist das einen Tag zuvor aufgeschlagen ...

    Code
    Jan 28 07:00:55 vhost01 postfix/smtpd[7274]: NOQUEUE: reject: MAIL from mail-oi1-x242.google.com[2607:f8b0:4864:20::242]: 554 5.7.1 <celina.clarke@globistictec.com>: Sender address rejected: TLD (.com) blocked; from=<celina.clarke@globistictec.com> proto=ESMTP helo=<mail-oi1-x242.google.com>

    ich hab nachgesehen, formal vollkommen in Ordnung, aber logisch vollkommen daneben, ich kenn die Absender-Domain nicht einmal;

    meist hinken Vergleiche, aber ich denke Du willst nicht, dass ein fremdes Auto in Deiner Garage parkt, oder?

    formal wäre es nämlich korrekt; ein fremdes Auto unterscheidet sich von Deinem so gesehen nach 'RFC-Spezifiaktion' gar nicht;

    außer Deine Garage ist etwas zu klein geraten, dass da nur ein Mini Platz hat und ein Schlachtschiff von Tesla versucht rein zu fahren :D

    My1 habe soeben im Logfile meines Mailservers etwas interessantes gesichtet ...

    Code
    Jan 29 14:02:02 vhost01 postfix/smtpd[459]: NOQUEUE: reject: EHLO from statistics-survey.cert.at[83.136.32.58]: 554 5.7.1 <mail.example.com>: Helo command rejected: Host not found; proto=SMTP helo=<mail.example.com>

    würdest Du das resultierende Mail tatsächlich - evtl. als SPAM markiert - in Deinem Postfach haben wollen?

    (falls überhaupt ein Mail hier eingeworfen worden wäre, dass da einfach mal nach einem EHLO gleich ein QUIT gemacht wird, ist ja nicht ausgeschlossen)

    ich wär der Meinung sowas sollte bereits bei der absendenden Stelle geblockt werden;

    ich hab übrigens eine Art fail2ban am Laufen, sprich zu jede vollen 10 min werden die letzten 10 Minuten von /var/log/maillog ausgewertet, und dubiose Dinger per IP[6]tables blockiert;

    seither ergibt iptables -L -n -v das da:

    Code
    Chain INPUT (policy DROP ...)
     pkts bytes target     prot opt in     out     source               destination
       11  1270 BLOCK-SMTP  all  --  eth0   *       83.136.32.58         0.0.0.0/0

    irgendwer - ob es nicht vmk war - hat mal gesagt, man kann auch später entscheiden, z.B. erst bei RCPT ob man eine Mail annimmt od. nicht;

    klar, wenn beim CONNECT od. EHLO/HELO schon Quark reinkommt, dann geht es der Gegenstelle absolut nix an, was ich bei meinem Mailserver beim 'HELO-Greeting' liefere ...;)

    Passt das so

    nicht mal annähernd; ob hier OpenVPN überhaupt das richtige Werkzeug ist, ist auch fragwürdig;

    ich denke hier eher an

    4in6-Tunneling

    Bei "4in6" wird das Prinzip von "6in4" umgekehrt. Es ist dann notwendig, wenn man IPv4-Pakete in einem IPv6-Netz transportieren will. Dazu benötigt man jeweils einen IPv4-Client und IPv4-Server und zwei im Dual-Stack-Betrieb befindliche Router. Beim Dual-Stack-Router auf der Client-Seite wird das IPv4-Paket in ein IPv6-Paket gepackt, über das IPv6-Netz übertragen und beim letzten Dual-Stack-Router wieder ausgepackt. Von dort wird das IPv4-Paket an den IPv4-Server weitergeleitet.

    da es hier aber um die Erreichbarkeit eines Servers geht, welcher im IPv6only Netz steht, stellt sich hier aber eher die Frage,

    an Stelle des DualStack Servers, welcher 4in6-Tunnel-Gateway spielt, diesen direkt als Server f. das gewünschte zu betreiben;

    dann brauchst aber etwas größeres als den VPS 200 G8;

    sudo iptables -A OUTPUT -p tcp --dport 27000 -j ACCEPT

    was sollte das bezwecken?

    Naja spamfilter auf postfach ebene geben in der regel dem User die möglichkeit nochmal zu schauen ob nicht gerade legitime mail dabei ist.

    mMn sollte eine direkte abweisung eher auf parametern wie SPF und DMARC passieren wie der besitzer der Adresse des Absenders extra schon sagt, "weist das ab".

    ich hoffe Du meinst das jetzt nicht so wie ich das hier lese?

    alles was SPF - ok und DMARC = ok rein ins Postfach ...

    es ist schon blöd wenn der chef sich über netcup aufregt weil keine rechnungen versandt werden können, für etwas wo wir nicht schuld sind.

    glaub ich dir, ich habs auch nicht verursacht, wenngleich ich solche Blacklists mittlerweile als das einzige Druckmittel sehe, SPAM nachhaltig zu reduzieren;

    (auf meinem Mailserver mach ich das komplett anders, ist ja auch meiner privat)

    dann sei doch bitte so nett und gib diese mal durch, gerade auf nem shared hoster, wo jeder jeden ruinieren kann.

    Gegenfrage: welches Problem hättest Du, wenn der Hoster die Mails welche er sinnvollerweise nicht annimmt (SPAM-Filter am Incoming-Mailrelay),

    gleich im Vorfeld auch am SMTP-Server verweigert?

    dazu gibt es weiterhin das problem dass wenn eine website bspw eine newsletteranmeldung hat (bei der man eigentlich nur die mailadresse anfordern sollte), dass jeder absichtlich ne spamtrap festlegen kann und die opt-in mail ist dann etwas problematisch.

    das ist aber nicht das Problem des Mailanbieters ...;)

    Was für ein Unfug.

    Ich nutze eigene Aliase für alle Dienste,

    damit widersprichst Dir aber gerade selbst; ich bezog, das was Du als Unfug bezeichnest auf Mailadressen von Shared Mail, mit eigenen Domains kannst das machen; oder erzählst Du jetzt allen ernstes das mit Mailanbietern wie z.B. mit GMail, GMX, ... zu machen, was tatsächlich ein Unfug wäre?

    Diese Daumenregeln wendest Du bei Deinem privaten Mailserver an?

    ich habe hier nicht von Mailserver gesprochen;;)

    838 Domains á mindestens 42€ / Jahr... ja das ist ein schöner Nebenverdienst.

    ist nur die Frage wie die DNS-Blacklists implementiert sind,

    wenn f. IPs in der Whitelist die entsprechenden Blacklists diese ebenfalls NICHTs liefern, passt es,

    andernfalls ist die Zahlung sinnfrei;:D

    weil welche Black- und Whitelist ein Server-Operator verwendet ist immer noch dessen Entscheidung;;)

    Warum ist Netcup nach 8 Tagen weiterhin gelistet?

    weil irgendso eine Dumpfbacke die entsprechende(n) SPAM-Fallen immer noch füttert, und nicht mitbekommt,

    welchen 'Kolateralschaden' derartiger Egoismus hervorruft;