Exchange 2013 IPBlockListProvider блокирует некоторые (но не все) соответствующие IP-адреса

Question

Я настроил наш сервер Exchange 2013 Edge Transport на использование нескольких IPBlockListProviders, включая Spamhaus. Хотя большую часть времени они работают отлично, все еще есть некоторые письма, которые, несмотря на сопоставление с одним из поставщиков черного списка, проходят.

Возьмем, к примеру, электронное письмо, которое было недавно получено с IP-адреса 66.248.197.240, который, несомненно, находится в Spamhaus SBL, как и несколько других (http://mxtoolbox.com/SuperTool.aspx?action=blacklist%3a66.248.197.240&run=toolpage) и правильно идентифицированы сервером Edge как таковые:

[PS] C:\Users\Administrator>Test-IPBlockListProvider -Identity "Spamhaus" -IPAddress 66.248.197.240

Provider                                ProviderResult                                                          Matched
--------                                --------------                                                          -------
Spamhaus                                {127.0.0.3}                                                                True

Я убедился, что не использую публичные DNS-пересылки (например, Google), так что проблема блокировки по принципу «все или ничего» не возникает.

Самое запутанное то, что эта конфигурация работает для большинства полученных сообщений, находящихся на SBL:

[PS] C:\Program Files\Microsoft\Exchange Server\V15\Scripts>.\get-AntispamTopRBLProviders.ps1

Name                                                                                                              Value
----                                                                                                              -----
Spamhaus                                                                                                           4594
SpamCop                                                                                                              48

Интересно, что одна вещь, которая, кажется, внесла существенные изменения, — это изменение приоритета транспортных агентов таким образом, что Connection Filtering Agent становится первым. Вот моя текущая конфигурация, если это уместно:

[PS] C:\Program Files\Microsoft\Exchange Server\V15\Scripts>Get-TransportAgent

Identity                                           Enabled         Priority
--------                                           -------         --------
Connection Filtering Agent                         True            1
Sender Id Agent                                    True            2
Sender Filter Agent                                True            3
Recipient Filter Agent                             True            4
Content Filter Agent                               True            5
Address Rewriting Inbound Agent                    True            6
Edge Rule Agent                                    True            7
Attachment Filtering Agent                         True            8
Address Rewriting Outbound Agent                   True            9
Protocol Analysis Agent                            True            10

Я включаю полные заголовки сообщений (с отредактированными идентификаторами моего сервера) электронной почты с IP-адреса, который находится в SBL ниже. Очевидно, что включение всей моей фильтрации спама влияет на время, необходимое для того, чтобы сообщение дошло до почтового сервера (в данном случае 8 секунд между отправкой и доставкой), однако этого, похоже, недостаточно.

X-Ms-Exchange-Organization-Network-Message-Id: 32388ce4-005a-4090-a363-08d2612d1e23
X-Ms-Exchange-Organization-Authas: Anonymous
Pm-Xs: 15766241f_7460962er.x15766241
X-Ms-Exchange-Organization-Avstamp-Enterprise: 1.0
Vr-Yhkrg: 15766241s-15766241e_i7460962
X-Ms-Exchange-Organization-Prd: heliq240.emited.work
X-Ms-Exchange-Organization-Pcl: 2
Return-Path: [email protected]
X-Ms-Exchange-Organization-Scl: 1
Mime-Version: 1.0
Ybu-Efa: c3195284488a449ed165c2c50f18376bb-ec3195284488a449ed165c2c50f18376b.u15766241
Okul-Lfp: 15766241y.15766241n_c7460962
X-Ms-Exchange-Organization-Senderidresult: None
X-Ms-Exchange-Organization-Antispam-Report: DV:3.3.14519.472;SID:SenderIDStatus None;OrigIP:66.248.197.240
Message-Id: <[e-mail]>
X-Ms-Exchange-Organization-Authsource: edgeserver.mydomain.com
Content-Type: multipart/alternative; boundary="15766241"
Received-Spf: None (edgeserver.mydomain.com: [email protected] does not designate permitted sender hosts)
Received: from mailboxserver.mydomain.com (192.168.1.2) by mailboxserver.mydomain.com (192.168.1.2) with Microsoft SMTP Server (TLS) id 15.0.847.32 via Mailbox Transport; Wed, 20 May 2015 10:59:49 -0500
Received: from mailboxserver.mydomain.com (192.168.1.49) by mailboxserver.mydomain.com (192.168.1.49) with Microsoft SMTP Server (TLS) id 15.0.847.32; Wed, 20 May 2015 10:59:43 -0500
Received: from edgeserver.mydomain.com (192.168.1.4) by mailboxserver.mydomain.com (192.168.1.49) with Microsoft SMTP Server (TLS) id 15.0.847.32 via Frontend Transport; Wed, 20 May 2015 10:59:43 -0500
Received: from heliq240.emited.work (66.248.197.240) by edgeserver.mydomain.com (192.168.1.4) with Microsoft SMTP Server id 15.0.847.32; Wed, 20 May 2015 10:59:41 -0500
New telecommuting opportunities available today - 05/20/15

Какие-либо предложения?

Кроме того, это мой первый пост на любом из сайтов Stack Exchange. Надеюсь, этот вопрос и заслуженный, и на правильном сайте. Если нет, пожалуйста, дайте мне знать!

Answer 1

Я рекомендую вам также проверить ваши AllowLists, так как, похоже, у вас есть сильный удар по (предположительно включенному) BlockList. Я подозреваю, что у вас должно быть правило в транспортном потоке, которое успешно проверяет сообщение. Поскольку Connection Filter находится на самом верху списка, я бы подумал, что дело останавливается на этом.