☰

我應該禁止電子郵件標頭中的哪個 IP 位址來阻止來自該來源的垃圾郵件？

tag-icon • tag-icon email email-server
我應該禁止電子郵件標頭中的哪個 IP 位址來阻止來自該來源的垃圾郵件？

我收到了來自 的詐騙電子郵件zcsend.net。這次寄件者地址是偽造的。我需要使用 Fail2Ban 來禁止來自同一來源的訊息。然而，標題中有很多地址。我應該禁止哪一個？

Return-Path: <[email protected]>
Delivered-To: [email protected]
Received: from mail.elcolie.com
    by mail.elcolie.com with LMTP
    id CQu1FWy08mQ8UwEA83h3bQ
    (envelope-from <[email protected]>)
    for <[email protected]>; Sat, 02 Sep 2023 04:05:00 +0000
Received: from localhost (localhost [127.0.0.1])
    by mail.elcolie.com (Postfix) with ESMTP id 4F41E835F9
    for <[email protected]>; Sat,  2 Sep 2023 04:05:00 +0000 (UTC)
Received-SPF: Pass (mailfrom) identity=mailfrom; client-ip=135.84.81.239; helo=sender-239.fsu3.zcsend.net; envelope-from=bounce_826278108+a.1ffd60557f594e44_gm1@mail18.psnd.zcsend.net; receiver=<UNKNOWN> 
Authentication-Results: mail.elcolie.com; dmarc=none (p=none dis=none) header.from=ahrdigital.com.br
Authentication-Results: mail.elcolie.com;
    dkim=pass (1024-bit key; unprotected) header.d=mail18.psnd.zcsend.net [email protected] header.a=rsa-sha256 header.s=k1 header.b=mfuyyvvw;
    dkim-atps=neutral
Received: from sender-239.fsu3.zcsend.net (sender-239.fsu3.zcsend.net [135.84.81.239])
    by mail.elcolie.com (Postfix) with ESMTPS id 4A931833FE
    for <[email protected]>; Sat,  2 Sep 2023 04:04:59 +0000 (UTC)
Received: from 172.30.236.109 by sender-239.fsu3.zcsend.net
    with SMTP id 169362748867145850; Fri, 01 Sep 2023 21:04:48 -0700
DKIM-Signature: a=rsa-sha256; b=mfuyyvvwcocf77Gr4eWhg010x1Vak0knteAbKgX+PiHKD2TdnhfbGOZHCItAcuEJSjZN2UGRM/dQMzI9WfytdauyhtACpvDVf+uIn6qRmlNkOn140NbFVuYPDUABu1IBCr6wEwXR2pLevy7Zz1vFWUEuRck+70wzVwMjrj7+yvE=; c=simple/simple; s=k1; d=mail18.psnd.zcsend.net; v=1; bh=LMN9EQQS8smfom6q8kw8Y3zjTellj/Oo1rnIjeRT56c=; h=date:from:to:message-id:subject:mime-version:content-type:list-unsubscribe:list-unsubscribe-post:x-csa-complaints;
Date: Fri, 1 Sep 2023 21:04:48 -0700 (PDT)
From: "Parcel Team" <[email protected]>
To: [email protected]
Message-ID: <zcb.3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d.1ffd60557f594e44.1693627488661@mail18.psnd.zcsend.net>
Subject: =?UTF-8?B?Tm90aWZpY2F0aW9uOsKgIENhc2UgTnVtYmVyICMzMzYxNzI=?=
MIME-Version: 1.0
Content-Type: multipart/alternative; 
    boundary="----=_Part_8830362_773276248.1693627488657"
List-Unsubscribe: <https://vldxa-cmpzourl.maillist-manage.com/ua/optout?od=3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d&rd=1ffd60557f594e44&sd=1ffd60557f57b0ef&n=11699e4c32dbb4c>,<mailto:[email protected]>
List-Unsubscribe-Post: List-Unsubscribe=One-Click
X-CSA-Complaints: [email protected]
Reply-To: [email protected]
X-JID: 3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d.1ffd60557f3f24e4
X-campaignid: zohocampaigns.3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d.zcb.1ffd60557f594e44.11699e4c32dbb4c
X-Zoho-RID: zohocampaigns.3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d.zcb.1ffd60557f594e44.11699e4c32dbb4c
X-Report-Abuse: <Please send a copy of this message along with header to abuse+3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d_zcb_1ffd60557f594e44@zohocampaigns.com>, <https://vldxa-cmpzourl.maillist-manage.com/campaigns/ReportAbuse.zc?od=3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d&rd=1ffd60557f594e44&sd=1ffd60557f57b0ef&n=11699e4c32dbb4c>

------=_Part_8830362_773276248.1693627488657
Content-Type: text/plain;charset="UTF-8"
Content-Transfer-Encoding: quoted-printable

我已將我的真實電子郵件地址替換為[email protected]

由於我的電子郵件伺服器正在使用https://github.com/docker-mailserver/docker-mailserver 我只是跑 docker exec 2834fea5aa2e setup fail2ban ban 135.84.81.239

問題：

  1. 我找到正確的 IP 位址了嗎？
  2. 我是否正確阻止了它？
  3. 我錯過了什麼嗎？

答案1

尋找正確的IP位址

每一個訊息傳輸代理(MTA) 處理電子郵件會在郵件頂部添加標頭，因此它們按降序排列；最上面的是最新的。要查找 IP 位址，您應該查找Received伺服器首次接受電子郵件的標頭。

Received: from sender-239.fsu3.zcsend.net (sender-239.fsu3.zcsend.net [135.84.81.239])
    by mail.elcolie.com (Postfix) with ESMTPS id 4A931833FE
    for <[email protected]>; Sat,  2 Sep 2023 04:04:59 +0000 (UTC)

這裡，後面的第一個位址from是HELO不應信任的伺服器的主機名稱。 IP 位址和PTR與其關聯的主機名稱 ( ) 在括號中。

因此，135.84.81.239這就是您要查找的 IP 位址。然而，這還有更多......

Fail2Ban 並不是為此設計的

你為什麼要需要使用 Fail2Ban？失敗2Ban(1)不是為了阻止垃圾郵件，而是...

一組伺服器和客戶端程序，用於限制暴力驗證嘗試。

域名系統實時黑洞名單(RBL)

範例中的 IP 位址135.84.81.239目前已列入黑名單實時黑洞名單（RBL）：

您可以利用一些已經大規模執行此操作的外部服務，而不是每次垃圾郵件通過時都封鎖單一 IP 位址。此外，當問題解決後，大多數人都會刪除該清單。

許多 RBL 提供者都有不同類型的清單。您應該分析哪些清單適合您的需求。例如，

在 Postfix 中設定 RBL

您的標頭顯示您正在使用 Postfix。您可以main.cf透過新增以下內容來配置 SpamCop：reject_rbl_client在smtpd_recipient_restrictions它將在 full HELO, MAIL FROM&後進行評估RCPT TO。

smtpd_recipient_restrictions =
    . . .
    reject_rbl_client bl.spamcop.net,
    . . .
    permit

答案2

將單一 Zoho 伺服器列入黑名單並沒有多大作用。他們還有幾個。

如果您想完全禁止他們的伺服器，請按主機網域zcsend.net或透過信封從@(.*).psnd.zcsend.net>。

如果您不想完全禁止它們，那麼您剩下的就是投訴。

當然，您也可以嘗試以以下方式過濾標頭FROM 但這太容易被欺騙了。

相關內容