In den letzten Tagen habe ich mal ein wenig an der Konfiguration meines (Postfix-)Mail-Servers geschraubt, da in der letzten Zeit zunehmend auch mein Haupt-E-Mail-Postfach von Spam kompromittiert wurde. Das hielt sich zwar, im Vergleich zu früheren Zeiten (einfach mal mit der regulären Firmen-Adresse in einer Newsgroup und einer Mailing-Liste posten – super Idee!) absolut noch in Grenzen, nerven tut es aber trotzdem.

Ganz hilflos ausgeliefert ist man dem Spam natürlich nicht, denn Spammer machen beim Versand ihres Penis-Enlargement-Mortgage-Loan-V14gra-Qutsches so einiges, was ein regulärer Mailversender nie machen würde – vom Sender unsinniger Mail-Header über den Versand der Mails von dynamischen IP-Adressen und bekannten Open-Relay-Servern aus bis hin zu fehlenden MX-Einträgen im DNS.

Nach einigem Ausprobieren und der Beobachtung von einigermaßen vielen Spam-Mails – genug Anschauungsmaterial in Form von einigen hundert Spam-Mails pro Tag habe ich ja – glaube ich nun eine recht gute Konfiguration gefunden zu haben: keine unerwünschten Mails mehr in mir gehörenden Mailboxen, aber auch eine False-Negatives, also zu unrecht aussortierte Mails in den letzten Tagen. Here it is:

smtpd_helo_required = yes

smtpd_helo_restrictions =
    permit_sasl_authenticated,
    permit_mynetworks,
    reject_invalid_hostname,
    reject_non_fqdn_hostname,
    permit

smtpd_sender_restrictions =
    permit_sasl_authenticated,
    permit_mynetworks,
    reject_unknown_sender_domain,
    reject_non_fqdn_sender,
    permit

smtpd_recipient_restrictions =
    permit_sasl_authenticated,
    permit_mynetworks,
    reject_unauth_destination,
    reject_non_fqdn_recipient,
    check_recipient_access pcre:/etc/postfix/header_checks,
    reject_unknown_recipient_domain,
    reject_rbl_recipient zen.spamhaus.org,
    permit

smtpd_client_restrictions =
    permit_sasl_authenticated,
    permit_mynetworks,
    reject_invalid_hostname,
    check_client_access pcre:/etc/postfix/header_checks,
    reject_rbl_client zen.spamhaus.org,
    permit

Und /etc/postfix/header_checks:

/(dsl|dynamic|ppp|dhcp|broadband|cable|dialin|dialup).*..*$/   REJECT  Rule #1 No mails from dynamic IPs are allowed.
/[d]{1,3}[-.][d]{1,3}[-.][d]{1,3}[-.][d]{1,3}([D]+)/ REJECT  Rule #2 No mails from dynamic IPs are allowed.
/[d]{8,}/ REJECT  Rule #3 No mails from dynamic IPs are allowed.

Der Fachmann wird fragen: Warum werden nicht die allgemeineren RBL-Services wie dnsbl.sorbs.net benutzt? Ganz einfach: Diese enthalten mir einfach zuviele Mail-Server großer Freemail-Provider wie GMX, web.de und auch 1&1, und sind nicht besonders hilfreich, wenn sie reguläre Mails dieser Anbieter blockieren.