Si bien en la configuración de SMTP de Mailcleaner, podemos seleccionar la opción "Reject wrong SPF (fail result)" filtrará a nivel de SMTP todos los correos que sean con estado FAIL: "-all"
Pero hay muchos dominios que no se les configura un estado FAIL, sino que se usa el estado SOFTFAIL: "~all"
Este estado SOFTFAIL indica al destinatario que aunque falle el chequeo de SPF lo deje pasar igual. Tal es el caso de GMAIL:
;; ANSWER SECTION:
gmail.com. 192 IN TXT "v=spf1 redirect=_spf.google.com"
;; ANSWER SECTION:
_spf.google.com. 35 IN TXT "v=spf1 include:_netblocks.google.com include:_netblocks2.google.com include:_netblocks3.google.com ~all"
Con esto así, hay muchísimo correo spam/virus/troyano que utilizan direcciones de Gmail, pero provenientes de otras IPs. Y como Gmail tiene una política de SOFTFAIL, lo deja pasar igual.
Por ejemplo:
Received: from [188.3.234.42] by mailcleaner.zboxapp.com stage1 with esmtp (Exim MailCleaner) id 1bzlz1-0001LX-L7 for <usuario@midominio.cl> from <mindy.skeen@gmail.com>; Thu, 27 Oct 2016 11:48:46 -0300 X-MailCleaner-SPF: softfail
Volviendo a Mailcleaner: entonces se puede configurar desde la interfaz de admin, en la sección de SMTP, el rechazo para cuando sea SPF FAIL. Ahora vamos a agregar la opción para que también rechace los correos cuando tenga un estado de SPF SOFTFAIL:
1) Editar el archivo: /usr/mailcleaner/etc/exim/exim_stage1.conf_template
En la sección se agregó lo marcado en negro: (línea 526)
__IF__ REJECTBADSPF
deny !hosts = <; 127.0.0.1 ; NORBLHOSTS ; +trusted_hosts
spf = fail:softfail
condition = ${if eq {$received_port}{587} {0}{1}}
message = $sender_host_address is not allowed to send mail from ${if eq {$sender_address_domain}{} {(helo)$sender_helo_name}{$sender_address_domain}} (SPF failure: $spf_result)
set acl_c8 = smtp:refused:badspf
set acl_c9 = STATSADD
2) Reiniciar el servicio Exim Stage 1: /usr/mailcleaner/etc/init.d/exim_stage1 restart
Es todo!
Y en los logs verá esto:
SOFTFAIL
2016-10-27 12:20:43 H=(control.qfxnp.local) [202.166.220.195] F=<betty.wolley@gmail.com> rejected RCPT <usuario@dominio.cl>: 202.166.220.195 is not allowed to send mail from gmail.com (SPF failure: softfail)
FAIL
2016-10-27 12:21:06 H=138.121.170.85.dnsgigas.es [138.121.170.85] F=<amigos@faildomain.com> rejected RCPT <usuario@dominio.cl>: 138.121.170.85 is not allowed to send mail from otherdomain.com (SPF failure: fail)
Referencias:
https://github.com/Exim/exim/wiki/SPF
1 Comentarios