Différences

Ci-dessous, les différences entre deux révisions de la page.

--- pratique:informatique:serveur_mail [11/10/2023 10:48] – [Postscreen, pour filtrer plus de bandits] Zatalyz
+++ pratique:informatique:serveur_mail [13/10/2023 12:43] (Version actuelle) – [Postscreen, pour filtrer plus de bandits] Zatalyz
@@ Ligne 851: / Ligne 851: @@
 ==== Postscreen, pour filtrer plus de bandits ====
 Doc de référence : [[https://www.postfix.org/postconf.5.html]].
+<WRAP center round important 60%>
+Attention, c'est pas au point parce que je n'ai pas encore mis en place "subcleanin" comme proposé dans https://blog.debugo.fr/serveur-messagerie-optimisation-postfix/ et donc ben... c'est le bordel !
+</WRAP>
 Postscreen va appliquer des vérifications sur les domaines (entre autre) et faciliter le tri. On pourra ainsi déclarer certains domaines comme bloqués, et d'autres comme de confiance, et en mettre certains en liste grise. Pour chaque contrôle, on peut au choix :
@@ Ligne 906: / Ligne 911: @@
 postscreen_greet_banner = Cool, we have time...
 postscreen_greet_action = drop</code>
+=== Listes de blocage ===
 Ensuite, on va ajouter des listes à interroger pour savoir si l'ip ne serait pas bloquée. Si oui, alors... on vire
@@ Ligne 915: / Ligne 922: @@
 postscreen_dnsbl_action = drop
 </code>
-Ici, quelques subtilités :
+Ici, quelques subtilités (si j'ai compris, ce qui n'est pas certain !) :
   * Si on rejette le mail, l'expéditeur aura l'information du nom de domaine ayant servi à la blocklist. Cela peut se cacher (via postscreen_dnsbl_sites) , mais personnellement je juge plutôt correct de dire "je ne te veux pas car tu est bloqué ici" ; si l'expéditeur est légitime et que c'est une erreur, il peut se faire débloquer.
-  * Interroger les listes demande du temps, pas la peine d'en ajouter trop.
+  * Interroger les listes demande du temps, pas la peine d'en ajouter trop, mais, on va le voir ensuite, pas la peine d'en mettre trop peu non plus.
   * Forcément, on fait appel à un prestataire externe, avec ce que ça peut questionner sur la confiance. Les listes en question peuvent parfaitement faire une liste des ip qui contactent notre serveur. Personnellement je me dis que l'intérêt de l'information reste limité, surtout si peu à peu j'ai plus d'utilisateurs.
-  * ''postscreen_dnsbl_threshold'' indique la limite inférieure inclusive du score du domaine testé qu'on peut accepter. Par défaut, postfix met à 1. Donc "3" c'est un peu moins restrictif ?
+  * ''postscreen_dnsbl_threshold'' indique la limite inférieure inclusive du score du domaine testé qu'on peut accepter. Et là ça demande un peu de détails.
+Si une ip est trouvée dans une des listes, ça va compter pour "1". Sauf si on ajoute un chiffre après le nom du domaine et l'astérisque ; dans ce cas ça sera pondéré d'autant. Dans l'exemple ici, si une ip est trouvée sur zen.spamhaus.org, ça va compter pour "2". Là, avec nos trois listes dont 2 pondérées à "2", si l'ip est listée partout, elle obtiendra un score de 5. C'est plus haut que 3 => c'est probablement une adresse louche.
+Interroger plusieurs listes augmente donc les chances que l'ip bloquée le soit pour des raisons légitimes.
+<WRAP center round todo 60%>
+Et c'est une partie que je dois améliorer dans ma config
+</WRAP>
+Mais, attention. Ces listes ne sont pas toutes gratuites, elles ont des conditions d'utilisation, bref pour ne pas se faire ban soi-même... il faut aller voir tout ça.
+=== Greylisting ===
 Enfin, quelques manip qui passent les ip en "greylisting" en attente d'en savoir plus. Attention, cela peut éjecter des serveurs légitimes mais configurés de façon un peu légère (d'ailleurs, moi-même, je donnerais quoi ?). Enfin, bon, comme cela risque surtout de concerner des copains et qu'ils savent comment me contacter autrement... perso ça ne me stresse pas. <WRAP center round important 60%>