[/tmp/getsendmailstat removed.]

Итак, вместо более чем 200 тысяч срабатываний грейлистинга за сутки, после включения правил фильтрации по имени хоста на долю milter-greylist осталось лишь 5-7 тысяч подключений. (При анализе этих данных нужно учитывать тот факт, что если сообщение отправляется сразу на несколько адресов получателей, то в случае грейлистинга создаётся запись в лог-файле для каждого адреса, блокировка же сопровождается одной записью на всё соединение. Так что можно считать, что одна строка «5.7.1» идёт за три-четыре «Greylisting in action».) Нагрузка на систему заметно снизилась, так что поставленную задачу можно считать решённой. Первое время придётся, конечно, критично просматривать лог-файлы и более чутко реагировать на жалобы клиентов, зато необходимость поиска нового «железа» для сервера ещё на некоторое время теряет свою актуальность.

Приложение

Про «фальшивые» имена

О блокировании соединений, разрешение имени для которых возвращает FORGED, следует сказать особо. Злоумышленники иногда используют следующий приём. Соединение устанавливается с некоторого IP-адреса, обратную зону для которого контролирует спамер (например, ему делегирована данная сеть адресов). Указать в PTR-записи можно всё что угодно, хоть barackobama.com. И поэтому имеет смысл дополнительно запросить IP-адрес хоста barackobama.com (на этот запрос уже должен ответить DNS-сервер, обслуживающий данный домен) и сравнить полученный IP-адрес с исходным. Правда, как показывает практика, в наше время под правило FORGED чаще попадают хосты, для которых по возвращённому в PTR-записи имени вообще невозможно определить IP-адрес (т.е. отсутствует соответствующая A-запись в прямой зоне):

$ grep "dns rule 2" /var/log/maillog | tail -1

Sep  8 15:29:11 myhost sm-mta[32267]: m88BTATA032267: ruleset=check_rcpt,

arg1=<energo@mydom.ru>, relay=18971199139.user.veloxzone.com.br [189.71.199.139]

(may be forged), reject=550 5.7.1 <energo@mydom.ru>... Relaying denied (dns rule 2).

IP name possibly forged [189.71.199.139]

$ nslookup 18971199139.user.veloxzone.com.br

Server:         10.161.193.5

Address:        10.161.193.5#53