URL: https://linuxfr.org/users/alxgomz/journaux/fachisme-des-blacklists-barracuda Title: fachisme des blacklists (Barracuda) Authors: Chapellon Alexandre Date: 2010年09月09日T02:58:51+02:00 Tags: Score: 24 Bonjour cher Journal, Si je viens écrire aujourd'hui, c'est que je ne suis pas très joice... En effet je suis confronté à un problème des plus déplaisant: Depuis de nombreux mois nous nous attachons (en tant qu'ISP) à sécuriser notre architecture mail, et notamment les flux mails sortants. Le but étant de réduire au minimum les émissions de spam (véritable gaz à effet de serre du mail!). Le chantier est vaste car la situation de départ n'est pas jojo mais à force d'efforts on arrive à quelque chose franchement acceptable. Tout y passe: SPF, inscription aux feedback loop de différents MSP, rating control sur le relais sortant (merci postfix), Authentification, TLS, séparation des différents types de trafic mails, jusqu'au blocage du port 25 (un mal nécessaire)) depuis les clients de type dialup. Le nombre de plaintes que nous recevons via les feedback loop chute alors grandement et je rentres me coucher avec le sentiment d'avoir contribuer à un internet un peu plus propre. Seulement voilà malgré tout le boulot exposé ci-dessus, nous avons régulièrement des remontés de clients nous signalant qu'un mail qu'ils ont envoyé n'est pas parvenu au destinataires. Motif: rejet pour blacklist par Barracuda! La fréquence de ces rejet et le nombre d'IP concerné nous font rapidement nous demander ce qu'il se passe. nous testons alors la blacklist barracuda sur tous nos subnets. Et là surprise: sur ~40000 IP testée, ~8000 se trouvent dans leur blacklist. Panique à bord. on refait le test sur une autre blacklist, à priori de renom: spamhaus. Résultat chez spamhaus: sur ~40000 IP testée 50 sont listées (dans la liste xbl). De 50 à 8000 il y a un rapport démesuré qui sous-entends un problème quelques part. Nous contactons alors Barracuda, ce qui n'est déjà pas facile étant donné que les mail restent systématiquement sans réponse. Lorsque nous réussissons enfin à avoir quelqu'un par téléphone (aux USA), celui ci nous apprend que nous sommes client Barracuda... Ah ça devrait faciliter les choses! Et là tout devient plus clair: précédemment (lire l'admin précédent, avant que j’arrive, que je ne connais pas... oui je sais c'est moche de taper sur les prédécesseurs) des boitiers barracuda était utilisé en mode outbound pour relayer les mails de nos clients (avant la mise en place de toutes les sécurités exposées plus haut) et ce sympathique boitier envoyait chez barracudacentral la liste des ip (de nos clients) derrière lesquelles se trouvait des bot qui envoyait du spam! Voilà ce qui s'appelle scier la branche sur laquelle on est assis! Au passage je tiens tout de même à signaler que ce comportement n'est absolument documenté ou du moins présenté par le revendeur. Pour une boite qui embarque du libre en veux tu en voilà (postfix + spamassassin pour les passerrelles mail et LVS pour les load-balancer) c'est tout de même un peu fort... bref. Le truc c'est que ce setup date d'il y a plus de 3 ans, et que les barracuda ont bien vite été abandonné au profit de serveurs postfix tout aussi efficace pour relayer du mail et bien plus paramétrable.Or depuis 3 ans les IP dynamiques qui ont été enregistrées chez barracuda n'ont jamais expiré! Le support Barracuda nous confirme bien que c'est ce qui est à l'origine du blacklistage démesuré (et obsolète) dont nous sommes victime. Nous fournissons donc nos subnets IP ainsi qu'un listing individuel de chaque IP à Barracuda, et demandons un déblacklistage "global" (de toute façon si la blackliste est efficace les IP qui doivent y figurer y seront ré-inscrites). Et là d'un coup, nous ne sommes plus clients barracuda (les serveurs ayant été éteind et le support ayant expiré depuis 3 ans), et le support nous répond (une dernière fois) de bien vouloir procéder nous même au déblacklistage manuel via le formulaire en ligne... avec captcha et confirmation... bref du boulot pour un CDD pendant 1 mois (sans pause café)! Alors bien sûr il n'est pas très malin de s'auto-blacklister de cette façon, mais je trouve irresponsable de blacklister de façon définitive des adresses IP (v4 qui plus est). De même, acquiescer un problème et dire ouvertement que rien ne sera fait pour le résoudre est tout simplement un manque de professionnalisme évident (et assumé vraisemblablement). Je supposes que certains ici utilisent ce genre de boitiers tout prêt, et ne seront certainement pas d'accord. Il n'empêche les pratique que j'expose ici sont plus que limite!

AltStyle によって変換されたページ (->オリジナル) /