Google Netz

[Tim Ritberg]

Hi!

Ich habe mir mal meine Maillogs angesehen, scheinbar kommt von
xyz.googleusercontent.com nur Müll.

Stehen da überhaupt "ordentliche" Mailserver?
Ich würde da sonst netzweise blocken.

Tim

[Marco Moock]

Post by Tim Ritberg
Ich habe mir mal meine Maillogs angesehen, scheinbar kommt von
xyz.googleusercontent.com nur Müll.

Ist das der Name des Servers, der die einliefert?

[Tim Ritberg]

Post by Marco Moock

Post by Tim Ritberg
Ich habe mir mal meine Maillogs angesehen, scheinbar kommt von
xyz.googleusercontent.com nur Müll.

Ist das der Name des Servers, der die einliefert?

Nein, das Namenschema, also Subdomains.

Tim

[Arno Welzel]

Post by Tim Ritberg

Post by Marco Moock

Post by Tim Ritberg
Ich habe mir mal meine Maillogs angesehen, scheinbar kommt von
xyz.googleusercontent.com nur Müll.

Ist das der Name des Servers, der die einliefert?

Nein, das Namenschema, also Subdomains.

Namenschema von was? Einliefernde Server? Absenderadressen?

[Tim Ritberg]

Post by Arno Welzel
Namenschema von was? Einliefernde Server? Absenderadressen?

Ich meinte den Hostnamen der einliefernden Server:
168.136.67.34.bc.googleusercontent.com

Tim

[Marco Moock]

Post by Tim Ritberg
168.136.67.34.bc.googleusercontent.com

Google Cloud, da KÖNNTE auch legitimer Kram sein.

[Arno Welzel]

Post by Marco Moock

Post by Tim Ritberg
168.136.67.34.bc.googleusercontent.com

Google Cloud, da KÖNNTE auch legitimer Kram sein.

Hier ist das bislang 100% Spam - also komplett. Legitimer Inhalt war da
in den letzten 3 Monaten keiner dabei.

[Marco Moock]

Post by Arno Welzel
Hier ist das bislang 100% Spam - also komplett. Legitimer Inhalt war
da in den letzten 3 Monaten keiner dabei.

Ich habe nun auch Vebindungsversuche von da, mehr aber nicht, es wurde
nichtmal der Versuch gemacht, was einzuliefern.

Aug 31 00:45:18 srv1.dorfdsl.de sm-mta[20006]: 37V0jIYX020006: 91.150.216.162.bc.googleusercontent.com [162.216.150.91]: probable open proxy: command=GET / HTTP/1.1\r\n
Aug 31 00:45:18 srv1.dorfdsl.de sm-mta[20006]: 37V0jIYX020006: 91.150.216.162.bc.googleusercontent.com [162.216.150.91] did not issue MAIL/EXPN/VRFY/ETRN during connection to MTA

Ggf. einfach gehackte/absichtlich gemietete Rechner, die scannen und
Spam verschicken.

Kümmert sich denn Google da um Abuse-Meldungen?

[Ulli Horlacher]

Post by Marco Moock
Kümmert sich denn Google da um Abuse-Meldungen?

Google ignoriert Abuse-Meldungen komplett. Auch wenn diese von Provider
kommen (ich hab mal fuer einen gearbeitet).

[Marco Moock]

Post by Ulli Horlacher

Post by Marco Moock
Kümmert sich denn Google da um Abuse-Meldungen?

Google ignoriert Abuse-Meldungen komplett. Auch wenn diese von
Provider kommen (ich hab mal fuer einen gearbeitet).

War das früher auch schon so oder ist der Saftladen Google in den
letzten Jahren auch da beschissener geworden?

[Ulli Horlacher]

Post by Marco Moock

Post by Ulli Horlacher

Post by Marco Moock
Kümmert sich denn Google da um Abuse-Meldungen?

Google ignoriert Abuse-Meldungen komplett. Auch wenn diese von
Provider kommen (ich hab mal fuer einen gearbeitet).

War das früher auch schon so oder ist der Saftladen Google in den
letzten Jahren auch da beschissener geworden?

War schon immer so.

[Arno Welzel]

Post by Marco Moock

Post by Arno Welzel
Hier ist das bislang 100% Spam - also komplett. Legitimer Inhalt war
da in den letzten 3 Monaten keiner dabei.

Ich habe nun auch Vebindungsversuche von da, mehr aber nicht, es wurde
nichtmal der Versuch gemacht, was einzuliefern.
Aug 31 00:45:18 srv1.dorfdsl.de sm-mta[20006]: 37V0jIYX020006: 91.150.216.162.bc.googleusercontent.com [162.216.150.91]: probable open proxy: command=GET / HTTP/1.1\r\n
Aug 31 00:45:18 srv1.dorfdsl.de sm-mta[20006]: 37V0jIYX020006: 91.150.216.162.bc.googleusercontent.com [162.216.150.91] did not issue MAIL/EXPN/VRFY/ETRN during connection to MTA

Hier schon - das schlägt hier in ähnlicher Form alle paar Stunden ein,
gelegentlich auch öfter:

Sep 3 09:03:19 two postfix/smtpd[2884587]: connect from
227.67.232.35.bc.googleusercontent.com[35.232.67.227]

Sep 3 09:03:20 two postfix/smtpd[2884587]: Anonymous TLS connection
established from 227.67.232.35.bc.googleusercontent.com[35.232.67.227]:
TLSv1.2 with cipher ECDHE-RSA-AES256-GCM-SHA384 (256/256 bits)

Sep 3 09:03:21 two postfix/smtpd[2884587]: 9F50A440314:
client=227.67.232.35.bc.googleusercontent.com[35.232.67.227]

Sep 3 09:03:23 two postfix/cleanup[2921044]: 9F50A440314:
milter-reject: END-OF-MESSAGE from
227.67.232.35.bc.googleusercontent.com[35.232.67.227]: 5.7.1 Spam
message rejected; from=<***@xxx> to=<***@xxx> proto=ESMTP helo=<xxx>

Sep 3 09:03:23 two postfix/smtpd[2884587]: disconnect from
227.67.232.35.bc.googleusercontent.com[35.232.67.227] ehlo=2 starttls=1
mail=1 rcpt=1 data=0/1 commands=5/6

Post by Marco Moock
Kümmert sich denn Google da um Abuse-Meldungen?

Keine Ahnung. Wenn ich für jede Adresse was schicken müsste, hätte ich
viel zu tun. Da rspamd das auch so zuverlässig blockt, ist es mir
erstmal egal.

[Tim Ritberg]

Post by Arno Welzel
Keine Ahnung. Wenn ich für jede Adresse was schicken müsste, hätte ich
viel zu tun. Da rspamd das auch so zuverlässig blockt, ist es mir
erstmal egal.

Oder so:
grep -A 1 " connect from unknown" /var/log/mail/mail.info | egrep -B1
"disconnect|lost connection" | awk 'match($0,
/([0-9]{1,3}[\.]){3}[0-9]{1,3}/) {print substr($0, RSTART, RLENGTH)}' |
sort -u | xargs -l1 ipset add nags

;-)

Tim

[Arno Welzel]

Post by Tim Ritberg

Post by Arno Welzel
Namenschema von was? Einliefernde Server? Absenderadressen?

168.136.67.34.bc.googleusercontent.com

Ja, jetzt wo Du es sagst... das wird bei mir in der Regel schon
geblockt, bevor es überhaupt den Mailserver überhaupt erreicht. Und
einige der Zustellversuche schaffen problemlos einen Spam-Score von über
30. Alles, was über 10 ist, kommt gar nicht erst zum Mailserver, sondern
wird direkt beim Zustellversuch aktiv mit Fehler 5xx abgelehnt.