filtr RBL

Filtr RBL to mechanizm weryfikujący adres nadawcy względem publicznych list zablokowanych źródeł spamu.

Jak działa filtr RBL w ruchu pocztowym

Filtr RBL, czyli filtr korzystający z list RBL/DNSBL, sprawdza adres IP systemu, który nawiązuje połączenie z serwerem pocztowym. Skrót RBL pierwotnie oznaczał Realtime Blackhole List, natomiast współcześnie podobne mechanizmy są często określane jako DNS-based Blacklist albo DNS-based Blocklist. Lista jest publikowana w systemie DNS i zawiera informacje o adresach IP powiązanych ze spamem, złośliwym oprogramowaniem, otwartymi przekaźnikami pocztowymi lub inną podejrzaną aktywnością.

Podczas połączenia SMTP system odbierający ustala adres IP klienta, a następnie odwraca kolejność jego oktetów i tworzy zapytanie DNS do domeny wybranej listy. Dla adresu 192.0.2.25 zapytanie może mieć postać 25.2.0.192.example-rbl.test, przy czym rzeczywista domena zależy od operatora listy. Odpowiedź typu NXDOMAIN zwykle oznacza brak wpisu, a odpowiedź zawierająca rekord A z adresem z zakresu 127.0.0.0/8 sygnalizuje obecność adresu na liście. Konkretne znaczenie kodu, na przykład 127.0.0.2 albo 127.0.0.10, ustala dokumentacja danej listy.

RBL a decyzja o przyjęciu wiadomości

Wynik zapytania RBL może zostać wykorzystany na różnych etapach obsługi SMTP. Serwer może odrzucić połączenie już podczas komendy MAIL FROM, zwrócić tymczasową odpowiedź 4xx albo przyjąć wiadomość do dalszej oceny. Odpowiedź 5xx oznacza trwałe odrzucenie na tym etapie, natomiast odpowiedź 4xx informuje nadawcę o błędzie tymczasowym i pozwala poprawnie skonfigurowanemu systemowi nadawczemu ponowić próbę. Sam wpis na jednej liście nie określa jeszcze, czy wiadomość rzeczywiście zawiera spam.

Filtr RBL powinien być tylko jednym z sygnałów w ocenie połączenia. Wynik można zestawić między innymi z reputacją domeny nadawcy, poprawnością odwrotnego DNS, zgodnością mechanizmów SPF, DKIM i DMARC oraz zawartością wiadomości. Ważne jest rozróżnienie adresu IP serwera nawiązującego połączenie od adresu wpisanego w nagłówku From:. RBL najczęściej ocenia źródło transportu SMTP, a nie dowolny tekstowy adres nadawcy, który może zostać sfałszowany.

Wpis na liście, retencja i ryzyko błędnej blokady

Adres IP może trafić na listę z powodu wysyłania dużej liczby niechcianych wiadomości, działania zainfekowanego komputera, obecności otwartego przekaźnika SMTP albo naruszenia zasad konkretnego operatora. Nie wszystkie listy stosują te same kryteria. Jedna może oznaczać wyłącznie aktywne źródła spamu, inna może obejmować całe zakresy adresów przypisanych do usług dostępu do internetu, jeśli nie powinny one bezpośrednio wysyłać poczty do obcych serwerów.

Blokada może być pomyłką, zwłaszcza gdy wielu użytkowników korzysta ze wspólnego adresu publicznego, serwer pocztowy ma zmienny adres IP albo operator listy utrzymuje wpis przez określony czas po ustaniu problemu. Przy diagnozie trzeba sprawdzić dokładny adres IP, nazwę listy, kod zwrócony w rekordzie DNS oraz stronę operatora opisującą procedurę usunięcia wpisu. Nie należy bezpośrednio traktować każdej odpowiedzi DNS jako dowodu infekcji konkretnego laptopa. Równie istotne jest sprawdzenie, czy zapytanie nie pochodzi z nieaktualnej konfiguracji, lokalnego resolvera DNS albo listy, której polityka blokowania jest nieznana.

Sprawdzenie filtra RBL na laptopie i komputerze PC

Na komputerze użytkownika można zweryfikować, czy problem dotyczy połączenia z usługą pocztową, konfiguracji programu pocztowego czy reputacji publicznego adresu IP. Przydatne jest ustalenie adresu używanego przez połączenie internetowe, a następnie wykonanie kontrolowanego zapytania DNS zgodnie z instrukcją wybranej listy. W systemie Windows można użyć polecenia nslookup, a w systemach uniksowych narzędzia dig. Przykładowo sprawdzenie wpisu wymaga użycia odwróconego adresu IP i właściwej domeny DNSBL; sama nazwa listy bez tych danych nie pozwala na wiarygodny wynik.

Objawem po stronie programu pocztowego może być komunikat o odrzuceniu wiadomości przez serwer odbiorcy, ale taki komunikat nie musi oznaczać awarii komputera. Trzeba odróżnić błąd uwierzytelniania, nieprawidłowy port SMTP, problem z certyfikatem TLS i blokadę reputacyjną. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w ramach diagnostyki stanowiska może także sprawdzić konfigurację programu pocztowego, lokalne zapytania DNS oraz objawy wskazujące na nieprawidłową komunikację z usługą pocztową.