Помогите с мусорной почтой

[Agon]

Доброго дня всем.

Есть вопрос, связанный с одним из наших новых клиентов. Похоже что его домен активно пользуется спаммерами. С различных IP адресов рассылается спам от фиктивных пользователей, но у всех как домен стоит @наш_новый_клиент. В результате мы получаем в день около 10 тысяч писем от различных почтовых и антиспамерских систем - сообщения что письма небыли доставлены (такого адреса нет и так далее), либо были заблокированы как спам. Разумеется, каждый робот обязательно включает копию недоставленого спама
Наш сервер тоже не принимает писем к несуществующим пользователям, однако писем так много, что в пиках сервер захлёбывается и не принимает почту вообще. Всё это создаёт проблемы:
1. Другие клиенты испытывают трудности с почтой (почта доходит не сразу и так далее).
2. Огромные логи, из-за того, что обычный почтовый траффик вырос в 10 раз.
3. Левый, неучтённый OUT траффик до 50 мегобайт в день (цены может быть и не большие, но всёже).
4. Дискредитация домена клиента.

Прошлый хостер этого домена таких проблем не замечал, хотя возможно что просто не обращал внимания. С другими нашими доменами такого тоже никогда небыло. Да и один знакомый хостер, имеющий около 500 доменов тоже ни с одним не встречал подобной фигни.

Можете-ли посоветовать, что сделать в такой ситуации? Я пока что придумал лишь один вариант: поставить в офис клиенту выделеный почтовый сервер и хостить только его web. Но может придложете что-то более эффективное?

[Agon]

Ах да, пардон. Сервер RH7.3, MTA Sendmail.

[TiM]

Рекомендую CyberGuard FS. Как мне объяснили, эта дура режет соединение и соотвественно траф бегущий по нему как только получает информацию о том что траф подподает под правило о drop-е (т.е. как только в теле письма/заголовке/To полуает опрелённый текст - остальное не берёт). Это не считая моря дополнитеьных полезных функций. Сразу советую кластерное решение на FS 500. Пару раз спасало.

[Agon]

Неа, не катит. Дорого. Дешевле докупить памяти и/или поставить второй сервер специально для почты этого домена.

[AndreyS]

99% за то, что клиент рекламировал себя (домен) спамом+троянами.
Соответственно - пусть платит.
А Вам - полюбому апгрейдить железо и софт. Пришли в инет новые реалии Процент таких клиентов будет неуклонно расти по экспоненте.

[Agon]

Понятно... А что можно сделать для оптимизации sendmail? В смысле, кроме как заменить его на postfix

[AndreyS]

Для sendmail существует очень много дополнительного софта для фильтрации спама и мусора еще на стадии обмена репликами с удаленным сервером. Как-то блок-листы, правила проверки валидности обратного адреса, обратного DNS и т.д. и т.п. + отсечка по странам для данного домена ( допустим он никогда не собирается получать письма из Китая и Чили ) + проверка header-ов на "чужие" charset. В общем много
вариантов. Почитайте соответствующие форумы и ресурсы.

[Valensio]

Думаю проблема не в том как пофильтровать то, что попало в SendMail, проблема в потоке из вне, которым управлять невозможно. Тоесть, как его усмирить? Интересно понять чем вызван столь большой поток?

Подумайте, если каждый день сервер получает допустим 30 000 возвратных писем, то это же только то что не дошло до пользователя. Выходит что отправлено было 1 000 000? А кто их послал и вписал как FROM: RE: этот домен? Не многовато-ли?

1. Допустим, это вирус, так он рандомом все подставляет, и чтобы был такой возврат нужно слишком большое число зараженных компьютеров, и условие что на них е-маил с доменом этого клиента есть. Не думаю что домен такой извесный.

2. Вирус который всегда подставляет один домен, и таким образом валит его. ХМ, ну может, хотя мало вероятно что кто-то будет писать такой вирус...

3. Кто-то спамит, и намеренно подставляет домен клиента как антирекламу?

Интересно, колеги, кто еще сталкивался с таким потоком, кто и как его прекратил. Если на ваших серверах будет 5% таких доменов вашему бизнесу конец, дайте логичное обоснование, причину, таких явлений. Всем и так ясно что кластер и канал в 1000Мб/с. + free traffick справится.

[Agon]

Сообщение от [b

Цитата[/b] (AndreyS @ 06 Мая 2004, 19:47)]Для sendmail существует очень много дополнительного софта для фильтрации спама и мусора еще на стадии обмена репликами с удаленным сервером.

Sendmail не принимает письма для не существующих юзеров на нашем сервере, так-же писем от несуществующих доменов. С вирусами разбирается clamav. SpamAssasin будет прикручен немного позже. Проблема НЕ в этом, а в том, что Sendmail не справляется с потоком входящей почты, как результат - в пиках оставляет в логах сообщения:

rejecting connections on daemon MTA: load average: 12
rejecting connections on daemon MSA: load average: 13

Вопрос именно в том, что можно сделать для оптимизации работы sendmail - трафик хоть и является большим для нашего сервера, но не является очень большим вообще. Машина довольно серьёзная - rackmount, P4 2K, гиг оперативки, 80гб IDE в RAID (зеркало). Какие лимиты может повезти sendmail на такой машине (кроме него крутится web и немного ftp)? Что стоит апгрейдить? Сейчас команда top показывает что-то вроде:

Mem: 1031464K av, 973080K used, 58384K free, 0K shrd, 84640K buff
Swap: 1020088K av, 15656K used, 1004432K free 590652K cached

т.е. почти весь гиг оперативки выюзан и юзается своп.

[AndreyS]

У откатов нет обратного адреса. Для загруженного домена на этапе
обмена репликами рвите коннект при отсутствии обратного адреса.
Но пользователь при этом перестанет получать и нормальные откаты.
Из двух зол в Вашем случае ...