Email-Spoofing, SPF, ...

[Ex4mp1e]

Moin, ich glaube, ich habe irgendwas an meinem SPF-Eintrag nicht korrekt konfiguriert, aber verstehe nicht, wo der Fehler liegt.

Mein SPF-Eintrag sieht so aus:
v=spf1 mx a ip4:xxx.xxx.xxx.xxx/28 ip4:yyy.yyy.yyy.yyy ~all

Meine Firewall hat in den Anti-Spam Features den SPF-Check angehakt.


Trotzdem ist gestern eine Mail an ein Postfach durchgestellt worden, die "angeblich" vom Postfach selbst kam (Hackerman hat sich zu der Tat bekannt) - die Mail kam aber von einem Mail-Server in Brasilien dessen IP-Adresse im SPF-Rekord nicht hinterlegt ist.
Gängige SPF-Record-Checks bestätigen mir auch meinen korrekt konfigurierten SPF-Eintrag...

Kann mir vielleicht irgendwer mit mehr Ahnung von der Materie sagen warum die Mail durchkam?

 

[smileyface]

Moin,

~all ist ein Soft Fail. mWn primär für Testzwecke, fande es aber immer sinnfrei. Das ist nicht so 100% definiert, was mit fehlerhaften Sendern gemacht wird. Ich würde es immer vermeiden - SPF heißt nur und absolut nur diese IPs dürfen senden, sonst machts ja keinen Sinn!

Änder mal auf -all.

https://www.spf-record.de/syntax

~

SoftFail

die Direktive definiert nicht autorisierte Sender, der Empfänger soll diesen Fehlschlag aber großzügig behandeln; dieser Qualifikator ist für Testzwecke gedacht

Je nach Anti-Spam Appliance und Mailflow könnte man auch überlegen explizit alle Mails, die von der eigenen Domain kommen, aber auf dem externen Interface ankommen, zu blockieren. Wäre aber ein anderes Thema und nicht immer wirklich nutzbar - je nach Szenario.

 

[Ex4mp1e]

Ohhhhh, ja, das macht total Sinn. Werde das mal ändern und schauen obs klappt. Danke dir!

Je nach Anti-Spam Appliance und Mailflow könnte man auch überlegen explizit alle Mails, die von der eigenen Domain kommen, aber auf dem externen Interface ankommen, zu blockieren. Wäre aber ein anderes Thema und nicht immer wirklich nutzbar - je nach Szenario.

Ja, das wäre natürlich die Premium-Lösung. Muss mal schauen ob ich das bei mir umsetzen kann.
Danke nochmal.

 

[h00bi]

Trotzdem ist gestern eine Mail an ein Postfach durchgestellt worden

Der Empfänger entscheidet, wie streng er den SPF Record kontrolliert.
Der Soft-Fail sagt dem Empfänger: "Sei bitte nicht so streng"
Ob der Empfängerserver dies jedoch berücksichtigen soll, entscheidet der Admin selbst.

 

[Sephe]

Stell deinen SPF-Eintrag von ~all auf -all um. (HARD-Fail)

Falls möglich (du schreibst nichts zu eurem Mailserver), würde ich noch DKIM und DMARC konfigurieren.
Falls möglich: Aktiviere eine strike Behandlung von SPF-Fails. (Hard Fail = DROP)