Jimini
PCGH-Community-Veteran(in)
Aloha,
pro Tag versuchen häufig einige Adressen, unberechtigterweise auf meinen Mailserver zuzugreifen. Mir ist bewusst, dass sowas zum "Online-Hintergrundrauschen" gehört, da ich aber gerne meine Logs möglichst sauber halte, möchte ich solche Adressen automatisch blocken lassen.
Aktuell verwende ich dazu fail2ban, welches die Logs neuerdings auf "warning: hostname .+ does not resolve to address <HOST>" durchsucht. Taucht nun ein solcher Eintrag auf, wird der Host geblockt.
In den letzten Monaten und Jahren habe ich mich darauf beschränkt, solche Einträge zu ignorieren - bisher war das für mich ein sicheres Indiz für Spam bzw. unerwünschte Verbindungsaufbauten.
Blöderweise wurde gestern aber eine Adresse geblockt, welche von einem Client mit einem Mailaccount auf der Kiste stammt:
Es handelt sich somit um ein false positive. Spammer versuchen sich allerdings zu verbinden, werden abgelehnt und schließen die Verbindung wieder. Clients, welche sich einloggen, können natürlich eine Verbindung herstellen. Allerdings wird trotzdem eine Warnung ausgegeben, wie man sieht.
Ich müsste also ein Kriterium finden, mit welchem ich Logeinträge wie die folgenden sicher erfassen kann, ohne false positives zu erzeugen:
Hat jemand eine Idee?
MfG Jimini
pro Tag versuchen häufig einige Adressen, unberechtigterweise auf meinen Mailserver zuzugreifen. Mir ist bewusst, dass sowas zum "Online-Hintergrundrauschen" gehört, da ich aber gerne meine Logs möglichst sauber halte, möchte ich solche Adressen automatisch blocken lassen.
Aktuell verwende ich dazu fail2ban, welches die Logs neuerdings auf "warning: hostname .+ does not resolve to address <HOST>" durchsucht. Taucht nun ein solcher Eintrag auf, wird der Host geblockt.
In den letzten Monaten und Jahren habe ich mich darauf beschränkt, solche Einträge zu ignorieren - bisher war das für mich ein sicheres Indiz für Spam bzw. unerwünschte Verbindungsaufbauten.
Blöderweise wurde gestern aber eine Adresse geblockt, welche von einem Client mit einem Mailaccount auf der Kiste stammt:
Es handelt sich somit um ein false positive. Spammer versuchen sich allerdings zu verbinden, werden abgelehnt und schließen die Verbindung wieder. Clients, welche sich einloggen, können natürlich eine Verbindung herstellen. Allerdings wird trotzdem eine Warnung ausgegeben, wie man sieht.
Ich müsste also ein Kriterium finden, mit welchem ich Logeinträge wie die folgenden sicher erfassen kann, ohne false positives zu erzeugen:
Hat jemand eine Idee?
MfG Jimini
