Почему почтовый сервер блокирует некоторые письма с .zip архивами?

Question

[Вячеслав Гранченко]

Добрый день!

После переустановки почтового сервера некоторые пользователи не могут отправить письма с архивом. Ответ SMTP сервера публикую ниже.

The mail system

<адрес_получателя@название_домена.pl>: Spam message rejected

Reporting-MTA: dns; название почтового сервера
X-Postfix-Queue-ID: 10726200D18
X-Postfix-Sender: rfc822; адрес_отправителя@название_домена.pl
Arrival-Date: Wed, 6 Jul 2022 14:25:25 +0200 (CEST)

Final-Recipient: rfc822; адрес_получателя@название_домена.pl
Original-Recipient: rfc822;адрес_получателя@название_домена.pl
Action: failed
Status: 5.7.1
Diagnostic-Code: X-Postfix; Spam message rejected
Return-Path: адрес_отправителя@название_домена.pl
Received: by название почтового сервера (Postfix, from userid 998)
id 10726200D18; Wed, 6 Jul 2022 14:25:25 +0200 (CEST)
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=название домена;
s=mail; t=1657110325;
h=from:from:reply-to:subject:subject:date:date:message-id:message-id:
to:to:cc:mime-version:mime-version:content-type:content-type;
bh=BD/JWGDs9LTYoepiCkptwnLg95LfPXZGotJuEJOl38U=;
b=FpKKdCoRa7/nfPAMs9UUUWfocZTxvtpj4ptVZmD0Ra3tIlEpnCel+caPw16GJtuMm8syZd
J8n2jmf39Ghm65nplilCVqp6tVyDF/ktruAIQocjoCrmb5gBWPrOAOAsOn0TA1b+k/kD4V
j6jb17bxqRW8680ZNJWEHyPESQ10qfVLmYgc6FPbCBmmqhb5Guh1XOxXMVSLJHXJeJscbY
nzJxf4gRHbyuvU2QXrh1p94LHNfM4udos84m8WqzE9agiDaDrXMApEYuCwHgBHXcyqPehu
wVuodyxei3wVgNOrBpOaq4ttixzOVM6qb6hGIi5u/uSdk9qGk7VAHbGP2AUP2g==
Received: from [192.168.2.153] (unknown [192.168.2.2])
(using TLSv1.3 with cipher TLS_AES_128_GCM_SHA256 (128/128 bits)
key-exchange X25519 server-signature RSA-PSS (2048 bits) server-digest SHA256)
(No client certificate requested)
(Authenticated sender: адрес_отправителя@название_домена.pl)
by название почтового сервера (Postfix) with ESMTPSA id E71342005D6
for <адрес_получателя@название_домена.pl>; Wed, 6 Jul 2022 14:25:24 +0200 (CEST)
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=название домена;
s=mail; t=1657110324;
h=from:from:reply-to:subject:subject:date:date:message-id:message-id:
to:to:cc:mime-version:mime-version:content-type:content-type;
bh=BD/JWGDs9LTYoepiCkptwnLg95LfPXZGotJuEJOl38U=;
b=p/bKrbd6PnRP2Oj1eCXgXJT5CGK6Ev9phDCrAD3r0CRQni5hWi9Y7a/SAaOBfc+8iy8LqX
U+uE2YO7mqWnKY3CXHxRmmyaJjErGGI3P9hmHE4AkFlbvXz//rCbwL2wYJjHewUf3ScR2X
ADHpdmbjXXNzS1jx0OI7v6O0kfwbLzBj7ORKVdgmTiL3kTnRlT1OW8Xa4TxrmI4R9lzgAA
x9FDuUklh2UD2D/D7GLM13Yk2u+HN1JmnG6/Sk1Rdt4XKzmsUFLUp1zNJ08oIOdlHcK6K6
TZXvUGBXpONKXg9Q7mgXJ/Wa1RFY9eu7KfnfF5sFjHg+qQbWzxmJ5H0Up/Rc7A==
Content-Type: multipart/mixed; boundary="------------06yq4XxgMiR6TrPSnusaoZrJ"
Message-ID: название домена>
Date: Wed, 6 Jul 2022 14:25:10 +0200
MIME-Version: 1.0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:103.0) Gecko/20100101
Thunderbird/103.0
Content-Language: pl
To: адрес_получателя@название_домена.pl
From: Имя отправителя <адрес_отправителя@название_домена.pl>
Subject: test
Disposition-Notification-To: Имя отправителя
<адрес_отправителя@название_домена.pl>

Добавлю, что пользователи отправляют письма другу другу в рамках одного почтового домена. На почтовом сервере установлен RSPAMD, который похоже и блокирует письмо с вложенным и запароленным архивом. Только непонятно почему именно для этих пользователей! Если создать тестовый архив с паролем и отправить тому же отправителю, то он нормально его получает. А вот если он отправляет файл, то уже не проходит.

Comments

[ValdikSS]

Смотрите метрики и логи rspamd.

[Вячеслав Гранченко]

ValdikSS, какие метрики? Логи rspamd смотрел. Ничего не понял :) Иначе бы не спрашивал. Прилагаю ниже

2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; proxy_accept_socket: accepted milter connection from 127.0.0.1 port 42200
2022-07-07 08:48:01 #1003(rspamd_proxy) ; milter; rspamd_milter_process_command: got connection from [::1]:39256
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; rspamd_message_parse: loaded message; id: <8f86a9d371a2c33346b3adf445b082d7@имя домена.pl>; queue-id: ; size: 23022; checksum:
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; rspamd_archive_file_try_utf: cannot open converter for BIG5-CP950: U_FILE_ACCESS_ERROR
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; dkim_symbol_callback: skip DKIM checks for local networks and authorized users
2022-07-07 08:48:01 #1003(rspamd_proxy) ; lua; spf.lua:186: skip SPF checks for local networks and authorized users
2022-07-07 08:48:01 #1003(rspamd_proxy) ; lua; dmarc.lua:349: skip DMARC checks as either SPF or DKIM were not checked
2022-07-07 08:48:01 #1003(rspamd_proxy) ; lua; once_received.lua:99: Skipping once_received for authenticated user or local network
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; rspamd_redis_connected: skip obtaining bayes tokens for BAYES_SPAM of classifier bayes: not enough learns 77; 200 required
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; rspamd_stat_classifiers_process: skip statistics as SPAM class is missing
<: , rcpts: <имя получателя@имя домена.pl>, mime_rcpts: <имя получателя@имя домена.pl>
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; rspamd_protocol_http_reply: regexp statistics: 0 pcre regexps scanned, 2 regexps matched, 172 regexps total, 40 regexps cached, 0B scanned using pcre, 356B scanned total
2022-07-07 08:48:01 #1003(rspamd_proxy) <68ffe7>; proxy; proxy_milter_finish_handler: finished milter connection
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; proxy_accept_socket: accepted milter connection from 127.0.0.1 port 42202
2022-07-07 08:48:01 #1003(rspamd_proxy) ; milter; rspamd_milter_process_command: got connection from 127.0.0.1:0
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; rspamd_message_parse: loaded message; id: <8f86a9d371a2c33346b3adf445b082d7@имя домена.pl>; queue-id: ; size: 23929; checksum:
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; rspamd_archive_file_try_utf: cannot open converter for BIG5-CP950: U_FILE_ACCESS_ERROR
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; dkim_symbol_callback: skip DKIM checks for local networks and authorized users
2022-07-07 08:48:01 #1003(rspamd_proxy) ; lua; spf.lua:186: skip SPF checks for local networks and authorized users
2022-07-07 08:48:01 #1003(rspamd_proxy) ; lua; dmarc.lua:349: skip DMARC checks as either SPF or DKIM were not checked
2022-07-07 08:48:01 #1003(rspamd_proxy) ; lua; once_received.lua:99: Skipping once_received for authenticated user or local network
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; rspamd_redis_connected: skip obtaining bayes tokens for BAYES_SPAM of classifier bayes: not enough learns 77; 200 required
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; rspamd_stat_classifiers_process: skip statistics as SPAM class is missing
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; rspamd_task_write_log: id: <8f86a9d371a2c33346b3adf445b082d7@имя домена.pl>, qid: , ip: 127.0.0.1, from: <имя отправителя@имя домена.pl>, (default: T (reject): [1>
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; rspamd_protocol_http_reply: regexp statistics: 0 pcre regexps scanned, 3 regexps matched, 172 regexps total, 59 regexps cached, 0B scanned using pcre, 843B scanned total
2022-07-07 08:48:01 #1003(rspamd_proxy) ; proxy; proxy_milter_finish_handler: finished milter connection

Просветите на что он ругается и как это починить. Подсказки (как мне кажется) выделил жирным шрифтом.

[ValdikSS]

У rspamd есть веб-интерфейс, импортируйте в него ваше письмо, он скажет, что с ним не так.

[Вячеслав Гранченко]

ValdikSS, че-то я не увидел функции импорта. можно посмотреть статус проверки последних нескольких десятков писем. поэтому приходилось отправлять письмо несколько раз, чтобы словить момент. после анализа потоковой проверки, выяснилось, что RSPAMD насчитывает слишком много "положительных" очков этому письму (пороговое значение 15, после чего письмо автоматически отклоняется сервером). Самые весомые метрики, которые влияют на конечную оценку оказались:

ARCHIVE_FILE_OBFUSCATED - 8 очков
SPAM - 6 очков

Поэтому я просто снизил вес метрики ARCHIVE_FILE_OBFUSCATED до 4 балов и письмо дошло получателю. Правда из-за того, что по итогу и так набрало больше 6 очков, улетело в папку Spam.

Не знаю насколько безопасно оставлять измененные метрики в таком состоянии, но больше мне ничего пока не приходит в голову. И почему оно помечается как СПАМ? Тема письма обычная, пользователь авторизован, SPF/DKIM/DMARC включены и письмо проходит проверку, текст письма - обычный текст (не HTML)... Загадка

Answer 1

[Вячеслав Гранченко]

проблема решена добавлением почтового домена в белый список rspamd, чтобы он вообще не проверял письма в этом домене, а только внешние адреса.