Как решить проблему с гмейлом?

Question

[Вадим Чопоров]

Добрый день.
Гугл начал реджектить письма:
"Пользователь mx.google.com отклонил ваше сообщение, отправленное на следующие адреса электронной почты:
[e-mail] ([e-mail])
mx.google.com выдал это сообщение об ошибке:
[86.57.147.yy] The IP you're using to send mail is not authorized to send email directly to our servers. Please use the SMTP relay at your service provider instead. Learn more at https://support.google.com/mail/answer/10336 23si2280822ljb.70 - gsmtp"
Результаты nslookup:

C:\Users\xxx>nslookup 86.57.147.yy 8.8.8.8
╤хЁтхЁ: google-public-dns-a.google.com
Address: 8.8.8.8
╚ь : zzz.by
Address: 86.57.147.yy

C:\Users\xxx>nslookup zzz.by 8.8.8.8
╤хЁтхЁ: google-public-dns-a.google.com
Address: 8.8.8.8
Не заслуживающий доверия ответ:
╚ь : zzz.by
Address: 86.57.147.yy

В спам-фильтрах адрес фигурировал только в 1 списке:
SBL-PBL2 LISTED https://www.spamhaus.org/
query/
ip/
86.57.147.zz 900
seconds 0,028

Может кто подскажет - возможно ли как то снять блокировку Гуглом?

Comments

[Владимир Дубровин]

А у вас небось на этом же IP NAT и через него офис ходит?

[Вадим Чопоров]

Да, Nat, правило для транзита порта 25 настроено изнутри на нужный внешний адрес

Answer 1

[Дмитрий Шицков]

Вы с чего почту отправляете? С сервера организации? Что выдаст проверка вашего домена тут:
mxtoolbox.com/domain

Comments

[Вадим Чопоров]

Да, корпоративный сервер Exchange 2010. Вот результаты с tolbox:

Category Host Result
dmarc tuvia.by Record Missing More Info
blacklist mx1.tuvia.by Blacklisted by Protected Sky More Info
blacklist mx1.tuvia.by Blacklisted by Spamhaus ZEN More Info
dns tuvia.by SOA Refresh Value is outside of the recommended range More Info
dns tuvia.by SOA Expire Value out of recommended range More Info
spf tuvia.by The DNS record type 99 (SPF) has been deprecated More Info
smtp tuvia.by Reverse DNS is not a valid Hostname More Info
smtp tuvia.by Warning - Does not support TLS. More Info
smtp tuvia.by 8.391 seconds - Not good! on Transaction Time More Info
smtp mx1.tuvia.by Warning - Does not support TLS. More Info
smtp mx1.tuvia.by 8.375 seconds - Not good! on Transaction Time More Info

[Вадим Чопоров]

Насколько я понял - проблема с ptr-записью, но nslookup вроде корректно разрешает.

[Дмитрий Шицков]

У вас с SPF проблема есть. Тип записи SPF - deprecated. Следует заменить на аналогичный TXT.

[Дмитрий Шицков]

Вообще, нет ничего настолько критичного, чтобы отказать в приеме почты... Для уверенности, конечно, можно добавить DMARC

[Дмитрий Шицков]

Вот что заметил. Ваш сервер tuvia.by представляется в HELO как mx1.tuvia.by. Соответвенно, получаем ошибку резолва по PTR.

[none none]

Дмитрий Шицков: Думается HELO здесь не причем. Проверка идет по домену отправителя, на основании которого делается запрос к DNS серверу зоны домена, определяются MX для данного домена и по ним производится проверка.

[Вадим Чопоров]

Дмитрий Шицков: можете сориентировать - у меня есть и spf-запись, и txt-запись с одинаковым содержанием (v=spf1 mx ~all). Не совсем понимаю, почему SPF - deprecated, если его удалю - это повысит вероятность использования моего домена сторонними сервисами, нет? И PTR-запись - nslookup резолвит корректно и гугловскими серверами, и другие сервисы вроде резолвят корректно(2whois.ru/?t=ptr&data=86.57.147.94, 24whois.ru/?data=86.57.147.94&t=ptr) - или как еще проверить ptr? Спасибо)

[Вадим Чопоров]

SPF - удалил, оставил только txt запись - проблема осталась(

[Дмитрий Шицков]

Вадим Чопоров: не могу ответить по первому вопросу наверняка, т.к. каждый сервис по-своему интерпретирует все записи и по-разному реагирует на них. Но, SPF-запись в DNS должна быть ровно одна и по действующему ныне RFC она должна быть TXT, поэтому устаревшую запись типа SPF следует убрать.
PTR у вас в порядке. Предупреждение формируется из-за того, что MX хостнейм MX сервера совпадает с вашим основным доменом. Но, HELO заголовок должен в точности совпадать с именем сервера из A и соответствующей PTR записи.

[Вадим Чопоров]

Дмитрий Шицков: Спасибо - понял, удалил SPF, оставил только:
tuvia.by. TXT v=spf1 mx ~all
но проблема осталась(

Answer 2

[Владимир Дубровин]

Очень нехорошо иметь офисный NAT и почтовый сервер на одном IP. Скорей всего, кто-то в офисной сети подхватил троянца, через который идет активная рассылка спама, поэтому IP блеклистят, причем поскольку он является частью ботнета, то блеклистят как IP конечных пользователей, что скорей всего надолго. Репутация IP скорей всего убита, на ее восстановление у разных почтовых провайдеров может потребовать от недели до бесконечности.

Закройте доступ из локальной сети наружу по 25му порту. Это следовало сделать сразу, чтобы не подставлять почтовый сервер в подобных ситуациях + обязательно установите рейтлимиты по пользователям на самом почтовом сервере, чтобы нельзя было активно спамить через него, обязательно следите за превышениями рейтлимитов / блокируйте скомпрометированных пользователей.
После этого два варианта:
1. Ждать пока репутация восстановится, параллельно вынося себя из известных RBL'ей
2. Попросить у провайдера выделить дополнительный IP адрес или небольшую сеть и назначить отдельный IP почтовому серверу.

Comments

[Вадим Чопоров]

Спасибо, учту рекомендации.

Answer 3

[Вадим Чопоров]

Всем спасибо за ответы, решение оказалось банальным, но я его сам не нашел - по указанию Дмитрий Шицков Дмитрий Шицков, наш публичный адрес был забанен у Spamhaus, причем забанена целая сеть 86.57.144.0/22 (у нас в РБ просто Белтелеком целую страну за NATом держит)) ). После обращения к ним, адрес был удален из списка и теперь почта на гмейл ходит корректно.