OpenDKIM не может проверить подпись при получении сообщения?

Question

[Алексей]

Доброго времени суток.

Есть сервер с FreeBSD 9.1 + Postfix + OpenDKIM.

Письма подписываются, всё уходит нормально, проверил по внешним почтовым сервисам — подпись валидная.

Фигня творится с определением валидности чужих писем т.е. когда приходит письмо с yandex.ru в лог падает ошибка

key retrieval failed (s=mail, d=yandex.ru): 'mail._domainkey.yandex.ru' query timed out

хотя dig с того же сервера

# dig -t TXT mail._domainkey.yandex.ru

; <<>> DiG 9.8.3-P4 <<>> -t TXT mail._domainkey.yandex.ru
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 61751
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;mail._domainkey.yandex.ru. IN TXT

;; ANSWER SECTION:
mail._domainkey.yandex.ru. 2733 IN TXT "v=DKIM1\; g=*\; k=rsa\; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDEc6Lkc9kLHjIxLkeszz1dYzGIfPH8qaUx2wLojYefUzZiCjyl0s/YT17WJMfGFZkl0gHgkEj5/I2C72MmaHVtTFzNqD48ZuqVydlDyfLed0A6vxb+MS34DIbpCgCi0HxQO1QRG7PechKza0iazWTIAQ1xRU24ZYM70kGDzhFHSwIDAQAB"

;; Query time: 20 msec
;; SERVER: 192.168.5.100#53(192.168.5.100)
;; WHEN: Wed Jun 26 09:23:59 2013
;; MSG SIZE rcvd: 295

Подскажите, как этот milter-opendkim отправляет запросы и где может быть ошибка?

Answer 1

[joneleth]

dns пробовали менять?

Comments

[Алексей]

Подскажите где? В резолве меня — один хрен. Накопал в конфиге openfkim опцию Nameservers, вписал туда 8.8.8.8 но всё равно…

[joneleth]

resolv.conf я имел ввиду… У вас с каждым письмом с яндекса такая ошибка? Возьмите tcpdump и посмотрите что происходит, если так.
Тут lists.opendkim.org/archive/opendkim/dev/2011/04/1020.html пишут таймаут это и есть собственно таймаут.

[Алексей]

Спасибо большое. С этим разобрался — на шлюзе было правило по DNS, поправил — ключи начали получаться.
Но теперь бывает такое
Jun 26 12:49:12 mx1 opendkim[43502]: 9801626A6E0C: key retrieval failed (s=default, d=rabota.ru): 'default._domainkey.rabota.ru' unexpected reply class/type (-1/-1)

Не встречали такое?

[joneleth]

нет, я вообще opendkim не трогал. Ну проверьте валидна ли эта запись на самом деле. Вполне возможно, что нет.