diff --git a/content/posts/2023/spamhaus-dnsblocklist/index.de.md b/content/posts/2023/spamhaus-dnsblocklist/index.de.md new file mode 100644 index 000000000..0f7df3dc3 --- /dev/null +++ b/content/posts/2023/spamhaus-dnsblocklist/index.de.md @@ -0,0 +1,93 @@ +--- +title: "🛑📜 Spamhaus DNS Blocklist Änderungen ab 2023-07" +date: 2023-07-28T16:00:10+02:00 +draft: false + +author: Niklas Meyer/DerLinkman +authorLink: "https://github.com/DerLinkman" +toc: true + +license: "" + +tags: ["2023", "info"] +categories: ["Hinweis", "Status"] + +--- + +**Moohoo zusammen!** + +Mit dem mailcow Update 2023-07 gibt es eine etwas größere Änderung bezüglich Spamhaus DNS Blocklisten. + +Dieser Blogpost hier dient als Information für interessierte. + + + +#### Was sind Spamhaus DNS Blocklisten? + +Zuerst einmal die generelle Frage was die Listen überhaupt sind bzw. wofür diese eingesetzt werden. + +Die Spamhaus DNS Blocklisten sind (normalerweise) frei zugängliche Listen, welche in verschiedensten Systemen eines E-Mail Servers eingebaut werden können (ob Rspamd, Postfix oder andere). In mailcow's Fall werden diese in Postfix via Postscreen eingebunden. + +Grundsätzlich sind diese eine Art "Prefilter" für Spammer-Adressen. Dies jedoch auf IP und nicht erst auf Kontent ebene wie Rspamd arbeitet. + +Die Listen werden live aktualisiert und sagen dem E-Mail Server bei der Verbindung einer gelisteten IP die Verbindung zu verweigern. + +Diese Blocklisten waren bisher ohne Einschränkungen für jedem Nutzer benutzbar. + +Das ändert sich nun aber leider. + +#### Was ändert sich? + +Spamhaus hat zum [20.06](https://twitter.com/spamhaus/status/1671141604705333248) die Möglichkeit zum Zugriff auf besagte Listen von OVH, AWS und Hetzner Servern blockiert. + +Dies hat zur Folge, dass die DNS Blocklisten (nur von Spamhaus, andere funktionieren weiterhin) damit nicht mehr funktionieren, wenn man als Benutzer nicht selber aktiv wird. + +Denn ab sofort ist es (um weiterhin von den Spamhaus DNS Blocklisten gebrauch zu machen) notwendig sich einen Account bei Ihnen zu erstellen und einen DQS (Domain Query Service) Key zu generieren, den man dann in die mailcow.conf einträgt. + +mailcow kümmert sich dann um die konfiguration der neuen DQS Blocklisten, welche technisch genauso wie die ohne Account funktionieren. + +Wir haben dafür eine Möglichkeit in das update und generate_config Skript implementiert, welche eure öffentliche IP Adresse einem AS (Autonomen System) zuordnet und gegen einen Dienst von uns (fuzzy.mailcow.email/bad_asn.txt) prüft ob ihr betroffen seit oder nicht. Falls ja, meldet mailcow dies. + +Dafür wird das whois Paket auf dem Host System benötigt. Wir prüfen aber derweil eine andere Möglichkeit um auf besagtes lokales Paket verzichten zu können. + +#### Warum ändert sich das und bin ich betroffen? + +Spamhaus selbst sagt dazu: + +> In den Nutzungsbedingungen des Spamhaus-Projekts heißt es, dass es Benutzern nicht erlaubt, Abfragen über DNS-Resolver durchzuführen, wenn kein zuordenbarer Reverse-DNS vorhanden ist. Dazu gehört auch OVHCloud. [...] + +> [...] Um sicherzustellen, dass diese Benutzer eine gute Servicequalität haben, wird die Nutzung überwacht und anhand der Nutzungsbedingungen des Projekts gemessen. +OVHCloud maskiert die Anfragen von Organisationen an die Public Mirrors des Projekts, sodass das Team die Nutzung nicht einzelnen Entitäten zuordnen kann. Sie haben keine Möglichkeit, die Anzahl der Anfragen einer einzelnen Organisation zu ermitteln. [...] + +> [...] Um sicherzustellen, dass seine Nutzungsbedingungen eingehalten werden, blockiert das Spamhaus-Projekt Anfragen von einer bestimmten IP-Adresse außerhalb der Richtlinie. Außerdem wird ein Fehlercode zurückgegeben. Bei der Abfrage über einen offenen/öffentlichen Resolver, also OVHCloud, lautet der Fehlercode 127.255.255.254 [...] + +Sprich verstößt OVH, AWS und Hetzner mit Ihrer Art wie Sie Anfragen an Spamhaus schicken gegen die Nutzungsbedingungen der public DNS Blocklisten von Spamhaus. + +*Aktuell kann noch nicht gesagt werden ob es in Zukunft noch weitere Anbieter treffen wird. Aktuell wissen wir nur von den drei hier.* + +#### Was wenn ich keinen DQS Key und ein damit verbundenes Konto bei Spamhaus erstellen möchte? + +Solltet ihr euch gegen ein Spamhaus Account und damit gegen DQS entscheiden und bei einem der Anbieter sein erhaltet ihr keinen extra Schutz mehr durch die DNS Blocklisten von Spamhaus. + +**Eure mailcow läuft ansonsten jedoch weiter wie bisher, ihr könnt normal senden und empfangen!** + +Es geht hier wirklich nur um einen bisher inklusiven Spamschutz der dann wegfällt. Rspamd ist natürlich trotzdem noch da und fängt Spammails natürlich noch weiter ab. + +#### Habe ich irgendwelche Vorteile, wenn ich DQS auch als nicht Betroffener nutze? + +Natürlich können alle mailcow Nutzer (nicht nur die betroffenen) die neuen DQS Blocklisten beziehen und nutzen. + +Am besten lest ihr euch dazu den offiziellen Post von Spamhaus selbst zu, welche beide Listen miteinander vergleicht. (Allerdings leider nur auf Englisch erhältlich) + +https://www.spamhaus.com/resource-center/if-you-query-spamhaus-projects-dnsbls-via-ovhclouds-dns-move-to-the-free-data-query-service/ + +Besagter Artikel fasst die Situation generell nochmal zusammen und erklärt wie ihr genau an so einen DQS Key kommt. + +--- + +Ich hoffe das konnte in die Situation etwas klarheit bringen und euch die Angst nehmen, dass euer mailcow Server jetzt komplett gesperrt wurde oder ähnliches. + +Bleibt gesund und happy Mailing! + +Euer mailcow Team +> Niklas aka. DerLinkman \ No newline at end of file diff --git a/content/posts/2023/spamhaus-dnsblocklist/index.en.md b/content/posts/2023/spamhaus-dnsblocklist/index.en.md new file mode 100644 index 000000000..96809812e --- /dev/null +++ b/content/posts/2023/spamhaus-dnsblocklist/index.en.md @@ -0,0 +1,85 @@ +--- +title: "🛑📜 Spamhaus DNS Blocklist changes since 2023-07" +date: 2023-07-28T16:00:10+02:00 +draft: false + +author: Niklas Meyer/DerLinkman +authorLink: "https://github.com/DerLinkman" +toc: true + +license: "" + +tags: ["2023", "info"] +categories: ["Information", "Status"] + +--- + +**Moohoo everyone!** + +With the mailcow update 2023-07, there's a somewhat significant change regarding Spamhaus DNS blocklists. + +This blog post is here to provide information for those interested. + + + +#### What are Spamhaus DNS blocklists? +First of all, let's address the general question of what these lists actually are and what they are used for. + +The Spamhaus DNS blocklists are (usually) freely accessible lists that can be integrated into various systems of an email server (whether it's Rspamd, Postfix, or others). In the case of mailcow, these blocklists are integrated into Postfix via Postscreen. + +Essentially, they act as a "prefilter" for spammer addresses, but they work based on IP, not content, like Rspamd does. + +These lists are updated in real-time and instruct the email server to deny connections from listed IPs. + +Until now, these blocklists were available for use without any restrictions for all users. + +However, that's unfortunately changing. + +#### What's changing? +On [June 20th](https://twitter.com/spamhaus/status/1671141604705333248), Spamhaus blocked access to these lists from OVH, AWS, and Hetzner servers. + +As a result, the DNS blocklists (only from Spamhaus, others still function) won't work unless users take action. + +From now on, if you want to continue using the Spamhaus DNS blocklists, you'll need to create an account with them and generate a DQS (Domain Query Service) key, which you'll then add to mailcow.conf. + +mailcow will take care of configuring the new DQS blocklists, which technically function the same way as the ones without an account. + +We've implemented a solution in the update and generate_config scripts that associates your public IP address with an Autonomous System (AS) and checks against a service we provide (fuzzy.mailcow.email/bad_asn.txt) to see if you're affected. If you are, mailcow will notify you. + +To perform this, the whois package is required on the host system. However, we're also exploring other possibilities to avoid relying on this specific local package. + +#### Why is this change happening, and am I affected? +Spamhaus explains it as follows: + +> The Spamhaus Project’s Terms of Use state that it doesn’t allow users to query via DNS resolvers where there is no attributable reverse DNS; this includes OVHCloud (we’ll explain why later in this article). + +> [...] The blocklists that the Spamhaus Project makes freely available via its Public Mirrors are for small-scale, non-commercial use. To ensure these users have a good quality of service, usage is monitored and measured against the Project’s Terms of Use. OVHCloud masks organizations’ queries to the Project’s Public Mirrors, so the team can’t attribute usage to individual entities. They have no way of establishing the number of queries a single organization is making. [...] + +> [...] To ensure its Terms of Use are adhered to, the Spamhaus Project will block queries from a specific IP address outside the policy. It also returns an error code. In the case of querying via an open/public resolver, i.e., OVHCloud, the error code is 127.255.255.254. [...] + +In other words, OVH/AWS/Hetzner's way of sending queries to Spamhaus violates the usage terms of Spamhaus's public DNS blocklists. + +*Currently, we can't say for sure whether other providers will be affected in the future. For now, we're aware of these three.* + +#### What if I don't want to create a DQS key and an associated account with Spamhaus? +If you choose not to create a Spamhaus account and, therefore, forgo DQS, you won't receive extra protection from Spamhaus's DNS blocklists if you're using one of the affected providers. + +However, your mailcow will continue to function as before, and you'll still be able to send and receive emails normally! + +This change only affects the inclusive spam protection that will no longer be in place. Rspamd will still be there and will continue to catch spam emails. + +Are there any benefits to using DQS even if I'm not affected? +Of course, all mailcow users (not just the affected ones) can access and use the new DQS blocklists. + +It's best to read the official post from Spamhaus itself, which compares both lists. (Unfortunately, it's only available in English) + +https://www.spamhaus.com/resource-center/if-you-query-spamhaus-projects-dnsbls-via-ovhclouds-dns-move-to-the-free-data-query-service/ + +This article summarizes the situation in general and explains how to obtain a DQS key. + +I hope this brings some clarity to the situation and alleviates any fears that your mailcow server has been completely blocked or something similar. + +Stay healthy and happy mailing! + +Your mailcow Team +Niklas aka. DerLinkman \ No newline at end of file