Drittanbieter sollen Domain verwenden dürfen

[lukas]

Hallo zusammen,

wir sind noch relativ neu im NSP unterwegs deswegen vorab sorry, falls ich noch nicht so ganz gut unterwegs bin mit dem Produkt.


Wir nutzen einen Drittanbieter um Newsletter über unsere Domain zu versenden. Konkret ist es der Anbieter GetResponse. Zum Testen sendet der zuständige Mitarbieter natürlich auch Mails an sich selbst, diese werden jedoch vom Reputationsfilter abgestraft, da der NSP merkt, dass der Sender im Header-From eine seiner verwalteten Domains ist. Hier ein paar Daten:

bounce-1234567@bounce.getresponse-mail.com  ('Header-From' war  mail@meine-domain.de  )
an  mitarbeiter@meine-domain.de

Reputationsfilter: The FROM header or the SENDER header contains a local address (Exact): mail@meine-domain.de.

Wie genau bringe ich dem NSP bei, dass dieser konkrete Server unter 'meine-domain.de' senden darf?

Spontan vom Gefühl her würde ich jetzt unter Konfiguration > E-Mail-Routing > E-Mail-Server des Unternehmens den DNS-Namen gehen und den DNS-Namen 'bounce.getresponse-mail.com' als Mail-Server definieren. Dies brachte jedoch keinen Erfolg.


Aktuell habe ich die Workaround-Lösung etabliert, dass ich per Regel diesen Absender in eine Whitelist gepackt habe.. aber da muss es doch mit Sicherheit eine charmantere Lösung geben?

Besten Dank & Grüße

 

[ffischer]

Hallo,
korrekt da muss der Mail Server rein der die Mail versendet.

Prüf ob das wirklich der Server ist von wo die Mail her kommt.
Ich habe ähnliches verhalten gehabt mit einem Extern gehosteten Ticket System, ich habe dann noch eine passende Regel hierfür erstellt.

Grüße

 

[lukas]

Servus,
das sollte alles passen, ich hab auch mehrere Ansätze geprüft.

Die Mail kommt konkret von:
mta-12.omega.getresponse-mail.com
104.160.64.93

Ich habe als Unternehemsserver mehrere Varianten probiert:
bounce.getresponse-mail.com
getresponse-mail.com
mta-12.omega.getresponse-mail.com

...also sogar den korrketen Host auch wenn's nur zum Test war, da die sicher nicht nur mta-12 sondern auch andere laufen haben.

Überall sieht das Ergebnis gleich aus (siehe Ausgangspost) und die Mail bekommt 4 SCL-Punkte draufgedrückt.

Wobei bounce.getresponse-mail.com und getresponse-mail.com gar keinen A-Eintrag zurückgeben, das wäre ein möglcihes Problem.... Der mta-12 aber schon, d.h. spätestens da hätte es klappen müssen, sofern das der richtige Weg ist.

Grüße

 

[ffischer]

Hallo,
folgendes würde ich hier nun versuchen.

Da die Adresse ja Intern ist, aber von Extern kommt, gibt es zur Domain einen passenden SPF Eintrag ?

Von dem Provider wo die Mail her kommt AS46469 GETRESPONSE vielleicht erstmal zum Testen das Netz von dort wo die Mails her kommen
104.160.64.0/23 "reinlassen" und als Mail Server deklarieren.

Dann eine Regel.

Regelname: Externe Mails von Drittanbieter NAME
LoT AUS
InhaltFiltern AN

Nachrichtenfluss:
"einer E-mail Adresse des Unternehmens an eigene Domäne oder Email des Unternehmens"

Wenn email Absender immer der gleiche ist - dann ggf. hier eintragen

IP Filter auf das Netzwerk IP oder das Subnet von dem Provider rein

Bei Filter die üblichen Filter rein,
wenn "Reputationsfilter" mit drin ist, dann diesen anpassen und die Prüfungen anpassen das müsste wenn ich mich nicht irre

Header From Ein Teil der in der Email-Adresse des Feldes 'Header-From' angegebenen Domäne enthält eine eigene Domäne.

Dann die üblichen Aktionen und Abwesieverhalten.

die Regel muss dann vor der Standardregel sein die "jetzt " ablehnt.

Grüße

 

[lukas]

Moin, vielen Dank für deine Ausführung.
ja, der SPF-Eintrag ist korrekt gesetzt der macht hier ja auch kein Problem.

Den IP-Bereich als Mailserver eintragen wäre tatsächlich noch etwas was ich testen könnte, aber eigentlich müsste sich das ja genauso wie der DNS-Name verhalten der auf dies passende IP auflöst. Wie oben geschrieben habe ich bereits eine Regel, die diese Mails passieren lässt und funktioniert. ich wollte nur vermeiden "jetzt schon" mit Ausnahmen anzufangen, die mittelfristig sicher in Wildwuchs ausarten werden... daher wäre es mir dann doch lieber die "richtige" Lösung für diesen Fall zu implementieren. Kann mir nicht vorstellen, dass der NSP da keine Lösung für hat und davon ausgeht, dass er und nur er Mails in die wiete Welt senden darf

Grüße

 

[ffischer]

Hallo,
ja "richtig" Filtern ist da schon richtiger Ansatz.
Damit alle Server drin sind müsstest du ja alle SMTP Ausgehende Server hinterlegen.

Oben wäre es der mta-12.omega.getresponse-mail.com

die IP 104.160.64.105 wäre mta-24....
IP 10.4160.64.194 ist bsp. mta-23.beta....

Du weißt ja nicht vorher von welchem SMTP Server diese eine E-Mail kommt.

Grüße

 

[StefanCink]

Und hier kommt die Auflösung des Rätsels: Die Einträge unter "Corporate E-Mail-Server" beziehen sich ausschließlich auf die Envelope-Adresse. Diese stimmt sehr wahrscheinlich nicht mit der Header-From-Adresse überein. Daher lässt NoSpamProxy diese Verbindung überhaupt zu und erkennt am Ende, dass im Header-From eine eigene Domain verwendet wird und weist die E-Mail ab. Die Vorgehensweise von LRO in Form einer eigenen, abgeschwächten Regel ist also korrekt.
Ich würde diese Regel allerdings nur um die entsprechende Header-From Prüfung entschärfen. AV Checks etc. würde ich trotzdem machen.
Gruß Stefan