Category: Service

剛剛看到「If you query Spamhaus Projects’ legacy DNSBLs via DigitalOcean move to the free Data Query Service」這篇，覺得愈來愈詭異了，研究了目前的情況後決定停用 Spamhaus。

現在已經愈來愈少自己架設 mail server 了，不過我自己還是留了幾個 domain 跑在自己架設的 Postfix 上面，最主要是 command line 下面用 Mutt 讀信還是蠻方便的，另外一方面是確保一個信箱是不受到大企業的管制。

如果不是拿套裝軟體直接架設的話，自己架設 mail server 會有不少東西要設定：在 MTA 這端通常會使用 DNSBL 擋掉已知會發 spam 的 IP address。

DNSBL 的原理不難，就是拿 IPv4 address 組合一個 hostname，透過 DNS 查詢就會知道這個 IPv4 address 是否在清單；換句話說，就是拿 DNS protocol 當作 API，當作資料庫查詢。

舉個例子來說，假設我要查 188.235.18.134 這個位置的情況 (從「Worst /24 blocks based on total spam count」這邊翻出來的)，這邊使用 SpamCop 的清單，我先把 IPv4 address 反過來變成 134.18.235.188，然後再加上 SpamCop 所指定的 bl.spamcop.net，變成 134.18.235.188.bl.spamcop.net，接下來查詢就可以查到：

134.18.235.188.bl.spamcop.net has address 127.0.0.2

如果是 168.95.1.1 的話，同樣方法組合成 1.1.95.168.bl.spamcop.net 可以看到沒有在 SpamCop 清單內：

Host 1.1.95.168.bl.spamcop.net not found: 3(NXDOMAIN)

這邊選擇用 DNS 的好處包括了 DNS resolver 及 DNS library 自然的 cache，不需要 Postfix 這類 MTA 再自己實作 cache 層，對於有大量信件 (無論是正常的或是 spam) 進來的時候也不會造成提供清單的服務大量的負載。

回頭來說 Spamhaus 的情況，他們公告要擋 DigitalOcean 的理由很奇怪，因為 DigitalOcean 架設了自己的 mirror 所以他們不知道使用的量，要使用者去 Spamhaus 上註冊申請後拿到一個自己的 your_DQS_key.zen.dq.spamhaus.net 使用。

有了 unique key 在 query，這樣就給了 Spamhaus 很清晰追蹤資料，加上 Privacy Policy 裡面的資訊：

We may have to share your personal data with the parties set out below for the purposes set out in the table in paragraph 4.
[...]
– Third parties to whom we may choose to sell, transfer, or merge parts of our business or our assets. Alternatively, we may seek to acquire other businesses or merge with them. If a change happens to our business, then the new owners may use your personal data in the same way as set out in this privacy notice.

這樣就知道他們想要做什麼了...

另外一方面，查資料的時候發現他們已經擋掉 Google Public DNS 以及 Cloudflare DNS：

這是我自己架設 Unbound 的查詢：

gslin@home [~] [05:09/W4] host 2.0.0.127.zen.spamhaus.org
2.0.0.127.zen.spamhaus.org has address 127.0.0.10
2.0.0.127.zen.spamhaus.org has address 127.0.0.4
2.0.0.127.zen.spamhaus.org has address 127.0.0.2

這是 Google Public DNS (8.8.8.8)：

gslin@home [~] [05:09/W4] host 2.0.0.127.zen.spamhaus.org 8.8.8.8
Using domain server:
Name: 8.8.8.8
Address: 8.8.8.8#53
Aliases: 

Host 2.0.0.127.zen.spamhaus.org not found: 3(NXDOMAIN)

這是 Cloudflare DNS (1.1.1.1)：

gslin@home [~] [05:09/W4] host 2.0.0.127.zen.spamhaus.org 1.1.1.1
Using domain server:
Name: 1.1.1.1
Address: 1.1.1.1#53
Aliases: 

2.0.0.127.zen.spamhaus.org has address 127.255.255.254

在 Spamhaus 的「Frequently Asked Questions (FAQ)」這篇裡面有提到 127.255.255.254 的回應是「Query via public/open resolver」：

127.255.255.252	Any	Typing error in DNSBL name
127.255.255.254	Any	Query via public/open resolver
127.255.255.255	Any	Excessive number of queries

所以還蠻清楚這家的東西已經不能碰了...