Warum greift die Spamfilter-Whitelist nicht (RspamD)?

[Strontium]

Ich habe ISPConfig 3.2.11p2 mit RspamD auf Debian 12 mit allen Updates installiert.

Logwatch sendet 1x pro Tag die Auswertung per Email zu einem Konto auf diesem Server, aber weil in der Logwatch-Konfiguration "Detail = Medium" steht, steht im Bericht bei Postfix zum Beispiel:

1      hostname nuancechip.best does not resolve to address 193.160.140.41: No address ass...
1      hostname slumpnews.best does not resolve to address 193.160.140.38: No address asso...

Aber in der ISPConfig-Spamfilter-Whitelist steht bei "User": @domain.xx und bei "Whitelisted Email" @server.domain.xx.

Also sollte alles was von @server.domain.xx (der ISPConfig-Server selbst) zugestellt werden, landet aber fälschlicherweise im Spam-Konto des Benutzers in der Domain (@domain.xx in dem Fall).

Dies deswegen, weil RspamD den Text in der Mail als Spam erkennt:

Wie kriegt man es in den Griff?

 

[Till]

Vielleicht liegt hes hier dran: https://git.ispconfig.org/ispconfig/ispconfig3/-/issues/6654

 

[Strontium]

Vielleicht liegt hes hier dran: https://git.ispconfig.org/ispconfig/ispconfig3/-/issues/6654

Dieses bereits geschlossene Ticket beschreibt den Fehler "Rspamd R_DUMMY Symbol is missing on some systems" aber der Fehler tritt trotzdem auf.

ISPConfig 3.2.12p1 auf Debian 12 mit RSPAMD 3.9.1

Das ist der Inhalt der Nachricht von Logwatch:

        9      hostname mail.qxnqxj.com.cn does not resolve to address 118.193.32.92: No address a...

Das macht RSPAMD daraus:

Also muss noch etwas fehlen in der Konfiguration?

Weil hier müsste in grün "no action" stehen statt in gelb "add header":

 

[Till]

Hast Du denn jetzt eine Datei /etc/rspamd/rspamd.local.lua in der das R_DUMMY Symbol definiert ist?

 

[Strontium]

Ja, die Datei ist da.

rspamd_config.R_DUMMY = {
        callback = function(task)
                return true
        end,
        score = 0,
        description = 'dummy symbol',
}

 

[brt]

hatte gestern ein ähnliches Problem, selbes setup (Debian 12). E-Mails die ein Kunde von der Bank erhalten hat sind zuerst im Spam gelandet, kurz darauf wurden sie nur noch "rejected". Whitelist wurde in ISPConfig eingetragen, aber die E-Mails wurden immer noch abgewiesen mit 13.9/10 Punkten (FUZZY_DENIED, BAYES_SPAM).

R_DUMMY ist auch vorhanden.

Mit einer Regel in local.d/multimap.conf, die beim betroffenen Absender Punkte abzieht, wurden die Mails schließlich akzeptiert. (Glücklicher weise gab es auch noch eine Reihe von Mails von dem Absender, wodurch mittels "rspamc learn_ham" BAYES_SPAM in BAYES_HAM umgewandelt werden konnte)

Gibt es eine Möglichkeit zu testen ob die Whitelists funktionieren?
Eine Testmail mit GTUBE pattern wird jedenfalls trotz whitelist abgewiesen. (eine Testmail von einer Adresse auf der Blacklist wurde korrekt abgewiesen.)

 

[Till]

Mit einer Regel in local.d/multimap.conf, die beim betroffenen Absender Punkte abzieht, wurden die Mails schließlich akzeptiert.

Welche Regel hast Du da eingefügt?

Gibt es eine Möglichkeit zu testen ob die Whitelists funktionieren?

Ich wüsste jetzt keine außer es mit emails zu testen bzw. sich ankommende Emails anzusehen.

 

[brt]

BRT_WHITELIST_SENDER {
   type = "content";
   filter = "headers";
   map = "${LOCAL_CONFDIR}/whitelist_sender.map"
   prefilter = true;
   #action = "no action";
   score = -10;
   regexp = true;
}

in der .map Datei ist dann nur der reguläre ausdruck: /xxxxxxx@xxxxxxx\.xx/i

 

[brt]

Ich wüsste jetzt keine außer es mit emails zu testen bzw. sich ankommende Emails anzusehen.

hab ich jetzt gemacht, bei den Testmails die ich gesendet habe, hat die whitelist perfekt funktioniert.

Warum das dann bei den Mails der Bank nicht geklappt hat, ist nach wie vor ein Rätsel.

Hab die Mailheader der betreffenden Mails mit meinem Testmail verglichen, vielleicht liegt hier das Problem:

Testmail:

Return-Path: <yyyyyyyy@yyyy.yyy>
...
From: Yyyyyyy <yyyyyyyy@yyyy.yyy>

Problem-Mail:

Return-Path: <prvs=011fd76d3=xxxxxxxxxx@xxxxxxxxxx.xx>
...
From: <xxxxxxxxxx@xxxxxxxxxx.xx>

vielleicht ist die Zeichenkette "prvs=011fd76d3=" die beim return-path an die emailadresse vorangestellt die Ursache?

 

[Strontium]

Warum das dann bei den Mails der Bank nicht geklappt hat, ist nach wie vor ein Rätsel.

Vermutlich deshalb, weil RspamD seine eigenen, internen White/Blacklists und Regeln hat die sich dauernd ändern und sich manchmal mit Custom Einstellungen überschneiden können und die deswegen nicht greifen.

Deswegen sieht die

/etc/rspamd/local.d/multimap.conf

jetzt bei mir so aus:

WHITELIST_SENDER_EMAIL {
      type = "from";
      map = "${LOCAL_CONFDIR}/local.d/whitelist.sender.email.map";
      action = "accept";
 }

und in der map-Datei steht:

root@ispconfig.example.com

 

[brt]

Vermutlich deshalb, weil RspamD seine eigenen, internen White/Blacklists und Regeln hat die sich dauernd ändern und sich manchmal mit Custom Einstellungen überschneiden können und die deswegen nicht greifen.

Meine multimap.conf hat auch funktioniert. Das Problem war, daß die ISPConfig Whitelist nicht funktioniert hat, deshalb musste ich mit der multimap.conf "nachbessern". Meine Tests haben ergeben, daß die ISPConfig-Whitelist normalerweise problemlos funktioniert, wahrscheinlich ist es so wie Du geschrieben hast, daß die internen rspamd Regeln bei den betreffenden E-Mails die whitelist von ISPConfig überschrieben haben.