Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 9 replies
  • Subscribers 1 subscriber
  • Views 4512 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

SPF with greylisting problem

GrahamHollis
I have two ASL systems. One at home and one at work.

My home system at YYYYYY.com below has an SPF record in the DNS.

My work system at XXXXXXX.com below has an MX priority 10 record. Our ISP provides a backup mailserver at ZZZZZZZ.net below at priority 20 in case the local circuit goes down. This then relays to the MX 10 when the circuit is re-established.

What I have found is that some relays (ASL being one of them) will immediately send mail to the next level, 20 in this case, when they get a temporary reject due to greylisting. I don't know if this is RFC legal or not, but in any event it causes problems with SPF.

The two exim log records below show the first delivery attempt from my home to work system along with the greylist temporary reject. Two seconds later my backup MX try's to send the same mail and gets a permanent reject as its not allowed to send mail for YYYYYY.com as per my SPF record.

2004:12:04-13:04:20 (none) exim[18693]: 2004-12-04 13:04:20 H=adsl-99-999-99-999.dsl.xxxxxx.xxxxxxx.net (mail.YYYYYY.com) [99.999.99.999] F= temporarily rejected RCPT : Please try again

2004:12:04-13:04:22 (none) exim[18694]: 2004-12-04 13:04:22 H=front2.mail.ZZZZZZZ.net (fe.mail.ZZZZZZZ.net) [88.88.88.88] F= rejected RCPT : 88.88.88.88 is not allowed to send mail from this address or use this HELO string

Is a problem with my setup or is it a limitation of having SPF and greylisting activated together?

Trench


This thread was automatically locked due to age.
Parents
  • 0
    After a quick bit of Googleing about, I now understand that my ISP forwarder needs to implement SRS (Sender Rewriting Scheme) for SPF to work correctly.

    Trench
  • 0 in reply to GrahamHollis
    Trench,

    Greylisting only makes sense when both systems MX and backup MX support greylisting. Afaik it is standard conform that the remote mailer tries to deliver mail over the backup MX when the main MX fails (even if it fails with a temporary error).

    Greetings
    cyclops
  • 0 in reply to cyclops
    Cyclops,

    I'm only running greylisting on my MX but this still gets rid of tons of spam. It looks like most of the non-compliant bulk mailers do not go to the backup MX on the temporary reject although some do. For those that do, the backup MX eventually delivers the spam which are still subject to the filters. I agree it makes sense for both to run greylisting but it appears there is still benefit if you don’t.

    Trench
Reply
  • 0 in reply to cyclops
    Cyclops,

    I'm only running greylisting on my MX but this still gets rid of tons of spam. It looks like most of the non-compliant bulk mailers do not go to the backup MX on the temporary reject although some do. For those that do, the backup MX eventually delivers the spam which are still subject to the filters. I agree it makes sense for both to run greylisting but it appears there is still benefit if you don’t.

    Trench
Children
No Data
Cookie Information Banner