DNS-Blacklist-(RBL)-Check-Referenz

Welche Blocklisten der Check abfragt, was ein Eintrag bedeutet und wo die Behebung tatsächlich stattfindet

---

Der Check DNS-Blacklist (RBL) fragt eine Reihe DNS-basierter Blocklisten, ob die IPv4-Adressen, die du ihm gibst, dort gelistet sind. Es ist ein Reputations-Check für E-Mail: empfangende Mailserver fragen dieselben Listen während des SMTP-Handshakes ab. Eine gelistete Adresse bekommt ihre Mail also in der Regel gerade jetzt abgewiesen oder zurückgestellt.

Der Check findet das Problem. Die Behebung passiert immer beim Betreiber der Blockliste, niemals in octoja — siehe Eine Adresse aus einer Blockliste entfernen lassen weiter unten.

Voraussetzungen

• Die Berechtigung Monitoring-Check-Verwaltung (monitoring-checks.manage), um den Check auf einem Gerät oder in einem Konfigurationspaket anzulegen oder zu bearbeiten.
• Ein Gerät mit octoja-Agent, das DNS über einen Resolver auflöst, den du kontrollierst. Das ist der häufigste Grund dafür, dass der Check nichts Brauchbares zurückgibt — siehe den nächsten Abschnitt.
• Nichts zu installieren, nirgends. Der Check stellt nur DNS-Anfragen; er greift nie auf den Mailserver selbst zu.

Diese zwei Dinge zuerst richtig setzen

Fast jedes unbrauchbare Ergebnis dieses Checks lässt sich auf eine der beiden folgenden Eingaben zurückführen. Kläre beide, bevor du dir irgendeinen Schwellenwert ansiehst.

1. Trage die öffentliche Adresse ein, von der die Mail ausgeht

IP-Adressen akzeptiert ausschließlich IPv4-Adressen — keine Hostnamen, kein IPv6, keine Bereiche. Alles, was keine gültige IPv4-Adresse ist, wird für diesen Eintrag als Fehler mit Ungültige IPv4-Adresse gemeldet.

Einzutragen ist die Adresse, die ein empfangender Mailserver auf der Verbindung sieht: die öffentliche Adresse deines ausgehenden Mail-Gateways oder die NAT-Adresse der Firewall, wenn die Mail den Standort direkt verlässt. Die interne LAN-Adresse eines Mailservers steht auf keiner Blockliste und kommt immer sauber zurück — ein grüner Check, der nichts bedeutet. Wenn du unsicher bist, welche Adressen in die Liste gehören: die ip4:-Einträge in deinem SPF-Record sind meist die richtige Menge.

Läuft die ausgehende Mail über einen gehosteten Dienst (Microsoft 365, Google Workspace, den Smart Host eines Anbieters), gehören die sendenden Adressen diesem Anbieter. Sie zu überwachen sagt dir nichts, worauf du reagieren könntest — überwache die Adressen, die du selbst kontrollierst.

2. Nutze einen Resolver, dem die Blocklisten antworten

Die Abfragen gehen von dem Gerät aus, dem der Check zugewiesen ist, und nutzen dessen DNS-Einstellungen. Weise den Check einem Gerät mit octoja-Agent zu — dessen Resolver ist der, den die Blocklisten sehen.

Blocklisten-Betreiber antworten nicht jedem. Anfragen, die über die großen öffentlichen Resolver eintreffen — Google, Cloudflare, Quad9, OpenDNS und ähnliche — werden grundsätzlich abgewiesen, ebenso Anfragen von Resolvern, die die Freinutzungsgrenzen eines Betreibers überschreiten. Diese Abweisung ist keine Antwort im Sinne von „nicht gelistet“: sie kommt als reservierte Antwort im Bereich 127.255.255.x zurück. octoja erkennt solche Antworten und meldet Warnung mit Resolver von der Blockliste blockiert (privaten DNS-Resolver verwenden), statt die Adresse als sauber darzustellen.

Weise den Check einem Gerät zu, das über einen eigenen rekursiven Resolver auflöst — einen Domänencontroller oder einen lokalen Resolver, der die autoritativen Server selbst befragt — und nicht über einen Resolver, der auf einen öffentlichen DNS-Dienst zeigt.

Welche Blocklisten der Check abfragt

Blocklist-Zonen (RBL) ist mit drei weit verbreiteten Zonen vorbelegt. Jede Adresse wird gegen jede Zone in der Liste abgefragt.

Du kannst Zonen frei hinzufügen oder entfernen — das Feld ist eine einfache Liste von Zonennamen. Zwei Dinge solltest du wissen, bevor du dich auf die Standardwerte verlässt:

• Betreiber veröffentlichen Freinutzungsgrenzen und erwarten von kommerziellen Nutzern oder Nutzern mit höherem Volumen den Wechsel auf einen bezahlten Feed. Der bezahlte Abfragedienst von Spamhaus etwa vergibt einen persönlichen Zonennamen, den du hier anstelle von zen.spamhaus.org einträgst.
• Barracuda verlangt, dass die öffentliche Adresse des abfragenden Resolvers dort registriert ist. Solange das nicht geschehen ist, trägt diese Zone nichts zum Ergebnis bei — und weil octoja eine fehlgeschlagene Abfrage nur meldet, wenn jede Zone für eine Adresse fehlschlägt, taucht eine einzelne stille Zone nirgends auf.

Konfigurationsfelder

Ergebniszustände

Innerhalb einer Adresse schlägt ein Eintrag alles andere: meldet irgendeine Zone die Adresse als gelistet, ist diese Adresse kritisch — auch dann, wenn eine andere Zone die Abfrage abgewiesen hat oder in einen Timeout gelaufen ist. Das Gesamtergebnis des Checks ist das schlechteste einzelne Ergebnis pro Adresse, in der Rangfolge OK, dann Warnung, dann Kritisch, dann Fehler — ein einziger ungültiger Eintrag meldet den ganzen Check also als Fehler, selbst wenn eine andere Adresse gelistet ist.

Eine Adresse aus einer Blockliste entfernen lassen

Die Entfernung findet vollständig beim Betreiber der Blockliste statt. octoja hat darauf keinen Einfluss und keine Möglichkeit, eine Entfernung in deinem Namen zu beantragen.

1. Behebe die Ursache, bevor du die Entfernung beantragst. Betreiber listen innerhalb von Stunden erneut, wenn das Verhalten anhält, und wiederholte Selbst-Entfernungen werden meist abgelehnt. Die üblichen Ursachen sind ein kompromittiertes Postfach, das über deinen Server weiterleitet, ein aus dem Internet erreichbarer unauthentifizierter Einlieferungsweg, ein infizierter Client hinter derselben öffentlichen Adresse oder eine Adresse, die Mail nie direkt ausliefern sollte.
2. Frage die Adresse bei dem Betreiber ab, der sie gelistet hat. octoja speichert den Zonennamen, nicht die Antwort der Zone — es sagt dir, wo die Adresse gelistet ist, nicht warum. Die Abfrageseite des jeweiligen Betreibers nennt die konkrete Liste, den Grund und meist auch die zugrunde liegenden Belege.
3. Folge dem Entfernungsverfahren dieses Betreibers. Alle drei Standardzonen bieten für mindestens einige Eintragsarten eine Selbstbedienungs-Entfernung. Rechne mit einem oder mehreren der folgenden Punkte: Bestätigung von einer Adresse der betroffenen Domäne, eine Wartezeit, oder die Anforderung, dass das zugrunde liegende Problem sichtbar behoben ist.
4. Bringe gleich die umgebende Hygiene in Ordnung. Ein gültiger PTR-Record für die sendende Adresse, ein dazu passender HELO/EHLO-Name und funktionierende SPF-, DKIM- und DMARC-Records fließen alle in die Reputation ein — und manche Einträge sind Aussagen über den Adressraum und nicht über eine einzelne Nachricht.
5. Bestätige die Entfernung mit einem frischen Lauf. Der Check läuft von sich aus alle 60 Minuten, und du kannst einen Lauf sofort mit der Play-Schaltfläche neben dem Check im Reiter Checks des Geräts starten — dafür wird die Geräteaktion Wartung ausführen benötigt, und bei einem deaktivierten Check wird sie nicht angeboten. Befindet sich das Gerät in einem Wartungsfenster, das Checks pausiert, wird der Lauf abgelehnt und das auch gemeldet. DNS-Caching kann die alte Antwort noch eine Weile halten, nachdem der Betreiber den Eintrag bereits entfernt hat.

Erfasste Messwerte

Pro Adresse meldet der Check:

• Die Adresse und ob sie gelistet ist
• Die Namen der Zonen, die sie listen
• Wie viele Zonen für sie abgefragt wurden
• Das Ergebnis pro Adresse — OK, Warnung, Kritisch oder Fehler — und, wo einer zutrifft, den Grund: ungültige Adresse, Resolver blockiert oder Abfrage fehlgeschlagen

Das Detail-Panel zeigt eine Karte pro Adresse. Die Verlaufsansicht zeigt eine Zeile pro Lauf mit den Adressen, die nicht OK waren, und den Zonen, die sie gelistet haben.

Plattform-Unterstützung

Hinweise

• Der Check läuft alle 60 Minuten auf dem Agent. Das Intervall ist nicht einstellbar.
• Bis zu acht Adressen werden gleichzeitig abgefragt. Die Zonen einer einzelnen Adresse werden nacheinander abgefragt, eine nicht antwortende Adresse braucht also bis zu Anzahl der Zonen mal Timeout — 15 Sekunden bei den drei Standardzonen und dem Standardwert von 5000 ms.
• octoja speichert, welche Zone eine Adresse gelistet hat, nicht die Antwort dieser Zone. Ein Policy-Eintrag, der einen ganzen Adressbereich abdeckt, sieht deshalb genauso aus wie ein Eintrag wegen Spam-Versand — beide sind kritisch. Frage die Adresse beim Betreiber ab, um sie zu unterscheiden.
• Eine einzelne fehlschlagende Zone ändert das Ergebnis nicht. Der Check meldet eine fehlgeschlagene Abfrage nur dann, wenn jede Zone für diese Adresse fehlgeschlagen ist.
• Leere Einträge in beiden Listen werden ignoriert, und führende sowie folgende Leerzeichen und ein Punkt am Ende eines Zonennamens werden vor der Abfrage entfernt.
• Diesen Check breit zuzuweisen vervielfacht dein Abfragevolumen bei den Betreibern und kann dich über deren Freinutzungsgrenzen bringen. Eine Zuweisung pro Standort, auf einem Gerät mit passendem Resolver, genügt normalerweise — rolle ihn so über ein Konfigurationspaket aus, statt ihn jedem Gerät hinzuzufügen.
• Der Check stellt ausschließlich ausgehende DNS-Anfragen. Er braucht keine Zugangsdaten und keinen Zugriff auf den Mailserver.

Siehe auch: Checks · Checks mit Konfigurationspaketen zuweisen