Rspamd DNS Sicherung - Versionsgeschichte

Thomas.will: Die Seite wurde geleert.

2026-03-18T18:56:41Z

Die Seite wurde geleert.

Thomas.will am 18. März 2026 um 18:54 Uhr

2026-03-18T18:54:38Z

Thomas.will am 18. März 2026 um 18:53 Uhr

2026-03-18T18:53:11Z

Thomas.will am 18. März 2026 um 18:48 Uhr

2026-03-18T18:48:51Z

Thomas.will: Die Seite wurde neu angelegt: „== Identitätsprüfung und DNS-Eigensicherung am Beispiel it213.int == In der Umgebung it213.int ist die korrekte DNS-Konfiguration Voraussetzung für den Mai…“

2026-03-18T18:46:10Z

Die Seite wurde neu angelegt: „== Identitätsprüfung und DNS-Eigensicherung am Beispiel it213.int == In der Umgebung it213.int ist die korrekte DNS-Konfiguration Voraussetzung für den Mai…“

Neue Seite

== Identitätsprüfung und DNS-Eigensicherung am Beispiel it213.int ==

In der Umgebung it213.int ist die korrekte DNS-Konfiguration Voraussetzung für den Mail-Empfang. Die Verantwortung für die SPF-Einträge liegt vollständig beim Administrator der jeweiligen Zone.

=== Manuelle Erstellung der SPF-Einträge für it213.int ===

Der Teilnehmer muss in seiner Zone einen TXT-Record anlegen, der den Host mail.it213.int legitimiert. Ohne diesen Eintrag wird Rspamd jede Mail dieser Domain mit einem Malus-Score belegen.

# Ziel: Festlegen, dass nur der eigene Mailserver für @it213.int senden darf.
# Server-FQDN: mail.it213.int
# Eintragstyp: TXT-Record
# Inhalt: v=spf1 mx -all

Durch den Parameter 'mx' im SPF-Eintrag erlaubt der Administrator automatisch allen Hosts, die als MX-Record für it213.int eingetragen sind, den Mailversand.

=== Validierung der Teilnehmer-Einträge im Terminal ===

Nachdem der Eintrag in der Zone it213.int publiziert wurde, muss die Korrektheit geprüft werden. Rspamd verlässt sich auf die externe Auflösung; ist der DNS-Eintrag fehlerhaft oder fehlt die DNSSEC-Signatur, schlägt die Validierung fehl.

# Abfrage des SPF-Eintrags für die Domäne:
* dig it213.int TXT

# Abfrage des MX-Records (Zielhost für SPF):
* dig it213.int MX

=== Überprüfung der DNSSEC-Kette für mail.it213.int ===

Da die Zone it213.int DNSSEC-geschützt ist, prüft Rspamd nicht nur den Inhalt des Records, sondern auch dessen digitale Integrität. Ein fehlerhafter DNSSEC-Status führt zur Einstufung als Spam, da die Identität des Absenders als manipuliert gilt.

# Prüfung des DNSSEC-Status der Zone:
* delv @localhost it213.int TXT

=== Analyse der Ergebnisse in der Rspamd-Oberfläche ===

Sobald Mails von mail.it213.int versendet werden, wertet der empfangende Rspamd-Dienst die manuell gesetzten Einträge aus. In der Historie (Port 11334) müssen folgende Symbole erscheinen:

* '''R_SPF_ALLOW:''' Der SPF-Eintrag für it213.int wurde korrekt aufgelöst und die IP passt zum MX.
* '''R_SPF_FAIL:''' Der Eintrag fehlt in der Zone it213.int oder die IP des Servers mail.it213.int ist nicht autorisiert.
* '''DNSSEC_BOUND:''' Die DNS-Antwort wurde erfolgreich kryptografisch verifiziert.

== Fazit zur Eigenverwaltung ==

;Eigenleistung: Der Filter von it213.int funktioniert nur so gut, wie der Administrator seine DNS-Zone pflegt.
;Konsequenz: Ein fehlender SPF-Eintrag für it213.int führt zwangsläufig zu einem höheren Score bei allen anderen Teilnehmern (it201 bis it212).
;Kontrolle: Der Teilnehmer nutzt das Rspamd-Webinterface, um die Auswirkungen seiner DNS-Konfiguration auf das globale Scoring zu überwachen.

← Nächstältere Version		Version vom 18. März 2026, 18:56 Uhr
Zeile 1:		Zeile 1:
−	~~== Identitätsprüfung durch DNS-Validierung ==~~

−	~~Die Sicherheit des Mail-Systems it213.int basiert auf der Verifikation der Absenderidentität. Rspamd nutzt hierfür die DNS-Infrastruktur, um zu prüfen, ob ein sendender Server autorisiert ist.~~
−
−	~~=== DNS-Grundlage in der Zone it213.int ===~~
−
−	~~Damit andere Server die Mails von mail.it213.int akzeptieren, muss der Administrator eine eindeutige Vollmacht im DNS publizieren. Ohne diesen Eintrag bleibt jede Prüfung durch Rspamd ergebnislos.~~
−
−	~~Eintrag in der Zonendatei (it213.int):~~
−	~~<pre>~~
−	~~it213.int. IN TXT "v=spf1 mx -all"~~
−	~~</pre>~~
−
−	~~Bedeutung für den Filter:~~
−	* mx: Alle Server, die als MX für it213.int im DNS stehen (mail.it213.int), sind vertrauenswürdig.
−	* -all: Jeder andere Server, der behauptet für it213.int zu senden, wird als Fälscher eingestuft.
−
−
−
−	~~=== Rspamd-Konfiguration zur Validierung ===~~
−
−	~~Die reine Existenz des DNS-Eintrags schützt noch nicht. Rspamd muss aktiv angewiesen werden, diese Daten bei jeder eingehenden Mail abzufragen und zu bewerten.~~
−
−	~~==== Aktivierung des SPF-Moduls ====~~
−
−	~~Datei: /etc/rspamd/local.d/spf.conf~~
−	~~<pre>~~
−	~~enabled = true;~~
−	~~ignore_hosts = "127.0.0.1, 192.168.0.0/16";~~
−	~~</pre>~~
−
−	~~==== Definition der Bewertung ====~~
−
−	~~Hier wandelt Rspamd das DNS-Ergebnis in eine mathematische Entscheidung (Scoring) um. Diese Werte bestimmen, ob eine Mail später im Junk-Ordner landet.~~
−
−	~~Datei: /etc/rspamd/local.d/scores.inc~~
−	~~<pre>~~
−	~~symbols {~~
−	~~"R_SPF_ALLOW" {~~
−	~~score = -1.0;~~
−	~~description = "DNS-Identität bestätigt (Bonus)";~~
−	}
−	~~"R_SPF_FAIL" {~~
−	~~score = 3.5;~~
−	~~description = "Identitätsfälschung erkannt (Malus)";~~
−	}
−	}
−	~~</pre>~~
−
−	~~=== Operativer Datenfluss ===~~
−
−	~~Der Prozess der Identitätsprüfung folgt einer festen Kette, die im Rspamd-Log kontrolliert werden kann:~~
−
−	* Anfrage: Ein fremder Server liefert eine Mail für @it213.int ein.
−	* DNS-Check: Rspamd sendet eine Query an den Nameserver von it213.int und fragt den TXT-Record ab.
−	* Abgleich: Rspamd vergleicht die IP des Senders mit dem 'mx' aus dem SPF-Eintrag.
−	* Resultat: Bei einer Diskrepanz setzt Rspamd das Symbol R_SPF_FAIL.
−
−	~~=== Verifikation im Live-System ===~~
−
−	~~Die Teilnehmer prüfen die Wirksamkeit ihrer DNS- und Rspamd-Konfiguration durch die Analyse der Header einer empfangenen Mail oder direkt im Log:~~
−
−	* Befehl: journalctl -u rspamd -f \| grep "SPF"
−
−
−
−	~~== Fazit zur Identitätsprüfung ==~~
−
−	~~;DNS-Pflicht: Ohne den TXT-Eintrag in der Zone it213.int gibt es keine Vertrauensgrundlage.~~
−	~~;Rspamd-Pflicht: Ohne die Konfiguration in der spf.conf bleibt der DNS-Eintrag ohne Auswirkung auf den Spam-Filter.~~
−	~~;Sicherheit: Erst die Kopplung beider Systeme ermöglicht ein automatisiertes Reject bei Identitätsdiebstahl.~~

@@ Zeile 3: / Zeile 3: @@
 Die Sicherheit des Mail-Systems it213.int basiert auf der Verifikation der Absenderidentität. Rspamd nutzt hierfür die DNS-Infrastruktur, um zu prüfen, ob ein sendender Server autorisiert ist.
-=== Die DNS-Grundlage in der Zone it213.int ===
+=== DNS-Grundlage in der Zone it213.int ===
-Damit andere Server (it201 bis it212) die Mails von mail.it213.int akzeptieren, muss der Administrator eine eindeutige Vollmacht im DNS publizieren. Ohne diesen Eintrag bleibt jede Prüfung durch Rspamd ergebnislos.
+Damit andere Server die Mails von mail.it213.int akzeptieren, muss der Administrator eine eindeutige Vollmacht im DNS publizieren. Ohne diesen Eintrag bleibt jede Prüfung durch Rspamd ergebnislos.
-# Eintrag in der Zonendatei (it213.int):
+Eintrag in der Zonendatei (it213.int):
 <pre>
 it213.int.   IN   TXT   "v=spf1 mx -all"
 </pre>
-# Bedeutung für den Filter:
+Bedeutung für den Filter:
-* '''mx:''' Alle Server, die als MX für it213.int im DNS stehen (mail.it213.int), sind vertrauenswürdig.
+* mx: Alle Server, die als MX für it213.int im DNS stehen (mail.it213.int), sind vertrauenswürdig.
-* '''-all:''' Jeder andere Server, der behauptet für it213.int zu senden, ist ein Fälscher.
+* -all: Jeder andere Server, der behauptet für it213.int zu senden, wird als Fälscher eingestuft.
-=== Die Rspamd-Konfiguration zur Validierung ===
+=== Rspamd-Konfiguration zur Validierung ===
 Die reine Existenz des DNS-Eintrags schützt noch nicht. Rspamd muss aktiv angewiesen werden, diese Daten bei jeder eingehenden Mail abzufragen und zu bewerten.
 ==== Aktivierung des SPF-Moduls ====
 Datei: /etc/rspamd/local.d/spf.conf
 <pre>
 enabled = true;
 ignore_hosts = "127.0.0.1, 192.168.0.0/16";
 </pre>
-==== Definition der Bewertung (Scoring) ====
+==== Definition der Bewertung ====
 Hier wandelt Rspamd das DNS-Ergebnis in eine mathematische Entscheidung um. Diese Werte bestimmen, ob eine Mail später im Junk-Ordner landet.
 Datei: /etc/rspamd/local.d/scores.inc
@@ Zeile 48: / Zeile 48: @@
 </pre>
-=== Der operative Datenfluss ===
+=== Operativer Datenfluss ===
-Der Prozess der Identitätsprüfung folgt einer festen Kette, die im Rspamd-Log (Journal) kontrolliert werden kann:
+Der Prozess der Identitätsprüfung folgt einer festen Kette, die im Rspamd-Log kontrolliert werden kann:
-# '''Anfrage:''' Ein fremder Server liefert eine Mail für @it213.int ein.
+* Anfrage: Ein fremder Server liefert eine Mail für @it213.int ein.
-# '''DNS-Check:''' Rspamd sendet eine Query an den Nameserver von it213.int und fragt den TXT-Record ab.
+* DNS-Check: Rspamd sendet eine Query an den Nameserver von it213.int und fragt den TXT-Record ab.
-# '''Abgleich:''' Rspamd vergleicht die IP des Senders mit dem 'mx' aus dem SPF-Eintrag.
+* Abgleich: Rspamd vergleicht die IP des Senders mit dem 'mx' aus dem SPF-Eintrag.
-# '''Resultat:''' Bei einer Diskrepanz setzt Rspamd das Symbol '''R_SPF_FAIL'''.
+* Resultat: Bei einer Diskrepanz setzt Rspamd das Symbol R_SPF_FAIL.
 === Verifikation im Live-System ===
@@ Zeile 68: / Zeile 68: @@
 ;DNS-Pflicht: Ohne den TXT-Eintrag in der Zone it213.int gibt es keine Vertrauensgrundlage.
-;Rspamd-Pflicht: Ohne die Konfiguration in spf.conf und scores.inc bleibt der DNS-Eintrag eine parataktische Information ohne Auswirkung auf den Spam-Filter.
+;Rspamd-Pflicht: Ohne die Konfiguration in der spf.conf bleibt der DNS-Eintrag ohne Auswirkung auf den Spam-Filter.
 ;Sicherheit: Erst die Kopplung beider Systeme ermöglicht ein automatisiertes Reject bei Identitätsdiebstahl.

@@ Zeile 1: / Zeile 1: @@
-== DNS-Publikation des SPF-Eintrags für it213.int ==
+== Identitätsprüfung durch DNS-Validierung ==
-Damit Rspamd die Identität des Mailservers mail.it213.int verifizieren kann, muss der Administrator der Zone it213.int den folgenden Resource Record (RR) publizieren.
+Die Sicherheit des Mail-Systems it213.int basiert auf der Verifikation der Absenderidentität. Rspamd nutzt hierfür die DNS-Infrastruktur, um zu prüfen, ob ein sendender Server autorisiert ist.
-=== SPF-Eintrag in der Zonendatei ===
+=== Die DNS-Grundlage in der Zone it213.int ===
-Der Eintrag wird als TXT-Record direkt für die Hauptdomain hinterlegt.
+Damit andere Server (it201 bis it212) die Mails von mail.it213.int akzeptieren, muss der Administrator eine eindeutige Vollmacht im DNS publizieren. Ohne diesen Eintrag bleibt jede Prüfung durch Rspamd ergebnislos.
-Datei: /var/cache/bind/db.it213.int (Beispielhaft)
+# Eintrag in der Zonendatei (it213.int):
 <pre>
 it213.int.   IN   TXT   "v=spf1 mx -all"
 </pre>
-=== Bedeutung der Parameter ===
+# Bedeutung für den Filter:
-=== Verifikation nach der Publikation ===
+Die reine Existenz des DNS-Eintrags schützt noch nicht. Rspamd muss aktiv angewiesen werden, diese Daten bei jeder eingehenden Mail abzufragen und zu bewerten.
-Nach dem Reload des Nameservers muss der Eintrag von extern (z.B. durch Teilnehmer it201.int) abfragbar sein. Erst dann vergibt Rspamd ein positives Scoring.
+==== Aktivierung des SPF-Moduls ====
-# Abfrage durchführen:
+==== Definition der Bewertung (Scoring) ====
-* dig it213.int TXT
+Hier wandelt Rspamd das DNS-Ergebnis in eine mathematische Entscheidung um. Diese Werte bestimmen, ob eine Mail später im Junk-Ordner landet.
-# Erwartetes Ergebnis:
+Datei: /etc/rspamd/local.d/scores.inc
 <pre>
-;; ANSWER SECTION:
+symbols {
-it213.int.  3600  IN  TXT  "v=spf1 mx -all"
+    "R_SPF_ALLOW" {
 </pre>
-=== Der MX-Bezug ===
+=== Der operative Datenfluss ===
-== Fazit zur Identität ==
+== Fazit zur Identitätsprüfung ==
-;Autorisierung: Durch "v=spf1 mx -all" erklärt it213.int den Host mail.it213.int offiziell zum legitimen Absender.
+;DNS-Pflicht: Ohne den TXT-Eintrag in der Zone it213.int gibt es keine Vertrauensgrundlage.
-;Sicherheit: Fremde Server, die versuchen unter @it213.int zu senden, werden von Rspamd mit dem Symbol '''R_SPF_FAIL''' markiert.
+;Rspamd-Pflicht: Ohne die Konfiguration in spf.conf und scores.inc bleibt der DNS-Eintrag eine parataktische Information ohne Auswirkung auf den Spam-Filter.

@@ Zeile 1: / Zeile 1: @@
-== Identitätsprüfung und DNS-Eigensicherung am Beispiel it213.int ==
+== DNS-Publikation des SPF-Eintrags für it213.int ==
-In der Umgebung it213.int ist die korrekte DNS-Konfiguration Voraussetzung für den Mail-Empfang. Die Verantwortung für die SPF-Einträge liegt vollständig beim Administrator der jeweiligen Zone.
+Damit Rspamd die Identität des Mailservers mail.it213.int verifizieren kann, muss der Administrator der Zone it213.int den folgenden Resource Record (RR) publizieren.
-=== Manuelle Erstellung der SPF-Einträge für it213.int ===
+=== SPF-Eintrag in der Zonendatei ===
-Der Teilnehmer muss in seiner Zone einen TXT-Record anlegen, der den Host mail.it213.int legitimiert. Ohne diesen Eintrag wird Rspamd jede Mail dieser Domain mit einem Malus-Score belegen.
+Der Eintrag wird als TXT-Record direkt für die Hauptdomain hinterlegt.
-# Ziel: Festlegen, dass nur der eigene Mailserver für @it213.int senden darf.
+Datei: /var/cache/bind/db.it213.int (Beispielhaft)
-# Server-FQDN: mail.it213.int
+<pre>
-# Eintragstyp: TXT-Record
+it213.int.   IN   TXT   "v=spf1 mx -all"
-# Inhalt: v=spf1 mx -all
+</pre>
-Durch den Parameter 'mx' im SPF-Eintrag erlaubt der Administrator automatisch allen Hosts, die als MX-Record für it213.int eingetragen sind, den Mailversand.
+=== Bedeutung der Parameter ===
-=== Validierung der Teilnehmer-Einträge im Terminal ===
+;v=spf1: Identifiziert den Record als SPF-Version 1.
-# Abfrage des MX-Records (Zielhost für SPF):
+=== Verifikation nach der Publikation ===
-=== Überprüfung der DNSSEC-Kette für mail.it213.int ===
+# Erwartetes Ergebnis:
+<pre>
-Da die Zone it213.int DNSSEC-geschützt ist, prüft Rspamd nicht nur den Inhalt des Records, sondern auch dessen digitale Integrität. Ein fehlerhafter DNSSEC-Status führt zur Einstufung als Spam, da die Identität des Absenders als manipuliert gilt.
+;; ANSWER SECTION:
+it213.int.  3600  IN  TXT  "v=spf1 mx -all"
-# Prüfung des DNSSEC-Status der Zone:
+</pre>
-=== Analyse der Ergebnisse in der Rspamd-Oberfläche ===
+=== Der MX-Bezug ===
-Sobald Mails von mail.it213.int versendet werden, wertet der empfangende Rspamd-Dienst die manuell gesetzten Einträge aus. In der Historie (Port 11334) müssen folgende Symbole erscheinen:
+Damit das "mx" im SPF-Eintrag funktioniert, muss der Mailserver mail.it213.int zwingend als MX hinterlegt sein:
-* '''R_SPF_ALLOW:''' Der SPF-Eintrag für it213.int wurde korrekt aufgelöst und die IP passt zum MX.
+<pre>
-* '''R_SPF_FAIL:''' Der Eintrag fehlt in der Zone it213.int oder die IP des Servers mail.it213.int ist nicht autorisiert.
+it213.int.   IN   MX   10 mail.it213.int.
-* '''DNSSEC_BOUND:''' Die DNS-Antwort wurde erfolgreich kryptografisch verifiziert.
+mail.it213.int.  IN   A    <DEINE_IP>
-== Fazit zur Eigenverwaltung ==
+== Fazit zur Identität ==
-;Eigenleistung: Der Filter von it213.int funktioniert nur so gut, wie der Administrator seine DNS-Zone pflegt.
+;Autorisierung: Durch "v=spf1 mx -all" erklärt it213.int den Host mail.it213.int offiziell zum legitimen Absender.
-;Konsequenz: Ein fehlender SPF-Eintrag für it213.int führt zwangsläufig zu einem höheren Score bei allen anderen Teilnehmern (it201 bis it212).
+;Sicherheit: Fremde Server, die versuchen unter @it213.int zu senden, werden von Rspamd mit dem Symbol '''R_SPF_FAIL''' markiert.