centOS sendmail에서 gmail로 발송이 안됨. 8

다시 

대량메일 발신자 가이드라인

https://support.google.com/mail/answer/81126?hl=ko 

Gmail에서 스팸 발송자로 분류되지 않으려면 다음을 따르세요.

• 단체메일을 보낼 때 일관된 IP 주소를 사용하세요.
• 메일을 보내는 IP 주소와 관련해, 도메인을 가리키는 유효한 역방향 DNS 기록을 보관해 두세요.
• 모든 단체메일의 '보낸사람:' 헤더에 동일한 주소를 사용하세요.

또한 Google은 다음을 권장합니다.

• 메일을 DKIM으로 서명하세요. Google은 1024비트 미만의 키로 서명된 메일을 인증하지 않습니다.
• SPF 레코드를 게시합니다.
• DMARC 정책을 게시합니다.

Gmail이 내 메일을 차단하는 이유

https://support.google.com/mail/answer/188131?p=UnsolicitedMessageError&visit_id=1-636196930738109362-3924832081&rd=1

Gmail로 메일을 전달하는 권장 방법

https://support.google.com/mail/answer/175365?hl=ko

인증

메일 헤더를 수정, 삭제 또는 섞거나 메일 본문을 수정하지 마세요. DKIM 또는 DomainKeys 서명은 본문이 변경되면 파기되며 모든 인증 정보가 손실됩니다.

일반적인 DKIM 파기에는 MIME 경계 수정, 메일의 본문을 변경하는 바이러스 백신 또는 스팸 방지 프로그램, LDAP를 이용한 메일 수신자 확대, 메일 다시 인코딩 등이 포함됩니다.

피싱이 심한 일부 도메인에서는 메일에 엄격한 승인 절차를 적용할 것을 Google에 요청하기도 했습니다. 이러한 도메인에는 eBay, Paypal, Google 등이 포함됩니다. 메일 서버가 이 도메인에서 전달된 메일을 수정하면, 메일이 피싱으로 표시됩니다.

이러한 문제를 보여주는 한 가지 경우는, 사용자 메일 서버를 통해 이러한 도메인에서 Gmail로 전달된 메일에는 DKIM이 통과하지 못했음을 보여주는 승인 결과 헤더가 있는데, Gmail로 직접 보낸 메일에는 통과 서명이 있다는 점입니다.

대량메일 발신자 가이드라인에 보면 이런 부분이 있다.

1. 메일을 DKIM으로 서명하세요. Google은 1024비트 미만의 키로 서명된 메일을 인증하지 않습니다.

2. SPF 레코드를 게시합니다.

3. DMARC 정책을 게시합니다.

DKIM 은 계속 만들고 있는데.. 전혀 인증이 안되고 있다.

SPF 레코드는 https://www.kisarbl.or.kr/ 여기보고 했는데 SPF작성후 하루가 지나고 확인해 봤는데

# nslookup

# server 1.2.3.4 (DNS 서버명 또는 DNS IP 입력)

Default Server: 

Address: 1.2.3.4

# set type=txt (DNS record type 지정)

# kisarbl.or.kr (조회하려는 도메인 입력)

Server: 

Address: 1.2.3.4

Non-authoritative answer:

kisarbl.or.kr   text = "v=spf1 ip4:10.0.0.4 ~all"   (SPF 레코드 등록 정보) 

# kisarbl.or.kr (조회하려는 도메인 입력) -> 이 부분을 실행하면 

;; connection timed out; trying next origin

;; connection timed out; no servers could be reached

라고 나온다 

http://goshop2.tistory.com/entry/%EB%84%A4%EC%9E%84%EC%84%9C%EB%B2%84-%EC%84%A4%EC%B9%98%ED%9B%84-nslookup-%EC%9D%B4-%EC%95%88%EB%90%98%EB%8A%94-%EA%B2%BD%EC%9A%B0-DNS%EC%84%9C%EB%B2%84%EC%84%A4%EC%A0%95%ED%95%98%EA%B8%B0

여기를 보면 

먼저 네임서버 초간단 설치방법

yum 이용하여 설치.

네임서버 재시작

53번 포트 열려있나 확인 이렇게 나와있음

근데 아무리 해도 53번 포트가 안열림. ( netstat -nap | grep 53          netstat -anp | grep LISTEN | grep :53  )

그럼 문제는 

1. 53번 포트가 안열리고

2. 네이버로 메일을 보낸 후 원본 보기를 하면  SPF = PASS라고 나오는데 왜 

;; connection timed out; trying next origin

;; connection timed out; no servers could be reached 이렇게 나오는지 다시 확인해야 하고..

3. DKIM 가 문제가 있는 것 같다. 

다시.

---

20170112

http://kmj1107.tistory.com/225

http://brsoo.tistory.com/5

DKIM 를 다시 해봤는데 역시 메일이 가지 않았다.

도대체 어디가 문제인지 찾다가 발견한 곳..

http://dkimcore.org/tools/

Check a published DKIM Core Key 여기에서 문제가 있다고 나왔는데

Selector 값은 

dkim 키생성할 때 

# opendkim-genkey -D /etc/opendkim/keys/mydomain.co.kr -d mydomain.co.kr -s selector

selector 이부분이 아닐까 생각된다..

나의 경우는 default

No TXT record for default._domainkey.도메인명

A public-key (p=) is required

A public-key (p=) is required 이게 뭐지.. 공개키 있는데.. 

음.. 아닌가.. selector가 뭐지

https://talk.plesk.com/threads/ppp-26713-dkim-after-migration.339630/

your settings and configuration seem to be correct and as you stated before, you already switched off DKIM - signing for your mail - server globally and switched it back on again. The only possible answer now can be, that you upgraded Plesk Onyx from a previous Plesk version ( now OpenDKIM has been replaced with DKIM ) and Plesk DNS didn't change the public key correctly but Plesk created a new private key for DKIM, wich will not match the existent public key.

I would suggest to

1. Switch off the DKIM - signing - feature for the specific domain at:

a. Home > Subscriptions > example-domain.com > Websites & Domains > ( tab) Mail > ( tab ) Mail settings

Check the desired domain and click on the button "Activate/Deactivate Services". It opens a popup - window, where you could choose: DKIM spam protection system to sign outgoing email messages > Drop-down menu > Disable​

or

b. Home > Subscriptions > uwefilthaut.de > Websites & Domains > (tab ) Mail Settings

( checkbox ) Use DKIM spam protection system to sign outgoing email messages​

2. Check that the depending DNS - entries have been removed at:

Home > Subscriptions > example-domain.com > Websites & Domains > DNS Settings​

3. Check that the record for your "default._domainkey" has changed to a non-existent entry ( this could take some time, untill all worldwide DNS - servers are synched - up to 24-48 hours ) at for example => "http://dkimcore.org/tools/" <=​

=> Check a published DKIM Core Key => Selector: default => Domain name: example-domain.com
​

4. Re-enable DKIM - signing ( see step 1. and enable now instead of disabling ), when you verified that there is no previous DNS record for "default._domainkey"

5. Check that the depending DNS - entries are created ( see step 2. )

6. Check that the NEW record is now available and correct ( see step 3. )

7. Send a Test - eMail from an eMail - account of "example-domain.com" to an external eMail - account of your choice ( see for example => http://dkimvalidator.com/ <= )

8. Check the results and pls report back. ​

http://kb.kerio.com/product/kerio-connect/server-configuration/security/configuring-dns-for-dkim-1483.html

Record name (or selector)... 

---

https://gaiaes.com/article/domainkeys-identified-mail-dkim-and-postfix-header-checks

KEY TEST방법이라고 한다.

opendkim-testkey -d example.com -s dkim -v -v -v

실행해보니. 

opendkim-testkey: using default configfile /etc/opendkim.conf

opendkim-testkey: /etc/opendkim/keys/default.private: stat(): No such file or directory

이렇게 나왔다. 우선 보이는 건 /etc/opendkim/keys/default.private 이 위치가 아닌데 명령어가 잘못된 건가?

이곳도 테스트를 할 수 있는 페이지 같다.

https://www.mail-tester.com/spf-dkim-check

We were not able to retrieve the key length, there is maybe an issue in that key

두곳을 보니 키에 문제가있는 것이 맞는 것 같다 . 

DKIM설정 다시 해보자.

이미 설치 된 것을 다 지우고 하고 싶은데.. 그건 어려울 것 같다.. 

opendkim설치하면 /etc/opendkim 이 위치에 만들어짐

그다음 DKIM 키를 생성한다.

 mkdir -p /etc/opendkim/keys/soft.com

~]# cd /etc/opendkim/keys/soft.com

===================================================> ok 폴더 생성됨

그다음 DKIM 키를 생성한다.

~]# /usr/sbin/opendkim-genkey -D /etc/opendkim/keys/soft.com -d soft.com -s default

===================================================> ok   키 생성됨

~]# chown -R root.opendkim /etc/opendkim/keys/soft.com

~]# chmod 640 /etc/opendkim/keys/soft.com/default.private

~]# chmod 644 /etc/opendkim/keys/soft.com/default.txt

===================================================> ok

/etc/opendkim.conf 파일에서 KeyTable, SigningTable, ExternalIgnoreList, InternalHosts 주석을 해제 한다.

/etc/opendkim.conf

KeyTable           /etc/opendkim/KeyTable

SigningTable       refile:/etc/opendkim/SigningTable

ExternalIgnoreList refile:/etc/opendkim/TrustedHosts

InternalHosts      refile:/etc/opendkim/TrustedHosts

* 발견 /etc/opendkim.conf  에 

Selector default 라는 부분이 있음

* KeyFile /etc/opendkim/keys/default.private 라는 부분이 있는데

KeyFile /etc/opendkim/keys/soft.com/default.private 로 변경해야 하는것 아닐까?

변경한 것으로 서버에 올림

* /etc/opendkim.conf 발견 

#UserID opendkim:opendkim

UserID root:opendkim

변경한 것으로 서버에 올림

이후 생성한 DKIM 정보를 아래 파일들에 삽입해야 한다 ‘ㅅ’a

/etc/opendkim/KeyTable (키테이블이 사용할 DKIM key를 선언.)

/etc/opendkim/KeyTable

default._domainkey.enteroa.kr enteroa.kr:default:/etc/opendkim/keys/enteroa.kr/default.private

=>default._domainkey.soft.com soft.com:default:/etc/opendkim/keys/soft.com/default.private

/etc/opendkim/SigningTable (사용할 메일주소와 키테이블을 매칭한다.)

/etc/opendkim/SigningTable

enteroa@enteroa.kr default._domainkey.enteroa.kr

from.site@enteroa.kr default._domainkey.enteroa.kr

=====>*@soft.com default._domainkey.soft.com

아래 명령어로 생성된 DKIM 값을 발췌해서.

~]# cat /etc/opendkim/keys/soft.com/default.txt

default._domainkey      IN      TXT     ( "v=DKIM1; k=rsa; "

          "p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDj0y2e92Mkp4f1DBvBOQXgG"

DNS 서버의 zone 파일에서 아래와 같이 TXT 값을 삽입한다. – 괄호랑 주석은 제거한다. ‘ㅅ’a

@     IN      TXT     "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCc4I5m8X9EQuHdvs2cxA2OeFs1Bn9E5t5rP8m/bK/jwToHEH8cmNeOjpu+r3fRF9bcoTvrW9RPHZ7uPn+phbAX3QQcKMmh2RHQeLZHEPqYdG8YF0jYn3yT83Yx0lQIY48nhakDX1R5uaSNEeSTUynsxAcYOaxg27R3tcllPwiHJwIDAQAB"

 

===> 

@ IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDj0y2e92Mkp4f1DBvBOQXgG"

그후 서비스 시작 및 init.d에 등록.

~]# /etc/init.d/opendkim start

~]# chkconfig --level 2345 opendkim on

이건 생략 

자 이제 sendmail 에 open-DKIM 연결고리만 만들어 주면 된다 ‘ㅅ’b

/etc/mail/sendmail.mc 파일에 아래와 같은 내용을 삽입한다.

/etc/mail/sendmail.mc

INPUT_MAIL_FILTER(`opendkim', `S=inet:8891@127.0.0.1')dnl

그후에 적용 및 sendmail 재시작.

이것도 생략

그후에 적용 및 sendmail 재시작.

~]# cd /etc/mail

~]# make 혹은 m4 /etc/mail/sendmail.mc > /etc/mail/sendmail.cf

 

~]# service sendmail restart

=====>m4 /etc/mail/sendmail.mc > /etc/mail/sendmail.cf

server opendkim stop

server opendkim start

이것도 해줌.

opendkim-testkey -d example.com -s dkim -v -v -v 이걸 다시 해보니

opendkim-testkey: using default configfile /etc/opendkim.conf

opendkim-testkey: /etc/opendkim/keys/soft.com/default.private: WARNING: unsafe permissions

opendkim-testkey: key loaded from /etc/opendkim/keys/soft.com/default.private

opendkim-testkey: checking key 'dkim._domainkey.soft.com'

opendkim-testkey: 'dkim._domainkey.soft.com' reply was unresolved CNAME

여전히 문제가 있는 것 같지만 ..일단 문구가 달라짐

opendkim-testkey: using default configfile /etc/opendkim.conf

opendkim-testkey: checking key 'dkim._domainkey.example.com

opendkim-testkey: key OK

이렇게 나와야 성공이라고 한다.

The keys can be tested using

opendkim-testkey -d example.com -s dkim -v -v -v

which should have an output similar to

opendkim-testkey: using default configfile /etc/opendkim.conf
opendkim-testkey: checking key 'dkim._domainkey.example.com
opendkim-testkey: key OK

If you get a message that the key is not secure then this probably can be fixed by checking file and directory permissions.

Send an email to another account and check the headers for the DKIM signature. This is where things went awry. Sometimes the emails are signed and sometimes not. It almost seemed random. Also, an error consistently showed up.

Authentication-Results:mail.example.com; dkim=permerror (bad message/signature format)

Several days of changing settings, reading manpages and searching the internet went nowhere. The log files seemed to be missing anything indicating success but also nothing that jumped out. Finally the somewhat obscure message was found amongst all the messages:

mail opendkim[24436]: 733502C67C: can't determine message sender; accepting

Searching on this message I came across Postfix opendkim and missing From header. Another person that had sunk several days into figuring out this problem. Removing unnecessary headers can avoid exposing information and protect privacy but breaks DKIM. Looking in /etc/postfix/main.cf

# Getting rid of unwanted headers. See: https://posluns.com/guides/header-removal/
header_checks = regexp:/etc/postfix/header_checks

Comment out the header_checks or look in /etc/postfix/header_checks for a line like

/^Received:/                 IGNORE

and remove it. It is also possible to use a REPLACE instead of IGNORE instead of removing the line but that will not be covered here.

Restart Postfix and try to send another email. Now the mail log shows

mail opendkim[24436]: CE46C2C67C: DKIM-Signature field added (s=dkim, d=example.com)

The signature appears in the email and we finally get

Authentication-Results: mail.example.com (amavisd-new);
    dkim=pass (1024-bit key) header.d=example.com

It seems that the issue with header_checks would be fairly common and many people as a result have either spent a great deal of time or given up installing DKIM.

Now that our email looks okay we can perform an additional check of both DKIM and Sender Policy Framework (SPF) by sending an email to check-auth@verifier.port25.com. A reply should be received back with the results of the test.

검색어 : unsafe permissions key loaded from /etc/opendkim/keys/default.private

안전하지 않은 권한 키가 뭘까..

지금까지 나온 opendkim의 문제점

- 공개키가 필요하다

- 키의 길이를 알 수 없다

- 안전하지 않은 키다.

zone파일에 @(at sign)가 무슨 뜻인가했더니 바로가기?같은 의미인것 같다.

@ = 도메인 ..? 

---

지금 로그 보다가 발견 한건데.. 

내가 콘솔창에서 테스트 한 것 말고 릴레이스팸..?거기에는 오늘 날짜부터 DKIM-Signature가 있다.

그러면.. 보내는 방법의 문제인가? 

또,릴레이 스팸인지 스팸릴레이인지는 인터넷에 나와있는대로 따로한 후에

 http://www.mailradar.com/openrelay/ 여기에서 테스트를 했는데 문제가 없다고 했다. 

( All tested completed! No relays accepted by remote host! )

근데..가는 시늉..?은 계속 하는게 괜찮은 건가.. 왜 릴레이 스팸에만 DKIM-Signature가 붙나..

20170113

지메일때문에 일주일넘게 붙잡고 있다. 

내 생각에 문제점은 domain.zone파일에서 공개키를 인식을 못한다..

이것 해결하고.. 메일가나 보자..