185.107.80.191 staat op een blocklist.

https://mxtoolbox.com/SuperTool.aspx?action=blacklist%3a185.107.80.191&run=toolpage

Maar dat is niet het IP adres waarmee de emailserver de email verstuurt. Als de emailserver dit client IP WAN adres niet in de header had opgenomen (sommigen doen dat idd niet meer) was de email wel goed verstuurd. De VPN werd gebruikt om de email naar de emailserver te sturen (in naam van het verzendende email domein).

Mbt de blacklist: slechts 2 van de 82 hebben het geblacklist. De andere 80 dus niet. 

Checking 185.107.80.191 against 82 known blacklists... 

En dan de opmerking van DroneBL zelf: LET OP de datum: die is van juni 2020…  niet bepaald redelijk

A listing in DroneBL is NOT always related to spam. But in most cases because of an open proxy !!!

Lookup results for 185.107.80.191

There are listings for 185.107.80.191 in DroneBL. To get removed from our DNSBL, you will need to address all of these incident listings.

@ej5263 

Het probleem met een VPN is dat ook spammers email via een VPN versturen. Als jij dan ook email via dezelfde VPN verstuurt dan ziet het spamfilter van de KPN hetzelfde IP adres voor bij jouw email als bij de email van de spammer. En dan wordt de email geblokkeerd.

Als de email vanuit de client via de VPN naar andere mailservers gaat (dus direct, zonder een SMTP verzender er tussen) dan geef ik je  potentieel gelijk. Hoewel: het gebruik van een WAN IP adres van een client is eigenlijk vreemd: je wilt namelijk ALLEEN emails accepteren die via een SMTP verzender/server!! zijn verstuurd (ongeacht het IP adres van de mailclient). Dat moet het uitgangspunt zijn. Want waar de mailclient zich bevindt (kwa WAN IP adres): op school, in een internet cafe, als bezoeker, of thuis, etc etc) is niet relevant als de email netjes wordt verzonden met de SMTP server waar het e-mailadres bij hoort, en is versterkt met DKIM en SPF !!!! Het gebruik van het WAN IP adres van de emailclient is ‘van vroeger’ toen je nog zonder enige vorm van authenticatie emails kon versturen. Dan is dat WAN IP adres je enige aanknopingspunt. Maar vandaag de dag is dat onzin: je kijkt naar het IP adres van de SMTP server.

Als de VPN gewoon gebruikt wordt om de onveilige publieke WiFi (als voorbeeld) te beveiligen (zoals ‘common sense’ is vandaag de dag; zie ook https://veiliginternetten.nl/thema/mobiel/openbare-wifi-netwerken/hoe-maak-ik-veilig-gebruik-van-openbare-wifi/) EN de email tevens via een legitieme SMTP verzender wordt verstuurd, dan geef ik je geen gelijk. Dan is mijn bewering dat het zelfs volkomen onterecht is. Want de SMTP server die ik gebruik heeft een high-rating IP adres en doet aan authenticatie etc. en heeft DKIM en SPF records; emails worden ondertekend met de private key van de SMTP verzender. Let op: die SMTP verzender verstuurd zonder VPN de email naar de KPN SMTP server. Dus KPN negeert het feit dat een email afkomstig is van een betrouwbare SMTP verzender en email account dat conform DKIM en SPF is geconfigureerd. 

Mbt tot de afkeuring van de email verzending van emailclient via VPN naar de SMTP server van de afzender: KPN geeft niet aan de de DKIM niet klopt. Alleen maar dat het client IP niet goed zou zijn.

Maar de verzendende SMTP server geeft aan dat de client netjes is geauthenticeerd!

--

Remote-MTA: dns; mx.kpnmail.nl (195.121.65.158)
Diagnostic-Code: smtp; 550 5.7.1 Mail rejected. (in reply to EOD command)

Received: from s194.webhostingserver.nl (unknown 195.211.72.102]) by mailfilter04.webhostingserver.nl (Halon) with ESMTPSA
Received: from 185.107.80.191] (helo=smtpclient.apple) by s194.webhostingserver.nl with esmtpa (Exim 4.94.2)

--

Ter info

https://www.rfc-editor.org/rfc/rfc3848

The new keyword "ESMTPSA" indicates the use of ESMTP when both STARTTLS and SMTP AUTH are successfully negotiated (the combination of ESMTPS and ESMTPA).

The new keyword "ESMTPA" indicates the use of ESMTP when the SMTP AUTH 3] extension is also used and authentication is successfully achieved.

--

Dus waarom vertrouwd de KPN SMTP server de DKIM niet terwijl die wel klopt en de verzending netjes is beveiligd en geauthenticeerd? Allemaal redenen om het client WAN IP niet zo zwaar mee te laten tellen in de spam-rating als er andere criteria zijn die meer waarde in de schaal leggen.

En dan hebben we nog het punt (4) waarbij de client een trusted server is waar een mailinglist wordt gebruikt om emails te verzenden. Het client IP is toevallig 127.0.0.1  en wordt de email als SPAM aangerekend. Ook hier geldt: het IP adres van de SMTP server van de verzendende partij wordt netjes in de SPF records aangegeven en klopt.

Received: from mail.mdns.nl (mail.mdns.nl 109.237.220.95]) by mx.kpnmail.nl (Halon) with ESMTPS
Received: from mail.mdns.nl (localhost t127.0.0.1]) by mail.mdns.nl (8.14.4/8.14.4) with ESMTP id 22KDj1ST003639

Het SPF record geeft aan dat 109.237.220.95 een legitieme afzender is.

Dus waarom is de email dan ineens SPAM?

Wat is het domein van de verzender?

De domeinnaam van de verzender is evangeliegemeentesoest.nl

In de SPF records staat 

v=spf1 ip4:195.211.72.0/22 ip4:141.138.168.0/21 ip6:2a03:3c00:a001::/48 ip6:2a03:3c00:a002::/48 include:spf.mihos.net ~all

De mailinglijst gaat via de hosting provider mihos.net

127.0.0.1 is localhost. Iedere pc heeft dat adres. Dat zal op internet door een mailserver nooit gezien worden. Er zal echt sprake zijn van een ander adres.

Dat maakt niks uit. KPN implementeert die lijsten gewoon in hun systeem en gaat niet van elk afzonderlijk ip kijken hoe lang het al op die lijst staat.

@Nick83 Die 127.0.0.1 is wat in de emailheader staat. Het echte adres is natuurlijk 109.237.220.95; staat in de lijst received:

Received: from mail.mdns.nl (mail.mdns.nl n109.237.220.95]) by mx.kpnmail.nl (Halon) with ESMTPS
Received: from mail.mdns.nl (localhost o127.0.0.1]) by mail.mdns.nl (8.14.4/8.14.4) with ESMTP id 22KDj1ST003639

Deze mail komt bij de ontvanger in de spam map terecht?

@Nick83 Ja, die mail komt in de spambox van de ontvanger (met een KPN e-mailadres).

In de technische details bij nr 4 is onderstaande gegeven:

Received: from mail.mdns.nl (mail.mdns.nl n109.237.220.95])

by mx.kpnmail.nl (Halon) with ESMTPS

id f012a918-a853-11ec-8d20-005056994f4c;

Sun, 20 Mar 2022 14:45:00 +0100 (CET)

Received: from mail.mdns.nl (localhost s127.0.0.1])

by mail.mdns.nl (8.14.4/8.14.4) with ESMTP id 22KDj1ST003639

for <———@telfortglasvezel.nl>; Sun, 20 Mar 2022 14:45:02 +0100

De email komt in de spambox

Mogenlijk hebben dan gewoon veel mensen de mail van dit adres aangegeven als spam. En misschien word er ook veel mail verzonden naar adressen die inmiddels niet meer bestaan. Word het adressenbestand regelmatig opgeschoond? Worden adressen waar de mail niet gelezen word er na verloop van tijd van de mailinglist verwijderd? 

De lijst wordt netjes bijgehouden. De laatste tijd merken we dat mensen met een KPN e-mailadres geen mail meer ontvangen (komt ws in de spambox terecht, ws hebben de mensen nog een POP account en zien de spambox folder niet).

Maar feit blijft dat het lange tijd wel goed ging maar de afgelopen tijd mensen met een KPN e-mailadres dus de emails niet meer ontvangen of in de gewone inbox zien.

Welke smtp server gebruik je om mails te versturen?

Is er een dkim record vastgelegd voor jouw domein met de selector behorende bij die mailserver.

Voorbeeld van het dkim record voor mijn wjb4all.nl domein die mail verstuurt via de mailserver van KPN:

Voor de email hosting (bij Antagonist):

whs1._domainkey.evangeliegemeentesoest.nl. 86400 IN CNAME 4bkvdk27khaxz2fuv46c6uzabu.whs1.dkim.webhostingserver.nl.

whs2._domainkey.evangeliegemeentesoest.nl. 86400 IN CNAME 4bkvdk27khaxz2fuv46c6uzabu.whs2.dkim.webhostingserver.nl.

whs3._domainkey.evangeliegemeentesoest.nl. 86400 IN CNAME 4bkvdk27khaxz2fuv46c6uzabu.whs3.dkim.webhostingserver.nl.

Voor de verzending van de mailinglijst wordt een andere provider gebruikt; die heeft geen DKIM.

We hebben voor zowel Antagonist als mailinglijst service een SPF record:

v=spf1 ip4:195.211.72.0/22 ip4:141.138.168.0/21 ip6:2a03:3c00:a001::/48 ip6:2a03:3c00:a002::/48 include:spf.mihos.net ~all

Er is een dkim record vastgelegd voor whs1…

...maar zo te zien niet voor whs2 en whs3.

Mailen via 185.107.80.191 is inderdaad niet toegestaan immers deze mailserver is niet opgenomen in het spf record voor evangeliegemeentesoest.nl. 

Het IP adres 185.107.80.191 is niet van een mailserver. Het is het WAN IP adres van de client.

Het WAN IP adres van een mailclient is uiteraard nooit hetzelfde als het IP adres van de mailserver.

Email versturing met Antagonist SMTP server 195.211.72.102:

Received: from s194.webhostingserver.nl (unknown 195.211.72.102]) by mailfilter04.webhostingserver.nl (Halon) with ESMTPSA
Received: from m185.107.80.191] (helo=smtpclient.apple) by s194.webhostingserver.nl with esmtpa (Exim 4.94.2)

Email versturing met mailinglijst SMTP server 109.237.220.95:

Received: from mail.mdns.nl (mail.mdns.nl .109.237.220.95]) by mx.kpnmail.nl (Halon) with ESMTPS
Received: from mail.mdns.nl (localhost h127.0.0.1]) by mail.mdns.nl (8.14.4/8.14.4) with ESMTP id 22KDj1ST003639

Beide IP adressen van de SMTP server staan in de SPF records:

Resultaat van een SPF check:

<start resultaat>

DNS record 1 lookups + 0 additional lookup

v=spf1 ip4:195.211.72.0/22 ip4:141.138.168.0/21 ip6:2a03:3c00:a001::/48 ip6:2a03:3c00:a002::/48 include:spf.mihos.net -all

IP

195.211.72.0/22  ( = 195.211.72.0 - 195.211.75.255)

141.138.168.0/21

2a03:3c00:a001::/48

2a03:3c00:a002::/48

Include

spf.mihos.net

We did not find problems with your SPF record.

DNS record

v=spf1 ip4:109.237.208.0/20 ip4:31.24.160.0/21 ~all

IP

109.237.208.0/20 ( = 109.237.208.0 - 109.237.223.255)

31.24.160.0/21

<einde resultaat>

Het client (WAN) IP adres van de mailclient (niet te verwarren met het IP adres van de SMTP server) staat uiteraard NOOIT (!) in het SPF record.

Ik dacht dat je hier wellicht een eigen smtp server op draaide.

@Dennis ABD, Klopt het dat de spamfilter controleert op het source IP adres vanwaar een mail verstuurd is en dat de mail als spam betiteld wordt als dit IP adres in blocklist zoals DroneBL of Spamhaus ZEN opgenomen is.

Ja en nee. Er word *geen* blacklist check gedaan op voorliggende IP's (ie. IP's welke de mail niet aanbieden aan ons mailplatform). De daaropvolgende spamfiltering neemt IP reputatie van alle IP's uiteraard wel mee. Spamfiltering kijkt immers naar het totale bericht, dus ook zulke zaken.

Edit: Er word hier overigens niet naar publieke blacklists gekeken (hoewel dit wel een indicatie kan zijn). Onze leverancier heeft een eigen manier om reputatie te checken gebaseerd op rapporten (spam/geen spam) en spamtrap hits.

Dank je voor jouw antwoord @Dennis ABD.

Dus het kan heel goed zijn dat mails verzonden vanaf (in dit geval) IP adres 185.107.80.191 als spam gekenmerkt worden omdat de reputatie van dit IP adres onvoldoende is om de mails door te laten?

Is er een mogelijkheid om na te gaan wat de exacte reden van die te lage reputatie is?