enma-users-jp Mailing List for ENMA

Brought to you by: ikoga, kazu-yamamoto, kojiyamamoto, takahiko

enma-users-jp — for discussions in Japanese

You can subscribe to this list here.

2008	_Jan	_Feb	_Mar	_Apr	_May	_Jun	_Jul	_Aug (3)	_Sep (19)	_Oct (3)	_Nov (5)	_Dec
2009	_Jan	_Feb (4)	_Mar (3)	_Apr (6)	_May (1)	_Jun (1)	_Jul	_Aug	_Sep	_Oct	_Nov	_Dec
2010	_Jan (8)	_Feb	_Mar (1)	_Apr	_May	_Jun (1)	_Jul	_Aug	_Sep	_Oct	_Nov	_Dec
2011	_Jan (1)	_Feb	_Mar	_Apr	_May	_Jun	_Jul	_Aug	_Sep	_Oct	_Nov (5)	_Dec (2)
2012	_Jan (3)	_Feb (3)	_Mar	_Apr	_May	_Jun	_Jul	_Aug	_Sep (4)	_Oct (2)	_Nov (3)	_Dec
2013	_Jan	_Feb (2)	_Mar	_Apr	_May	_Jun	_Jul	_Aug (3)	_Sep	_Oct	_Nov	_Dec
2014	_Jan	_Feb	_Mar	_Apr (1)	_May	_Jun	_Jul	_Aug	_Sep	_Oct	_Nov	_Dec

Flat | Threaded

1 2 3 4 > >> (Page 1 of 4)

[Enma-users-jp] 【ご質問】エンマのRHEL6 64bit対応状況について

From: <kei...@hi...> - 2014-04-28 10:00:13

お世話になっております。小林と申します。

題記の件、enma1.2.0の64bitＯＳへの対応状況について質問させて下さい。

現在、我々のメールではRHEL5.1でenma1.2.0を稼働していますが、
今度、サーバを更新してRHEL6 64bit版で稼働させる計画です。

そこで、enma1.2.0がRHEL6の64bitに対応しているか（or稼働実績等）教えて頂けますでしょうか？
その他、参考になる情報であれば何でも構いません。

以下のサイトを見ると、1.1.992-1は大丈夫なようですが。
http://www.kurobuti.com/blog/?p=5150

【現在のメールサーバ動作環境】
OS：RHEL5.1
milter：enma1.2.0
メールサーバソフトウェア：sendmail 8.13.8
enma前提ライブラリ
　-libbind6.0
　-libmilter（sendmail.8.14.5内包）
　-openssl-1.0.1c


ご協力のほど、よろしくお願い致します。

- 以上 -

[Enma-users-jp] 【解決】【ご質問】エンマのDNS名前解決の動作について

From: <kei...@hi...> - 2013-08-23 02:49:03

お世話になっております。小林と申します。

8/20にご質問させて頂いた本件ですが、我々で検証を実施し、以下の結論に至りました。
ご協力ありがとうございました。
テストの結果は以下の通りです。

【背景】
　特定ドメインからのメールについてENMAでの判定が一定しないため、ENMAの仕様について確認する。
　（PassとSoftfailのケースがある）

　原因として以下の可能性を想定。
　・DNSのクエリに対する応答が512byteより大きいため、UDP 512バイトの制限に引っかかっている。
　・SPFレコードに記述されているMXレコードが10個より多い。
　　※本事象では該当ドメインのSPFレコードに記述されているMXが10個より多いことを確認済み。
　　※RFC4408に「“mx”機構の評価中には10個を超えるMX名を検索してはならない」と記述あり。

【テストの目的】
　以下のケースにおいて、受信メールに対するSPF認証結果にバラつきが出るかを確認する。
　・DNSのクエリに対する応答が512byteより大きい場合
　・TXTレコードに記述するmxが10個を超える場合

【テストパターン】
　以下ケースにおいてメールを100通受信した場合の認証結果を確認する。
　ケース１：TXTレコードに記述するmxを10個　＆　DNSクエリ応答512byte以下
　ケース２：TXTレコードに記述するmxを10個　＆　DNSクエリ応答512byteより大きい
　ケース３：TXTレコードに記述するmxを11個　＆　DNSクエリ応答512byte以下
　ケース４：TXTレコードに記述するmxを11個　＆　DNSクエリ応答512byteより大きい

【テスト結果】
　ケース１：メール受信件数100件に対して　Pass 100件
　ケース２：メール受信件数100件に対して　Pass 100件
　ケース３：メール受信件数100件に対して　Pass  91件　Softfail  9件
　ケース４：メール受信件数100件に対して　Pass  89件　Softfail 11件　

【結論】
　・ケース２より、DNSのクエリに対する応答が512byteより大きい場合でも問題なく判定可能。
　・ケース３より、MXレコードが10個より多い場合に認証結果にバラつきが生じる。
　よって、ENMAではRFC4408の定義に従いMXを10個までしか検証しないことが、本事象の原因と判断する。


【私見】
　上記の仕様によって認証結果にバラつきが出るものと考えますが、本来なら結果にバラつきが出るよりも
　何かしらエラー(MXが10個より多いことを示すメッセージ)を返す動きの方が望ましいと思いました。

何かご意見等ありましたら、お願い致します。
よろしくお願い致します。

- 以上 -

--------------------------------------
お世話になっております。小林と申します。

-----
先ほどお送りしたメールに追記させて頂きます。（【質問】２を追加）
恐れ入りますが、本メールの質問についてご回答頂けますでしょうか。
-----

題記の件、enma1.2.0における名前解決の動作についてご教示頂けないでしょうか。

【事象】
特定のドメイン及びIPアドレスからの受信メールに対するSPF認証結果が「pass」「softfail」の２パターン発生する。

ENMAのログを見ましたが、送信元IPアドレスとドメインが同じメールでも「pass」と「softfail」が存在します。
該当のDNSの問合せ先の定義情報は誤っていないように思いますが、TCPで該当ドメインを問い合わせると回答が1000バイトを超えます。
（古いDNSの仕様ではUDP 512バイトまでしか扱えない場合がある）
現在のBINDなどではEDNS0という拡張機能により512バイトを超えるデータもやり取りできるようですが。

【想定】
ENMAが名前解決する際にDNS UDP 512バイトの制限にかかってしまい、
全ての名前解決結果を取得できないため、結果にバラつきがあるのではないか。

【質問】
１．ENMAの仕様として、名前解決する際にUDP 512バイトの制限はあるでしょうか？
　　また、その場合、TCPに切替えて名前解決するのでしょうか？

２．RFC4408に「“mx”機構の評価中には10個を超えるMX名を検索してはならない」という
　　記述がありますが、ENMAの仕様でもMXレコードの検証は10個までに制限されているでしょうか？
　　参考：http://salt.iajapan.org/wpmu/anti_spam/admin/tech/rfc/rfc4408/page-20/

その他、上記事象について見解があればご教示下さい。


【メールサーバの動作環境】
OS：RHEL5.1
milter：enma1.2.0
メールサーバソフトウェア：sendmail 8.13.8
enma前提ライブラリ
　-libbind6.0
　-libmilter（sendmail.8.14.5内包）
　-openssl-1.0.1c


ご協力のほど、よろしくお願い致します。

- 以上 -

[Enma-users-jp] 【訂】【ご質問】エンマのDNS名前解決の動作について

From: <kei...@hi...> - 2013-08-20 13:48:19

お世話になっております。小林と申します。

-----
先ほどお送りしたメールに追記させて頂きます。（【質問】２を追加）
恐れ入りますが、本メールの質問についてご回答頂けますでしょうか。
-----

題記の件、enma1.2.0における名前解決の動作についてご教示頂けないでしょうか。

【事象】
特定のドメイン及びIPアドレスからの受信メールに対するSPF認証結果が「pass」「softfail」の２パターン発生する。

ENMAのログを見ましたが、送信元IPアドレスとドメインが同じメールでも「pass」と「softfail」が存在します。
該当のDNSの問合せ先の定義情報は誤っていないように思いますが、TCPで該当ドメインを問い合わせると回答が1000バイトを超えます。
（古いDNSの仕様ではUDP 512バイトまでしか扱えない場合がある）
現在のBINDなどではEDNS0という拡張機能により512バイトを超えるデータもやり取りできるようですが。

【想定】
ENMAが名前解決する際にDNS UDP 512バイトの制限にかかってしまい、
全ての名前解決結果を取得できないため、結果にバラつきがあるのではないか。

【質問】
１．ENMAの仕様として、名前解決する際にUDP 512バイトの制限はあるでしょうか？
　　また、その場合、TCPに切替えて名前解決するのでしょうか？

２．RFC4408に「“mx”機構の評価中には10個を超えるMX名を検索してはならない」という
　　記述がありますが、ENMAの仕様でもMXレコードの検証は10個までに制限されているでしょうか？
　　参考：http://salt.iajapan.org/wpmu/anti_spam/admin/tech/rfc/rfc4408/page-20/

その他、上記事象について見解があればご教示下さい。


【メールサーバの動作環境】
OS：RHEL5.1
milter：enma1.2.0
メールサーバソフトウェア：sendmail 8.13.8
enma前提ライブラリ
　-libbind6.0
　-libmilter（sendmail.8.14.5内包）
　-openssl-1.0.1c


ご協力のほど、よろしくお願い致します。

- 以上 -

[Enma-users-jp] 【ご質問】エンマのDNS名前解決の動作について

From: <kei...@hi...> - 2013-08-20 10:26:04

お世話になっております。小林と申します。

題記の件、enma1.2.0における名前解決の動作についてご教示頂けないでしょうか。

【事象】
特定のドメイン及びIPアドレスからの受信メールに対するSPF認証結果が「pass」「softfail」の２パターン発生する。

ENMAのログを見ましたが、送信元IPアドレスとドメインが同じメールでも「pass」と「softfail」が存在します。
該当のDNSの問合せ先の定義情報は誤っていないように思いますが、TCPで該当ドメインを問い合わせると回答が1000バイトを超えます。
（古いDNSの仕様ではUDP 512バイトまでしか扱えない場合がある）
現在のBINDなどではEDNS0という拡張機能により512バイトを超えるデータもやり取りできるようですが。

【想定】
ENMAが名前解決する際にDNS UDP 512バイトの制限にかかってしまい、
全ての名前解決結果を取得できないため、結果にバラつきがあるのではないか。

【質問】
ENMAの仕様として、名前解決する際にUDP 512バイトの制限はあるでしょうか？
また、その場合、TCPに切替えて名前解決するのでしょうか？
その他、上記事象について見解があればご教示下さい。


【メールサーバの動作環境】
OS：RHEL5.1
milter：enma1.2.0
メールサーバソフトウェア：sendmail 8.13.8
enma前提ライブラリ
　-libbind6.0
　-libmilter（sendmail.8.14.5内包）
　-openssl-1.0.1c


ご協力のほど、よろしくお願い致します。

- 以上 -

[Enma-users-jp] 【解決】エンマのAuthentication-Results付与の動作について

From: <kei...@hi...> - 2013-02-14 00:03:17

お世話になっております。小林と申します。

先日ご連絡した下記メールの件につきまして調査した結果、
メール受信者側のソフトで「Authentication_Results」を
消していたことが判明しました。

想定どおり、ENMAとしては確実に「Authentication_Results」を
付与しており、何も問題はありませんでした。

メール受信者側のソフトでは、「Authentication_Results」が
複数あるときに一番上にある「Authentication_Results」が
消される仕様となっているようです。

どうもありがとうございました。
よろしくお願い致します。

- 以上 -

=============================================
お世話になっております。小林と申します。

題記の件、enma1.2.0における「Authentication-Results」を
ヘッダに付与する動作についてご教示頂けないでしょうか。


【事象】
以下のケースで「Authentication_Results」が付与されなかった。

(1)gmail.comからyahoo.com経由でAさん宛に転送したもの
(2)yahoo.comからgmail.com経由でAさん宛に転送したもの

メールルートは以下の通り。
(1)[gmailメールサーバ]→[yahooメールサーバ]→[Aメールサーバ]
(2)[yahooメールサーバ]→[gmailメールサーバ]→[Aメールサーバ]

それぞれのヘッダを見ると、転送サーバ(yahooやgmail)で付与した
「Authentication_Results」は残っていたが、Aメールサーバで付与
すべき「Authentication_Results」がヘッダに残っていなかった。

なお、Aメールサーバのmaillogでは、ヘッダに認証結果を付与した
ことを示す[Milter insert]は出ている。
つまり、Aメールサーバでは「Authentication_Results」を付与したはず
であり、その後のどこかでヘッダが削除されているのではないか？

ちなみに、gmail.comやyahoo.comから直接Aさん宛に送信した
場合はAメールサーバで付与した「Authentication_Results」が
ヘッダに残っていた。


【質問】
enmaの動きとして、
・すでに他サーバが付与した「Authentication_Results」がヘッダに
　存在する場合は自サーバでは「Authentication_Results」を付与しない
という動きをするケースはあるでしょうか？
ある場合は具体的にどんなケースでしょうか？


【私の想定】
maillogでも[Milter insert]が出ているので、Aメールサーバでは
「Authentication_Results」を付けていると考えており、その後の
経路のどこかで削除されたのではないかと思っています。

なお、enmaのマニュアルでは[authresult.identifier:]について以下の
説明があり、「すでにヘッダが存在する場合にヘッダを付与しない」
ことはないと思っています。
ちなみに、yahooやgmailの識別子とAメールサーバの識別子は異なります。

(参考)
Authentication-Results: フィールドを識別するためのホスト名を指定します。受信したメールに、この識別子を持つ Authentication-Results: フィールドが存在する場合はそれを削除します。また、認証結果をAuthentication-Results: フィールドとして挿入する際に、この識別子が使用されます。(デフォルト値: localhost)


【受信メールサーバの動作環境】
OS：RHEL5.1
milter：enma1.2.0
メールサーバソフトウェア：sendmail 8.13.8
enma前提ライブラリ
　-libbind6.0
　-libmilter（sendmail.8.14.5内包）
　-openssl-1.0.1c


【sendmailのミルター設定値】
INPUT_MAIL_FILTER(`enma', `S=inet:10025@127.0.0.1, F=T, T=C:5m;S:10s;R:1m;E:5m')dnl

※F=Tにすることで、理論的にはヘッダに付与されずに
　メールを配送するケースはないはず


恐れ入りますが、ご協力のほどよろしくお願い致します。

- 以上 -

[Enma-users-jp] 【ご質問】エンマのAuthentication-Results付与の動作について

From: <kei...@hi...> - 2013-02-07 03:30:12

お世話になっております。小林と申します。

題記の件、enma1.2.0における「Authentication-Results」を
ヘッダに付与する動作についてご教示頂けないでしょうか。


【事象】
以下のケースで「Authentication_Results」が付与されなかった。

(1)gmail.comからyahoo.com経由でAさん宛に転送したもの
(2)yahoo.comからgmail.com経由でAさん宛に転送したもの

メールルートは以下の通り。
(1)[gmailメールサーバ]→[yahooメールサーバ]→[Aメールサーバ]
(2)[yahooメールサーバ]→[gmailメールサーバ]→[Aメールサーバ]

それぞれのヘッダを見ると、転送サーバ(yahooやgmail)で付与した
「Authentication_Results」は残っていたが、Aメールサーバで付与
すべき「Authentication_Results」がヘッダに残っていなかった。

なお、Aメールサーバのmaillogでは、ヘッダに認証結果を付与した
ことを示す[Milter insert]は出ている。
つまり、Aメールサーバでは「Authentication_Results」を付与したはず
であり、その後のどこかでヘッダが削除されているのではないか？

ちなみに、gmail.comやyahoo.comから直接Aさん宛に送信した
場合はAメールサーバで付与した「Authentication_Results」が
ヘッダに残っていた。


【質問】
enmaの動きとして、
・すでに他サーバが付与した「Authentication_Results」がヘッダに
　存在する場合は自サーバでは「Authentication_Results」を付与しない
という動きをするケースはあるでしょうか？
ある場合は具体的にどんなケースでしょうか？


【私の想定】
maillogでも[Milter insert]が出ているので、Aメールサーバでは
「Authentication_Results」を付けていると考えており、その後の
経路のどこかで削除されたのではないかと思っています。

なお、enmaのマニュアルでは[authresult.identifier:]について以下の
説明があり、「すでにヘッダが存在する場合にヘッダを付与しない」
ことはないと思っています。
ちなみに、yahooやgmailの識別子とAメールサーバの識別子は異なります。

(参考)
Authentication-Results: フィールドを識別するためのホスト名を指定します。受信したメールに、この識別子を持つ Authentication-Results: フィールドが存在する場合はそれを削除します。また、認証結果をAuthentication-Results: フィールドとして挿入する際に、この識別子が使用されます。(デフォルト値: localhost)


【受信メールサーバの動作環境】
OS：RHEL5.1
milter：enma1.2.0
メールサーバソフトウェア：sendmail 8.13.8
enma前提ライブラリ
　-libbind6.0
　-libmilter（sendmail.8.14.5内包）
　-openssl-1.0.1c


【sendmailのミルター設定値】
INPUT_MAIL_FILTER(`enma', `S=inet:10025@127.0.0.1, F=T, T=C:5m;S:10s;R:1m;E:5m')dnl

※F=Tにすることで、理論的にはヘッダに付与されずに
　メールを配送するケースはないはず


恐れ入りますが、ご協力のほどよろしくお願い致します。

- 以上 -

[Enma-users-jp] 【ご質問】エンマの動作検証結果について

From: <kei...@hi...> - 2012-11-22 04:41:12

お世話になっております。小林と申します。

題記の件、enma1.2.0の検証結果に関しましてご教示頂けないでしょうか。
現在、我々の検証環境にて受信メールサーバにエンマをインストールし、
動作検証を行っております。

【検証内容】
600件/分のメール(30KB/件)を10分間継続して送信する負荷テストを実施。

【受信メールサーバの動作環境】
OS：RHEL5.1
milter：enma1.2.0
メールサーバソフトウェア：sendmail 8.13.8
enma前提ライブラリ
　-libbind6.0
　-libmilter（sendmail.8.14.5内包）
　-openssl-1.0.1c

【sendmailのミルター設定値】
INPUT_MAIL_FILTER(`enma', `S=inet:10025@127.0.0.1, F=, T=C:5m;S:10s;R:1m;E:5m')dnl

※"F="の箇所についてはエンマが停止した場合も考慮して、メールを通過させる設定としています。


【結果】
ヘッダにAuthentication-Resultsが付かないケースが発生。
全6,000件のうち、367件でヘッダが付かなかった。

ヘッダに付かなかったメール367件で出力されたmaillogのエラーメッセージ。
　Milter (enma): error connecting to filter: Connection timed out with 127.0.0.1
　Milter (enma): timeout before data read
　Milter (enma): read returned -1: Connection reset by [サーバ名]　
　Milter (enma): init failed to open
　Milter (enma): to error state

(１)、、が出力されたケース
Nov 21 19:41:17 ns1 sendmail[20923]: qALAc8Pf020923: Milter (enma): error connecting to filter: Connection timed out with 127.0.0.1
Nov 21 19:41:17 ns1 sendmail[20923]: qALAc8Pf020923: Milter (enma): to error state
Nov 21 19:41:17 ns1 sendmail[20923]: qALAc8Pf020923: from=<us...@te...>, size=31225, class=0, nrcpts=1, msgid=<201211211038.qALAc7pF030608@outside3.>, proto=ESMTP, daemon=MTA, relay=outside3.spftest.com [xxx.xxx.xxx.xxx]
Nov 21 19:41:18 ns1 sendmail[20923]: qALAc8Pf020923: to=<ho...@ex...>, delay=00:00:01, mailer=smtp, pri=61225, stat=queued
Nov 21 19:50:29 ns1 sendmail[3197]: qALAc8Pf020923: to=<ho...@ex...>, delay=00:09:12, xdelay=00:00:00, mailer=smtp, pri=151225, relay=[10.64.72.11] [10.64.72.11], dsn=2.0.0, stat=Sent (qALAnwid024543 Message accepted for delivery)

(２)、が出力されたケース
Nov 21 19:37:39 ns1 sendmail[18898]: qALAb9TA018898: from=<us...@te...>, size=31282, class=0, nrcpts=1, msgid=<201211211037.qALAb8Jf009270@localhost.localdomain>, proto=ESMTP, daemon=MTA, relay=outside2.spftest.com [xxx.xxx.xxx.xxx]
Nov 21 19:37:52 ns1 enma[2607]: [qALAb9TA018898] DNS lookup failure: rrtype=a, domain=a.example.com, err=SERVFAIL
Nov 21 19:38:45 ns1 sendmail[18898]: qALAb9TA018898: Milter (enma): timeout before data read
Nov 21 19:38:45 ns1 sendmail[18898]: qALAb9TA018898: Milter (enma): to error state
Nov 21 19:38:47 ns1 sendmail[22269]: qALAb9TA018898: to=<ho...@ex...>, delay=00:01:11, xdelay=00:00:01, mailer=smtp, pri=151282, relay=[10.64.72.11] [10.64.72.11], dsn=2.0.0, stat=Sent (qALAck9d014270 Message accepted for delivery)
Nov 21 19:38:33 ns1 enma[2607]: [qALAb9TA018898] [SPF-auth] ipaddr=xxx.xxx.xxx.xxx, eval=smtp.mailfrom, helo=outside2.spftest.com, envfrom=<us...@te...>, score=temperror

(３)、、が出力されたケース
Nov 21 19:37:34 ns1 sendmail[18894]: qALAb9mU018894: Milter (enma): read returned -1: Connection reset by outside2.spftest.com
Nov 21 19:37:34 ns1 sendmail[18894]: qALAb9mU018894: Milter (enma): to error state
Nov 21 19:37:34 ns1 sendmail[18894]: qALAb9mU018894: Milter (enma): init failed to open
Nov 21 19:37:34 ns1 sendmail[18894]: qALAb9mU018894: Milter (enma): to error state
Nov 21 19:37:37 ns1 sendmail[18894]: qALAb9mU018894: from=<us...@te...>, size=31282, class=0, nrcpts=1, msgid=<201211211037.qALAb8DI009235@localhost.localdomain>, proto=ESMTP, daemon=MTA, relay=outside2.spftest.com [xxx.xxx.xxx.xxx]
Nov 21 19:37:39 ns1 sendmail[20070]: qALAb9mU018894: to=<ho...@ex...>, delay=00:00:03, xdelay=00:00:00, mailer=smtp, pri=151282, relay=[10.64.72.11] [10.64.72.11], dsn=2.0.0, stat=Sent (qALAbdjo012699 Message accepted for delivery)


【上記のログから想定したこと】
(１)のケースは、メール件数が多いためエンマへのコネクション待ち状態となり、
「INPUT_MAIL_FILTERのT=C:5m」(5分)の値を超えてしまったため、タイムアウトエラーとなる。

(２)のケースは、エンマからの回答が遅くなり、sendmailが「INPUT_MAIL_FILTERのT=R:1m」(1分)
の値を超えてしまったため、エンマの応答を待たずにタイムアウトエラーとなる。
結果として、エンマの応答前にメールを配送してしまう。

(３)のケースは、エンマの処理が遅くなったため送信側がエンマとのコネクションを切ってしまう。
どの処理の過程でリセットされてしまうかは分かりません。


【質問】
本事象や上記のログから分かることがあればご教示頂きたくお願い致します。
　ヒントとなることであれば何でも構いません。

チューニングポイントとなる設定値や推奨値などご教示頂ければ幸いです。

enma1.2.0にバージョンアップして処理が重くなった等はあるでしょうか？
　enma1.1.0では起きないことであれば、enma1.1.0で検証することも検討中です。


全ての情報を調査しきったわけではないのですが、まずは有識者の方の
アドバイスを頂きたく質問させて頂きました。
ご協力のほど、よろしくお願い致します。

- 以上 -

[Enma-users-jp] Re: [Enma-users-jp] 【ご質問】エンマの仕様や動作について

From: <kei...@hi...> - 2012-11-09 03:03:34

鈴木様

お世話になっております。小林です。
ご回答頂きありがとうございます。承知致しました。

>ご存知かもしれませんが、RFC5451 のこの仕様が混乱を招いていたのは確かで、
>今年の3月に、これを更新する RFC6577 が出て"fail"に統一するよう定められました。
>ENMA も次のタイミングではこれに従う予定です

上記は知りませんでした。
「enma-1.2.〜」以降ではhardfailではなくfailがヘッダに付くということですね。

当方が運用しているメールサーバにて、Authentication-Resultsの「spf=***」を
条件としてメール処理を実装する考えですが、仕様変更されると「spf=hardfail」
では処理できなくなるということでしょうか？
例えば、仕様変更後もオプションでhardfailとfailを指定できればと思いました。


また、enmaの仕様でfailに変更される時期(見込みでも)が分かれば
ご教示頂けますでしょうか。


恐れ入りますが、よろしくお願い致します。

- 以上 -


>小林さん
>
>鈴木です。
>
>日本にいなかったり、体調崩してたりしてて返事が遅くなってしまいました。
>
>> お世話になっております。小林と申します。
>> 
>> 題記の件、enmaの仕様に関する以下について、ご教示頂けないでしょうか。
>> 
>> 【ご質問】
>> エンマの設定ファイルであるenma.confの「authresult.identifier:」パラメータについて確認させて下さい。
>> 説明：Authentication-Results: フィールドを識別するためのホスト名を指定します。受信したメールに、この識別子を持つ Authentication-Results: フィールドが存在する場合はそれを削除します。また、認証結果をAuthentication-Results: フィールドとして挿入する際に、この識別子が使用されます。
>> 
>> 以下、との認識は合っているかご教示下さい。
>> 
>> エンマを実装しているメールサーバが受信したメールヘッダにAuthentication-Results:フィールドが付いていて、かつauthresult.identifier:で定義したホスト名がすでに記載されている場合、すでにあるAuthentication-Results:フィールドを削除して新たにAuthentication-Results:フィールドをヘッダに付与する。
>> 
>> エンマを実装しているメールサーバが受信したメールヘッダにAuthentication-Results:フィールドが付いていて、かつauthresult.identifier:で定義したホスト名以外が記載されている場合、すでにあるAuthentication-Results:フィールドを残した上で新たにAuthentication-Results:フィールドをヘッダに付与する。
>
>あっています。
>
>> また、先日展開した以下の質問にもご回答頂ければ幸いです。
>> ご協力のほど、よろしくお願い致します。
>> 
>> =============================================================================
>> 題記の件、enmaの仕様や動作に関する(1)〜(3)について、ご教示頂けないでしょうか。
>> 
>> ご回答できる質問からでも構いませんので、ご協力よろしくお願い致します。
>> 事例や見解など頂ければ幸いです。
>> 
>> 
>> (1)RFC4408で定義されている「fail」について、エンマではfailを「hardfail」と
>> 　して定義しています。
>> 　意味は同じだと認識していますが、RFC5451に従っているとの記載もあります。
>> 　SPF認証の結果として、正式な表記はどちらなのでしょうか？
>> 　また、なぜ呼び方が違うのか、分かる情報があれば教えて下さい。
>> 
>> 　また、RFC5451で定義されている「policy」というヘッダがエンマの処理にて
>> 　付与されるケースはあるのでしょうか？
>> 
>> 　参考：http://salt.iajapan.org/wpmu/anti_spam/admin/tech/rfc/rfc4408/page-8/
>> 　参考：http://salt.iajapan.org/wpmu/anti_spam/admin/tech/rfc/rfc5451/page-13/
>> 　参考：http://www.iajapan.org/anti_spam/event/2009/conf0519/pdf/3-2.pdf
>
>ご存知かもしれませんが、RFC5451 のこの仕様が混乱を招いていたのは確かで、
>今年の3月に、これを更新する RFC6577 が出て"fail"に統一するよう定められました。
>ENMA も次のタイミングではこれに従う予定です。
>
>"policy" は現在のところ使用していません。
>
>> (2)同一のメールヘッダに複数の「Authentication-Results」が記載されること
>> 　はあるでしょうか？
>> 　エンマの資料では、すでに「Authentication-Results」が付いている場合は
>> 　削除して上書すると記載されています。
>> 　つまり、「Authentication-Results」が重複することはなく、最後に付与
>> 　した情報のみが残ると認識しています。
>> 
>> 　参考：http://www.iajapan.org/anti_spam/event/2009/conf0519/pdf/3-2.pdf
>
>ENMA は authserv-id が同一の Authentication-Results ヘッダは削除してから新しいものを付与しますので、
>ENMA で挿入したものと authserv-id が同一の Authentication-Results ヘッダが重複することはありません。
>
>> (3)enmaによるDNSタイムアウト時の動作検証について以下の事象が発生しました。
>> 　下記事象について、2点質問させて下さい。
>> 
>> 　【事象】
>> 　enmaプロセスがDNSタイムアウト(22秒でタイムアウト)してtemperrorを返す前に、
>> 　sendmailプロセスがタイムアウトを起こし、Authentication-Resultsヘッダを
>> 　付けること無く、メールを配送してしまう事象が発生しています。
>> 
>> 　弊社検証では、事象の対策としてsendmailにてmilterのタイムアウト時間を十分
>> 　大きな値(10秒(デフォルト)→1分)に変更しました。
>> 
>> 　これについて下記2点をご教示頂きたく。
>> 
>> 　enmaの運用の中で、このような事象が確認されているでしょうか。
>> 　　※例1：temperrorを返す前にsendmail(postfix)がタイムアウトを起こしてヘッダが付かない
>> 　　　例2：enmaプロセスのDNSタイムアウト待ちが原因となりメール処理が遅延する
>> 
>> 　本事象を受けて、sendmail(またはenma)のタイムアウト時間を設定しようと考えています。
>> 　　その際、どのような観点からタイムアウト時間を決定すればよいかご教示下さい。
>> 　　もしくは、事象の対策として推奨する設定値があればご教示下さい。
>
>メールシステムの規模や方針に依るものだと思いますので、一概にはお答えできません。
>タイムアウトを調整する他に、MTA 側に milter で発生したエラーの扱い方を指定する設定が
>あると思いますので、それを調整してみてはいかがでしょうか。
>(sendmail でいうと INPUT_MAIL_FILTER の "F=")
>
>> 　enmaのDNSタイムアウト時間を変更することはできるでしょうか？
>> 　　enmaのマニュアルにはDNSタイムアウトのパラメータは無いように見えますが。
>
>まさかの /etc/resolv.conf で変更できると思います。
>ただし、影響を考慮の上、注意して変更してください。
>
>> 【正常時のmaillog（Authentication-Resultsヘッダが付与された場合）】
>> ----------------------------------------------------------
>> Aug 29 15:10:24 ns1 sendmail[4907]: q7T69DwY004907: from=<us...@te...>, size=684, class=0, nrcpts=1, msgid=<201208290618.q7T6Il6V024999@localhost.localdomain>, proto=ESMTP, daemon=MTA, relay=ns2.example.com [10.64.74.102]
>> Aug 29 15:10:46 ns1 enma[4154]: [q7T69DwY004907] DNS lookup failure: rrtype=a, domain=a.example.com, err=SERVFAIL
>> Aug 29 15:10:46 ns1 enma[4154]: [q7T69DwY004907] [SPF-auth] ipaddr=10.64.74.102, eval=smtp.mailfrom, helo=ns2.example.com, envfrom=<us...@te...>, score=temperror
>> Aug 29 15:10:46 ns1 sendmail[4907]: q7T69DwY004907: Milter insert (0): header: Authentication-Results: localhost; spf=temperror smtp.mailfrom=us...@te...
>> Aug 29 15:10:46 ns1 sendmail[4950]: q7T69DwY004907: to=<us...@me...>, delay=00:00:22, xdelay=00:00:00, mailer=smtp, pri=120684, relay=[10.64.72.11] [10.64.72.11], dsn=2.0.0, stat=Sent (q7T6E1mI005223 Message accepted for delivery)
>> ----------------------------------------------------------
>> 
>> 【事象発生時のmaillog（Authentication-Resultヘッダが付与されなかった場合）】
>> ----------------------------------------------------------
>> Aug 29 14:48:36 ns1 sendmail[4389]: q7T5lQPq004389: from=<us...@te...>, size=684, class=0, nrcpts=1, msgid=<201208290556.q7T5uxP4024703@localhost.localdomain>, proto=ESMTP, daemon=MTA, relay=ns2.example.com [10.64.74.102]
>> Aug 29 14:48:46 ns1 sendmail[4389]: q7T5lQPq004389: Milter (enma): timeout before data read
>> Aug 29 14:48:46 ns1 sendmail[4389]: q7T5lQPq004389: Milter (enma): to error state
>> Aug 29 14:48:46 ns1 sendmail[4408]: q7T5lQPq004389: to=<us...@me...>, delay=00:00:10, xdelay=00:00:00, mailer=smtp, pri=120684, relay=[10.64.72.11] [10.64.72.11], dsn=2.0.0, stat=Sent (q7T5q2Rf004740 Message accepted for delivery)
>> Aug 29 14:48:58 ns1 enma[4154]: [q7T5lQPq004389] DNS lookup failure: rrtype=a, domain=a.example.com, err=SERVFAIL
>> Aug 29 14:48:58 ns1 enma[4154]: [q7T5lQPq004389] [SPF-auth] ipaddr=10.64.74.102, eval=smtp.mailfrom, helo=ns2.example.com, envfrom=<us...@te...>, score=temperror
>> ----------------------------------------------------------
>> 
>> 【検証での使用ソフトウェア】
>> --------------------------
>> OS：RHEL5.1
>> milter：enma1.2.0
>> メールサーバソフトウェア：sendmail 8.13.8
>> enma前提ライブラリ
>> 　-libbind6.0
>> 　-libmilter（sendmail.8.14.5内包）
>> 　-openssl-1.0.1c
>> --------------------------
>> 
>> 
>> 長々とすみません。
>> ご協力のほど、よろしくお願い致します。
>> 
>> 
>> - 以上 -
>> 
>> 
>> 
>> 
>> ------------------------------------------------------------------------------
>> Everyone hates slow websites. So do we.
>> Make your web apps faster with AppDynamics
>> Download AppDynamics Lite for free today:
>> http://p.sf.net/sfu/appdyn_sfd2d_oct
>> 
>> 
>> 
>> _______________________________________________
>> Enma-users-jp mailing list
>> Enm...@li...
>> https://lists.sourceforge.net/lists/listinfo/enma-users-jp
>
>-- 
>SUZUKI Takahiko <tak...@ii...>
>
>
>

Re: [Enma-users-jp] 【ご質問】エンマの仕様や動作について

From: SUZUKI T. <tak...@ii...> - 2012-11-06 09:41:37

小林さん

鈴木です。

日本にいなかったり、体調崩してたりしてて返事が遅くなってしまいました。

On 12/10/23 22:15, kei...@hi... wrote:
> お世話になっております。小林と申します。
> 
> 題記の件、enmaの仕様に関する以下について、ご教示頂けないでしょうか。
> 
> 【ご質問】
> エンマの設定ファイルであるenma.confの「authresult.identifier:」パラメータについて確認させて下さい。
> 説明：Authentication-Results: フィールドを識別するためのホスト名を指定します。受信したメールに、この識別子を持つ Authentication-Results: フィールドが存在する場合はそれを削除します。また、認証結果をAuthentication-Results: フィールドとして挿入する際に、この識別子が使用されます。
> 
> 以下、との認識は合っているかご教示下さい。
> 
> エンマを実装しているメールサーバが受信したメールヘッダにAuthentication-Results:フィールドが付いていて、かつauthresult.identifier:で定義したホスト名がすでに記載されている場合、すでにあるAuthentication-Results:フィールドを削除して新たにAuthentication-Results:フィールドをヘッダに付与する。
> 
> エンマを実装しているメールサーバが受信したメールヘッダにAuthentication-Results:フィールドが付いていて、かつauthresult.identifier:で定義したホスト名以外が記載されている場合、すでにあるAuthentication-Results:フィールドを残した上で新たにAuthentication-Results:フィールドをヘッダに付与する。

あっています。

> また、先日展開した以下の質問にもご回答頂ければ幸いです。
> ご協力のほど、よろしくお願い致します。
> 
> =============================================================================
> 題記の件、enmaの仕様や動作に関する(1)〜(3)について、ご教示頂けないでしょうか。
> 
> ご回答できる質問からでも構いませんので、ご協力よろしくお願い致します。
> 事例や見解など頂ければ幸いです。
> 
> 
> (1)RFC4408で定義されている「fail」について、エンマではfailを「hardfail」と
> 　して定義しています。
> 　意味は同じだと認識していますが、RFC5451に従っているとの記載もあります。
> 　SPF認証の結果として、正式な表記はどちらなのでしょうか？
> 　また、なぜ呼び方が違うのか、分かる情報があれば教えて下さい。
> 
> 　また、RFC5451で定義されている「policy」というヘッダがエンマの処理にて
> 　付与されるケースはあるのでしょうか？
> 
> 　参考：http://salt.iajapan.org/wpmu/anti_spam/admin/tech/rfc/rfc4408/page-8/
> 　参考：http://salt.iajapan.org/wpmu/anti_spam/admin/tech/rfc/rfc5451/page-13/
> 　参考：http://www.iajapan.org/anti_spam/event/2009/conf0519/pdf/3-2.pdf

ご存知かもしれませんが、RFC5451 のこの仕様が混乱を招いていたのは確かで、
今年の3月に、これを更新する RFC6577 が出て"fail"に統一するよう定められました。
ENMA も次のタイミングではこれに従う予定です。

"policy" は現在のところ使用していません。

> (2)同一のメールヘッダに複数の「Authentication-Results」が記載されること
> 　はあるでしょうか？
> 　エンマの資料では、すでに「Authentication-Results」が付いている場合は
> 　削除して上書すると記載されています。
> 　つまり、「Authentication-Results」が重複することはなく、最後に付与
> 　した情報のみが残ると認識しています。
> 
> 　参考：http://www.iajapan.org/anti_spam/event/2009/conf0519/pdf/3-2.pdf

ENMA は authserv-id が同一の Authentication-Results ヘッダは削除してから新しいものを付与しますので、
ENMA で挿入したものと authserv-id が同一の Authentication-Results ヘッダが重複することはありません。

> (3)enmaによるDNSタイムアウト時の動作検証について以下の事象が発生しました。
> 　下記事象について、2点質問させて下さい。
> 
> 　【事象】
> 　enmaプロセスがDNSタイムアウト(22秒でタイムアウト)してtemperrorを返す前に、
> 　sendmailプロセスがタイムアウトを起こし、Authentication-Resultsヘッダを
> 　付けること無く、メールを配送してしまう事象が発生しています。
> 
> 　弊社検証では、事象の対策としてsendmailにてmilterのタイムアウト時間を十分
> 　大きな値(10秒(デフォルト)→1分)に変更しました。
> 
> 　これについて下記2点をご教示頂きたく。
> 
> 　enmaの運用の中で、このような事象が確認されているでしょうか。
> 　　※例1：temperrorを返す前にsendmail(postfix)がタイムアウトを起こしてヘッダが付かない
> 　　　例2：enmaプロセスのDNSタイムアウト待ちが原因となりメール処理が遅延する
> 
> 　本事象を受けて、sendmail(またはenma)のタイムアウト時間を設定しようと考えています。
> 　　その際、どのような観点からタイムアウト時間を決定すればよいかご教示下さい。
> 　　もしくは、事象の対策として推奨する設定値があればご教示下さい。

メールシステムの規模や方針に依るものだと思いますので、一概にはお答えできません。
タイムアウトを調整する他に、MTA 側に milter で発生したエラーの扱い方を指定する設定が
あると思いますので、それを調整してみてはいかがでしょうか。
(sendmail でいうと INPUT_MAIL_FILTER の "F=")

> 　enmaのDNSタイムアウト時間を変更することはできるでしょうか？
> 　　enmaのマニュアルにはDNSタイムアウトのパラメータは無いように見えますが。

まさかの /etc/resolv.conf で変更できると思います。
ただし、影響を考慮の上、注意して変更してください。

> 【正常時のmaillog（Authentication-Resultsヘッダが付与された場合）】
> ----------------------------------------------------------
> Aug 29 15:10:24 ns1 sendmail[4907]: q7T69DwY004907: from=<us...@te...>, size=684, class=0, nrcpts=1, msgid=<201208290618.q7T6Il6V024999@localhost.localdomain>, proto=ESMTP, daemon=MTA, relay=ns2.example.com [10.64.74.102]
> Aug 29 15:10:46 ns1 enma[4154]: [q7T69DwY004907] DNS lookup failure: rrtype=a, domain=a.example.com, err=SERVFAIL
> Aug 29 15:10:46 ns1 enma[4154]: [q7T69DwY004907] [SPF-auth] ipaddr=10.64.74.102, eval=smtp.mailfrom, helo=ns2.example.com, envfrom=<us...@te...>, score=temperror
> Aug 29 15:10:46 ns1 sendmail[4907]: q7T69DwY004907: Milter insert (0): header: Authentication-Results: localhost; spf=temperror smtp.mailfrom=us...@te...
> Aug 29 15:10:46 ns1 sendmail[4950]: q7T69DwY004907: to=<us...@me...>, delay=00:00:22, xdelay=00:00:00, mailer=smtp, pri=120684, relay=[10.64.72.11] [10.64.72.11], dsn=2.0.0, stat=Sent (q7T6E1mI005223 Message accepted for delivery)
> ----------------------------------------------------------
> 
> 【事象発生時のmaillog（Authentication-Resultヘッダが付与されなかった場合）】
> ----------------------------------------------------------
> Aug 29 14:48:36 ns1 sendmail[4389]: q7T5lQPq004389: from=<us...@te...>, size=684, class=0, nrcpts=1, msgid=<201208290556.q7T5uxP4024703@localhost.localdomain>, proto=ESMTP, daemon=MTA, relay=ns2.example.com [10.64.74.102]
> Aug 29 14:48:46 ns1 sendmail[4389]: q7T5lQPq004389: Milter (enma): timeout before data read
> Aug 29 14:48:46 ns1 sendmail[4389]: q7T5lQPq004389: Milter (enma): to error state
> Aug 29 14:48:46 ns1 sendmail[4408]: q7T5lQPq004389: to=<us...@me...>, delay=00:00:10, xdelay=00:00:00, mailer=smtp, pri=120684, relay=[10.64.72.11] [10.64.72.11], dsn=2.0.0, stat=Sent (q7T5q2Rf004740 Message accepted for delivery)
> Aug 29 14:48:58 ns1 enma[4154]: [q7T5lQPq004389] DNS lookup failure: rrtype=a, domain=a.example.com, err=SERVFAIL
> Aug 29 14:48:58 ns1 enma[4154]: [q7T5lQPq004389] [SPF-auth] ipaddr=10.64.74.102, eval=smtp.mailfrom, helo=ns2.example.com, envfrom=<us...@te...>, score=temperror
> ----------------------------------------------------------
> 
> 【検証での使用ソフトウェア】
> --------------------------
> OS：RHEL5.1
> milter：enma1.2.0
> メールサーバソフトウェア：sendmail 8.13.8
> enma前提ライブラリ
> 　-libbind6.0
> 　-libmilter（sendmail.8.14.5内包）
> 　-openssl-1.0.1c
> --------------------------
> 
> 
> 長々とすみません。
> ご協力のほど、よろしくお願い致します。
> 
> 
> - 以上 -
> 
> 
> 
> 
> ------------------------------------------------------------------------------
> Everyone hates slow websites. So do we.
> Make your web apps faster with AppDynamics
> Download AppDynamics Lite for free today:
> http://p.sf.net/sfu/appdyn_sfd2d_oct
> 
> 
> 
> _______________________________________________
> Enma-users-jp mailing list
> Enm...@li...
> https://lists.sourceforge.net/lists/listinfo/enma-users-jp

-- 
SUZUKI Takahiko <tak...@ii...>

[Enma-users-jp] 【ご質問】エンマの仕様や動作について

From: <kei...@hi...> - 2012-10-23 13:16:15

お世話になっております。小林と申します。

題記の件、enmaの仕様に関する以下について、ご教示頂けないでしょうか。

【ご質問】
エンマの設定ファイルであるenma.confの「authresult.identifier:」パラメータについて確認させて下さい。
説明：Authentication-Results: フィールドを識別するためのホスト名を指定します。受信したメールに、この識別子を持つ Authentication-Results: フィールドが存在する場合はそれを削除します。また、認証結果をAuthentication-Results: フィールドとして挿入する際に、この識別子が使用されます。

以下、との認識は合っているかご教示下さい。

エンマを実装しているメールサーバが受信したメールヘッダにAuthentication-Results:フィールドが付いていて、かつauthresult.identifier:で定義したホスト名がすでに記載されている場合、すでにあるAuthentication-Results:フィールドを削除して新たにAuthentication-Results:フィールドをヘッダに付与する。

エンマを実装しているメールサーバが受信したメールヘッダにAuthentication-Results:フィールドが付いていて、かつauthresult.identifier:で定義したホスト名以外が記載されている場合、すでにあるAuthentication-Results:フィールドを残した上で新たにAuthentication-Results:フィールドをヘッダに付与する。


また、先日展開した以下の質問にもご回答頂ければ幸いです。
ご協力のほど、よろしくお願い致します。

=============================================================================
題記の件、enmaの仕様や動作に関する(1)〜(3)について、ご教示頂けないでしょうか。

ご回答できる質問からでも構いませんので、ご協力よろしくお願い致します。
事例や見解など頂ければ幸いです。


(1)RFC4408で定義されている「fail」について、エンマではfailを「hardfail」と
　して定義しています。
　意味は同じだと認識していますが、RFC5451に従っているとの記載もあります。
　SPF認証の結果として、正式な表記はどちらなのでしょうか？
　また、なぜ呼び方が違うのか、分かる情報があれば教えて下さい。

　また、RFC5451で定義されている「policy」というヘッダがエンマの処理にて
　付与されるケースはあるのでしょうか？

　参考：http://salt.iajapan.org/wpmu/anti_spam/admin/tech/rfc/rfc4408/page-8/
　参考：http://salt.iajapan.org/wpmu/anti_spam/admin/tech/rfc/rfc5451/page-13/
　参考：http://www.iajapan.org/anti_spam/event/2009/conf0519/pdf/3-2.pdf


(2)同一のメールヘッダに複数の「Authentication-Results」が記載されること
　はあるでしょうか？
　エンマの資料では、すでに「Authentication-Results」が付いている場合は
　削除して上書すると記載されています。
　つまり、「Authentication-Results」が重複することはなく、最後に付与
　した情報のみが残ると認識しています。

　参考：http://www.iajapan.org/anti_spam/event/2009/conf0519/pdf/3-2.pdf


(3)enmaによるDNSタイムアウト時の動作検証について以下の事象が発生しました。
　下記事象について、2点質問させて下さい。

　【事象】
　enmaプロセスがDNSタイムアウト(22秒でタイムアウト)してtemperrorを返す前に、
　sendmailプロセスがタイムアウトを起こし、Authentication-Resultsヘッダを
　付けること無く、メールを配送してしまう事象が発生しています。

　弊社検証では、事象の対策としてsendmailにてmilterのタイムアウト時間を十分
　大きな値(10秒(デフォルト)→1分)に変更しました。

　これについて下記2点をご教示頂きたく。

　enmaの運用の中で、このような事象が確認されているでしょうか。
　　※例1：temperrorを返す前にsendmail(postfix)がタイムアウトを起こしてヘッダが付かない
　　　例2：enmaプロセスのDNSタイムアウト待ちが原因となりメール処理が遅延する

　本事象を受けて、sendmail(またはenma)のタイムアウト時間を設定しようと考えています。
　　その際、どのような観点からタイムアウト時間を決定すればよいかご教示下さい。
　　もしくは、事象の対策として推奨する設定値があればご教示下さい。

　enmaのDNSタイムアウト時間を変更することはできるでしょうか？
　　enmaのマニュアルにはDNSタイムアウトのパラメータは無いように見えますが。


【正常時のmaillog（Authentication-Resultsヘッダが付与された場合）】
----------------------------------------------------------
Aug 29 15:10:24 ns1 sendmail[4907]: q7T69DwY004907: from=<us...@te...>, size=684, class=0, nrcpts=1, msgid=<201208290618.q7T6Il6V024999@localhost.localdomain>, proto=ESMTP, daemon=MTA, relay=ns2.example.com [10.64.74.102]
Aug 29 15:10:46 ns1 enma[4154]: [q7T69DwY004907] DNS lookup failure: rrtype=a, domain=a.example.com, err=SERVFAIL
Aug 29 15:10:46 ns1 enma[4154]: [q7T69DwY004907] [SPF-auth] ipaddr=10.64.74.102, eval=smtp.mailfrom, helo=ns2.example.com, envfrom=<us...@te...>, score=temperror
Aug 29 15:10:46 ns1 sendmail[4907]: q7T69DwY004907: Milter insert (0): header: Authentication-Results: localhost; spf=temperror smtp.mailfrom=us...@te...
Aug 29 15:10:46 ns1 sendmail[4950]: q7T69DwY004907: to=<us...@me...>, delay=00:00:22, xdelay=00:00:00, mailer=smtp, pri=120684, relay=[10.64.72.11] [10.64.72.11], dsn=2.0.0, stat=Sent (q7T6E1mI005223 Message accepted for delivery)
----------------------------------------------------------

【事象発生時のmaillog（Authentication-Resultヘッダが付与されなかった場合）】
----------------------------------------------------------
Aug 29 14:48:36 ns1 sendmail[4389]: q7T5lQPq004389: from=<us...@te...>, size=684, class=0, nrcpts=1, msgid=<201208290556.q7T5uxP4024703@localhost.localdomain>, proto=ESMTP, daemon=MTA, relay=ns2.example.com [10.64.74.102]
Aug 29 14:48:46 ns1 sendmail[4389]: q7T5lQPq004389: Milter (enma): timeout before data read
Aug 29 14:48:46 ns1 sendmail[4389]: q7T5lQPq004389: Milter (enma): to error state
Aug 29 14:48:46 ns1 sendmail[4408]: q7T5lQPq004389: to=<us...@me...>, delay=00:00:10, xdelay=00:00:00, mailer=smtp, pri=120684, relay=[10.64.72.11] [10.64.72.11], dsn=2.0.0, stat=Sent (q7T5q2Rf004740 Message accepted for delivery)
Aug 29 14:48:58 ns1 enma[4154]: [q7T5lQPq004389] DNS lookup failure: rrtype=a, domain=a.example.com, err=SERVFAIL
Aug 29 14:48:58 ns1 enma[4154]: [q7T5lQPq004389] [SPF-auth] ipaddr=10.64.74.102, eval=smtp.mailfrom, helo=ns2.example.com, envfrom=<us...@te...>, score=temperror
----------------------------------------------------------

【検証での使用ソフトウェア】
--------------------------
OS：RHEL5.1
milter：enma1.2.0
メールサーバソフトウェア：sendmail 8.13.8
enma前提ライブラリ
　-libbind6.0
　-libmilter（sendmail.8.14.5内包）
　-openssl-1.0.1c
--------------------------


長々とすみません。
ご協力のほど、よろしくお願い致します。


- 以上 -

[Enma-users-jp] 【ご質問】エンマの仕様や動作について

From: <kei...@hi...> - 2012-10-11 13:06:56

お世話になっております。小林と申します。

題記の件、enmaの仕様や動作に関する(1)〜(3)について、ご教示頂けないでしょうか。

ご回答できる質問からでも構いませんので、ご協力よろしくお願い致します。
事例や見解など頂ければ幸いです。


(1)RFC4408で定義されている「fail」について、エンマではfailを「hardfail」と
　して定義しています。
　意味は同じだと認識していますが、RFC5451に従っているとの記載もあります。
　SPF認証の結果として、正式な表記はどちらなのでしょうか？
　また、なぜ呼び方が違うのか、分かる情報があれば教えて下さい。

　また、RFC5451で定義されている「policy」というヘッダがエンマの処理にて
　付与されるケースはあるのでしょうか？

　参考：http://salt.iajapan.org/wpmu/anti_spam/admin/tech/rfc/rfc4408/page-8/
　参考：http://salt.iajapan.org/wpmu/anti_spam/admin/tech/rfc/rfc5451/page-13/
　参考：http://www.iajapan.org/anti_spam/event/2009/conf0519/pdf/3-2.pdf


(2)同一のメールヘッダに複数の「Authentication-Results」が記載されること
　はあるでしょうか？
　エンマの資料では、すでに「Authentication-Results」が付いている場合は
　削除して上書すると記載されています。
　つまり、「Authentication-Results」が重複することはなく、最後に付与
　した情報のみが残ると認識しています。

　参考：http://www.iajapan.org/anti_spam/event/2009/conf0519/pdf/3-2.pdf


(3)enmaによるDNSタイムアウト時の動作検証について以下の事象が発生しました。
　下記事象について、2点質問させて下さい。

　【事象】
　enmaプロセスがDNSタイムアウト(22秒でタイムアウト)してtemperrorを返す前に、
　sendmailプロセスがタイムアウトを起こし、Authentication-Resultsヘッダを
　付けること無く、メールを配送してしまう事象が発生しています。

　弊社検証では、事象の対策としてsendmailにてmilterのタイムアウト時間を十分
　大きな値(10秒(デフォルト)→1分)に変更しました。

　これについて下記2点をご教示頂きたく。

　enmaの運用の中で、このような事象が確認されているでしょうか。
　　※例1：temperrorを返す前にsendmail(postfix)がタイムアウトを起こしてヘッダが付かない
　　　例2：enmaプロセスのDNSタイムアウト待ちが原因となりメール処理が遅延する

　本事象を受けて、sendmail(またはenma)のタイムアウト時間を設定しようと考えています。
　　その際、どのような観点からタイムアウト時間を決定すればよいかご教示下さい。
　　もしくは、事象の対策として推奨する設定値があればご教示下さい。

　enmaのDNSタイムアウト時間を変更することはできるでしょうか？
　　enmaのマニュアルにはDNSタイムアウトのパラメータは無いように見えますが。


【正常時のmaillog（Authentication-Resultsヘッダが付与された場合）】
----------------------------------------------------------
Aug 29 15:10:24 ns1 sendmail[4907]: q7T69DwY004907: from=<us...@te...>, size=684, class=0, nrcpts=1, msgid=<201208290618.q7T6Il6V024999@localhost.localdomain>, proto=ESMTP, daemon=MTA, relay=ns2.example.com [10.64.74.102]
Aug 29 15:10:46 ns1 enma[4154]: [q7T69DwY004907] DNS lookup failure: rrtype=a, domain=a.example.com, err=SERVFAIL
Aug 29 15:10:46 ns1 enma[4154]: [q7T69DwY004907] [SPF-auth] ipaddr=10.64.74.102, eval=smtp.mailfrom, helo=ns2.example.com, envfrom=<us...@te...>, score=temperror
Aug 29 15:10:46 ns1 sendmail[4907]: q7T69DwY004907: Milter insert (0): header: Authentication-Results: localhost; spf=temperror smtp.mailfrom=us...@te...
Aug 29 15:10:46 ns1 sendmail[4950]: q7T69DwY004907: to=<us...@me...>, delay=00:00:22, xdelay=00:00:00, mailer=smtp, pri=120684, relay=[10.64.72.11] [10.64.72.11], dsn=2.0.0, stat=Sent (q7T6E1mI005223 Message accepted for delivery)
----------------------------------------------------------

【事象発生時のmaillog（Authentication-Resultヘッダが付与されなかった場合）】
----------------------------------------------------------
Aug 29 14:48:36 ns1 sendmail[4389]: q7T5lQPq004389: from=<us...@te...>, size=684, class=0, nrcpts=1, msgid=<201208290556.q7T5uxP4024703@localhost.localdomain>, proto=ESMTP, daemon=MTA, relay=ns2.example.com [10.64.74.102]
Aug 29 14:48:46 ns1 sendmail[4389]: q7T5lQPq004389: Milter (enma): timeout before data read
Aug 29 14:48:46 ns1 sendmail[4389]: q7T5lQPq004389: Milter (enma): to error state
Aug 29 14:48:46 ns1 sendmail[4408]: q7T5lQPq004389: to=<us...@me...>, delay=00:00:10, xdelay=00:00:00, mailer=smtp, pri=120684, relay=[10.64.72.11] [10.64.72.11], dsn=2.0.0, stat=Sent (q7T5q2Rf004740 Message accepted for delivery)
Aug 29 14:48:58 ns1 enma[4154]: [q7T5lQPq004389] DNS lookup failure: rrtype=a, domain=a.example.com, err=SERVFAIL
Aug 29 14:48:58 ns1 enma[4154]: [q7T5lQPq004389] [SPF-auth] ipaddr=10.64.74.102, eval=smtp.mailfrom, helo=ns2.example.com, envfrom=<us...@te...>, score=temperror
----------------------------------------------------------

【検証での使用ソフトウェア】
--------------------------
OS：RHEL5.1
milter：enma1.2.0
メールサーバソフトウェア：sendmail 8.13.8
enma前提ライブラリ
　-libbind6.0
　-libmilter（sendmail.8.14.5内包）
　-openssl-1.0.1c
--------------------------


長々とすみません。
ご協力のほど、よろしくお願い致します。


- 以上 -

Re: [Enma-users-jp] enma1.2.0におけるldns使用時のエラーについて

From: SUZUKI T. <tak...@ii...> - 2012-09-13 08:35:03

小林さん

鈴木です。

On 12/09/13 17:19, kei...@hi... wrote:

>>> (1) RHEL5.1にenma1.2.0をインストールして動作確認をしているのですが、リゾルバライブラリとして
>>> ldnsを使用している際にSPF認証がタイムアウトすると、enmaがエラーを返してメールを配送元に送り
>>> 返してしまいます。エラーの発生原因をご教示頂けないでしょうか。（詳細については後述にて記載）
>>
>> 原因はおそらく、ネットワークエラーが発生した際に ldns が返すエラーのハンドリングの
>> 仕方に問題があると思うのですが、ちょっと検証する時間がとれてないです。
> 
> 背景を申し上げますと、この事象がこちらのインストール手順の不備であるのかenma1.2.0の仕様であるのか切り分けがつけられなかった為、ご質問させて頂いた次第です。
> 最終的には、これがライブラリのコンパイルオプション指定や設定変更等によって回避可能であるものなのか確認できればと思っています。
> 仕様であり回避不可能な事象である場合は、先にご回答頂いた通りlibbindを使用すべきだと思いました。

手短に申し上げますと、仕様ではなく、ENMA の不具合です。
リゾルバライブラリは悪くないので、ビルド方法や設定変更では解決しません。
ただ、原因の箇所が ldns と組み合わせた場合にのみ使われるコードにあるので、
libbind と組み合わせれば取り急ぎ回避することができます。

-- 
SUZUKI Takahiko <tak...@ii...>

Re: [Enma-users-jp] enma1.2.0におけるldns使用時のエラーについて

From: <kei...@hi...> - 2012-09-13 08:19:56

鈴木様

小林です。
お忙しい中、ご返信ありがとうございます。

>> (1) RHEL5.1にenma1.2.0をインストールして動作確認をしているのですが、リゾルバライブラリとして
>> ldnsを使用している際にSPF認証がタイムアウトすると、enmaがエラーを返してメールを配送元に送り
>> 返してしまいます。エラーの発生原因をご教示頂けないでしょうか。（詳細については後述にて記載）
>
>原因はおそらく、ネットワークエラーが発生した際に ldns が返すエラーのハンドリングの
>仕方に問題があると思うのですが、ちょっと検証する時間がとれてないです。

背景を申し上げますと、この事象がこちらのインストール手順の不備であるのかenma1.2.0の仕様であるのか切り分けがつけられなかった為、ご質問させて頂いた次第です。
最終的には、これがライブラリのコンパイルオプション指定や設定変更等によって回避可能であるものなのか確認できればと思っています。
仕様であり回避不可能な事象である場合は、先にご回答頂いた通りlibbindを使用すべきだと思いました。

以上、宜しくお願い致します。


>小林さん
>
>鈴木です。
>
>ご報告ありがとうございます。
>
>返事が遅くなってしまって申し訳ありません。
>ちゃんと調べてからお返事しようと思っていたのですが、
>ちょっと時間がとれていないので、答えられるところだけですがお答えします。
>
>> (1) RHEL5.1にenma1.2.0をインストールして動作確認をしているのですが、リゾルバライブラリとして
>> ldnsを使用している際にSPF認証がタイムアウトすると、enmaがエラーを返してメールを配送元に送り
>> 返してしまいます。エラーの発生原因をご教示頂けないでしょうか。（詳細については後述にて記載）
>
>原因はおそらく、ネットワークエラーが発生した際に ldns が返すエラーのハンドリングの
>仕方に問題があると思うのですが、ちょっと検証する時間がとれてないです。
>
>> (2) enma1.2.0が使用するデフォルトのリゾルバライブラリはldnsとなっているのですが、
>> これがenma1.2.0推奨のリゾルバライブラリであるという認識は正しいのでしょうか。
>
>ldns をデフォルトにしているのは、「これからは ldns で行きたい」という気持ちの表れなのですが、
>ldns を使っているコードは libbind を使っているコードに比べると実績は乏しいです。
>libbind を使ってるコードは実績もあり、よく枯れているので、
>すぐに安定動作するバイナリを用意する必要がある場合は libbind を使っていただくのが早いかと思います。
>
>
>
>On 12/09/06 13:28, kei...@hi... wrote:
>> お世話になっております。小林と申します。
>> 
>> 題記の件、enma1.2.0にてエラーが発生しており、これについて下記2点をご教示頂けないでしょうか。
>> 
>> (1) RHEL5.1にenma1.2.0をインストールして動作確認をしているのですが、リゾルバライブラリとしてldnsを使用している際にSPF認証がタイムアウトすると、enmaがエラーを返してメールを配送元に送り返してしまいます。エラーの発生原因をご教示頂けないでしょうか。（詳細については後述にて記載）
>> 
>> (2) enma1.2.0が使用するデフォルトのリゾルバライブラリはldnsとなっているのですが、これがenma1.2.0推奨のリゾルバライブラリであるという認識は正しいのでしょうか。
>> 
>> 
>> [詳細]
>> ldns使用時にて、SPF認証がタイムアウトした際に下記エラーログが出力され、メールを配送元に送り返します。
>> ----------------------------------------------------------------------------------
>> Sep  3 20:09:45 test1 enma[21686]: [q83B84v5021778] DNS lookup failure: rrtype=a, domain=a.example.com,err=Could not send or receive, because of network error
>> Sep  3 20:09:45 test1 enma[21686]: [q83B84v5021778] src/enma_sidf.c: 185 EnmaSpf_appendScore(): SidfRequest_eval failed: score=0x9
>> Sep  3 20:09:45 test1 sendmail[21778]: q83B84v5021778: Milter: data, reject=451 4.3.2 Please try again later
>> ----------------------------------------------------------------------------------
>> 
>> enma1.2.0コンパイル時にリゾルバライブラリとしてlibbindを指定すると上記エラーは発生せず、Authentication-Resultsヘッダにtemperrorを付けて正しく配送されます。
>> ----------------------------------------------------------------------------------
>> Aug 29 15:10:46 test1 enma[4154]: [q7T69DwY004907] DNS lookup failure: rrtype=a, domain=a.example.com, err=SERVFAIL	
>> Aug 29 15:10:46 test1 enma[4154]: [q7T69DwY004907] [SPF-auth] ipaddr=xxx.xxx.xxx.xxx, eval=smtp.mailfrom, helo=test2.hoge.jp, envfrom=<us...@te...>, score=temperror
>> Aug 29 15:10:46 test1 sendmail[4907]: q7T69DwY004907: Milter insert (0): header: Authentication-Results: localhost; spf=temperror smtp.mailfrom=us...@te...
>> ----------------------------------------------------------------------------------
>> 
>> なお、上記確認時におけるメールソフト、前提ライブラリのバージョンは下記となります。
>> 
>> ・ldns使用時
>> --------------------------
>> OS：RHEL5.1
>> メールサーバソフトウェア：sendmail 8.13.8
>> enma前提ライブラリ
>> 　-ldns1.6.13
>> 　-libmilter（sendmail.8.14.5内包）
>> 　-openssl-1.0.1c
>> --------------------------
>> 
>> ・libbind使用時
>> --------------------------
>> OS：RHEL5.1
>> メールサーバソフトウェア：sendmail 8.13.8
>> enma前提ライブラリ
>> 　-libbind6.0
>> 　-libmilter（sendmail.8.14.5内包）
>> 　-openssl-1.0.1c
>> --------------------------
>> 
>> 以上、宜しくお願い致します。
>> 
>> ------------------------------------------------------------------------------
>> Live Security Virtual Conference
>> Exclusive live event will cover all the ways today's security and
>> threat landscape has changed and how IT managers can respond. Discussions
>> will include endpoint security, mobile security and the latest in malware
>> threats. http://www.accelacomm.com/jaw/sfrnl04242012/114/50122263/
>> _______________________________________________
>> Enma-users-jp mailing list
>> Enm...@li...
>> https://lists.sourceforge.net/lists/listinfo/enma-users-jp
>> 
>
>
>-- 
>SUZUKI Takahiko <tak...@ii...>
>
>
>------------------------------------------------------------------------------
>Live Security Virtual Conference
>Exclusive live event will cover all the ways today's security and 
>threat landscape has changed and how IT managers can respond. Discussions 
>will include endpoint security, mobile security and the latest in malware 
>threats. http://www.accelacomm.com/jaw/sfrnl04242012/114/50122263/
>_______________________________________________
>Enma-users-jp mailing list
>Enm...@li...
>https://lists.sourceforge.net/lists/listinfo/enma-users-jp
>

Re: [Enma-users-jp] enma1.2.0におけるldns使用時のエラーについて

From: SUZUKI T. <tak...@ii...> - 2012-09-11 11:21:29

小林さん

鈴木です。

ご報告ありがとうございます。

返事が遅くなってしまって申し訳ありません。
ちゃんと調べてからお返事しようと思っていたのですが、
ちょっと時間がとれていないので、答えられるところだけですがお答えします。

> (1) RHEL5.1にenma1.2.0をインストールして動作確認をしているのですが、リゾルバライブラリとして
> ldnsを使用している際にSPF認証がタイムアウトすると、enmaがエラーを返してメールを配送元に送り
> 返してしまいます。エラーの発生原因をご教示頂けないでしょうか。（詳細については後述にて記載）

原因はおそらく、ネットワークエラーが発生した際に ldns が返すエラーのハンドリングの
仕方に問題があると思うのですが、ちょっと検証する時間がとれてないです。

> (2) enma1.2.0が使用するデフォルトのリゾルバライブラリはldnsとなっているのですが、
> これがenma1.2.0推奨のリゾルバライブラリであるという認識は正しいのでしょうか。

ldns をデフォルトにしているのは、「これからは ldns で行きたい」という気持ちの表れなのですが、
ldns を使っているコードは libbind を使っているコードに比べると実績は乏しいです。
libbind を使ってるコードは実績もあり、よく枯れているので、
すぐに安定動作するバイナリを用意する必要がある場合は libbind を使っていただくのが早いかと思います。



On 12/09/06 13:28, kei...@hi... wrote:
> お世話になっております。小林と申します。
> 
> 題記の件、enma1.2.0にてエラーが発生しており、これについて下記2点をご教示頂けないでしょうか。
> 
> (1) RHEL5.1にenma1.2.0をインストールして動作確認をしているのですが、リゾルバライブラリとしてldnsを使用している際にSPF認証がタイムアウトすると、enmaがエラーを返してメールを配送元に送り返してしまいます。エラーの発生原因をご教示頂けないでしょうか。（詳細については後述にて記載）
> 
> (2) enma1.2.0が使用するデフォルトのリゾルバライブラリはldnsとなっているのですが、これがenma1.2.0推奨のリゾルバライブラリであるという認識は正しいのでしょうか。
> 
> 
> [詳細]
> ldns使用時にて、SPF認証がタイムアウトした際に下記エラーログが出力され、メールを配送元に送り返します。
> ----------------------------------------------------------------------------------
> Sep  3 20:09:45 test1 enma[21686]: [q83B84v5021778] DNS lookup failure: rrtype=a, domain=a.example.com,err=Could not send or receive, because of network error
> Sep  3 20:09:45 test1 enma[21686]: [q83B84v5021778] src/enma_sidf.c: 185 EnmaSpf_appendScore(): SidfRequest_eval failed: score=0x9
> Sep  3 20:09:45 test1 sendmail[21778]: q83B84v5021778: Milter: data, reject=451 4.3.2 Please try again later
> ----------------------------------------------------------------------------------
> 
> enma1.2.0コンパイル時にリゾルバライブラリとしてlibbindを指定すると上記エラーは発生せず、Authentication-Resultsヘッダにtemperrorを付けて正しく配送されます。
> ----------------------------------------------------------------------------------
> Aug 29 15:10:46 test1 enma[4154]: [q7T69DwY004907] DNS lookup failure: rrtype=a, domain=a.example.com, err=SERVFAIL	
> Aug 29 15:10:46 test1 enma[4154]: [q7T69DwY004907] [SPF-auth] ipaddr=xxx.xxx.xxx.xxx, eval=smtp.mailfrom, helo=test2.hoge.jp, envfrom=<us...@te...>, score=temperror
> Aug 29 15:10:46 test1 sendmail[4907]: q7T69DwY004907: Milter insert (0): header: Authentication-Results: localhost; spf=temperror smtp.mailfrom=us...@te...
> ----------------------------------------------------------------------------------
> 
> なお、上記確認時におけるメールソフト、前提ライブラリのバージョンは下記となります。
> 
> ・ldns使用時
> --------------------------
> OS：RHEL5.1
> メールサーバソフトウェア：sendmail 8.13.8
> enma前提ライブラリ
> 　-ldns1.6.13
> 　-libmilter（sendmail.8.14.5内包）
> 　-openssl-1.0.1c
> --------------------------
> 
> ・libbind使用時
> --------------------------
> OS：RHEL5.1
> メールサーバソフトウェア：sendmail 8.13.8
> enma前提ライブラリ
> 　-libbind6.0
> 　-libmilter（sendmail.8.14.5内包）
> 　-openssl-1.0.1c
> --------------------------
> 
> 以上、宜しくお願い致します。
> 
> ------------------------------------------------------------------------------
> Live Security Virtual Conference
> Exclusive live event will cover all the ways today's security and
> threat landscape has changed and how IT managers can respond. Discussions
> will include endpoint security, mobile security and the latest in malware
> threats. http://www.accelacomm.com/jaw/sfrnl04242012/114/50122263/
> _______________________________________________
> Enma-users-jp mailing list
> Enm...@li...
> https://lists.sourceforge.net/lists/listinfo/enma-users-jp
> 


-- 
SUZUKI Takahiko <tak...@ii...>

[Enma-users-jp] enma1.2.0におけるldns使用時のエラーについて

From: <kei...@hi...> - 2012-09-06 04:51:58

お世話になっております。小林と申します。

題記の件、enma1.2.0にてエラーが発生しており、これについて下記2点をご教示頂けないでしょうか。

(1) RHEL5.1にenma1.2.0をインストールして動作確認をしているのですが、リゾルバライブラリとしてldnsを使用している際にSPF認証がタイムアウトすると、enmaがエラーを返してメールを配送元に送り返してしまいます。エラーの発生原因をご教示頂けないでしょうか。（詳細については後述にて記載）

(2) enma1.2.0が使用するデフォルトのリゾルバライブラリはldnsとなっているのですが、これがenma1.2.0推奨のリゾルバライブラリであるという認識は正しいのでしょうか。


[詳細]
ldns使用時にて、SPF認証がタイムアウトした際に下記エラーログが出力され、メールを配送元に送り返します。
----------------------------------------------------------------------------------
Sep  3 20:09:45 test1 enma[21686]: [q83B84v5021778] DNS lookup failure: rrtype=a, domain=a.example.com,err=Could not send or receive, because of network error
Sep  3 20:09:45 test1 enma[21686]: [q83B84v5021778] src/enma_sidf.c: 185 EnmaSpf_appendScore(): SidfRequest_eval failed: score=0x9
Sep  3 20:09:45 test1 sendmail[21778]: q83B84v5021778: Milter: data, reject=451 4.3.2 Please try again later
----------------------------------------------------------------------------------

enma1.2.0コンパイル時にリゾルバライブラリとしてlibbindを指定すると上記エラーは発生せず、Authentication-Resultsヘッダにtemperrorを付けて正しく配送されます。
----------------------------------------------------------------------------------
Aug 29 15:10:46 test1 enma[4154]: [q7T69DwY004907] DNS lookup failure: rrtype=a, domain=a.example.com, err=SERVFAIL	
Aug 29 15:10:46 test1 enma[4154]: [q7T69DwY004907] [SPF-auth] ipaddr=xxx.xxx.xxx.xxx, eval=smtp.mailfrom, helo=test2.hoge.jp, envfrom=<us...@te...>, score=temperror
Aug 29 15:10:46 test1 sendmail[4907]: q7T69DwY004907: Milter insert (0): header: Authentication-Results: localhost; spf=temperror smtp.mailfrom=us...@te...
----------------------------------------------------------------------------------

なお、上記確認時におけるメールソフト、前提ライブラリのバージョンは下記となります。

・ldns使用時
--------------------------
OS：RHEL5.1
メールサーバソフトウェア：sendmail 8.13.8
enma前提ライブラリ
　-ldns1.6.13
　-libmilter（sendmail.8.14.5内包）
　-openssl-1.0.1c
--------------------------

・libbind使用時
--------------------------
OS：RHEL5.1
メールサーバソフトウェア：sendmail 8.13.8
enma前提ライブラリ
　-libbind6.0
　-libmilter（sendmail.8.14.5内包）
　-openssl-1.0.1c
--------------------------

以上、宜しくお願い致します。