spamassassin & razor

[=Jägermeister=]

Hallo,
ich habe ein kleines Problem mit meinem Mailserver.
Ich nutze dort Postfix, amavis , clamAV und Spamassassin.
Das läuft auch soweit ganz gut nur da die Spammails die durch kommen in letzter Zeit zugenommen habe ich den Razor installiert (habe allerdings vorher noch nie etwas damit gemacht).
Und irgendwie läuft der aber nicht so ganz

Habe mir schon diverse Anleitungen im Inet angeschaut die recht unterschiedlich sind aber irgendwas mach ich falsch.

Also ich habe die Spamassassinversion 3.1.0 und habe die Razorversion 2.67 installiert (was halt in den Quellen der stabilen Version ist). So das hat auch soweit funktioniert. So dann habe ich eingegeben

Code: Alles auswählen

razor-admin -create -home=/etc/razor/ 
razor-admin -config=/etc/razor/razor-agent.conf
razor-admin -register

Danach waren halt die .conf Datei und diese Server .lst Datein vorhanden.

So dann habe ich noch im Internet gelesen das ich in der local.cf vom Spamassassin folgende Zeilen einfügen muss:

Code: Alles auswählen

use_razor2 1
razor_config /etc/razor/razor-agent.conf

Wenn ich Spammassian im Debug laufen lasse stoße ich aber auf folgende Zeilen:

Code: Alles auswählen

[14550] info: config: failed to parse line, skipping: use_razor2 1
[14550] info: config: failed to parse line, skipping: razor_config /etc/razor/razor-agent.conf

Also irgendwie läuft das ganze nicht so wie es soll

Weiß jemand was ich falsch mache?
Wäre super wenn jemand Rat wüsste.

Danke!

[mmp5]

ich hatte es wie folg gemacht:

rm /etc/razor/razor-agent.conf
razor-admin -create
razor-admin -register

give a try (with backups)

[=Jägermeister=]

also ohne jegliche veränderungen der local.cf ??

[mistersixt]

Nein, ein "use_razor2 1" muss auf jeden Fall in die local.cf. Bei mir kommt im Debug-Modus:

Code: Alles auswählen

...
debug: Razor2 is available
debug: entering helper-app run mode
 Razor-Log: Computed razorhome from env: /root/.razor
 Razor-Log: Found razorhome: /root/.razor
 Razor-Log: No /root/.razor/razor-agent.conf found, skipping.
 Razor-Log: read_file: 16 items read from /etc/razor/razor-agent.conf
...
debug: Using results from Razor v2.67
debug: Found Razor2 part: part=0 engine=4 ct=0 cf=0
debug: leaving helper-app run mode
debug: Razor2 results: spam? 0  highest cf score: 0
debug: plugin: Mail::SpamAssassin::Plugin::URIDNSBL=HASH(0x84a7c34) implements 'check_tick'
debug: running raw-body-text per-line regexp tests; score so far=-2.623
debug: running full-text regexp tests; score so far=-2.623
debug: Razor2 is available
...

Und die /etc/razor/razor-agent.conf sieht wie folgt aus:

Code: Alles auswählen

#
# Razor2 config file
# 
# Autogenerated by Razor-Agents v2.67 
# Sat Feb 12 23:30:47 2005
# Non-default values taken from /etc/razor/razor-agent.conf 
# 
# see razor-agent.conf(5) man page 
#

debuglevel             = 3
identity               = identity
ignorelist             = 0
listfile_catalogue     = servers.catalogue.lst
listfile_discovery     = servers.discovery.lst
listfile_nomination    = servers.nomination.lst
logfile                = razor-agent.log
logic_method           = 4
min_cf                 = ac
razorzone              = razor2.cloudmark.com
rediscovery_wait       = 172800
report_headers         = 1
sort_by_distance       = 0
turn_off_discovery     = 0
use_engines            = 4,8
whitelist              = razor-whitelist

Gruss, mistersixt.

[Cronet]

Hallo,

würde mich gerne hier dranhängen, da es um ein ähnliches Problem geht.

Spamassassin funktioniert (amavisd-new , Postfix) soweit gut. Jedoch will razor2 nicht wie er sollte.
Installiert und konfiguriert hab ich ihn, alles wunderbar. Wenn ich ihn per razor-check mit einer Spammailfüttere steht im Log auch dass er Sie als Spam erkennt.

in /etc/spamassassin/local.cf habe ich ihn wie oben beschrieben auch aktiviert. Jedoch sehe ich in den Mailheadern keine Anzeichen dass Razor2 irgendwelche Scores hinzufügt.
Ich schätze er wird überhaupt nicht angesprochen.

Hier die ausgabe von

Code: Alles auswählen

$ spamassasssin -D --lint

-> noPaste

Weiß jemand nen Tip ?

Gruß,
Alexander

[mistersixt]

Schau mal in die Datei /etc/spamassassin/v310.pre, ob es da ff. Zeile gibt:

Code: Alles auswählen

loadplugin Mail::SpamAssassin::Plugin::Razor2

Gruss, mistersixt.

[Cronet]

Code: Alles auswählen

$ spamassassin -V
SpamAssassin version 3.0.3
  running on Perl version 5.8.4

Es ist die SA Version aus dem aktuellen Stable.
Da gibt es die Datei nicht.

Die Zeile habe ich bei der Installation manuell in

Code: Alles auswählen

/etc/spamassassin/init.pre

eingetragen.

irgendwo ist bei mir der Wurm drin...

[mistersixt]

Es ist die SA Version aus dem aktuellen Stable.
Da gibt es die Datei nicht.

Aah, ok, ich habe die Version 3.1.7 aus Etch im Einsatz - da bin ich nämlich mit dcc auf die Nase gefallen, die Zeile war auskommentiert, daher dachte ich, dass es vielleicht das gleiche Problem bei Dir mit razor ist.

Gruss, mistersixt.

[Cronet]

mal eine ganz bescheidene Frage:

ich muss doch das razor Home directory als user "amavis" kreiern??
Ebenso wie die dcc maps und pyzor serverlisten.
Oder benutze ich einfach den Falschen user ?!

Bei mir läuft der Childprozess "spam" als user "root". Aber irgendwie habe ich das Gefühl dass der eigentlich nicht als root laufen sollte? Liege ich Falsch?

[zwirni]

Hallo Zusammen,

ich bekomme langsam mit diesem spamassassin echt eine Kriese...
Ich habe das Problem das spamassassin im Livebetrieb seine aktivierten Module, inclusive razor, nicht benutzt.

Wenn ich mit dem Befehl:
spamassassin -D -t < /usr/share/doc/spamassassin/examples/sample-spam.txt 2>&1 | tee sa.out

den Kram teste dann ist alles schick:
Ergebnis:
Apr 30 03:54:04.460 [4809] dbg: check: subtests=__ANY_TEXT_ATTACH,__ANY_TEXT_ATTACH_DOC,__BODY_TEXT_LINE,__BODY_TEXT_LINE,__BODY_TEXT_LINE,__CT,__CTE,__CT_TEXT_PLAIN,__DKIM_DEPENDABLE,__FILL_THIS_FORM_PARTIAL_RAW,__GATED_THROUGH_RCVD_REMOVER,__HAS_DATE,__HAS_FROM,__HAS_MESSAGE_ID,__HAS_MSGID,__HAS_SUBJECT,__HAS_TO,__KAM_BODY_LENGTH_LT_1024,__KAM_BODY_LENGTH_LT_512,__LCL__KAM_BODY_LENGTH_LT_1024,__LCL__KAM_BODY_LENGTH_LT_512,__MIME_VERSION,__MISSING_REF,__MISSING_REPLY,__MSGID_OK_HOST,__NONEMPTY_BODY,__NOT_A_PERSON,__NOT_SPOOFED,__SANE_MSGID,__SENDER_BOT,__TOCC_EXISTS,__TO_EQ_FROM_DOM,__TO_EQ_FROM_DOM_1,__TVD_MIME_ATT_TP,__UNUSABLE_MSGID
Apr 30 03:54:04.461 [4809] dbg: timing: total 6350 ms - init: 805 (12.7%), parse: 0.45 (0.0%), extract_message_metadata: 1.93 (0.0%), get_uri_detail_list: 0.21 (0.0%), tests_pri_-1000: 4.3 (0.1%), compile_gen: 105 (1.7%), compile_eval: 18 (0.3%), tests_pri_-950: 2.8 (0.0%), tests_pri_-900: 3.1 (0.0%), tests_pri_-400: 2.9 (0.0%), tests_pri_0: 5437 (85.6%), dkim_load_modules: 17 (0.3%), check_dkim_signature: 0.30 (0.0%), check_dkim_adsp: 6 (0.1%), check_spf: 20 (0.3%), check_pyzor: 5045 (79.4%), check_razor2: 194 (3.0%), tests_pri_500: 75 (1.2%), tests_pri_900: 5 (0.1%), tests_pri_1000: 9 (0.1%), total_awl: 4.3 (0.1%), check_awl: 0.15 (0.0%), update_awl: 0.11 (0.0%)

Aber im Livebetrieb mit Postfix... Pustekuchen, da mach spamassassin ein paar Standarttests.. mehr nicht... Warum verhält es sich hier so unterschiedlich.. Ich verstehe das nicht?!

Ergebnis Live:
Apr 30 03:57:21 mx01 spamd[4576]: spamd: clean message (-1.1/4. for spamassassin:1008 in 15.2 seconds, 62012 bytes.
Apr 30 03:57:21 mx01 spamd[4576]: spamd: result: . -1 - AWL,BAYES_00,FREEMAIL_FROM,HTML_MESSAGE,MIME_HTML_ONLY,SPF_PASS scantime=15.2,size=62012,user=spamassassin,uid=1008,required_score=4.8,rhost=ip6-localhost,raddr=::1,rport=55398,mid=<trinity-340a0a49-1fcb-45e7-b30d-31a120b86715-1525053424949@3c-app-gmx-bs15>,bayes=0.000000,autolearn=ham autolearn_force=no

Das ganze läuft unter Debian 8 64Bit. Alles über die "normalen" Pakete mit apt installiert. Ich verstehe dieses unterschiedliche Verhalten nicht.

Habt ihr eine Idee?

VG.
Sven

[weshalb]

Das hat in meinen Augen nicht viel zu bedeuten. Provoziere doch einfach mal mit einer Mail ein bestimmtes Modul bzw. eine Auswertung und schaue nach, ob er es tatsächlich nicht benutzt. So wie ich das sehe (und ich werde gerne berichtigt), tauchen beispielsweise nach einem Check von SA im Header auch immer nur eine bestimmte Anzahl an Checks auf, diese varieren jedoch, was nur bedeuten kann, dass der sehr wohl mehrere Checks verarbeitet, aber eben nicht alle anzeigt.

Siehe hier

Mail 1 Headerauszug

Code: Alles auswählen

X-Spam-Status: No, score=0.9 required=5.0 tests=BAYES_00,DKIM_SIGNED,
	DKIM_VALID,FROM_AND_TO_IS_SAME_DOMAIN,FROM_NOT_REPLYTO,HTML_FONT_LOW_CONTRAST,
	HTML_MESSAGE,RCVD_IN_DNSWL_NONE,RDNS_NONE,T_DKIMWL_WL_HIGH,URIBL_BLOCKED
	autolearn=no autolearn_force=no version=3.4.1

Mail 2 Headerauszug

Code: Alles auswählen

X-Spam-Status: No, score=-1.9 required=5.0 tests=BAYES_00,HTML_MESSAGE,
	RCVD_IN_DNSWL_NONE,SPF_HELO_PASS,URIBL_BLOCKED autolearn=ham
	autolearn_force=no version=3.4.1

Sobald der Spam gefangen hat, varieren die Anzeigen ebenfalls:

Spammail 1

Inhaltsanalyse im Detail: (8.2 Punkte, 5.0 benötigt)

Pkte Regelname Beschreibung
---- ---------------------- --------------------------------------------------
1.3 RCVD_IN_BL_SPAMCOP_NET RBL: Transportiert via Rechner in Liste von
www.spamcop.net
[Blocked - see <http://www.spamcop.net/bl.shtml?59.27.225.130>]
3.3 RCVD_IN_SBL_CSS RBL: Received via a relay in Spamhaus SBL-CSS
[59.27.225.130 listed in zen.spamhaus.org]
-0.0 SPF_HELO_PASS SPF: HELO-Name entspricht dem SPF-Datensatz
2.0 FROM_NOT_REPLYTO From does not match Reply-To
1.2 RCVD_NUMERIC_HELO "Received"-Kopfzeilen enthalten numerische
HELO-Identifikation
2.4 RCVD_HELO_IP_MISMATCH HELO-Name und IP-Adresse in Kopfzeilen passen
nicht
0.0 HTML_MESSAGE BODY: Nachricht enthält HTML
-1.9 BAYES_00 BODY: Spamwahrscheinlichkeit nach Bayes-Test: 0-1%
[score: 0.0050]
-0.1 DKIM_VALID_AU Message has a valid DKIM or DK signature from author's
domain
0.1 DKIM_SIGNED Message has a DKIM or DK signature, not necessarily valid
-0.1 DKIM_VALID Message has at least one valid DKIM or DK signature
0.0 FROM_MISSP_MSFT From misspaced + supposed Microsoft tool

Spammail 2

Inhaltsanalyse im Detail: (5.1 Punkte, 5.0 benötigt)

Pkte Regelname Beschreibung
---- ---------------------- --------------------------------------------------
0.0 URIBL_BLOCKED ADMINISTRATOR NOTICE: The query to URIBL was blocked.
See
http://wiki.apache.org/spamassassin/Dns ... nsbl-block
for more information.
[URIs: begh-do.com]
1.5 URIBL_RHS_DOB Contains an URI of a new domain (Day Old Bread)
[URIs: begh-do.com]
0.7 MIME_HTML_ONLY BODY: MIME-Nachricht besteht nur aus HTML
2.1 HTML_IMAGE_ONLY_12 BODY: Außer Bildern nur 800-1200 Zeichen Text
0.0 HTML_MESSAGE BODY: Nachricht enthält HTML
0.8 BAYES_50 BODY: Spamwahrscheinlichkeit nach Bayes-Test: 40-60%
[score: 0.5000]
0.0 LOTS_OF_MONEY Huge... sums of money

[zwirni]

Du hast absolut Recht @weshalb!

Die Anzeige im mail.log ist da etwas verwirrend. Ich konnte das Problem aber nun herausfinden.
Zum einen war ich noch etwas "verwöhnt" von älteren spamassassin Versionen. Die waren im "Standard-Modus" etwas gesprächiger.
Ich musste jetzt meinen Mailservers auf neuere Hardware umziehen und bin jetzt halt auf Debian 8. Und da verhält sich spamassassin im log etwas anders.

Für jeden der das gleiche Problem mit der Ansicht im Log hat hilft es einfach das Debugging für den spamd zu aktivieren.

dazu fügt ihr einfach in /etc/default/spamassassin bei der Zeile:

OPTIONS="--create-prefs --max-children 5 --helper-home-dir"

ein großes -D hinzu:

OPTIONS="-D --create-prefs --max-children 5 --helper-home-dir"

dadurch verhält sich der spamd genauso im Log wie die Ausgabe auf der console wenn man spamassassin -D verwendet.

Dadurch seht ihr im mail.log genau was spamassassin/spamd tut. Da konnte ich meine Probleme erkennen... fehlende Rechte und ein fehlendes Perl Modul.

vergesst aber nicht nach der Problemlösung das -D wieder zu entfernen, sonst müllt euch spamd das log voll...

Bei mir läuft das System jetzt sauber... Perfekt.

Ich danke Dir @weshalb für deine Unterstützung!

LG.
Sven