Advisory: Sophos Endpoint - "Your connection isn't private." We're aware of a certificate issue and are actively working to resolve it. Please see: KB-000045954 for the latest updates.

This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Block entire Top Level Domains in Email Protection : Anti-spam ?

I am getting an enormous amount of spam in user quarantines from a seemingly made up TLD. I used to get .xyz and now I get .science.

Of my 10680 mails in quarrintine, 4455 are from a .science domain

I would love it if someone would tell me how to block these since that are all junk.

I tried 
 under Email Protection : Anti-spam : Sender blacklist but it does not work.

It looks like each SPAM campaign has a different IP, domain, and sub-domain so the TLD is the only common factor. These never get caught by rDNS or RBLs and I would like to see them gone.

Here are some sample headers: 

Received: from ([]:49960) by with esmtp (Exim 4.82_1-5b7a7c0-XX) (envelope-from ) id 1YzYdc-0005Qn-0p for; Mon, 01 Jun 2015 18:56:56 -0400
Received: from ([]:4011 by with ESMTP id 00GP3520VA1D; for ; Mon, 1 Jun 2015 15:56:55 -0700
X-CTCH-RefID: str=0001.0A020203.556CE338.00C9,ss=3,re=0.000,recu=0.000,reip=0.000,cl=3,cld=1,fgs=0
Date: Mon, 1 Jun 2015 15:56:55 -0700

Received: from ([]:50587) by with esmtp (Exim 4.82_1-5b7a7c0-XX) (envelope-from ) id 1YzYS4-0004vz-0R for; Mon, 01 Jun 2015 18:45:00 -0400
Received: from (amavisd, port 6523) by with ESMTP id 00PPATYDE1DVNNNY46; for ; Mon, 1 Jun 2015 15:44:56 -0700
X-CTCH-RefID: str=0001.0A020202.556CE038.0081,ss=3,sh,re=0.000,recu=0.000,reip=0.000,cl=3,cld=1,fgs=0
Date: Mon, 1 Jun 2015 15:44:56 -0700
Content-Language: en-us

Will a REGEX work?

If so, can someone please post one?


This thread was automatically locked due to age.
  • REGEX and *@*.science won't work, but you may be able to block Alpnames name servers which is where all that garbage comes from.  I haven't tried this, so please let us know if it works...

    (What was I thinking?  - No way this could work!)  Make Static DNS definitions for ns1, ns2, ns3 and with IPs inside your subnet but that don't exist in your LAN.  Flush the DNS cache.  On the 'Anti-Spam' tab, select 'Do strict RDNS checks'.  I'm curious what this will cause in the SMTP and DNS logs. 

    Cheers - Bob
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • Thanks Bob!

    So if I understand correctly, .science spammer scum can currently pass rDNS checks but by creating local static names for their DNS servers that go nowhere, you essentially make it impossible for said spammer scum to pass  'Strict RDNS checks'. This has the advantage that when said spammer scum abandon .science for the next .crap they will still be kept out unless they change their DNS servers.

    I am willing to try this but a few more questions first:

    1. Can you provide a litte detail on why REGEX and *@*.science won't work?

    2. By 
    IPs inside your subnet but that don't exist in your LAN
     I want to clarify that you mean just use 4 unused IPs from my LAN that do not connect to an actual host so traffic goes nowhere.

    3. Until now I thought the general consensus was that 'Do strict RDNS checks' was going to cause too many legitimate senders to get their emails denied. Are you now of the opinion that it is OK to use 'Do strict RDNS checks'? If so have you been using it?


    Best Regards - HTG
    Frustrated Sophos Partner seeing all the things
    that brought me to Sophos slowly slip away.

  • 1. They just don't work.
    2. Yes, I think that will cause the UTM's lookup to fail and that it will not try to ask for name resolution from another DNS server.
    3. Based on BrucekConvergent's comment last year that he'd been using it, I started switching folks over to that beginning with ours.  You may need to add one or two domains to an Exception for rDNS, but probably not.

    Cheers - Bob
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • Thanks Bob. I will post the results.

    Best Regards - HTG
    Frustrated Sophos Partner seeing all the things
    that brought me to Sophos slowly slip away.

  • Bob,

    Here are screen shots. Please let me know if this is what you envisioned.

    Just thinking out loud here but this could become a powerful tool in in the endless fight with spammers. Could I just make one network definition and add ns2, ns3, ns4 as additional host names instead of making 4 network definitions? 

    This would also allow the list to grow by targeting the DNS of other spammer scum without ending up with a bunch a network definitions.

    I have your suggestions online, and will review the log in a few hours.

    Might even post some log if you got 'em!

    Best Regards - HTG
    Frustrated Sophos Partner seeing all the things
    that brought me to Sophos slowly slip away.

  • Bob,

    No joy.

    The suggestions do not stop the UTM from looking up the IP of a .science domain. It was my understanding that you wanted to cause the IP address lookup to fail in DNS so that the rDNS check would fail and the spam would be rejected.

    Perhaps I did something wrong, or there is something more required.

    I used host, not DNS host for the definitions because there was no way to add an ip like you requested, but maybe that would be an option.

    Any help appreciated. This could really benefit the community if you can make it work. I don't mind being the guinea pig as long as it doesn't break my mail server. [:O]

    Let me know if you would like a DNS log.


    Here is some log:

    2015:06:04-18:23:27 7552-5 exim-in[2776]: 2015-06-04 18:23:27 []:52028 Warning: profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:23:27 7552-5 exim-in[2776]: 2015-06-04 18:23:27 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="" from="" to="" size="4322" reason="rbl" extra=""
    2015:06:04-18:23:27 7552-5 exim-in[2776]: 2015-06-04 18:23:27 []:52028 F= rejected RCPT : blacklisted at
    2015:06:04-18:23:27 7552-5 exim-in[2776]: 2015-06-04 18:23:27 SMTP connection from []:52028 closed by DROP in ACL
    2015:06:04-18:23:27 7552-5 exim-in[2775]: 2015-06-04 18:23:27 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="" from="" to="" size="4319" reason="rbl" extra=""
    2015:06:04-18:23:27 7552-5 exim-in[2775]: 2015-06-04 18:23:27 []:43680 F= rejected RCPT : blacklisted at
    2015:06:04-18:23:27 7552-5 exim-in[2775]: 2015-06-04 18:23:27 SMTP connection from []:43680 closed by DROP in ACL
    2015:06:04-18:24:37 7552-5 exim-in[3024]: 2015-06-04 18:24:37 ( []:59696 Warning: profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:24:37 7552-5 exim-in[3025]: 2015-06-04 18:24:37 ( []:53964 Warning: profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:24:37 7552-5 exim-in[3024]: 2015-06-04 18:24:37 [] F= R= Verifying recipient address with callout
    2015:06:04-18:24:37 7552-5 exim-in[3025]: 2015-06-04 18:24:37 [] F= R= Verifying recipient address with callout
    2015:06:04-18:24:38 7552-5 exim-in[3025]: 2015-06-04 18:24:38 1Z0dYz-0000mn-2Q  R= Verifying recipient address with callout
    2015:06:04-18:24:38 7552-5 exim-in[3024]: 2015-06-04 18:24:38 ( []:59696 Warning: profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:24:38 7552-5 exim-in[3024]: 2015-06-04 18:24:38 [] F= R= Verifying recipient address with callout
    2015:06:04-18:24:38 7552-5 exim-in[3025]: 2015-06-04 18:24:38 1Z0dZ0-0000mn-1E  R= Verifying recipient address with callout
    2015:06:04-18:24:38 7552-5 exim-in[3024]: 2015-06-04 18:24:38 ( []:59696 Warning: profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:24:38 7552-5 exim-in[3024]: 2015-06-04 18:24:38 [] F= R= Verifying recipient address with callout
    2015:06:04-18:24:38 7552-5 exim-in[3025]: 2015-06-04 18:24:38 1Z0dZ0-0000mn-2d  rejected RCPT : blacklisted at
    2015:06:04-18:35:06 7552-5 exim-in[4684]: 2015-06-04 18:35:06 SMTP connection from ( []:35422 closed by DROP in ACL
    2015:06:04-18:35:06 7552-5 exim-in[4683]: 2015-06-04 18:35:06 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="" from="" to="" size="7302" reason="rbl" extra=""
    2015:06:04-18:35:06 7552-5 exim-in[4683]: 2015-06-04 18:35:06 ( []:53331 F= rejected RCPT : blacklisted at
    2015:06:04-18:35:06 7552-5 exim-in[4683]: 2015-06-04 18:35:06 SMTP connection from ( []:53331 closed by DROP in ACL
    2015:06:04-18:35:06 7552-5 exim-in[4687]: 2015-06-04 18:35:06 ( []:48946 Warning: profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:35:06 7552-5 exim-in[4688]: 2015-06-04 18:35:06 ( []:53859 Warning: profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:35:06 7552-5 exim-in[4688]: 2015-06-04 18:35:06 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="" from="" to="" size="7140" reason="rbl" extra=""
    2015:06:04-18:35:06 7552-5 exim-in[4688]: 2015-06-04 18:35:06 ( []:53859 F= rejected RCPT : blacklisted at
    2015:06:04-18:35:06 7552-5 exim-in[4688]: 2015-06-04 18:35:06 SMTP connection from ( []:53859 closed by DROP in ACL
    2015:06:04-18:35:06 7552-5 exim-in[4687]: 2015-06-04 18:35:06 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="" from="" to="" size="7222" reason="rbl" extra=""
    2015:06:04-18:35:06 7552-5 exim-in[4687]: 2015-06-04 18:35:06 ( []:48946 F= rejected RCPT : blacklisted at
    2015:06:04-18:35:06 7552-5 exim-in[4687]: 2015-06-04 18:35:06 SMTP connection from ( []:48946 closed by DROP in ACL
    2015:06:04-18:35:07 7552-5 exim-in[4692]: 2015-06-04 18:35:07 ( []:60392 Warning: profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:35:07 7552-5 exim-in[4691]: 2015-06-04 18:35:07 ( []:57728 Warning: profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:35:07 7552-5 exim-in[4692]: 2015-06-04 18:35:07 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="" from="" to="" size="7220" reason="rbl" extra=""
    2015:06:04-18:35:07 7552-5 exim-in[4692]: 2015-06-04 18:35:07 ( []:60392 F= rejected RCPT : blacklisted at
    2015:06:04-18:35:07 7552-5 exim-in[4692]: 2015-06-04 18:35:07 SMTP connection from ( []:60392 closed by DROP in ACL
    2015:06:04-18:35:07 7552-5 exim-in[4691]: 2015-06-04 18:35:07 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="" from="" to="" size="7175" reason="rbl" extra=""
    2015:06:04-18:35:07 7552-5 exim-in[4691]: 2015-06-04 18:35:07 ( []:57728 F= rejected RCPT : blacklisted at
    2015:06:04-18:35:07 7552-5 exim-in[4691]: 2015-06-04 18:35:07 SMTP connection from ( []:57728 closed by DROP in ACL
    2015:06:04-18:35:07 7552-5 exim-in[4695]: 2015-06-04 18:35:07 ( []:45379 Warning: profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:35:08 7552-5 exim-in[4695]: 2015-06-04 18:35:08 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="" from="" to="" size="7205" reason="rbl" extra=""
    2015:06:04-18:35:08 7552-5 exim-in[4695]: 2015-06-04 18:35:08 ( []:45379 F= rejected RCPT : blacklisted at
    2015:06:04-18:35:08 7552-5 exim-in[4695]: 2015-06-04 18:35:08 SMTP connection from ( []:45379 closed by DROP in ACL
    2015:06:04-18:35:52 7552-5 exim-in[4750]: 2015-06-04 18:35:52 []:52248 Warning: profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:35:52 7552-5 exim-in[4750]: 2015-06-04 18:35:52 [] F= R= Verifying recipient address with callout
    2015:06:04-18:35:52 7552-5 exim-in[4750]: 2015-06-04 18:35:52 1Z0djs-0001Ec-2P  R= Verifying recipient address with callout
    2015:06:04-18:35:59 7552-5 exim-in[4759]: 2015-06-04 18:35:59 1Z0djz-0001El-0z 

    The attached screen shot also shows that a workstation has no problem performing the lookup as well.

    Best Regards - HTG
    Frustrated Sophos Partner seeing all the things
    that brought me to Sophos slowly slip away.

  • Bob,

    Here's a bit from the DNS log.

    2015:06:04-19:45:50 7552-5 named[4130]: received SIGHUP signal to reload zones
    2015:06:04-19:45:50 7552-5 named[4130]: loading configuration from '//etc/named.conf'
    2015:06:04-19:45:50 7552-5 named[4130]: no IPv6 interfaces found
    2015:06:04-19:45:50 7552-5 named[4130]: sizing zone task pool based on 38 zones
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 16.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 17.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 18.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 19.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 64.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 65.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 66.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 67.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 68.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 69.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 70.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 71.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 72.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 73.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 74.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 75.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 76.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 77.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 78.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 79.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 80.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 81.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 82.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 83.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 84.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 85.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 86.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 87.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 88.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 89.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 90.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 91.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 92.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 93.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 94.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 95.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 96.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 97.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 98.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 99.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 100.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 101.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 102.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 103.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 104.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 105.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 106.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 107.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 108.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 109.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 110.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 111.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 112.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 113.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 114.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 115.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 116.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 117.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 118.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 119.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 120.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 121.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 122.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 123.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 124.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 125.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 126.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 127.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 0.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 127.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 254.169.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 2.0.192.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 100.51.198.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 113.0.203.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz:
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz:
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: D.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 8.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 9.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: A.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: B.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 8.B.D.
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 16.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 17.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 18.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 19.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 64.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 65.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 66.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 67.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 68.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 69.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 70.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 71.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 72.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 73.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 74.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 75.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 76.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 77.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 78.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 79.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 80.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 81.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 82.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 83.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 84.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 85.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 86.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 87.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 88.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 89.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 90.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 91.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 92.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 93.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 94.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 95.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 96.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 97.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 98.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 99.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 100.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 101.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 102.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 103.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 104.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 105.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 106.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 107.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 108.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 109.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 110.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 111.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 112.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 113.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 114.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 115.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 116.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 117.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 118.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 119.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 120.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 121.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 122.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 123.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 124.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 125.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 126.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 127.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 0.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 127.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 254.169.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 2.0.192.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 100.51.198.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 113.0.203.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default:
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default:
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: D.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 8.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 9.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: A.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: B.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 8.B.D.
    2015:06:04-19:45:50 7552-5 named[4130]: zone (master) removed
    2015:06:04-19:45:50 7552-5 named[4130]: zone (master) removed
    2015:06:04-19:45:50 7552-5 named[4130]: reloading configuration succeeded
    2015:06:04-19:45:50 7552-5 named[4130]: reloading zones succeeded
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: all zones loaded
    2015:06:04-19:45:50 7552-5 named[4130]: running
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone faronicscore/IN/norpz: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone faronicscore/IN/default: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone loaded serial 1433461550
    2015:06:04-19:45:56 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '':
    2015:06:04-19:45:56 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '':
    2015:06:04-19:45:56 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '':
    2015:06:04-19:45:56 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '':
    2015:06:04-19:45:57 7552-5/7552-5 named: Last message 'error (unexpected RC' repeated 1 times, suppressed by syslog-ng on
    2015:06:04-19:45:57 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '':
    2015:06:04-19:45:57 7552-5 named[4130]: received control channel command 'flush'
    2015:06:04-19:45:57 7552-5 named[4130]: flushing caches in all views succeeded
    2015:06:04-19:45:57 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '':
    2015:06:04-19:45:57 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '':

    It definitely loads the alpnames zones.

    Best Regards - HTG
    Frustrated Sophos Partner seeing all the things
    that brought me to Sophos slowly slip away.

  • hi,

    i'm also interested in blocking such "threads". maybe  the option 

    could be a feature in a release in the future, if its possible? it will make it much easier to get such emails sorted out.
  • This doesn't need a feature request as it used to work. But alas, as everything else that used to work in astaro, a lot of little stuff doesn't work in sophos[:@]

    You can modify the exim.conf file to workaround the problem but keep in mind it will break your support and may break other things if you are using profiles. Also I wouldn't use very long lists since it may slow your exim down.
    Edit using vi or whatever, but make sure you google vi tutorial before using vi. Its not intuitive if you don't know what you are doing 
    vi /var/storage/chroot-smtp/etc/exim.conf

    Look for the section 
    # Sender blacklist

    Comment out the line senders=wildlsearch with # in the beginning like I have done below
    #       senders = wildlsearch;SENDERBLACKLIST/${lookup{${lc:$domain}}nwildlsearch{SENDERBLACKLIST/domains}}

    Add another line below the commented line
    senders = SENDERBLACKLIST/REF_SMTPGlobalProfile
    Your sender blacklist section should look like this now

      # Sender blacklist
      drop message = Access denied (sender blacklisted)
           domains = +domains
    #       senders = wildlsearch;SENDERBLACKLIST/${lookup{${lc:$domain}}nwildlsearch{SENDERBLACKLIST/domains}}
            senders = SENDERBLACKLIST/REF_SMTPGlobalProfile
           set acl_c0 = sender_blacklist
           set acl_c1 = $sender_address blacklisted
           condition = INSERT_REJECT
           logwrite = LOG_RCPT_REJEC

    Save the file and restart the smtp proxy from webadmin. Look for any error logs and revert changes as necessary. You can now add wildcards anyway you want including TLDs[;)]
  • Billybob,

    So are you saying:

    A. That the Sender Blacklist in WebAdmin: EMail Protection: SMTP: AntiSpam tab is calling the code below from the exim.conf?

    B. That the above code was modified at some point by Sophos during a firmware update and is now  insufficient to have *@*.science or a REGEX work from Sender Blacklist: Blacklisted address patterns on WebAdmin: EMail Protection SMTP: AntiSpam tab but it used to work in an earlier version before exim.conf was changed to above code?


    C. That if the exim.conf gets modified the way you specify then *@*.science will work when added to Sender Blacklist: Blacklisted address patterns on the WebAdmin: EMail Protection SMTP: AntiSpam tab or would it require a REGEX?

    Also, I would assume this would get wiped out by any firmware updates, but survive reboot?


    Best Regards - HTG
    Frustrated Sophos Partner seeing all the things
    that brought me to Sophos slowly slip away.