É uma boa prática ou muito draconiano rejeitar emails de servidores de correio sem RDNS

Recuei recentemente o SpamAssassin e agora estou baseando a rejeição de spam nos DNSRBL, na lista cinza e em outros testes básicos, e estou pensando se devo bloquear os hosts que não possuem um RDNS válido que corresponda ao EHLO?

Se fizer isso, causarei problemas em muitas correspondências legítimas e incomodarei meus clientes? Ouvi pessoas dizendo que a AOL faz isso, o que me faz pensar que talvez seja muito incomum para mim.

Também estou me perguntando se posso me comprometer verificando se o RDNS está no mínimo definido como algo, mas não tente associá-lo ao EHLO. Isso é possível com o Postfix (e é útil)?

Eu tentei várias abordagens com a verificação HELO / EHLO com uma base de clientes de tamanho bastante decente entre 100 mil e 200 mil usuários e acabei optando por uma solução que faz o seguinte:

• Verifique se o HELO / EHLO contém um nome de domínio. - Isso se resume principalmente ao fato de o nome ter um ponto. A verificação do DNS no nome levou a MUITOS servidores com falha, pois não é incomum que o servidor apresente um nome interno ou algo que você não possa resolver adequadamente.
• Verifique se o IP possui um registro DNS reverso. - Novamente, essa é uma configuração relaxada, pois não a verificamos contra o HELO / EHLO. A verificação no HELO / EHLO criou tantos tickets que essa configuração não durou nem um único dia.
• Verifique se o nome de domínio do remetente é válido. - Esta é uma verificação básica para garantir que, se tivermos que devolver a mensagem, haverá pelo menos alguma maneira de encontrar um servidor para ela.

Aqui está o bloco Postfix que usamos para essas verificações:

smtpd_recipient_restrictions =
    reject_non_fqdn_sender,
    reject_unauth_destination,
    reject_unknown_reverse_client_hostname,
    reject_invalid_helo_hostname,
    reject_non_fqdn_helo_hostname,
    reject_unknown_sender_domain,
    reject_non_fqdn_recipient

É extremamente comum bloquear servidores SMTP que não possuem o básico:

1. O nome do host no encaminhamento do HELO resolve para a conexão IP originada de.
2. O IP de origem das conexões reverte para o nome do host reivindicado no HELO.
3. Se existirem políticas SPF, DKIM ou DMARC, verifique.

Qualquer pessoa que se prenda a ser bloqueada por causa de uma delas deve ser asfaltada e com penas.
Pessoas que acabam sendo bloqueadas por outros motivos, particularmente situações que dependem da conformidade da RFC em situações "anormais", eu terei simpatia. O spam é um problema tão grande que não há desculpa para perder o básico.

Eu esperava que o envio do MTA tivesse RDNS válido, mas insistir na correspondência do EHLO dependeria de quem são os 'clientes'. Você pode encontrar algumas diretrizes interessantes no RFC5321 :

2.3.5

(...) O nome de domínio fornecido no comando EHLO DEVE ser um nome de host primário (um nome de domínio que se resolva para um endereço RR) ou, se o host não tiver nome, um endereço literal (...)

4.1.4

(...) Um servidor SMTP PODE verificar que o argumento do nome de domínio no comando EHLO realmente corresponde ao endereço IP do cliente. No entanto, se a verificação falhar, o servidor NÃO DEVE recusar-se a aceitar uma mensagem nessa base.

mas depois em 7.9.

É um princípio bem estabelecido que um servidor SMTP pode se recusar a aceitar e-mails por qualquer motivo operacional ou técnico que faça sentido para o site que fornece o servidor. (...)

A pesquisa inversa não aponta necessariamente para o nome do host fornecido no HELO. Às vezes, vários domínios hospedados no mesmo host e todos eles têm o mesmo endereço IP. Mas quando você tenta fazer a pesquisa inversa, obtém o nome que foi colocado no registro PTR. É óbvio que ambos os FQDNs serão diferentes - e isso é completamente aceitável.

A única circunstância que permite descartar a mensagem é a falha na pesquisa inversa. Qualquer pesquisa bem-sucedida significa que o host é válido. Os nomes não devem corresponder.

Eu estou querendo saber se eu também deveria bloquear hosts que não têm um RDNS válido correspondente ao EHLO?

Não, você não deveria. Bloqueia um email inteiro apenas por um critério: é uma prática ruim.

Se fizer isso, causarei problemas em muitas correspondências legítimas e incomodarei meus clientes?

mais provável que você faça e perderá correio legítimo

Também estou me perguntando se posso me comprometer verificando se o RDNS está no mínimo definido como algo, mas não tente associá-lo ao EHLO. Isso é possível com o Postfix (e é útil)?

sim, é possível. Você pode usar reject_unknown_reverse_client_hostname em vez de reject_unknown_client_hostname

Infelizmente, o postfix não possui opções flexíveis para "decisão complexa". No exim, você pode adicionar alguns pontos para esses e-mails, por exemplo

Score = 0 
1. The HELO or EHLO hostname is not in fully-qualified domain or address literal form. Score +=10
2. The HELO or EHLO hostname has no DNS A or MX record. Score +=20
3. The HELO or EHLO hostname is listed with the A record "d.d.d.d" under rbl_domain. Score +=20
4. The sender domain has no DNS A or MX record. Score +=10
5. SPF checks return softfail. Score +=10, fail, Score +=20
...

E assim por diante. Depois que todas as verificações forem concluídas e se você tiver uma pontuação> 100, poderá rejeitar o correio. Na verdade, você pode obter esse comportamento, mas precisaria escrever seu próprio serviço de política