October 2014 - postfix-users

postscreen
by django＠nausch.org 30 Oct '14

30 Oct '14

HI Joda, Nachdem Du mich bei Deinem Besuch angefixt hast, hab ich mich mal an postscreen vergriffen. Herausgekommen ist erst einmal folgende Konfiguration. -------------------------------------------------------------------------------- master.cf smtp inet n - n - 1 postscreen smtpd pass - - n - - smtpd -o smtpd_milters=${spf_milter},${opendkim_milter},${opendmarc_milter},${amavisd_milter} dnsblog unix - - n - 0 dnsblog tlsproxy unix - - n - 0 tlsproxy -------------------------------------------------------------------------------- -------------------------------------------------------------------------------- main.cf ################################################################################ ## Postscreen # # Django : 2014-10-29 - PERMANENT WHITE/BLACKLIST TEST # default: postscreen_access_list = permit_mynetworks postscreen_access_list = permit_mynetworks cidr:/etc/postfix/postscreen_whitelist # # default: postscreen_blacklist_action = ignore postscreen_blacklist_action = drop # Django : 2014-10-29 - MAIL EXCHANGER POLICY TESTS # default: postscreen_whitelist_interfaces = static:all postscreen_whitelist_interfaces = !88.217.171.167 static:all # Django : 2014-10-29 - BEFORE 220 GREETING TESTS # default: postscreen_dnsbl_threshold = 1 postscreen_dnsbl_threshold = 2 # # default: postscreen_dnsbl_sites = postscreen_dnsbl_sites = zen.spamhaus.org*2 bl.spamcop.net*1 b.barracudacentral.org*1 swl.spamhaus.org*2 # # default: postscreen_dnsbl_action = ignore postscreen_dnsbl_action = enforce # # default: postscreen_greet_banner = $smtpd_banner # # default: postscreen_greet_action = ignore postscreen_greet_action = enforce # Django : 2014-10-29 - AFTER 220 GREETING TESTS # default: postscreen_bare_newline_action = ignore postscreen_bare_newline_action = drop # # default: postscreen_bare_newline_enable = no postscreen_bare_newline_enable = yes # # default: postscreen_non_smtp_command_enable = no postscreen_non_smtp_command_enable = yes # default: postscreen_non_smtp_command_action = drop # # default: postscreen_pipelining_enable = no postscreen_pipelining_enable = yes # # default: postscreen_pipelining_action = enforce -------------------------------------------------------------------------------- Das Ganze scheint auf den ersten Blick recht gut zu funktionieren - ganz 100%ig bin ich mir da aber nicht sicher. Warum? na ab und ann sehe ich folgende Meldungen im maillog: Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: NOQUEUE: reject: RCPT from [193.169.180.107]:54690: 450 4.3.2 Service currently unavailable; from=<return(a)news.mytoys.de>, to=<redacted(a)nausch.org>, proto=ESMTP, helo=<mail17-107.srv2.de> Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: warning: unknown macro name "client" in expansion request Der 450er stört mich nun erst mal nicht so recht, viel mehr diese WARNING: nknown macro name "client" in expansion request Was'n datt? Wenn ich es richtig aus dem maillog gegrep't hab dann dürft das da der komplette zugehörige Sermon des ersten Zustellversuchs sein: Oct 30 09:43:38 vml000080 postfix/postscreen[14951]: CONNECT from [193.169.180.107]:54690 to [10.0.0.80]:25 Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: [193.169.180.107]54690: discarding EHLO keywords: DSN Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: NOQUEUE: reject: RCPT from [193.169.180.107]:54690: 450 4.3.2 Service currently unavailable; from=<return(a)news.mytoys.de>, to=<redacted(a)nausch.org>, proto=ESMTP, helo=<mail17-107.srv2.de> Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: warning: unknown macro name "client" in expansion request Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: PASS NEW [193.169.180.107]:54690 Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: DISCONNECT [193.169.180.107]:54690 Dann kommt er wieder: Oct 30 09:53:54 vml000080 postfix/postscreen[14951]: CONNECT from [193.169.180.107]:55755 to [10.0.0.80]:25 Oct 30 09:53:54 vml000080 postfix/postscreen[14951]: PASS OLD [193.169.180.107]:55755 Oct 30 09:53:54 vml000080 postfix/smtpd[15632]: connect from mail17-107.srv2.de[193.169.180.107] Oct 30 09:53:54 vml000080 postfix/smtpd[15632]: discarding EHLO keywords: DSN Oct 30 09:53:54 vml000080 smf-spf[12097]: SPF pass: ip=193.169.180.107, fqdn=mail17-107.srv2.de, helo=mail17-107.srv2.de, from=<return(a)news.mytoys.de> Oct 30 09:53:55 vml000080 postfix/smtpd[15632]: 3BD0175: client=mail17-107.srv2.de[193.169.180.107] Oct 30 09:53:55 vml000080 postfix/cleanup[14362]: 3BD0175: message-id=<re-pTf3SwushbLdwAjqbbGt4j-13RR982X-13ME1R6S-62QD4X(a)news.mytoys.de> Oct 30 09:53:55 vml000080 opendkim[1147]: 3BD0175: mail17-107.srv2.de [193.169.180.107] not internal Oct 30 09:53:55 vml000080 opendkim[1147]: 3BD0175: not authenticated Oct 30 09:53:55 vml000080 opendkim[1147]: 3BD0175: DKIM verification successful Oct 30 09:53:55 vml000080 opendmarc[1446]: 3BD0175: news.mytoys.de none Oct 30 09:53:58 vml000080 postfix/qmgr[10267]: 3BD0175: from=<return(a)news.mytoys.de>, size=96158, nrcpt=1 (queue active) Oct 30 09:53:58 vml000080 postfix/smtpd[15632]: disconnect from mail17-107.srv2.de[193.169.180.107] Oct 30 09:53:58 vml000080 postfix/lmtp[15548]: 3BD0175: to=<redacted(a)nausch.org>, relay=10.0.0.77[10.0.0.77]:24, delay=4.1, delays=4/0/0/0.15, dsn=2.0.0, status=sent (250 2.0.0 <redacted(a)nausch.org> 0XDGBev7UVS+QAAArK2B9Q Saved) Oct 30 09:53:58 vml000080 postfix/qmgr[10267]: 3BD0175: removed "PASS NEW" bedeutet doch, dass der Client alle Test bestanden hat und er einen temporären Whitelisting-Eintrag bekommen hat. Richtig? Da ich in meiner Konfig "deep protocol tests" aktiviert habe, kann postscreen die Verbindung nicht mehr an den eigentlichen SMTP-Daemon weiterreichen. Richtig? Daher kommt auch der "450 4.3.2 Service currently unavailable" zustande. Richtig? Aber was ist nun mit dieser Meldung >>unknown macro name "client" in expansion request<<? Die verstehe ich nicht ganz? Was will/soll mir das sagen? \o/ Ich fürchte, ich brauch da noch ein wenig Hilfe bevor ich datt janze auf meiner ersten Produktions-Maschine einsetze. Servus Django

5 8

-SSLv3 aktuell empfohlene master.cf für TLS ???
by Joachim Burbach 28 Oct '14

28 Oct '14

Ich würde ja auch gerne SSLv3 abschalten, aber leider bin ich mir nicht sicher was ich in meiner master.cf raus nehmen muss so dass TLS noch funktioniert. Oder passt das alles so noch? Kann mir einer helfen bitte? ---Postfix master.cf------------------------------------------------------------ smtp inet n - - - - smtpd submission inet n - - - - smtpd -o syslog_name=postfix/submission -o smtpd_tls_security_level=encrypt -o smtpd_sasl_auth_enable=yes -o smtpd_sasl_type=dovecot -o smtpd_sasl_path=private/auth -o smtpd_sasl_security_options=noanonymous -o smtpd_sasl_local_domain=$myhostname -o smtpd_client_restrictions=permit_sasl_authenticated,reject -o smtpd_sender_login_maps=mysql:/etc/postfix/mysql-virtual_sender.cf -o smtpd_sender_restrictions=reject_sender_login_mismatch -o smtpd_recipient_restrictions=reject_non_fqdn_recipient,reject_unknown_recipient_domain,permit_sasl_authenticated,reject smtps inet n - - - - smtpd -o syslog_name=postfix/smtps -o smtpd_tls_wrappermode=yes -o broken_sasl_auth_clients=yes pickup fifo n - - 60 1 pickup -o content_filter= -o receive_override_options=no_header_body_checks cleanup unix n - - - 0 cleanup qmgr fifo n - n 300 1 qmgr tlsmgr unix - - - 1000? 1 tlsmgr rewrite unix - - - - - trivial-rewrite bounce unix - - - - 0 bounce defer unix - - - - 0 bounce trace unix - - - - 0 bounce verify unix - - - - 1 verify flush unix n - - 1000? 0 flush proxymap unix - - n - - proxymap proxywrite unix - - n - 1 proxymap smtp unix - - - - - smtp relay unix - - - - - smtp showq unix n - - - - showq error unix - - - - - error retry unix - - - - - error discard unix - - - - - discard local unix - n n - - local virtual unix - n n - - virtual lmtp unix - - - - - lmtp anvil unix - - - - 1 anvil scache unix - - - - 1 scache maildrop unix - n n - - pipe flags=DRhu user=vmail argv=/usr/bin/maildrop -d vmail ${extension} ${recipient} ${user} ${nexthop} ${sender} uucp unix - n n - - pipe flags=Fqhu user=uucp argv=uux -r -n -z -a$sender - $nexthop!rmail ($recipient) ifmail unix - n n - - pipe flags=F user=ftn argv=/usr/lib/ifmail/ifmail -r $nexthop ($recipient) bsmtp unix - n n - - pipe flags=Fq. user=bsmtp argv=/usr/lib/bsmtp/bsmtp -t$nexthop -f$sender $recipient scalemail-backend unix - n n - 2 pipe flags=R user=scalemail argv=/usr/lib/scalemail/bin/scalemail-store ${nexthop} ${user} ${extension} mailman unix - n n - - pipe flags=FR user=list argv=/usr/lib/mailman/bin/postfix-to-mailman.py ${nexthop} ${user} dovecot unix - n n - - pipe flags=DROhu user=vmail:vmail argv=/usr/lib/dovecot/deliver -f ${sender} -d ${user}@${nexthop} # zusätzlicher transport ohne Filter für newsletter z.B. newssmtp unix - - n - 50 smtp -o content_filter= -o receive_override_options=no_unknown_recipient_checks,no_header_body_checks,no_milters amavis unix - - - - 4 smtp -o smtp_data_done_timeout=1200 -o smtp_send_xforward_command=yes -o disable_dns_lookups=yes 127.0.0.1:10025 inet n - - - - smtpd -o content_filter= -o local_recipient_maps= -o relay_recipient_maps= -o smtpd_restriction_classes= -o smtpd_delay_reject=no -o smtpd_client_restrictions= -o smtpd_helo_restrictions= -o smtpd_sender_restrictions= -o smtpd_recipient_restrictions=permit_mynetworks,reject -o mynetworks=127.0.0.0/8 -o smtpd_error_sleep_time=0 -o smtpd_soft_error_limit=1001 -o smtpd_hard_error_limit=1000 -o smtpd_client_connection_count_limit=0 -o smtpd_client_connection_rate_limit=0 -o receive_override_options=no_unknown_recipient_checks,no_header_body_checks policy-spf unix - n n - - spawn user=nobody argv=/usr/sbin/postfix-policyd-spf-perl --------------------------------------------------------------------------------------------------------------------------------------------------- M.f.G JO!

5 7

Re-2: -SSLv3 aktuell empfohlene master.cf für TLS ???
by Joachim Burbach 27 Oct '14

27 Oct '14

>evtl hilft das > >https://sys4.de/de/blog/2014/10/21/poodle-bug-postfix-sslv3-deaktivieren/ Ach jaaa sorry. :-) In der Main habe ich die Zeilen ja schon eingetragen. Habe beim testen mit openssl s_client -ssl3 -connect www.example.com:443 die ganze Zeit die Zeilen: 140612092499624:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1258:SSL alert number 40 140612092499624:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596: überlesen :-o Man sollte die Fenster ab und zu größer machen. ;-) SSLv3 ist somit abgeschalten mit diesen Zeilen in der main.cf: smtpd_tls_mandatory_protocols = !SSLv2 !SSLv3 smtp_tls_mandatory_protocols = !SSLv2 !SSLv3 smtp_tls_protocols = !SSLv2, !SSLv3 smtpd_tls_protocols = !SSLv2 !SSLv3 Danke sehr und noch einen schönen Tag. M.f.G. JO!

1 0

Re: Mail weiterleiten und Rest mit einem Handler verarbeiten / virtual_alias_map und transport_map
by Robert Schetterer 26 Oct '14

26 Oct '14

Am 26.10.2014 um 09:27 schrieb Sven Kummer: >>> Ganz genau! Alle Domains (=> *) mit einem der Handler verarbeiten bis > auf >>> die spezifizierte definiert(a)example.com, diese Mails will ich > weiterleiten >>> an eine von mir festgelegte E-Mail-Adresse, im Beispiel die von google. >> >> was verstehst du unter einem "Handler" irgendein script pipe alla >> >> master.cf >> >> autoreply unix - n n - - pipe >> flags= user=nobody argv=/opt/etc/postfix/autoreply ${sender} ${mailbox} >> >> etc ? > > Ganz genau, ja! > evtl so ,ungetestet.... relay_recipient_maps = hash:/etc/postfix/relay_recipients /etc/postfix/relay_recipients @relaydomain.de OK relay_domains = hash:/etc/postfix/relay_domains /etc/postfix/relay_domains relaydomain.de OK smtpd_recipient_restrictions = reject_unknown_recipient_domain, reject_non_fqdn_recipient, permit_mynetworks, permit_sasl_authenticated, check_recipient_access hash:/etc/postfix/recipient_access, check_recipient_access pcre:/etc/postfix/recipient_filter_access_pcre, ... /etc/postfix/recipient_access mein-empfaenger(a)relaydomain.de REDIRECT irgendwo(a)nirgendwo.com /etc/postfix/recipient_filter_access_pcre /.*/ FILTER autoreply Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

3 5

Re: Mail weiterleiten und Rest mit einem Handler verarbeiten / virtual_alias_map und transport_map
by Robert Schetterer 25 Oct '14

25 Oct '14

Am 25.10.2014 um 21:49 schrieb Robert Schetterer: > Am 25.10.2014 um 14:10 schrieb Sven Kummer: >> Ganz genau! Alle Domains (=> *) mit einem der Handler verarbeiten bis auf >> die spezifizierte definiert(a)example.com, diese Mails will ich weiterleiten >> an eine von mir festgelegte E-Mail-Adresse, im Beispiel die von google. > > was verstehst du unter einem "Handler" irgendein script pipe alla > > master.cf > > autoreply unix - n n - - pipe > flags= user=nobody argv=/opt/etc/postfix/autoreply ${sender} ${mailbox} > > etc ? > > > Best Regards > MfG Robert Schetterer > vieleicht gehts auch einfacher mit einer access table http://www.postfix.org/access.5.html REDIRECT user@domain After the message is queued, send the message to the specified address instead of the intended recipient(s). Note: this action overrides the FILTER action, and currently affects all recipients of the message. This feature is available in Postfix 2.1 and later. smtpd_recipient_restrictions = reject_unknown_recipient_domain, reject_non_fqdn_recipient, permit_mynetworks, permit_sasl_authenticated, check_recipient_access hash:/etc/postfix/recipient_access, /etc/postfix/recipient_access mein-empfaenger(a)example.com REDIRECT irgendwo(a)nirgendwo.com der Rest der Mails sollte dann eben nach deinen Wuenschen und deinem Setup weiter verarbeitet werden, was das genau ist habe ich leider noch nicht wirklich verstanden Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0

Mail weiterleiten und Rest mit einem Handler verarbeiten / virtual_alias_map und transport_map
by Sven Kummer 25 Oct '14

25 Oct '14

Hallo Liste! Stehe hier vor der Herausforderung folgendes Szenario in postfix abzubilden: 1. Mails die an eine Adresse definiert@example. org gehen, sollen weitergeleitet werden an definiert(a)gmail.com <mailto:definiert@gmail.com> 2. ALLE Mails an Domain * sollen von einem in der master.cf definierten Handler verarbeitet werden. Wichtig ist hier die Wildcard, da nicht alle Domains definiert werden können. Ausprobiert habe ich schon verschiedenes, habe die Domain example.org in die virtual_alias_domains eingetragen und die Weiterleitung an definiert(a)gmail.com <mailto:definiert@gmail.com> in der virtual_alias_maps. In der transport_maps dann wie folgt die Einträge gemacht: ---snip--- example.org smtp * handler_aus_maincf ---snip--- Leider laufen alle E-Mails an definiert(a)example.org <mailto:definiert@example.org> immer in den handler_aus_maincf, was ich ja nicht will er soll die Mail wie in der virtual_alias_map angegeben an definiert(a)gmail.com <mailto:definiert@gmail.com> weiterleiten. Nach einigem Testen habe ich festgestellt, dass wohl die virtual_alias_map vor der transport_map angewandt wird, was bedeutet dass die empfänger-Adresse schon als definiert(a)gmail.com <mailto:definiert@gmail.com> beim transport ankommt und dort dann * matched. Bin nicht sicher, ob es da einen einfachen Trick gibt, das zu vermeiden oder ob ich das ganze völlig falsch aufsetze. Kann mir hier jemand weiterhelfen? Vielen Dank für jegliche Tipps :) Viele Grüße Sven

2 1

Penetration Test ??
by Kötter, Markus 24 Oct '14

24 Oct '14

Hallo in die Runde, ich habe ein Postfix-Mailgateway mit Postfix 2.10.2, Amavisd-new 2.9.0, Spamassasisin 3.3.2 und Clamd 0.98.4 installiert. Das möchte ich in die DMZ stellen und es soll meinen internen Postfix schützen. Gibt es Penetration-Test-Tools mit denen ich herausfinden kann, ob mein Gateway einigermaßen "sicher" ist ? Vielen Dank im Voraus und freundliche Grüße Markus Kötter

6 9

"User doesn't exist: p@rick.de (in reply to RCPT TO command)." unterdrücken
by Django 24 Oct '14

24 Oct '14

HI, mittels des Parameter show_user_unknown_table_name kann man unterdrücken, ob zurückgegeben wird in welcher Tabelle genau der User nicht gefunden wurde, oder eben nur dass er nicht gefunden wurde. Bsp: (default) show_user_unknown_table_name=yes 550 5.1.1 <paeddrig(a)nausch.org>: Recipient address rejected: User unknown in virtual mailbox table. Contact your postmaster/admin for technical assistance. He can achieve our postmaster via email: postmaster(a)nausch.org or via fax: +49 8121 883179. In any case, please provide the following information in your problem report: This error message, time (Oct 18 14:25:16), client (mx1.schiessmich.tot[::1]) and server (mx01.nausch.org). Setze ich show_user_unknown_table_name=no wird nur noch angezeigt, dass der User nicht existiert: 550 5.1.1 <paeddrig(a)nausch.org>: Recipient address rejected: User unknown. Contact your postmaster/admin for technical assistance. He can achieve our postmaster via email: postmaster(a)nausch.org or via fax: +49 8121 883179. In any case, please provide the following information in your problem report: This error message, time (Oct 18 14:24:24), client (mx1.schiessmich.tot[::1]) and server (mx01.nausch.org). Interessant wir es nun bei aktivierter Empfängeradressüberprüfung: Egel ob nun der Parameter show_user_unknown_table_name auf yes oder no steht, die Rückmeldung ist immer die Gleiche: 577 5.1.1 <paeddrig(a)nausch.org>: Recipient address rejected: undeliverable address: host 10.0.0.77[10.0.0.77] said: 550 5.1.1 <paeddrig(a)nausch.org> User doesn't exist: paeddrig(a)nausch.org (in reply to RCPT TO command). Contact your postmaster/admin for technical assistance. He can achieve our postmaster via email: postmaster(a)nausch.org or via fax: +49 8121 883179. In any case, please provide the following information in your problem report: This error message, time (Oct 18 14:26:49), client (mx1.schiessmich.tot[::q]) and server (mx01.nausch.org). Ich würde gerne den Part ": host 10.0.0.77[10.0.0.77] said: 550 5.1.1 <paeddrig(a)nausch.org> User doesn't exist: paeddrig(a)nausch.org (in reply to RCPT TO command)." genauso unterdrücken wollen, wie das show_user_unknown_table_name=yes bei deaktivierter Empängeraddressverification? Bis jetzt habe ich noch keine passende Konfigurationsoption gefunden. Gibt's das wirklich nicht, oder hab ich es nur nicht gefunden. Servus Django

2 2

SSLv3
by Jochen Fahrner 21 Oct '14

21 Oct '14

Hallo, derzeit wird ja überall empfohlen SSLv3 abzuschalten, wegen Sicherheitslücken. Das scheint meinem Postfix aber nicht gut zu bekommen: Oct 20 09:34:08 s2 postfix/smtpd[13063]: warning: TLS library problem: 13063:error:1408A10B:SSL routines:SSL3_GET_CLIENT_HELLO:wrong version number:s3_srvr.c:965: Oct 20 09:34:08 s2 postfix/smtpd[13063]: lost connection after STARTTLS from mail02.rohde-schwarz.com[80.246.32.97] Oct 20 09:34:08 s2 postfix/smtpd[13063]: disconnect from mail02.rohde-schwarz.com[80.246.32.97] -- Mit besten Grüßen Jochen Fahrner

5 7

regexp: Linux vs. FreeBSD
by Olaf Zaplinski 21 Oct '14

21 Oct '14

Moin, ich habe mir einen Backup-MX unter FreeBSD gebaut und die header_checks vom vorhandenen Linux-System übernommen. Das Problem: unter FreeBSD wird \b als Whitespace nicht erkannt, damit sind eine Menge Regeln wirkungslos. Ein Beispiel: # cat header_checks if /^Subject:/ /\btest\b/ REJECT no spam #1 /[:blank:]test/ REJECT no spam #2 /[:space:]test/ REJECT no spam #3 /test/ REJECT no spam #4 endif # echo 'Subject: test 1 2 3'|postmap -fq - regexp:header_checks Subject: test 1 2 3 REJECT no spam #4 Dasselbe nun unter Linux: # echo 'Subject: test 1 2 3'|postmap -fq - regexp:header_checks Subject: test 1 2 3 REJECT no spam #1 Wie kann ich der FreeBSD-Version von Postfix (2.11) das Verhalten der Linux-Version (2.9) beibringen? Olaf

2 2