November 2014 - postfix-users

AMaViS: score_sender_maps
by django＠nausch.org 04 Dec '14

04 Dec '14

HI Joda, HI Mailingliste! Wie sieht es denn mit der score_sender_maps aus? Ist der Einsatz von softwhite- und blacklisten aktuell (noch) zu empfehlen, oder kann man sich das sparen und das Ganze gleich direkt in der local.cf des Spamassassin eintragen? Die amavisd.conf liefert dazu ja ein Beispiel mit: @score_sender_maps = ({ # a by-recipient hash lookup table, # results from all matching recipient tables are summed # ## per-recipient personal tables (NOTE: positive: black, negative: white) # 'user1(a)example.com' => [{'bla-mobile.press(a)example.com' => 10.0}], # 'user3(a)example.com' => [{'.ebay.com' => -3.0}], # 'user4(a)example.com' => [{'cleargreen(a)cleargreen.com' => -7.0, # '.cleargreen.com' => -5.0}], ## site-wide opinions about senders (the '.' matches any recipient) '.' => [ # the _first_ matching sender determines the score boost new_RE( # regexp-type lookup table, just happens to be all soft-blacklist [qr'^(bulkmail|offers|cheapbenefits|earnmoney|foryou)@'i => 5.0], [qr'^(greatcasino|investments|lose_weight_today|market\.alert)@'i=> 5.0], [qr'^(money2you|MyGreenCard|new\.tld\.registry|opt-out|opt-in)@'i=> 5.0], [qr'^(optin|saveonlsmoking2002k|specialoffer|specialoffers)@'i => 5.0], [qr'^(stockalert|stopsnoring|wantsome|workathome|yesitsfree)@'i => 5.0], [qr'^(your_friend|greatoffers)@'i => 5.0], [qr'^(inkjetplanet|marketopt|MakeMoney)\d*@'i => 5.0], ), # read_hash("/var/amavis/sender_scores_sitewide"), { # a hash-type lookup table (associative array) 'nobody(a)cert.org' => -3.0, 'cert-advisory(a)us-cert.gov' => -3.0, 'owner-alert(a)iss.net' => -3.0, 'slashdot(a)slashdot.org' => -3.0, 'securityfocus.com' => -3.0, 'ntbugtraq(a)listserv.ntbugtraq.com' => -3.0, 'security-alerts(a)linuxsecurity.com' => -3.0, 'mailman-announce-admin(a)python.org' => -3.0, 'amavis-user-admin(a)lists.sourceforge.net'=> -3.0, 'amavis-user-bounces(a)lists.sourceforge.net' => -3.0, 'spamassassin.apache.org' => -3.0, 'notification-return(a)lists.sophos.com' => -3.0, 'owner-postfix-users(a)postfix.org' => -3.0, 'owner-postfix-announce(a)postfix.org' => -3.0, 'owner-sendmail-announce(a)lists.sendmail.org' => -3.0, 'sendmail-announce-request(a)lists.sendmail.org' => -3.0, 'donotreply(a)sendmail.org' => -3.0, 'ca+envelope(a)sendmail.org' => -3.0, 'noreply(a)freshmeat.net' => -3.0, 'owner-technews(a)postel.acm.org' => -3.0, 'ietf-123-owner(a)loki.ietf.org' => -3.0, 'cvs-commits-list-admin(a)gnome.org' => -3.0, 'rt-users-admin(a)lists.fsck.com' => -3.0, 'clp-request(a)comp.nus.edu.sg' => -3.0, 'surveys-errors(a)lists.nua.ie' => -3.0, 'emailnews(a)genomeweb.com' => -5.0, 'yahoo-dev-null(a)yahoo-inc.com' => -3.0, 'returns.groups.yahoo.com' => -3.0, 'clusternews(a)linuxnetworx.com' => -3.0, lc('lvs-users-admin(a)LinuxVirtualServer.org') => -3.0, lc('owner-textbreakingnews(a)CNNIMAIL12.CNN.COM') => -5.0, # soft-blacklisting (positive score) 'sender(a)example.net' => 3.0, '.example.net' => 1.0, }, ], # end of site-wide tables }); Verwenden oder rauswerfen? Servus Django

6 14

Absende-Domain beschränken
by Thomas Krause 30 Nov '14

30 Nov '14

Hallo, bei mir werden verstärkt über reguläre Mailkonten wieder Spam versendet. Ich konnte das mittels policyd reduzieren. Nun versenden die Spammer eben ein geringeres Volumen um unterhalb des Limits zu bleiben. Als Absende-Adressen werden Nicht-Lokale Mailadressen verwendet. Meine Frage: kann ich konfigurieren, dass nach erfolgreichem SMTP-AUTH lediglich mit lokalen Absende-Domains (mydestination) versendet werden darf? (Absendemailadresse=SASLLogin geht bei mir nicht, da mache Kunden eigene Mailserver betreiben und meinen Mailserver als Smarthost nutzen) Viele Grüße, Thomas.

2 2

Probleme mit SASL
by juergen.keitzl＠gmail.com 25 Nov '14

25 Nov '14

Hallo, ich habe im letzten Jahr angefangen meinen eigenen Mailserver zu hosten. Es ist ein absolutes privatdinge und auch nur für mich als Person. Betrachtet es einfach als Hobby. Ich betreibe die Geschichte auf einem Rasberry mit Debian Wheezy. Ich benutze Postfix und Dovecot. Der Server läuft, ich kann Mails empfangen und versenden. Insofern ist alles chic. Nur einProblem habe ich bis heute nie in den Griff bekommen. Das Relayen. Ich möchte ja gern mal von unterwegs, oder einfach aus Outlook eine Mail verschicken. Geht nicht. Unten habe ich die Saslfinger und die Postconfausgabe angehangen. Das erste Problem welches sich auftut ist: Cyrus-SASL (Quelltexte habe ich von der Seite Cyrus.org) bringen schon Fehler beim compilieren. Ich denke das nicht alle Bibliotheken angelegt wurden. Ich habe somit auch kein Testserver und Testclient um zu checken ob es ohne Postfix funktioniert. Mit Postfix werden mir aber dann Fehler bei der Authentifizierung gemeldet. Vielleicht bekomme ich von Euch einen Tip woran es hängt. Vielen Dank schon mal Jürgen saslfinger - postfix Cyrus sasl configuration Mo 24. Nov 08:53:38 CET 2014 version: 1.0.4 mode: server-side SMTP AUTH -- basics -- Postfix: 2.9.6 System: Raspbian GNU/Linux 7 \n \l -- smtpd is linked to -- libsasl2.so.2 => /usr/lib/arm-linux-gnueabihf/libsasl2.so.2 (0xb6d06000) -- active SMTP AUTH and TLS parameters for smtpd -- broken_sasl_auth_clients = yes smtpd_sasl_auth_enable = yes smtpd_sasl_exceptions_networks = $mynetworks smtpd_sasl_local_domain = $myhostname smtpd_sasl_path = smtpd smtpd_sasl_security_options = noanonymous smtpd_tls_CAfile = /etc/ssl/CAFiles_xx/Plesk/cacertificate.crt smtpd_tls_cert_file = /etc/ssl/CAFiles_xx/Plesk/certificate.crt smtpd_tls_key_file = /home/xxxxx/privat_ssl/mailserver_xx_psw.key smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache smtpd_use_tls = yes -- listing of /usr/lib/sasl2 -- ls: Zugriff auf /usr/lib/sasl2/sample.conf nicht möglich: Datei oder Verzeichnis nicht gefunden insgesamt 40 drwxr-xr-x 2 root root 4096 Nov 23 18:16 . drwxr-xr-x 83 root root 20480 Nov 23 17:58 .. -rw-r--r-- 1 root root 4 Apr 3 2014 berkeley_db.active -rw-r--r-- 1 root root 4 Jun 15 2013 berkeley_db.txt l????????? ? ? ? ? ? sample.conf -rw-r--r-- 1 root root 158 Nov 23 22:49 smtpd.conf -- listing of /usr/local/lib/sasl2 -- insgesamt 708 drwxr-sr-x 2 root staff 4096 Nov 23 16:58 . drwxrwsr-x 5 root staff 4096 Nov 23 16:58 .. -rwxr-xr-x 1 root staff 686 Nov 23 16:58 libanonymous.la -rwxr-xr-x 1 root staff 54486 Nov 23 16:58 libanonymous.so -rwxr-xr-x 1 root staff 54486 Nov 23 16:58 libanonymous.so.2 -rwxr-xr-x 1 root staff 54486 Nov 23 16:58 libanonymous.so.2.0.25 -rwxr-xr-x 1 root staff 674 Nov 23 16:58 libcrammd5.la -rwxr-xr-x 1 root staff 60824 Nov 23 16:58 libcrammd5.so -rwxr-xr-x 1 root staff 60824 Nov 23 16:58 libcrammd5.so.2 -rwxr-xr-x 1 root staff 60824 Nov 23 16:58 libcrammd5.so.2.0.25 -rwxr-xr-x 1 root staff 670 Nov 23 16:58 liblogin.la -rwxr-xr-x 1 root staff 55722 Nov 23 16:58 liblogin.so -rwxr-xr-x 1 root staff 55722 Nov 23 16:58 liblogin.so.2 -rwxr-xr-x 1 root staff 55722 Nov 23 16:58 liblogin.so.2.0.25 -rwxr-xr-x 1 root staff 670 Nov 23 16:58 libplain.la -rwxr-xr-x 1 root staff 56662 Nov 23 16:58 libplain.so -rwxr-xr-x 1 root staff 56662 Nov 23 16:58 libplain.so.2 -rwxr-xr-x 1 root staff 56662 Nov 23 16:58 libplain.so.2.0.25 -- listing of /etc/postfix/sasl -- insgesamt 12 drwxr-xr-x 2 root root 4096 Apr 3 2014 . drwxr-xr-x 3 root root 4096 Nov 15 20:17 .. -rw-r--r-- 1 root root 157 Nov 24 07:50 smtpd.conf -- content of /usr/lib/sasl2/smtpd.conf -- # Global parameters log_level: 3 pwcheck_method: auxprop mech_list: Plain LOGIN NTLM CRAM-MD5 DIGEST-MD5 # auxiliary Plugin parameters auxprop_plugin: sasldb -- content of /etc/postfix/sasl/smtpd.conf -- #Saslauthd parameters log_level:3 pwcheck_method: auxprop mech_list: PLAIN LOGIN NTLM CRAM-MD5 DIGEST_MD5 # auxiliary Plugin parameters auxprop_plugin:sasldb -- content of /etc/postfix/sasl/smtpd.conf -- #Saslauthd parameters log_level:3 pwcheck_method: auxprop mech_list: PLAIN LOGIN NTLM CRAM-MD5 DIGEST_MD5 # auxiliary Plugin parameters auxprop_plugin:sasldb -- active services in /etc/postfix/master.cf -- # service type private unpriv chroot wakeup maxproc command + args # (yes) (yes) (yes) (never) (100) smtp inet n - n - - smtpd -v smtp inet n - - - 1 postscreen smtpd pass - - - - - smtpd dnsblog unix - - - - 0 dnsblog tlsproxy unix - - - - 0 tlsproxy submission inet n - - - - smtpd -o syslog_name=postfix/submission -o smtpd_tls_security_level=encrypt -o smtpd_sasl_auth_enable=yes -o smtpd_client_restrictions=permit_sasl_authenticated,reject -o milter_macro_daemon_name=ORIGINATING smtps inet n - n - - smtpd -o syslog_name=postfix/smtps -o smtpd_tls_wrappermode=yes -o smtpd_sasl_auth_enable=yes -o smtpd_client_restrictions=permit_sasl_authenticated,reject -o milter_macro_daemon_name=ORIGINATING 628 inet n - - - - qmqpd pickup fifo n - - 60 1 pickup cleanup unix n - - - 0 cleanup qmgr fifo n - n 300 1 qmgr tlsmgr unix - - - 1000? 1 tlsmgr rewrite unix - - - - - trivial-rewrite bounce unix - - - - 0 bounce defer unix - - - - 0 bounce trace unix - - - - 0 bounce verify unix - - - - 1 verify flush unix n - - 1000? 0 flush proxymap unix - - n - - proxymap proxywrite unix - - n - 1 proxymap smtp unix - - - - - smtp relay unix - - - - - smtp showq unix n - - - - showq error unix - - - - - error retry unix - - - - - error discard unix - - - - - discard local unix - n n - - local virtual unix - n n - - virtual lmtp unix - - - - - lmtp anvil unix - - - - 1 anvil scache unix - - - - 1 scache maildrop unix - n n - - pipe flags=DRhu user=vmail argv=/usr/bin/maildrop -d ${recipient} old-cyrus unix - n n - - pipe flags=R user=cyrus argv=/cyrus/bin/deliver -e -m ${extension} ${user} uucp unix - n n - - pipe flags=Fqhu user=uucp argv=uux -r -n -z -a$sender - $nexthop!rmail ($recipient) ifmail unix - n n - - pipe flags=F user=ftn argv=/usr/lib/ifmail/ifmail -r $nexthop ($recipient) bsmtp unix - n n - - pipe flags=Fq. user=bsmtp argv=/usr/lib/bsmtp/bsmtp -t$nexthop -f$sender $recipient scalemail-backend unix - n n - 2 pipe flags=R user=scalemail argv=/usr/lib/scalemail/bin/scalemail-store ${nexthop} ${user} ${extension} mailman unix - n n - - pipe flags=FR user=list argv=/usr/lib/mailman/bin/postfix-to-mailman.py ${nexthop} ${user} -- mechanisms on localhost --

2 1

smtpauth nur mit zum Account passenden From-Adresse erlauben?
by Peter Heitzer 18 Nov '14

18 Nov '14

Gibt es für Postfix einen Authentisierungsserver, der beim Anmelden überprüft, ob die Absenderadresse zum Account passt? Damit könnte verhindert werden, daß z.B. im Falle eines geknackten Accounts Mail mit gefälschten Absendern (was Spammer normalerweise machen) verschickt werden.

2 2

Amavis CSV,UNDECIPHERABLE
by Joachim Burbach 13 Nov '14

13 Nov '14

Hallo, seid Tagen sehe ich vom Amavis seltame Mitteilungen. Jetzt habe ich herausgefunden dass es sich um Dateianhänge handelt mit der Endung .csv. Auch Password geschützte ZIP Dateien werden angemeckert. Ich habe aber im Internet noch nichts darüber finden können wie ich beim Amavis das einstellen kann dass er die ohne Mitteillungen zu versenden die einfach durchläßt. Er läßt sie zwar durch aber es kommt eine Mitteilung an den Virus Admin. Kann ich das irgendwo eintragen dass diese Dateiendungen .csv und .stp ungeprüft durch dürfen? Oder muss da noch etwas dafür installiert werden? MfG JO!

1 0

mout-xforward.kundenserver.de auf rbl
by Robert Schetterer 10 Nov '14

10 Nov '14

Fuer alle die es interesiert reject: RCPT from mout-xforward.kundenserver.de[82.165.159.36]: 554 5.7.1 Service unavailable; Client host [82.165.159.36] blocked using ix.dnsbl.manitu.net; Your e-mail service was detected by relay.heise.de (NiX Spam) as spamming at Thu, 06 Nov 2014 02:01:57 +0100. Your admin should visit http://www.dnsbl.manitu.net Domain: kundenserver.de Nserver: ns-1and1.ui-dns.biz Nserver: ns-1and1.ui-dns.com Nserver: ns-1and1.ui-dns.de Nserver: ns-1and1.ui-dns.org Status: connect Changed: 2011-06-27T16:02:00+02:00 Ursache duerften die Spam(versuche) von heute Nacht sein bei mir waren die Absender zum Teil so aufgebaut +beliebige-tel-nummer@meinedomain, ich spekuliere auf eine Systematik dahinter also ein Software Luecke evtl in einer http gui etc andere "prominente" deutsche Mailserver waren auch noch dabei Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 1

postscreen's MX Policy test
by Django 06 Nov '14

06 Nov '14

HI Joda, HI folks! Ich bin gard am Lesen von Wietse's Doku [1] zu postscreen. Das mit dem postscreen_whitelist_interfaces ist mir noch nicht 100%ig klar. Grundlegend kenne ich ja die Thematik, dass SPAMer bevorzugt den backup-MX ansprechen, in der Hoffnung, dieser sei weniger gut gepflegt, als der eigentliche MXer. Bei dem Parameter postscreen_whitelist_interfaces definiere ich doch alle Interfaces, auf denen grundsätzlich ein temporärer whitelisting-Eintrag gesetzt werden könnte. Per default wäre das ja: postscreen_whitelist_interfaces = static:all Daher wird ja für alle IP's des Servers auf denen ein SMTP-Daemon (Port 25) lauscht, grundsätzlich ein temporäres whitlisting möglich sein. Setze ich nun postscreen_whitelist_interfaces = !88.217.171.167 static:all Heisst es dann, whitelisting weiterhin auf allen Interfaces (IP-Adressen) aber *NICHT* auf der 88.217.171.167. Das hätte dann zur Folge, dass ein Client nur dann in's temporäre whitlisting kommen würde, wenn dieser auf der IP des Haupt-MXers aufschlägt. Tritt der Client nur an den Backup-MX, dann muss er zwangsläufig den kompletten postscreen-Bewertungslauf durchlaufen. Hab' ich das soweit richtig verstanden? Wenn ja, da macht das ja erst einmal nur dann Sinn, wenn ein postscreen Daemon auch beide IP-Adressen unter seiner Fuchtel hat, sprich die IP des Haupt-MX und des Backup-MX terminieren beide auf dem gleichen Postfix-Servers. So zumindestens interprätiere ich das Beispiel unter [1]. Habe ich mehrere MXer, dann kann ich das "nur" nutzen, wenn ich die temporäre whitelist-table "share", wie unter [2] angeschnitten. Richtig? Ich müsste mir überlegen, welcher der MXer den MEMCACHE-Server ist. Richtig? Dann nehmen wir mal die 217.91.103.190 als Haupt MX und die 88.217.171.167 für den Backup-MX her. Auf dem Server mit der IP 217.91.103.190 setze ich dann in der /etc/postfix/main.cf folgends: postscreen_cache_map = memcache:/etc/postfix/postscreen_cache proxy_write_maps = proxy:btree:/var/lib/postfix/postscreen_cache Dann lege ich die Datei /etc/postfix/postscreen_cache mit folgendem Inhalt an: memcache = inet:217.91.103.190:11211 backup = proxy:btree:/var/lib/postfix/postscreen_cache key_format = postscreen:%s Richtig? So und was genau, muss ich jetzt auf dem/den Backup-MX'n mit der 88.217.171.167 machen? Wiederum in der /etc/postfix/main.cf folgends: postscreen_cache_map = memcache:/etc/postfix/postscreen_cache proxy_write_maps = proxy:btree:/var/lib/postfix/postscreen_cache und dann in der /etc/postfix/postscreen_cache: memcache = inet:217.91.103.190:11211 backup = proxy:btree:/var/lib/postfix/postscreen_cache key_format = postscreen:%s So? Oder wie läuft das? Und tauschen dann beide MX die Informationen der temporären whitelist gegenseitig aus? Hmmm, ich bin mir da etwas unschlüssig, wei das nun genau laufen soll, wenn ich 2 oder mehr getrennte MXer hab. Infos sharen, oder jeden Server autark laufen lassen? Klärt mich doch mal auf! Bütte ... Servus Django [1] http://www.postfix.org/POSTSCREEN_README.html#white_veto [2] http://www.postfix.org/POSTSCREEN_README.html#temp_white_sharing

1 0