September 2014 - postfix-users

Ungewünschte Bouncemeldung - mail soll in der Warteschlange bleiben
by Andreas Cieslak 26 Sep '14

26 Sep '14

Hi List! Unser zentrales Mailgateway, postfix 2.5.5 , leitet mails an dahinterliegende Postfix/Dovecot mailserver mit physikalischen Posftfächern weiter. Die aliases für die entsprechenden dahinterliegenden mailserver und deren user sind zentral auf dem mailgateway abgelegt. Letzte Nacht gab es ein Wartungsfenster eines Mailservers, Postfix 2.7.1. Er war offline, und das zentrale Mailgateway, dass die mails an diesen mailserver weiterleiten sollte, gab folgende Fehlermeldung zurück: user <mailto:user@domain.de> @domain.de (expanded from user(a)domain.de): host mailserver.domain.de[x.x.x.x] said: 550 5.1.1 user(a)mailserver.domain.de: Recipient address rejected: User unknown in local recipient table (in reply to RCPT TO command) Obwohl ich vor dem Wartungszeitraum noch geprüft habe, dass mails in der queue des mailgateways bleiben sollen, gab es die Fehlermeldung. Ich habe es erfolgreich mit einem user getestet, der auf einem weiteren mailserver sein Postfach hat, der offline ist. Für diesen user/server hat das mailgateway die mails in der queue behalten und keine bounce gesendet. Das ist auch meine Absicht, dass die mails in der Queue des mailgateway bleiben sollen. Nun stellt sich mir die Frage ob es tatsächlich ein Problem des Mailgateways ist, oder das des LDAP-Dienstes, worüber sich die user authentifizieren? Die user melden sich per LDAP an den Systemen an. Der Mail-Server der gewartet wurde stellt ebenfalls den zentralen LDAP-Auth-Dienst zur Verfügung. Weitere LDAP-Server sind vorhanden, die die Anmeldung handhaben falls der zentrale LDAP-Server ausfällt. Oder ist es nur ein Postfix-Parameter, bzw. etwas an der config, dass angepasst werden muss? MFG Andreas Cieslak

1 0

OpenDMARC Probleme und Konfiguration
by Jochen Fahrner 20 Sep '14

20 Sep '14

Hallo, in letzter Zeit habe ich die Liste mit OpenDMARC Problemen genervt, danke für eure Geduld, dafür kommt jetzt hier die Lösung: Zum Verständnis erkläre ich die Funktionsweise und die Voraussetzungen für OpenDMARC (vereinfacht, nur so weit für's Verständnis nötig). OpenDMARC ist kein eigenständiger Filter, sondern er verlässt sich auf die "Authentication-Results" Header (im folgenden kurz "authres" genannt) der SPF und/oder DKIM Filter, die zwingend *vorher* laufen müssen. Er scannt dabei die authres Header die der eigene Mailserver mit Typ "pass" erzeugt hat. Alle darin enthaltenen header.d Domains werden gegen die Domain aus dem From-Header verglichen. Wird eine Übereinstimmung gefunden gibts ein "pass", andernfalls wird gemäß der Policy der Domain verfahren (none,quarantine,reject). Es genügt wenn entweder SPF oder DKIM ein "pass" erzeugen. Hat man für seine Domain die Policy "reject" eingestellt, läuft man in ein paar Probleme: 1. Postfix hat einen Bug (angeblich aus Kompatibilitätsgründen zu Sendmail): der erste eingefügte Header eines Postfix Policy Daemons wird verschluckt. Der vom SPF-Daemon kommt also nicht beim OpenDMARC an. Das ist nicht so tragisch, denn OpenDMARC kann die SPF-Prüfung auch selber machen. Wichtig ist jedoch dass OpenDMARC mit der libspf2 compiliert wurde, denn die eigenen SPF-Funktionen sind fehlerhaft. Um OpenDMARC prüfen zu lassen gibt es die Option: "SPFSelfValidate true" am besten in Verbindung mit "SPFIgnoreResults true" Alternativ könnte man auch einen SPF-milter versuchen, dazu hatte ich aber keine Lust, denn libspf2 ist sehr ausgereift und kommt auch mit ipv6 und vielen SPF-includes klar. 2. OpenDMARC benötigt die Domains aus *allen* DKIM-Signaturen. OpenDKIM liefert in der Default Konfiguration aber nur die erste gültige Signatur. Bei dieser Liste ist das z.B. de.postfix.org. Die passt aber nicht zu eurem From, und somit schlägt die Prüfung fehlt. Da bei Listen auch euer SPF nicht gültig ist, wird die Mail ggf. rejected. Mit der OpenDKIM(!) Option "AddAllSignatureResults true" Werden alle Signaturen geprüft und die Domains landen alle im authres Header. Damit kann OpenDMARC dann die richtige Domain finden und ein "pass" erzeugen. 3. Sendet ihr Mails mit einem Client von eurem DSL-Anschluss, so stimmt die IP nicht mit eurem SPF überein. Da auch (noch) keine Signatur drin ist, gibts wieder ein "fail". Um hier die Prüfung zu umgehen gibts die Option "IgnoreAuthenticatedClients true" Leider hat die Version 1.3.0 einen Bug den ich hier berichtet habe: http://sourceforge.net/p/opendmarc/tickets/103/ Wenn ihr OpenDMARC selber compiliert (z.B. wegen dem libspf2), dann könnt ihr den leicht selbst beheben. Hoffe etwas geholfen zu haben. Gruss Jochen

1 0

Test
by Joachim Fahrner 20 Sep '14

20 Sep '14

Bitte ignorieren. Aber möglicherweise habe ich die Lösung für das DMARC-Problem bei Mailinglisten gefunden. Das Problem liegt in der Konfiguration von OpenDKIM. Will das hiermit überprüfen. Ich berichte dann wenn das die Lösung ist.

2 1

DMARC Reports
by Joachim Fahrner 20 Sep '14

20 Sep '14

Hallo, obwohl ich schon vor Tagen die rua und ruf Einträge aus meinem DMARC DNS-Record rausgenommen habe, schickt mir Google immer noch Reports. Anscheinend speichern die die Adressen und löschen sie dann nicht mehr. Kann ich das Google irgendwie abgewöhnen? Gibt es sowas wie "rua=none"? -- Mit besten Grüßen Joachim Fahrner PGP-Key: http://www.fahrner.name/JoachimFahrner.asc

1 0

Test
by Joachim Fahrner 18 Sep '14

18 Sep '14

Sorry, bitte ignorieren -- Mit besten Grüßen Joachim Fahrner

1 0

Re: OpenDMARC fail OpenDKIM pass
by Joachim 18 Sep '14

18 Sep '14

Am 2014-09-18 14:19, schrieb Robert Schetterer: >>> allerdings um was richtig zu testen sollte kein tor dazwischen sein, >>> evtl ueber tor zu webmail etc ? >> >> Ok, das hier ist über Webmail. >> > > sieht ok aus, evtl mal so an die liste probieren > ok, das jetzt über Webmail an die Liste. Ist DKIM ok? -- Mit besten Grüßen Joachim Fahrner

1 0

OpenDMARC IgnoreAuthenticatedClients
by Joachim Fahrner 18 Sep '14

18 Sep '14

Hallo, noch ein Problem mit OpenDMARC: sobald ich die Policy für meine Domain auf p=reject ändere, kann ich keine Mails mehr versenden. Eigentlich sollte dafür die Option IgnoreAuthenticatedClients zuständig sein, aber es sieht so aus als wenn Postfix die Info "SASL authenticated" nicht an die milter durchreicht. Ein Workaround ist hier von A. Schulze beschrieben: http://postfix.1071664.n5.nabble.com/Permit-SASL-authenticated-users-to-byp… Ist das Problem bekannt? -- Mit besten Grüßen Joachim Fahrner

3 8

DMARC policy reject
by Jochen Fahrner 18 Sep '14

18 Sep '14

Hallo, also mit der reject policy habe ich irgendwie kein Glück. Jetzt kann ich nicht mal mehr an die Liste senden. Musste das wieder auf "none" zurückstellen. Hier ein Bounce aus der Liste: This is an authentication failure report for an email message received from IP 141.42.206.35 on Thu, 18 Sep 2014 08:48:16 +0200 (CEST). Feedback-Type: auth-failure Version: 1 User-Agent: OpenDMARC-Filter/1.3.0 Auth-Failure: dmarc Authentication-Results: s2.fahrner.name; dmarc=fail header.from=fahrner.name Original-Envelope-Id: 8BF263403F Original-Mail-From: postfix-users-bounces+jf=fahrner.name(a)de.postfix.org Source-IP: 141.42.206.35 Reported-Domain: fahrner.name Received: from postfix.charite.de (postfix.charite.de [141.42.206.35]) (using TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits)) (No client certificate requested) by s2.fahrner.name (Postfix) with ESMTPS id 8BF263403F for <jf(a)fahrner.name>; Thu, 18 Sep 2014 08:48:16 +0200 (CEST) Received: from localhost (localhost [127.0.0.1]) by de.postfix.org (Postfix) with ESMTP id 7A2123E16F for <jf(a)fahrner.name>; Thu, 18 Sep 2014 08:48:13 +0200 (CEST) DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=de.postfix.org; h=list-subscribe:list-help:list-post:list-archive :list-unsubscribe:list-id:precedence:content-type:content-type :in-reply-to:references:subject:subject:mime-version:user-agent :from:from:date:date:message-id:received:received:received :received:received:received; s=200801; t=1411022893; bh=AZBFENdP YA+2fANCRZoigwbAzFKzQJpDLwn+IdE1vEk=; b=EIThI6owH3OZzMJTxx/0OcT9 t8aF7XMEG7ENwIzw+nWh/UI2I97+Kqq3MKVRd11cmn6ImBQqs/iHGgFmrP1gzOJk ol48r74u0Wp6abxaJiNMwQ7tH2RguD6OUjgSnvMvHqdw+dKjhxtL4q6G/JmoEq2Y 91tauhqeOY05ZhZoHoM= X-Virus-Scanned: Debian amavisd-new at de.postfix.org Received: from de.postfix.org ([127.0.0.1]) by localhost (de.postfix.org [127.0.0.1]) (amavisd-new, port 10024) with ESMTP id 1wu1jmejV6g1 for <jf(a)fahrner.name>; Thu, 18 Sep 2014 08:48:13 +0200 (CEST) Received: from de.postfix.org (localhost [127.0.0.1]) by de.postfix.org (Postfix) with ESMTP for <jf(a)fahrner.name>; Thu, 18 Sep 2014 08:48:13 +0200 (CEST) X-Original-To: postfix-users(a)de.postfix.org Delivered-To: postfix-users(a)de.postfix.org Received: from localhost (localhost [127.0.0.1]) by de.postfix.org (Postfix) with ESMTP id 1F7EB3E12D for <postfix-users(a)de.postfix.org>; Thu, 18 Sep 2014 08:48:03 +0200 (CEST) Received: from de.postfix.org ([127.0.0.1]) by localhost (de.postfix.org [127.0.0.1]) (amavisd-new, port 10024) with ESMTP id LRutxneao4d8 for <postfix-users(a)de.postfix.org>; Thu, 18 Sep 2014 08:47:58 +0200 (CEST) Received: from s2.fahrner.name (s2.fahrner.name [78.46.184.248]) by de.postfix.org (Postfix) with ESMTPS for <postfix-users(a)de.postfix.org>; Thu, 18 Sep 2014 08:47:58 +0200 (CEST) Received: from [0.0.0.0] (unknown [166.70.207.2]) (using TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits)) (No client certificate requested) by s2.fahrner.name (Postfix) with ESMTPSA id 88FE83403F for <postfix-users(a)de.postfix.org>; Thu, 18 Sep 2014 08:47:55 +0200 (CEST) DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=fahrner.name; s=mail; t=1411022878; bh=AZBFENdPYA+2fANCRZoigwbAzFKzQJpDLwn+IdE1vEk=; h=Date:From:To:Subject:References:In-Reply-To:From; b=HMyOar/eFriYHqJm3SM2WuYlfy1OOi2vFkXzSmsWi5blZaiEY+oVEdu3IXxIOEQNr E0N3BXsvPPnQricdG078u0NdhMxDg4dVf6nljJ7EyXlihV5tMDDd2oR1F+AksHD+kS JQtQEZPwFShwR4hcp9CtuTejSupTMiMtZHPC7Itc= Message-ID: <541A8011.3090807(a)fahrner.name> Date: Thu, 18 Sep 2014 08:47:45 +0200 From: Jochen Fahrner <jf(a)fahrner.name> User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:17.0) Gecko/20130509 Thunderbird/17.0.6 MIME-Version: 1.0 To: postfix-users(a)de.postfix.org Subject: Re: OpenDMARC IgnoreAuthenticatedClients References: <1410985410.25010.383.camel(a)Thinkpad.lan> <5419F530.2000504(a)sys4.de> In-Reply-To: <5419F530.2000504(a)sys4.de> X-Enigmail-Version: 1.6 Content-Type: multipart/signed; protocol="application/pkcs7-signature"; micalg=sha1; boundary="------------ms080100090202000002000303" X-BeenThere: postfix-users(a)de.postfix.org X-Mailman-Version: 2.1.16rc2 Precedence: list List-Id: Mailing-Liste der deutschsprachigen Postfix Gemeinschaft <postfix-users.de.postfix.org> List-Unsubscribe: <http://de.postfix.org/cgi-bin/mailman/options/postfix-users>, <mailto:postfix-users-request@de.postfix.org?subject=unsubscribe> List-Archive: <http://de.postfix.org/pipermail/postfix-users/> List-Post: <mailto:postfix-users@de.postfix.org> List-Help: <mailto:postfix-users-request@de.postfix.org?subject=help> List-Subscribe: <http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users>, <mailto:postfix-users-request@de.postfix.org?subject=subscribe> Errors-To: postfix-users-bounces+jf=fahrner.name(a)de.postfix.org Sender: "postfix-users" <postfix-users-bounces+jf=fahrner.name(a)de.postfix.org> Laut Returnpath reflector ist aber alles gut. Mich wundert nur das " No DomainKeys signature(s) found.". Return Path DKIM/SPF Reflector Report ===================================== Source IP = 78.46.184.248 Mail From = jf(a)fahrner.name Identity Alignment Results ========================== SPF Domain Alignment Result = PASS The From domain 'fahrner.name' is an exact match with the SPF domain 'fahrner.name'. Note that no alignment policy was defined in a DMARC record, so the policy defaulted to relaxed. DKIM Domain Alignment Results: Result for DNS Record: mail._domainkey.fahrner.name = PASS The From domain 'fahrner.name' is an exact match with the DKIM domain 'fahrner.name'. Note that no alignment policy was defined in a DMARC record, so the policy defaulted to relaxed. DKIM Results ============ Result = pass Domain = fahrner.name Selector = mail DNS Record(s) = mail._domainkey.fahrner.name TXT v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ CX6HDfEw5BOPwL8C4idNjgb/YCKvbroUyEZ82MYIhu442XZJ7Y3BeFd2U/HVj9LM4M9qGNX32VOp2PXO PoIxKa5+w6mMOcsp3WblUUQ/yMhLOTnIupmzB6/h0CDAsWamLKrxnz7JuUbCeLc7KcWoBTDUiS6x23j8 KFcotlAD30owIDAQAB Public Key Length = 1024 DomainKeys Results ================== No DomainKeys signature(s) found. SPF Results =========== Result = pass Domain = fahrner.name DNS Record(s) = fahrner.name TXT v=spf1 mx -all DMARC Results ============= Domain = _dmarc.fahrner.name DNS Record = _dmarc.fahrner.name TXT v=DMARC1;p=reject DMARC Record Validation Results =============================== DMARC Errors Detected: None. Non-DMARC flags encountered (skipped): None. Visit http://www.returnpath.com/solution-content/dmarc-support/ for more information on DMARC record creation and validation. -- Mit besten Grüßen Jochen Fahrner

2 1

[postfix-users] OpenDMARC und dhl.com
by Joachim Fahrner 17 Sep '14

17 Sep '14

Mal ein Zwischenergebnis: IMHO ist OpenDMARC Schrott! DHL.com hat eine Dmarc-Policy mit p=reject, besitzt SPF aber sendet teilweise ohne DKIM-Signatur. Google Mail verkraftet das, nicht jedoch OpenDMARC. Trotz Compilierung mit "--with-spf" und Konfig "SPFIgnoreResults true" und "SPFSelfValidate true" scheitert OpenDMARC. Man kann natürlich dhl.com auf die Ignore-Liste setzen, aber das ist ja wohl nicht Sinn und Zweck der Übung. Jetzt kann man natürlich auf dhl.com schimpfen, weil die keine DKIM-Signatur senden (würde ich ja gerne), aber wenn es Google akzeptiert sollte das bei OpenDMARC nicht anders ein. -- Mit besten Grüßen Joachim Fahrner

5 36

[postfix-users] de.postfix.org SSL error
by Jochen Fahrner 17 Sep '14

17 Sep '14

Diese Message kommt mir auch spanisch vor: Sep 16 12:02:59 s2 opendkim[23233]: 3F122341C2: s=200801 d=de.postfix.org SSL error:04091068:rsa routines:INT_RSA_VERIFY:bad signature Stimmt da was mit der Mailingliste nicht? -- Mit besten Grüßen Jochen Fahrner

2 2