February 2015 - postfix-users

OpenDMARC
by J. Fahrner 17 Feb '15

17 Feb '15

Hallo, was ist denn mit dem DMARC schon wieder kaputt? Wieso bekomme ich Failure Reports zu Mails mit denen ich absolut nix zu tun habe? Am 16.02.2015 um 19:00 schrieb postmaster(a)fahrner.name: > This is an authentication failure report for an email message received from IP > 208.69.40.157 on Mon, 16 Feb 2015 19:00:58 +0100 (CET). > > > Feedback-Type: auth-failure > Version: 1 > User-Agent: OpenDMARC-Filter/1.3.0 > Auth-Failure: dmarc > Authentication-Results: s2.fahrner.name; dmarc=fail header.from=zestsoftware.nl > Original-Envelope-Id: 126A134008 > Original-Mail-From: opendmarc-users-bounces(a)trusteddomain.org > Source-IP: 208.69.40.157 > Reported-Domain: zestsoftware.nl > > > Authentication-Results: s2.fahrner.name; > dkim=fail reason="no signature error" (1024-bit key; insecure) header.d=zestsoftware.nl header.i=(a)zestsoftware.nl header.b=qyvXpEvP; > dkim-adsp=none (insecure policy); dkim-atps=neutral > Received-SPF: Pass (sender SPF authorized) identity=mailfrom; client-ip=208.69.40.157; helo=medusa.blackops.org; envelope-from=opendmarc-users-bounces(a)trusteddomain.org; receiver=jf(a)fahrner.name > Received: from medusa.blackops.org (medusa.blackops.org [208.69.40.157]) > (using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits)) > (No client certificate requested) > by s2.fahrner.name (Postfix) with ESMTPS id 126A134008 > for <jf(a)fahrner.name>; Mon, 16 Feb 2015 19:00:57 +0100 (CET) > Received: from medusa.blackops.org (mailman(a)localhost.blackops.org [127.0.0.1]) > by medusa.blackops.org (8.14.5/8.14.5) with ESMTP id t1GHvYk3045630; > Mon, 16 Feb 2015 09:59:24 -0800 (PST) > (envelope-from opendmarc-users-bounces(a)trusteddomain.org) > DKIM-Filter: OpenDKIM Filter v2.9.2 medusa.blackops.org t1GHvYk3045630 > Authentication-Results: medusa.blackops.org; > dkim=fail reason="no signature error" (1024-bit key; unprotected) header.d=zestsoftware.nl header.i=(a)zestsoftware.nl header.b=qyvXpEvP; > dkim-adsp=none (unprotected policy); dkim-atps=neutral > X-SenderID: Sendmail Sender-ID Filter v1.0.0 medusa.blackops.org t1GHvYk3045630 > Authentication-Results: medusa.blackops.org; sender-id=fail (NotPermitted) header.sender=opendmarc-users-bounces(a)trusteddomain.org; spf=fail (NotPermitted) smtp.mfrom=opendmarc-users-bounces(a)trusteddomain.org > Received: from mail.zestsoftware.nl (mail.zestsoftware.nl [149.210.198.85]) > by medusa.blackops.org (8.14.5/8.14.5) with ESMTP id t1GHvPQ9045625 > (version=TLSv1/SSLv3 cipher=DHE-RSA-AES256-SHA bits=256 verify=NO) > for <opendmarc-users(a)trusteddomain.org>; > Mon, 16 Feb 2015 09:57:28 -0800 (PST) > (envelope-from j.ladage(a)zestsoftware.nl) > DKIM-Filter: OpenDKIM Filter v2.9.2 medusa.blackops.org t1GHvPQ9045625 > X-SenderID: Sendmail Sender-ID Filter v1.0.0 medusa.blackops.org t1GHvPQ9045625 > Authentication-Results: medusa.blackops.org; > sender-id=pass header.from=j.ladage(a)zestsoftware.nl; > spf=pass smtp.mfrom=j.ladage(a)zestsoftware.nl > Received: from localhost (localhost [127.0.0.1]) > by mail.zestsoftware.nl (Postfix) with ESMTP id 3D633320AF7; > Mon, 16 Feb 2015 18:57:25 +0100 (CET) > X-Virus-Scanned: Debian amavisd-new at mail.zestsoftware.nl > Received: from mail.zestsoftware.nl ([127.0.0.1]) > by localhost (mail.zestsoftware.nl [127.0.0.1]) (amavisd-new, > port 10024) > with ESMTP id YsGkr9LzcZXl; Mon, 16 Feb 2015 18:57:23 +0100 (CET) > Received: from [192.168.242.12] (92-108-193-94.dynamic.upc.nl [92.108.193.94]) > (using TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits)) > (No client certificate requested) > by mail.zestsoftware.nl (Postfix) with ESMTPSA id 600BF320AF6 > for <opendmarc-users(a)trusteddomain.org>; > Mon, 16 Feb 2015 18:57:23 +0100 (CET) > DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=zestsoftware.nl; > s=mail; t=1424109443; > bh=1cchw4zDAoZ+9XCxRHnTF7FitmVVdBoPZyb317LSLYs=; > h=From:Subject:Date:To; > b=qyvXpEvPmYOUPaB6A/g+ZoEGyXGDYAxSrQa9VqqKjKSIc59PlQpDvsNZqMgOsFwOX > 5H16hxn8/4lrAzUmeJ9YhW/YrT6Sn5IZWM979jQlg9difo43DrMV3n4/Ap9uBNX1v9 > a48Jq9j0apxsrsJMqYe/EFSAg4EY+TrbdQo20Z+Q= > From: Jean-Paul Ladage <j.ladage(a)zestsoftware.nl> > Content-Type: multipart/mixed; > boundary="Apple-Mail=_B84B22D7-490D-47D9-B353-3CCAF6DD89BD" > Message-Id: <87A4D0DA-792E-427A-9FEA-EB1144745DA1(a)zestsoftware.nl> > Date: Mon, 16 Feb 2015 18:57:22 +0100 > To: opendmarc-users(a)trusteddomain.org > Mime-Version: 1.0 (Mac OS X Mail 8.1 \(1993\)) > X-Mailer: Apple Mail (2.1993) > X-Spam-Status: No, score=-1.9 required=5.0 tests=J_CHICKENPOX_54, > RP_MATCHES_RCVD autolearn=unavailable version=3.3.1 > X-Spam-Checker-Version: SpamAssassin 3.3.1 (2010-03-16) on medusa.blackops.org > Subject: Re: [opendmarc-users] Postgres Schema? > X-BeenThere: opendmarc-users(a)trusteddomain.org > X-Mailman-Version: 2.1.14 > Precedence: list > List-Id: OpenDMARC discussion <opendmarc-users.trusteddomain.org> > List-Unsubscribe: <http://www.trusteddomain.org/mailman/options/opendmarc-users>, > <mailto:opendmarc-users-request@trusteddomain.org?subject=unsubscribe> > List-Archive: <http://www.trusteddomain.org/pipermail/opendmarc-users> > List-Post: <mailto:opendmarc-users@trusteddomain.org> > List-Help: <mailto:opendmarc-users-request@trusteddomain.org?subject=help> > List-Subscribe: <http://www.trusteddomain.org/mailman/listinfo/opendmarc-users>, > <mailto:opendmarc-users-request@trusteddomain.org?subject=subscribe> > Errors-To: opendmarc-users-bounces(a)trusteddomain.org > Sender: opendmarc-users-bounces(a)trusteddomain.org

2 1

tls_dane_trust_anchor_digest_enable
by django＠nausch.org 16 Feb '15

16 Feb '15

HI, je öfter ich Wietses Doku[1] durchlese, umso mehr Zweifel hab ich, ob ich auch wirklich das richtige richtig gemacht habe. Im Abschnitt "Creating the server certificate file" schreibt er man könne bei Verwendung einer "kommerziellen" CA in der Zertifikats-Datei das RootCA weglassen, wenn der Sender (Kommunikationspartner) ebenfalls das Root-Zertifikat der CA vorrätig hat. Somit verringere sich der Aufwand beim TLS-Handshake. Soweit so gut, bis hierhin passt es ja noch, oder? Das bedeutet, nutze ich eine CA, bei der ich nicht sicher sein kann, ob der Kommunikattionspartner das zugehörige Root-Zertifikat auch vorrätig hat, packe ich demzufolge, neben dem Serverzertifikat, das Zwischenzertifikat und dann das Root-Zertifikat in die Zertifikatsdatei. Richtig? really really? In der verlinkten Doku[2] schreibt Wietse ferner: "RFC 6698 trust-anchor digest support in the Postfix TLS library. Enable support for RFC 6698 (DANE TLSA) DNS records that contain digests of trust-anchors with certificate usage "2". In this case the certificate usage logically requires the server administrator to configure the server to include the trust-anchor certificate in the server's SSL certificate chain. If enough domains mess this up, you can disable support for these TLSA records, but you'll no longer have secure connections that get it right and only publish trust anchor records." Watt meint er denn mit: "If enough domains mess this up, you can disable support for these TLSA records, but you'll no longer have secure connections that get it right and only publish trust anchor records." Ich gehe mal davon aus, dass bei einem "3 0 1" im TLSA-Record von der von Wietses Thematik nicht betroffen bin, solange ich ein "offizielles Zertifikat" benutze, oder wie? Nutze ich aber eine eigene CA, oder eben eine, bei der ich nicht sicher sein kann, ob der Kommunikationspartner" dem Root-Zertifikat vertraut, darf ich keinen "3 0 1"er verwenden, sondern muss auf "2 0 1" setzen. Ferner muss ich im Zertifikatsfile im Postfix die komplette trustchain hinterlegen. Richtig? Pffff, irgendwie steh ich grad an einem Punkt, an dem ich nicht 100% weiß, hab ich das TLSA-Zeugs nun richtig verstanden, oder nicht. Vielleicht hat JODA ja Rat für mich. ;) Servus Django [1] http://www.postfix.org/TLS_README.html [2] http://www.postfix.org/postconf.5.html#tls_dane_trust_anchor_digest_enable

1 0

Outlook.com rejected mails
by Joachim Fahrner 13 Feb '15

13 Feb '15

Hallo, wenn ich versuche Mail an live.de Postfächer zu senden, wird die Mail rejected: Feb 8 10:11:15 s2 postfix/smtp[2846]: 97BD83410A: to=<xxx(a)live.de>, relay=mx2.hotmail.com[65.55.92.136]:25, delay=878, delays=876/0.01/1.3/0.13, dsn=5.0.0, status=bounced (host mx2.hotmail.com[65.55.92.136] said: 550 SC-001 (SNT004-MC1F1) Unfortunately, messages from 78.46.184.248 weren't sent. Please contact your Internet service provider since part of their network is on our block list. You can also refer your provider to http://mail.live.com/mail/troubleshooting.aspx#errors. (in reply to MAIL FROM command)) Hat jemand eine Ahnung was denen nicht passt? Und was man dagegen unternehmen kann? Die Beschreibung auf deren Webseite ist leider nichtssagend. -- Mit besten Grüßen Joachim Fahrner

10 28

TLSA: DNS ttl und revoced certs
by django＠nausch.org 05 Feb '15

05 Feb '15

HI! Zwei kurze Fragen: Welche Erfahrungswerte könnt Ihr mir denn TTL von TLSA-Records nennen? Was macht man bei einem zurückgerufenen Zertifikat? Reicht es den TLSA-Record zu klöschen, oder gibt es da ähnlich wie bei DKIM 'nen besonderen Eintrag zum Kennzeichnen, das das Zertifikat/Schlüssel revoced wurde? ttyl Django

6 12

Postscreen
by django＠nausch.org 05 Feb '15

05 Feb '15

Servus, kann einer das Verhalten von SPAM-Ausschlägen bestätigen? Wenn ich meine Mailgraph Statistiken so anschaue, fällt mir auf, dass in unregelmäßigen Abständen massive Ausschläge vor allem bei PREGREET und HANGUP auftauchen. DNSBL und BARE NEWLINE sind da eher weniger davon betroffen. Servus Django

4 4

OT: Smartphone mitAnbindung an Postfix und Dovecot
by postfix_ml＠rirasoft.de 04 Feb '15

04 Feb '15

Hallo zusammen, mal 'ne Frage an euch: Wie, und ist es überhaupt möglich, kann man aktuelle Smartphones (Android) an ein bestehendes Mailsystem mit Postfix und Dovecot anbinden, damit die Mails darüber und nicht über Google (gmail) laufen? Hintergrund: mein Frau möchte sich ein Smartphone zulegen und ich betreibe selber meinen Mailserver (feste IP vorhanden). Gruß Andreas

6 6