May 2015 - postfix-users

Postfix und LDAP - Problem bei LDAP Ausfall
by Stephan Jacob 27 May '15

27 May '15

Hallo, ich habe ein ungewöhnliches Verhalten bei meinen Mailservern, was ich mir nicht erklären kann: Ich habe ein Relay für den Empfang von Mails, ganz normal über Port 25. Dann habe ich ein Relay für den "Postausgang", wo die Clients über Port 587 mit Starttls einliefern. Auf beiden Servern habe ich unser LDAP eingebunden, um die Mails auch an die entsprechenden Postfächer zu leiten. Dabei habe ich in der LDAP Konfiguration (siehe unten) 2 LDAP Sever hinterlegt. Wenn nun ein LDAP-Server ausfällt, wird bei dem Empfangsrelay sofort und automatisch der zweite LDAP-Server in der Liste gewählt und der Mailtransport läuft ganz normal weiter. Bei unserem Ausgangsrelay funktioniert dieser Automatismus irgendwie nicht. Ich kann mir nicht erklären warum nicht. D.h. das Relay versucht immer weiter den ausgefallenen LDAP-Server abzufragen. Alle Server dürfen natürlich auch die beiden LDAP-Sever abfragen. Wenn ich auf dem Ausgangsrelay die Reihenfolge der Server in der LDAP-Konfig ändere wird auch der nun erste Server abgefragt. Nur leider kommt Postfix nicht auf die Idee, automatisch den anderen Server zu nutzen, wenn der erste down ist. Dafür bleibt der Mailtransport einfach stehen. Im Log steht nur das der LDAP-Server nicht erreichbar ist. D.h. Postfix scheint auch wirklich zu erkennen, dass der aktuelle Server nicht mehr da ist. Woran liegt es, dass das Ausgangsrelay nicht einfach den LDAP-Server wechselt, wenn einer der LDAP Server nicht erreichbar ist? Wie kann ich dem Verhalten mal auf die Spur kommen? Auf beiden Mailservern habe ich exakt dieselbe Postfix-Version (2.7.0), die exakt gleiche LDAP-Konfig Datei und habe LDAP auch exakt gleich in Postfix eingebunden. D.h. auf beiden Servern ist folgendes konfiguriert: main.cf: virtual_alias_maps = ldap:/etc/postfix/ldap.conf, hash:/etc/postfix/maps/swmd, hash:/etc/postfix/maps/mappings ldap.conf: # # LDAP Defaults # # See ldap.conf(5) for details # This file should be world readable but not world writable. #BASE dc=example, dc=com #URI ldap://ldap.example.com ldap://ldap-master.example.com:666 #SIZELIMIT 12 #TIMELIMIT 15 #DEREF never bind = yes bind_dn = cn=ABCDEFG,ou=Hosts,dc=uni-magdeburg,dc=de bind_pw = XXXXXXXXXXXXX version = 3 timeout = 20 size_limit = 1 expansion_limit = 0 server_host = ldap://ldap3.ovgu.de, ldap://ldap2.ovgu.de search_base = ou=people,dc=uni-magdeburg,dc=de query_filter = (mailLocalAddress=%s) result_attribute = mailForwardingAddress debuglevel = 0 Viele Grüße Stephan Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

3 2

catchall, bounce messages, ...
by Walter H. 26 May '15

26 May '15

Hallo, habe eine etwas kompliziertere Umgebung zu Hause; 3 virtuelle Maschinen als Mailserver server1: Postfix mit Cyrus als Mail-Store (Zugriff über IMAP) server2: Postfix als ausgehender Mail-Server server3: Postfix mit Fetchmail als eingehender Mail-Server ---[ server1 ]--- server1 ist auf den Clients als SMTP und als IMAP Server konfiguriert; /etc/postfix/transport beinhaltet das server1.domain.local lmtp:unix:/var/lib/imap/socket/lmtp domain.local smtp:server1.domain.local * smtp:server2.domain.local entsprechend im main.cf: transport_maps = hash:/etc/postfix/transport bzw. smtp_generic_maps = hash:/etc/postfix/generic (hier werden interne adressen wie z.B. root(a)server1.domain.local in gültige von der weiten Welt erreichbare Mail-adressen umgewandelt) virtual_alias_maps = hash:/etc/postfix/virtual (hier werden interne adressen wie z.B. root(a)server1.domain.local einem ordner wie z.B. name+sub zugeordnet und auch ein catchall derart @domain.local bzw. @server1.domain.local einem ordner wie z.B. name+sub.catchall zugeordnet bzw. realisiert) relayhost ist nicht gesetzt; die anderen beiden haben im main.cf den relayhost mit [server1.domain.local]:25 gesetzt ---[ server2 ]--- server2 ist der ausgehende Mail-Server /etc/postfix/dependent_relayhost @maildomain smtpserver:port (web-hoster, gmx, isp, ...) entsprechend im main.cf sender_dependent_relayhost_maps = hash:/etc/postfix/dependent_relayhost bzw. smtp_sasl_auth_enable = yes smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd (ordnet den einzelnen smtp-servern jeweils userid+password zu) mein isp macht es kompliziert, daher auch das smtp_sender_dependent_authentication = yes (sasl_passwd entsprechend umfangreicher) ---[ server3 ]--- und jetzt der eigentliche Teil: server3 als eingehender Mail-Server hier im main.cf local_recipient_maps = luser_relay = catchall(a)domain.local notify_classes = bounce, 2bounce, delay, protocol, resource, software bounce_notice_recipient = catchall(a)domain.local 2bounce_notice_recipient = catchall(a)domain.local delay_notice_recipient = catchall(a)domain.local und weiters smtpd_delay_reject = yes smtpd_helo_required = yes smtpd_helo_restrictions = permit_mynetworks, reject_unknown_hostname, reject_non_fqdn_helo_hostname smtpd_client_restrictions = permit_mynetworks, reject smtpd_etrn_restrictions = permit_mynetworks, reject smtpd_sender_restrictions = reject_unknown_sender_domain smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination, permit smtpd_end_of_data_restrictions = smtpd_restriction_classes = smtpd_reject_unlisted_sender = yes smtpd_reject_unlisted_recipient = yes unknown_address_reject_code = 550 body_checks = pcre:/etc/postfix/body_chks.pcre body_checks_size_limit = 1048576 header_checks = regexp:/etc/postfix/hdr_chks.regex, pcre:/etc/postfix/hdr_chks.pcre header_checks_size_limit = 131072 und in fetchmailrc z.B. set daemon 224 set postmaster "root(a)waldinet.home" set properties "" set bouncemail set no spambounce set softbounce defaults smtphost server3.domain.local poll pop.gmx.net with proto POP3 user ###### there with password "password" is name+GMX hier hätte ich gerne dass egal welche bouncemail auch immer generiert wird, diese an direkt an z.B. catchall(a)domain.local geht und nicht retour via server2 wo es entweder versandet oder mit folgender Zeile in /etc/postfix/dependent_relayhost <> server1.domain.local:25 eine Mailloop generiert und diese bouncemail beim postmaster landet ... alle 3 server sind ein centos 6.x und haben postfix 2.6.6 bitte um Hinweise ob ich es richtig gemacht habe, und wenn nein, wie es geht ... Danke, Walter

1 0

Postfix 2.11 und smtpd_tls_dh1024_param_file
by Django [BOfH] 24 May '15

24 May '15

Heyho Patrick, Ich hab in meiner main.cf folgendes stehen: # Django : 2014-10-19 - EDH Server support # http://www.postfix.org/FORWARD_SECRECY_README.html # Definition des 512 bit Schlüssels (export ciphers) # für die obsoleten „Export“-Ciphers und des 2048-bit # (non export ciphers) Schlüssels für all die anderen # EDH Cipher Suits. # default: smtpd_tls_dh512_param_file = # smtpd_tls_dh1024_param_file = smtpd_tls_dh1024_param_file = /etc/pki/tls/private/dh_2048.pem smtpd_tls_dh512_param_file = /etc/pki/tls/private/dh_512.pem Wann genau lädt der Postfix 2.11. eigentlich diese beiden Dateien? Passiert das nur beim initialen Start des master-daemon oder immer dann wenn eine TLS-Verbindung initiiert wird? Du weisst das doch sicherlich, oder? ;) Servus Django -- "Bonnie & Clyde der Postmaster-Szene!" approved by Postfix-God http://wetterstation-pliening.info http://dokuwiki.nausch.org http://wiki.piratenpartei.de/Benutzer:Django

6 11

DHL Spam
by Sören Mindorf 21 May '15

21 May '15

Hallo zusammen, wir bekommen hier in den letzten Wochen immer wieder DHL Paketankündigungen mit Links oder mit Dateianhängen in denen dann der Email Inhalt mit dem Link angehängt ist. Der Link ist entweder ein reines PDF oder aber ein PDF im ZIP. Konntet Ihr dies auch beobachten und wenn ja, wie kann ich das wegfiltern? Ich habe nichts gefunden, worauf man irgendwelche Regex machen kann. Hier mal eine Mail von denen: https://s.mit42.de/7XSmK Unser Mailgateway ist eine Sophos und ich würde gerne davor oder dahinter ein Postfix stellen, wenn dieser besser filtern könnte, aber mir fällt nichts ein, wie ich das bewerkstelligen kann. Was mich am Meisten verwundert ist die Tatsache, dass die Spammer unsere Email Adressen kennen, auch die internen, die in keinem Adressbuch vorhanden sind. Danke und Gruß Sören -- Sören Mindorf

5 4

Doppelter exclude_cipher Eintrag?
by Benedikt Schindler 21 May '15

21 May '15

Hallo, ich habe eine Kurze Verständnisfrage. Auf Heise.de wurde wegen der neuen Logjam-Attacke folgende exclude_ciphers für postfix empfohlen: smtpd_tls_mandatory_exclude_ciphers = aNULL, eNULL, EXPORT, DES, RC4, MD5, PSK, aECDH, EDH-DSS-DES-CBC3-SHA, EDH-RSA-DES-CDC3-SHA, KRB5-DE5, CBC3-SHA Meine Frage: Ist der Eintrag EDH-DSS-DES-CBC3-SHA nicht überflüssig da ja später alle cyphers deaktiviert werden in denen CBC3-SHA vorkommt, oder verstehe ich da etwas falsch? Gruß Benedikt Schindler P.S.: Ausserdem fällt mir da gerade auf, dass EDH-RSA-DES-CDC3-SHA wahrscheinlich EDH-RSA-DES-CBC3-SHA lauten soll.

1 1

Mail löschen, wenn nicht zustellbar
by Marco Dickert 18 May '15

18 May '15

Guten Morgen, auf meinem Webserver laufen mehrere Webseiten mit mehreren Domains. Ein Postfix leitet Emails für bestimmte Domains an andere Email-Adressen weiter. Nun gibt es Mails, die mein Spam-Filter nicht erkennt, aber Google beispielsweise schon. Im Mail-Log taucht dann sowas auf: May 13 09:20:19 kronos postfix/smtp[5189]: 22393141539: to=< xxxxxxx(a)gmail.com>, relay=gmail-smtp-in.l.google.com[2a00:1450:4013:c00::1a]:25, delay=2.1, delays=0.08/0.01/1.2/0.79, dsn=5.7.1, status=bounced (host gmail-smtp-in.l.goo gle.com[2a00:1450:4013:c00::1a] said: 550-5.7.1 [2a01:4f8:140:9324::2 12] Our system has detected that this 550-5.7.1 message is likely unsolicited mail. To reduce the amount of spam sent 550-5.7.1 to Gmail, this message has been bloc ked. Please visit 550-5.7.1 http://support.google.com/mail/bin/answer.py?hl=en&answer=188131 for 550 5.7.1 more information. 20si31421217wjz.5 - gsmtp (in reply to end of DATA command)) Danach landet die entsprechende Mail in der Queue und wird immer wieder versucht zu senden, was weiterhin fehlschlägt. Kann ich Postfix irgendwie sagen, dass er diese Mails direkt löschen soll? Viele Grüße, Marco

5 6

Mail und Redundanz. Was ist möglich?
by Matthias Egger 15 May '15

15 May '15

Servus Liste Für ein neues Setup das ich hier aufbauen will, stellt sich mir die Frage, was man denn bei dovecot und postfix redundant auslegen kann und soll. Ziel des Setup soll es sein, dass jeweils 50% ausfallen können (sei es durch HW defekte oder geplante Wartung) und die restlichen 50% überbrücken dann eine Weile den Ausfall. So wie ich das sehe gibt es 3 Stellen, die man redundant auslegen müsste: * Eingehende, zu empfangende Mails (MTA) * Ausgehende, zu versendende Mails (MTA) * Mailverwaltung (ablage in Postfächer, Lesen der Mails etc.)(MDA) Punkt 1 scheint die leichteste Übung zu sein. * Zwei gleichwertige (also z.B. beide MX10) MX-Frontrelays in verschiedenen Netzen aufbauen welche Spamfilterung machen und mittels address verification via LTMP zu einem dovecot kontakt aufnehmen um die User zu prüfen. Auch für Punkt 3 scheint es bereits von Haus aus interessante Lösungen zu geben. Ich hätte jetzt wie in peers dovecot Buch beschrieben die Lösung: "Active/Active-Cluster mit Echtzeit-Replikation" eingesetzt. Grosse Fragezeichen habe ich nun aber bei der Übergabe der Emails von den MX-Frontrelays an Dovecot sowie bei den zu versendenden Emails. MX-Frontrelay Übergabe: So wie ich das sehe, kann ich für eine Zieldomain ja jeweils nur einen Relay angeben. Somit müsste ich bei MX1 als relay für example.com dovecot1 angeben, wohingegen ich bei MX2 dovecot2 angeben würde. Wie stelle ich es nun aber an, dass bei einem Ausfall von dovecot1 der MX1 automatisch an dovecot2 weiterleitet? Oder muss ich das gar nicht weil MX1 dann einen temporären Fehler meldet und der "Client" es dann entweder bei MX2 versucht oder halt später nochmals kommt? Mailversand: Hier habe ich die grössten Fragezeichen. Wie kann ich hier eine einfache Lösung für Endbenutzer bewerkstelligen, damit diese nur z.B. smtp.example.com definieren müssen und bei Ausfall von smtp1 automatisch über smtp2 senden und umgekehrt? Und wo sollte man smtp1 resp. smtp2 laufen lassen? Auf den MXen oder auf den Dovecots? Schon mal danke fürs durchlesen und beantworten. Lieber Gruss Matthias -- Matthias Egger ETH Zurich Department of Information Technology maegger(a)ee.ethz.ch and Electrical Engineering IT Support Group (ISG.EE), ETL/F/24.1 Phone +41 (0)44 632 03 90 Physikstrasse 3, CH-8092 Zurich Fax +41 (0)44 632 11 95

3 11