July 2015 - postfix-users

smtpd_helo_restrictions
by Lars Täuber 30 Jul '15

30 Jul '15

Hallo zusammen, wie ist das mit den helo restrictions? Bei unseren MX hosts habe ich folgende Restriktionen eingeschaltet: smtpd_helo_required = yes smtpd_helo_restrictions = reject_invalid_helo_hostname reject_non_fqdn_helo_hostname permit_mynetworks reject_unknown_helo_hostname Ich kenne die RFCs nicht. Deshalb die Frage, ob diese Einstellungen zu streng sind? Was ist hierzu die best practice? Es gibt folgende Logs: NOQUEUE: reject: RCPT from mail.xarapalace.com.mt[195.158.101.82]: 450 <CSWXARA-DMZ.cswxara.net>: Helo command rejected: Host not found; from=<XXXXX(a)xarapalace.com.mt> to=<YYYYY(a)bbaw.de> proto=ESMTP helo=<CSWXARA-DMZ.cswxara.net> Es wird jedoch eine Antwort auf eine dorthin erfolgreich gesendete Mail erwartet. Dank und Grüße Lars

1 0

DNS & MX
by Lars Täuber 29 Jul '15

29 Jul '15

Hallo zusammen, leider bin ich kein DNS Experte, deshalb hier eine kurze Frage: Muss der MX host für eine Domäne im gleichen Namensraum wie die Domäne selbst sein? Oder geht auch soetwas: # host globalyoungacademy.net globalyoungacademy.net has address 185.21.102.180 globalyoungacademy.net mail is handled by 20 mx2.bbaw.de. globalyoungacademy.net mail is handled by 10 mail.bbaw.de. web.de und GMX akzeptieren das ohne Probleme. Allerdings gibt es auch solche Fehlermeldungen in den Logs: NOQUEUE: reject: RCPT from smtp.ug.edu.gh[197.255.124.93]: 450 <YYYYY(a)ug.edu.gh>: Sender address rejected: undeliverable address: host ugmsrv.ug.edu.gh[197.255.124.93] said: 550 Sender domain <mail.bbaw.de> has no DNS MX entry (in reply to MAIL FROM command); from=<YYYYY(a)ug.edu.gh> to=<XXXXX(a)globalyoungacademy.net> proto=ESMTP helo=<ugmsrv.ug.edu.gh> Hat das einen Zusammenhang? Danke und Grüße Lars

3 3

Postfix SMTP Auth + LDAP - Absender prüfen
by Stephan Jacob 27 Jul '15

27 Jul '15

Hallo Postfix-Runde, ich betreibe ein ausgehendes Relay mit SMTP Auth. Ferner haben wir eine LDAP Nutzerdatenbank, die alle Accounts und Mail-Aliase zu einem Account beinhaltet. Dabei hat jeder Account eine "Haupt-Mailadresse" und er kann noch x-beliebige weitere Aliase haben die dann im LDAP zugeordnet sind. Auf dem ausgehenden Relay, wo die Nutzer sich mit Accountnamen und Passwort authentifizieren, möchte ich nur Mails durchlassen, wo der Absender ein Alias (oder die Haupt-Mailadresse) des Accounts ist, mit welchem sich authentifiziert wird. Wie setze ich das in Postfix um? Es gibt ja den Parameter smtpd_sender_login_maps. Ist das der richtige Weg? Wie kann ich da das LDAP anbinden und wie müsste dann die LDAP-Konfiguration aussehen, damit ich dort prüfen kann, dass der Absender der Mail auch zum Account passt? Muss ggf. noch andere Postfix Parameter setzen? Ich habe bereits das LDAP im Relay eingebunden, damit ich die Mails die intern versendet werden korrekt routen kann. D.h. wenn über das Ausgangsrelay Uni-intern gesendet wird, wird die Mail gleich auf dem Ausgangsrelay an den enspr. Account auf dem Postbox-Server weitergeleitet. Ich benutze dazu folgende ldap.conf die über den Parameter virtual_alias_maps = ldap:/etc/postfix/ldap.conf eingebunden ist: bind = yes bind_dn = cn=ZYXWU,ou=Hosts,dc=uni-magdeburg,dc=de bind_pw = ABCDEFGHIJKLMNOP version = 3 timeout = 20 size_limit = 1 expansion_limit = 0 server_host = ldap://ldap3.ovgu.de, ldap://ldap2.ovgu.de search_base = ou=people,dc=uni-magdeburg,dc=de query_filter = (mailLocalAddress=%s) result_attribute = mailForwardingAddress debuglevel = 0 VG Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

2 1

smtp_tls_policy_maps und backup MX
by django＠nausch.org 16 Jul '15

16 Jul '15

HI Patrick, HI all! Mit der Postfix-Option smtp_tls_policy_maps kann ich ja für beliebige Ziel-Domains eine abweichende Gewichtung bei der nötigen TLS-Verschlüsselung erreichen.(1) Das Ganze funktioniert ja soweit recht einfach und gut - wenn, und jetzt kommt die Einschränkung - wenn es eine Zieldomäne ohne Backup-MX betrifft. Wie, was ich da meine? O.K. ich erklär es mal an einem Beispiel. Fall 1: ======= Die Domäne example.edu hat nur einen MX-Record mit Namen mx01.example.edu Auf meinem Mailserver habe ich nur definiert: /etc/postfix/main.cf: smtp_tls_policy_maps = hash:/etc/postfix/tls_policy_maps /etc/postfix/tls_policy: example.edu encrypt Versucht nun mein MX eine eMail bei mx01.example.edu abzuliefern, macht er das nur, wenn eine trusted TLS-Connection zu mx01.example.edu zu Stande kommt. Kann keine TLS-Verbindung hergestellt werden, wir die eMail gequeuet mit all den Folgen. Also entweder wird solange versucht die Mail zuzustellen, bis auch eine TLS-Verbindung zu Stande kam, oder sie wird gebounced. Also hier stimmt dier Erwartung mit dem Ergebnis 100% überein. Fall2: Die Domäne example.com hat nicht nur einen MX-Record sondern 2! example.com. 86400 IN MX 10 mx01.example.com. example.com. 86400 IN MX 20 mx01.example.net. Die Domäne hat also eine Haupt MX und als Backup-MX fungiert der Mailserver mx01.example.com. Auf meinem Mailserver habe ich nur definiert: /etc/postfix/main.cf: smtp_tls_policy_maps = hash:/etc/postfix/tls_policy_maps /etc/postfix/tls_policy: example.com encrypt example.net encrypt Dann versuchen wir doch mal ein paar eMails zu verschicken: Test1: Klappt das mit der TLS-Verschlüsselung, wird die eMail brav zugestellt, im Idealfall an den Server mit der niedrigeren Priiorität, in dem Beispiel also mx01.example.com Test2: Beim Server mx01.example.com klappt die TLS-Verbindung warum auch immer nicht. Was erwarten wir? Na, die Nachricht soll auf dem zweiten MX mx01.example.net mit der Priorität 20 zugestellt werden. Das macht der Server auch und schickt die Nachricht dann via TLS (mx01.example.net hat als Standard smtpd_tls_security_level = may gesetzt) an mx01.example.net Test3: Unser eigener Server (Client) soll laut Definition mit den Zielservern von example.com und example.net nur über eine verschlüsselte Verbindung kommunizieren und versucht nun eine eMail an ceo(a)example.com zu senden. Laut MX-Record im DNS weiss mein Server, dass er als erstes sein Glück beim Server mx01.example.com versuchen soll. Leider klappt die TLS-Verbindung nicht, also wir mein Serveres wo versuchen? Genau beim Backup-MX. Leider klappt dort der TLS-Handshake auch nicht. Tja was erwarten wir? Die Nachricht wird zurückbehalten und an einem der beiden zuständigen MXe zugestellt, sobald der TLS-Kanal zu stande kommt- dauerts zu lange wird gebounced. Was passiert? <trommelwirbel> die Nachricht wird von meinem MX beim backup-MX mx01.example.net *ohne* TLS-Verbindung zugestellt! *möp* Also passiert genau das, was wir nicht wollten, die Nachricht wird unverschlüsselt übertragen, genau das, was wir mit der Konfiguration von smtp_tls_policy_maps eigentlich verhindern wollten. :/ So und nun ist der große Meister dran. Wie kann ich meinem Postfix-Client zwingen, bei gesetzter zwingenden TLS-Verschlüsselung auch wirklich nur zu senden, wenn der TLS-Channel auch wirklich zur Verfügung gestellt und das gleichgültig auf welchen MXer ich rauskomme? Any idea? Ich für meinen Teil, steh erst mal etwas arg ratlos da! Servus Django (1) http://www.postfix.org/postconf.5.html#smtp_tls_policy_maps -- http://dokuwiki.nausch.org http://wetterstation-pliening.info http://ebersberger-liedersammlung.de

2 1

Frage zur Spamabwehr ....
by Stefan Weber 12 Jul '15

12 Jul '15

Hallo, seit in der main.cf unter smtpd_recipient_restrictions die check_sender_access hash:/etc/postfix/sender_access, check_client_access cidr:/etc/postfix/client_access, werkeln, wird schon einiges abgefangen. Der durchgelassene Spam wird trotzdem nicht weniger, weil immer neue IP's auftauchen. Die Anzahl der SpamMails die durchkommen, bleiben ungefähr gleich, so um die 50 über 1-2 Tage. Aufbau und Inhalt lassen die Vermutung aufkommen, dass da der/die gleichen Versender zu Werke sein könnten, was der weiteren Idee Nahrung gibt, dass die IP's der vermeintlich absendenden Server gefakt (gespooft) sein könnten. Gibt es in Postfix eine einfache Methode zu validieren, ob die IP im Header und der tatsächlichen Server identisch sind? Vielen Dank für die Antworten im Voraus !!! Stefan

5 5

Erzwingen von Fehler 550 an Stelle von Warnung 450
by Walter H. 10 Jul '15

10 Jul '15

Hallo, kann mir jemand bitte verraten wie ich bei Postfix erzwinge, daß er an Stelle eines 450 einen 550 liefert? hier meine main.cf: http://pastebin.com/3Fvb6WXy und mit telnet localhost 25 passiert das: [root@filter ~]# telnet localhost 25 Trying ::1... Connected to localhost. Escape character is '^]'. 220 filter.local ESMTP Postfix (2.6.6) ehlo filter.local 250-filter.local 250-PIPELINING 250-SIZE 20972032 250-VRFY 250-ETRN 250-ENHANCEDSTATUSCODES 250 8BITMIME mail from: <Rybansunglasses(a)fitdomesticcompany.com> 250 2.1.0 Ok rcpt to: <walter(a)filter.local> 450 4.1.8 <Rybansunglasses(a)fitdomesticcompany.com>: Sender address rejected: Domain not found und genau hier benötige ich an Stelle des 450-Fehlers einen 550 Fehler, nur wie? mein main.cf (http://pastebin.com/3Fvb6WXy) hat so ziemlich alle reject-codes auf 550 gesetzt, nur woher kommt dieser 450? Danke im voraus. -- Mit freundlichen Grüßen, Ing. Walter Höhlhubmer [e-Mail: walter.h(a)mathemainzel.info]

3 10