October 2016 - postfix-users

Spamversand, reject_sender_login_mismatch
by Thomas Krause 27 Oct '16

27 Oct '16

Hallo, ich kann leider reject_sender_login_mismatch nicht aktivieren, da die (lieben) Kunden sich teilweise mit anderen Mailadressen anmelden als sie dann versenden. Allerdings könnte ich die Absende-Domain auf Übereinstimmung überprüfen. Postfix bietet dafür keine Option an ??? Ich müsste mir also einen kleinen Policyd schreiben. Beim Durchsehen der Logfiles ist mir aufgefallen, dass das from= teilweise leer ist. Wie soll ich das behandeln? Ablehnen? Annehmen? Wie behandelt die Postfix-Option reject_sender_login_mismatch den Fall "leere Absendeadresse"? Grüße, Thomas

3 2

Automatische Mailarchiv nach Empfänger User
by Lothar Wolff 25 Oct '16

25 Oct '16

Hallo, eingelieferte E-Mails werden nachdem über Postfix (nach Antivirus V/SPAM etc.) an einen anderen MTA (Exchange) weitergeleitet. Um ein ähnliches System, wie beim vorherigen Maileingang zu er zeugen, wird folgendes angestrebt. - Für jede eingehende E-Mail Adresse z.B. xxx at tld.de soll ein Verzeichnis angelegt werden. - In diesem Verzeichnis sollen dann alle eingehenden E-Mails für diese Adresse abgelegt werden. Dateiname xxxxxx.eml oder msg. - Optional jeder Monat ein Unter-Ordner Die von mir bisher gefundene Option "always_bcc" erstellt nur eine lange Datei, die man zwar editieren bzw. grep etc. bearbeiten kann, was aber auf die Zukunft einfach zu umständlich ist. Wenn dieses Thema in einer ähnlichen Art schon in der Vergangenheit behandelt wurde, bitte ich um Benennung eines Links, oder andere Informationen. Freundliche Grüße Lothar Wolff

3 2

Re: Zertifikat für Mailserver
by Gregor Hermens 20 Oct '16

20 Oct '16

Hallo Walter, Am Donnerstag, 20. Oktober 2016 schrieb Walter H.: > On Thu, October 20, 2016 07:57, Gregor Hermens wrote: > > In beiden Fällen muß ich nur zusätzlich Einfluß auf den DNS-Resolver des > > Opfers nehmen können, > > was ohne entsprechende Kollateralschäden schon mal nicht möglich ist; > > > was bei genügend krimineller Energie kein Hexenwerk ist... > > doch, weils in der Menge derer, die diesen Resolver verwenden, garantiert > mind. einen gibt, dem es verhext vorkommt und mit dem Besen andere warnt > ;-) > > oder anders: ein MITM Angriff auf die Art nur auf EINE ganz bestimmte > Person ist ausgeschlossen; wenn ich es schaffe, mich in die Internet-Verbindung meines Opfers einzuklinken, kann ich mich diesem gegenüber sowohl als dessen Resolver als auch Mailserver ausgeben. Beispiel: Ich könnte einen WLAN-Access-Point aufsetzen, diesem die SSID eines offenen WLAN geben, daß das Opfer auch benutzt, mich in die Nähe des Opfers begeben und so dafür sorgen, daß sich dessen Smartphone statt über das Mobilfunknetz über das ihm bekannte WLAN mit dem Internet verbindet. Der echte Resolver und dessen andere Nutzer bekommen davon nichts mit, ich habe aber Zugriff auf den gesamten unverschlüsselten Traffic des Opfers und kann verschlüsselten Traffic terminieren für alle Gegenstellen, deren Zertifikat ich fälschen konnte. Der Angriff auf eine einzelne Person ist imho also sogar leichter als der auf eine ganze Gruppe. > hat jemand seine eigene Domain, und betreibt zusätzlich seinen eigenen > Resolver sowie auch die Athoritativen DNS Server der Domain, ist ein > derartiger MITM-Angriff das kleinere Problem ... Das ist aber nicht der Normalfall. Aber auch hier reicht es, wenn ich mich zwischen das Opfer und seinen Resolver setzen oder den Resolver z.B. per Cache Poisoning beeinflussen kann. Das Opfer müsste z.B. Certificate Pinning betreiben, um sich zu schützen. Gruß, Gregor -- @mazing fon +49 8142 6528665 Gregor Hermens fax +49 8142 6528669 Brucker Strasse 12 gregor.hermens(a)a-mazing.de D-82216 Gernlinden http://www.a-mazing.de/

4 3

Redundanz bei Address Verifizierung
by Das Leo 20 Oct '16

20 Oct '16

Hallo Postfix Profis, ich habe folgendes Scenario: ## Mail Transport ## MX Record (Prio 10) >> Postfix-1 >> Antispam Appliance-1 >> Exchange Cluster MX Record (Prio 10) >> Postfix-2 >> Antispam Appliance-2 >> Exchange Cluster MX Record (Prio 10) >> Postfix-1 >> Antispam Appliance-2 >> Ticket System MX Record (Prio 10) >> Postfix-2 >> Antispam Appliance-2 >> Ticket System ## Address Verification ## (daher auch "address_verify_transport_maps" in Benutzung) MX Record (Prio 10) >> Postfix-1 (SMTP: RCPT To:) >> Antispam Appliance-1 (LDAP gegen ActiveDirectory) >> Exchange Cluster MX Record (Prio 10) >> Postfix-2 (SMTP: RCPT To:) >> Antispam Appliance-2 (LDAP gegen ActiveDirectory) >> Exchange Cluster MX Record (Prio 10) >> Postfix-1 (SMTP: RCPT To:) >> Ticket System (lokale Mailboxen, auch Postfix) MX Record (Prio 10) >> Postfix-2 (SMTP: RCPT To:) >> Ticket System (lokale Mailboxen, auch Postfix) Fuer die beiden Antispam Appliances habe ich 2 gleiche A-Records erstellt, damit Postfix eine Art Round-Robin macht und der Aufall einer Appliance verkraftet werden kann. Damit das ganze funktioniert, nutze ich die folgenden tables: - relay_domains - transport_maps - address_verify_transport_maps Nun zu meiner Problematik: Wenn eine Mail eingeht und eine der beiden Antispam Appliances ausfaellt, bekommt der sendende Server, immer wenn gerade der A-Record von der ausgefallenen AntiSpam Appliance genutzt wird, von Postfix ein: - 450 4.1.7 said: unverified address: Address verification in progress Beim Transport jedoch (und Nutzung des Verifiy-Caches), wird eine Mail in ca 10-20 sek. an die andere Antispam Appliance zugestellt, sollte die eine nicht verfuegbar sein. Gibt es die Moeglichkeit, eine bessere Redundanz bei der Address Verification zu schaffen? Beispiel: 1. SMTP kommt rein 2. SMTP: "RCPT To:" an Postfix 2. Address Verifiy gegen AntiSpam Appliance-1 (timeout) 3. Address Verifiy gegen AntiSpam Appliance-2 (success) 4. SMTP: "DATA etc." 5. SMTP ende Ich moechte einfach vermeiden, dass bei Ausfall einer Antispam Appliance unnoetig Bounces an sendende Server generiert werden. Freu mich auf eure Tipps =) Gruss Leo

2 1

Redundanz bei Address Verifizierung
by Das Leo 20 Oct '16

20 Oct '16

Hallo Postfix Profis, ich habe folgendes Scenario: ## Mail Transport ## MX Record (Prio 10) >> Postfix-1 >> Antispam Appliance-1 >> Exchange Cluster MX Record (Prio 10) >> Postfix-2 >> Antispam Appliance-2 >> Exchange Cluster MX Record (Prio 10) >> Postfix-1 >> Antispam Appliance-2 >> Ticket System MX Record (Prio 10) >> Postfix-2 >> Antispam Appliance-2 >> Ticket System ## Address Verification ## (daher auch "address_verify_transport_maps" in Benutzung) MX Record (Prio 10) >> Postfix-1 (SMTP: RCPT To:) >> Antispam Appliance-1 (LDAP gegen ActiveDirectory) >> Exchange Cluster MX Record (Prio 10) >> Postfix-2 (SMTP: RCPT To:) >> Antispam Appliance-2 (LDAP gegen ActiveDirectory) >> Exchange Cluster MX Record (Prio 10) >> Postfix-1 (SMTP: RCPT To:) >> Ticket System (lokale Mailboxen, auch Postfix) MX Record (Prio 10) >> Postfix-2 (SMTP: RCPT To:) >> Ticket System (lokale Mailboxen, auch Postfix) Fuer die beiden Antispam Appliances habe ich 2 gleiche A-Records erstellt, damit Postfix eine Art Round-Robin macht und der Aufall einer Appliance verkraftet werden kann. Damit das ganze funktioniert, nutze ich die folgenden tables: - relay_domains - transport_maps - address_verify_transport_maps Nun zu meiner Problematik: Wenn eine Mail eingeht und eine der beiden Antispam Appliances ausfaellt, bekommt der sendende Server, immer wenn gerade der A-Record von der ausgefallenen AntiSpam Appliance genutzt wird, von Postfix ein: - 450 4.1.7 said: unverified address: Address verification in progress Beim Transport jedoch (und Nutzung des Verifiy-Caches), wird eine Mail in ca 10-20 sek. an die andere Antispam Appliance zugestellt, sollte die eine nicht verfuegbar sein. Gibt es die Moeglichkeit, eine bessere Redundanz bei der Address Verification zu schaffen? Beispiel: 1. SMTP kommt rein 2. SMTP: "RCPT To:" an Postfix 2. Address Verifiy gegen AntiSpam Appliance-1 (timeout) 3. Address Verifiy gegen AntiSpam Appliance-2 (success) 4. SMTP: "DATA etc." 5. SMTP ende Ich moechte einfach vermeiden, dass bei Ausfall einer Antispam Appliance unnoetig Bounces an sendende Server generiert werden. Freu mich auf eure Tipps =) Gruss Leo

3 2

Zertifikat für Mailserver
by Andreas Wass - Glas Gasperlmair 20 Oct '16

20 Oct '16

Hallo Postfix Profis! Wir sind gerade dabei, einen neuen Mailserver nur für unsere Domain einzurichten und fragen uns, ob wir ein offizielles Zertifikat ausstellen lassen sollen, welches unseren Mailserver gegen über anderen als legitim ausweist und mit dem wir verschlüsselte Verbindungen aufbauen können. 1.) Verwendet ihr offizielle Zertifikate und sollte man das machen? 2.) Muss das ein bestimmter Zertifikat-Typ sein? 3.) Was kostet so ein Zertifikat ungefähr? 4.) Welchen Anbieter könnt ihr empfehlen? -- vg, Andi

18 30

ElCapitan
by Matthias Schmidt 18 Oct '16

18 Oct '16

Hallo, ich hab mal alles auf ein sauberes System migriert :-) Dabei hab ich irgendwie meinen Loglevel verloren. Es werden nur noch Warnungen und Fehler im Log angezeigt. Wo muss ich da schrauben, damit ich wieder alles sehe? Dann funzt seitdem ich auf ElCapitan bin Postfix reload nicht mehr. Er meldet fatal postfix lefft net, obwohl ja alles läuft. Ich kann nur in der GUI anhalten und wieder starten. Wie bekomm ich meine Abkürzung wieder oder ist die von Apple geklaut worden? Dank und Gruss Matthias

2 4

Best Practice - Default Absender Domain
by Christian Arndt 13 Oct '16

13 Oct '16

Hi, was ist der _best practice_ eine "valide" Absender-Domain von Hosts, die nur eine interne Domain haben [1], zu erzwingen? Das Problem welches ich habe ist, dass diese E-Mails durch meinen Relay Server abgelehnt werden [2]. Geloest habe ich es zwischenzeitlich dadurch, dass ich eine sender_canonical angelegt habe, in der das Mapping von internem Hostnamen zu Wunsch-Absender Domain enthalten ist [3] (hier example.com als Bsp.) Gibt es da ein anderes "Standard-Vorgehen" ? Viele Gruesse, Christian [1] domain.internal in /etc/mailname [2] status=bounced (Host or domain name not found. Name service error for name=192-100-100-12.domain.internal type=A: Host not found) [3] 192-100-100-12.domain.internal server(a)example.com

2 2

tcp lookup spawn parameters
by Alexander Vowinkel 11 Oct '16

11 Oct '16

Hi, ich habe einen spawn service [2] in der master.cf definiert: 127.0.0.1:10444 inet n n n - 8 spawn user=nobody argv=/usr/bin/srs --forward --alias=srs(a)fes-ehemalige.de --secretfile=/etc/postfix/srs.secret , den ich als tcp lookup-table [1] ansprechen möchte: sender_canonical_maps = tcp:localhost:10444 In dem bash Skript /usr/bin/srs lasse ich zum Test alle Parameter ausgeben. Wenn ich den lookup teste [1]: postmap -q "a(a)b.de" tcp:localhost:10444 bekomme ich aber nur die Parameter, die ich in der master.cf eingetragen habe. Nicht meinen Lookup request: a(a)b.de. Warum ist das so und wie bekomme ich den request als parameter in das Skript? Besten Dank, Alexander [1] http://www.postfix.org/tcp_table.5.html [2] http://www.postfix.org/spawn.8.html

1 0

Envelope Sender selektiv umschreiben ...
by Walter H. 10 Oct '16

10 Oct '16

Hallo, ich habe folgende Konstellation; auf einem virtuellen Server eines Webhosters läuft ein Postfix, welcher auch glzt. im DNS der MX Record meiner 2ten Domain zugewiesen ist; Mails welche an diese 2te Domain gehen, leite (relaye) ich an eine bestimmte E-mail-Adresse meiner 1ten Domain weiter; auf dem virt. Server werden aber auch Mails generiert: Logwatch, ... hier mal relevante Teile meiner Konfig: smtp_generic_maps = hash:/etc/postfix/generic root(a)vhost.mail vhost-root@my1stdomain logwatch(a)vhost.mail vhost-logwatch@my1stdomain postmaster(a)vhost.mail vhost-postmaster@my1stdomain MAILER-DAEMON(a)vhost.mail vhost-mailer@my1stdomain virtual_alias_maps = hash:/etc/postfix/virtual @my2nddomain alias@my1stdomain walter walter.h@my1stdomain root vhost-root@my1stdomain transport_maps = hash:/etc/postfix/transport alias@my1stdomain smtp:mx-of-my1stdomain @my1stdomain smtp:smtp-of-mailhoster-of-my1stdomain:587 relay_domains = my2nddomain relay_recipient_maps = hash:/etc/postfix/relay_recipients info@my2nddomain OK root@my2nddomain OK ... sender_canonical_classes = envelope_sender sender_canonical_maps = regexp:/etc/postfix/canonical !/(\<)?(.*)\@my1stdomain(\>)?/ alias@my1stdomain es sollen damit nur bei den Mails, welche meine 2te Domain als Ziel haben der Envelope-Sender umgeschrieben werden; mit // alias@my1stdomain werden alle Envelope-Sender umgeschrieben ... was mache ich falsch oder wie gehts richtig? Danke, Walter

1 0