June 2016 - postfix-users

Unklare Übertragungsprobleme bei einigen Mails
by Stephan Jacob 01 Jul '16

01 Jul '16

Hallo Postfixler, ich bin auf ein Phänomen gestoßen, welches ich mir nicht erklären kann. Ggf. hat einer von euch eine Idee, wie folgende Situation zu Stande kommt: Ich habe einen Relay Server aufgesetzt und diesen mit IPTables abgesichert (Regeln sind unten beschrieben). Der Server soll vornehmlich Mails "von außen" annehmen und dann intern an 3 verschiedene Mailserver weiterleiten. Bei der Weiterleitung an einen der 3 Mailserver (den unserer Kollegen aus der Uniklinik) kam es bei vereinzelnden Mails zu Zustellungsproblemen und die Mails wurden mit "status=deferred (conversation with uniklinikmailserver[149.AAA.BBB.CCC] timed out while sending message body)" gequeued. Das Problem trat grundsätzlich nur bei "großen" Mails (beobachtet bei 5MB bis 35MB) auf. Dort aber auch nicht bei allen "großen" Mails. Als ich verschiedene Testmails verschiedener Größe an den Mailsserver gesendet habe, konnte ich den Fehler nicht nachstellen. Problematische Mails verschwanden irgendwann (mal nach 20 Minuten, mal nach 5 Stunden) von alleine aus der Queue und wurden laut Log auch an den Uniklinik-Server übertragen. Auch gingen zum Zeitpunkt, wo der Fehler auftritt auf einen anderen Kanal erfoglreich Mails zum dem Mailserver durch, d.h. er war auch verfügbar. Das Problem trat auf, als ich folgende IPTabels Regeln aktiv hatte: *filter :INPUT DROP [0:0] :FORWARD DROP [0:0] :OUTPUT DROP [0:0] -A INPUT -i lo -j ACCEPT -A INPUT -d 141.AAA.BBB.CCC -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -s 141.AAA.240.CCC/24 -d 141.AAA.BBB.CCC -i eth0 -p tcp -m tcp --syn --dport 25 -j DROP -A INPUT -d 141.AAA.BBB.CCC -i eth0 -p tcp -m tcp --syn --dport 25 -j ACCEPT -A INPUT -s 141.AAA.13.CCC/24 -d 141.AAA.BBB.CCC -i eth0 -p tcp -m tcp --syn -m multiport --dports 22 -j ACCEPT -A INPUT -d 141.AAA.BBB.CCC -i eth0 -p icmp -m icmp --icmp-type 8 -j ACCEPT -A OUTPUT -o lo -j ACCEPT -A OUTPUT -s 141.AAA.BBB.CCC -o eth0 -j ACCEPT COMMIT (In Zeile 7 wird bewusst eines unserer Subnetze ausgeschlossen, es soll kein Mailversand dort stattfinden) Im Zuge der Problemfindung habe ich dann die Pakete, die in der Kommunikation mit dem Uniklinik-Server gedropt werden mitgeloggt. Dabei habe ich bei den Mails, bei denen der oben beschriebene Fehler vorkam folgende Log-Einträge gefunden: Jun 23 12:23:33 mx3 kernel: [ 10.790460] IPTables-Dropped: IN=eth0 OUT= SRC=149.AAA.BBB.CCC DST=141.AAA.BBB.CCC LEN=64 TOS=0x00 PREC=0x00 TTL=60 ID=64801 DF PROTO=TCP SPT=25 DPT=60337 WINDOW=480 RES=0x00 ACK URGP=0 Oder bei einer anderen Mail: Jun 23 12:48:32 mx3 kernel: [ 1509.990907] IPTables-Dropped: IN=eth0 OUT= SRC=149.AAA.BBB.CCC DST=141.AAA.BBB.CCC LEN=168 TOS=0x00 PREC=0x00 TTL=60 ID=36782 DF PROTO=TCP SPT=25 DPT=32982 WINDOW=3797 RES=0x00 ACK PSH URGP=0 (149.AAA.BBB.CCC ist der Uniklinikserver und 141.AAA.BBB.CCC bin ich). Zur Sicherheit noch einmal: Diese Einträge kamen als ich (141.AAA.BBB.CCC) an die Uniklinik (149.AAA.BBB.CCC) Mails gesendet habe. Es wurden aber nur Pakete bei den Mails verworfen, bei denen die Übertragung nicht funktioniert hat. Zu dem Zeitpunkt, wo die zuvor durch fehlerhafte Übertragung gequeueten Mails übertragen wurden, finden sich auch keine gedroppten Pakete im IPTabeles Log. Das Problem konnte ich dadurch vermeiden, indem ich in der IPTables sämtliche Kommunikation von und zu dem Uniklinik Mailserver erlaubt habe: -A INPUT -s 149.AAA.BBB.CCC -d 141.AAA.BBB.CCC -j ACCEPT Der Mailserver der Uniklinik betreibt Postfix in unbekannter Version. Mails zu einem anderen Postfix Server intern und unserem Exchange Server intern laufen ohne Probleme. Ich betreibe Postfxi 2.11. Meine Fragen sind nun: - Was werden da für TCP Pakete an mich gesendet, die verworfen werden? Wenn diese zur "normalen" Kommunikation beim Mailaustausch gehören, müssten die doch bei jeder Mail kommen oder? - Wieso, findet diese Kommunikation nur bei einigen wenigen Mails statt und bisher nur bei einen der 3 Mailserver? Und teilw. bei ein und derselben Mail mal und mal nicht? - Wie müssten IPTabels Rules auf einem Relay für sowohl eingehenden als auch ausgehenden Mailverkehr aussehen, damit es nicht zu solchen Übertragungsproblemen kommt? Ich kann ja nicht die ganze Welt Whitelisten?!? VG Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

7 16

Achtung neuer Crypto Locker im Anflug
by Patrick Ben Koetter 29 Jun '16

29 Jun '16

Er tarnt sich als DHL Paketverfolgung: ---- From: DHL Paketverfolgung <tracking(a)dhl.de> Subject: DHL-Paket-Lieferung fehlgeschlagen Reply-To: <DHL Paketverfolgung <tracking(a)dhl.de>> Sehr geehrter Kunde, die Lieferung für das Paket mit der Sendungsverfolgungsnummer 056392024191 ist fehlgeschlagen. Der Kurier war zum wiederholten Male nicht in der Lage Sie persönlich anzutreffen. Bitte senden Sie uns das ausgefüllte Versandetikett um einen erneuten Lieferungsversuch in Auftrag zu geben. Das Versandetikett für Ihre Lieferung finden Sie im Anhang dieser E-Mail. Mit freundlichen Grüßen, DHL EXPRESS Deutsche Post AG Charles-de-Gaulle-Straße 20 PLZ/ Ort: 53113 Bonn ---- Im Anhang befindet sich eine Sendung_xxx.zip, welche JS-Dateien beinhaltet: unzip -t Desktop/Sendung_056392024191.zip Archive: Desktop/Sendung_056392024191.zip testing: Sendungsetikett_056392024191.pdf.js.js OK testing: Sendungsinformationen_056392024191.pdf.js.js OK No errors detected in compressed data of Desktop/Sendung_056392024191.zip. In den Dateien selbst befindet sich dann der typische, obfuscatete JS-Code. Einzelne Strings werden zu einem grossen String zusammengebaut. Dann wird der Windows Scripting Host aufgerufen und der führt das zusammengebaute Skript dann aus. Dieses Skript lädt die eigentliche Malware nach, welche dann den Rechner unter Kontrolle bringt. Windows-Anwender erkennen in der Regel nicht, dass es sich um JS-Dateien handelt, weil die Defaults des OS das Suffix des Dateinamens unterdrückt. p@rick -- [*] sys4 AG https://sys4.de, +49 (89) 30 90 46 64 Schleißheimer Straße 26/MG,80333 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 1

Probleme mit der Postzustellung
by chris＠abacusmail.net 28 Jun '16

28 Jun '16

Hallo, ich habe das Problem, dass Postfix usernamen UND domain aendert to=<root(a)domain1.net>, orig_to=<fax(a)domain2.net> Natuerlich brauche ich die Mail aber im postfach fax. Dafuer gibt es auch einen Eintrag in virtual fax(a)domain2.net fax Habe auch virtual auf Konflikte durchsucht und auch diese Zeil;e ganz an den Anfang gestellt. Auch unter virtual_alias_domains ist die Domain domain2.net eingetragen. Bei der Suche nach dem Fehler habe ich dieses Problem auch bei zwei weiteren Domains und Usern festgestellt. Wie kann ich das beheben und wie passiert es ueberhaupt. Danke fuer Eure Hilfe! Chris

1 0

Re: Sendmail bei Massenmails blockieren
by Jörg Kost 28 Jun '16

28 Jun '16

Hallo, exakt, an diesem Punkt ist es zu spät, bzw. wir sehen nur den Benutzernamen und können nicht in den Header eingreifen. Bei uns ist Webhosting so mit Wordpress, Joomla und Co verdichtet, dass unser Standpunkt darauf basiert, auch die Mails von den eigenen Kundenseiten nur noch über SMTP-Auth eingeliefert zu bekommen. Dies erschlägt tatsächlich auch viele Spam-Versuche durch schnell hochgeladene PHP-Bots oder ähnlich veranlagte Skripte und wir können dank Logfile-Monitoring die Webseiten semi-automatisch bereits sperren und den Kunden kontaktieren. Das Limit muss natürlich so angepasst sein, so dass der einfache perl-mailer oder der Cron-Report seine Mails durchbekommt, der dritte, vierte, … Aufruf aber stecken bleibt. Ich habe auch unser sendmail abgeändert, so dass es seine Einstellungen aus einer anderen Konfigurationsdatei liest und wir die globalen Lese-Rechte von main.cf entfernen können. Über SMTP-Auth haben wir einen eigenen PolicyD in der recipient_restrictions, der dann die Verbindung zwischen Kunde(n)-Domains, Accounts und dem SASL-Benutzernamen herstellt und auch entsprechend - hier nach Anzahl der Empfänger - individuell limitieren kann. So können Newsletter ohne Probleme verschickt werden, das 100 mal gehackte Friseurstudio hingegen wird nach 15 Mails erstmal ein paar Minuten aussetzen müssen. Eine Zeitlang war übrigens dann der Spam-Klassiker, die Emails über localhost:25 einzureichen. Seitdem schmeissen wir mynetworks (127.0.0.0/8 und ::1 default) bzw. permit_mynetworks auch ganz raus. Massen-Webhosting ist ein echter Spam-Schauplatz. Grüße Jörg On 28 Jun 2016, at 11:47, postfix-users-request(a)de.postfix.org wrote: > > Message: 3 > Date: Tue, 28 Jun 2016 10:41:56 +0200 > From: Florian Streibelt <postfix(a)f-streibelt.de> > To: postfix-users(a)de.postfix.org > Subject: Re: Sendmail bei Massenmails blockieren > Message-ID: <BE124803-34A0-4D93-B90B-C9E4755678E1(a)f-streibelt.de> > Content-Type: text/plain; charset=UTF-8 > > Hmm, > ablehnen ist schon drastisch, zumal einige webtools Emails nur einmal > einliefern. Links zum Account aktivieren z.B. - ausserdem kann man > ohne diese Mails dem Kunden nicht sagen was da schief läuft, ob es > wirklich das WordPress ist oder nen anderes Script. > > Ich würde ja als Vorstufe vor dem rejecten die Mails auf hold in der > Queue halten und erst nach einem weiteren Limit ablehnen... > > Wird vermutlich in dem Stage aber nicht gehen in dem du bist? > > Florian >

1 0

Sendmail bei Massenmails blockieren
by Jörg Kost 28 Jun '16

28 Jun '16

Guten Morgen, vielleicht ist dies für den ein oder anderen Nutzer von Euch auch ganz interessant. Mit meinem Programm überprüft postfix beim Aufruf von sendmail ob der Benutzer ein gewisses Kontingent bereits überschritten hat und lehnt die Annahme dann ab. https://github.com/ipcjk/postfixauth Das ist insbesondere bei Webhosting-Kisten mit großer Kundenanzahl interessant, wenn Wordpress und Co mal wieder Feuer fangen. Ich habe eine ähnliche Lösung (+ Features, Perl) auf unserer Privatkunden-Sparte https://domainexpress.de/ seit mehreren Jahren mit Erfolg im Einsatz. Das ist nun mehr der OSS-Spaß-Rewrite ;-) Beispiel/Test: web87@my01:~$ /usr/sbin/sendmail -t jk@myself web87@my01:~$ /usr/sbin/sendmail -t jk@myself web87@my01:~$ /usr/sbin/sendmail -t jk@myself web87@my01:~$ /usr/sbin/sendmail -t jk@myself web87@my01:~$ /usr/sbin/sendmail -t jk@myself web87@my01:~$ /usr/sbin/sendmail -t jk@myself postdrop: fatal: User web87(1431) is not allowed to submit mail Auszug Mail-Logfile: Jun 20 07:45:12 my01 postfix/postdrop[5611]: fatal: User web87(1431) is not allowed to submit mail Grüße Jörg

2 1

Fwd: Postfix mit DBMail auf Ubuntu 16.04 - Connection Timeout
by Rüdiger Andrae 21 Jun '16

21 Jun '16

Hallo, ich hatte unter Ubuntu 15.10 die Kombination postfix 3.1 und dbmail 3.2.3 erfolgreich laufen. Das postfix verwaltete meine lokalen Accounts (Domäne) mit dbmail und konnte sich zur Auslieferung externer Mails mit kabelmail verbinden. Nach Umstellung auf Ubuntu 16.04 funktioniert die Auslieferung extern immer noch allerdings ist postfix nicht mehr in der Lage, sich mit dem lokalen dbmail (lmtpd) zu verbinden bzw. eine EMail vollständig abzugeben. Folgende Sachen kann man ausschließen: - dbmail läuft und ist mit einem Telnet auch ansprechbar - die Datenbank mysql läuft - die alte funktionierende Konfiguration hat sich nicht geändert Im log sehe ich, dass er sich mit dem lmtpd von dbmail verbindet und auch Daten abgibt (DB Transaktion wird geöffnet), aber die Übertragung postfix Richtung dbmail wird nicht abgeschlossen. Deshalb wird die DB-Transaktion auch nicht geschlossen. Hat irgendjemand eine Idee, woran das liegen kann? Viele Grüße R. Andrae

2 1

SPF: A-Record mit mehreren IPs?
by Jörn Bredereck 19 Jun '16

19 Jun '16

Hallo, ich habe ein paar Verständnisfragen zu SPF. Wäre nett, wenn mir jemand weiterhelfen könnte. 1. Wenn ein SPF-Record einen A-Record enthält, der auf eine IPV4 und eine IPV6-Adresse auflöst, werden dann automatisch beide Adressen autorisiert? 2. Wenn ein SPF-Record einen A-Record enthält, der auf mehrere IP-Adressen (IPv4 und/oder IPv6) auflöst, werden dann sämtliche IP-Adressen autorisiert? Oder kann man das ggf. gar nicht global beantworten, weil es von der Implementierung abhängt? Danke! Viele Grüße, Jörn Bredereck -- ****************************** B&W-NetworX GmbH & Co. KG Landstr. 67a 76547 Sinzheim Fon: 07221 996388-8 Fax: 07221 996388-1 http://www.bw-networx.net info(a)bw-networx.net ----------------------------- AG Mannheim HRA 521208 Pers. haf. Ges.: B&W-NetworX Verwaltungs-GmbH Sitz: 76532 Baden-Baden AG Mannheim HRB Nr.: 202122 Geschäftsführer: Jörn Bredereck Dipl. Ing. Holger Wunsch ******************************

5 9