May 2017 - postfix-users

Spam-Probleme (v.a. Versicherungs-Spam), wo ist mein Config-Problem?
by Martin Sebald 16 Jun '17

16 Jun '17

Hallo zusammen, in letzter Zeit habe ich massive Probleme mit Spam. Vor allem kommt sehr sehr viel "Versicherungs-Spam" (Berufshaftpflicht, Krankenversicherung...) rein. Alleine mein eigener Account bekommt hier mehr als ein Dutzend Mails pro Tag. Mein Mailserverkonstrukt ist Postfix/Amavis/Spamassassin, also mehr oder weniger Standard, und ich erlaube mir mal, hier zu posten, auch, wenn das Thema mehr Richtung Amavis und Spamassassin geht. Falls das nicht ok ist, bitte sagen. Gut, folgendes ist mir aufgefallen vor einigen Wochen. Da kommt eine Spamnachricht und ich sehe folgendes: X-Spam-Score: 0.017 X-Spam-Level: X-Spam-Status: No, score=0.017 tagged_above=-999 required=3.5 tests=[BAYES_00=-3.5, DKIM_VALID=-0.1, DKIM_VALID_AU=-0.1, DKIM_VERIFIED=-0.1, HTML_MESSAGE=0.001, RAZOR2_CF_RANGE_51_100=1.5, RAZOR2_CF_RANGE_E8_51_100=1.886, RAZOR2_CHECK=0.922, RELAYCOUNTRY_GOOD=-0.5, RP_MATCHES_RCVD=-0.001, SPF_PASS=-0.001, T_KAM_HTML_FONT_INVALID=0.01] autolearn=no autolearn_force=no Spannend finde ich hier v.a. "BAYES_00=-3.5", was ja (soweit ich das weiß) darauf hindeutet, dass die Mail als Ham erkannt/angelernt wurde, oder? Wie kommt sie aber da rein frage ich mich? (3.5 ist mein Standardlevel, über dem die Nachricht dann Spam ist und entsprechend markiert wird.) Bin dann hergegangen und habe die komplette Bayes Datenbank (Ham wie Spam, habe keine Möglichkeit gefunden, nur die Ham Daten zu löschen) geleert und mit zig tausend Spam Nachrichten neu angelernt. Des Weiteren nutze ich auch die Spamassassin Regeln von Heinlein Support. Und schwupps wurden die allermeisten Spamnachrichten korrekt erkannt. Nun nach ein paar Wochen geht das wieder von vorne los, das meiste kommt durch und was ich dann eben sehe ist ist wieder "BAYES_00=-3.5"... Vermutlich habe ich irgendwo einen Denk- und/oder Config-Fehler, auf den ich nun nicht komme. Eventuell hat ja jemand einen Tipp für mich, fände ich spitze. Configs reiche ich natürlich gerne nach, wollte nun aber erstmal hören, in welcher Richtung ich suchen muss. Danke und viele Grüße, Martin

12 42

*.Zip Files im Anhang blockieren und automatische Mitteilung an den Absender.
by Wolff, Lothar 03 Jun '17

03 Jun '17

Hallo Ich möchte im Postfix einstellen - Alle *.Zip Anhänge sind nicht blockiert - Absender bekommt einen Hinweis dass er eine Zip Datei gesendet hatte, die in das System nicht rein gelassen wird und das er diese bitte nochmal in einem anderen Format senden möge usw. usw . Wo kann man das am Besten im Postfix einstellen ? MfG Lothar Wolff

8 18

XBL Spamhaus greift nicht
by Ublun 29 May '17

29 May '17

eigentlich will ich über die Helo restriction die IP's gelistet auf xbl.spamhaus.org schon verworfen haben. Ich krieg es aber das nicht gebogen. Obwohl gelistet auf xbl.spamhaus.org und die Helo restrition da ist, gibt es immer noch SASL LOGIN Fehler. danke - David May 18 12:21:07 srv postfix/smtpd[6206]: connect from unknown[190.92.84.178] May 18 12:21:09 srv postfix/smtpd[6206]: warning: unknown[190.92.84.178]: SASL LOGIN authentication failed: authentication failure May 18 12:21:10 srv postfix/smtpd[6206]: disconnect from unknown[190.92.84.178] helo=1 auth=0/1 quit=1 commands=2/3 *190.92.84.178 is not listed in the SBL* *190.92.84.178 is not listed in the PBL* *190.92.84.178 is listed in the XBL*, because it appears in: CBL broken_sasl_auth_clients = yes # Restrictions # nachricht an den entfernten SMTP-Server, wenn er als "Spam-Schleuder" erkannt wurde default_rbl_reply = $rbl_code RBLTRAP: Sorry, but I decided that you are a spammer, you are not welcome here! # Zum eigene Wohl nicht ändern ;) smtpd_delay_reject = yes # Wir wollen begrüßt werden smtpd_helo_required = yes smtpd_helo_restrictions = permit_sasl_authenticated permit_mynetworks reject_unknown_helo_hostname reject_invalid_helo_hostname reject_rhsbl_helo xbl.spamhaus.org permit

4 5

Blackhole-Lists
by Marc Risse 29 May '17

29 May '17

Hallo Liste, das Thema kommt ja immer wieder mal auf: Wo bekommt man eine (gute) Liste von Blacklists her, mit denen Postfix, Policyd-Weight, SpamAssassin und so weiter gefüttert werden können? Meine persönliche Quellen neben diverser HowTos ist die Liste von MxToolBox. Ich habe mir einen Check (Check_MK) geschrieben, welcher die Antworten der RBLs auswertet, um so z.B. tote Anbieter schneller zu identifizieren. Ja, auch ich war von der "plötzlichen" Abschaltung von rhsbl.ahbl.org und relays.ordb.org betroffen, die plötzlich nur noch Blacklist-Treffer lieferten (und auch weiterhin liefern). Naja, man lernt nie aus ;) Vielleicht könnte man ein paar Konfigurationen zur Verfügung stellen, welche Einträge in welchen Tools Sinn ergeben und welche RBL-Dienste "aktuell" sind. Leider ist es ja so, dass z.B. in der Default-Konfiguration von policyd-weight nicht mehr existente RBLs enthalten sind... für den Anfänger bestimmt eine Hürde, die viel Zeit in Anspruch nehmen kann. Sollte ich von Euch etwas Input bekommen, würde ich dafür eine Domain/Webspace zur Verfügung stellen. Ich bin für Alles offen und hoffe, dass wir vielleicht eine schöne Page betreiben können die der aktuellen Situation entspricht. Auch einige der RBLs im Postfix-Buch sind nicht mehr verfügbar. Da die 4. Auflage laut Peer noch ein wenig dauert, könnte man vielleicht auch in Kooperation mit Peer so etwas aufbauen... Was meint Ihr? VG Marc -- Marc Risse RZ-Projekte Telefon: +49 2372 5520-385 Fax: +49 2372 5520-61-385 E-Mail: risse(a)citkomm.de Internet: http://www.citkomm.de ===================================== KDVZ Citkomm (Kommunaler Zweckverband) Citkomm services GmbH* Sonnenblumenallee 3, 58675 Hemer Telefon: +49 2372 5520-0 Fax: +49 2372 5520-279 E-Mail: post(a)citkomm.de *Tochtergesellschaft: Citkomm services GmbH Sitz der Gesellschaft: Hemer Handelsregister: AG Iserlohn, HRB 26 86 Geschäftsführer: Dr. Michael Neubauer, Kerstin Pliquett

2 1

REJECT wenn im header To: nicht meine domain vorkommt
by Andreas Wass - Glas Gasperlmair 26 May '17

26 May '17

Hallo Postfix Gemeinde! Macht es Sinn, in meine header_checks eine Regel aufzunehmen, welche das Feld "To:" überprüft und alle Email rejected, wenn nicht meine maildomain darin vorkommt. Hat jemand eine Idee, wie ich das mit regex verwirklichen könnte? Und irgendwas war da doch mit undisclosed recipients oder? vg, Andi

2 3

XBL Spamhaus greift nicht
by Ublun 18 May '17

18 May '17

eigentlich will ich über die Helo restriction die IP's gelistet auf xbl.spamhaus.org schon verworfen haben. Ich krieg es aber das nicht gebogen. Obwohl gelistet auf xbl.spamhaus.org und die Helo restrition da ist, gibt es immer noch SASL LOGIN Fehler. danke - David May 18 12:21:07 srv postfix/smtpd[6206]: connect from unknown[190.92.84.178] May 18 12:21:09 srv postfix/smtpd[6206]: warning: unknown[190.92.84.178]: SASL LOGIN authentication failed: authentication failure May 18 12:21:10 srv postfix/smtpd[6206]: disconnect from unknown[190.92.84.178] helo=1 auth=0/1 quit=1 commands=2/3 *190.92.84.178 is not listed in the SBL* *190.92.84.178 is not listed in the PBL* *190.92.84.178 is listed in the XBL*, because it appears in: CBL broken_sasl_auth_clients = yes # Restrictions # nachricht an den entfernten SMTP-Server, wenn er als "Spam-Schleuder" erkannt wurde default_rbl_reply = $rbl_code RBLTRAP: Sorry, but I decided that you are a spammer, you are not welcome here! # Zum eigene Wohl nicht ändern ;) smtpd_delay_reject = yes # Wir wollen begrüßt werden smtpd_helo_required = yes smtpd_helo_restrictions = permit_sasl_authenticated permit_mynetworks reject_unknown_helo_hostname reject_invalid_helo_hostname reject_rhsbl_helo xbl.spamhaus.org permit

2 1

Ist ein CNAME bei einer rDNS Abfrage erlaubt?
by Tobi 15 May '17

15 May '17

Hallo zusammen kurze Frage: habe gestern auf meinem Postfix den rDNS Check aktiviert via reject_unknown_reverse_client_hostname in der smtpd_client_restrictions Heute morgen konnte ich sehen, dass dabei die Mailingliste von ntp.org abgelehnt wird mit: Client host rejected: cannot find your reverse hostname, [185.140.48.241] Eine Abfrage des rDNS der IP ergibt ein Resultat, welches ich in dieser Form noch nicht gesehen habe 241.48.140.185.in-addr.arpa. 2731 IN CNAME 241.192/26.48.140.185.in-addr.arpa. 241.192/26.48.140.185.in-addr.arpa. 931 IN PTR psp3.ntp.org. Gemäss kurzer Recherche im Internet müsste der CNAME erlaubt sein. Weiss jemand was der Grund ist, dass Postfix meint den reverse Hostnamen nicht finden zu können? Gruss tobi

4 5

virtual setup und einzelne user einer domain auf einem anderen mailserver?
by Jakob Curdes 12 May '17

12 May '17

Hallo, ich bin neu in der Liste, aber nicht neu bei postfix. Trotzdem habe ich hier eine Nuss, die ich nicht geknackt bekomme. Wir wollen Benutzer schrittweise von (internem) Mailserver A auf (internen) Mailserver B migrieren (von zarafa zu kopano, aber das ist hier relativ egal). Wir haben die Benutzer auf beiden Seiten, migrieren die Mails mit IMAPSYNC, schmeissen dann die externe Abholung an mit fetchmail. Dann kann der User Mails empfangen und lesen. Postfix ist an kopano mittels LMTP angebunden; der kopano Spooler sendet seine Mails über den lokalen Postfix. Das klappt auch alles wunderbar, der User kann Mails nach extern versenden usw. Es gibt aber natürlich das Problem, dass die bereits migrierten User mit den noch nicht migrierten derselben Domain auf einem anderen Server kommunizieren müssen. Ich dachte, das ist ganz einfach mit transport tables, das scheint aber mit virtuellen usern nicht zu funktionieren!? ich habe in der transport table: local.user(a)maildomain.com : maildomain.com smtp:oldserver.domain.local und ansonsten in der main.cf: virtual_alias_domains = maildomain.com virtual_alias_maps = mysql:/etc/postfix/mysql-users.cf myorigin=/etc/mailname virtual_transport = lmtp:127.0.0.1:2003 transport_maps = hash:/etc/postfix/transport Mit diesen Settings kann ich von der Kommandozeile aus eine Mail an remote.user(a)maildomain.com verschicken, der auf dem anderen Server (der als relayhost eignetragen ist) residiert. Allerdings klappt das nicht von kopano aus, dann wird die mail abgewiesen mit "user unknown in virtual mailbox table". Was mache ich da falsch bzw. gibt es vielleicht einen anderen Weg um das zu erreichen? Ich habe das dunpfe Gefühl, dass man virtual_alias domains nicht auf zwei Server aufsplitten kann.... Vielen Dank für einen Tip, JC

1 0

450 4.7.1 Service unavailable; client [80.143.67.X} blocked using zen.spamhaus.org
by Christoph Kukulies 07 May '17

07 May '17

Seit gestern habe ich postscreen auf meinem Mailserver aktiviert. Jetzt wollte ich von meinem dip.t-ipconnect.de verbundenen PC via Thunderbird eine Email an einen Empfänger (@arcor.de) senden. Dies scheint nicht zu funktionieren. Ich bekomme Fehler beim Senden der Nachricht: Der Mail-Server antwortete: 4.7.1 Service unavailable; client [80.143.67.X] blocked using zen.spamhaus.org. Bitte überprüfen Sie die E-Mail-Adresse des Empfängers "user(a)arcor.de" und wiederholen Sie den Vorgang. Die IP bin ich. Ich benutze port 587 zum Senden der Email über meinen Server. Jetzt las ich in dem Howto https://blog.schaal-24.de/mail/postscreen-im-kampf-gegen-spam/ /Ich verwende zur Spam-Abwehr u.a. //postscreen <http://www.postfix.org/>////. Dadurch werden potentielle Spam-Mails direkt ablehnt, ehe sie auf dem Server angekommen und dann der Inhalt gescannt werden muss./ // /Postscreen sollte nicht eingesetzt werden, wenn Mail-User-Agents (MUAs) dort connecten sollen. Normalerweise wird der Port 25 für Mail-Transfer-Agents (MTAa) genutzt und die MUAs verwenden den Submission-Port (TCP 587). Man kann aber auch postcreen für eine weitere IP nicht einsetzen, wenn zu dieser kein MX-Record im DNS definiert ist. Dann ist einen Einlieferung durch einen MUA dort problemlos möglich./ Bin ich da vielleicht genau auf das Problem gelaufen? Und wie komme ich dem bei? Grüße

4 7

Reihenfolge von Adressumschreibungen ...
by Walter H. 04 May '17

04 May '17

Hallo, kann man die Reihenfolge von Adressumschreibungen beeinflussen? habe im westentlichen die Anleitung hier: https://dokuwiki.tachtler.net/doku.php?id=tachtler:postfix_echo-mailer-scri… verwendet um mir ein echo@domain zu "erschaffen", es funktioniert auch, hat aber nur einen Haken, ich musste auf die kommentierte Zeile SENDER=`egrep "^From: " $FILE_IN | $HEAD_COMMAND -1 | $SED_COMMAND "s,^From: ,,"` zurückgreifen, weil dieser Postfix als MX-Server meiner 2ten Domain fungiert, und alle Mails die dort ankommen so an eine Mailadresse meiner 1ten Domain weitergeleitet werden sollen, daß ich dies im Mail erkenne, und genau das habe ich mit folgendem gemacht: /etc/postfix/sndr_canonical.pcre if /.+/ !/(.+)\(a)vhost\.mail/ noreply@2tedomain endif und im /etc/postfix/main.cf das sender_canonical_classes = envelope_sender sender_canonical_maps = pcre:/etc/postfix/sndr_canonical.pcre und genau diese Ersetzung wird durchgeführt bevor das von /etc/postfix/master.cf reply unix - n n - - pipe flags= user=nobody argv=/etc/postfix/autoreply.sh ${sender} ${recipient} ausgeführt wird; kann ich diese Ersetzung f. genau eine einzige Zieladresse (echo@2tedomain) ausnehmen? wenn ja, wie? das Relayen/Forwarden von der 2ten Domain auf die 1te Domain habe ich in Summe so gelöst in /etc/postfix/main.cf weiters noch myhostname = vhost.mail ; vhost.mail ist im /etc/hosts File auf die IPadressen von smtp_bind_address bzw. smtp_bind_address6 gesetzt inet_interfaces = $myhostname inet_protocols = all mydestination = $myhostname, $mydomain relayhost = leer smtpd_banner = $myhostname ESMTP $mail_name ($mail_version) sender_dependent_relayhost_maps = hash:/etc/postfix/dependent_relayhost strict_7bit_headers = yes smtpd_delay_reject = yes smtpd_helo_required = yes smtpd_helo_restrictions = permit_mynetworks, reject_unknown_hostname, reject_non_fqdn_helo_hostname smtpd_client_restrictions = permit_mynetworks, reject_unknown_client_hostname smtpd_etrn_restrictions = permit_mynetworks, reject smtpd_sender_restrictions = check_sender_mx_access cidr:/etc/postfix/drop.cidr, check_sender_ns_access cidr:/etc/postfix/drop.cidr, reject_non_fqdn_sender, reject_unknown_sender_domain smtpd_recipient_restrictions = permit_mynetworks, reject_non_fqdn_recipient, reject_unauth_destination, reject_unknown_recipient_domain, check_recipient_access hash:/etc/postfix/recipient_access, reject smtpd_discard_ehlo_keywords = silent-discard, dsn smtpd_reject_unlisted_sender = yes smtpd_reject_unlisted_recipient = yes smtpd_use_tls = yes smtpd_tls_cert_file = /etc/postfix/tls.crt/2tedomain-host.crt smtpd_tls_key_file = /etc/postfix/tls.key/2tedomain-host.key smtpd_tls_CAfile = /etc/postfix/tls.crt/server-chain-intermediate.crt smtpd_tls_dh1024_param_file = /etc/postfix/tls.dh/dh2048.pem smtpd_tls_dh512_param_file = /etc/postfix/tls.dh/dh512.pem smtpd_tls_session_cache_database = btree:/var/lib/postfix/smtpd_tls_cache smtpd_tls_session_cache_timeout = 3600s smtp_bind_address = IPv4 smtp_bind_address6 = IPv6 smtp_generic_maps = hash:/etc/postfix/generic smtp_always_send_ehlo = yes smtp_helo_name = ipv6home.eu smtp_helo_timeout = 45 smtp_host_lookup = dns, native smtp_cname_overrides_servername = no smtp_sasl_auth_enable = yes smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd smtp_sasl_security_options = smtp_tls_CAfile = /etc/pki/tls/cert.pem smtp_tls_note_starttls_offer = yes smtp_tls_session_cache_database = btree:/var/lib/postfix/smtp_tls_cache smtp_tls_session_cache_timeout = 3600s virtual_alias_maps = hash:/etc/postfix/virtual transport_maps = hash:/etc/postfix/transport message_reject_characters = \0 message_size_limit = 1048576 unknown_address_reject_code = 554 unknown_client_reject_code = 550 unknown_hostname_reject_code = 554 unverified_recipient_reject_code = 554 unverified_sender_reject_code = 554 relay_domains = 2tedomain /etc/postfix/dependent_relayhost @1tedomain MX-host-von-domain-hoster-der-im-DNS-von-1te-domain-steht:25 @vhost.mail smtp-host-von-domain-hoster-der-fuer-1te-domain-senden-darf:587 /etc/postfix/generic calcbox(a)vhost.mail calcbox-worker@1tedomain walter(a)vhost.mail walter.h@1tedomain root(a)vhost.mail vhost-root@1tedomain logwatch(a)vhost.mail vhost-logwatch@1tedomain postmaster(a)vhost.mail vhost-postmaster@1tedomain ECHO-REPLY(a)vhost.mail vhost-echoreply@1tedomain MAILER-DAEMON(a)vhost.mail vhost-mailer@1tedomain /etc/postfix/recipient_access domainmaster@2tedomain OK hostmaster@2tedomain OK postmaster@2tedomain OK echo@2tedomain OK abuse@2tedomain OK admin@2tedomain OK info@2tedomain OK root@2tedomain OK walter.h@2tedomain OK /etc/postfix/sasl_passwd smtp-host-von-domain-hoster-der-fuer-1te-domain-senden-darf:587 userid:pwd /etc/postfix/transport reply.mail reply: echo@2tedomain echo(a)reply.mail @2tedomain 2tedomain@1tedomain calcbox calcbox-worker@1tedomain walter walter.h@1tedomain root vhost-root@1tedomain kann ich hier etwas ändern, sodaß das echo@2tedomain mit dem envelope_sender funktioniert? Danke im voraus, Walter

1 0