July 2020 - postfix-users

Mails von bestimmnter Domain nur von bestimmten Mailservern erlauben
by t.kunz＠mail.de 22 Aug '20

22 Aug '20

Hallo zusammen, ich habe eine Frage zu einer etwas individuelleren/speziellen Konfiguration. Und zwar möchte ich fake-emails verhinden. (SPF / DKIM scheidet leider aus) Ich erhalte von einer bestimmten domain, nennen wir sie: @absender.dom E-mails an verschiedene adressen bei mir. Die adressen bei mir sind in der Form: prefix-XX(a)empfaenger.dom Ich möchte nun sicherstellen, dass Mails mit diesem Paar NUR VON BESTIMMTEN MAILSERVERN gesendet werden dürfen. Diese kenne ich, habe eine Liste ip/net. anbei, wie ich es mir vorstelle. Kann das so funktionieren? Habe ich was übersehen? Was aber auch genügen Würde. Wenn man nur die sender-domain an die Mailserver koppelt. Unabhängig von der Empfänger-Adresse. Danke für die Hilfe! Viele Grüße, Tobi main.cf smtpd_restriction_classes = an_meine_rxadressen an_meine_rxadressen = check_sender_access pcre:/usr/local/etc/postfix/absender.pcre check_client_access cidr:/usr/local/etc/postfix/mx_white.cidr smtpd_recipient_restrictions = check_recipient_access hash:/usr/local/etc/postfix/meine_rxadressen,pcre:/usr/local/etc/postfix/recipient_checks.pcre absender.pcre /absender.dom$/ DUNNO mx_white.cidr 1.2.3.4 DUNNO 1.2.3.5 DUNNO meine_rxadressen prefix-aa(a)empfaenger.dom an_meine_rxadressen prefix-ab(a)empfaenger.dom an_meine_rxadressen prefix-ba(a)empfaenger.dom an_meine_rxadressen prefix-ca(a)empfaenger.dom an_meine_rxadressen ------------------------------------------------------------------------------------------------- FreeMail powered by mail.de - MEHR SICHERHEIT, SERIOSITÄT UND KOMFORT

4 6

DNS problem with vodaphone client
by Christoph Kukulies 20 Jul '20

20 Jul '20

Wenn ich zuhause von meiner t-online IP Adresse zu meinem Server verbinde (SMTP), kann ich EMails problemlos (TLS, port 587) verschicken. Im Moment bin ich in einem anderen Bundesland unterwegs bei meiner Tochter und nutze deren Vodadingsbums-Anschluß. Ich kann an meinen Server derzeit keine SMTP- Email absetzen. Der vodadingsbums-Client wird abgewiesen: Jul 18 21:01:00 myusername postfix/postscreen[4485]: CONNECT from [188.98.123.123]:50403 to [123.123.115.43]:25 Jul 18 21:01:00 myusername postfix/dnsblog[4489]: addr 188.98.123.123 listed by domain b.barracudacentral.org <http://b.barracudacentral.org/> as 127.0.0.2 Jul 18 21:01:00 myusername postfix/dnsblog[4490]: warning: dnsblog_query: lookup error for DNS query 123.123.98.188.list.dnswl.org <http://list.dnswl.org/>: Host or domain name not found. Name service error for name=123.123.98.188.list.dnswl.org <http://list.dnswl.org/> type=A: Host not found, try again Jul 18 21:01:00 myusername postfix/dnsblog[4490]: warning: dnsblog_query: lookup error for DNS query 123.123.98.188.zen.spamhaus.org <http://zen.spamhaus.org/>: Host or domain name not found. Name service error for name=123.123.98.188.zen.spamhaus.org <http://zen.spamhaus.org/> type=A: Host not found, try again Jul 18 21:01:00 myusername postfix/dnsblog[4490]: addr 188.98.123.123 listed by domain dnsbl.sorbs.net <http://dnsbl.sorbs.net/> as 127.0.0.10 Jul 18 21:01:00 myusername postfix/dnsblog[4491]: addr 188.98.123.123 listed by domain spamtrap.trblspam.com <http://spamtrap.trblspam.com/> as 104.247.81.131 Jul 18 21:01:06 myusername postfix/postscreen[4485]: DNSBL rank 4 for [188.98.123.123]:50403 Jul 18 21:01:06 myusername postfix/tlsproxy[4493]: CONNECT from [188.98.123.123]:50403 Jul 18 21:01:06 myusername postfix/postscreen[4485]: DISCONNECT [188.98.123.123]:50403 Jul 18 21:01:06 myusername postfix/tlsproxy[4493]: DISCONNECT [188.98.123.123]:50403 Woran liegts das? Grüße Christoph

2 2

DKIM Signatur
by Wolfgang Rosenauer 12 Jul '20

12 Jul '20

Hallo, nicht direkt Postfix spezifisch aber vielleicht hat jemand einen Tipp oder einen Link. Ich frage mich gerade, ob es "schädlich" ist, eine DKIM Signatur in eine ausgehende Mail zu packen, ohne dass es einen entsprechenden DNS Eintrag gibt? Hintergrund: ein Mailserver für viele Domains aber ohne direkte Kontrolle über die DNS Zone und damit könnte es passieren, dass Benutzer den Eintrag im DNS überhaupt nicht vornehmen. Eine zweite Variante: Falls obiges blöd ist, könnte ich eine generische Signatur mit entsprechendem DNS Key generieren, deren Domain (d=) aber nicht dem Absender entspricht? Wie schädlich wäre das in der Praxis? DMARC hätte damit wohl mindestens ein Problem? Danke, Wolfgang

5 9