- postfix-users - list.sys4.de

Anonymisierung von IP-Adressen im Logfile
by Jakob Curdes 26 Jun '18

26 Jun '18

... ist ja neuerdings nicht ganz uninteressant. Ich habe mich mal eingelesen und herausgefunden, dass man bei rsyslog mit einem Modul "mmanon" IP-Adressen teils oder ganz anonymisieren kann (bei syslog-ng geht das auch, aber anders). Nur habe ich bisher nicht herausgefunden, wie ich das genau im Fall postfix-maillog einsetzen muss, leider gibt es da nur wenige Anwendunsbeispiele. Hat das schon jemand geschafft oder gibt es einen anderen sinnvollen Weg? Grüße und Danke, jc

5 17

Mail aus kompletten Quelltext anlegen?
by Thomas Barth 25 Jun '18

25 Jun '18

Hallo, ich habe mein Mailsystem so angelegt, dass von Spamassassin erkannter Spam direkt abgewiesen und eine Kopie der Mail in ein Quarantäne-Verzeichnis komprimiert als gz-Datei abgelegt wird. Eine kurze Info-Mail geht dann an mich, dass eine Mail abgewiesen wurde, mit dem Betreff: "Eine Mail von <senderadresse> an <empfängeradresse> wurde abgelehnt. " Wenn die Mail aufgrund des Absenders doch gelesen werden soll, gibt es in der Mail einen Link, um die Mail aus der Quarantäne anzufordern. Nun liegt der Quelltext der Mail ja komprimiert als gz-Datei vor. Wie bekomme ich diese Mail nun vernünftig ins new-Verzeichnis? Mit zcat /path/to/file.gz | mail -s "Mail von ..." -r postmaster@... tbarth@... erhalte ich den gesammten Quelltext im Mailbody, was nicht so schön ist. Die Datei entpackt ins new-Verzeichnis kopieren geht ja auch nicht so einfach. Da müsste ich ja eine bestimmte Dateinamensnorm einhalten bestehend aus Unixtime und Sonstiges (1529914497.M480661P17449.mx1,S=1101,W=1126), oder? Ich weiß nicht, woraus hier Sonstiges (M480661P17449, S-Wert, W-Wert) besteht. Ginge das irgendwie? Gruß, Thomas B.

2 3

Config Postfix3
by Jamie Katharina Knuth 02 Jun '18

02 Jun '18

Hallo, es ist schon eine Weile her, dass ich mich mit Postfix befasst habe. Habe aber ein Upgrade auf Debian9 gemacht, und da kam Postfix 3.1.8 mit. Seit dem habe ich 1000e Versuche, sich per SASL einzuloggen. postfix/smtpd[16523]: warning: unknown[181.214.206.101]: SASL LOGIN authentication failed: authentication failure Das hatte ich definitiv vorher nicht. Kann man da was machen? -- Mit freundlichem Gruß, With kind regard, Jamie Katharina Knuth

2 1

Mailman Aliase im LDAP
by Lars Täuber 01 Jun '18

01 Jun '18

Guten Morgen zusammen. Ich baue momentan eine Redundanz unserer Mailserver auf. Dafür packen wir nun alle Aliase aus Dateien ins LDAP. Für Mailinglisten hatten wir auch Dateien, die die Adresse umschrieben und auf einen separaten Mailmanserver umleiten. Da die Mailmanadressen ein regelmäßiges Muster haben, überlege ich, wie man diese Adressen, möglichst ohne sie einzeln ins LDAP zu packen, effizient ins LDAP schreibt. Ich überlege, nur die Hauptadresse und den Zielhost ins LDAP zu schreiben und die anderen Adressen: -join -admin -leave -owner -bounces -confirm -request -subscribe -unsubscribe anders zu erkennen. (z.B. irgendwie in der ldap-mailman.cf Datei?) Hat jemand so etwas schon im Einsatz oder ein kleines best practice dafür parat? Dank und Gruß Lars

1 0

Could not change Return-Path
by Jamie Katharina Knuth 29 May '18

29 May '18

Hallo, ich habe hier seit kurzem folgendes im Log postfix-local[15783]: Could not change Return-Path in message envelope(SRS): No at sign in sender address postconf -n liefere ich sofort nach, wenn gewünscht. ;) -- Mit freundlichem Gruß, With kind regard, Jamie Katharina Knuth

2 4

smtpd_recipient_restrictions / smtpd_relay_restrictions
by Thomas Krause 16 May '18

16 May '18

Guten Abend, ich bin gerade beim Migrieren eines sehr alten Servers. Beim "neuen" möchte ich die "relay/sasl Nutzer" anders behandeln als den Mailempfang über das Internet. Dabei habe ich herausgefunden, dass standardmässig zunächst die smtpd_relay_restrictions und anschliessend die smtpd_recipient_restrictions abgearbeitet werden. Das würde ich gern ändern, dass smtpd_relay_restrictions nur für relay/sasl-Nutzer (587/465) und smtpd_recipient_restrictions für eingehende Mails (25). In der master.cf habe ich konfiguriert: smtp inet n - y - 1 postscreen smtpd pass - - y - - smtpd ... -o smtpd_relay_restrictions= dnsblog unix - - y - 0 dnsblog tlsproxy unix - - y - 0 tlsproxy submission inet n - y - - smtpd ... -o smtpd_recipient_restrictions= smtps inet n - y - - smtpd ... -o smtpd_recipient_restrictions= und in der main.cf smtpd_relay_restrictions = reject_unlisted_sender # postfwd check_policy_service { inet:127.0.0.1:10041, default_action=DUNNO } permit_sasl_authenticated defer_unauth_destination smtpd_recipient_restrictions = reject_unauth_destination reject_unknown_recipient_domain check_policy_service { unix:private/policyd-spf, default_action=DUNNO } Frage: ist das sinnvoll/sicher, und: verträgt sich das mit postscreen? Danke u. Grüße, Thomas.

2 2

#efail
by J. Fahrner 15 May '18

15 May '18

Mit DKIM signierten Mails sollte das doch eigentlich nicht zum Problem werden, oder? https://www.heise.de/security/artikel/PGP-und-S-MIME-So-funktioniert-efail-… LG Jochen

5 15

Postfix + sender_bcc_maps + recipient_bcc_maps
by uwe 06 May '18

06 May '18

Hallo, Muss für ein Projekt die Mails einer bestimmten Adresse sowohl beim Ausgang als auch beim Eingang archivieren. Leider funktioniert bei mir sender_bcc_maps + recipient_bcc_maps nicht. Ich kann aber den Fehler nicht finden. Vielleicht hat einer von euch einen Tipp dazu. Meine Konfiguration: Debian 9 Postfix 3.1.8-0 Ausgabe von postconf -n alias_database = hash:/etc/aliases alias_maps = hash:/etc/aliases append_dot_mydomain = no biff = no bounce_queue_lifetime = 1d broken_sasl_auth_clients = yes compatibility_level = 2 disable_vrfy_command = yes html_directory = /usr/share/doc/postfix/html inet_interfaces = all inet_protocols = all mailbox_size_limit = 0 maximal_backoff_time = 1800s maximal_queue_lifetime = 1d message_size_limit = 52428800 milter_default_action = accept milter_protocol = 6 minimal_backoff_time = 300s mydestination = $myhostname, [fqdn_mailserver], localhost.[meine_domäne], localhost myhostname = [fqdn_mailserver] mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128 [meine_ip] myorigin = /etc/mailname non_smtpd_milters = inet:127.0.0.1:12345 postscreen_access_list = permit_mynetworks postscreen_bare_newline_enable = no postscreen_blacklist_action = drop postscreen_cache_cleanup_interval = 24h postscreen_cache_map = proxy:btree:$data_directory/postscreen_cache postscreen_dnsbl_action = enforce postscreen_dnsbl_sites = b.barracudacentral.org=127.0.0.2*7 dnsbl.inps.de=127.0.0.2*7 bl.mailspike.net=127.0.0.2*5 bl.mailspike.net=127.0.0.[10;11;12]*4 dnsbl.sorbs.net=127.0.0.10*8 dnsbl.sorbs.net=127.0.0.5*6 dnsbl.sorbs.net=127.0.0.7*3 dnsbl.sorbs.net=127.0.0.8*2 dnsbl.sorbs.net=127.0.0.6*2 dnsbl.sorbs.net=127.0.0.9*2 hostkarma.junkemailfilter.com=127.0.0.2*3 hostkarma.junkemailfilter.com=127.0.0.4*1 hostkarma.junkemailfilter.com=127.0.1.2*1 wl.mailspike.net=127.0.0.[18;19;20]*-2 hostkarma.junkemailfilter.com=127.0.0.1*-2 postscreen_dnsbl_threshold = 8 postscreen_dnsbl_ttl = 5m postscreen_greet_action = enforce postscreen_greet_banner = $smtp_banner postscreen_greet_ttl = 2d postscreen_greet_wait = 3s postscreen_non_smtp_command_enable = no postscreen_pipelining_enable = no proxy_read_maps = $local_recipient_maps $mydestination $virtual_alias_maps $virtual_alias_domains $virtual_mailbox_maps $virtual_mailbox_domains $relay_recipient_maps $relay_domains $canonical_maps $sender_canonical_maps $recipient_canonical_maps $relocated_maps $transport_maps $mynetworks $smtpd_sender_login_maps $sender_bcc_maps $recipient_bcc_maps queue_run_delay = 300s readme_directory = /usr/share/doc/postfix recipient_bcc_maps = hash:/etc/postfix/always_bcc recipient_delimiter = + relayhost = sender_bcc_maps = hash:/etc/postfix/always_bcc smtp_tls_CAfile = /etc/ssl/CA.pem smtp_tls_cert_file = /etc/ssl/server.crt smtp_tls_key_file = /etc/ssl/server.key smtp_tls_loglevel = 1 smtp_tls_security_level = may smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU) smtpd_client_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unknown_client smtpd_data_restrictions = reject_unauth_pipelining, permit smtpd_delay_reject = yes smtpd_error_sleep_time = 10s smtpd_hard_error_limit = ${stress?1}${stress:5} smtpd_helo_required = yes smtpd_helo_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_invalid_hostname, reject_unknown_hostname, reject_non_fqdn_hostname, reject_unknown_sender_domain, reject_non_fqdn_sender smtpd_milters = inet:127.0.0.1:12345 smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_invalid_hostname, reject_unknown_hostname, reject_non_fqdn_hostname, reject_unknown_sender_domain, reject_non_fqdn_sender, reject_unknown_reverse_client_hostname, reject_unauth_destination smtpd_sasl_auth_enable = yes smtpd_sasl_authenticated_header = yes smtpd_sasl_path = private/auth smtpd_sasl_type = dovecot smtpd_sender_login_maps = mysql:/etc/postfix/mysql-virtual_sender_permissions.cf smtpd_sender_restrictions = permit_sasl_authenticated, reject_authenticated_sender_login_mismatch, permit_mynetworks, reject_sender_login_mismatch, permit_sasl_authenticated, reject_unlisted_sender, reject_unknown_sender_domain smtpd_soft_error_limit = 3 smtpd_tls_CAfile = /etc/ssl/CA.pem smtpd_tls_auth_only = no smtpd_tls_cert_file = /etc/ssl/server.crt smtpd_tls_eecdh_grade = strong smtpd_tls_key_file = /etc/ssl/server.key smtpd_tls_loglevel = 1 smtpd_tls_mandatory_ciphers = high smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3 smtpd_tls_security_level = may smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache smtpd_use_tls = yes tls_high_cipherlist = EDH+CAMELLIA:EDH+aRSA:EECDH+aRSA+AESGCM:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH:+CAMELLIA256:+AES256:+CAMELLIA128:+AES128:+SSLv3:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!DSS:!RC4:!SEED:!ECDSA:CAMELLIA256-SHA:AES256-SHA:CAMELLIA128-SHA:AES128-SHA virtual_alias_maps = mysql:/etc/postfix/mysql-virtual_alias_maps.cf virtual_gid_maps = static:2000 virtual_mailbox_base = / virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual_mailbox_domains.cf virtual_mailbox_limit = 0 virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual_mailbox_maps.cf virtual_minimum_uid = 2000 virtual_transport = lmtps:unix:private/dovecot-lmtp virtual_uid_maps = static:2000 meine master.cf # Postscreen on Port 25/tcp, filters zombies (spam machines) on first level with lowest costs. smtp inet n - n - 1 postscreen # Postscreen passes sane clients to the real SMTP daemon here. smtpd pass - - n - - smtpd # Reject non-FQDN HELOs on Port 25 (after passing postscreen process) -o smtpd_helo_restrictions=permit_mynetworks,reject_non_fqdn_helo_hostname -o smtpd_proxy_filter=127.0.0.1:10024 -o smtpd_client_connection_count_limit=10 -o smtpd_proxy_options=speed_adjust # For mail submitting users. Authenticated clients and known networks only. submission inet n - - - - smtpd -o syslog_name=postfix/submission -o smtpd_client_restrictions=permit_sasl_authenticated,reject -o smtpd_proxy_filter=127.0.0.1:10025 -o smtpd_client_connection_count_limit=10 -o smtpd_proxy_options=speed_adjust # Handles TLS connections for postscreen to make them readable tlsproxy unix - - n - 0 tlsproxy # This implements an ad-hoc DNS white/blacklist lookup service dnsblog unix - - n - 0 dnsblog pickup fifo n - - 60 1 pickup # -o content_filter=dksign:[127.0.0.1]:10027 cleanup unix n - - - 0 cleanup qmgr fifo n - n 300 1 qmgr tlsmgr unix - - - 1000? 1 tlsmgr rewrite unix - - - - - trivial-rewrite bounce unix - - - - 0 bounce defer unix - - - - 0 bounce trace unix - - - - 0 bounce verify unix - - - - 1 verify flush unix n - - 1000? 0 flush proxymap unix - - n - - proxymap proxywrite unix - - n - 1 proxymap smtp unix - - - - - smtp relay unix - - - - - smtp showq unix n - - - - showq error unix - - - - - error retry unix - - - - - error discard unix - - - - - discard local unix - n n - - local virtual unix - n n - - virtual lmtp unix - - - - - lmtp anvil unix - - - - 1 anvil scache unix - - - - 1 scache # LMTP with STARTTLS support, needs newer Dovecot versions lmtps unix - - - - - lmtp -o lmtp_use_tls=yes -o lmtp_tls_loglevel=1 -o lmtp_tls_CAfile=/etc/ssl/certs/ca-certificates.crt -o lmtp_enforce_tls=yes -o lmtp_tls_mandatory_protocols=!SSLv2,!SSLv3 -o lmtp_tls_protocols=!SSLv2,!SSLv3 -o lmtp_tls_mandatory_ciphers=high -o lmtp_tls_ciphers=high -o lmtp_send_xforward_command=yes -o lmtp_tls_security_level=encrypt -o lmtp_tls_note_starttls_offer=yes # Amavis reinjection, maximal 5 smtpd Prozesse, muss den Amavis Prozessen entsprechen! 127.0.0.1:10035 inet n - - - 5 smtp -o smtpd_authorized_xforward_hosts=127.0.0.0/8 -o smtpd_client_restrictions= -o smtpd_helo_restrictions= -o smtpd_sender_restrictions= -o smtpd_recipient_restrictions=permit_mynetworks,reject -o smtpd_data_restrictions= -o mynetworks=127.0.0.0/8 -o receive_override_options=no_unknown_recipient_checks Inhalt der always_bcc Datei: absender@domain archiv_absender@domain postmap und Neustart des Postfix wurden durchgeführt. Im Voraus Vielen Dank! -- Sent from: http://postfix.1071664.n5.nabble.com/Postfix-Germany-f21717.html

1 0

Verständnisfrage: Viele einzelne Mails an eine Destination
by Frank Bach 27 Apr '18

27 Apr '18

Hallo zusammen, erstmal eine Herzliches "Guten Tag" in die Mailingliste. Bin neu hier, bitte seht mir eventuelle Fauxpas nach :) Zu meinem Anliegen: Hintergrund Eingesetzt wird Postfix 2.6.6-8.el6 (Centos6) Ich versende viele einzelne Nachrichten (individualisiert) an mehrere Destinations. Eine dieser Destination macht mir besondere Probleme. Die Nachrichten hierhin werden über einen Transport gebündelt wegen einem abweichenden "destination_concurrency_limit" für diese Destination. Es werden hier 4 MX Server auf der Gegenseite betrieben. Problem: Alle Nachrichten werden einzeln versendet. Einzeln bedeutet hier, das es für jede Nachricht zum Auf-/Abbau der Verbindung zu einem MX-Server kommt. Dies macht die Zustellung an die Problem-Destination sehr schwierig aufgrund Limitierungen der parallelen Verbindungen zu dieser Destination. Annahme Ich bin davon ausgegangen, das durch das Connection-Caching eine Verbindung zu einem MX solange "genutzt" wird, wie Nachrichten für diesen MX in der Queue liegen. Die Doku habe ich so verstanden, das für jeden MX, der innerhalb eines Transport angesprochen wird, eine "queue" angelegt wird, und somit alle Nachrichten dieser "queue" in einem Schwung (unter Berücksichtigung von cache-Timeouts und maxuse Angaben) übermittelt werden. Fehlersuche Ich habe schon TLS komplett deaktiviert, ohne Erfolg ( bzw. mit gleichen Problemen ) Ein Reduzieren der destination_concurrency_limit auf 1 und/oder der destination_recipient_limit auf 1 sorgte auch nicht für eine Nutzung des Connection-Cache Fragen Warum werden die Nachrichten "einzeln" Versendet, mit Auf-/Abbau der Verbindung, und nicht in "Blöcken"? Welche Einstellungen oder Bedingungen sind maßgebend dafür, das eine Verbindung zu einem MX für mehrere Nachrichten verwendet wird? Gibt es einen "Best-Practise"-Weg, um mich hier an die Fehlerursache heranzutasten? Vielen Dank für jeden Hinweis :) Frank Postconf -n alias_database = hash:/etc/aliases alias_maps = hash:/etc/aliases allow_min_user = yes append_dot_mydomain = no biff = no config_directory = /etc/postfix default_destination_concurrency_failed_cohort_limit = 1 default_process_limit = 200 header_checks = inet_interfaces = all mailbox_size_limit = 0 message_size_limit = 25600000 mydestination = AAAA.domain.tld, AAAA, localhost, localhost.localdomain myhostname = AAAA.domain.tld mynetworks = 127.0.0.0/8, XX.XX.XX.XX/32, XX.XX.XX.XX/32, ( und noch ein paar mehr ) myorigin = $myhostname non_smtpd_milters = recipient_delimiter = + relayhost = smtp_connect_timeout = 15s smtp_header_checks = pcre:/etc/postfix/header_checks_outgoing smtp_helo_timeout = 30s smtp_tls_CApath = /etc/pki/ca-trust/extracted/pem/ smtp_tls_loglevel = 1 smtp_tls_mandatory_protocols = !SSLv2 !SSLv3 smtp_tls_protocols = !SSLv2, !SSLv3 smtp_tls_security_level = may smtp_tls_session_cache_database = btree:/var/lib/postfix/smtp_scache smtpd_milters = smtpd_tls_cert_file = /etc/postfix/ssl/AAAAAAA.net.crt smtpd_tls_key_file = /etc/postfix/ssl/AAAAAAAc.net.key smtpd_tls_loglevel = 1 smtpd_tls_mandatory_protocols = !SSLv2 !SSLv3 smtpd_tls_protocols = !SSLv2 !SSLv3 smtpd_tls_received_header = yes smtpd_tls_security_level = may smtpd_tls_session_cache_database = btree:/var/lib/postfix/smtpd_scache transport_maps = pcre:/etc/postfix/transport.regexp virtual_alias_maps = hash:/etc/postfix/virtual-maps Transport AAAAAA_destination_concurrency_limit = 5 AAAAAA_destination_concurrency_failed_cohort_limit = 100

3 4

Verständnisfrage Header Checks
by sven 27 Mar '18

27 Mar '18

Hallo zusammen, ich habe ein Verständnisproblem zu den Header_checks. Ich habe mir eine einfache Mailingliste gebastelt. Jeder Empfänger ist ein Alias der Mailinglkistenadresse und per header_checks schreibe ich den Reply-to auf die Mailinglistenadresse. Genau so wie in diesem Artikel: https://www.marcusjaschen.de/blog/2016/mailingliste-nur-mit-postfix-betreib… Das funktioniert solange wie die Mails von einem externen Server kommen. Wenn ich aber eine Mail von einer Adresse auf diesem Server schicke funktioniert das nicht. Nach man page lesen war mein Verständnis, dass die Header Checks immer greifen, dem ist aber anscheinend nicht so. Kann mit jemand weiterhelfen, wo mein Denkfehler ist. Ich benötige zwei Dinge, erstens das Verständnis, wie die header_checks funktionieren und zweitens (danach) eine Lösung wie es auch mit eigenen Adressen geht. Viele Grüße Sven

3 9