- postfix-users - list.sys4.de

Re: Frage zu check_recipient_access in bei einem relayhost
by Boris Behrens 23 Mar '18

23 Mar '18

Hi, vielleicht sehe ich den Wald vor lauter Bäumen nicht. Kurz zum Setup: Wir haben einen ausgehenden Mailrelay bei dem alle vServer mit einem eigenen Postfix Ihre E-Mails abgeben sollen. Das funktioniert auch wirklich gut. Nur leider bekomme ich es irgendwie nicht hin einzelne Adressen zu discarden (weil der Enduser in der Anwendung Bullshit eingetragen hat.) # cat main.cf compatibility_level=2 smtpd_banner = $myhostname ESMTP $mail_name biff = no append_dot_mydomain = no readme_directory = no smtp_use_tls = yes smtpd_relay_restrictions = check_recipient_access hash:/etc/postfix/host-specific-blacklisted, permit_mynetworks, defer_unauth_destination, reject_unknown_sender_domain myhostname = testhost.kervyn.de alias_maps = hash:/etc/aliases alias_database = hash:/etc/aliases myorigin = $myhostname mydestination = localhost relayhost = fra.mail.kervyn.de mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128 message_size_limit = 512000000 mailbox_size_limit = 0 recipient_delimiter = + inet_interfaces = loopback-only smtp_tls_loglevel = 1 smtp_tls_security_level = secure smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt smtp_tls_mandatory_protocols = !SSLv2,!SSLv3 # cat host-specific-blacklisted bb(a)kervyn.de discard # postmap -q bb(a)kervyn.de host-specific-blacklisted discard Ich hätte jetzt gedacht, wenn ich eine Mail lokal abgebe (echo "test" | mail -s test bb(a)kervyn.de) dass die Mail einfach verworfen wird. Ich habe auch schon versucht relayhost durch default_transport zu ersetzen, smtpd_relay_restrictions mit smtpd_recipient_restrictions zu kombinieren/ersetzen. Entweder habe ich irgendwo n dummen Syntaxfehler drin, oder ich habe irgendwo n dummen Denkfehler drin. Gruß Boris

4 7

[postfix] pipe alias permission denied
by Carsten 13 Mar '18

13 Mar '18

Hallo zusammen, ich möchte unter Verwendung einer aliases pipe ein PHP-Script triggern, welches eine eingehende Mail verarbeitet, und bekomme ein "permission denied", sobald ein "require_once" getriggert wird (php interpreter). Verwendete Software: Horde Groupware -> Modul "Whups" (Tickettracking) -> "whups-mail-filter" Der gesamte Vorgang ist schon sehr kleinteilig durch die Horde Mailingliste gegangen, weil ich zunächst von einem Fehler dort ausging. Hier der letzte Teil des Troubleshootings: In der main.cf habe ich den Wert "default_privs = postfix-pipe" gesetzt. Den Benutzer habe ich angelegt. Die Webanwendung residiert unter /var/www/horde Die fragliche Datei (require_once) unter /var/www/horde/whups/lib/Application.php Ab ../horde/.. gilt: 750 www-data:www-horde Die Benutzer "postfix" und "postfix-pipe" sind Mitglieder der Gruppe "www-horde". Die /etc/aliases sieht so aus: ## WHUPS queue links whups: "|/usr/bin/whups-mail-filter -g -a carsten(a)[mydn.tld]e -Q 5" In der Datei "/usr/bin/whups-mail-filter" habe ich zu Debuggingzwecken diese Zeilen am Anfang eingefügt $shellex = shell_exec("logger INFO whoami: $(whoami)"); $shellex = shell_exec("logger INFO who am i: $(who am i)"); $shellex = shell_exec("touch /tmp/hallowelt.ini"); Für das weitere Debugging habe ich eine Datei "testmail" angelegt mit diesem Inhalt: ###################### From: root(a)derdapp001.[mydn.tld] To: whups(a)[mydn.tld] subject: Monitoring: Testticket Hello World ####################### Jetzt kann ich mit dem Befehl "sudo -u postfix-pipe cat testmail|/usr/bin/whups-mail-filter -g -a carsten(a)[mydn.tld] -Q 5" den Vorgang auf der Kommandozeile testen und bekomme im Whups Ticket System mein gewünschtes Ticket. Nun gehe ich auf ein drittes System und sende von dort die "scharfe" E-Mail -also jetzt triggere ich den postfix: ##################### root@derdapp001 ~ # sendmail whups(a)[mydn.tld] subject: monitoring: testticket Hallo welt [ctrl]+d ####################### Jetzt bekomme ich im syslog des mail server diesen output: ######################### ## Mar 12 13:35:27 derdapp004 logger: INFO whoami: postfix-pipe Mar 12 13:35:27 derdapp004 logger: INFO who am i: <=Anmerkung: leer: kein "parent user" Mar 12 13:35:27 derdapp004 postfix/local[16770]: BE46441CCB: to=<whups@localhost>, orig_to=<whups(a)[mydn.tld]>, relay=local, delay=0.95, delays=0.02/0.01/0/0.92, dsn=5.3.0, status=bounced (Command died with status 255: "/usr/bin/whups-mail-filter -g -a carsten(a)[mydn.tld] -Q 5". Command output: PHP Warning: require_once(/var/www/horde/whups/lib/Application.php): failed to open stream: Permission denied in /usr/bin/whups-mail-filter on line 77 PHP Fatal error: require_once(): Failed opening required '/var/www/horde/whups/lib/Application.php' (include_path='.:/usr/share/php:/usr/share/pear') in /usr/bin/whups-mail-filter on line 77 ) Mar 12 13:35:27 derdapp004 postfix/cleanup[16769]: B13E641CD6: message-id=<20180312123527.B13E641CD6(a)[mydn.tld]> Mar 12 13:35:27 derdapp004 postfix/bounce[16774]: BE46441CCB: sender non-delivery notification: B13E641CD6 Mar 12 13:35:27 derdapp004 postfix/qmgr[16757]: B13E641CD6: from=<>, size=3250, nrcpt=1 (queue active) Mar 12 13:35:27 derdapp004 postfix/qmgr[16757]: BE46441CCB: removed Mar 12 13:35:27 derdapp004 dovecot: lda(no-reply(a)[mydn.tld]): msgid=<20180312123527.B13E641CD6(a)[mydn.tld]>: saved mail to INBOX Mar 12 13:35:27 derdapp004 postfix/pipe[16777]: B13E641CD6: to=<no-reply(a)[mydn.tld]>, orig_to=<root(a)[mydn.tld]>, relay=dovecot, delay=0.14, delays=0.02/0.01/0/0.12, dsn=2.0.0, status=sent (delivered via dovecot service) Mar 12 13:35:27 derdapp004 postfix/qmgr[16757]: B13E641CD6: removed ## ############################ Aus dem "touch" entsteht diese Datei: ################# ## ll /tmp/hallo* -rw------- 1 postfix-pipe postfix-pipe 0 Mar 12 13:35 hallowelt.ini ## ################# Wie zu sehen ist, funktioniert der Aufruf des "require_once" in der whups-mail-filter auf die Application.php nicht. Es scheint das System nicht zu interessieren, welcher Benutzer dort hinterlegt ist. Alle offensichtlichen Zeichen, zeigen klar, daß der Benutzer "postfix-pipe" Verwendung findet. In der Kommandozeile hat dieser auch ordenlichen Zugriff. Nur aus dem Postfix heraus, klappt es nicht. Wenn ich ein 755 auf das horde-verzeichnis gebe -also "other" = "read&execute" gebe, so funktioniert es. Das kann aber wohl nicht als ernsthafte Lösung gesehen werden, oder? Ich habe noch zwei straces auf den Process. Hier der output, wenn ich aus dem postfix komme: #################### ### [...snip...] gettimeofday({1520811096, 605233}, NULL) = 0 lstat64("/var/www/horde/whups/lib/Application.php", 0xbec64008) = -1 EACCES (Permission denied) gettimeofday({1520811096, 605766}, NULL) = 0 lstat64("/var/www/horde/whups/lib/Application.php", 0xbec63f18) = -1 EACCES (Permission denied) gettimeofday({1520811096, 606180}, NULL) = 0 lstat64("/var/www/horde/whups/lib/Application.php", 0xbec65fe0) = -1 EACCES (Permission denied) lstat64("/var/www/horde/whups/lib", 0xbec65ee0) = -1 EACCES (Permission denied) lstat64("/var/www/horde/whups", 0xbec65df0) = -1 EACCES (Permission denied) lstat64("/var/www/horde", {st_mode=S_IFDIR|0770, st_size=4096, ...}) = 0 lstat64("/var/www", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0 lstat64("/var", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0 open("/var/www/horde/whups/lib/Application.php", O_RDONLY|O_LARGEFILE) = -1 EACCES (Permission denied) [...snip...] ### #################### und der gleiche Teil, wenn ich aus der Kommandozeile per "sudo -u" komme: #################### ### [...snip...] ettimeofday({1520812051, 622266}, NULL) = 0 lstat64("/var/www/horde/whups/lib/Application.php", {st_mode=S_IFREG|0770, st_size=9232, ...}) = 0 lstat64("/var/www/horde/whups/lib", {st_mode=S_IFDIR|0770, st_size=4096, ...}) = 0 lstat64("/var/www/horde/whups", {st_mode=S_IFDIR|0770, st_size=4096, ...}) = 0 lstat64("/var/www/horde", {st_mode=S_IFDIR|0770, st_size=4096, ...}) = 0 lstat64("/var/www", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0 lstat64("/var", {st_mode=S_IFDIR|0755, st_size=4096, ...}) = 0 gettimeofday({1520812051, 624126}, NULL) = 0 open("/var/www/horde/whups/lib/Application.php", O_RDONLY|O_LARGEFILE) = 4 [...snip...] ### #################### Wer hat hier eine Idee, was die Ursache ist? Übersehe ich noch etwas? Welche Debug Information kann ich noch liefern? Gruss Carsten

4 11

DMARC: Sinnvoll oder nicht?
by Marco Dickert 10 Mar '18

10 Mar '18

Moin, ich hätte da noch eine ganz andere Frage. Und zwar habe ich bis gerade eben folgenden DMARC-Eintrag gesetzt gehabt: _DMARC IN TXT "v=DMARC1; p=reject; rua=mailto:postmaster@misterunknown.de; ruf=mailto:postmaster@misterunknown.de" Offenbar ist das keine gute Idee, wenn man Mailing-Listen benutzt, wie ich gerade feststellen durfte. Daher habe ich den Eintrag jetzt "entschärft": _DMARC IN TXT "v=DMARC1; p=none; rua=mailto:postmaster@misterunknown.de; ruf=mailto:postmaster@misterunknown.de" Die Frage die bleibt: Ist DMARC generell sinnvoll? Ich habe aus Interesse mal bei der Domain sys4.de geschaut, dort ist mehr oder weniger nur ein Dummy-Eintrag aktiv: ----- $ dig _dmarc.sys4.de TXT +short "v=DMARC1; p=none;" ----- Was ist dort die "best practice"? -- Marco Dickert marco(a)misterunknown.de https://misterunknown.de

4 6

Postfix 3.1: Dovecot SASL Problem
by Marco Dickert 08 Mar '18

08 Mar '18

Moin, ich habe gerade meinen Server auf Debian Stretch geupgraded. Jetzt kann ich keine E-Mails mehr mit mutt versenden, weil Postfix offenbar etwas gegen die SASL-Authentifzierungsmethode "DIGEST-MD5" hat (ich nutze Dovecot SASL). Wenn ich statts DIGEST-MD5 die Methode LOGIN nehme, funktioniert alles wie gewohnt: > set smtp_authenticators = "login" Was mich aber dabei wundert: Am Dovecot selbst kann ich mich ganz normal auch mit der Methode DIGEST-MD5 anmelden. Hat jemand eine Erklärung dafür? Hier mal noch ein paar relevante Informationen: --- MAIL.LOG --- Mar 8 13:49:06 kronos postfix/smtpd[28246]: warning: kronos.misterunknown.de[2a01:4f8:140:9324::2]: SASL DIGEST-MD5 authentication failed: XXXXXXXXXXXX... --- END MAIL.LOG --- --- POSTFIX --- smtpd_sasl_type = dovecot smtpd_sasl_path = private/auth smtpd_sasl_auth_enable = no smtpd_sasl_security_options = noanonymous, noplaintext smtpd_sasl_tls_security_options = noanonymous --- END POSTFIX --- --- DOVECOT --- auth_mechanisms = plain login DIGEST-MD5 cram-md5 service auth { unix_listener /var/spool/postfix/private/auth { group = postfix mode = 0660 user = postfix } } --- END DOVECOT --- -- Marco Dickert marco(a)misterunknown.de https://misterunknown.de

2 2

Re: Hardwareanforderungen an einen Postfix Server
by MS Exchange 19 Feb '18

19 Feb '18

Hallo Bastian! Danke für deine Antwort. Derzeit gehen wir Mal von 150.000 Mails mit jeweils 100 bis 200 kB aus. LG Gerald Am 19.02.2018 12:16 nachm. schrieb "Bastian Heinrich" < bastian.heinrich(a)jin42.de>: Hallo Gerald, über was für Email-Mengen reden wir denn hier (und wie groß sind die jeweils)? Ansonsten meine Postfix-Server haben jeweils 256 MB Ram und 1 vCPU, und laufen damit ohne Probleme. Insofern: Wenn ihr einen Hardware-Server wollt, tut es praktisch jeder handelsüblicher Server. MfG Bastian On 19.02.2018 08:36, MS Exchange wrote: > Hallo! > > Wir wollen für den Newsletter versandt einen Postfix Server aufbauen, der > rein für outbound Mails gedacht sein soll. > Da Postfix derzeit bei uns nicht eingesetzt wird, fehlen uns hier die > Erfahrungswerte. Leider konnte ich online auch kaum Informationen darüber > finden was die Anforderungen an die Hardware sind. > Daher bitte ich euch um Input. > > Vielen Dank! > > LG > Gerald >

3 2

Hardwareanforderungen an einen Postfix Server
by MS Exchange 19 Feb '18

19 Feb '18

Hallo! Wir wollen für den Newsletter versandt einen Postfix Server aufbauen, der rein für outbound Mails gedacht sein soll. Da Postfix derzeit bei uns nicht eingesetzt wird, fehlen uns hier die Erfahrungswerte. Leider konnte ich online auch kaum Informationen darüber finden was die Anforderungen an die Hardware sind. Daher bitte ich euch um Input. Vielen Dank! LG Gerald

1 0

sa-update failed for unknown reasons
by J. Fahrner 31 Jan '18

31 Jan '18

Hallo, mein cron.daily bringt seit heute folgenden Fehler: /etc/cron.daily/spamassassin: rules: failed to run FORGED_GMAIL_RCVD test, skipping: (Can't locate object method "check_for_forged_gmail_received_headers" via package "Mail::SpamAssassin::PerMsgStatus" at (eval 1288) line 1501. ) channel: lint check of update failed, channel failed sa-update failed for unknown reasons Hat das noch jemand? Irgendeine Idee was da schief ist? Google liefert 0 Treffer zu der Fehlermeldung. Jochen

5 4

Recipient-Abfrage per sql-query
by Philip Frei 25 Jan '18

25 Jan '18

Hallo, per virtual_mailbox_maps findet auf meinem Mailserver eine Recipient-Abfrage für eingehende Mails statt. Die Daten dazu stehen in einer sql-Tabelle (MariaDB), die eine Spalte für den Nutzernamen und eine weitere für den Domain enthält - vereinfacht in etwa so: |<username> | <domain> | | user1 | example.org | | user2 | example.com | Nun ist die Abfrage jedesmal erfolgreich, wenn der Nutzername zutrifft, auch wenn die Domain nicht korrekt ist. Also Einlieferungen an user1(a)example.com werden erfolgreich angenommen, obwohl es für diesen User keinen Tabelleneintrag gibt. Die Konfiguration dazu sieht so aus: user = databaseuser password = xyz hosts = localhost dbname = database query = SELECT 'present' FROM user_table WHERE username='%u' AND domain='%d' Der mysql-client liefert für diese query die korrekten Ergebnisse, die Postfix-Abfrage nicht. Übersehe ich etwas? Habt ihr einen Tipp für mich? Grüße, Philip

1 0

Milter
by Stephan Traub 20 Jan '18

20 Jan '18

Hallo zusammen, eine Frage zur Milter-Schnittstelle: Ich habe in der Doku. nichts darüber gelesen, wie und in welcher Reihenfolge die Milter vom Postfix abgearbeitet werden. Geschieht das parallel oder werden diese nach der in der Konfig. definierter Reihenfolge abgearbeitet. Bsp.: smtpd_milters = inet:127.0.0.1:10025, unix:/run/amavisd/amavisd-milter.sock, unix:/run/spamass-milter/postfix/sock Gruß und Danke, Stephan

2 1

Repository von mailserver.guru
by Andreas Wass - Glas Gasperlmair 19 Jan '18

19 Jan '18

Hallo Liste! Weiß wer von euch, wo das Repository von mailserver.guru hingekommen ist? http://repo.mailserver.guru/7/os/x86_64/repodata/ Hab bereits eine mail an michael(a)nausch.org geschrieben, aber noch keine Antwort bekommen. mfg Andi

1 0