- postfix-users - list.sys4.de

Greylisting
by Joachim Fahrner 11 Jul '17

11 Jul '17

Hallo, in letzter Zeit habe ich mich an Roberts Vorschlag gehalten und Greylisting nur selektiv angewandt (Dialin-IPs usw.). Langsam komme ich ins Grübeln, ob ich das nicht doch generell wieder für alles aktivieren soll. Ich bekomme in letzter Zeit häufig Spam und Phishing von "echten" Mailservern (wurden die gehackt?), für die Greylisting nicht angewandt wurde, und die auch (noch) auf keiner Blacklist waren. Kurze Zeit später findet man die dann auch auf manchen Blacklists. Das heisst: die ziehen ihre Aktionen in kürzester Zeit über (gehackte?) Server durch, und suchen sich dann wieder einen anderen "unverbrauchten" Server. Hier würde Greylisting enorm helfen, das verzögert die Zustellung, und beim nächsten Versuch steigt die Wahrscheinlichkeit, dass sie von einer Blacklist registriert wurden. Was meint ihr? Jochen

3 3

SPF - "It is impossible for us to say why it was rejected."
by Marc Risse 10 Jul '17

10 Jul '17

Hallo zusammen, ich habe ein Phänomen: Mein Server akzeptiert die Mails der Ruhr-Uni Bochum nicht und gibt mir auch keinerlei Infos warum der SPF-Check negativ ausfällt. Der Link zu openspf sagt folgendes: mail@empfänger rejected a message that claimed an envelope sender address of sender(a)ruhr-uni-bochum.de. mail@empfänger received a message from out1.mail.ruhr-uni-bochum.de (2a05:3e00:8:1001::8693:3595) that claimed an envelope sender address of sender(a)ruhr-uni-bochum.de. The domain ruhr-uni-bochum.de has authorized out1.mail.ruhr-uni-bochum.de (2a05:3e00:8:1001::8693:3595) to send mail on its behalf, so the message should have been accepted. It is impossible for us to say why it was rejected. What should I do? If the problem persists, contact the ruhr-uni-bochum.de postmaster. Log: Jul 9 23:33:49 relay postfix/smtpd[4750]: Anonymous TLS connection established from out1.mail.ruhr-uni-bochum.de[2a05:3e00:8:1001::8693:3595]: TLSv1.2 with cipher ECDHE-RSA-AES256-GCM-SHA384 (256/256 bits) Jul 9 23:33:52 relay postgrey[721]: action=pass, reason=triplet found, client_name=out1.mail.ruhr-uni-bochum.de, client_address=2a05:3e00:8:1001::8693:3595, sender=sender(a)ruhr-uni-bochum.de, recipient=mail@empfänger Jul 9 23:33:52 relay postfix/smtpd[4750]: NOQUEUE: reject: RCPT from out1.mail.ruhr-uni-bochum.de[2a05:3e00:8:1001::8693:3595]: 550 5.7.1 <mail@empfänger>: Recipient address rejected: Message rejected due to: SPF fail - not authorized. Please see http://www.openspf.net/Why?s=mfromblabla; from=<sender(a)ruhr-uni-bochum.de> to=<mail@empfänger> proto=ESMTP helo=<out1.mail.ruhr-uni-bochum.de> Jul 9 23:33:52 relay postfix/smtpd[4750]: disconnect from out1.mail.ruhr-uni-bochum.de[2a05:3e00:8:1001::8693:3595] ehlo=2 starttls=1 mail=1 rcpt=0/1 data=0/1 rset=1 quit=1 commands=6/8 Hattet Ihr so etwas schon mal? Was kann ich tun? Der Postmaster der Ruhr-Uni reagiert nicht auf meine Anfrage. Hier der SPF-Record: ruhr-uni-bochum.de. 74421 IN TXT "v=spf1 exists:%{ir}.%{v}._spfx.ruhr-uni-bochum.de exists:%{ir}._ip.%{l}._spfx.ruhr-uni-bochum.de -all" DNS, SPF und IPv6 funktionieren problemlos, habe echt keine Idee... :( -- Mit freundlichen Grüßen Marc Risse RZ-Projekte Telefon: +49 2372 5520-385 Fax: +49 2372 5520-61-385 E-Mail: risse(a)citkomm.de Internet: http://www.citkomm.de ===================================== KDVZ Citkomm (Kommunaler Zweckverband) Citkomm services GmbH* Sonnenblumenallee 3, 58675 Hemer Telefon: +49 2372 5520-0 Fax: +49 2372 5520-279 E-Mail: post(a)citkomm.de *Tochtergesellschaft: Citkomm services GmbH Sitz der Gesellschaft: Hemer Handelsregister: AG Iserlohn, HRB 26 86 Geschäftsführer: Dr. Michael Neubauer, Kerstin Pliquett

4 4

Phishing Mails
by Joachim Fahrner 07 Jul '17

07 Jul '17

Hallo, so langsam wird das hier zum (unfreiwilligen) Hobby mit den Phishing-Mails. Ich frage mich gerade, warum das hier nicht abgewiesen wurde: Received: from mail.sicherheit.de (unknown [83.169.1.6]) Die IP hat zwar einen Reverse pointer zu mail.sicherheit.de: $ host 83.169.1.6 6.1.169.83.in-addr.arpa domain name pointer mail.sicherheit.de. Aber mail.sicherheit.de hat eine ganz andere IP: $ host mail.sicherheit.de mail.sicherheit.de has address 72.52.10.14 Sowas müsste sich doch blocken lassen. Ist das nicht Bestandteil von reject_invalid_helo_hostname? Jochen

5 22

HELO Access restrictions
by Joachim Fahrner 05 Jul '17

05 Jul '17

Hallo, ich stelle mal eine Frage zur Diskussion: nützen die HELO Access restrictions heute überhaupt noch was? Wenn ich so in meinen Logs stöbere, finde ich da kaum abgewiesene Mails. Und wenn, dann war es kein Spam. Der meiste Spam wird bei mir durch RBL geblockt. Die Idee hinter den HELO restrictions war ja, dass Botnet Zombies normal keinen korrekt konfigurierten Hostnamen und DNS-Einträge haben. Aber die Spamsoftware wird auch immer schlauer, und es ist ja ein Leichtes mit 2 DNS-Abfragen einen zur IP passenden Hostnamen zu bekommen: $ host 93.104.124.64 64.124.104.93.in-addr.arpa domain name pointer ppp-93-104-124-64.dynamic.mnet-online.de. $ host ppp-93-104-124-64.dynamic.mnet-online.de ppp-93-104-124-64.dynamic.mnet-online.de has address 93.104.124.64 Und wenn ich mir die Logs so ansehe bestätigt das meine These: da gibt es sehr viele HELO Namen die ziemlich kryptisch aussehen, so wie die von DSL-Anschlüssen. Also wären diese Prüfungen ja reine Zeitverschwendung, und sogar kontraproduktiv. Jochen

3 5

hostname ... does not resolve to address ...
by Joachim Fahrner 29 Jun '17

29 Jun '17

Hallo, ich habe in meinem Log massenhaft solche Fehlermeldungen: Jun 29 08:31:31 server postfix/smtpd[16058]: warning: hostname tupac2.dyne.org does not resolve to address 178.62.188.7: Temporary failure in name resolution Ich kann bei der Domain aber keine Fehler erkennen. Sie hat 3 Nameserver: ns.dyne.org, ns2.dyne.org und ns3.dyne.org. Ich hab die mal per dig gefragt, und bei allen dreien bekomme ich die korrekte Adresse für tupac2.dyne.org zurück. Über diesen Server erfolgt der Versand einer Mailingliste, und ich bekomme da auch reichlich Mails aus der Liste. Der Fehler scheint also nur gelegentlich aufzutreten. Bei keiner anderen Domain erhalte ich solche Fehlermeldungen, ich gehe daher davon aus dass mein outbound richtig funktioniert. Hat jemand eine Idee was da faul sein könnte? Jochen

2 1

Absender "Displayname" umschreiben mit Variable
by Marc Risse 22 Jun '17

22 Jun '17

Hallo Liste, ich dachte mir ich baue da mal schnell was, verzweifele jetzt aber. Ich möchte für eine Vielzahl von Linux-Servern eine Standard-Config ausrollen. Diese Server haben nur Postfix an Board um den Admin zu informieren, also für Cron etc. Da wir für unsere Server mehrere eigene DNS-Zonen betreiben (.server, .lanserver .etc) und ich auf dem zentralen Mailrelay Mails mit "solchen" Zonen zurückweise, habe ich folgendes gebaut: myorigin = /etc/mailname mydestination = localhost, $myhostname relayhost = relay.foo.de sender_canonical_maps = regexp:/etc/postfix/sender_canonical /etc/postfix/sender_canonical: /./ noreply(a)foo.de noreply(a)foo.de ist auf dem zuständigen Relay ein blackhole, also /dev/null Das ganze Funktioniert! Die Mails haben einen ordentlichen absender und werden ordentlich zugestellt. Antworten (Autoreply etc) werden direkt vernichtet. Super! Jetzt beschweren sich die Admins allerdings, dass im FROM leider immer "root <noreply(a)foo.de>" steht. Statt des Displaynames sollte dort der Hostname des sendenden Servers stehen, also ein FROM à la "WEB53.SERVER <noreply(a)citkomm.de>". So, lange Vorrede, hier mein Problem: Um den Displayname (oder wie auch immer der Text-Teil vor der Mailadresse heißt) umzuschreiben, brauche ich den Hostnamen oder ähnliches. Ich würde es am liebsten so machen: smtp_header_checks = regexp:/etc/postfix/header_checks /etc/postfix/header_checks: /^From:[[:space:]]+(.*)/ REPLACE From: "$myhostname" <noreply(a)citkomm.de> leider kann ich an der Stelle "$myhostname" keine Variable verwenden, zumindest habe ich dafür keine Lösung gefunden. Habt Ihr eine Idee, wie ich den Hostnamen "variabel" in den Header bekomme? Ziel soll es sein, dass die main.cf und alle anderen Dateien keine hostspezifischen Daten enthalten, also $myhostname u.s.w. wird von Postfix ermittelt, $myorigin kommt aus /etc/mailname sofern vorhanden. Für Tipps/Ideen wäre ich sehr dankbar - allerdings bitte keine Diskussionen über die Randbedingungen ;) VG Marc -- Marc Risse RZ-Projekte Telefon: +49 2372 5520-385 Fax: +49 2372 5520-61-385 E-Mail: risse(a)citkomm.de Internet: http://www.citkomm.de ===================================== KDVZ Citkomm (Kommunaler Zweckverband) Citkomm services GmbH* Sonnenblumenallee 3, 58675 Hemer Telefon: +49 2372 5520-0 Fax: +49 2372 5520-279 E-Mail: post(a)citkomm.de *Tochtergesellschaft: Citkomm services GmbH Sitz der Gesellschaft: Hemer Handelsregister: AG Iserlohn, HRB 26 86 Geschäftsführer: Dr. Michael Neubauer, Kerstin Pliquett

4 4

transport auf basis von sender und receiver bestimmen
by Patrick Landolt 22 Jun '17

22 Jun '17

Ich versuche folgendes setup zu erreichen: 1. Ich habe mehrere ip Adressen über den postfix die nachrichten an andere MTA senden soll 2. Ich habe verschiedene transport in der master.cf Datei erstellt. Jede mit einer eigenen smtp_bind_address soweit so gut. dieses setup funktioniert bereits. Aber jetzt muss ich auch noch langsame bzw. rasch (temp) blockende ISPs wie yahoo handhaben. Mein erster Versuch war den transport via tranpsort_maps zu ändern: yahoo.com slow: Aber mit diesem Eintrag wird der transport geändert ohne auf den sender Rücksicht zu nehmen. Denn mit sender_dependent_default_transport_maps setze ich den transport abhängig von der sender Adresse. Ich habe nun 4 transports definiert: * m1 * m1-slow * m2 * m2-slow Wenn ich nun auf m1.mxsend.ch verbinde soll die E-Mail via transport m1 verschickt werden. Bei einer Verbindung auf m2.mxsend.ch über den transport m2. Dies funktioniert. Aber ich kann keine Lösung finden, bei der der transport anhand des Senders UND des Empfängers bestimmt wird wie es folgend sein müsste: - Sender ist @m1.mxsend.ch und Empfänger ist someone(a)example.com > nutze transport m1 - Sender ist @m1.mxsend.ch und Empfänger ist someone(a)yahoo.com > nutze transport m1-slow - Sender ist @m2.mxsend.ch und Empfänger ist someone(a)exmaple.com > nutze transport m2 - Sender ist @m2.mxsend.ch und Empfänger ist someone(a)yahoo.com > nutze transport m2-slow Folgend noch mein komplettes setup: main.cf (postconf -n): alias_database = hash:/etc/aliases alias_maps = hash:/etc/aliases anvil_rate_time_unit = 60s anvil_status_update_time = 600s append_dot_mydomain = no biff = no bounce_queue_lifetime = 3d broken_sasl_auth_clients = yes debug_peer_level = 2 debug_peer_list = 5.102.146.19 html_directory = /usr/share/doc/postfix/html inet_interfaces = all inet_protocols = ipv4 m1-slow_destination_concurrency_failed_cohort_limit = 100 m1-slow_destination_concurrency_limit = 4 m1-slow_destination_concurrency_positive_feedback = 1/35 m1-slow_initial_destination_concurrency = 1 m2-slow_destination_concurrency_failed_cohort_limit = 100 m2-slow_destination_concurrency_limit = 1 m2-slow_initial_destination_concurrency = 1 mailbox_size_limit = 0 maximal_queue_lifetime = 3d message_size_limit = 20480000 milter_default_action = accept milter_protocol = 2 mydestination = $myhostname, localhost.$myhostname, localhost mydomain = mxsend.ch myhostname = m1 mynetworks = 127.0.0.0/8 5.102.146.19 5.102.145.149 5.102.151.226 myorigin = $myhostname non_smtpd_milters = inet:localhost:12301 readme_directory = /usr/share/doc/postfix recipient_delimiter = + sender_dependent_default_transport_maps = mysql:/etc/postfix/mysql_sender_dependent_default_transport_maps.cf smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache smtpd_banner = $myhostname ESMTP $mail_name smtpd_client_connection_count_limit = 0 smtpd_client_connection_rate_limit = 0 smtpd_client_event_limit_exceptions = smtpd_error_sleep_time = 1s smtpd_hard_error_limit = 2000 smtpd_milters = inet:localhost:12301 smtpd_recipient_restrictions = reject_non_fqdn_sender, reject_non_fqdn_recipient, reject_unauthenticated_sender_login_mismatch permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination permit smtpd_sasl_auth_enable = yes smtpd_sasl_path = private/auth smtpd_sasl_type = dovecot smtpd_soft_error_limit = 1000 smtpd_tls_auth_only = no smtpd_tls_cert_file = /etc/ssl/certs/ssl-cert-snakeoil.pem smtpd_tls_key_file = /etc/ssl/private/ssl-cert-snakeoil.key smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache smtpd_use_tls = yes transport_maps = mysql:/etc/postfix/mysql_transport_maps.cf virtual_alias_maps = mysql:/etc/postfix/mysql_virtual_alias_maps.cf virtual_gid_maps = static:5000 virtual_mailbox_base = /var/spool/maildirs virtual_mailbox_domains = mysql:/etc/postfix/mysql_virtual_mailbox_domains.cf virtual_mailbox_maps = mysql:/etc/postfix/mysql_virtual_mailbox_maps.cf virtual_minimum_uid = 5000 virtual_transport = lmtp:unix:private/dovecot-lmtp virtual_uid_maps = static:5000 master.cf (postconf -P): m1/unix/smtp_bind_address = 5.102.145.149 m1/unix/smtp_helo_name = m1.mxsend.ch m1/unix/syslog_name = postfix-m1 m2/unix/smtp_bind_address = 5.102.151.226 m2/unix/smtp_helo_name = m2.mxsend.ch m2/unix/syslog_name = postfix-m2 m1-slow/unix/smtp_bind_address = 5.102.145.149 m1-slow/unix/smtp_helo_name = m1.mxsend.ch m1-slow/unix/syslog_name = postfix-m1-slow m2-slow/unix/smtp_bind_address = 5.102.151.226 m2-slow/unix/smtp_helo_name = m2.mxsend.ch m2-slow/unix/syslog_name = postfix-m2-slow 5.102.145.149:smtp/inet/myhostname = m1.mxsend.ch 5.102.145.149:submission/inet/myhostname = m1.mxsend.ch 5.102.151.226:smtp/inet/myhostname = m2.mxsend.ch 5.102.151.226:submission/inet/myhostname = m2.mxsend.ch

1 0

Phishing Mails von der FAZ?
by Joachim Fahrner 18 Jun '17

18 Jun '17

Kann das sein? Habe heute eine Phishing Mail von mail.faz.net bekommen. Ähnlich wie die hier: http://zy0.de/q/46.163.116.28 Wurde deren Mailserver gehackt? Jochen

3 7

Spam-Probleme (v.a. Versicherungs-Spam), wo ist mein Config-Problem?
by Martin Sebald 16 Jun '17

16 Jun '17

Hallo zusammen, in letzter Zeit habe ich massive Probleme mit Spam. Vor allem kommt sehr sehr viel "Versicherungs-Spam" (Berufshaftpflicht, Krankenversicherung...) rein. Alleine mein eigener Account bekommt hier mehr als ein Dutzend Mails pro Tag. Mein Mailserverkonstrukt ist Postfix/Amavis/Spamassassin, also mehr oder weniger Standard, und ich erlaube mir mal, hier zu posten, auch, wenn das Thema mehr Richtung Amavis und Spamassassin geht. Falls das nicht ok ist, bitte sagen. Gut, folgendes ist mir aufgefallen vor einigen Wochen. Da kommt eine Spamnachricht und ich sehe folgendes: X-Spam-Score: 0.017 X-Spam-Level: X-Spam-Status: No, score=0.017 tagged_above=-999 required=3.5 tests=[BAYES_00=-3.5, DKIM_VALID=-0.1, DKIM_VALID_AU=-0.1, DKIM_VERIFIED=-0.1, HTML_MESSAGE=0.001, RAZOR2_CF_RANGE_51_100=1.5, RAZOR2_CF_RANGE_E8_51_100=1.886, RAZOR2_CHECK=0.922, RELAYCOUNTRY_GOOD=-0.5, RP_MATCHES_RCVD=-0.001, SPF_PASS=-0.001, T_KAM_HTML_FONT_INVALID=0.01] autolearn=no autolearn_force=no Spannend finde ich hier v.a. "BAYES_00=-3.5", was ja (soweit ich das weiß) darauf hindeutet, dass die Mail als Ham erkannt/angelernt wurde, oder? Wie kommt sie aber da rein frage ich mich? (3.5 ist mein Standardlevel, über dem die Nachricht dann Spam ist und entsprechend markiert wird.) Bin dann hergegangen und habe die komplette Bayes Datenbank (Ham wie Spam, habe keine Möglichkeit gefunden, nur die Ham Daten zu löschen) geleert und mit zig tausend Spam Nachrichten neu angelernt. Des Weiteren nutze ich auch die Spamassassin Regeln von Heinlein Support. Und schwupps wurden die allermeisten Spamnachrichten korrekt erkannt. Nun nach ein paar Wochen geht das wieder von vorne los, das meiste kommt durch und was ich dann eben sehe ist ist wieder "BAYES_00=-3.5"... Vermutlich habe ich irgendwo einen Denk- und/oder Config-Fehler, auf den ich nun nicht komme. Eventuell hat ja jemand einen Tipp für mich, fände ich spitze. Configs reiche ich natürlich gerne nach, wollte nun aber erstmal hören, in welcher Richtung ich suchen muss. Danke und viele Grüße, Martin

12 42

Ein postfwd für mehrere MTAs?
by Peter Heitzer 14 Jun '17

14 Jun '17

Ich bin gerade dabei, mich etwas in postfwd einzuarbeiten. Insbesonders sollen damit die Anzahl der Requests bzw. Mails nach aussen limitiert werden. Da wir mehrere MTAs benutzen, dachte ich, ob es eine gute Idee wäre, postfwd nur auf einer (evtl. zusätzlichen) Maschine laufen zu lassen und von den MTAs nicht via localhost, sondern über eine reguläre IP-Adresse anzusprechen. Der Vorteil wäre, dass die Limits exakt den in den postfwd-Regeln eingetragenen entsprächen. Bei mehreren MTAs müsste ich die Limits durch die Anzahl der MTAs teilen und es könnte passieren, daß ein Client einmal früher oder auch später das Limit erreicht, je nachdem welchen MTA er erwischt. Nachteilig bei dieser Lösung ist die starke Abgängigkeit von der dedizierten Maschine, auf der postfwd läuft. Wenn die Netzwerkverbindung gestört ist, wird u.U. der gesamte Mailtransport auf den MTAs behindert. Da ich nur Limits für innen (meine Domains) nach draussen ("Internet") implementieren möchte, würde ich postfwd nur dann aufrufen, wenn die Absenderdomain eine meiner eigenen. Hat jemand ein ähnliches Szenario (postfwd auf getrennter Maschine) bei sich im Einsatz? Wenn es keine gute Idee ist, nur einen postfwd laufen zu lassen, gibt es einfache Methoden, die einzelnen postfwd miteinander zu synchronisieren? ---- Dipl.-Inform(FH) Peter Heitzer, peter.heitzer(a)rz.uni-regensburg.de

2 1