- postfix-users - list.sys4.de

[postfix-users] "Recipient address rejected: Access denied" bei IPv6
by Martin Sebald 27 Sep '11

27 Sep '11

Hallo zusammen, stehe auf dem Schlauch... Habe nach etwas gesucht im mail.log und dabei ist mir etwas anderes aufgefallen. Einige Mails, die per IPv6 angeliefert werden (bzw es wird eben versucht), werden nicht zugelassen und abgewiesen. Der gleiche Mailserver versucht es dann direkt per IPv4 und die Mail flutscht durch. Aufgefallen ist mir das im Log der letzten Tage für OpenStreetMap Mails sowie DealExtreme. Unten ein Logauszug. Mir fehlt sicherlich nur der kleine Hinweis, der die Erleuchtung bringt, deswegen poste ich das hier mal... Das System geht ja im Prinzip, aber etwas i.O. ist hier trotzdem nicht. Daher würde ich das gerne fixen. Danke für Eure Hilfe und viele Grüße, Martin Sep 24 15:26:35 mailserver postfix/smtpd[13369]: connect from shenron.openstreetmap.org[2001:41c8:10:996:21d:7dff:fec3:df70] Sep 24 15:26:35 mailserver postfix/smtpd[13369]: setting up TLS connection from shenron.openstreetmap.org[2001:41c8:10:996:21d:7dff:fec3:df70] Sep 24 15:26:35 mailserver postfix/smtpd[13369]: Anonymous TLS connection established from shenron.openstreetmap.org[2001:41c8:10:996:21d:7dff:fec3:df70]: TLSv1 with cipher AES256-SHA (256/256 bits) Sep 24 15:26:35 mailserver postfix/smtpd[13369]: NOQUEUE: filter: RCPT from shenron.openstreetmap.org[2001:41c8:10:996:21d:7dff:fec3:df70]: <talk-de-bounces(a)openstreetmap.org>: Sender address triggers FILTER amavis:[127.0.0.1]:10024; from=<talk-de-bounces(a)openstreetmap.org> to=<empfaenger(a)domain.tld> proto=ESMTP helo=<shenron.openstreetmap.org> Sep 24 15:26:35 mailserver postfix/smtpd[13369]: NOQUEUE: reject: RCPT from shenron.openstreetmap.org[2001:41c8:10:996:21d:7dff:fec3:df70]: 450 4.7.1 <empfaenger(a)domain.tld>: Recipient address rejected: Access denied; from=<talk-de-bounces(a)openstreetmap.org> to=<empfaenger(a)domain.tld> proto=ESMTP helo=<shenron.openstreetmap.org> Sep 24 15:26:35 mailserver postfix/smtpd[13369]: disconnect from shenron.openstreetmap.org[2001:41c8:10:996:21d:7dff:fec3:df70] Sep 24 15:26:35 mailserver postfix/smtpd[13369]: connect from shenron.openstreetmap.org[89.16.179.150] Sep 24 15:26:35 mailserver postfix/smtpd[13369]: setting up TLS connection from shenron.openstreetmap.org[89.16.179.150] Sep 24 15:26:35 mailserver postfix/smtpd[13369]: Anonymous TLS connection established from shenron.openstreetmap.org[89.16.179.150]: TLSv1 with cipher AES256-SHA (256/256 bits) Sep 24 15:26:35 mailserver postfix/smtpd[13369]: NOQUEUE: filter: RCPT from shenron.openstreetmap.org[89.16.179.150]: <talk-de-bounces(a)openstreetmap.org>: Sender address triggers FILTER amavis:[127.0.0.1]:10024; from=<talk-de-bounces(a)openstreetmap.org> to=<empfaenger(a)domain.tld> proto=ESMTP helo=<shenron.openstreetmap.org> Sep 24 15:26:36 mailserver cbpolicyd[14681]: module=CheckSPF, action=pass, host=89.16.179.150, helo=shenron.openstreetmap.org, from=talk-de-bounces(a)openstreetmap.org, to=empfaenger(a)domain.tld, reason=spf_pass Sep 24 15:26:36 mailserver cbpolicyd[14681]: module=Greylisting, action=pass, host=89.16.179.150, helo=shenron.openstreetmap.org, from=talk-de-bounces(a)openstreetmap.org, to=empfaenger(a)domain.tld, reason=authenticated Sep 24 15:26:36 mailserver postfix/smtpd[13369]: 4C5B13FE8183: client=shenron.openstreetmap.org[89.16.179.150] Sep 24 15:26:36 mailserver postfix/cleanup[14835]: 4C5B13FE8183: message-id=<mailman.20727.1316870777.26453.talk-de(a)openstreetmap.org> Sep 24 15:26:37 mailserver postfix/qmgr[2498]: 4C5B13FE8183: from=<talk-de-bounces(a)openstreetmap.org>, size=16063, nrcpt=1 (queue active) Sep 24 15:26:37 mailserver postfix/smtpd[13369]: disconnect from shenron.openstreetmap.org[89.16.179.150] Sep 24 15:26:40 mailserver postfix/smtpd[14845]: connect from localhost[127.0.0.1] Sep 24 15:26:40 mailserver postfix/smtpd[14845]: 920E33FE83E9: client=localhost[127.0.0.1] Sep 24 15:26:40 mailserver postfix/cleanup[14835]: 920E33FE83E9: message-id=<mailman.20727.1316870777.26453.talk-de(a)openstreetmap.org> Sep 24 15:26:40 mailserver postfix/smtpd[14845]: disconnect from localhost[127.0.0.1] Sep 24 15:26:40 mailserver postfix/qmgr[2498]: 920E33FE83E9: from=<talk-de-bounces(a)openstreetmap.org>, size=16756, nrcpt=1 (queue active) Sep 24 15:26:40 mailserver amavis[3506]: (03506-10) Passed, <talk-de-bounces(a)openstreetmap.org> -> <empfaenger(a)domain.tld>, quarantine fKdKuJjTlqmD, Message-ID: <mailman.20727.1316870777.26453.talk-de(a)openstreetmap.org>, Hits: -4.666 Sep 24 15:26:40 mailserver postfix/smtp[14838]: 4C5B13FE8183: to=<empfaenger(a)domain.tld>, relay=127.0.0.1[127.0.0.1]:10024, delay=4.8, delays=1.6/0.01/0/3.2, dsn=2.0.0, status=sent (250 2.0.0 from MTA([127.0.0.1]:10025): 250 2.0.0 Ok: queued as 920E33FE83E9) Sep 24 15:26:40 mailserver postfix/qmgr[2498]: 4C5B13FE8183: removed Sep 24 15:26:40 mailserver postfix/pipe[14750]: 920E33FE83E9: to=<empfaenger(a)domain.tld>, relay=maildrop, delay=0.08, delays=0.07/0/0/0.01, dsn=2.0.0, status=sent (delivered via maildrop service) Sep 24 15:26:40 mailserver postfix/qmgr[2498]: 920E33FE83E9: removed

5 14

[postfix-users] 1u1 root server grade offline
by Robert Schetterer 26 Sep '11

26 Sep '11

nur wens angeht , wir haben da 5 root server ( in div netzen/ips ) stehen die sind offline , laut support major incident -- Best Regards MfG Robert Schetterer Germany/Munich/Bavaria

2 2

[postfix-users] zusätzliche Spamfilterung aus aktuellem Anlass
by Martin Sebald 23 Sep '11

23 Sep '11

Hallo zusammen, wir gehen auf unserem Mailserver gegen Spam/Viren/Fishing mit Amavis, Clamav, Spamassassin, DNSBL (ix.dnsbl.manitu.net, sbl-xbl.spamhaus.org, dul.dnsbl.sorbs.net, spamcop.net) und Greylisting vor. Leider bekommen unsere Mailuser, ich bin auch betroffen, seit Monaten Mails, die zum Großteil durch den Spamfilter schlüpfen, einige Beispielabsender und Betreffs siehe unten. Unsere Default Spamassassin Policy liegt bei 3.5, auch ich habe dies eingestellt und finde den Wert auch ganz sinnvoll. Eventuell ist er das aber auch nicht mehr und man sollte hier anpassen. Ansonsten: Gibt es weitere zu empfehlende Antispamdinge, die wir noch implementieren sollten? Habe hier in der Liste und bei Google mal gesucht, aber ich denke, die Suchbegriffe waren schlecht gewählt oder zu allgemein. Vielleicht hat da jemand ein Stichwort für mich, an dem ich mich entlanghangeln kann. Danke und viele Grüße, Martin --- Beispielspam --- F. Faber <info(a)150jetzt.com> [Erinnerung] Überweisung der 150 Euro Andrea Bohn <andrea.bohn(a)hdtv-receiver-lieferung.com> [Erinnerung] Lieferung HDTV Receiver Sebald Claudia Kuhlmann <claudia.kuhlmann(a)tarifrabatte.com> [Erinnerung] Rechtsfolgen der Überprüfung Martin Sebald Andreas Abel <info(a)abel-koeln.com> [Erinnerung] Ihre 150 Euro Fabian Faber <fabian.faber(a)verdienen-ohne-einsatz.com> Daten für Zahlung, Nr. 4384232881 Fabian Faber <fabian.faber(a)zusatzeinkommen-verdienen.com> Daten für Gutschrift Nr. 81736836169

7 30

[postfix-users] Check und Meinungen zur postfix konfiguration
by Aleksandar Lazic 22 Sep '11

22 Sep '11

Hallo, wie in einer vorhergehend Mail angekündigt bitte ich euch um eure Meinungen zu der geposteten postfix Konfiguration. Habe das übliche postfix-sandwich gebaut smtpd->amavisd-new->smtpd ###postconf -n alias_database = hash:/etc/aliases alias_maps = hash:/etc/aliases append_dot_mydomain = no biff = no broken_sasl_auth_clients = no config_directory = /etc/postfix content_filter = amavisfeed:[127.0.0.1]:10024 disable_vrfy_command = yes home_mailbox = inet_interfaces = all # Brauch ich das wenn ich über transport dovecot ausliefere mailbox_command = procmail -a "$EXTENSION" mailbox_size_limit = 0 mydestination = external.none.at,lvps46-163-74-15.dedicated.hosteurope.de, localhost.dedicated.hosteurope.de, localhost myhostname = external.none.at mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128 myorigin = /etc/mailname readme_directory = no recipient_delimiter = - relayhost = smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache smtp_use_tls = yes smtpd_banner = $myhostname ESMTP smtpd_client_restrictions = check_client_access \ hash:/etc/postfix/client_restrictions smtpd_data_restrictions = reject_unauth_pipelining, permit smtpd_helo_required = yes smtpd_recipient_restrictions = reject_invalid_hostname, reject_non_fqdn_hostname, reject_non_fqdn_sender, reject_non_fqdn_recipient, reject_unknown_sender_domain, reject_unknown_recipient_domain, reject_unknown_client, reject_unknown_hostname, permit_mynetworks, reject_unauth_destination, check_recipient_access hash:/etc/postfix/recipient_checks, check_recipient_access pcre:/etc/postfix/recipient_checks.pcre, check_helo_access hash:/etc/postfix/helo_checks, check_sender_access hash:/etc/postfix/sender_checks, check_sender_access pcre:/etc/postfix/sender_checks.pcre, check_client_access hash:/etc/postfix/client_checks, check_client_access pcre:/etc/postfix/client_checks.pcre, reject_rbl_client zen.spamhaus.org, permit smtpd_sasl_auth_enable = no smtpd_sasl_authenticated_header = no smtpd_sasl_local_domain = smtpd_sasl_path = private/auth smtpd_sasl_security_options = noanonymous smtpd_sasl_type = dovecot smtpd_sender_restrictions = smtpd_tls_auth_only = no smtpd_tls_cert_file = /etc/ssl/certs/ssl-cert-snakeoil.pem smtpd_tls_key_file = /etc/ssl/private/ssl-cert-snakeoil.key smtpd_tls_mandatory_ciphers = medium smtpd_tls_mandatory_protocols = SSLv3, TLSv1 smtpd_tls_received_header = no smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache smtpd_use_tls = yes tls_random_source = dev:/dev/urandom virtual_alias_maps = mysql:/etc/postfix/mysql-virtual-alias-maps.cf virtual_gid_maps = static:5000 virtual_mailbox_base = /var/vmail/ virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual-mailbox-domains.cf virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual-mailbox-maps.cf virtual_transport = dovecot virtual_uid_maps = static:5000 ### ###master.conf ...standard submission inet n - - - - smtpd -o smtpd_tls_security_level=encrypt -o smtpd_sasl_auth_enable=yes -o smtpd_client_restrictions=permit_sasl_authenticated,reject -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject -o milter_macro_daemon_name=ORIGINATING ...standard #amavis part amavisfeed unix - - n - 2 smtp -o smtp_data_done_timeout=1200 -o smtp_send_xforward_command=yes -o disable_dns_lookups=yes -o max_use=20 127.0.0.1:10025 inet n - n - - smtpd -o content_filter= -o smtpd_delay_reject=no -o smtpd_client_restrictions=permit_mynetworks,reject -o smtpd_helo_restrictions= -o smtpd_sender_restrictions= -o smtpd_recipient_restrictions=permit_mynetworks,reject -o smtpd_data_restrictions=reject_unauth_pipelining -o smtpd_end_of_data_restrictions= -o smtpd_restriction_classes= -o mynetworks=127.0.0.0/8 -o smtpd_error_sleep_time=0 -o smtpd_soft_error_limit=1001 -o smtpd_hard_error_limit=1000 -o smtpd_client_connection_count_limit=0 -o smtpd_client_connection_rate_limit=0 -o receive_override_options=no_header_body_checks,no_unknown_recipient_checks,no_milters -o local_header_rewrite_clients= -o syslog_name=amavis-postfix #amavis part end dovecot unix - n n - - pipe flags=DRhu user=vmail:vmail argv=/usr/lib/dovecot/deliver -f ${sender} -d ${user}@${nexthop} -a ${recipient} ### Ich würde gerne die nicht benutzen delivery methoden ifmail, bsmtp, scalemail-backend, mailman, uucp, maildrop auskommentiern, sollte ja keine negativen Auswirkungen habe, oder? @postscreen bin ich noch am lesen von http://www.postfix.org/POSTSCREEN_README.html um zu entscheiden welche Einstellungen ich genau haben will. Vielen dank im voraus für eure Meinung. LG Aleks

2 4

[postfix-users] mehr als eine check_recipient_access type:table kombi
by Aleksandar Lazic 22 Sep '11

22 Sep '11

Hallo, kann ich mehrals eine lookup table für check_*_access nehmen? Meine versuche mit 2 Zeilen check_recipient_access und mit 2 Einträgen mittels leerzeichen getrennt hat leider nicht funktioniert. smtpd_recipient_restrictions = ... check_recipient_access hash:/etc/postfix/recipient_checks \ pcre:/etc/postfix/recipient_checks.pcre MfG Aleks

3 3

[postfix-users] Externe Adressen autom. sperren
by Benjamin Fromme 17 Sep '11

17 Sep '11

Hallo Liste, letzte Nacht hat einer unserer Kunden mehrere hundert E-Mails, an eine nicht existente Adresse bei T-Online gesendet. Aus diesem Grund hat T-Online dann freundlicherweise unsere Relays für 24 Stunden gesperrt, was unsere anderen Kunden natürlich nicht besonders gefreut hat... Daher meine Frage: Gibt es eine Möglichkeit eine externe Adresse, nach einer bestimmten Anzahl an Fehlversuchen, bereits zu blocken, bevor es zu weiteren Zustellungsversuchen kommt? Vielen Dank im voraus! MfG BF

3 5

[postfix-users] von qpsmtpd regeln auf postfix setup umstellen
by Aleksandar Lazic 15 Sep '11

15 Sep '11

Hallo, ich nutze derzeit den qpsmtpd als spam und antivirus filter, dieser liefert an den courier-mta (smtpd) aus. Der MDA (maildrop) ruft den amavis auf um nochmals zu scannen und zu filtern. Dies ist ein recht kompliziertes setup welches ich vereinfachen möchte. Meine Idee ist es auf postfix+amavisd-new+dovecot zu wechseln. 1.) Hürde qpsmtpd setup auf postfix moven. a.) Sollte ich den qpsmtpd lassen und nur auf den postfix weiterleiten oder b.) Die configuration vom qpsmtpd auf den postfix heben. Ich tendiere zu b. Hoffe dass ihr mir helfen könnt bei der migration. Bin mir nicht sicher ob ich nicht gleich auf den postscreen wechseln soll? Ist eine relativ lange Liste, habe auch gleich die links zu den plugins hinzugefügt, ich vermute dass nicht viele den qpsmtpd hier einsetzen ;-) ### qpsmtp plugin: hosts_allow http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/hosts_allow;h=ca4… postfix setting: smtpd_client_connection_count_limit=15 smtpd_client_connection_rate_limit=5 ## qpp: check_earlytalker http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_earlytalker… pfs: smtpd_helo_required=yes ## qpp: dont_require_anglebrackets http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/dont_require_angl… pfs: strict_rfc821_envelopes=no < default ## qpp: http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/count_unrecognize… pfs: smtpd_junk_command_limit= 10 ??? => gibt es sowas ähnliches im postfix ## qpp: require_resolvable_fromhost http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/require_resolvabl… pfs: smtpd_client_restrictions = reject_unknown_client_hostname ## qpp: check_badmailfrom & check_badmailfrom_patterns & check_badrcptto_patterns & check_badrcptto http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_badmailfrom… http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_badmailfrom… http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_badrcptto;h… http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_badrcptto_p… pfs: header_checks=pcre:... ## qpp: dnsbl http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/dnsbl;h=48df98ff8… pfs: reject_rbl_client ... ## qpp: check_loop 50 http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_loop;h=95ca… pfs: Braucht man dass beim Postfix? welche Einstellung ist das? ## qpp: virus/clamdscan clamd_conf=/etc/clamav/clamd.conf max_size=40894464 pfs: amavisd-new ## qpp: spamassassin munge_subject_threshold 8 reject_threshold 10 pfs: amavisd-new ## Vielen Dank dass du bisher gelesen hast ;-). Natüerlich ist dass nicht alles aber primär das was ich beim qpsmtpd eingestellt habe. Ich werde auch einige einstellungen von http://www.postfix.org/docs.html => UCE/Virus übernehmen. Freu mich schon auf euer feedback. LG Aleks

4 10

[postfix-users] temporär alle E-Mails abweisen
by Tobias Hachmer 15 Sep '11

15 Sep '11

Hallo Liste, mich würde interessieren wie man es am Besten anstellt, dass für einen gewissen Zeitraum alle E-Mails temporär abgewiesen werden. Ich habe eine Maschine, auf der Postfix+Dovecot läuft, dass allerdings schon etwas betagt ist. Parallel will ich ein neues System aufsetzen. So, für die Zeit der MailboxMigration möchte ich sicherstellen, dass keine Mails mehr vom alten System angenommen werden. Wenn die Migration erfolgt ist setze ich die MX-Records neu. Wie kann man das am Besten lösen? Postfix Daemon stoppen? Oder gibt es eine Config Direktive, die bewirkt, dass alle Mails temporär abgewiesen werden? Gruß, Tobias

3 5

Re: [postfix-users] zusätzliche Spamfilterung aus aktuellem Anlass
by Jogie＠quantentunnel.de 13 Sep '11

13 Sep '11

Hallo, >> > Das steht bei mir in der client-blocklist von Postfix dazu: >> > # Aquatix Spam Netzwerk AS25489 08/2010 >> > # u.a. mit Kunden aus Belize, Antigua etc. >> > 62.93 450 AQUATIX Spam Netzwerk!!! >> > 46.35 450 AQUATIX Spam Netzwerk!!! >> >> Ah sehr gut, danke, direkt eingebaut. :-) Über eine whois -T route -i origin "AS25489" | grep "^route: " werden gleich noch mehr Netze ausgegeben. Blockt ihr die auch alle, oder kommt der ganze SPAM von den beiden hier genannten? Gruß Jörg

2 1

[postfix-users] ix.dnsbl.manitu.net
by Robert Schetterer 06 Sep '11

06 Sep '11

Hi, ich hab derzeit ein paar Sep 6 09:10:55 mail01 postfix/smtpd[6696]: warning: 211.189.238.77.ix.dnsbl.manitu.net: RBL lookup error: Host or domain name not found. Name service error for name=211.189.238.77.ix.dnsbl.manitu.net type=A: Host not found, try again im log wie siehts bei euch aus? -- Best Regards MfG Robert Schetterer Germany/Munich/Bavaria

4 5