- postfix-users - list.sys4.de

DKIM konforme Mailing-Listen
by Tobias Hachmer 05 Aug '15

05 Aug '15

Hallo Liste, habe die beiden Blog-Einträge auf blog.sys4.de gelesen und versuche grade eine DKIM-konforme Mailing Liste zu konfigurieren. Mailman Version 2.1.20 Die entsprechenden Direktiven in der mmcfg.py sehen so aus: --- # The following is a three way setting. It sets the default for the list's # from_is_list policy which is applied to all posts except those for which a # dmarc_moderation_action other than accept applies. # 0 -> Do not rewrite the From: or wrap the message. # 1 -> Rewrite the From: header of posts replacing the posters address with # that of the list. Also see REMOVE_DKIM_HEADERS above. # 2 -> Do not modify the From: of the message, but wrap the message in an outer # message From the list address. DEFAULT_FROM_IS_LIST = 1 ALLOW_FROM_IS_LIST = Yes # Do not break existing DKIM signatures DEFAULT_SUBJECT_PREFIX = "" DEFAULT_MSG_HEADER = "" DEFAULT_MSG_FOOTER = "" --- Leider meckert mein Mail-Server immernoch, dass die erste DKIM-Signatur nicht mehr korrekt sei und die Mail verändert wurde. Da stehe ich aktuell auf dem Schlauch. Des Weiteren ist mir aufgefallen, dass hier auf der Liste der From-Header nicht mehr "Autor via Listenname" lautet sondern nur den ursprünglichen Autor enthält. Warum ist das so und die DKIM-Signaturen sind trotzdem korrekt? Viele Grüße, Tobias P.S.: Anbei ein Beispiel eines Header einer Mail meiner Liste: Authentication-Results: winnetou.kokelnet.de (amavisd-new); dkim=pass (2048-bit key) header.d=lists.freifunk-mwu.de header.b=gVoLtNo9; dkim=fail (1024-bit key) reason="fail (message has been altered)" header.d=hachmer.de header.b=mTQwAKes DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d= lists.freifunk-mwu.de; h=reply-to:from:from:list-subscribe :list-help:list-post:list-archive:list-unsubscribe:list-id :precedence:content-type:content-type:mime-version:user-agent :date:date:message-id:subject:subject:received:received:received :received:received:received:received:received:received; s= mail201507; t=1438710780; x=1440525181; bh=No13gESS3ijjWw4vdYwTT 749sVehetUqcGudn0DUXcI=; b=gVoLtNo9zsIAGXBq1MRVWZGMr6bM+e2UW/3x3 tL/Ud3BgPz2pHlDH3c9RydaT/TedkpMoQ3Q9L73QoLeF4IkPu+EXV1UbDImcfiQP OwZ/uaz9pN+41iACfZq49WApMsjiM8mk6Jycl9vMejY4p1RBfJwD1B+emVivfmXZ 2ODZkAy1LbZbyhCruum2xY3hP94adMyLb66U2TW6f9m4m3/8f25Rhjeail4XhxE6 FHeRMf26YnL628Sn1Gbut3Kkn7MSmJO6HNmR90X4nJI4R0nzM+YzMlbsZjcFUsHU rWH5/UZJp3ZL4VNaGDiX02yZEV9hHNId/vm5tl+ngONs8eyjw== DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=hachmer.de; h= content-type:content-type:mime-version:user-agent:date:date :message-id:subject:subject:from:from:received:received :received; s=d1024; t=1438710777; x=1440525178; bh=No13gESS3ijjW w4vdYwTT749sVehetUqcGudn0DUXcI=; b=mTQwAKesMfgjATTYbCfIKM6w3TCuC iyZZ2FECgV1KNBxOMduHh9SNb2wyMacEymb7hZKoHETG52G3sDMHM1zzujgG31X9 2z7S+WXN+YtdcNqmRBlKqCf42XydI/LIqvzhSUiDuxSUM1GZ/Jf8O9tK4yuUDUuW +DEErLQXl6i248= To: admin(a)lists.freifunk-mwu.de Subject: test X-Mailman-Version: 2.1.20 From: Tobias Hachmer via Admin <admin(a)lists.freifunk-mwu.de> Reply-To: Tobias Hachmer <tobias(a)hachmer.de>

3 6

Client IP im Transportheader unterdrücken wenn SASL authentisiert
by Peter Heitzer 03 Aug '15

03 Aug '15

Ist es in Postfix möglich, die Client IP im Header zu unterdrücken, wenn der Client sich mit SASL authentisiert hat. Beispiel für einen Header: Return-path: <xxx.yyy(a)mydomain.de> Received: from mymta(a)mydomain.de ([IP meines MTA]) by relay(a)mydomain.de with ESMTP; Mon, 03 Aug 2015 16:27:10 +0200 Received: from mymta(a)mydomain.de (localhost [127.0.0.1]) by localhost (Postfix) with SMTP id 05EA864F2 for <xxx.yyy(a)mydomain.de>; Mon, 3 Aug 2015 16:27:10 +0200 (CEST) Received: from pcxyz(a)jwd.de (pcyyz(a)jwd.de [IP von pcxyz(a)jwd.de]) (using TLSv1 with cipher AES128-SHA (128/128 bits)) Die letzte Received: Zeile von pcxyz(a)jwd.de soll unterdrückt werden. Hintergrund ist folgender: Wir haben auf unseren MTAs Sophos PureMessage im Einsatz. Bei unserer Spampolicy prüfen wir eingehende Mails von authentisierten Clients nur auf Viren. Wenn nun aber die Mail im TO oder CC an Empfänger außerhalb geht und die IP-Adresse des Clients ist blackgelistet, dann würde u.U. die Mail beim Empfänger als Spam eingestuft. Wir wollen aber, daß die Mail so aussieht, als käme sie von unserer Domain. Ist soetwas einfach möglich? Ich persönlich halte den Eintrag mit der Client IP für sinnvoll bei evtl. Fehleranalysen, aber von oberster Stelle ist es so gewünscht.

2 1

smtpd_helo_restrictions
by Lars Täuber 30 Jul '15

30 Jul '15

Hallo zusammen, wie ist das mit den helo restrictions? Bei unseren MX hosts habe ich folgende Restriktionen eingeschaltet: smtpd_helo_required = yes smtpd_helo_restrictions = reject_invalid_helo_hostname reject_non_fqdn_helo_hostname permit_mynetworks reject_unknown_helo_hostname Ich kenne die RFCs nicht. Deshalb die Frage, ob diese Einstellungen zu streng sind? Was ist hierzu die best practice? Es gibt folgende Logs: NOQUEUE: reject: RCPT from mail.xarapalace.com.mt[195.158.101.82]: 450 <CSWXARA-DMZ.cswxara.net>: Helo command rejected: Host not found; from=<XXXXX(a)xarapalace.com.mt> to=<YYYYY(a)bbaw.de> proto=ESMTP helo=<CSWXARA-DMZ.cswxara.net> Es wird jedoch eine Antwort auf eine dorthin erfolgreich gesendete Mail erwartet. Dank und Grüße Lars

1 0

DNS & MX
by Lars Täuber 29 Jul '15

29 Jul '15

Hallo zusammen, leider bin ich kein DNS Experte, deshalb hier eine kurze Frage: Muss der MX host für eine Domäne im gleichen Namensraum wie die Domäne selbst sein? Oder geht auch soetwas: # host globalyoungacademy.net globalyoungacademy.net has address 185.21.102.180 globalyoungacademy.net mail is handled by 20 mx2.bbaw.de. globalyoungacademy.net mail is handled by 10 mail.bbaw.de. web.de und GMX akzeptieren das ohne Probleme. Allerdings gibt es auch solche Fehlermeldungen in den Logs: NOQUEUE: reject: RCPT from smtp.ug.edu.gh[197.255.124.93]: 450 <YYYYY(a)ug.edu.gh>: Sender address rejected: undeliverable address: host ugmsrv.ug.edu.gh[197.255.124.93] said: 550 Sender domain <mail.bbaw.de> has no DNS MX entry (in reply to MAIL FROM command); from=<YYYYY(a)ug.edu.gh> to=<XXXXX(a)globalyoungacademy.net> proto=ESMTP helo=<ugmsrv.ug.edu.gh> Hat das einen Zusammenhang? Danke und Grüße Lars

3 3

Postfix SMTP Auth + LDAP - Absender prüfen
by Stephan Jacob 27 Jul '15

27 Jul '15

Hallo Postfix-Runde, ich betreibe ein ausgehendes Relay mit SMTP Auth. Ferner haben wir eine LDAP Nutzerdatenbank, die alle Accounts und Mail-Aliase zu einem Account beinhaltet. Dabei hat jeder Account eine "Haupt-Mailadresse" und er kann noch x-beliebige weitere Aliase haben die dann im LDAP zugeordnet sind. Auf dem ausgehenden Relay, wo die Nutzer sich mit Accountnamen und Passwort authentifizieren, möchte ich nur Mails durchlassen, wo der Absender ein Alias (oder die Haupt-Mailadresse) des Accounts ist, mit welchem sich authentifiziert wird. Wie setze ich das in Postfix um? Es gibt ja den Parameter smtpd_sender_login_maps. Ist das der richtige Weg? Wie kann ich da das LDAP anbinden und wie müsste dann die LDAP-Konfiguration aussehen, damit ich dort prüfen kann, dass der Absender der Mail auch zum Account passt? Muss ggf. noch andere Postfix Parameter setzen? Ich habe bereits das LDAP im Relay eingebunden, damit ich die Mails die intern versendet werden korrekt routen kann. D.h. wenn über das Ausgangsrelay Uni-intern gesendet wird, wird die Mail gleich auf dem Ausgangsrelay an den enspr. Account auf dem Postbox-Server weitergeleitet. Ich benutze dazu folgende ldap.conf die über den Parameter virtual_alias_maps = ldap:/etc/postfix/ldap.conf eingebunden ist: bind = yes bind_dn = cn=ZYXWU,ou=Hosts,dc=uni-magdeburg,dc=de bind_pw = ABCDEFGHIJKLMNOP version = 3 timeout = 20 size_limit = 1 expansion_limit = 0 server_host = ldap://ldap3.ovgu.de, ldap://ldap2.ovgu.de search_base = ou=people,dc=uni-magdeburg,dc=de query_filter = (mailLocalAddress=%s) result_attribute = mailForwardingAddress debuglevel = 0 VG Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

2 1

smtp_tls_policy_maps und backup MX
by django＠nausch.org 16 Jul '15

16 Jul '15

HI Patrick, HI all! Mit der Postfix-Option smtp_tls_policy_maps kann ich ja für beliebige Ziel-Domains eine abweichende Gewichtung bei der nötigen TLS-Verschlüsselung erreichen.(1) Das Ganze funktioniert ja soweit recht einfach und gut - wenn, und jetzt kommt die Einschränkung - wenn es eine Zieldomäne ohne Backup-MX betrifft. Wie, was ich da meine? O.K. ich erklär es mal an einem Beispiel. Fall 1: ======= Die Domäne example.edu hat nur einen MX-Record mit Namen mx01.example.edu Auf meinem Mailserver habe ich nur definiert: /etc/postfix/main.cf: smtp_tls_policy_maps = hash:/etc/postfix/tls_policy_maps /etc/postfix/tls_policy: example.edu encrypt Versucht nun mein MX eine eMail bei mx01.example.edu abzuliefern, macht er das nur, wenn eine trusted TLS-Connection zu mx01.example.edu zu Stande kommt. Kann keine TLS-Verbindung hergestellt werden, wir die eMail gequeuet mit all den Folgen. Also entweder wird solange versucht die Mail zuzustellen, bis auch eine TLS-Verbindung zu Stande kam, oder sie wird gebounced. Also hier stimmt dier Erwartung mit dem Ergebnis 100% überein. Fall2: Die Domäne example.com hat nicht nur einen MX-Record sondern 2! example.com. 86400 IN MX 10 mx01.example.com. example.com. 86400 IN MX 20 mx01.example.net. Die Domäne hat also eine Haupt MX und als Backup-MX fungiert der Mailserver mx01.example.com. Auf meinem Mailserver habe ich nur definiert: /etc/postfix/main.cf: smtp_tls_policy_maps = hash:/etc/postfix/tls_policy_maps /etc/postfix/tls_policy: example.com encrypt example.net encrypt Dann versuchen wir doch mal ein paar eMails zu verschicken: Test1: Klappt das mit der TLS-Verschlüsselung, wird die eMail brav zugestellt, im Idealfall an den Server mit der niedrigeren Priiorität, in dem Beispiel also mx01.example.com Test2: Beim Server mx01.example.com klappt die TLS-Verbindung warum auch immer nicht. Was erwarten wir? Na, die Nachricht soll auf dem zweiten MX mx01.example.net mit der Priorität 20 zugestellt werden. Das macht der Server auch und schickt die Nachricht dann via TLS (mx01.example.net hat als Standard smtpd_tls_security_level = may gesetzt) an mx01.example.net Test3: Unser eigener Server (Client) soll laut Definition mit den Zielservern von example.com und example.net nur über eine verschlüsselte Verbindung kommunizieren und versucht nun eine eMail an ceo(a)example.com zu senden. Laut MX-Record im DNS weiss mein Server, dass er als erstes sein Glück beim Server mx01.example.com versuchen soll. Leider klappt die TLS-Verbindung nicht, also wir mein Serveres wo versuchen? Genau beim Backup-MX. Leider klappt dort der TLS-Handshake auch nicht. Tja was erwarten wir? Die Nachricht wird zurückbehalten und an einem der beiden zuständigen MXe zugestellt, sobald der TLS-Kanal zu stande kommt- dauerts zu lange wird gebounced. Was passiert? <trommelwirbel> die Nachricht wird von meinem MX beim backup-MX mx01.example.net *ohne* TLS-Verbindung zugestellt! *möp* Also passiert genau das, was wir nicht wollten, die Nachricht wird unverschlüsselt übertragen, genau das, was wir mit der Konfiguration von smtp_tls_policy_maps eigentlich verhindern wollten. :/ So und nun ist der große Meister dran. Wie kann ich meinem Postfix-Client zwingen, bei gesetzter zwingenden TLS-Verschlüsselung auch wirklich nur zu senden, wenn der TLS-Channel auch wirklich zur Verfügung gestellt und das gleichgültig auf welchen MXer ich rauskomme? Any idea? Ich für meinen Teil, steh erst mal etwas arg ratlos da! Servus Django (1) http://www.postfix.org/postconf.5.html#smtp_tls_policy_maps -- http://dokuwiki.nausch.org http://wetterstation-pliening.info http://ebersberger-liedersammlung.de

2 1

Frage zur Spamabwehr ....
by Stefan Weber 12 Jul '15

12 Jul '15

Hallo, seit in der main.cf unter smtpd_recipient_restrictions die check_sender_access hash:/etc/postfix/sender_access, check_client_access cidr:/etc/postfix/client_access, werkeln, wird schon einiges abgefangen. Der durchgelassene Spam wird trotzdem nicht weniger, weil immer neue IP's auftauchen. Die Anzahl der SpamMails die durchkommen, bleiben ungefähr gleich, so um die 50 über 1-2 Tage. Aufbau und Inhalt lassen die Vermutung aufkommen, dass da der/die gleichen Versender zu Werke sein könnten, was der weiteren Idee Nahrung gibt, dass die IP's der vermeintlich absendenden Server gefakt (gespooft) sein könnten. Gibt es in Postfix eine einfache Methode zu validieren, ob die IP im Header und der tatsächlichen Server identisch sind? Vielen Dank für die Antworten im Voraus !!! Stefan

5 5

Erzwingen von Fehler 550 an Stelle von Warnung 450
by Walter H. 10 Jul '15

10 Jul '15

Hallo, kann mir jemand bitte verraten wie ich bei Postfix erzwinge, daß er an Stelle eines 450 einen 550 liefert? hier meine main.cf: http://pastebin.com/3Fvb6WXy und mit telnet localhost 25 passiert das: [root@filter ~]# telnet localhost 25 Trying ::1... Connected to localhost. Escape character is '^]'. 220 filter.local ESMTP Postfix (2.6.6) ehlo filter.local 250-filter.local 250-PIPELINING 250-SIZE 20972032 250-VRFY 250-ETRN 250-ENHANCEDSTATUSCODES 250 8BITMIME mail from: <Rybansunglasses(a)fitdomesticcompany.com> 250 2.1.0 Ok rcpt to: <walter(a)filter.local> 450 4.1.8 <Rybansunglasses(a)fitdomesticcompany.com>: Sender address rejected: Domain not found und genau hier benötige ich an Stelle des 450-Fehlers einen 550 Fehler, nur wie? mein main.cf (http://pastebin.com/3Fvb6WXy) hat so ziemlich alle reject-codes auf 550 gesetzt, nur woher kommt dieser 450? Danke im voraus. -- Mit freundlichen Grüßen, Ing. Walter Höhlhubmer [e-Mail: walter.h(a)mathemainzel.info]

3 10

Email mit txt und html wie txt darstellen wenn Tabelleninformationen
by Thomas 29 Jun '15

29 Jun '15

Hallo, ich weiß nicht ob ich hier richtig bin, aber es ist auch ein aktuelles Problem des Emailversands. Ich habe in einer Email Informationen darzustellen. Das geht am besten in einer ganz einfachen Tabelle mit zwei Spalten. Bei HTML ist das alles kein Problem. Man nimmt eine einfache Tabelle und fertig. Im txt Modus schreibe ich: "Eine Anzeige dieser E-Mail ist nur als HTML möglich." Mehr und mehr Leute möchten allerdings die Informationen auch im reiner txt Form lesen. Wie stelle ich da Tabelleninformationen da, so etwa: bezeichner: information bezeichneranders: info oder soll man Leerzeichen zum auffüllen benutzen bezeichner: information bezeichneranders: info Gruss Thomas

3 3

ANN: DNSSEC-Day - 1,5 Jahre Erfahrung mit DNSSEC und DANE im Videostream
by Patrick Ben Koetter 25 Jun '15

25 Jun '15

Postfix Users! Am kommenden Dienstag, den 30. Juni, veranstalten Heise, BSI und DENIC den DNSSEC-Day auf http://heise.de/netze/dnssec-day. Carsten (Strotmann) und ich werden als DNSSEC- und DANE-Experten mit dabei sein. Von 12 bis 18 Uhr sind wir alle im Video Livestream und beantworten Fragen rund um DNSSEC und DANE. Der Nachmittag teilt sich in vier Blöcke: DNSSEC Wofür man die Technik braucht, wie sie in Grundzügen funktioniert Anwendersicht Wie setzen Clients DNSSEC ein, welche Provider und DNS-Server sind ratsam Administratoren Eigene Domäne absichern, Registrare finden, Fallstricke vermeiden DNSSEC als Plattform Wofür sich DNSSEC zusätzlich eignet: Openpgpgkey, SMIME/A, SSH Fingerpring, IPSec Um die Themen herum haben wir Screencasts vorbereitet, die z.B. die Aktivierung eines DNSSEC-fähigen Resolvers auf verschiedenen Plattformen demonstrieren. Eine Liste mit Links zu deutschen DNSSEC-Registraren wird es (endlich) auch geben... Nur um noch ein weiteres FAQ zu nennen, das wir in den letzten 1,5 Jahren DANE Evangelismus immer wieder gehört haben. Weitere Details zum Programm hat heise Netze in seinem Artikel "Am 30. Juni ist DNSSEC-Day" <http://www.heise.de/netze/meldung/Am-30-Juni-ist-DNSSEC-Day-2723932.html> zusammengestellt. Ich hoffe, ihr schaut rein. Wir haben die Veranstaltung absichtlich in Admin-freundliche Uhrzeiten hineingelegt. Wir freuen uns auf neugierige Fragen! p@rick -- [*] sys4 AG https://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0