- postfix-users - list.sys4.de

sender_bcc_maps nur bei Versand über Relayhost
by Frank Ebert 21 Apr '15

21 Apr '15

Moin, folgendes Szenario: Ich habe als relay_domains folgende Ziele konfiguriert: domain1.de lmtp:unix:private/lmtp-dovecot domain2.de lmtp:unix:private/lmtp-dovecot Der Rechner versendet seine (externen) Mails über einen Relayhost (sender_dependent_relayhost_maps). Alle Mails, die ich selbst an @domain1.de oder @domain2.de sende, werden also nicht über den Relayhost verschickt, sondern über den lokalen Dovecot. Nun soll Postfix für alle Mails, die über den Relayhost verschickt werden eine bcc-Mail erstellen. Meine Idee war nun dies über sender_bcc_maps in der master.cf zu lösen. Hierfür habe ich der Zeile smtp inet n - n - - smtpd die folgende Option mitgegeben: -o cleanup_service_name=cleanup_smtp und cleanup_smtp wie folgt konfiguriert: cleanup_smtp unix n - n - 0 cleanup -o sender_bcc_maps=hash:/usr/local/etc/postfix/sender_bcc_maps Danach werden auch bcc-Mails erstellt. Jedoch nicht nur für die Mails, die über den Relayhost verschickt werden, sondern auch die Mails, die über lmtp-dovecot verschickt werden. Wo ist mein Denkfehler? Wie kann ich mein Vorhaben umsetzen? Gibt es "schönere" Wege? Vielen Dank! Frank

1 1

Welches Postfix-Timeout ist für smtpd_recipient_restrictions Scripte zuständig?
by Benedikt Schindler 14 Apr '15

14 Apr '15

Hallo, ich habe bei 2 Domains die bei mir Mails einliefern wollen ein Timeout-Problem. Die Server verbinden sich, senden mir ihre RCPT-To Daten, und dann überprüft ein SPF-Script ob alles korrekt ist. Nach 3 Minuten 30 Sekunden bricht unser Server wegen Timeout ab. Nach 5 Miniuten bekommt er die Antwort vom SPF-Script. 1.) Ich weiss dass der eigentliche Hauptgrund für das Timeout eine wahnsinnig langsame SPF auflösung bei diesen beiden speziellen Domains ist. 2.) Aber ich verstehe nicht welches Postfix-Timeout dafür zuständig ist für den Abbruch. So wie ich die Parameter command_time_limit und policy-spf_time_limit verstehe müsste er mindestens 16 Minuten warten und bei SPF sogar unglaubliche 60 Minuten. Welches Timeout übersehe ich, oder welches Timeout verstehe ich falsch? Gruß Benedikt Postconf: command_time_limit = 1000s policy-spf_time_limit = 3600s smtp_data_init_timeout = 120s smtp_mail_timeout = 300s smtp_rcpt_timeout = 300s Log des Einlieferungsversuchs: 2015-04-12T15:35:43.452512+02:00 s16510537 postfix/smtpd[30673]: connect from mail-bn1bon0090.outbound.protection.outlook.com[157.56.111.90] 2015-04-12T15:35:43.890736+02:00 s16510537 postfix/smtpd[30673]: Anonymous TLS connection established from mail-bn1bon0090.outbound.protection.outlook.com[157.56.111.90]: TLSv1.2 with cipher ECDHE-RSA-AES256-SHA384 (256/256 bits) 2015-04-12T15:35:53.898612+02:00 s16510537 postgrey[27193]: action=pass, reason=triplet found, client_name=mail-bn1bon0090.outbound.protection.outlook.com, client_address=157.56.111.90, sender=[...](a)starwoodhotels.com, recipient=[...](a)owayo.com 2015-04-12T15:39:15.062377+02:00 s16510537 postfix/smtpd[30673]: NOQUEUE: reject: RCPT from mail-bn1bon0090.outbound.protection.outlook.com[157.56.111.90]: 451 4.3.5 Server configuration problem; from=<[...](a)starwoodhotels.com> to=<[...](a)owayo.com> proto=ESMTP helo=<na01-bn1-obe.outbound.protection.outlook.com> 2015-04-12T15:39:15.215569+02:00 s16510537 postfix/smtpd[30673]: disconnect from mail-bn1bon0090.outbound.protection.outlook.com[157.56.111.90] 2015-04-12T15:40:00.501212+02:00 s16510537 postfix/policy-spf[30675]: : Policy action=PREPEND Received-SPF: none (starwoodhotels.com: No applicable sender policy available) receiver=s16510537.onlinehome-server.info; identity=mailfrom; envelope-from="[...](a)starwoodhotels.com"; helo=na01-bn1-obe.outbound.protection.outlook.com; client-ip=157.56.111.90 2015-04-12T15:41:40.049505+02:00 s16510537 postfix/policy-spf[30709]: : Policy action=PREPEND Received-SPF: none (starwoodhotels.com: No applicable sender policy available) receiver=s16510537.onlinehome-server.info; identity=mailfrom; envelope-from="[...](a)starwoodhotels.com"; helo=na01-bn1-obe.outbound.protection.outlook.com; client-ip=157.56.111.90 2

3 3

Transport Load Balancing/Fallback
by Frost, Christian 13 Apr '15

13 Apr '15

Hallo, ich stehe vor folgender Aufgabe und weiss hier leider nicht wie ich diese loesen kann. Ich habe zwei externe Mailserver (mail1.domain.tld,mail2.domain.tld) diese sind fuer den ein und ausgehenden Mailverkehr zustaendig. Zusaetzlich habe ich ein internes Mailsystem/Mailrelay mit Postfix welches Scans usw. vornimmt und abschliessend einen internen Postfach Server wo alle Mailkonten liegen. mail1.domain.tld \ <-> postfix-relay.domain.intern <-> postfachsrv.domain.intern mail2.domain.tld / Auf dem Postfix System ist eine Transport Map vorhanden in folgender Form: * smtp:mail1.domain.tld sub1.domain.intern smtp:postfachsrv.domain.intern sub2.domain.intern smtp:postfachsrv.domain.intern Nun gibt es fuer mail1.domain.tld einen A Record der genau eine IP zurueck liefert. Meine Aufgabe ist es nun das der Postfix Server Mails mit dem Ziel "*" nicht nur an mail1.domain.tld sendet, sondern im Fehlerfall an mail2.domain.tld. Am schoensten waere es natuerlich wenn es nicht nur die Moeglichkeit eines Fallback gibt sondern das der Postfix Server die Mails auf beide Systeme verteilt. Ich wollte hier eigentlich keinen zusaetzlichen Server in die Kette als Loadbalancer aufnehmen. Die Loesung den gleichen A Record mit unterschiedlichen IPs anzulege , um DNS round robin zu ermoeglichen, finde ich nicht wirklich brauchbar. Gibt es hier auch andere Moeglichkeiten, dies realisieren? Gruss Christian

4 6

howto Postfix und Dovecot?
by "Mathias Hägele" 10 Apr '15

10 Apr '15

Hallo, möchte meinen Mailserver wieder zum Leben erwecken ... Deshalb die Frage in die Runde: Kennt jemand ein gutes Howto für Postfix mit Dovecot bzw. gute auch gerne Grundlagen-Ressourcen hauptsächlich im Hinblick auf Dovecot. (Das Dovecot Wiki ist imho nicht schlecht aber teilweise widersprüchlich z.B. meckert er bei mir wenn ich einige Optionen 1:1 übernehme ...) Irgendwie habe ich es geschafft mein System "kaputtzukonfigurieren" es gibt hauptsächlich Probleme im Hinblick mit Authentifizierung. Es ist ein Debian (Wheezy) System und die Authentifizierung sollte/kann gerne über dovecot laufen, bin aber nicht darauf festgenagelt. Habe einige Jahre relativ wenig in der Materie gemacht und die Doku ist die Konfiguration ;-). ... (Das Endziel wäre wenn der Srv. mal wieder funktioniert diesen auf einen 2. Rootserver in eine kvm VM zu migrieren aber das ist momentan noch ferne Zukunftsmusik...) Danke Vorab! MH

2 2

access_client_whitelist domain statt IP
by Thomas 08 Apr '15

08 Apr '15

Hallo, in der /etc/postfix/access_client_whitelist habe ich stehen 123.123.123.123 OK Das funktioniert auch soweit, Emails die von einem Postfix Server von der IP 123.123.123.123 kommen werden angenommen. Nun ändert sich leider doch alle paar Wochen die IP dieses Rechners. Kann ich auch my.domain.de OK machen? Da der Sender soft_bounce = yes hat wären kleine Verzögerungen in der Auflösung von my.domain.de kein Problem. Ich weiß, das ist alles nicht optimal, aber eine statische IP nur für diesen Dienst kommt bald und dann werde ich wohl auch einen OpenVPN Tunnel machen und ich will bis dahin nicht alles mit userid/pw Authentifizierung usw. machen. Gruss Thomas

2 1

Spamassassin Bayes DB
by Joachim Fahrner 02 Apr '15

02 Apr '15

Hallo zusammen, ich habe hier ein kleines Problem mit der Spamassassin Bayes DB. Spamassassin läuft bei mir als postfix-milter unter dem User debian-spamd. Alles was mit autoloearn=yes gekennzeichnet wurde landet auch brav in der Bayes DB. Für Mails die dem spamd durchrutschen habe ich das Plugin dovecot-antispam installiert, und Mails die von der Inbox in den Junk Ordner verschoben werden, lernt es auch brav in die Bayes DB ein, nur leider in die falsche: nämlich die vom User vmail (unter dem läuft der Dovecot). So bringt das ganze nix. Wie muss man das konfigurieren dass Postfix und Dovecot in die gleiche Bayes DB trainieren, wenn sie unter verschiedenen Usern laufen? Kennt jemand dazu eine Anleitung im Netz? -- Mit besten Grüßen Joachim Fahrner

3 5

Server timing out when sending larger messages
by Catscrash 27 Mar '15

27 Mar '15

Hi, Ich hab einen neuen VPS-Server, der mir einige Probleme mit Timeouts gibt, die ich so noch nie hatte. Die Probleme tauchen bei manchen Providern bei allen Mails auf, bei anderen nur bei größeren (~800k = größer) Das sieht dann in etwa so aus: Mar 24 18:02:08 __HOST__ postfix/smtp[27831]: Anonymous TLS connection established to mail.XXX.org[XX.XX.XX.XX]:25: TLSv1.2 with cipher AECDH-AES256-SHA (256/256 bits) Mar 24 18:08:06 __HOST__ postfix/smtp[27831]: 7F4D8D486F7: to=<xx(a)xx.xx>, relay=mail.XXX.org[xx.xx.xx.xx]:25, delay=19438, delays=18916/0.03/169/353, dsn=4.4.2, status=deferred (conversation with mail.XXX.org[xx.xx.xx.xx] timed out while sending message body) Passiert mit gmail, t-online, etc. aber auch mit einem anderen meiner Server, der normalerweise keinerlei Probleme macht, sodass ich da auch mal die Gegenseite sehen kann: Mar 24 18:02:08 root postfix/smtpd[28051]: Anonymous TLS connection established from __HOSTNAME__[yy.yy.yy.yy]: TLSv1.2 with cipher AECDH-AES256-SHA (256/256 bits) Mar 24 18:02:19 root postfix/policyd-weight[12338]: decided action=PREPEND X-policyd-weight: NOT_IN_SBL_XBL_SPAMHAUS=-1.5 NOT_IN_SPAMCOP=-1.5 (only DNSBL check requested); <client=__HOSTNAME__[yy.yy.yy.yy]> <helo=__HOSTNAME__> <from=ZZZ@__HOSTNAME__> <to=xx(a)yy.zz>; delay: 1s Mar 24 18:02:19 root postgrey[18205]: action=pass, reason=recipient whitelist, client_name=__HOSTNAME__, client_address=yy.yy.yy.yy, sender=ZZZ@__HOSTNAME__, recipient=xx(a)yy.org Mar 24 18:02:19 root postfix/smtpd[28051]: 73104482C241: client=__HOSTNAME__[yy.yyy.yyy.yy] Mar 24 18:02:40 root postfix/cleanup[28654]: 73104482C241: message-id=<> Mar 24 18:03:56 root postfix/smtpd[28683]: initializing the server-side TLS engine Mar 24 18:17:27 root postfix/smtpd[28051]: timeout after DATA (16309 bytes) from __HOSTNAME__[yy.yyy.yyy.yy] postconf -n: alias_database = hash:/etc/aliases alias_maps = hash:/etc/aliases append_at_myorigin = yes append_dot_mydomain = no biff = no broken_sasl_auth_clients = yes config_directory = /etc/postfix dovecot_destination_recipient_limit = 1 imscp-arpl_destination_recipient_limit = 1 inet_interfaces = all inet_protocols = ipv4 local_destination_recipient_limit = 1 local_recipient_maps = unix:passwd.byname $alias_database local_transport = local mail_spool_directory = /var/mail mailbox_command = procmail -a "$EXTENSION" mailbox_size_limit = 0 message_size_limit = 0 mydestination = $mydomain mydomain = __HOSTNAME__.local myhostname = __HOSTNAME__ mynetworks_style = host myorigin = $myhostname recipient_delimiter = + relay_domains = hash:/etc/postfix/imscp/relay_domains smtp_bind_address = yy.yyy.yyy.yyy smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt smtp_tls_loglevel = 1 smtp_tls_mandatory_protocols = !SSLv2, !SSLv3 smtp_tls_protocols = !SSLv2, !SSLv3 smtp_tls_security_level = may smtpd_banner = $myhostname smtpd_data_restrictions = reject_multi_recipient_bounce, reject_unauth_pipelining smtpd_helo_required = yes smtpd_helo_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_invalid_helo_hostname, reject_non_fqdn_helo_hostname smtpd_recipient_restrictions = reject_non_fqdn_recipient, reject_unknown_recipient_domain, permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination, reject_unlisted_recipient, permit smtpd_relay_restrictions = smtpd_sasl_auth_enable = yes smtpd_sasl_authenticated_header = yes smtpd_sasl_path = smtpd smtpd_sasl_security_options = noanonymous smtpd_sasl_type = cyrus smtpd_sender_restrictions = reject_non_fqdn_sender, reject_unknown_sender_domain, permit_mynetworks, permit_sasl_authenticated smtpd_tls_CAfile = /etc/ssl/private/ca-bundle.crt smtpd_tls_auth_only = no smtpd_tls_cert_file = /etc/ssl/private/xxxxxx.pem smtpd_tls_key_file = /etc/ssl/private/xxxxxx..key smtpd_tls_loglevel = 1 smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3 smtpd_tls_protocols = !SSLv2, !SSLv3 smtpd_tls_received_header = yes smtpd_tls_security_level = may transport_maps = hash:/etc/postfix/imscp/transport virtual_alias_maps = hash:/etc/postfix/imscp/aliases virtual_gid_maps = static:8 virtual_mailbox_base = /var/mail/virtual virtual_mailbox_domains = hash:/etc/postfix/imscp/domains virtual_mailbox_limit = 0 virtual_mailbox_maps = hash:/etc/postfix/imscp/mailboxes virtual_minimum_uid = 999 virtual_transport = dovecot virtual_uid_maps = static:999 Eigentlich ist der VPS recht flott und reagiert schnell, ping zeiten sind sehr gut und ich habe ansonsten noch nichts bemerkt was langsam erscheint, aber aus irgendeinem Grund scheint das bei SMTP nicht der Fall zu sein. Ich hab sicherheitsalber iptables geflushed, falls da irgendwas blockendes drin ist, hat aber nichts geholfen. Habt ihr eine Idee? Danke!

2 2

komisches neues Verhalten bei Postfix 3.0.0
by Christian Bricart 26 Mar '15

26 Mar '15

Tach zusammen, ich hab' grade mal in einem Anflug von Wahnsinn mich an das Upgrade von Postfix auf 3.0.0 gemacht ;-) hat prinzipiell gar nicht weh getan, weil die neuen Defaults aus der COMPATIBILITY_README eh schon meine Defaults waren - also ging das Aktivieren von > compatibility_level = 2 direkt und ohne Schmerzen ;) Aber *ein* neues Verhalten wurmt mich: warum fummelt die Version beim Starten in/an meiner main.cf rum und appended einfach jedesmal sinnlose Defaults: > queue_directory = /var/spool/postfix > meta_directory = /etc/postfix > command_directory = /usr/sbin > sample_directory = /etc/postfix > newaliases_path = /usr/bin/newaliases > mailq_path = /usr/bin/mailq > readme_directory = no > sendmail_path = /usr/sbin/sendmail > daemon_directory = /usr/libexec/postfix > manpage_directory = /usr/local/man > html_directory = no > data_directory = /var/lib/postfix > shlib_directory = /usr/lib64/postfix/${mail_version} zusätzlich gibt es ja wohl neuerdings(?) eine Datei ${meta_directory}/postfix-files welches mir beim Starten immer dem Symlink meiner main.cf folgt und sie dann statt dem Link da hinkopiert.. dort drin steht zumindest was von "f" für die main.cf - allerdings für die master.cf auch und die lässt er in Ruhe.. Wo finde ich denn Doku wie man das "The-Postfix-Way" macht..? Weil ausser "Do not edit this file." finde ich nix ;-) Danke Christian

1 0

bcc_senders
by Joachim Fahrner 22 Mar '15

22 Mar '15

Hallo, ich bin auf einen anderen Server umgezogen, habe alle Konfigfiles kopiert, und jetzt geht was nicht mehr auf dem neuen Server :-( Ich nutze bcc_senders um mir per plus-adressierung eine Kopie in den Sent-Ordner zu legen. Beispiel: jf(a)fahrner.name jf+sent(a)fahrner.name sendet eine Kopie an mich selbst. Im Dovecot habe ich eine Sieve-Regel für das Feld "delivered-to", wenn da "jf+sent(a)fahrner.name" drin steht verschiebe ich es in den Sent-Ordner. Das klappt jetzt nicht mehr. Ich kriege zwar die Kopie, aber in "delivered-to" fehlt das "+sent". Ich hab grad gar keine Idee wo ich nach dem Fehler suchen könnte. -- Mit besten Grüßen Joachim Fahrner

2 4

helpful_warnings=no schaltet nicht "override earlier entry" Warnings aus
by Axel Beckert 10 Mar '15

10 Mar '15

Hallo, wir verteilen unsere main.cf auf Server und Workstations per Konfigurationsmanagement. Es gibt eine Default-main.cf, die meistens ausreicht. Braucht es Abweichungen, so werden diese durch ein beim Deployment angehängtes per-host-Konfigurationsschnipsel gelöst. In diesem sind ggf. Einstellungen drin, die in der Default-Datei bereits mit anderen Wertten drin sind, um diese zu überschreiben. Mit Debian 7 Wheezy und Postfix 2.9.6 funktioniert dies wunderbar, aber seit Debian 8 Jessie und Postfix 2.11.3 jammert Postfix in verschiedensten Situationen über diese "Überschreib"-Methoden: # postconf > /dev/null postconf: warning: /etc/postfix/main.cf, line 29: overriding earlier entry: mydestination= postconf: warning: /etc/postfix/main.cf, line 30: overriding earlier entry: relayhost=smtp.phys.ethz.ch postconf: warning: /etc/postfix/main.cf, line 31: overriding earlier entry: inet_interfaces=loopback-only # Die dazugehörige main.cf sieht wie folgt aus: ---8<--- # Note: file generated by dphys-config DO NOT EDIT IN /etc/postfix/main.cf # Default settings (hostname has been inserted by the configuration # deployment tool) myhostname = silberspitz.ethz.ch smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU Linux) biff = no append_dot_mydomain = no alias_maps = hash:/etc/aliases alias_database = hash:/etc/aliases myorigin = /etc/mailname relayhost = smtp.phys.ethz.ch mynetworks = 127.0.0.0/8, [::1]/128 mailbox_size_limit = 0 recipient_delimiter = + inet_interfaces = loopback-only sender_canonical_maps = pcre:/etc/postfix/sender_canonical mydestination = # Per-host settings mydestination = silberspitz.ethz.ch silberspitz localhost bb.phys.ethz.ch hobbit.phys.ethz.ch xymon.phys.ethz.ch relayhost = inet_interfaces = all --->8--- (Grundidee bei diesem Beispiel: Alle Standard-Server sollen Mails via Mailserver verschicken, nicht aber der Monitoring-Server von dem o.g. Beispiel stammt. Der soll auch noch Mails an das SMS-Gateway verschicken können, wenn der Mailserver down ist.) Um o.g. Warnungen zu unterdrücken habe ich dann noch ein helpful_warnings = no ganz vorne in der main.cf hinzugefügt. Gemäss man page unterdrückt dies "warnings about problematic configuration settings, and helpful suggestions." -- Klang für mich nach genau der richtigen Einstellung, hat aber leider keinen Unterschied gemacht. Deswegen meine Frage: Wie bekomme ich Postfix dazu, diese Warnungen nicht mehr auszugeben? Sie verursachen diverse Mails von Cron-Jobs, weil Output (auf STDERR) kommt, z.B. von popularity-contest: ---8<--- Subject: Cron <root@silberspitz> test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.daily ) /etc/cron.daily/popularity-contest: sendmail: warning: /etc/postfix/main.cf, line 28: overriding earlier entry: mydestination= sendmail: warning: /etc/postfix/main.cf, line 29: overriding earlier entry: relayhost=smtp.phys.ethz.ch sendmail: warning: /etc/postfix/main.cf, line 30: overriding earlier entry: inet_interfaces=loopback-only postdrop: warning: /etc/postfix/main.cf, line 28: overriding earlier entry: mydestination= postdrop: warning: /etc/postfix/main.cf, line 29: overriding earlier entry: relayhost=smtp.phys.ethz.ch postdrop: warning: /etc/postfix/main.cf, line 30: overriding earlier entry: inet_interfaces=loopback-only --->8--- Und nein, ich will nicht pauschal allen Output nach STDERR unterdrücken, da könnte ja durchaus mal ein relevanter Fehler drin sein. :-) (Mal ganz davon abgesehen, dass ich das nicht in jedem Skript machen will, welches irgendwann mal "sendmail" aufruft.) Im Changelog habe ich diesen Eintrag gefunden: 20130404 Human factors: warning when a main.cf parameter has multiple entries with different values. File: util/dict.c. Aber das ist doch gar kein Bug, das ist ein Feature! ;-) Code-Stelle dazu ist recht sicher dies hier: 459 if ((old = dict->lookup(dict, member)) != 0 460 && strcmp(old, val) != 0) 461 msg_warn("%s, line %d: overriding earlier entry: %s=%s", 462 VSTREAM_PATH(fp), lineno, member, old); Bei Weiterverfolgen, ob das Log-Level irgendwo ausgewertet wird und beeinflusst werden kann, bin ich bis zur Funktion msg_text am Ende von util/msg_output.c gekommen, aber da haben mich meine C-Kenntnisse dann irgendwann verlassen... Mit freundlichem Gruss, Axel Beckert -- Axel Beckert <beckert(a)phys.ethz.ch> support: +41 44 633 26 68 IT Services Group, HPT H 6 voice: +41 44 633 41 89 Departement of Physics, ETH Zurich CH-8093 Zurich, Switzerland http://nic.phys.ethz.ch/

2 2

PGP-Schlüssel einfach und sicher verteilen
by Robert Schetterer 06 Mar '15

06 Mar '15

Hi @ll, weil es grade durch die Medien getrieben wird https://sys4.de/de/blog/2015/02/26/pgp-schluessel-einfach-und-sicher-vertei… Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

10 35

Re: GPG-Verschlüsselung auf dem Server für ausgehende Mail
by Matthias Schmidt 05 Mar '15

05 Mar '15

> Am 25 Feb 2015 um 00:52 schrieb Matthias-Christian Ott <ott(a)mirix.org>: > > On 2015-02-24 13:07, Matthias Schmidt wrote: >> >>> Am 22 Feb 2015 um 03:52 schrieb Matthias-Christian Ott <ott(a)mirix.org>: >>> >>> On 2015-02-21 13:19, Ralph J.Mayer wrote: >>>> ich würde gerne jede meiner ausgehenden Mails automatisch verschlüsseln >>>> lassen, sofern ein Schlüssel vorliegt. >>>> Das ganze soll auf meinem Server passieren, weil ich z.B. auf dem iPhone >>>> kein PGP habe. >> >> es gibt für das iPhone mehrere Anwendungen: >> - iPGMail >> - oPenGP >> >> ich würd auch immer nur Verschlüsseln, wenn’s sein muss. > > Damit es dann möglichst auffällig ist, dass die verschlüsselten E-Mails > wichtige Informationen beinhalten. Das hilft doch nur einer > Metadatenauswertung. > Käse, die Header werden ja eh nicht verschlüsselt und das ist das was da ausgewertet wird. Dass die Verschlüsselung die Auswertung von Metadaten erschweren würde ist ein Märchen. Bei der Verschlüsselung geht es allein darum den Inhalt vor unberechtigten Mitlesern zu schützen und das ist in diesem Fall meist nicht irgendein staatl. Dienst. Wenn die nämlich so interessiert an Dir sind, dass sie Deine Mails lesen wollen, greifen die die schon ab, währen Du die schreibst. Außerdem hast Du dann ein ziemliches Problem am Hals ;-) Gruss Matthias

2 1

Postfix/Cyrus auf Emailrechner / Anbindung per shell oder mySQL an Rechner wo Daten gepflegt werden
by Thomas 05 Mar '15

05 Mar '15

Hallo, ich habe auf meinen master Rechner Apache, mySQL usw. und verwalte dort meine Benutzer mit user, password, Emailadresse. Dann habe ich einen zweiten Email-Rechner mit Postfix, Cyrus, IMAP usw. auf den ich ein- und ausgehende Emails verwalte/versende. Heute pflege ich das per Hand. Ich möchte aber das wenn man auf dem master Rechner Benutzer anlegt/ändert dieses gleich auf meinen Email-Rechner aktualisiert wird. Frage, soll ich noch per Script die SASL Datenbank auf dem Emailrechner pflegen und die postfix conf file pflegen/rüberkopieren oder das ganze so machen das der Emailrechner per Tunnel auf die mySQL Datenbank des Masterrechners zugreift. Was aber wenn der Tunnel mal kaputt ist, mySQL mit Replikation ist mir dafür zu aufwändig und das dann keine Emails angenommen werden können möchte ich auch nicht. Oder was wäre eine gescheite Lösung und gibt es evtl. schon shell Scriptfiles im Netz die das rüberkopieren oder den shell Zugriff umgesetzt haben und genau das machen. danke Gruss Thomas

4 5

DMARC und Mailinglisten
by Joachim Fahrner 24 Feb '15

24 Feb '15

Hallo, bei Mailinglisten wird das DMARC wirklich zum Problem. Habe mich jetzt auf einer Liste angemeldet die nicht DMARC-konform ist und prompt werden da Mails abgewiesen. Kriegt man das irgendwie in den Griff, ohne DMARC komplett zu deaktivieren? Feb 20 06:28:35 s2 postfix/postscreen[20427]: CONNECT from [8.8.178.116]:46715 to [78.46.184.248]:25 Feb 20 06:28:35 s2 postfix/postscreen[20427]: PASS OLD [8.8.178.116]:46715 Feb 20 06:28:36 s2 postfix/smtpd[20429]: connect from mx2.freebsd.org[8.8.178.116] Feb 20 06:28:37 s2 postfix/smtpd[20429]: Anonymous TLS connection established from mx2.freebsd.org[8.8.178.116]: TLSv1.2 with cipher ECDHE-RSA-AES256-GCM-SHA384 (256/256 bits) Feb 20 06:28:39 s2 policyd-spf[20438]: None; identity=helo; client-ip=8.8.178.116; helo=mx2.freebsd.org; envelope-from=owner-freebsd-current(a)freebsd.org; receiver=jf(a)fahrner.name Feb 20 06:28:39 s2 policyd-spf[20438]: Pass; identity=mailfrom; client-ip=8.8.178.116; helo=mx2.freebsd.org; envelope-from=owner-freebsd-current(a)freebsd.org; receiver=jf(a)fahrner.name Feb 20 06:28:39 s2 postfix/smtpd[20429]: 7224534141: client=mx2.freebsd.org[8.8.178.116] Feb 20 06:28:39 s2 postfix/cleanup[20440]: 7224534141: message-id=<464530409.2420401.1424409908005.JavaMail.yahoo(a)mail.yahoo.com> Feb 20 06:28:39 s2 opendkim[3180]: 7224534141: mx2.freebsd.org [8.8.178.116] not internal Feb 20 06:28:39 s2 opendkim[3180]: 7224534141: not authenticated Feb 20 06:28:40 s2 opendkim[3180]: 7224534141: bad signature data Feb 20 06:28:40 s2 opendmarc[3192]: 7224534141: authres: s2.fahrner.name;#012#011dkim=fail reason="no signature error" (2048-bit key; insecure) header.d=yahoo.com header.i=(a)yahoo.com header.b=Bk3hfdot;#012#011dkim-adsp=unknown (insecure policy); dkim-atps=neutral Feb 20 06:28:40 s2 opendmarc[3192]: 7224534141: recvspf: Pass (sender SPF authorized) identity=mailfrom; client-ip=8.8.178.116; helo=mx2.freebsd.org; envelope-from=owner-freebsd-current(a)freebsd.org; receiver=jf(a)fahrner.name Feb 20 06:28:40 s2 postfix/pickup[19499]: A037634145: uid=118 from=<opendmarc> Feb 20 06:28:40 s2 postfix/cleanup[20444]: A037634145: message-id=<20150220052840.A037634145(a)s2.fahrner.name> Feb 20 06:28:40 s2 opendmarc[3192]: 7224534141: yahoo.com fail Feb 20 06:28:40 s2 opendkim[3180]: A037634145: DKIM-Signature header added (s=mail, d=fahrner.name) Feb 20 06:28:40 s2 postfix/cleanup[20440]: 7224534141: milter-reject: END-OF-MESSAGE from mx2.freebsd.org[8.8.178.116]: 5.7.1 rejected by DMARC policy for yahoo.com; from=<owner-freebsd-current(a)freebsd.org> to=<jf(a)fahrner.name> proto=ESMTP helo=<mx2.freebsd.org> -- Mit besten Grüßen Joachim Fahrner

6 34

GPG-Verschlüsselung auf dem Server für ausgehende Mail
by Ralph J.Mayer 24 Feb '15

24 Feb '15

Moin, ich würde gerne jede meiner ausgehenden Mails automatisch verschlüsseln lassen, sofern ein Schlüssel vorliegt. Das ganze soll auf meinem Server passieren, weil ich z.B. auf dem iPhone kein PGP habe. Signieren will ich die Mails nicht, dazu müsste ja ein privkey vorhanden sein. http://www.postfix.org/addon.html#security-gateway listet drei Produkte auf, die aber eher in Richtung Enterprise gehen. Entdeckt habe ich z.B. https://github.com/infertux/zeyple Ein kleines Script, welches über content_filter eingebunden wird und im Grunde tut was ich will. Allerdings nicht für Multipart-Mails :-( Deshalb die Frage, kennt jemand eine passende Lösung für private Setups? rm

4 3

Email mit TO oder CC an nicht valide Domain sperren
by Thomas 23 Feb '15

23 Feb '15

Hallo, ich habe von einer großen Firma eine Email bekommen. Da konnte der Absender eine außen nicht valide Emailadresse eben dieser Firma als CC eintragen. Als ich ein rply all gemacht habe ist die Email an diese Adresse natürlich zu mir zurück gekommen. Die Domain ist eingetragen, nur eben löst ein #nslookup eben nicht zu einer IP auf. Es wäre doch Verantwortung des Absenders eben dieser Firma zu verhindern das Emails als FROM oder CC verwendet werden die für Außenstehende nicht erreichbar sind oder nicht nach außen gelangen und eben zu diesem Problem führen. Ein Außenstehender bekommt eine Email mit Subject Delivery Status Notification (Failure) und in den ersten Zeilen steht: Delivery to the following recipient failed permanently: empfaenger(a)mail.grossefirma.de Technical details of permanent failure: DNS Error: Address resolution of mail.großeFirma.de .de. failed: Domain name not found Für einen Laien ist das doch total missverständlich und verwirrend wenn er eine solche Email bekommt. Gruss Thomas

2 1

IETF verbietet RC4 in TLS
by Patrick Ben Koetter 21 Feb '15

21 Feb '15

Jetzt ist der richtige Zeitpunkt die TLS-Ciphers in Postfix zu überprüfen und RC4 zu deaktivieren. Das IETF hat mit https://tools.ietf.org/rfc/rfc7465.txt ein RFC veröffentlicht in dem es den RC4 Algorithmus explizit mit MUST NOT verbietet. Wenn ihr in Postfix TLS aktiviert habt (und wenn auch nur opportunistisch für den SMTP Client) setzt ihr dazu in main.cf: # TLS Server smtpd_tls_exclude_ciphers = RC4, aNULL # TLS Client smtp_tls_exclude_ciphers = RC4, aNULL p@rick -- [*] sys4 AG https://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 1

Relayhost Problem
by Daniel Thielking 19 Feb '15

19 Feb '15

Hallo Leute, ich habe seit einer Woche das Problem das ich keine Mails mehr von meinem Server über den Relay bekomme. Zum Problem: Ich betreibe einen kleinen Heimserver und benutze Postfix als für z.B. Cron mails. Als Relayserver ist der smtp.1und1.de eingetragen, das hat auch bis vor ca. einer Woche ohne weiteres funktioniert. Jetzt bekomme ich nur noch Mails mit dem Inhalt: This is the mail system at host server.meine.domain. I'm sorry to have to inform you that your message could not be delivered to one or more recipients. It's attached below. For further assistance, please send mail to postmaster. If you do so, please include this problem report. You can delete your own text from the attached returned message. The mail system <daniel.thielking(a)ias.rwth-aachen.de>: host smtp.1und1.de[212.227.15.183] said: 550-Requested action not taken: mailbox unavailable 550 invalid DNS A/AAAA resource record (in reply to MAIL FROM command) Aus den Loggs bekomme ich folgende Meldungen: Feb 18 14:57:40 server postfix/smtp[249243]: 9BFF7404D4: to=<daniel.thielking(a)ias.rwth-aachen.de>, relay=smtp.1und1.de[212.227.15.167]:587, delay=0.5, delays=0.12/0.01/0.31/0.05, dsn=5.0.0, status=bounced (host smtp.1und1.de[212.227.15.167] said: 550-Requested action not taken: mailbox unavailable 550 invalid DNS A/AAAA resource record (in reply to MAIL FROM command)) Feb 18 14:57:40 server postfix/cleanup[249241]: 2D84D404D9: message-id=<20150218135740.2D84D404D9(a)server.meine.domain> Feb 18 14:57:40 server postfix/bounce[249245]: 9BFF7404D4: sender non-delivery notification: 2D84D404D9 Feb 18 14:57:40 server postfix/qmgr[249237]: 2D84D404D9: from=<>, size=2652, nrcpt=1 (queue active) Feb 18 14:57:40 server postfix/qmgr[249237]: 9BFF7404D4: removed Feb 18 14:57:40 server postfix/cleanup[249241]: 3830940437: message-id=<20150218135740.2D84D404D9(a)server.meine.domain> Feb 18 14:57:40 server postfix/local[249246]: 2D84D404D9: to=<root(a)server.meine.domain>, relay=local, delay=0.08, delays=0.04/0/0/0.04, dsn=2.0.0, status=sent (forwarded as 3830940437) Feb 18 14:57:40 server postfix/qmgr[249237]: 3830940437: from=<>, size=2809, nrcpt=1 (queue active) Feb 18 14:57:40 server postfix/qmgr[249237]: 2D84D404D9: removed Feb 18 14:57:40 server postfix/smtp[249243]: certificate verification failed for smtp.1und1.de[212.227.15.183]:587: untrusted issuer /C=DE/O=Deutsche Telekom AG/OU=T-TeleSec Trust Center/CN=Deutsche Telekom Root CA 2 Feb 18 14:57:40 server postfix/smtp[249243]: 3830940437: to=<daniel.thielking(a)ias.rwth-aachen.de>, orig_to=<root(a)server.thielking-vonessen.de>, relay=smtp.1und1.de[212.227.15.183]:587, delay=0.51, delays=0.04/0/0.33/0.14, dsn=2.0.0, status=sent (250 Requested mail action okay, completed: id=0LbIy2-1XiimU2c4g-00kxnT) Feb 18 14:57:40 server postfix/qmgr[249237]: 3830940437: removed Danke schon mal für die Hilfe Daniel Thielking -- _____________________________________________________ Auszubildender Fachinformatiker für Systemintegration RWTH Aachen Lehrstuhl für Integrierte Analogschaltungen Raum 24C 313 Walter-Schottky-Haus Sommerfeldstr. 24 D-52074 Aachen www.ias.rwth-aachen.de Email: Daniel.Thielking(a)ias.rwth-aachen.de Phone: +49-(0)241-80-27771 FAX: +49-(0)241-80-627771 _____________________________________________________

3 6

Fw: Aw: Relayhost Problem
by "Matthias Hägele" 18 Feb '15

18 Feb '15

Gesendet: Mittwoch, 18. Februar 2015 um 15:12 Uhr Von: "Daniel Thielking" <Daniel.Thielking(a)ias.rwth-aachen.de> An: postfix-users(a)de.postfix.org Betreff: Relayhost Problem Hallo Leute, ich habe seit einer Woche das Problem das ich keine Mails mehr von meinem Server über den Relay bekomme. Zum Problem: Ich betreibe einen kleinen Heimserver und benutze Postfix als für z.B. Cron mails. Als Relayserver ist der smtp.1und1.de eingetragen, das hat auch bis vor ca. einer Woche ohne weiteres funktioniert. Jetzt bekomme ich nur noch Mails mit dem Inhalt: This is the mail system at host server.meine.domain. I'm sorry to have to inform you that your message could not be delivered to one or more recipients. It's attached below. For further assistance, please send mail to postmaster. If you do so, please include this problem report. You can delete your own text from the attached returned message. The mail system <daniel.thielking(a)ias.rwth-aachen.de>[daniel.thielking(a)ias.rwth-aachen.de]: host smtp.1und1.de[212.227.15.183] said: 550-Requested action not taken: mailbox unavailable 550 invalid DNS A/AAAA resource record (in reply to MAIL FROM command) Aus den Loggs bekomme ich folgende Meldungen: Feb 18 14:57:40 server postfix/smtp[249243]: 9BFF7404D4: to=<daniel.thielking(a)ias.rwth-aachen.de>[daniel.thielking(a)ias.rwth-aachen.de], relay=smtp.1und1.de[212.227.15.167]:587, delay=0.5, delays=0.12/0.01/0.31/0.05, dsn=5.0.0, status=bounced (host smtp.1und1.de[212.227.15.167] said: 550-Requested action not taken: mailbox unavailable 550 invalid DNS A/AAAA resource record (in reply to MAIL FROM command)) Feb 18 14:57:40 server postfix/cleanup[249241]: 2D84D404D9: message-id=<20150218135740.2D84D404D9(a)server.meine.domain>[20150218135740.2D84D404D9(a)server.meine.domain] Feb 18 14:57:40 server postfix/bounce[249245]: 9BFF7404D4: sender non-delivery notification: 2D84D404D9 Feb 18 14:57:40 server postfix/qmgr[249237]: 2D84D404D9: from=<>, size=2652, nrcpt=1 (queue active) Feb 18 14:57:40 server postfix/qmgr[249237]: 9BFF7404D4: removed Feb 18 14:57:40 server postfix/cleanup[249241]: 3830940437: message-id=<20150218135740.2D84D404D9(a)server.meine.domain>[20150218135740.2D84D404D9(a)server.meine.domain] Feb 18 14:57:40 server postfix/local[249246]: 2D84D404D9: to=<root(a)server.meine.domain>[root(a)server.meine.domain], relay=local, delay=0.08, delays=0.04/0/0/0.04, dsn=2.0.0, status=sent (forwarded as 3830940437) Feb 18 14:57:40 server postfix/qmgr[249237]: 3830940437: from=<>, size=2809, nrcpt=1 (queue active) Feb 18 14:57:40 server postfix/qmgr[249237]: 2D84D404D9: removed Feb 18 14:57:40 server postfix/smtp[249243]: certificate verification failed for smtp.1und1.de[212.227.15.183]:587: untrusted issuer /C=DE/O=Deutsche Telekom AG/OU=T-TeleSec Trust Center/CN=Deutsche Telekom Root CA 2 Feb 18 14:57:40 server postfix/smtp[249243]: 3830940437: to=<daniel.thielking(a)ias.rwth-aachen.de>[daniel.thielking(a)ias.rwth-aachen.de], orig_to=<root(a)server.thielking-vonessen.de>[root(a)server.thielking-vonessen.de], relay=smtp.1und1.de[212.227.15.183]:587, delay=0.51, delays=0.04/0/0.33/0.14, dsn=2.0.0, status=sent (250 Requested mail action okay, completed: id=0LbIy2-1XiimU2c4g-00kxnT) Feb 18 14:57:40 server postfix/qmgr[249237]: 3830940437: removed Danke schon mal für die Hilfe ------ Hallo, Du sendest von einer dynamischen IP? Meldung: invalid DNS A/AAAA resource record (in reply to MAIL FROM command)) Werden DNS Dienste wie dyndns oder ähnliches benutzt sodaß dein Hostname/Server jederzeit sauber aufgelöst wird? Wenn man eine dynamische IP benutzt könnte evtl. auch der "Vorbesitzer" unangenehm aufgefallen sein ... Du könntest das z.B. dort gegenprüfen: http://www.heise.de/netze/tools/dns/ hth MH

1 0

OT: Cyrus Imapdb Datenbank beleidigt? ...
by "Matthias Hägele" 18 Feb '15

18 Feb '15

Hallo Postfix User, Vorgeschichte: Der Mailserver konnte die Mails nicht mehr so schnell ausliefern wie eine amok laufende Software auf einem anderen Server diesen mit falschen Mailadressen beschossen hatte. Double bounces usw. auf dem postmaster account welche das I/O wohl irgendwie an seine bescheidenen Grenzen (veraltete Hardware) brachten. In Verbindung mit einem gleichzeitigen Providerproblem wuchs dann die Warteschlange sehr schnell auf bis dato unbekannte Höhen an, während der amoklaufende Server weiterhin versuchte seinen Datenmüll auf dem Postfix abzuladen ... Versuch gerade zu biegen: Durchgeführte quick and dirty und evtl. voreilige "Rettungsaktion": Die Inboxen Admin Accounts ließen sich nicht mehr aufrufen da er wohl soviele Dateien (zeigte z.B. kurz 460000 im Webclient an) drin hat ... um Inodes freizuschaufeln und wg. nicht mehr funktionierenden Postmaster Mails habe ich auf dem überforderten Mailserver (per bootcd) direkt im dateisystem die imap mails des postmaster accounts und weiterer admin benutzer von Hand gelöscht. Jetzt vermute ich daß die Datenbank "denkt" daß noch Mails vorhanden sein sollten welche aber durch die Löschaktion ins digitale Nirvana befördert wurden. Kann ich jetzt einfach diese cyrus .db .cache usw. files löschen bzw. krieg ich das "einfach" bereinigt.? Mein Versuch über die grafische Verwaltungsoberfläche einen Adminaccount zu löschen und komplett neu anzulegen hat leider nichts gebracht, er legt den zugehörigen userordner unterhalb imap-mail im Dateisystem leider nicht mehr an. Der Mailserver ist eine "all in one" Lösung die gleichzeitig noch proxy, imapserver, firewall usw. spielt (postfix, amavisd, spamassasin, cyrus imap ...) Die Postmaster Mails habe ich auf einen anderen Account umgeleitet um die Funktionalität wiederherzustellen ... sobald aber Mails an einen der alten "kaputten Accounts" versucht werden ins Postfach zu legen kommt Fehlermeldung: im Logfile: "[/var/imap/socket/lmtp] said 451 4.3.0 System I/O error" in (reply to RCPT TO Command) die mails müssen dann manuell aus der Postfix-Queue gelöscht werden ... Gerne nehme ich auch Hinweise auf weitere Doku entgegen ... Vorab Vielen Dank für jeden Hinweis! MH

1 0

OpenDMARC
by J. Fahrner 17 Feb '15

17 Feb '15

Hallo, was ist denn mit dem DMARC schon wieder kaputt? Wieso bekomme ich Failure Reports zu Mails mit denen ich absolut nix zu tun habe? Am 16.02.2015 um 19:00 schrieb postmaster(a)fahrner.name: > This is an authentication failure report for an email message received from IP > 208.69.40.157 on Mon, 16 Feb 2015 19:00:58 +0100 (CET). > > > Feedback-Type: auth-failure > Version: 1 > User-Agent: OpenDMARC-Filter/1.3.0 > Auth-Failure: dmarc > Authentication-Results: s2.fahrner.name; dmarc=fail header.from=zestsoftware.nl > Original-Envelope-Id: 126A134008 > Original-Mail-From: opendmarc-users-bounces(a)trusteddomain.org > Source-IP: 208.69.40.157 > Reported-Domain: zestsoftware.nl > > > Authentication-Results: s2.fahrner.name; > dkim=fail reason="no signature error" (1024-bit key; insecure) header.d=zestsoftware.nl header.i=(a)zestsoftware.nl header.b=qyvXpEvP; > dkim-adsp=none (insecure policy); dkim-atps=neutral > Received-SPF: Pass (sender SPF authorized) identity=mailfrom; client-ip=208.69.40.157; helo=medusa.blackops.org; envelope-from=opendmarc-users-bounces(a)trusteddomain.org; receiver=jf(a)fahrner.name > Received: from medusa.blackops.org (medusa.blackops.org [208.69.40.157]) > (using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits)) > (No client certificate requested) > by s2.fahrner.name (Postfix) with ESMTPS id 126A134008 > for <jf(a)fahrner.name>; Mon, 16 Feb 2015 19:00:57 +0100 (CET) > Received: from medusa.blackops.org (mailman(a)localhost.blackops.org [127.0.0.1]) > by medusa.blackops.org (8.14.5/8.14.5) with ESMTP id t1GHvYk3045630; > Mon, 16 Feb 2015 09:59:24 -0800 (PST) > (envelope-from opendmarc-users-bounces(a)trusteddomain.org) > DKIM-Filter: OpenDKIM Filter v2.9.2 medusa.blackops.org t1GHvYk3045630 > Authentication-Results: medusa.blackops.org; > dkim=fail reason="no signature error" (1024-bit key; unprotected) header.d=zestsoftware.nl header.i=(a)zestsoftware.nl header.b=qyvXpEvP; > dkim-adsp=none (unprotected policy); dkim-atps=neutral > X-SenderID: Sendmail Sender-ID Filter v1.0.0 medusa.blackops.org t1GHvYk3045630 > Authentication-Results: medusa.blackops.org; sender-id=fail (NotPermitted) header.sender=opendmarc-users-bounces(a)trusteddomain.org; spf=fail (NotPermitted) smtp.mfrom=opendmarc-users-bounces(a)trusteddomain.org > Received: from mail.zestsoftware.nl (mail.zestsoftware.nl [149.210.198.85]) > by medusa.blackops.org (8.14.5/8.14.5) with ESMTP id t1GHvPQ9045625 > (version=TLSv1/SSLv3 cipher=DHE-RSA-AES256-SHA bits=256 verify=NO) > for <opendmarc-users(a)trusteddomain.org>; > Mon, 16 Feb 2015 09:57:28 -0800 (PST) > (envelope-from j.ladage(a)zestsoftware.nl) > DKIM-Filter: OpenDKIM Filter v2.9.2 medusa.blackops.org t1GHvPQ9045625 > X-SenderID: Sendmail Sender-ID Filter v1.0.0 medusa.blackops.org t1GHvPQ9045625 > Authentication-Results: medusa.blackops.org; > sender-id=pass header.from=j.ladage(a)zestsoftware.nl; > spf=pass smtp.mfrom=j.ladage(a)zestsoftware.nl > Received: from localhost (localhost [127.0.0.1]) > by mail.zestsoftware.nl (Postfix) with ESMTP id 3D633320AF7; > Mon, 16 Feb 2015 18:57:25 +0100 (CET) > X-Virus-Scanned: Debian amavisd-new at mail.zestsoftware.nl > Received: from mail.zestsoftware.nl ([127.0.0.1]) > by localhost (mail.zestsoftware.nl [127.0.0.1]) (amavisd-new, > port 10024) > with ESMTP id YsGkr9LzcZXl; Mon, 16 Feb 2015 18:57:23 +0100 (CET) > Received: from [192.168.242.12] (92-108-193-94.dynamic.upc.nl [92.108.193.94]) > (using TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits)) > (No client certificate requested) > by mail.zestsoftware.nl (Postfix) with ESMTPSA id 600BF320AF6 > for <opendmarc-users(a)trusteddomain.org>; > Mon, 16 Feb 2015 18:57:23 +0100 (CET) > DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=zestsoftware.nl; > s=mail; t=1424109443; > bh=1cchw4zDAoZ+9XCxRHnTF7FitmVVdBoPZyb317LSLYs=; > h=From:Subject:Date:To; > b=qyvXpEvPmYOUPaB6A/g+ZoEGyXGDYAxSrQa9VqqKjKSIc59PlQpDvsNZqMgOsFwOX > 5H16hxn8/4lrAzUmeJ9YhW/YrT6Sn5IZWM979jQlg9difo43DrMV3n4/Ap9uBNX1v9 > a48Jq9j0apxsrsJMqYe/EFSAg4EY+TrbdQo20Z+Q= > From: Jean-Paul Ladage <j.ladage(a)zestsoftware.nl> > Content-Type: multipart/mixed; > boundary="Apple-Mail=_B84B22D7-490D-47D9-B353-3CCAF6DD89BD" > Message-Id: <87A4D0DA-792E-427A-9FEA-EB1144745DA1(a)zestsoftware.nl> > Date: Mon, 16 Feb 2015 18:57:22 +0100 > To: opendmarc-users(a)trusteddomain.org > Mime-Version: 1.0 (Mac OS X Mail 8.1 $1993$) > X-Mailer: Apple Mail (2.1993) > X-Spam-Status: No, score=-1.9 required=5.0 tests=J_CHICKENPOX_54, > RP_MATCHES_RCVD autolearn=unavailable version=3.3.1 > X-Spam-Checker-Version: SpamAssassin 3.3.1 (2010-03-16) on medusa.blackops.org > Subject: Re: [opendmarc-users] Postgres Schema? > X-BeenThere: opendmarc-users(a)trusteddomain.org > X-Mailman-Version: 2.1.14 > Precedence: list > List-Id: OpenDMARC discussion <opendmarc-users.trusteddomain.org> > List-Unsubscribe: <http://www.trusteddomain.org/mailman/options/opendmarc-users>, > <mailto:opendmarc-users-request@trusteddomain.org?subject=unsubscribe> > List-Archive: <http://www.trusteddomain.org/pipermail/opendmarc-users> > List-Post: <mailto:opendmarc-users@trusteddomain.org> > List-Help: <mailto:opendmarc-users-request@trusteddomain.org?subject=help> > List-Subscribe: <http://www.trusteddomain.org/mailman/listinfo/opendmarc-users>, > <mailto:opendmarc-users-request@trusteddomain.org?subject=subscribe> > Errors-To: opendmarc-users-bounces(a)trusteddomain.org > Sender: opendmarc-users-bounces(a)trusteddomain.org

2 1

tls_dane_trust_anchor_digest_enable
by django＠nausch.org 16 Feb '15

16 Feb '15

HI, je öfter ich Wietses Doku[1] durchlese, umso mehr Zweifel hab ich, ob ich auch wirklich das richtige richtig gemacht habe. Im Abschnitt "Creating the server certificate file" schreibt er man könne bei Verwendung einer "kommerziellen" CA in der Zertifikats-Datei das RootCA weglassen, wenn der Sender (Kommunikationspartner) ebenfalls das Root-Zertifikat der CA vorrätig hat. Somit verringere sich der Aufwand beim TLS-Handshake. Soweit so gut, bis hierhin passt es ja noch, oder? Das bedeutet, nutze ich eine CA, bei der ich nicht sicher sein kann, ob der Kommunikattionspartner das zugehörige Root-Zertifikat auch vorrätig hat, packe ich demzufolge, neben dem Serverzertifikat, das Zwischenzertifikat und dann das Root-Zertifikat in die Zertifikatsdatei. Richtig? really really? In der verlinkten Doku[2] schreibt Wietse ferner: "RFC 6698 trust-anchor digest support in the Postfix TLS library. Enable support for RFC 6698 (DANE TLSA) DNS records that contain digests of trust-anchors with certificate usage "2". In this case the certificate usage logically requires the server administrator to configure the server to include the trust-anchor certificate in the server's SSL certificate chain. If enough domains mess this up, you can disable support for these TLSA records, but you'll no longer have secure connections that get it right and only publish trust anchor records." Watt meint er denn mit: "If enough domains mess this up, you can disable support for these TLSA records, but you'll no longer have secure connections that get it right and only publish trust anchor records." Ich gehe mal davon aus, dass bei einem "3 0 1" im TLSA-Record von der von Wietses Thematik nicht betroffen bin, solange ich ein "offizielles Zertifikat" benutze, oder wie? Nutze ich aber eine eigene CA, oder eben eine, bei der ich nicht sicher sein kann, ob der Kommunikationspartner" dem Root-Zertifikat vertraut, darf ich keinen "3 0 1"er verwenden, sondern muss auf "2 0 1" setzen. Ferner muss ich im Zertifikatsfile im Postfix die komplette trustchain hinterlegen. Richtig? Pffff, irgendwie steh ich grad an einem Punkt, an dem ich nicht 100% weiß, hab ich das TLSA-Zeugs nun richtig verstanden, oder nicht. Vielleicht hat JODA ja Rat für mich. ;) Servus Django [1] http://www.postfix.org/TLS_README.html [2] http://www.postfix.org/postconf.5.html#tls_dane_trust_anchor_digest_enable

1 0

Outlook.com rejected mails
by Joachim Fahrner 13 Feb '15

13 Feb '15

Hallo, wenn ich versuche Mail an live.de Postfächer zu senden, wird die Mail rejected: Feb 8 10:11:15 s2 postfix/smtp[2846]: 97BD83410A: to=<xxx(a)live.de>, relay=mx2.hotmail.com[65.55.92.136]:25, delay=878, delays=876/0.01/1.3/0.13, dsn=5.0.0, status=bounced (host mx2.hotmail.com[65.55.92.136] said: 550 SC-001 (SNT004-MC1F1) Unfortunately, messages from 78.46.184.248 weren't sent. Please contact your Internet service provider since part of their network is on our block list. You can also refer your provider to http://mail.live.com/mail/troubleshooting.aspx#errors. (in reply to MAIL FROM command)) Hat jemand eine Ahnung was denen nicht passt? Und was man dagegen unternehmen kann? Die Beschreibung auf deren Webseite ist leider nichtssagend. -- Mit besten Grüßen Joachim Fahrner

10 28

TLSA: DNS ttl und revoced certs
by django＠nausch.org 05 Feb '15

05 Feb '15

HI! Zwei kurze Fragen: Welche Erfahrungswerte könnt Ihr mir denn TTL von TLSA-Records nennen? Was macht man bei einem zurückgerufenen Zertifikat? Reicht es den TLSA-Record zu klöschen, oder gibt es da ähnlich wie bei DKIM 'nen besonderen Eintrag zum Kennzeichnen, das das Zertifikat/Schlüssel revoced wurde? ttyl Django

6 12

Postscreen
by django＠nausch.org 05 Feb '15

05 Feb '15

Servus, kann einer das Verhalten von SPAM-Ausschlägen bestätigen? Wenn ich meine Mailgraph Statistiken so anschaue, fällt mir auf, dass in unregelmäßigen Abständen massive Ausschläge vor allem bei PREGREET und HANGUP auftauchen. DNSBL und BARE NEWLINE sind da eher weniger davon betroffen. Servus Django

4 4