- postfix-users - list.sys4.de

[postfix-users] Email Account automatisch Deaktivieren nach x Fehlerhaften Anmeldeversuchen
by Andreas Kossmann via postfix-users 04 Dec '13

04 Dec '13

Hallo zusammen, ich habe folgendes: Einen Postfix Server mit POP3 und Imap. Ich will nun sicherstellen , dass Emailkonten nicht so leicht gehackt werden. Gibt es eine Funktion oder Addon welches mitzählt wie oft sich jemand mit einem Account anmelden wollte und diesen Account dann automatisch sperrt ? Gruß Andreas

5 5

[postfix-users] $mynetworks aus Datei
by Christian Bricart via postfix-users 29 Nov '13

29 Nov '13

Servus zusammen, In der Doku ( -> http://www.postfix.org/postconf.5.html#mynetworks ) stehen zwei Dinge: > Examples: > [..] > mynetworks = hash:/etc/postfix/network_table und darüber im Bezug auf IPv6 Adressen: > Note: IP version 6 address information must be specified inside [] in > the mynetworks value, > and in files specified with "/file/name". IP version 6 addresses > contain the ":" character, > and would otherwise be confused with a "type:table" pattern. letzteres gilt doch nur, wenn ich $mynetworks klassisch in der main.cf als Liste habe, oder? Innerhalb einer externen Lookup Datei sollten die Klammern doch dann weggelassen werden (können).. Grüsse Christian

1 0

[postfix-users] Umlaute im FROM gehen manchmal nicht
by Thomas via postfix-users 08 Nov '13

08 Nov '13

Hallo, ich versende über einen Provider Emails. Dieser ist bei bestimmten Absender über sender_dependent_relayhost eingetragen. Leider musste ich feststellen das bei bestimmten Absendern Emails nicht versandt werden. Im mail.log finde ich für diesee Absender nur das hier: (aber kein login mit password und kein 2XX wie bei den anderen Email Absendern) Oct 30 13:13:48 pbxmaster postfix/smtpd[23083]: connect from localhost[127.0.0.1]] Oct 30 13:13:48 pbxmaster postfix/smtpd[23083]: disconnect from localhost[127.0.0.1] Der Versand findet über eine PHP Klasse statt. Bei diesen Sendern finde ich im FROM Umlaute im Namen, aber nicht in der Emailadresse. Andere Sender mit Umlauten im Namen gehen aber. Von daher weiß ich nicht was die Ursache genau sein kann. Wie kann ich das weiter analysieren oder was kann die Ursache sein? Gruss Thomas

2 2

[postfix-users] Hilfe zu Mail-Hub Konfiguration
by Alexander Dick via postfix-users 05 Nov '13

05 Nov '13

Hallo liebe Postfix Liste! ich weiß nicht wirklich weiter mit meinem "Spezialfall", habe schon sehr viel gegoogelt aber es hat mir noch nichts weitergeholfen. Habe folgende Ist-Situation: - Kleine Firma mit einem MS Exchange Server - 1 Domain mit ca. 10 E-Mail Adressen - Mails sind derzeit noch beim Provider gehostet, d.h. der Exchange holt sich die Mails alle 15 Minuten beim Provider ab und stellt sie intern zu. - Versand erfolgt über Smarthost (Provider) Nun möchte ich das ganze so umstellen dass die Mails direkt in die Firma laufen und nicht mehr beim Provider abgeholt werden müssen. Wäre an sich kein Problem und es wäre nicht mal ein Mail-Hub notwendig. Nun habe ich aber den "Spezialfall" dass es auf der selben Domain noch 5 E-Mail Adressen gibt, die nichts mit der Firma zu tun haben bzw. privat verwendet werden. firmen_adresse(a)domain.at firmen_adresse2(a)domain.at privat_adresse(a)domain.at privat_adresse2(a)domain.at ... Mein Vorhaben wäre daher, die privaten Adressen direkt am Mail-Hub abzuwickeln: - Postfix Mail-Hub der alle einkommenden Mails für Domain @domain.at annimmt - Mails für Adressen die lokal am Mail-Hub existieren werden lokal zugestellt (z.B. privat_adresse(a)domain.at) - Mails für alle anderen Adressen werden an den Exchange weitergereicht (IP 192.168.0.x) - Es erfolgt KEIN Versand über den Postfix, dieser ist nur für einkommende Mails zuständig - Versand erfolgt weiterhin über den Exchange/Smarthost Die privaten Mailboxen werden dann über POP3 oder IMAP beim Mail-Hub abgerufen (Dazu habe ich Dovecot installiert - das ist das einzige was bereits funktioniert ;-). Hat jemand so eine (ähnliche) Konfiguration bereits am laufen? Ich wäre sehr Dankbar für Tipps oder gar eine Config File. Vielen Dank schon mal Alex

3 4

[postfix-users] #550 von einem Exchange Server
by Susanne Jaeckel via postfix-users 05 Nov '13

05 Nov '13

Hallo Postfix-User, ich hätte da mal eine Frage... Wir nutzen im Moment einenOpenXchange Server, der aber ja auch Postfix nutzt. Wir haben so weit, so gut, keine bekannten Probleme mit unseren Mails. Nun ist es aber passiert, das 2 unserer Kunden - welche mit einem Microsoft-Exchange Server arbeiten - Probleme haben, die Mails an uns auszuliefern. Beide bekommen ein "#550 5.1.1 RESOLVER.ADR.RecipNotFound" bei unseren Adressen. Mailversand nach GMX von denen scheint zu funktionieren. Wir haben in unseren Mail-Logs keine Konnektierungs-Versuche etc. von denen(!). Mailversand von uns an die andere Seite funktioniert auch. Insofern bin ich eigentlich der Meinung, dass es an unserer Seite nicht liegen kann. (Wir haben auch einen postgrey laufen, aber dann müßte man ja auch etwas mit "Greylisted" in den logfiles finden.) Da sich aber - wie gesagt - heute dann schon der 2. gemeldet hat, bei dem es nicht funktioniert, wollte ich mal sicherheitshalber nachfragen, ob es sein könnte, das ich etwas übersehe und ob ihr Vorschläge habt, wo ich ggfs. Mal nachschauen sollte. (Ich könnte evtl. ja noch ein logging in unserer Firewall konfigurieren, welches Pakete von deren IP aufzeichnet, um zu sehen, ob die nicht doch irgendwie bei uns ankommen...) Viele Grüße, Susanne.

2 2

[postfix-users] Zimbra - Postfix - Mailarchiva - 5 Sekunden Verzögerung beim Verschicken von mails
by Helge Hansemann via postfix-users 25 Oct '13

25 Oct '13

Hallo, ich bereite gerade den Umstieg von Zimbra 7.x unter Ubuntu 8.04 auf Zimbra 8.x auf Ubuntu 12.04 vor und habe jetzt folgendes Problem beobachtet: Eine Mail die im Webinterface von Zimbra verschickt wird dauert ca 5s (solange kann nicht weiter gearbeitet werden) wenn ich in der main.cf einen milter definiere: smtpd_milters = inet:server.domain.com:8092 Ohne den milter wird die mail sofort verschickt. Bei Zimbra 7.x trat dieses Problem nicht auf. Im Logfile ist das anhand der Timestamps ganz gut zu sehen: Oct 24 14:48:49 mail postfix/smtpd[25160]: connect from mail.domain.com [192.168.16.27] <--> ??? Oct 24 14:48:54 mail postfix/smtpd[25160]: NOQUEUE: filter: RCPT from mail.domain.com[192.168.16.27]: <user(a)domain.com>: Sender address triggers FILTER smtp-amavis:[127.0.0.1]:10026; from=<user(a)domain.com> to=<user(a)domain.com> proto=ESMTP helo=<mail.domain.com> Oct 24 14:48:54 mail postfix/smtpd[25160]: E3EB8FA38BD: client=mail.domain.com[192.168.16.27] Oct 24 14:48:54 mail postfix/cleanup[25165]: E3EB8FA38BD: message-id=<657406261.8.1382618929724.JavaMail.zimbra(a)domain.com> Oct 24 14:48:54 mail postfix/qmgr[28945]: E3EB8FA38BD: from=<user(a)domain.com>, size=782, nrcpt=1 (queue active) Oct 24 14:48:54 mail postfix/smtpd[25160]: disconnect from mail.domain.com[192.168.16.27] Oct 24 14:48:55 mail postfix/dkimmilter/smtpd[25169]: connect from localhost[127.0.0.1] Oct 24 14:48:55 mail postfix/dkimmilter/smtpd[25169]: 2896EFA38DA: client=localhost[127.0.0.1] Oct 24 14:48:55 mail postfix/cleanup[25165]: 2896EFA38DA: message-id=<657406261.8.1382618929724.JavaMail.zimbra(a)domain.com> Oct 24 14:48:55 mail postfix/qmgr[28945]: 2896EFA38DA: from=<user(a)domain.com>, size=1223, nrcpt=1 (queue active) Oct 24 14:48:55 mail postfix/dkimmilter/smtpd[25169]: disconnect from localhost[127.0.0.1] Oct 24 14:48:55 mail postfix/smtp[25166]: E3EB8FA38BD: to=<user(a)domain.com>, relay=127.0.0.1[127.0.0.1]:10026, delay=0.31, delays=0.06/0.02/0.01/0.23, dsn=2.0.0, status=sent (250 2.0.0 from MTA(smtp:[127.0.0.1]:10030): 250 2.0.0 Ok: queued as 2896EFA38DA) Oct 24 14:48:55 mail postfix/qmgr[28945]: E3EB8FA38BD: removed Oct 24 14:48:55 mail postfix/amavisd/smtpd[25173]: connect from localhost[127.0.0.1] Oct 24 14:48:55 mail postfix/amavisd/smtpd[25173]: 78E02FA38CB: client=localhost[127.0.0.1] Oct 24 14:48:55 mail postfix/cleanup[25165]: 78E02FA38CB: message-id=<657406261.8.1382618929724.JavaMail.zimbra(a)domain.com> Oct 24 14:48:55 mail postfix/qmgr[28945]: 78E02FA38CB: from=<user(a)domain.com>, size=1779, nrcpt=1 (queue active) Oct 24 14:48:55 mail postfix/amavisd/smtpd[25173]: disconnect from localhost[127.0.0.1] Oct 24 14:48:55 mail postfix/smtp[25171]: 2896EFA38DA: to=<user(a)domain.com>, relay=127.0.0.1[127.0.0.1]:10032, delay=0.35, delays=0.04/0.02/0.01/0.28, dsn=2.0.0, status=sent (250 2.0.0 from MTA(smtp:[127.0.0.1]:10025): 250 2.0.0 Ok: queued as 78E02FA38CB) Oct 24 14:48:55 mail postfix/qmgr[28945]: 2896EFA38DA: removed Oct 24 14:48:55 mail postfix/lmtp[25174]: 78E02FA38CB: to=<user(a)domain.com>, relay=mail.domain.com[192.168.16.27]:7025, delay=0.09, delays=0/0.02/0/0.07, dsn=2.1.5, status=sent (250 2.1.5 Delivery OK) Oct 24 14:48:55 mail postfix/qmgr[28945]: 78E02FA38CB: removed Die Mail sollte als Kopie an den Mailarchiva Dienst server.domain.com auf Port 8092 gehen. Das funktioniert auch. Ich suche jetzt nach Ideen, woran diese "Verzögerung" liegen könnte, bzw. wie ich die Sache genauer untersuchen könnte. Vielen Dank!

2 1

[postfix-users] was will denn GMX da von mir..?
by Christian Bricart via postfix-users 16 Oct '13

16 Oct '13

Servus, folgende Meldung im Log (echte Adressen latürnich obfuscated ;) ): Oct 16 09:17:11 outbound1 postfix/qmgr[16587]: D6F8918542BE: from=<ein-sender(a)meine.domain>, size=6393, nrcpt=1 (queue active) Oct 16 09:17:11 outbound1 postfix/smtp[5190]: D6F8918542BE: to=<ein-empfaenger(a)gmx.de>, relay=mx00.gmx.net[213.165.67.114]:25, delay=1.8, delays=1.7/0/0.04/0.07, dsn=5.0.0, status=bounced (host mx00.gmx.net[213.165.67.114] said: 550-Requested action not taken: mailbox unavailable 550 invalid DNS A/AAAA resource record (in reply to MAIL FROM command)) Ja - "meine.domain" hat weder einen A noch einen AAAA Record.. allerdings fünf MX, die alle korrekt auflösen.. Nimmt GMX neuerdings(?) keine Mails mehr von MX-only-Domains entgegen?!? Oder suche ich den Fehler an der falschen Stelle? Grüsse Christian

3 7

[postfix-users] T-Online auf Spamcop Blacklist
by Martin Sebald via postfix-users 15 Oct '13

15 Oct '13

Hallo zusammen, ist Euch schon aufgefallen, dass T-Online mal wieder auf der Blacklist steht? > Oct 15 08:56:13 mailserver postfix/smtpd[24524]: NOQUEUE: reject: RCPT > from mailout04.t-online.de[194.25.134.18]: 451 4.7.1 Service > unavailable; Client host [194.25.134.18] blocked using bl.spamcop.net; > Blocked - see http://www.spamcop.net/bl.shtml?194.25.134.18; > from=<xxx(a)t-online.de> to=<user(a)localdomain.tld> proto=ESMTP > helo=<mailout04.t-online.de> Oder wäre es eh sinnvoll, Spamcop nicht zu verwenden? Habe mich mit dem Thema noch nicht beschäftigt, es kam eben halt zum Klassiker vom Kunden zu mir: "Warum bekomme ich keine Mails von T-Online mehr?" Viele Grüße, Martin

4 6

[postfix-users] Spam über reguläre Mailkonten
by Thomas Krause via postfix-users 15 Oct '13

15 Oct '13

Hi, in der letzten Zeit habe ich gehäuft Probleme mit Spamversand über reguläre Mailkonten. Vermutlich ist der PC des Betreffenden nach Username/Paßwort ausspioniert wurden. Jedenfalls wird sich per SMTP-AUTH mit korrektem Usernamen u. Paßwort eingeloggt und dann der Spam abgesetzt. Dabei werden ganz unterschiedliche Absende-IP-Adressen verwendet. Das Spam- Volumen ist relativ gering, d.h. es fällt auch nicht gleich auf. Was kann ich dagegen machen? Einzig fällt mir ein, die Anzahl der pro Absende-Adresse versendeten Mails in Abhängigkeit der Zeit zu limitieren. Ist das überhaupt mit Postfix umzusetzen? Habt Ihr dazu Lösugen (bzw. Ideen)? Viele Grüße, Thomas.

8 10

[postfix-users] von DomainA Mails an EmpfängerA weiterleiten zu EmpfängerB obwohl EmpfängerA gelöscht
by Joachim Burbach via postfix-users 14 Oct '13

14 Oct '13

Hallo Miteinander, es musste eine Empfängeradresse (EmpfängerA) gelöscht werden. Eine Firma bekommt das jetzt aber nicht hin die E-Mailadresse in der gesamten Datenbank so ohne weiteres zu ändern. Aus dem Grund meine Frage falls da einer eine Lösung weis. Ich wurde da leider noch nicht fündig über die Suchmaschine. EmpfängerA wurde gelöscht. Die Mails aller Absender der DomainA an den EmpfängerA sollen aber wieder empfangen werden können z.B. per Umleitung auf EmpfängerB. Oder ich lege den EmpfängerA wieder an, dann dürfen aber nur die Absender der DomainA dem E-Mails senden können und alle anderen müssen ein reject bekommen. Ich habe zwar gefunden das man die Empfängeradresse umschreiben kann, aber ich will ja nur die Mails von DomainA und nicht wieder alle. Hat da vielleicht jemand eine Lösung. Ich dachte so etwas schon mal gelesen zu haben, aber finde es jetzt nicht mehr ... lg jo

2 1

[postfix-users] spamhaus blockt: master. cf
by Patrick Ben Koetter via postfix-users 10 Oct '13

10 Oct '13

Mal was amüsantes am Rande... :) <http://www.spamhaus.org/dbl/removal/record/master.cf> -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 1

Re: [postfix-users] Postfix + fail2ban
by Robert Schetterer via postfix-users 03 Oct '13

03 Oct '13

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Am 02.10.2013 18:49, schrieb André Loos via postfix-users: > ... Eine vermutlich nicht neue Idee wäre, die > POP/SMTP-Authentifizierung auf einen anderen Server bzw. IP zu > legen. Dann wäre der MX-Eintrag nicht gleich dem POP oder > SMTP-Server der Benutzer und somit nicht für XY-Hacker > offensichtlich. Man könnte somit alles ablehnen, was sich am MXer > zu Authentifizieren versucht ... Gibt's dazu schon "schlaue" > Gedanken oder Tutorials? wird wahrscheinlich nicht viel aendern auf die Dauer, aber evtl kurzfristig helfen. > > Dank nochmals an Patrick und Robert! > > Schönen Feiertag denen, die Morgen frei haben :-), André > > _______________________________________________ postfix-users > mailing list postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > Best Regards MfG Robert Schetterer - -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.4.11 (GNU/Linux) Comment: Using GnuPG with Thunderbird - http://www.enigmail.net/ iQEcBAEBAgAGBQJSTQcvAAoJEP8jBObu0LlEjc4IAMZsxYHyQHOtqcZY5DNySPFk cOTojjYY1D/K4q9ajb1/Mx2OX6ZhfcLbEt0F9Dwr39bG5aMiNrGGZ6W32xjfwToQ pkBtSsdvrwBUqY1KcV36eM1jPHVQP73jnYmF0SonAST56KU0qujxNHh3jSbUhm53 7kIg4bFiRH5OCIyaQY+lXrPDGm1f6rjK5DsCRE2hcfyXjt/p3W/rMRyumNpC3eSA BdlGfKEI0iFCS5zOIJtv5GeriSxuO02MkJl005KqPlEnSRdww6b6RLVBOLgFG/Jk VZ2ntO+7/31actwHT4iJ20CY3aVnfHovAd8A1iZRwFQSkJYCKg6M3VHYNkRUWSE= =2Pub -----END PGP SIGNATURE-----

1 0

Re: [postfix-users] Postfix + fail2ban
by Patrick Ben Koetter via postfix-users 02 Oct '13

02 Oct '13

* André Loos via postfix-users <andre.loos(a)gmx.de>: > ... Eine vermutlich nicht neue Idee wäre, die POP/SMTP-Authentifizierung auf > einen anderen Server bzw. IP zu legen. > Dann wäre der MX-Eintrag nicht gleich dem POP oder SMTP-Server der Benutzer > und somit nicht für XY-Hacker offensichtlich. > Man könnte somit alles ablehnen, was sich am MXer zu Authentifizieren > versucht ... Darauf komme ich in ein paar Tagen/Wochen zurück. Ralf und ich haben da ein wenig mit Spammern gespielt. Genaues dann wenn wir das im http://blog.sys4.de lesbar aufbereitet haben werden. :) > Gibt's dazu schon "schlaue" Gedanken oder Tutorials? Du kannst die IP, auf der der Server AUTH anbietet, verstecken, aber es wird nur eine Frage der Zeit sein, bis port Scanner herausgefunden haben, dass dort ein SMTP-Server lauscht, der AUTH anbietet. Dann geht alles wieder von vorne los. Meine Haltung ist: Es wird immer passieren. Sie werden es immer versuchen. Wir legen - wann immer die Kunden das mittragen - eine sinnvolle Passwort-policy fest. Wir bieten den Kunden Trainings/Vorträge an, damit ihre Mitarbeiter auf Phising-Missbrauch etc. sensibilisiert sind. Wir monitoren die Dienste und das Sendeumfeld zusammen mit Partnerunternehmen auf Anzeichen für Mißbrauch. Wir sperren Konten sobald sie kompromittiert sind. Ich kann es nicht verhindern. Aber ich warte auch nicht bis es mich erwischt. Ich bin vorbereitet. > Dank nochmals an Patrick und Robert! > > Schönen Feiertag denen, die Morgen frei haben :-), André ACK p@rick -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0

Re: [postfix-users] Postfix + fail2ban
by André Loos via postfix-users 02 Oct '13

02 Oct '13

... Eine vermutlich nicht neue Idee wäre, die POP/SMTP-Authentifizierung auf einen anderen Server bzw. IP zu legen. Dann wäre der MX-Eintrag nicht gleich dem POP oder SMTP-Server der Benutzer und somit nicht für XY-Hacker offensichtlich. Man könnte somit alles ablehnen, was sich am MXer zu Authentifizieren versucht ... Gibt's dazu schon "schlaue" Gedanken oder Tutorials? Dank nochmals an Patrick und Robert! Schönen Feiertag denen, die Morgen frei haben :-), André

1 0

Re: [postfix-users] Postfix + fail2ban
by Robert Schetterer via postfix-users 01 Oct '13

01 Oct '13

Am 30.09.2013 21:50, schrieb André Loos via postfix-users: > Ich hätte gerne mal einen Vergleich von Euch. Ich hoste auf meinem > Mailserver 12 Domains und habe durchschnittlich täglich zwischen 15 und 30 > Tests per sasl, 5 per pop3/imap und weiterhin etwa 20-30, die ein open relay > suchen. > > Herzliche Grüße, André Hallo Andre, leider helfen Vergleiche da wenig, wenn deine Domains nun mal angegriffen werden , ist es halt so, trotzdem deine Werte sind nicht aussergewoehnlich, ich fuer meinen Teil analysiere die brute Force Versuche taeglich, und eigentlich mache ich mir nur dann Sorgen wenn auf existierende Mailboxen Angriffe erfolgen mit halbwegs realitaetsnahen Passwoertern ( also zb nicht 123456 etc ) erfolgen, dann sehe ich mal nach woher die Ips stammen ( China etc ) , dann kommt es auf den Kunden an , ich hab als Erstmassnahme auch selbst schon mal die Passwoerter geaendert, wenn mir etwas "spanisch" vorkam. Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0

Re: [postfix-users] Postfix + fail2ban
by Patrick Ben Koetter via postfix-users 30 Sep '13

30 Sep '13

* André Loos via postfix-users <andre.loos(a)gmx.de>: > Leider laufen bei mir die meisten Versuche/Tests, eine gültige > Konto-Passwortkombination zu erlangen, per sasl ein. Nur für das Protokoll: Bei IMAP ist es auch SASL (Simple And Secure Layer). Tatsächlich stammt es sogar originär aus der IMAP-Ecke. > Fehlgeschlagene Logins oder Tests per pop3/imap sind tatsächlich viel > weniger. Ich vermute hier, dass die Angreifer sehr wohl wissen, dass in den > maillogs die sasl-auth nicht so informativ ist, wie von "uns" gewünscht. Echt? Also ich komme zu einem anderen Schluss. Ich denke, die suchen Relays über die sie senden können. Das kann halt nur SMTP, wenn man jetzt mal die LEMONADE-Extentions in IMAP ausser acht läßt. > Weiterhin habe ich selbst Sendeversuche (im Log als sasl) mit falschem > Passwort gestartet. Das, was dann anschließend im Log zu finden ist, ist das > mimecodierte Wort "Passwort=UGFzc3dvcmQ6". Jedoch nicht das falsche Passwort > an sich bzw. gar der Benutzername, mit dem das Konto getestet wurde. Weder der Postfix policy(8) service noch das MILTER API geben Auskunft über das AUTH Passwort, das gesendet wurde. Eine eigene, programmierte Lösung fällt also flach. Dir bleibt also nur, das LOG auszuwerten und nach "authentication failed" zu suchen: 2013-09-30T04:12:47.500147+02:00 joliett postfix/submission/smtpd[4618]: warning: unknown[xxx.xxx.xxx.xxx]: SASL LOGIN authentication failed: UGFzc3dvcmQ6 Die IP hast Du ja dann und auf die kannst Du reagieren. > Ich hätte gerne mal einen Vergleich von Euch. Ich hoste auf meinem > Mailserver 12 Domains und habe durchschnittlich täglich zwischen 15 und 30 > Tests per sasl, 5 per pop3/imap und weiterhin etwa 20-30, die ein open relay > suchen. Auf einem System mit einem Vielfachen an Domains hatten wir heute 5 AUTH Tests auf SMTP. Woran das liegt? Spontan habe ich keine Antwort. Ausschlaggebend finde ich die Folgefragen auf die Tests: Wieviele gelingen und wieviele können anschliessend Schaden anrichten? Wenn beides Null ist, dann würde ich wachsam bleiben und für den Moment zähneknirschend hinnehmen, dass da andauernd irgendjemand versucht unser System zu exploiten. Grüsse p@rick > * André Loos via postfix-users <andre.loos(a)cogaa.de>: > > ich habe auf meinem Mailserver (Postfix) das bekannte fail2ban > installiert. > > Gibt es eine Möglichkeit die fail2ban Benachrichtigung so zu > > gestalten, dass mir ersichtlich ist, mit welchem Konto das Login > > (pop3/imap/sasl) gescheitert ist? > > mir ist nicht bekannt, dass f2b das out of the box kann und auch nicht, dass > man es einfach dahingehend erweitern kann. > > Christian Rößner und ich haben mal für ARF-Reports f2b evaluiert und dann > bald die Finger davon gelassen: Die Idee war gut - der Code nicht. (Ralf > würde > sagen: Es war so schlecht, dass ich es umschreiben musste bevor ich es > wegwarf...) > > > Das Logging des Daemons müsste natürlich den fehlgeschlagene Versuch > > mit dem benutzen Login erfassen. Ist das z.B. über den Loglevel steuerbar? > > In dovecot siehst du im normalen Loglevel, ob ein Login fehlgeschlagen ist > und auch den "user=<>": > > 2013-09-29T18:23:50.516957+02:00 joliett dovecot: imap-login: Aborted login > (auth failed, 1 attempts in 2 secs): user=<user(a)example.com>, method=PLAIN, > rip=xxx.xxx.xxx.xxx, lip=xxx.xxx.xxx.xxx, session=<+Jj8JIjnNQBtLAAa> > > > > Was müsste oder kann ich tun, um hier genauere Informationen zu erhalten? > > Vielleicht kannst Du f2b ja nach "mehr" suchen lassen als es für den > Sachverhalt "auth failed" benötigt und dann ist zufällig der user-String mit > dabei. Nicht schön, aber effektiv. > > p@rick > > > > Ich verspreche mir davon, zeitnah zu sehen, auf welche Domain oder auf > > welches Konto eine inszenierte Attacke es gerade abgesehen hat. > > Ich hatte kürzlich den Fall, dass die Login-Daten eines Benutzers, > > vermutlich über einen längeren Zeitraum, erfolgreich von Angreifern > > getestet wurden und wie zu erwarten zum Versenden von Spam benutzt wurden. > > Im mail.log finde ich derzeit bei einem gescheiterten Login keine > > genaueren Angaben zu den benutzten Logindaten. Wohl aber bei einem > > erfolgreichen Login. > > > > Euch vielen Dank für Tipps, Ideen oder andere Strategien ... > > > > André Loos > > > > _______________________________________________ > > postfix-users mailing list > > postfix-users(a)de.postfix.org > > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > > -- > [*] sys4 AG > > http://sys4.de, +49 (89) 30 90 46 64 > Franziskanerstraße 15, 81669 München > > Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 > Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer > Aufsichtsratsvorsitzender: Florian Kirstein > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0

Re: [postfix-users] Postfix + fail2ban
by Patrick Ben Koetter via postfix-users 30 Sep '13

30 Sep '13

André, * André Loos via postfix-users <andre.loos(a)cogaa.de>: > ich habe auf meinem Mailserver (Postfix) das bekannte fail2ban installiert. > Gibt es eine Möglichkeit die fail2ban Benachrichtigung so zu gestalten, dass > mir ersichtlich ist, mit welchem Konto das Login (pop3/imap/sasl) > gescheitert ist? mir ist nicht bekannt, dass f2b das out of the box kann und auch nicht, dass man es einfach dahingehend erweitern kann. Christian Rößner und ich haben mal für ARF-Reports f2b evaluiert und dann bald die Finger davon gelassen: Die Idee war gut - der Code nicht. (Ralf würde sagen: Es war so schlecht, dass ich es umschreiben musste bevor ich es wegwarf...) > Das Logging des Daemons müsste natürlich den fehlgeschlagene Versuch mit dem > benutzen Login erfassen. Ist das z.B. über den Loglevel steuerbar? In dovecot siehst du im normalen Loglevel, ob ein Login fehlgeschlagen ist und auch den "user=<>": 2013-09-29T18:23:50.516957+02:00 joliett dovecot: imap-login: Aborted login (auth failed, 1 attempts in 2 secs): user=<user(a)example.com>, method=PLAIN, rip=xxx.xxx.xxx.xxx, lip=xxx.xxx.xxx.xxx, session=<+Jj8JIjnNQBtLAAa> > Was müsste oder kann ich tun, um hier genauere Informationen zu erhalten? Vielleicht kannst Du f2b ja nach "mehr" suchen lassen als es für den Sachverhalt "auth failed" benötigt und dann ist zufällig der user-String mit dabei. Nicht schön, aber effektiv. p@rick > Ich verspreche mir davon, zeitnah zu sehen, auf welche Domain oder auf > welches Konto eine inszenierte Attacke es gerade abgesehen hat. > Ich hatte kürzlich den Fall, dass die Login-Daten eines Benutzers, > vermutlich über einen längeren Zeitraum, erfolgreich von Angreifern getestet > wurden und wie zu erwarten zum Versenden von Spam benutzt wurden. > Im mail.log finde ich derzeit bei einem gescheiterten Login keine genaueren > Angaben zu den benutzten Logindaten. Wohl aber bei einem erfolgreichen > Login. > > Euch vielen Dank für Tipps, Ideen oder andere Strategien ... > > André Loos > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

3 2

Re: [postfix-users] Postfix + fail2ban
by Robert Schetterer via postfix-users 29 Sep '13

29 Sep '13

Am 29.09.2013 13:22, schrieb André Loos via postfix-users: > Hallo Miteinander, > > ich habe auf meinem Mailserver (Postfix) das bekannte fail2ban installiert. > Gibt es eine Möglichkeit die fail2ban Benachrichtigung so zu gestalten, dass > mir ersichtlich ist, mit welchem Konto das Login (pop3/imap/sasl) > gescheitert ist? > Das Logging des Daemons müsste natürlich den fehlgeschlagene Versuch mit dem > benutzen Login erfassen. Ist das z.B. über den Loglevel steuerbar? > Was müsste oder kann ich tun, um hier genauere Informationen zu erhalten? > Ich verspreche mir davon, zeitnah zu sehen, auf welche Domain oder auf > welches Konto eine inszenierte Attacke es gerade abgesehen hat. > Ich hatte kürzlich den Fall, dass die Login-Daten eines Benutzers, > vermutlich über einen längeren Zeitraum, erfolgreich von Angreifern getestet > wurden und wie zu erwarten zum Versenden von Spam benutzt wurden. > Im mail.log finde ich derzeit bei einem gescheiterten Login keine genaueren > Angaben zu den benutzten Logindaten. Wohl aber bei einem erfolgreichen > Login. > > Euch vielen Dank für Tipps, Ideen oder andere Strategien ... > > André Loos > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > gugg mal http://sys4.de/de/blog/2012/12/28/botnets-mit-rsyslog-und-iptables-recent-m… http://sys4.de/de/blog/2013/04/17/monitoren-und-alarmierung-von-brute-force… bringt dich evtl auf weitere Ideen Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 1

[postfix-users] Postfix + fail2ban
by André Loos via postfix-users 29 Sep '13

29 Sep '13

Hallo Miteinander, ich habe auf meinem Mailserver (Postfix) das bekannte fail2ban installiert. Gibt es eine Möglichkeit die fail2ban Benachrichtigung so zu gestalten, dass mir ersichtlich ist, mit welchem Konto das Login (pop3/imap/sasl) gescheitert ist? Das Logging des Daemons müsste natürlich den fehlgeschlagene Versuch mit dem benutzen Login erfassen. Ist das z.B. über den Loglevel steuerbar? Was müsste oder kann ich tun, um hier genauere Informationen zu erhalten? Ich verspreche mir davon, zeitnah zu sehen, auf welche Domain oder auf welches Konto eine inszenierte Attacke es gerade abgesehen hat. Ich hatte kürzlich den Fall, dass die Login-Daten eines Benutzers, vermutlich über einen längeren Zeitraum, erfolgreich von Angreifern getestet wurden und wie zu erwarten zum Versenden von Spam benutzt wurden. Im mail.log finde ich derzeit bei einem gescheiterten Login keine genaueren Angaben zu den benutzten Logindaten. Wohl aber bei einem erfolgreichen Login. Euch vielen Dank für Tipps, Ideen oder andere Strategien ... André Loos

1 0

[postfix-users] Frage Postfixregel zu RBL
by Stephan Jacob via postfix-users 23 Sep '13

23 Sep '13

Hallo Postfixgemeinde, ich möchte eine Regel implementieren die eine Mail (Client) blockt wenn die IP auf mind. 2 RBLs steht. Wie mache ich das? Ich habe in meinen smptd_restrictions mit reject_rbl_client verschiedene RBLs eingebunden. Sobald die Client-IP auf einer der Listen steht wird die Mail sofort geblockt. Das entspricht ja dem erwarteten Verhalten. Jetzt will ich aber erst blocken, wenn die Client IP noch auf mind. einer zweiten Liste vorhanden ist. Über den Sinn bzw. Unsinn solcher einer Maßnahme kann man sicher diskutieren. Es wird bei uns jetzt allerdings für bestimmte Domänen erwünscht (die Domänen-Abhängigkeit kann ich dann ja mit einer eigenen Restriction-Class umsetzen). Über Anregungen würde ich mich freuen. Danke und viele Grüße Stephan Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

3 2

[postfix-users] MAILER-DAEMON
by info＠soheyl-larinejad.de via postfix-users 17 Sep '13

17 Sep '13

Um E-Mails an die Liste postfix-users zu schicken, nutzen Sie bitte die Adresse postfix-users(a)de.postfix.org Um sich via Web von der Liste zu entfernen oder draufzusetzen: <http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users> oder, via E-Mail, schicken Sie eine E-Mail mit dem Wort 'help' in Subject/Betreff oder im Text an postfix-users-request(a)de.postfix.org Sie koennen den Listenverwalter dieser Liste unter der Adresse postfix-users-owner(a)de.postfix.org erreichen Wenn Sie antworten, bitte editieren Sie die Subject/Betreff auf einen sinnvollen Inhalt der spezifischer ist als "Re: Contents of postfix-users digest..." Meldungen des Tages: 1. Re: postfix-users Nachrichtensammlung, Band 65, Eintrag 3 (info(a)soheyl-larinejad.de via postfix-users) ---------------------------------------------------------------------- Message: 1 Date: Tue, 17 Sep 2013 13:10:26 +0200 (CEST) From: "info(a)soheyl-larinejad.de via postfix-users" <postfix-users(a)de.postfix.org> To: postfix-users(a)de.postfix.org Subject: Re: [postfix-users] postfix-users Nachrichtensammlung, Band 65, Eintrag 3 Message-ID: <1521012149.306474.1379416227101.open-xchange(a)email.1und1.de> Content-Type: text/plain; charset="utf-8" > postfix-users-request(a)de.postfix.org hat am 17. September 2013 um 12:00 > geschrieben: > > > Um E-Mails an die Liste postfix-users zu schicken, nutzen Sie bitte > die Adresse > > postfix-users(a)de.postfix.org > > Um sich via Web von der Liste zu entfernen oder draufzusetzen: > > <http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users> > > > oder, via E-Mail, schicken Sie eine E-Mail mit dem Wort 'help' in > Subject/Betreff oder im Text an > > postfix-users-request(a)de.postfix.org > > Sie koennen den Listenverwalter dieser Liste unter der Adresse > > postfix-users-owner(a)de.postfix.org > > erreichen > > Wenn Sie antworten, bitte editieren Sie die Subject/Betreff auf einen > sinnvollen Inhalt der spezifischer ist als "Re: Contents of > postfix-users digest..." > > > Meldungen des Tages: > > 1. MAILER-DAEMON (info(a)soheyl-larinejad.de via postfix-users) > 2. Re: MAILER-DAEMON (Ralf Hildebrandt via postfix-users) > 3. Re: MAILER-DAEMON (Ralf Hildebrandt via postfix-users) > > > ---------------------------------------------------------------------- > > Message: 1 > Date: Mon, 16 Sep 2013 15:57:22 +0200 (CEST) > From: "info(a)soheyl-larinejad.de via postfix-users" > <postfix-users(a)de.postfix.org> > To: postfix-users(a)de.postfix.org > Subject: [postfix-users] MAILER-DAEMON > Message-ID: > <125367553.240757.1379339842442.open-xchange(a)email.1und1.de> > Content-Type: text/plain; charset="utf-8" > > Hallo zusammen, > > > > ich bin in dem Thema Postfix noch nicht so versiert und arbeite mich gerade > rein. > > Letzte Woche hatte ich einen Vorfall, den ich nicht verstanden habe oder > besser > gesagt verstehen möchte. Ich hoffe ihr könnt mir weiterhelfen. > > Einer unserer Mitarbeiter erhielt unzustellbare Fehlermeldungen, von E-Mails > welche er vor bereits längerer Zeit rausgeschickt hattte. Der Empfänger an > dem > diese Mail geschickt wurde, hatte sich damals in unsere Mailingliste > eingetragen. Ob die von ihm hinterlegte Mailadresse existiert ist nicht > sichergestellt. > > Das Postfach von unserem Mitarbeiter war innerhalb sehr kurzer Zeit mit > mehreren > hundert Mails gefüllt und es hörte nicht mehr auf. Und immer wieder der > selber > Server der die Antwort lieferte. > > Um dem ganzen Abhilfe zu schaffen, habe ich den sendenden Server in die > sender_access Liste mit einem REJECT wie Folgt aufgenommen. > > > > Nano sender_access > > > > *.fremdserver.ka REJECT > > Fremdserver.ka REJECT > > > > postmap hash:sender_access > > > > /etc/init.d/postfix restart > > > > Ich bin mir nun nicht sicher ob das Problem nun hierdurch behoben wurde. Auch > aus diesem Grund möchte ich mehr über diesen Vorgang erfahren um in Zukunft > gezielter das Problem angehen zu können. > > > > Im Folgenden Poste ich euch die Nachricht welche von dem unbekannten Server > kam. > > Unseren Mitarbeiter bezeichne ich als YUser(a)unseredomain.de > <<mailto:YUser@unseredomain.de> > und den ursprünglichen Empfänger als > ZUser(a)ZUserdomain.de <<mailto:ZUser@ZUserdomain.de> > . > > Unseren Server Als unseredomain.de <<mailto:YServer@unseredomain.de> > > Fremden > Server als fremdserver.ka <<mailto:ZServer@fremdserver.ka> > . > > > > > > ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- > > Von: Mail Delivery System [<mailto:MAILER-DAEMON@fremdserver.ka> ] > > Gesendet: Freitag, 13. 10 2013 08:33 > > An: Unser, Benutzer > > Betreff: Unzustellbar: xxxx?.. > > Fehler bei der Nachrichtenzustellung an folgende Empfänger oder Gruppen: > > > > ZUser@localhost > > Kommunikationsfehler bei der Zustellung der Nachricht. Versuchen Sie, die > Nachricht zu einem späteren Zeitpunkt erneut zu senden. Wenden Sie sich an > den > Helpdesk, falls das Problem weiterhin besteht. > > > > Diagnoseinformationen für Administratoren: > > Generierender Server: fremdserver.ka <<mailto:ZServer@fremdserver.ka> > > > ZUser@localhost > > #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: > Connection refused> #SMTP# > > > > Ursprüngliche Nachrichtenkopfzeilen: > > > > Received: from fremdserver.ka (localhost.localdomain [127.0.0.1]) > > by fremdserver.ka (Postfix) with ESMTP id F365428D9E6FA > > for <ZUser@localhost>; Tue, 10 Sep 2013 18:11:51 +0200 (CEST) > > X-Envelope-From: <YUser(a)unseredomain.de <<mailto:YUser@unseredomain.de> > > > > X-Envelope-To: <ZUser(a)ZUserdomain.net> > > X-Delivery-Time: 1372409561 > > X-UID: 9074 > > X-RZG-MI-VALUES: bm=0 mafl=1 sh=0 du=0 sp=2,1 vv=1 nf=0 > > X-Strato-MessageType: email > > X-RZG-CLASS-ID: mi > > Received: from post.strato.de [81.169.145.136] > > by fremdserver.ka with POP3 (fetchmail-6.3.6) > > for <ZUser@localhost> (single-drop); Tue, 10 Sep 2013 18:11:51 +0200 > (CEST) > > Received: from unseredomain.de ([85.214.119.99]) > > by mailin.rzone.de (jored mi89) (RZmta 31.28 OK) > > with ESMTP id 705210p5S7f2iX for <ZUser(a)ZUserdomain.net>; > > Fri, 28 Jun 2013 10:52:41 +0200 (CEST) > > Received: from localhost (localhost [127.0.0.1]) > > by unserdomain.de (unsere Group) with ESMTP id EBAF5347C1C3; > > Fri, 28 Jun 2013 10:52:40 +0200 (CEST) > > X-Virus-Scanned: at unseredomain.de > > Received: from unseredomain.de ([127.0.0.1]) > > by localhost (unseredomain.de [127.0.0.1]) (amavisd-new, port 10024) > > with ESMTP id ZY4wU6QYSeWZ; Fri, 28 Jun 2013 10:52:39 +0200 (CEST) > > thread-index: Ac5z3IpchT6iuEijTsqHoEvqRky7Bg== > > Thread-Topic: > =?iso-8859-1?Q?Unseredomain_Pressemitteilung_Karriere-Rating_der_?= > > =?iso-8859-1?Q?DEVK_l=E4uft_aus?= > > From: <YUser <<mailto:YUser@unseredomain.de> > @Unseredomain.de> > > To: > > CC: > > Subject: =?iso-8859-1?Q?Unseredomain__Pressemitteilung_Karriere-Rating_der_?= > > =?iso-8859-1?Q?DEVK_l=E4uft_aus?= > > Date: Fri, 28 Jun 2013 10:50:29 +0200 > > Message-ID: <2D5E8CFD3E6C47F4B84A8CDE4AA13459@oskar6> > > MIME-Version: 1.0 > > Content-Type: text/plain > > X-Mailer: Microsoft CDO for Windows 2000 > > Content-Class: urn:content-classes:message > > Importance: normal > > Priority: normal > > X-AVK-Virus-Check: AVA 22.10615;F1206 > > > ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- > > > > > > > > > > Ich bedanke mich jetzt schon für eure Hilfe. > > Beste Grüße > > Soul > > -------------- nächster Teil -------------- > Ein Dateianhang mit HTML-Daten wurde abgetrennt... > URL: > > <<http://de.postfix.org/pipermail/postfix-users/attachments/20130916/6cc37fde…> > > > > ------------------------------ > > Message: 2 > Date: Tue, 17 Sep 2013 11:29:29 +0200 > From: Ralf Hildebrandt via postfix-users > <postfix-users(a)de.postfix.org> > To: postfix-users(a)de.postfix.org > Subject: Re: [postfix-users] MAILER-DAEMON > Message-ID: <20130917092929.GD12464(a)sys4.de> > Content-Type: text/plain; charset=utf-8 > > > > > Einer unserer Mitarbeiter erhielt unzustellbare Fehlermeldungen, von > > > E-Mails > > welche er vor bereits längerer Zeit rausgeschickt hattte. Der Empfänger an > > dem > > diese Mail geschickt wurde, hatte sich damals in unsere Mailingliste > > eingetragen. Ob die von ihm hinterlegte Mailadresse existiert ist nicht > > sichergestellt. > > > > > Wieso kann der sich dann in eine Eurer Mailinglisten eintragen? > Entshuldige habe mich falsch ausgedrückt. Das ist eine Newsletter Liste. Hier kann sich so ziemlich alles und jeder eintragen. > Standard ist: Ich trage eine Adresse ein, kriege Bestätigungsmail an > DIESE Adresse und DANN, erst DANN und nur DANN, bin ich "drin". > > Alles andere ist problematisch. Aber das hast Du ja gerade selbst > bemerkt > Ja habe ich und wie, hat mich am Freitag den 13. fast den ganzen Abend gekostet. Danke für dein Tipp, dass werde ich mal so weitergeben an die Richtige Abteilung (Webprogrammierer)...:) > > > > Um dem ganzen Abhilfe zu schaffen, habe ich den sendenden Server in die > > sender_access Liste mit einem REJECT wie Folgt aufgenommen. > > > > > > > > Nano sender_access > > > > > > > > *.fremdserver.ka REJECT > > > > > Die syntax gibt es nicht. > > > > > Fremdserver.ka REJECT > > > > > Um zu sagen wie/ob das funktioniert müsste man wissen, wie > sender_access benutzt wird (mit check_sender_access > hash:/etc/postfix/sender_access)? > Ja genau so steht es in der main.cf. check_sender_access hash:/etc/postfix/sender_access > Dann müssen die Mails von einer irgendwas(a)Fremdserver.ka Adresse > gekommen sein - und waren keine Bounces. > > > > > postmap hash:sender_access > > /etc/init.d/postfix restart > > > > > Restart ist nicht nötig. > Dankeschön:) > > > > Ich bin mir nun nicht sicher ob das Problem nun hierdurch behoben wurde. > > Auch > > aus diesem Grund möchte ich mehr über diesen Vorgang erfahren um in > > Zukunft > > gezielter das Problem angehen zu können. > > > > > Na man sollte schon rauskriegen, WARUM da soviele Mails zurückgekommen > sind. Dazu muss man sich den Bounce (oder was auch immer es ist) genau > ansehen, Datumsangaben vergleichen usw. > > > > > Unseren Mitarbeiter bezeichne ich als YUser(a)unseredomain.de > > <<mailto:YUser@unseredomain.de> > und den ursprünglichen Empfänger als > > ZUser(a)ZUserdomain.de <<mailto:ZUser@ZUserdomain.de> > . > > > > > > > > Received: from post.strato.de [81.169.145.136] > > > > by fremdserver.ka with POP3 (fetchmail-6.3.6) > > > > for <ZUser@localhost> (single-drop); Tue, 10 Sep 2013 18:11:51 +0200 > > (CEST) > > > > > Alles lief in eine Mailbox, die wurde per POP und fetchmail abgeholt > > > > > Received: from unseredomain.de ([85.214.119.99]) > > > > by mailin.rzone.de (jored mi89) (RZmta 31.28 OK) > > > > with ESMTP id 705210p5S7f2iX for <ZUser(a)ZUserdomain.net>; > > > > Fri, 28 Jun 2013 10:52:41 +0200 (CEST) > > > > > Seit ÄONEN das erste Mal, denn die Mail ist am 28 Jun 2013 in die POP > Box gekommen, wurde aber erst am 10 Sep 2013 abgeholt. > > Dann hat die Mail 3 Tage auf dem abholenden Postfix gegammelt, der nicht > LMTP mit Dovecot reden konnte: > > #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: > Connection refused> #SMTP# > > Dann ist alles gebounced. > > > ------------------------------ > > Message: 3 > Date: Tue, 17 Sep 2013 11:36:04 +0200 > From: Ralf Hildebrandt via postfix-users > <postfix-users(a)de.postfix.org> > To: postfix-users(a)de.postfix.org > Subject: Re: [postfix-users] MAILER-DAEMON > Message-ID: <20130917093604.GE12464(a)sys4.de> > Content-Type: text/plain; charset=utf-8 > > > > > Seit ÄONEN das erste Mal, denn die Mail ist am 28 Jun 2013 in die POP > > Box gekommen, wurde aber erst am 10 Sep 2013 abgeholt. > > > > Dann hat die Mail 3 Tage auf dem abholenden Postfix gegammelt, der nicht > > LMTP mit Dovecot reden konnte: > > > > #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: > > Connection refused> #SMTP# > > > > Dann ist alles gebounced. > > > > > Übersetzung: > > a) nicht deine Schuld > > b) eigentlich doch deine Schuld, weil die Adresse NIE NIE NIE ohne > Bestätigung auf die Liste hätte kommen dürfen > > Einwand zu b) Das hilft natürlich nicht, wenn das ganze mal korrekt > bestätigt wurde, die DANN ihren Mailserver kaputtgespielt haben und Ihr > OHNE FEHLER immer Mail hingeschickt hat. > > Und nach drei Monaten hat's dann richtig geknallt und alle > "aufgestauten Fehler" kamen en-bloc zurück. > > Schlußfolgerung: > > Ich persönlich würde die Mail von der Adressliste löschen und nicht > weiter drüber nachdenken. Sowas ist relativ unwahrscheinlich. > die Mailadresse habe ich bereits aus der Liste genommen. Habe immer noch Fragezeichen im Kopf aber ich werde dein Tipp annehmen und nicht weiter darüber nachdenken. Vielen dank für die Hilfe.

1 0

Re: [postfix-users] postfix-users Nachrichtensammlung, Band 65, Eintrag 3
by info＠soheyl-larinejad.de via postfix-users 17 Sep '13

17 Sep '13

> postfix-users-request(a)de.postfix.org hat am 17. September 2013 um 12:00 > geschrieben: > > > Um E-Mails an die Liste postfix-users zu schicken, nutzen Sie bitte > die Adresse > > postfix-users(a)de.postfix.org > > Um sich via Web von der Liste zu entfernen oder draufzusetzen: > > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > > oder, via E-Mail, schicken Sie eine E-Mail mit dem Wort 'help' in > Subject/Betreff oder im Text an > > postfix-users-request(a)de.postfix.org > > Sie koennen den Listenverwalter dieser Liste unter der Adresse > > postfix-users-owner(a)de.postfix.org > > erreichen > > Wenn Sie antworten, bitte editieren Sie die Subject/Betreff auf einen > sinnvollen Inhalt der spezifischer ist als "Re: Contents of > postfix-users digest..." > > > Meldungen des Tages: > > 1. MAILER-DAEMON (info(a)soheyl-larinejad.de via postfix-users) > 2. Re: MAILER-DAEMON (Ralf Hildebrandt via postfix-users) > 3. Re: MAILER-DAEMON (Ralf Hildebrandt via postfix-users) > > > ---------------------------------------------------------------------- > > Message: 1 > Date: Mon, 16 Sep 2013 15:57:22 +0200 (CEST) > From: "info(a)soheyl-larinejad.de via postfix-users" > <postfix-users(a)de.postfix.org> > To: postfix-users(a)de.postfix.org > Subject: [postfix-users] MAILER-DAEMON > Message-ID: > <125367553.240757.1379339842442.open-xchange(a)email.1und1.de> > Content-Type: text/plain; charset="utf-8" > > Hallo zusammen, > > > > ich bin in dem Thema Postfix noch nicht so versiert und arbeite mich gerade > rein. > > Letzte Woche hatte ich einen Vorfall, den ich nicht verstanden habe oder > besser > gesagt verstehen möchte. Ich hoffe ihr könnt mir weiterhelfen. > > Einer unserer Mitarbeiter erhielt unzustellbare Fehlermeldungen, von E-Mails > welche er vor bereits längerer Zeit rausgeschickt hattte. Der Empfänger an dem > diese Mail geschickt wurde, hatte sich damals in unsere Mailingliste > eingetragen. Ob die von ihm hinterlegte Mailadresse existiert ist nicht > sichergestellt. > > Das Postfach von unserem Mitarbeiter war innerhalb sehr kurzer Zeit mit > mehreren > hundert Mails gefüllt und es hörte nicht mehr auf. Und immer wieder der selber > Server der die Antwort lieferte. > > Um dem ganzen Abhilfe zu schaffen, habe ich den sendenden Server in die > sender_access Liste mit einem REJECT wie Folgt aufgenommen. > > > > Nano sender_access > > > > *.fremdserver.ka REJECT > > Fremdserver.ka REJECT > > > > postmap hash:sender_access > > > > /etc/init.d/postfix restart > > > > Ich bin mir nun nicht sicher ob das Problem nun hierdurch behoben wurde. Auch > aus diesem Grund möchte ich mehr über diesen Vorgang erfahren um in Zukunft > gezielter das Problem angehen zu können. > > > > Im Folgenden Poste ich euch die Nachricht welche von dem unbekannten Server > kam. > > Unseren Mitarbeiter bezeichne ich als YUser(a)unseredomain.de > <mailto:YUser@unseredomain.de> und den ursprünglichen Empfänger als > ZUser(a)ZUserdomain.de <mailto:ZUser@ZUserdomain.de> . > > Unseren Server Als unseredomain.de <mailto:YServer@unseredomain.de> Fremden > Server als fremdserver.ka <mailto:ZServer@fremdserver.ka> . > > > > > ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- > > Von: Mail Delivery System [mailto:MAILER-DAEMON@fremdserver.ka] > > Gesendet: Freitag, 13. 10 2013 08:33 > > An: Unser, Benutzer > > Betreff: Unzustellbar: xxxx?.. > > Fehler bei der Nachrichtenzustellung an folgende Empfänger oder Gruppen: > > > > ZUser@localhost > > Kommunikationsfehler bei der Zustellung der Nachricht. Versuchen Sie, die > Nachricht zu einem späteren Zeitpunkt erneut zu senden. Wenden Sie sich an den > Helpdesk, falls das Problem weiterhin besteht. > > > > Diagnoseinformationen für Administratoren: > > Generierender Server: fremdserver.ka <mailto:ZServer@fremdserver.ka> > > ZUser@localhost > > #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: > Connection refused> #SMTP# > > > > Ursprüngliche Nachrichtenkopfzeilen: > > > > Received: from fremdserver.ka (localhost.localdomain [127.0.0.1]) > > by fremdserver.ka (Postfix) with ESMTP id F365428D9E6FA > > for <ZUser@localhost>; Tue, 10 Sep 2013 18:11:51 +0200 (CEST) > > X-Envelope-From: <YUser(a)unseredomain.de <mailto:YUser@unseredomain.de> > > > X-Envelope-To: <ZUser(a)ZUserdomain.net> > > X-Delivery-Time: 1372409561 > > X-UID: 9074 > > X-RZG-MI-VALUES: bm=0 mafl=1 sh=0 du=0 sp=2,1 vv=1 nf=0 > > X-Strato-MessageType: email > > X-RZG-CLASS-ID: mi > > Received: from post.strato.de [81.169.145.136] > > by fremdserver.ka with POP3 (fetchmail-6.3.6) > > for <ZUser@localhost> (single-drop); Tue, 10 Sep 2013 18:11:51 +0200 > (CEST) > > Received: from unseredomain.de ([85.214.119.99]) > > by mailin.rzone.de (jored mi89) (RZmta 31.28 OK) > > with ESMTP id 705210p5S7f2iX for <ZUser(a)ZUserdomain.net>; > > Fri, 28 Jun 2013 10:52:41 +0200 (CEST) > > Received: from localhost (localhost [127.0.0.1]) > > by unserdomain.de (unsere Group) with ESMTP id EBAF5347C1C3; > > Fri, 28 Jun 2013 10:52:40 +0200 (CEST) > > X-Virus-Scanned: at unseredomain.de > > Received: from unseredomain.de ([127.0.0.1]) > > by localhost (unseredomain.de [127.0.0.1]) (amavisd-new, port 10024) > > with ESMTP id ZY4wU6QYSeWZ; Fri, 28 Jun 2013 10:52:39 +0200 (CEST) > > thread-index: Ac5z3IpchT6iuEijTsqHoEvqRky7Bg== > > Thread-Topic: > =?iso-8859-1?Q?Unseredomain_Pressemitteilung_Karriere-Rating_der_?= > > =?iso-8859-1?Q?DEVK_l=E4uft_aus?= > > From: <YUser <mailto:YUser@unseredomain.de> @Unseredomain.de> > > To: > > CC: > > Subject: =?iso-8859-1?Q?Unseredomain__Pressemitteilung_Karriere-Rating_der_?= > > =?iso-8859-1?Q?DEVK_l=E4uft_aus?= > > Date: Fri, 28 Jun 2013 10:50:29 +0200 > > Message-ID: <2D5E8CFD3E6C47F4B84A8CDE4AA13459@oskar6> > > MIME-Version: 1.0 > > Content-Type: text/plain > > X-Mailer: Microsoft CDO for Windows 2000 > > Content-Class: urn:content-classes:message > > Importance: normal > > Priority: normal > > X-AVK-Virus-Check: AVA 22.10615;F1206 > > ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- > > > > > > > > > > Ich bedanke mich jetzt schon für eure Hilfe. > > Beste Grüße > > Soul > > -------------- nächster Teil -------------- > Ein Dateianhang mit HTML-Daten wurde abgetrennt... > URL: > <http://de.postfix.org/pipermail/postfix-users/attachments/20130916/6cc37fde…> > > ------------------------------ > > Message: 2 > Date: Tue, 17 Sep 2013 11:29:29 +0200 > From: Ralf Hildebrandt via postfix-users > <postfix-users(a)de.postfix.org> > To: postfix-users(a)de.postfix.org > Subject: Re: [postfix-users] MAILER-DAEMON > Message-ID: <20130917092929.GD12464(a)sys4.de> > Content-Type: text/plain; charset=utf-8 > > > Einer unserer Mitarbeiter erhielt unzustellbare Fehlermeldungen, von E-Mails > > welche er vor bereits längerer Zeit rausgeschickt hattte. Der Empfänger an > > dem > > diese Mail geschickt wurde, hatte sich damals in unsere Mailingliste > > eingetragen. Ob die von ihm hinterlegte Mailadresse existiert ist nicht > > sichergestellt. > > Wieso kann der sich dann in eine Eurer Mailinglisten eintragen? Entshuldige habe mich falsch ausgedrückt. Das ist eine Newsletter Liste. Hier kann sich so ziemlich alles und jeder eintragen. > > Standard ist: Ich trage eine Adresse ein, kriege Bestätigungsmail an > DIESE Adresse und DANN, erst DANN und nur DANN, bin ich "drin". > > Alles andere ist problematisch. Aber das hast Du ja gerade selbst > bemerkt :) Ja habe ich und wie, hat mich am Freitag den 13. fast den ganzen Abend gekostet. Danke für dein Tipp, dass werde ich mal so weitergeben an die Richtige Abteilung (Webprogrammierer)...:) > > > Um dem ganzen Abhilfe zu schaffen, habe ich den sendenden Server in die > > sender_access Liste mit einem REJECT wie Folgt aufgenommen. > > > > > > > > Nano sender_access > > > > > > > > *.fremdserver.ka REJECT > > Die syntax gibt es nicht. > > > Fremdserver.ka REJECT > > Um zu sagen wie/ob das funktioniert müsste man wissen, wie > sender_access benutzt wird (mit check_sender_access > hash:/etc/postfix/sender_access)? Ja genau so steht es in der main.cf. check_sender_access hash:/etc/postfix/sender_access > > Dann müssen die Mails von einer irgendwas(a)Fremdserver.ka Adresse > gekommen sein - und waren keine Bounces. > > > postmap hash:sender_access > > /etc/init.d/postfix restart > > Restart ist nicht nötig. Dankeschön:) > > > Ich bin mir nun nicht sicher ob das Problem nun hierdurch behoben wurde. > > Auch > > aus diesem Grund möchte ich mehr über diesen Vorgang erfahren um in Zukunft > > gezielter das Problem angehen zu können. > > Na man sollte schon rauskriegen, WARUM da soviele Mails zurückgekommen > sind. Dazu muss man sich den Bounce (oder was auch immer es ist) genau > ansehen, Datumsangaben vergleichen usw. > > > Unseren Mitarbeiter bezeichne ich als YUser(a)unseredomain.de > > <mailto:YUser@unseredomain.de> und den ursprünglichen Empfänger als > > ZUser(a)ZUserdomain.de <mailto:ZUser@ZUserdomain.de> . > > > Received: from post.strato.de [81.169.145.136] > > > > by fremdserver.ka with POP3 (fetchmail-6.3.6) > > > > for <ZUser@localhost> (single-drop); Tue, 10 Sep 2013 18:11:51 +0200 > > (CEST) > > Alles lief in eine Mailbox, die wurde per POP und fetchmail abgeholt > > > Received: from unseredomain.de ([85.214.119.99]) > > > > by mailin.rzone.de (jored mi89) (RZmta 31.28 OK) > > > > with ESMTP id 705210p5S7f2iX for <ZUser(a)ZUserdomain.net>; > > > > Fri, 28 Jun 2013 10:52:41 +0200 (CEST) > > Seit ÄONEN das erste Mal, denn die Mail ist am 28 Jun 2013 in die POP > Box gekommen, wurde aber erst am 10 Sep 2013 abgeholt. > > Dann hat die Mail 3 Tage auf dem abholenden Postfix gegammelt, der nicht > LMTP mit Dovecot reden konnte: > > #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: > Connection refused> #SMTP# > > Dann ist alles gebounced. > > > ------------------------------ > > Message: 3 > Date: Tue, 17 Sep 2013 11:36:04 +0200 > From: Ralf Hildebrandt via postfix-users > <postfix-users(a)de.postfix.org> > To: postfix-users(a)de.postfix.org > Subject: Re: [postfix-users] MAILER-DAEMON > Message-ID: <20130917093604.GE12464(a)sys4.de> > Content-Type: text/plain; charset=utf-8 > > > Seit ÄONEN das erste Mal, denn die Mail ist am 28 Jun 2013 in die POP > > Box gekommen, wurde aber erst am 10 Sep 2013 abgeholt. > > > > Dann hat die Mail 3 Tage auf dem abholenden Postfix gegammelt, der nicht > > LMTP mit Dovecot reden konnte: > > > > #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: > > Connection refused> #SMTP# > > > > Dann ist alles gebounced. > > Übersetzung: > > a) nicht deine Schuld > > b) eigentlich doch deine Schuld, weil die Adresse NIE NIE NIE ohne > Bestätigung auf die Liste hätte kommen dürfen > > Einwand zu b) Das hilft natürlich nicht, wenn das ganze mal korrekt > bestätigt wurde, die DANN ihren Mailserver kaputtgespielt haben und Ihr > OHNE FEHLER immer Mail hingeschickt hat. > > Und nach drei Monaten hat's dann richtig geknallt und alle > "aufgestauten Fehler" kamen en-bloc zurück. > > Schlußfolgerung: > > Ich persönlich würde die Mail von der Adressliste löschen und nicht > weiter drüber nachdenken. Sowas ist relativ unwahrscheinlich. die Mailadresse habe ich bereits aus der Liste genommen. Habe immer noch Fragezeichen im Kopf aber ich werde dein Tipp annehmen und nicht weiter darüber nachdenken. Vielen dank für die Hilfe. > > -- > [*] sys4 AG > > http://sys4.de, +49 (89) 30 90 46 64 > Franziskanerstraße 15, 81669 München > > Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 > Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer > Aufsichtsratsvorsitzender: Florian Kirstein > > > ------------------------------ > > Subject: Fusszeile der Nachrichtensammlung > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > > > ------------------------------ > > Ende postfix-users Nachrichtensammlung, Band 65, Eintrag 3 > **********************************************************

1 0

[postfix-users] MAILER-DAEMON
by info＠soheyl-larinejad.de via postfix-users 17 Sep '13

17 Sep '13

Hallo zusammen, ich bin in dem Thema Postfix noch nicht so versiert und arbeite mich gerade rein. Letzte Woche hatte ich einen Vorfall, den ich nicht verstanden habe oder besser gesagt verstehen möchte. Ich hoffe ihr könnt mir weiterhelfen. Einer unserer Mitarbeiter erhielt unzustellbare Fehlermeldungen, von E-Mails welche er vor bereits längerer Zeit rausgeschickt hattte. Der Empfänger an dem diese Mail geschickt wurde, hatte sich damals in unsere Mailingliste eingetragen. Ob die von ihm hinterlegte Mailadresse existiert ist nicht sichergestellt. Das Postfach von unserem Mitarbeiter war innerhalb sehr kurzer Zeit mit mehreren hundert Mails gefüllt und es hörte nicht mehr auf. Und immer wieder der selber Server der die Antwort lieferte. Um dem ganzen Abhilfe zu schaffen, habe ich den sendenden Server in die sender_access Liste mit einem REJECT wie Folgt aufgenommen. Nano sender_access *.fremdserver.ka REJECT Fremdserver.ka REJECT postmap hash:sender_access /etc/init.d/postfix restart Ich bin mir nun nicht sicher ob das Problem nun hierdurch behoben wurde. Auch aus diesem Grund möchte ich mehr über diesen Vorgang erfahren um in Zukunft gezielter das Problem angehen zu können. Im Folgenden Poste ich euch die Nachricht welche von dem unbekannten Server kam. Unseren Mitarbeiter bezeichne ich als YUser(a)unseredomain.de <mailto:YUser@unseredomain.de> und den ursprünglichen Empfänger als ZUser(a)ZUserdomain.de <mailto:ZUser@ZUserdomain.de> . Unseren Server Als unseredomain.de <mailto:YServer@unseredomain.de> Fremden Server als fremdserver.ka <mailto:ZServer@fremdserver.ka> . ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- Von: Mail Delivery System [mailto:MAILER-DAEMON@fremdserver.ka] Gesendet: Freitag, 13. 10 2013 08:33 An: Unser, Benutzer Betreff: Unzustellbar: xxxx….. Fehler bei der Nachrichtenzustellung an folgende Empfänger oder Gruppen: ZUser@localhost Kommunikationsfehler bei der Zustellung der Nachricht. Versuchen Sie, die Nachricht zu einem späteren Zeitpunkt erneut zu senden. Wenden Sie sich an den Helpdesk, falls das Problem weiterhin besteht. Diagnoseinformationen für Administratoren: Generierender Server: fremdserver.ka <mailto:ZServer@fremdserver.ka> ZUser@localhost #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: Connection refused> #SMTP# Ursprüngliche Nachrichtenkopfzeilen: Received: from fremdserver.ka (localhost.localdomain [127.0.0.1]) by fremdserver.ka (Postfix) with ESMTP id F365428D9E6FA for <ZUser@localhost>; Tue, 10 Sep 2013 18:11:51 +0200 (CEST) X-Envelope-From: <YUser(a)unseredomain.de <mailto:YUser@unseredomain.de> > X-Envelope-To: <ZUser(a)ZUserdomain.net> X-Delivery-Time: 1372409561 X-UID: 9074 X-RZG-MI-VALUES: bm=0 mafl=1 sh=0 du=0 sp=2,1 vv=1 nf=0 X-Strato-MessageType: email X-RZG-CLASS-ID: mi Received: from post.strato.de [81.169.145.136] by fremdserver.ka with POP3 (fetchmail-6.3.6) for <ZUser@localhost> (single-drop); Tue, 10 Sep 2013 18:11:51 +0200 (CEST) Received: from unseredomain.de ([85.214.119.99]) by mailin.rzone.de (jored mi89) (RZmta 31.28 OK) with ESMTP id 705210p5S7f2iX for <ZUser(a)ZUserdomain.net>; Fri, 28 Jun 2013 10:52:41 +0200 (CEST) Received: from localhost (localhost [127.0.0.1]) by unserdomain.de (unsere Group) with ESMTP id EBAF5347C1C3; Fri, 28 Jun 2013 10:52:40 +0200 (CEST) X-Virus-Scanned: at unseredomain.de Received: from unseredomain.de ([127.0.0.1]) by localhost (unseredomain.de [127.0.0.1]) (amavisd-new, port 10024) with ESMTP id ZY4wU6QYSeWZ; Fri, 28 Jun 2013 10:52:39 +0200 (CEST) thread-index: Ac5z3IpchT6iuEijTsqHoEvqRky7Bg== Thread-Topic: =?iso-8859-1?Q?Unseredomain_Pressemitteilung_Karriere-Rating_der_?= =?iso-8859-1?Q?DEVK_l=E4uft_aus?= From: <YUser <mailto:YUser@unseredomain.de> @Unseredomain.de> To: CC: Subject: =?iso-8859-1?Q?Unseredomain__Pressemitteilung_Karriere-Rating_der_?= =?iso-8859-1?Q?DEVK_l=E4uft_aus?= Date: Fri, 28 Jun 2013 10:50:29 +0200 Message-ID: <2D5E8CFD3E6C47F4B84A8CDE4AA13459@oskar6> MIME-Version: 1.0 Content-Type: text/plain X-Mailer: Microsoft CDO for Windows 2000 Content-Class: urn:content-classes:message Importance: normal Priority: normal X-AVK-Virus-Check: AVA 22.10615;F1206 ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- Ich bedanke mich jetzt schon für eure Hilfe. Beste Grüße Soul

2 2

[postfix-users] Erkennen von Absenderfälschungen bei Phishing Mails
by Stephan Jacob via postfix-users 02 Sep '13

02 Sep '13

Hallo Liebe Postfix-Gemeinde, ich habe folgendes Problem/Vorhaben: Im Zuge von Phishing-Bekämpfung wollen wir Mails, die einen Absender aus unseren Domains haben aber nicht von Clients aus unserem Netzwerk stammen ablehnen. Ziel ist es Phishing-Nachrichten mit gefälschten Absender zu erkennen. (Wir haben ein extra SMTP-Relay, über welches die Leute normal auch von extern über Authentifizierung senden können und wo diese Regel nicht greift). Das ganze habe ich wie folgt umgesetzt: Es gibt eine check_sender_access Regel, die, wenn eine Absender Adresse aus unserer Domain ist, eine eigene Restriction Class aufruft. In dieser Class ist eine client_access_restriction angelegt, die immer dann rejectet, wenn die IP nicht aus unserem Netz stammt. Das Ganze funktioniert auch sehr gut. Aber nun mein Problem: Wir haben bei uns Organisationen (z.B. der Studentenrat) die eine eigene Domain haben und diese auch extern hosten lassen. Dort haben die Leute auch eine Mail-Adresse in dieser Domain bei dem externen Anbieter. Da den Leuten es aber zu aufwendig ist diese Postfächer abzurufen haben einige eine Weiterleitung auf ihr Uni Magdeburg Adresse angelegt (die Mitglieder dieser Organisationen sind auch Mitglieder unserer Uni). Wenn jetzt jemand von der Uni Magdeburg eine Mail an die Adresse des Studentenrates sendet, dann geht diese raus zu dem externen Dienstleister und wird von dort wieder rein zu uns gesendet (Weiterleitung). Dabei bleibt der Absender erhalten (sprich eine Uni-Magdeburg Adresse ist Absender) aber der Client meldet sich natürlich mit einer IP die nicht in unserem Netzwerk liegt (die IP des externen Hosters). Das heißt entsprechend meiner Restriction würde die Mail abgelehnt werden, da der Absender von intern kommt und die Mail von einem externen Client. Das soll sie aber nicht, da es eine "legale" Mail ist. Bei Weiterleitungen von bspw. GMX konnte ich das Problem in einem ersten Test nicht feststellen, da bei GMX anscheinend ein neuer Envelope gesetzt wird, wo der Absender für die weitergeleitete Mail die GMX-Mail-Adresse, an welche gesendet wurde, ist. Da greift meine Regel korrekter Weise nicht, da es eine externe Domain im Absender ist und eine externe Client-IP vorliegt. Ich hoffe ich konnte die Situation und das Problem einigermaßen beschreiben. Jetzt die Frage, wie kann ich, ohne solche gewollten Mails zu blocken, sinnvoll Mails von außen blocken, die unrechtmäßiger Weise eine Adresse aus unserer Domain als Absender angeben? Wie macht ihr sowas, bzw. ist es überhaupt sinnvoll und machbar zuverlässig solche Mails zu blocken? Ich würde mich über ein paar Denkanstöße sehr freuen. Viele Grüße aus Magdeburg Stephan Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

3 2

[postfix-users] Split-Domain-Setup
by Klaus Rörig via postfix-users 27 Aug '13

27 Aug '13

Hallo Liste, ich sehe hier grad den Wald vor lauter Bäumen nicht mehr. Folgendes Szenario: 1 Domain: meinedomain.de 2 Server mit Postfächern (90% auf Server1, Rest auf Server2) Beide Server fühlen sich für meinedomain.de zuständig (virtual_alias_domains) MX für meinedomain.de ist Server1 mit Dovecot für IMAP/POP3 Bestimmte Adressen sollen nun an Server durch gereicht werden. Und hier komm ich grad nicht weiter. Ich dachte mir eigentlich ich lege eine transport_map an mit folgendem Inhalt: user(a)meinedomain.de smtp:[server2] Aber diesen Eintrag ignoriert Posfix geflissentlich und meldet "User unknown in virtual alias table" postconf -n: alias_database = hash:/etc/aliases alias_maps = hash:/etc/aliases, ldap:/etc/postfix/ldap-forwards.cf append_dot_mydomain = no biff = no broken_sasl_auth_clients = yes canonical_maps = hash:/etc/postfix/canonical config_directory = /etc/postfix debug_peer_level = 2 debug_peer_list = localhost, 127.0.0.1 delay_warning_time = 4h inet_interfaces = all local_header_rewrite_clients = static:all mailbox_size_limit = 0 mailbox_transport = lmtp:unix:private/dovecot-lmtp message_size_limit = 524288000 mydestination = mx.meinedomain.de, 127.0.0.1 myhostname = mx.meinedomain.de mynetworks = 192.168.17.0/24 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128 myorigin = /etc/mailname readme_directory = no recipient_delimiter = + relayhost = smtp_sasl_auth_enable = yes smtp_sasl_password_maps = hash:/etc/postfix/saslpass smtp_sasl_security_options = noanonymous smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU) smtpd_delay_reject = no smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unknown_helo_hostname, reject_unauth_destination smtpd_sasl_auth_enable = yes smtpd_sasl_authenticated_header = yes smtpd_sasl_path = private/auth smtpd_sasl_security_options = noanonymous smtpd_sasl_type = dovecot smtpd_sender_login_maps = ldap:/etc/postfix/ldap-sender-maps.cf smtpd_sender_restrictions = permit_mynetworks, reject_unknown_sender_domain smtpd_tls_cert_file = /etc/ssl/private/cert.pem smtpd_tls_key_file = /etc/ssl/private/privatekey.pem smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache smtpd_use_tls = yes transport_maps = hash:/etc/postfix/transports virtual_alias_domains = meindomain.de virtual_alias_expansion_limit = 2000 virtual_alias_maps = hash:/etc/postfix/virtual-aliases, mysql:/etc/postfix/ mysql-virtual-aliases.cf, ldap:/etc/postfix/ldap-virtual-group-aliases.cf, ldap:/etc/postfix/ldap-virtual-aliases.cf transports: irgendwas(a)meinedomain.de smtp:[server2] Die virtual_aliases sind in der Form mailuser(a)meinedomain.de postfachname Wo habe ich meinen Denkfehler? Danke & Gruß, Klaus

2 1