- postfix-users - list.sys4.de

[postfix-users] OT: Exchange 2013 Empfängervalidierung
by Thomas Antony via postfix-users 17 Aug '13

17 Aug '13

Hallo Ich konfiguriere gerade eben einen Postfix vor einem Exchange 2013 und bin auf Robert Schetterer Hinweis zu Exchange 2013 Empfängervalidierung aufmerksam geworden. Ich kann bestätigen das Exchange 2013 erst nach (!!!) DATA ein "550 5.1.1 User unknown*" *auswirft und die Email abweist. Somit hat es sich mit "reject_unverified_recipient" erledigt. Ist das Exchange 2013 Verhalten RFC konform bei "RCPT TO" ein OK auszugeben und erst nach DATA die Email mit "550 5.1.1 User unknown" abzuweisen? Was für Alternativen gibt es zu "reject_unverified_recipient bei diesem Szenario? Grüße, Thomas Antony

2 5

[postfix-users] Forward Secrecy
by Jochen Fahrner via postfix-users 16 Aug '13

16 Aug '13

Hallo, hat jemand den Artikel "verpfuschte Verschlüsselung" in der c't gelesen? http://www.heise.de/newsticker/meldung/Verschluesselung-bei-Mail-in-Germany… Wie müsste man Postfix Server und Client konfigurieren um immer die bestmögliche Verschlüsselung (je nach Gegenüber) zu verwenden? Hat der Client da überhaupt ein Wörtchen mitzureden, oder bestimmt das immer der Server? -- Mit besten Grüßen Jochen Fahrner

7 42

[postfix-users] ANN: Änderung der List-Policy: DMARC
by Patrick Ben Koetter via postfix-users 16 Aug '13

16 Aug '13

Hallo postfix-users(a)de.postfix.org, ein neuer Standard kündigt sich an: DMARC Dieser Standard announced Delivery-Policies für Nachrichten, die DKIM-signiert sind und/oder SPF-Einträge im DNS führen. Die Delivery-Policies sehen als Standard vor, Nachrichten zu rejecten, wenn sie nicht mehr im 'alignment' mit DMARC-Tests sind. Heutige Mailinglisten-Manager zerstören DMARC-Prüfkritieren. Wir haben deshalb diesen List-Server so modifiziert, dass er die DMARC-Prüfkritieren intakt beläßt. Ihr erkennt es daran, dass der From:-Header oben jetzt immer den Autoren UND die Liste als Absender benennt. Diese Mail sollte folgende From:-Header haben: Patrick Ben Koetter via postfix-users <postfix-users(a)de.postfix.org> Gleichzeitig wird ein Reply-To:-Header gesetzt: Reply-To: Patrick Ben Koetter <p(a)sys4.de> Mehr Hintergrund dazu und wie ihr das selber umsetzen könnt, haben Ralf, Robert und ich hier dokumentiert: <http://sys4.de/de/blog/2013/08/11/mailman-dmarc-konform-betreiben/> <http://sys4.de/de/blog/2013/08/11/dkim-konforme-mailinglisten/> <http://sys4.de/de/blog/2013/04/15/dmarc-standard-um-missbrauch-von-mailadre…> Happy Mailing! p@rick -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

5 16

[postfix-users] Test ohne S/MIME
by via postfix-users 15 Aug '13

15 Aug '13

Hm, sieht so aus als ob die Listen-Software S/MIME mail auffrisst. Die unten aufgeführte ist bis jetzt nicht auf der Liste erschienen :-( Aug 14 11:19:27 mailer postfix/qmgr[31083]: A47221811BB: from=<lst_hoe02(a)kwsoft.de>, size=12099, nrcpt=1 (queue active) Aug 14 11:19:27 mailer postfix/smtpd[11670]: disconnect from localhost[127.0.0.1] Aug 14 11:19:29 mailer postfix/smtp[11674]: A47221811BB: to=<postfix-users(a)de.postfix.org>, relay=de.postfix.org[141.42.206.35]:25, delay=1.6, delays=0.04/0.01/0.36/1.2, dsn=2.0.0, status=sent (250 2.0.0 from MTA(smtp:[127.0.0.1]:10025): 250 2.0.0 Ok: queued as 399BD3D48F) Aug 14 11:19:29 mailer postfix/qmgr[31083]: A47221811BB: removed Gruß Andreas

3 6

[postfix-users] Postfix TLS Forward Secrecy
by Andreas Reschke via postfix-users 15 Aug '13

15 Aug '13

Hallo zusammen, bei mir sieht das so aus: [root@mail ~]# openssl s_client -CAfile /etc/certs/rirasoft.crt -starttls smtp -connect mail.rirasoft.de:25 CONNECTED(00000003) depth=0 serialNumber = IZDjLkv72AEo8rSecWf7wiT3bzjQAzoP, C = DE, O = www.rirasoft.de, OU = GT56989536, OU = See www.rapidssl.com/resources/cps (c)11, OU = Domain Control Validated - RapidSSL(R), CN = www.rirasoft.de verify error:num=20:unable to get local issuer certificate verify return:1 depth=0 serialNumber = IZDjLkv72AEo8rSecWf7wiT3bzjQAzoP, C = DE, O = www.rirasoft.de, OU = GT56989536, OU = See www.rapidssl.com/resources/cps (c)11, OU = Domain Control Validated - RapidSSL(R), CN = www.rirasoft.de verify error:num=27:certificate not trusted verify return:1 depth=0 serialNumber = IZDjLkv72AEo8rSecWf7wiT3bzjQAzoP, C = DE, O = www.rirasoft.de, OU = GT56989536, OU = See www.rapidssl.com/resources/cps (c)11, OU = Domain Control Validated - RapidSSL(R), CN = www.rirasoft.de verify error:num=21:unable to verify the first certificate verify return:1 --- Certificate chain 0 s:/serialNumber=IZDjLkv72AEo8rSecWf7wiT3bzjQAzoP/C=DE/O=www.rirasoft.de/OU=GT56989536/OU=See www.rapidssl.com/resources/cps (c)11/OU=Domain Control Validated - RapidSSL(R)/CN=www.rirasoft.de i:/C=US/O=GeoTrust, Inc./CN=RapidSSL CA --- Server certificate -----BEGIN CERTIFICATE----- MIIE2zCCA8OgAwIBAgIDAz5WMA0GCSqGSIb3DQEBBQUAMDwxCzAJBgNVBAYTAlVT MRcwFQYDVQQKEw5HZW9UcnVzdCwgSW5jLjEUMBIGA1UEAxMLUmFwaWRTU0wgQ0Ew HhcNMTEwOTE5MTY1MDM3WhcNMTQwOTIyMTI1NzMwWjCB5TEpMCcGA1UEBRMgSVpE akxrdjcyQUVvOHJTZWNXZjd3aVQzYnpqUUF6b1AxCzAJBgNVBAYTAkRFMRgwFgYD VQQKEw93d3cucmlyYXNvZnQuZGUxEzARBgNVBAsTCkdUNTY5ODk1MzYxMTAvBgNV BAsTKFNlZSB3d3cucmFwaWRzc2wuY29tL3Jlc291cmNlcy9jcHMgKGMpMTExLzAt BgNVBAsTJkRvbWFpbiBDb250cm9sIFZhbGlkYXRlZCAtIFJhcGlkU1NMKFIpMRgw FgYDVQQDEw93d3cucmlyYXNvZnQuZGUwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAw ggEKAoIBAQCfGXltVNyBB2vp7Azft5wEZlwOu11i4pcSG1dfIuMjRMx2I5oWaVBU OkEALaJDLZj8rGRrU9Pp7SMbPnrKCKeAozQsRuv2wBVGYXu7EVtNVZGJZFdR4SXi +GFGR7sgEvdO3C9y3mhJVTaXpFgIBCCOVa/0Q25MFFADdmSXKL2MjaQYCmF4uRnt RhARiVM1dswi/bi0wBVrUVVhn7Zi6Mg/nxEqZpfc9tZazMY1T7o8hzZiGEqiMR7o //x1+yTTlq9sGSz20QcF92cnbUnqQbYRhJO0V3UDyoyE0JRajGYHziYIiV1HwVhP UeLlxBwNgQGHE1axhSo9WRYOf35tMmjjAgMBAAGjggE6MIIBNjAfBgNVHSMEGDAW gBRraT1qGEJK3Y8CZTn9NSSGeJEWMDAOBgNVHQ8BAf8EBAMCBaAwHQYDVR0lBBYw FAYIKwYBBQUHAwEGCCsGAQUFBwMCMCcGA1UdEQQgMB6CD3d3dy5yaXJhc29mdC5k ZYILcmlyYXNvZnQuZGUwQwYDVR0fBDwwOjA4oDagNIYyaHR0cDovL3JhcGlkc3Ns LWNybC5nZW90cnVzdC5jb20vY3Jscy9yYXBpZHNzbC5jcmwwHQYDVR0OBBYEFDfa Qm03+c8EO//dZ0X0/qFJIDMnMAwGA1UdEwEB/wQCMAAwSQYIKwYBBQUHAQEEPTA7 MDkGCCsGAQUFBzAChi1odHRwOi8vcmFwaWRzc2wtYWlhLmdlb3RydXN0LmNvbS9y YXBpZHNzbC5jcnQwDQYJKoZIhvcNAQEFBQADggEBADkmBmzkZoFl7ibB1UQTpzb1 0aPfmzMrEOTsegHkjHqlrFzPmWI+RULn65wNxZihUsANZNMcIgBXJy2MNK/OVaWM d/VqFYr6eeP8B+wszsmL413V33JOP+5ZwsAWk7Ik1IJ50SDnBee2lIyLgvbwXC71 WLLyMCZYhdrgozXtzoY9vb6YIWG5892zmyUVUgAq4F8jdgZFzV5N+HyCB2xDfZFL 0iDVv2AqtAz7udOj71arEBsGF4PIG8k9RfubbrHm4N2Ef5Vrf5kGMXFxABSEhZNc UO8Qo0w0Q5T63y9NXI8WkCNtlDoMox1V3wB85tVa9tuAZUJxKmLbhFkzhmwxqnU= -----END CERTIFICATE----- subject=/serialNumber=IZDjLkv72AEo8rSecWf7wiT3bzjQAzoP/C=DE/O=www.rirasoft.de/OU=GT56989536/OU=See www.rapidssl.com/resources/cps (c)11/OU=Domain Control Validated - RapidSSL(R)/CN=www.rirasoft.de issuer=/C=US/O=GeoTrust, Inc./CN=RapidSSL CA --- No client certificate CA names sent --- SSL handshake has read 2291 bytes and written 345 bytes --- New, TLSv1/SSLv3, Cipher is DHE-RSA-AES256-SHA Server public key is 2048 bit Secure Renegotiation IS supported Compression: NONE Expansion: NONE SSL-Session: Protocol : TLSv1 Cipher : DHE-RSA-AES256-SHA Session-ID: 1857A4CA89E4B7F4E60A00549E6E5F31E95BEC3EEBBB44ED1DF9CA92850BD467 Session-ID-ctx: Master-Key: 6E305107B737E85CD36796591E42750976B4889EE80F7A9C867DE3839834D7FB609953B70C780B3A809D3D13EA37C934 Key-Arg : None Krb5 Principal: None PSK identity: None PSK identity hint: None TLS session ticket: 0000 - 4a 49 24 17 74 92 68 a5-1c 60 d5 fc 0f 77 dd 47 JI$.t.h..`...w.G 0010 - 26 03 fc 4f 11 76 cd 06-e6 84 cb 34 2b ac e7 2e &..O.v.....4+... 0020 - 9b a7 76 96 99 9e 36 ac-62 52 02 ed 78 70 d1 4c ..v...6.bR..xp.L 0030 - 2a bb a1 95 ae 1d 54 d4-86 e9 b6 78 e8 58 18 84 *.....T....x.X.. 0040 - 76 12 de 13 82 36 41 09-a4 a5 cd 2d 53 ca a0 5e v....6A....-S..^ 0050 - 67 63 96 22 0a b5 d8 18-0e 76 f0 a6 6f 28 e3 eb gc.".....v..o(.. 0060 - b2 2e f4 a5 a5 05 62 da-c7 00 22 51 a3 84 47 8a ......b..."Q..G. 0070 - d8 37 23 1b 42 73 bf fe-70 b1 28 e1 36 24 9e 1e .7#.Bs..p.(.6$.. 0080 - c8 30 67 87 ae e6 e5 56-05 aa 71 3b bc a1 3b ec .0g....V..q;..;. 0090 - af 64 63 c5 c7 cf c1 60-54 53 9f 9b 62 b5 cd 5a .dc....`TS..b..Z Start Time: 1376589608 Timeout : 300 (sec) Verify return code: 21 (unable to verify the first certificate) --- 250 DSN Habe ich damit Postfix TLS Forward Secrecy richtig konfiguriert? Gruß Andreas

2 1

[postfix-users] Postfix TLS Forward Secrecy
by Patrick Ben Koetter via postfix-users 14 Aug '13

14 Aug '13

Wer mehr zum Thema lesen und sein Postfix auch gleich konfigurieren will, findet Ralfs Zusammenfassung hier: <http://sys4.de/de/blog/2013/08/14/postfix-tls-forward-secrecy/> p@rick -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

5 13

[postfix-users] TLS Cipher Aushandlung
by Jochen Fahrner via postfix-users 14 Aug '13

14 Aug '13

Wie läuft eigentlich unter Mailservern die TLS Ciper Aushandlung ab? Habe ich als Server oder Client die Möglichkeit zu sagen: "wir nehmen den strengst möglichen den wir beide unterstützen"? -- Mit besten Grüßen Jochen Fahrner

4 6

[postfix-users] kleiner test nach der mlm umstellung
by Robert Schetterer via postfix-users 13 Aug '13

13 Aug '13

Hi , bei nicht Interesse ignorieren Kleiner test text _dmarc.nci.de. IN TXT "v=DMARC1; dürfte selbsterklärend sein. p=reject; wie soll verfahren werden, reject ( lehne Mails ab ) adkim=s Modus für DKIM ( stricter Modus ) aspf=s Modus für SPF ( stricter Modus ) rua=mailto:hostmaster@ allgemeine Mailadresse für Feeback ruf=mailto:hostmaster@ spez. Adresse für z.B Fehler Feedback rf=afrf Format der spez. Fehler Feedback Mail pct=100 prozentuale Angabe für p= Anweisung, hier 100 % Mit freundlichen Gruessen Best Regards Robert Schetterer robert.schetterer_at_nci.de Tel: +49 89 360350 45 -- http://www.nci.de NCI GmbH Tel: +49-89-36035030 Angaben nach TDG NCI GmbH Network, Consulting & Internet Services Valentin-Linhof-Strasse 10 DE-81829 Muenchen / Germany phone:+49-89-36035033 fax:+49-89-36035034 email: info(a)nci.de Geschäftsführer: Thomas Quilling HRB: 113793 Amtsgericht München Umsatzsteuer-ID: DE180825659

2 1

[postfix-users] TLS von MTA zu MTA
by Jochen 12 Aug '13

12 Aug '13

Hallo, seit dem PRISM-Skandal macht man sich natürlich Gedanken, wie man die staatliche Schnüffelei weitestgehend unterbinden kann. Ist es mit möglich (und sinnvoll) eine TLS-Verschlüsselung zwischen 2 MTAs zu erzwingen? Wenn ja, wie müsste man das in seinem Postfix konfigurieren, sodass niemals unverschlüsselt Mails ausgetauscht werden?

6 26

[postfix-users] Postfix mit Altermime
by Andre Hohmann 12 Aug '13

12 Aug '13

Hallo zusammen, ich nutze postfix in Verbindung mit altermime, um bei ausgehenden Mails automatisch unabhängig vom Mailclient eine Signatur/einen Disclaimer anzuhängen. Dies klappt soweit auch ganz gut. Nun nutze ich allerdings, wie wohl viele andere Nutzer auch, in meinem Mailclient die Option "Originalnachricht beim Antworten automatisch zitieren, dabei meine Antwort _über_ dem Zitat beginnen". Hier ergibt sich nun das Problem, dass postfix bzw. altermime den Disclaimer ans Ende der gesamten Mail setzt, so dass der Disclaimer unter der zitierten Mail erscheint. Ich möchte jedoch, dass altermime den Disclaimer unter meinen eigenen Mailtext, also über die zitierte Mail setzt. Kennt jemand einen Lösungsansatz? Danke!

4 3

Re: [postfix-users] TLS von MTA zu MTA
by Robert Schetterer 10 Aug '13

10 Aug '13

Am 09.08.2013 15:40, schrieb Florian Streibelt: > Am Fr, 09.08.13 um 14:30:38 Uhr > schrieb Robert Schetterer <rs(a)sys4.de>: > >> Am 09.08.2013 14:15, schrieb Jochen: >>> Hallo, >>> >>> seit dem PRISM-Skandal macht man sich natürlich Gedanken, wie man die >>> staatliche Schnüffelei weitestgehend unterbinden kann. Ist es mit >>> möglich (und sinnvoll) eine TLS-Verschlüsselung zwischen 2 MTAs zu >>> erzwingen? Wenn ja, wie müsste man das in seinem Postfix konfigurieren, >>> sodass niemals unverschlüsselt Mails ausgetauscht werden? > >> das musst du am Ende selbst entscheiden >> die Frage ist ,ob du noch am allgemeinen unverschluesselten Mailverkehr >> teilnehmen willst oder nicht, du kannst andere nicht per se zur >> Verschluesselung zwingen >> > > Es gibt noch ein weitaus größeres Problem - die passenden Zertifikate. > > Ich hab grade keine Zeit für eine ausführliche Antwort, daher nur grob. > > > Es gibt ja gerade diese 'Email made in Germany Aktion' - da versuchen sie genau das. > > http://www.heise.de/newsticker/meldung/E-Mail-Made-in-Germany-SSL-Verschlue… > > Das skaliert aber nicht, und spiegelt m.E. eine Sicherheit vor die nicht da ist und sperrt wieder mal kleinere Anbieter aus, deren Mails als nicht sicher angezeigt werden. Marketing Fasel...., und die "Anzeige" wuerde ja erstmal nur in deren Webmail zu sehen sein, mal ehrlich wer nutzt das schon, wenn er gerade nicht muss, es ist eher peinlich fuer diese Firmen ,wenn man es genau nimmt, dass sie nicht schon immer die Uebertragung verschluesselten,falls es moeglich war. Microsoft hat mit Exchange auch so einen Modus , als besonderes neues Feature angepriesen hat wie immer nur einen einen tollen neuen Namen dafuer erfunden und die Anzeige geht natuerlich nur mit Outlook und Exchange....ich befuerchte es gibt sogar Admins die das als neues Killerfeature ansehen *g > > > > Zum einen sind da draußen hundertausende Mailserver, die keine 'offiziellen' Zertifikate von einer 'anerkannten' CA haben. Meine auch nicht, ich benutze CaCert Zertifikate und habe auch nicht vor das zu ändern, da es kein mehr an Sicherheit bietet. > > Spätestens seit DigiNotar wissen wir, wie kaputt das CA-System ist. Und das kann man auch nicht reparieren - da jede CA prinzipbedingt für jede Domain ein Zertifikat ausstellen kann. > Damit ist es dann eben möglich, dass China Telekom oder Türktrust oder eine 'vertrauenswürdige' CA in den USA ein Zertifikat für eine Domain Deiner Wahl ausstellt. > > Wenn Du also den 'anerkannten' CAs traust kann die NSA immer noch ein mitm machen - du müsstest schon manuell die ZErtifikatsprüfsummen pflegen. > > > Und selbst wenn das nicht so kaputt wäre, was macht man mit den Leuten die kein TLS anbieten? Auch weil sie sich kein Zertifikat leisten wollen - und wie bekommt man raus wer kein TLS anbietet und bei wem von außen die TLS verhandlung unterbunden wird? > > > > Grüße, > Florian > also ich hab jahrelang selbst produzierte ssl crts verwendet, ich hab zwar nicht gelogged wer die alles akzeptierte, aber ich kann mich eigentlich nicht daran erinnern dass sie massenhaft abgelehnt wurden, ich gehe davon aus dass die meisten es pragmatisch handhaben und eben nach dem Motto verfahren besser ein selbst gemachtes crt und verschluesseln als gar nicht, einfach ausprobieren und mitloggen Am Ende sollte die Email selbst aber auch verschluesselt sein ( pgp,smime etc ) sonst ist es eh immer eine "Scheinsicherheit" Wer ganz sicher gehen will sollte ausserdem auf Open Source Betriebssysteme setzen *g Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

4 5

[postfix-users] Problem mit MDR und Amavis/Postfix
by marcel-ml＠irc-addicts.de 30 Jul '13

30 Jul '13

Hallo zusammen, ich denke mal, hier kann mir jemand helfen. Ich nutze Postfix in Verbindung mit Amavis und soweit laeuft das auch alles perfekt. Mails werden ueberprueft und auch geblockt, falls notwendig. Nun habe ich aber folgendes Problem: Sobald eine Mail versendet wird, in der eine Empfangs- und Lesebestaetigung eingefordert wird, erhaelt der Absender, welcher ueber den Server versendet (Auth vorher geklappt und alles) die Empfangsbestaetigung nicht vom endgueltigen Server auf der die Mail landet, sondern von amavis. Bzw von Postfix, der mitteilt das die Mail lokal auf Port 10024 zugestellt wurde. Ich und auch die eigentlichen Absender haetten natuerlich gerne anstatt der Mitteilung das die Mail an Amavis weitergeleitet wurde die Meldung das ein externer Server die Mail angenommen hat. Kann mir hier jemand einen Tipp geben wonach ich schauen muss? Jeder Hinweis wird angenommen. =) Meine master.cf sieht wie folgt aus: # # Postfix master process configuration file. For details on the format # of the file, see the master(5) manual page (command: "man 5 master"). # # Do not forget to execute "postfix reload" after editing this file. # # ========================================================================== # service type private unpriv chroot wakeup maxproc command + args # (yes) (yes) (yes) (never) (100) # ========================================================================== smtp inet n - - - - smtpd #submission inet n - - - - smtpd # -o smtpd_tls_security_level=encrypt # -o smtpd_sasl_auth_enable=yes # -o smtpd_client_restrictions=permit_sasl_authenticated,reject # -o milter_macro_daemon_name=ORIGINATING #smtps inet n - - - - smtpd # -o smtpd_tls_wrappermode=yes # -o smtpd_sasl_auth_enable=yes # -o smtpd_client_restrictions=permit_sasl_authenticated,reject # -o milter_macro_daemon_name=ORIGINATING #628 inet n - - - - qmqpd pickup fifo n - - 60 1 pickup cleanup unix n - - - 0 cleanup qmgr fifo n - n 300 1 qmgr #qmgr fifo n - - 300 1 oqmgr tlsmgr unix - - - 1000? 1 tlsmgr rewrite unix - - - - - trivial-rewrite bounce unix - - - - 0 bounce defer unix - - - - 0 bounce trace unix - - - - 0 bounce verify unix - - - - 1 verify flush unix n - - 1000? 0 flush proxymap unix - - n - - proxymap proxywrite unix - - n - 1 proxymap smtp unix - - - - - smtp # When relaying mail as backup MX, disable fallback_relay to avoid MX loops relay unix - - - - - smtp -o smtp_fallback_relay= # -o smtp_helo_timeout=5 -o smtp_connect_timeout=5 showq unix n - - - - showq error unix - - - - - error retry unix - - - - - error discard unix - - - - - discard local unix - n n - - local virtual unix - n n - - virtual lmtp unix - - - - - lmtp anvil unix - - - - 1 anvil scache unix - - - - 1 scache # # ==================================================================== # Interfaces to non-Postfix software. Be sure to examine the manual # pages of the non-Postfix software to find out what options it wants. # # Many of the following services use the Postfix pipe(8) delivery # agent. See the pipe(8) man page for information about ${recipient} # and other message envelope options. # ==================================================================== # # maildrop. See the Postfix MAILDROP_README file for details. # Also specify in main.cf: maildrop_destination_recipient_limit=1 # maildrop unix - n n - - pipe flags=DRhu user=vmail argv=/usr/bin/maildrop -d ${recipient} # # ==================================================================== ## # ==================================================================== # # Recent Cyrus versions can use the existing "lmtp" master.cf entry. # # Specify in cyrus.conf: # lmtp cmd="lmtpd -a" listen="localhost:lmtp" proto=tcp4 # # Specify in main.cf one or more of the following: # mailbox_transport = lmtp:inet:localhost # virtual_transport = lmtp:inet:localhost # # ==================================================================== # # Cyrus 2.1.5 (Amos Gouaux) # Also specify in main.cf: cyrus_destination_recipient_limit=1 # #cyrus unix - n n - - pipe # user=cyrus argv=/cyrus/bin/deliver -e -r ${sender} -m ${extension} ${user} # # ==================================================================== # Old example of delivery via Cyrus. # #old-cyrus unix - n n - - pipe # flags=R user=cyrus argv=/cyrus/bin/deliver -e -m ${extension} ${user} # # ==================================================================== # # See the Postfix UUCP_README file for configuration details. # uucp unix - n n - - pipe flags=Fqhu user=uucp argv=uux -r -n -z -a$sender - $nexthop!rmail ($recipient) # # Other external delivery methods. # ifmail unix - n n - - pipe flags=F user=ftn argv=/usr/lib/ifmail/ifmail -r $nexthop ($recipient) bsmtp unix - n n - - pipe flags=Fq. user=bsmtp argv=/usr/lib/bsmtp/bsmtp -t$nexthop -f$sender $recipient scalemail-backend unix - n n - 2 pipe flags=R user=scalemail argv=/usr/lib/scalemail/bin/scalemail-store ${nexthop} ${user} ${extension} mailman unix - n n - - pipe flags=FR user=list argv=/usr/lib/mailman/bin/postfix-to-mailman.py ${nexthop} ${user} dovecot unix - n n - - pipe flags=DRhu user=vmail:vmail argv=/usr/lib/dovecot/deliver -f ${sender} -d ${recipient} tumgreyspf unix - n n - - spawn user=tumgreyspf argv=/usr/bin/tumgreyspf amavis unix - - - - 2 smtp -o smtp_data_done_timeout=1200 -o smtp_send_xforward_command=yes -o disable_dns_lookups=yes -o max_use=20 127.0.0.1:10025 inet n - - - - smtpd -o content_filter= -o smtpd_delay_reject=no -o smtpd_client_restrictions=permit_mynetworks,reject -o smtpd_helo_restrictions= -o smtpd_sender_restrictions= -o smtpd_recipient_restrictions=permit_mynetworks,reject -o smtpd_data_restrictions=reject_unauth_pipelining -o smtpd_end_of_data_restrictions= -o smtpd_restriction_classes= -o mynetworks=127.0.0.0/8 -o smtpd_error_sleep_time=0 -o smtpd_soft_error_limit=1001 -o smtpd_hard_error_limit=1000 -o smtpd_client_connection_count_limit=0 -o smtpd_client_connection_rate_limit=0 -o receive_override_options=no_header_body_checks,no_unknown_recipient_checks,no_milters -o local_header_rewrite_clients= vacation unix - n n - - pipe flags=Rq user=vacation argv=/var/spool/vacation/vacation.pl -f ${sender} -- ${recipient} und meine main.cf # See /usr/share/postfix/main.cf.dist for a commented, more complete version # Debian specific: Specifying a file name will cause the first # line of that file to be used as the name. The Debian default # is /etc/mailname. #myorigin = /etc/mailname smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU) biff = no # appending .domain is the MUA's job. append_dot_mydomain = no # Uncomment the next line to generate "delayed mail" warnings #delay_warning_time = 4h readme_directory = no # TLS parameters #smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem #smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key #smtpd_use_tls=yes #smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache #smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache # TLS PART START smtp_tls_CAfile = /etc/postfix/tls/root.crt smtp_tls_cert_file = /etc/postfix/tls/cert.pem smtp_tls_key_file = /etc/postfix/tls/privatekey.pem smtp_tls_session_cache_database = btree:$data_directory/smtp_tls_session_cache smtp_tls_security_level = may smtp_tls_loglevel = 1 smtpd_tls_CAfile = /etc/postfix/tls/root.crt smtpd_tls_cert_file = /etc/postfix/tls/cert.pem smtpd_tls_key_file = /etc/postfix/tls/privatekey.pem smtpd_tls_session_cache_database = btree:$data_directory/smtpd_tls_session_cache smtpd_tls_security_level = may smtpd_tls_loglevel = 1 smtpd_tls_received_header = yes smtpd_tls_ask_ccert = yes #smtpd_tls_auth_only = yes # TLS PART END # See /usr/share/doc/postfix/TLS_README.gz in the postfix-doc package for # information on enabling SSL in the smtp client. myhostname = server.de alias_maps = hash:/etc/aliases alias_database = hash:/etc/aliases myorigin = /etc/mailname mydestination = server.net-addicts.de, localhost.localdomain, , localhost relayhost = mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128 mailbox_size_limit = 0 recipient_delimiter = + inet_interfaces = all # Postfixadminaenderungen # virtual_mailbox_domains = proxy:mysql:/etc/postfix/sql/mysql_virtual_domains_maps.cf virtual_alias_maps = proxy:mysql:/etc/postfix/sql/mysql_virtual_alias_maps.cf, proxy:mysql:/etc/postfix/sql/mysql_virtual_alias_domain_maps.cf, proxy:mysql:/etc/postfix/sql/mysql_virtual_alias_domain_catchall_maps.cf virtual_mailbox_maps = proxy:mysql:/etc/postfix/sql/mysql_virtual_mailbox_maps.cf, proxy:mysql:/etc/postfix/sql/mysql_virtual_alias_domain_mailbox_maps.cf # Additional for quota support virtual_create_maildirsize = yes virtual_mailbox_extended = yes virtual_mailbox_limit_maps = mysql:/etc/postfix/sql/mysql_virtual_mailbox_limit_maps.cf virtual_mailbox_limit_override = yes virtual_maildir_limit_message = Sorry, the user's maildir has overdrawn his diskspace quota, please try again later. virtual_overquota_bounce = yes # Postfixadminaenderungen # # dovecot Anbindung # virtual_transport = dovecot dovecot_destination_recipient_limit = 1 smtpd_sasl_type = dovecot smtpd_sasl_path = private/auth smtpd_sasl_auth_enable = yes smtpd_sasl_authenticated_header = yes broken_sasl_auth_clients = yes smtpd_recipient_restrictions = reject_unknown_sender_domain reject_unknown_recipient_domain reject_unauth_pipelining permit_mynetworks permit_sasl_authenticated #reject_rbl_client dnsbl.sorbs.net reject_rbl_client bl.spamcop.net reject_rbl_client zen.spamhaus.org #reject_rbl_client dnsbl-1.uceprotect.net check_policy_service unix:private/tumgreyspf reject_unauth_destination check_client_access hash:/etc/postfix/ip-block smtpd_milters = inet:127.0.0.1:54321 non_smtpd_milters = inet:127.0.0.1:54321 milter_default_action = accept content_filter = amavis:[127.0.0.1]:10024 receive_override_options = no_address_mappings smtpd_client_restrictions = permit_mynetworks permit_sasl_authenticated reject_unauth_pipelining reject_rbl_client bl.spamcop.net reject_rbl_client zen.spamhaus.org # reject_rbl_client list.dsbl.org header_checks = pcre:/etc/postfix/pcre/header_checks body_checks = pcre:/etc/postfix/pcre/body_checks transport_maps = hash:/etc/postfix/transport # ende Vielen Dank noch mal im Voraus. Gruesse, Marcel

2 2

[postfix-users] DNS-Problem
by Jochen Fahrner 24 Jul '13

24 Jul '13

Hallo, seit einiger Zeit bekomme ich einen Newsletter nicht mehr. In meinem Log sehe ich folgende Meldungen: warning: 193.158.71.110: address not listed for hostname news.teleropa.de connect from unknown[193.158.71.110] NOQUEUE: reject: RCPT from unknown[193.158.71.110]: 450 4.7.1 Client host rejected: cannot find your hostname, [193.158.71.110]; from=<news(a)digitalmagazin.info> to=<mich> proto=ESMTP helo=<news.technisat.de> disconnect from unknown[193.158.71.110] Nun möchte ich ungern meinen Spam-Schutz aufweichen und frage mich: was macht der Versender hier falsch? nslookup sagt mir: Non-authoritative answer: 110.71.158.193.in-addr.arpa name = news.digitalmagazin.info. 110.71.158.193.in-addr.arpa name = news.teleropa.de. 110.71.158.193.in-addr.arpa name = news.technisat.de. 110.71.158.193.in-addr.arpa name = news.infosat.info. Authoritative answers can be found from: nix Für news.teleropa.de gibt es tatsächlich keinen DNS-Eintrag. Aber wie kommt Postfix auf diesen Namen? Im helo steht doch news.technisat.de. -- Mit besten Grüßen Jochen Fahrner

2 2

[postfix-users] unklares Verhalten bei Bad sender address syntax Fehlern
by Stephan Jacob 23 Jul '13

23 Jul '13

Hallo Postfix Gemeinde, ich habe auf meinem Mail-Relay ein ungewöhnliches Verhalten bemerkt, was ich mir nicht erklären kann: Wenn ich mich mit telnet auf Port 25 des Relays verbinde (also telnet relay.ovgu.de 25) und manuell eine SMTP Session durchführen will habe ich das Problem, dass Mail-Adressen immer mit dem Hinweis auf falsche Syntax abgewiesen werden. Beispiel telnet relay.ovgu.de 25 Connected to relay.ovgu.de. Escape character is '^]'. 220 relay.ovgu.de ESMTP Postfix helo maschine.ovgu.de 250 relay.ovgu.de MAIL FROM: sjacob(a)ovgu.de 501 5.1.7 Bad sender address syntax Dabei handelt es sich um meine Mail-Adresse die auch existiert. So weit so schlecht. Jetzt verbinde ich mich mit Thunderbird auf das Relay an Port 25 (dazu habe ich einfach meine IP zu mynetworks hinzugefügt, um ohne Authentifizierung relayen zu können) und versende eine Mail mit der Absender-Adresse sjacob(a)ovgu.de. Das geht ohne Probleme. Im Log ist auch klar zu erkennen, dass er die angegebene Adresse als FROM Adresse setzt. D.h. es kann nicht an strict_rfc821_envelopes = yes liegen!? Das Problem tritt unabhängig davon auf, von welcher Maschine aus ich die Telnet-Verbindung initiiere (selbst direkt auf dem Relay) und auch unabhängig davon welche Adressen ich eingebe. Valide und auch nicht valide Adressen werden mit dem gleichen Fehler abgewiesen. Folgende Sender restrictions sind gesetzt: smtpd_sender_restrictions = reject_unauth_sender_domains, reject_non_fqdn_sender, reject_unknown_sender_domain, (reject_unauth_sender_domains fast zwei Lookup-Dateien zusammen. In der ersten listen wir mit REGEXP Domains oder bekannte Teile von Adressen, die wir ablehnen, die zweite Datei ist eine HASH Datei mit kompletten Mail-Adressen, die wir ablehnen) Übrigens, wenn ich in der händischen SMTP Session die MAIL FROM Adresse leer lasse (also <> angebe), dann kann ich zumindest zu dem Punkt RCPT TO vordringen. Wenn ich dort eine Adresse eingebe bekomme ich aber auch den Bad Address Syntax Fehler. Ich kann mir nicht erklären, warum es mit dem Mail-Client funktioniert aber die direkte Eingabe nicht. Woran kann es liegen? Wenn irgendeine Regel greift, dann muss diese doch unabhängig von Client mit welchem ich die Mail versende greifen. Viele Grüße Stephan Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

3 3

Re: [postfix-users] unklares Verhalten bei Bad sender address syntax Fehlern
by Stephan Jacob 23 Jul '13

23 Jul '13

Hallo, der Vorschlag von Jörg funktioniert. Ich verstehe nur nicht das ich auf einem anderen Postfix Server (dem Zwillingsbruder des getesteten) mit gleicher Postfix-Version und Konfiguration ein MAIL FROM: sjacob(a)ovgu.de durchbekomme (also ohne < >)? Danke! Stephan Von: "Jörg Sitek" [mailto:Jogie@quantentunnel.de] Gesendet: Dienstag, 23. Juli 2013 09:27 An: Stephan Jacob Betreff: Aw: [postfix-users] unklares Verhalten bei Bad sender address syntax Fehlern Hi Stephan, > Ich kann mir nicht erklären, warum es mit dem Mail-Client funktioniert > aber die direkte Eingabe nicht. Woran kann es liegen? probiers doch mal mit "mail from:<sjacob(a)ovgu.de>" Gruß, jörg

1 0

[postfix-users] Einzelne Accounts "umleiten" ?
by weigel＠dfbnet.org 22 Jul '13

22 Jul '13

Hi, wir haben eine Postfix + Cyrus installation, die auch jahrelang so getan hat wie sie sollte. Jetzt sollen einige Accounts unserer Domain auf einen Office 365 Postfach umgeleitet werden. In Office 365 benutzen diese User eine andere Domain. Kann mir jemand nen Tipp geben, wie ich einzelen Accounts in einer zentralen Map eine "weiterleitung" verpassen kann? user1(a)localdomain.de --> user1(a)o365domain.com user2(a)localdomain.de --> user2(a)o365domain.com Danke für eure Hilfe Gruß Helmut Weigel -- DFB-Medien GmbH & Co. KG Otto-Fleck-Schneise 6 60528 Frankfurt fon: +49 (69) 6788-319 fax: +49 (69) 6788-343 pcfax: +49 (511) 760770 76 - 319 email: helmut.weigel(a)dfbnet.de Homepage: www.dfb-medien.de -------------------------------------------- Hermann-Neuberger-Haus | Otto-Fleck-Schneise 6 | 60528 Frankfurt | DFB-Medien GmbH & Co. KG | Geschäftsführung: DFB-Medien Verwaltungs-GmbH, deren Geschäftsführer: Kurt Gärtner, Tilman Walk |Vorsitzender des Aufsichtsrates: Dr. Theo Zwanziger | HRA 30550 | Registergericht: Frankfurt

2 2

[postfix-users] Postfix - Weiterleitung an speziellen Mailserver unterbinden
by Stephan Jacob 18 Jul '13

18 Jul '13

Hallo Postfix Gemeinde, an der Uni Magdeburg können die Nutzer ihr Postfach auf einen von drei Servern haben: - entweder sie sind auf exchange - entweder sie sind auf cyrus - entweder sie sind in der Medizin (dort läuft auch Exchange) Wenn eine Mail auf unserem Relay eingeht (dort läuft Postfix) wird über den virtual_alias_maps Parameter eine LDAP-Abfrage initiiert. Im LDAP steht dann als Forwarding-Adresse entweder exchange, cyrus oder medizin (je nachdem wo der Kollege sein Postfach hat). Die Mail wird entsprechend weitergeleitet. Jetzt die Frage: Ich möchte für eine Nacht die Zustellung von Mails an die Medizin unterbinden, da dort der Server umgestellt wird. Wie mach ich das am sinnvollsten ohne das LDAP anzufassen? Gibt es eine Möglichkeit die Mails für die Medizin auf dem Relay in der Queue zu halten und am nächsten morgen auf Knopfdruck die Zustellung an die Medizin wieder freizugeben, so dass Postfix dann auch die Mails in der Queue langsam wieder raussendet? Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

5 5

[postfix-users] Postfix - logfile - verarbeitung von bcc und cc
by dirk＠poper.de 09 Jul '13

09 Jul '13

Hallo Gemeinde, ich habe gerade mehrere frische Posfix Server aufgesetzt (spamd, MailScanner, ClamAV, Postgrey). Er tut was er soll. Wenn nun ein User eine Email verschickt, mit einem Empfänger auf CC oder BCC sehe ich davon nichts im Logfile. Ich sehe nur, dass die Quee für das TO an den Zielserver übergeben wurde und danach removed wird. Was muss ich ändern, damit Postfix auch CC und BCC Processing Infos in das Logfile schreibt? Danke im voraus. IT Systemhaus Poper Ingenieurbuero Poper INB Poper Allgemeine rechtliche Hinweise: Dirk Poper, Am Brauhof 4, 53721 Siegburg, +49 171 3553333, USt-IdNr.:DE157937612 Informationen zur Datennutzung Impressum Hinweis: Diese E-Mail und/oder die Anhaenge sind vertraulich und ausschliesslich fuer den bezeichneten Adressaten bestimmt. Jegliche Durchsicht, Weitergabe oder Kopieren dieser E-Mail ist strengstens verboten. Wenn Sie diese E-Mail irrtuemlich erhalten haben, informieren Sie bitte unverzueglich den Absender und vernichten Sie die Nachricht und alle Anhaenge. Vielen Dank. Notice: This transmittal and/or attachments may be privileged or confidential. It is intended solely for the addressee named above. Any dissemination, or copying is strictly prohibited. If you received this transmittal in error, please notify us immediately by reply and immediately delete this message and all its attachments. Thank you.

3 2

[postfix-users] Verständnisprobleme mit mydestination, virtual_alias_domains und virtual_mailbox_domains
by Hubert Schölnast 02 Jul '13

02 Jul '13

Hallo! Meine Frage vom 9.6. wurde nicht bearbeitet (siehe unten). Habe ich etwas falsch gemacht? Wenn Ja: Was muss ich anders machen? Wenn Nein: Ich bitte um Bearbeitung! Danke! Ich habe heute ihre Mailingliste aboniert. Ist ein solches Abo zwingend notwendig um Antworten zu erhalten? Wenn ja, sollten Sie das bitte auf http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users explizit hinschreiben. Ich verstehe den aktuellen Inhalt dieser Seite so, dass man auch Fragen einsenden kann ohne die Liste abonieren zu müssen. Warum gibt es kein deutsches Postfix-Forum, sondern nur diese umständliche Mailingliste? Oder habe ich das Forum (trotz intensiver Suche) nur nicht gefunden? Liebe Grüße Hubert Schölnast Hubert Schölnast schrieb am 09.06.13 21:48: > Hallo! > > > Ich habe Verständnisprobleme mit mydestination, virtual_alias_domains > und virtual_mailbox_domains und habe dazu 4 Fragen. > > Auf meinem Server gibt es nur einen einzigen User, der sich dort > einloggen kann, das ist root. Ein Webserver läuft dort bereits, nun > soll auch ein Mailserver folgen, meine Wahl fiel auf Postfix. > Betriebssystem = Ubuntu Precise Pangolin (12.04 LTS). Der Server ist > ein virtueller Server auf dem ich Root-Rechte habe, der aber 800 km > von mir entfernt im Ausland (nämlich in einer Serverfarm in > Deutschland) steht. Ich bin in Österreich (Wien) daheim. > > Der Server soll Zustellungs-Endpunkt für mehrere Domänen werden (ich > nenne sie hier firstserver.at, secondserver.at und thirdserver.at), > wobei jede Domäne ihre individuellen Mail-Accounts hat (nur virtuelle > E-Mail-User). Alle User haben mehrere Geräte mit denen Sie ihre Mails > verwalten (PC, Notebook, Tablet und Handy) und greifen auf Ihre > E-Mails daher via IMAP (oder besser IMAPS) zu. Alle User, die vial > IMAP auf den Server zugreifen dürfen, nutzen den Server auch als > Postausgangsserver. > > Dann gibt es noch lokale Unix-Prozesse (z.B. cron) die gelegentlich > E-Mails versenden. Alle lokal erzeugten E-Mails sollen an > admin(a)firstserver.at gehen. > > Postfix soll die Mails nicht selbst in Postfächer ablegen, sondern > diesen Job einem anderen Programm überlassen. Der Grund: Je nach > Inhalt sollen eingehende E-Mails in unterschiedliche Ordner > einsortiert werden. Beispielsweise soll es zur E-Mail Adresse > anton(a)firstserver.at die Ordner firstserver_anton_inbox, > firstserver_anton_spam_or_malware und > firstserver_anton_mails_von_berta geben. > > Soweit ich das grundlegende Konzept von Postfix verstanden habe, sind > alle meine Mail-User virtuelle Mail-User, denn keiner von ihnen hat > ein Unix-Account am Server. Daher mache ich diese Einträge in main.cf: > > virtual_mailbox_domains = hash:/etc/postfix/virtual_mailbox_domains > virtual_mailbox_maps = hash:/etc/postfix/virtual_mailbox_maps > > Inhalt von virtual_mailbox_domains: > firstserver.at ok > secondserver.at ok > thirdserver.at ok > ... > > Inhalt von virtual_mailbox_maps (Dazu gibts im Anschluss gleich die > Frage 1): > anton(a)firstserver.at firstserver_anton > berta(a)firstserver.at firstserver_berta > clara(a)secondserver.at secondserver_clara > doris(a)thirdserver.at thirdserver_doris > ... > > Frage 1: > Ich weiß nicht genau, was ich in virtual_mailbox_maps wirklich auf den > rechten Seiten hinschreiben soll, denn da sollen ja die Ablageorte der > jeweiligen Konten stehen, aber Postfix legt die Mails selbst ja > nirgends ab, sondern leitet sie an ein anderes Programm weiter, das > dann die Ablage (nach einer Filterung) machen soll. > > Frage 2: > Mir ist auch unklar, ob ich mydestination leer lassen soll, oder ob > dort localhost eingetragen werden muss (wegen der E-Mails die von > lokalen Prozessen erzeugt werden können). Also > Entweder > mydestination = > oder > mydestination = localhost > Was ist richtig? > > > Vorbereitung auf Fragen 3 und 4: > Ich habe verstanden, dass ich allfällige Weiterleitungen in > virtual_alias_maps eintragen muss. Beispielsweise sollen alle E-Mails, > die an postmaster(a)secondserver.at und postmaster(a)thirdserver.at > gesendet werden, an postmaster(a)firstserver.at umgeleitet werden. Und > alles, was an postmaster(a)firstserver.at geht soll als Duplikat auch an > admin(a)firstserver.at weitergeleitet werden. > > Ich glaube, das geht so: > virtual_alias_maps = hash:/etc/postfix/virtual_alias_maps > > Inhalt von virtual_alias_maps: > postmaster(a)secondserver.at postmaster(a)firstserver.at > postmaster(a)thirdserver.at postmaster(a)firstserver.at > postmaster(a)firstserver.at postmaster(a)firstserver.at, admin(a)firstserver.at > > Frage 3: > Kann ich mit diesem Eintrag > @localhost admin(a)firstserver.at > in virtual_alias_maps erreichen, dass alle E-Mails, die lokal am > Server entstehen, an admin(a)firstserver.at zugestellt werden? Wenn > nein: Wie sonst geht das? > > Frage 4: > Ich habe in mehreren Tutorials bezüglich virtual_alias_domains immer > wieder zwei widersprüchliche Aussagen gelesen, und weiß nicht was nun > richtig ist. > > Aussage 1: In virtual_alias_domains müssen alle Domains angegeben > sein, die in virtual_alias_maps bei den Adressen der linken Seite > vorkommen. Demzufolge müsste ich also angeben: > > virtual_alias_domains = firstserver.at secondserver.at thirdserver.at > > Aussage 2a: In virtual_mailbox_domains müssen alle Domains angegeben > sein, die in virtual_mailbox_maps bei den Adressen der linken Seite > vorkommen. > Aussage 2b: Jede Domain darf nur entweder in virtual_mailbox_domains > oder in virtual_alias_domains stehen, aber niemals in beiden. > Die Aussagen 2a und 2b fordern also, dass firstserver.at, > secondserver.at und thirdserver.at nicht in virtual_alias_domains > stehen dürfen, weil es E-Mail-Adressen aus diesen Domänen gibt, die in > virtual_mailbox_maps stehen. Also müsste ich entgegen der > Schlussfolgerung aus Aussage 1 virtual_alias_domains leer lassen. > > virtual_alias_domains = > > Dsa widerspricht aber dem, was aus Aussage 1 zu schließen ist. > Was ist nun richtig? > > > Liebe Grüße > Hubert Schölnast

6 24

[postfix-users] Verschiedene Ansätze, Mail zuzustellen (auch für Hubert Schölnast)
by Ralf Hildebrandt 01 Jul '13

01 Jul '13

Es gibt so im großen und ganzen zwei verschiedene Ansätze um einen IMAP Server (z.B. Dovecot oder Cyrus) anzubinden. Der eine Ansatz ist: * Domain in relay_domains auflisten (Postfix "relayed" das Zeug - nämlich zum LMTP-Server von cyrus oder dovecot, oder in einen transport hinein, der seinerseits eine PIPE aufruft) * Empfänger in relay_recipient_maps auflisten Internet --smtp--> Postfix --lmtp--> cyrus/dovecot Internet --smtp--> Postfix --pipe--> programm Vorteil: ======== * cyrus/dovecot kriegen Mails mit der vollen Emailadresse als Usernamen * d.h. man kann sich ohne Tricks mit seiner Emailadresse anmelden * die Mail im Transit hat auch immer dieselbe Adresse (keine Umschreibung nötig) Nachteil: ========= * irgendwoher muss die relay_recipient_maps Info kommen, am besten aus einer gemeinschaftlich genutzten Quelle von Postfix und cyrus/dovecot (Datenbank, LDAP, sowas...) Der andere Ansatz ist: * Domain in virtual_alias_domains auflisted, dann wird die Emailadresse auf irgendwas "umgeschrieben" (username4711@localhost) Und username4711@localhost wird dann irgendwie local zugestellt (dovecot-deliver, cyrus-deliver, pipe, sonstwas...) * Empfänger müssen dann in virtual_alias_maps auf die dem cyrus/dovecot bekannten Usernamen gemappt werden (damit die Mail korrekt ankommt) Vorteil: ======== * Alle Domains sind virtuell, bis auf EINE, und die eine ist die einzige, für die man die Zustellung dann konfigurieren muss. Nachteil: ========= * Im Transit ändert sich die Emailadresse irgendwann -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

3 3

[postfix-users] Ungewöhnliche Fehlermeldung "your DNS server is hosting spam provider"
by Hubert Schölnast 28 Jun '13

28 Jun '13

Hallo Uwe Drießen, ich schrieb dir gestern die untenstehende Antwort an deine persönliche E-Mail-Adresse (bei fblan.de), erhielt von deinem Mailserver aber diese Antwort: does not like recipient. Remote host said: 550 5.7.1 <hubert(a)schoelnast.at>: Sender address rejected: your DNS server is hosting spam provider( KEY-SYSTEMS ) Key-Systems bzw. http://www.domaindiscount24.com ist ein Domain-Name-Registrar mit vermutlich tausenden Kunden, die diesen Dienst nutzen, um ihre Domain-Names zu registrieren. Viele brave und anständige Webmaster, die nie auf die Idee kämen Spam zu versenden (darunter jener Freund, dessen Mailserver derzeit meine Mails verwaltet, und auch ich selbst), nutzen die Dienste dieses Registrars. Es kann gut sein, dass auch Spam-Schleudern ihre Domain-Namen dort gekauft haben, aber deswegen gleich alle Kunden des Registrars zu verbannen geht wohl etwas zu weit. Ich denke, dass die Firma Key-Systems auch wenig Möglichkeiten hat zu erkennen, welche Ihrer Kunden nicht ganz so sauber sind. Meine Meinung: Du schießt mit Kanonen auf Spatzen und machst einen Registrar schlecht, der nichts weiter tut als sein Geschäft auszuüben. Da ich dich per E-Mail offenbar nicht direkt erreichen kann, bleibt mir nichts anderes übrig, als dich mit Hilfe dieser Mailing-Liste davon in Kenntnis zu setzen. Übrigens habe ich in den ca. 10 Jahren, in denen ich meine E-Mail-Adresse nun schon habe, noch nie eine failur notice mit so einer seltsamen Begründung erhalten. Liebe Grüße Hubert Schölnast Hubert Schölnast schrieb am 26.06.13 16:06: > Hallo Uwe! > > Ad Postfixbücher: > Die Version aus dem Jahr 2004 liegt auf meinem Schreibtisch, ich habe > die Version aus 2008 im Buchhandel bestellt, aber sie ist vergriffen. > Die dritte Auflage (2013) ist noch nicht erhältlich. Ich habe die > Ausgabe aus 2004 mehrmals aufmerksam durchgelesen, fand aber auf die > hier gestellten Fragen dennoch keine Antwort. Ich habe mir bereits vor > etwa einem Jahr die Auflage von 2008 ausgeliehen und auch diese > durchgelesen. Schon damals waren mir die hier nachgefragten Punkte > unklar. > Das Buch "POP3 und IMAP" (von Heinlein u. Hartleben) in der aktuellen > Ausgabe besitze ich ebenfalls, es hilft beim fraglichen Problem aber > noch weniger weiter. > > Ad "das weiß man": > Wer ist "man"? Ich jedenfalls offenbar nicht. Es gibt also mindestens > eine Person, die das mit dem Abo-Zwang nicht verstanden hat. Das > heißt: Es besteht Verbesserungpotential. Der von mir vorgeschlagene > ausdrückliche Hinweis auf den Zwang die Liste zu abonieren wäre gut > geeignet dieses Potential auszuschöpfen. > > > LG > Hubert schölnast > > > Uwe Drießen schrieb am 26.06.13 15:31: >> Im Auftrag von Hubert Schölnast >>> Hallo! >>> >>> Meine Frage vom 9.6. wurde nicht bearbeitet (siehe unten). Habe ich >>> etwas falsch gemacht? Wenn Ja: Was muss ich anders machen? Wenn Nein: >>> Ich bitte um Bearbeitung! >> Die Liste ist eine FREIWILLIGE Leistung aller derer die die Liste >> abonniert >> haben. >> >> Du setzt eine FREIE Software ein, Das setzt voraus das du auch mal >> Google >> und das Archiv der Mailinglisten (dieser und der postfixbuch Liste auf >> listen.jpberlin.de) >> Durchforstet. >> Zu deinem Problem gibt es schon etliche Postings. >> >> Die Empfehlung eins oder besser Beide Postfixbücher (deutschsprachig) >> kaufen >> und Schritt für Schritt vorgehen. >> 1. bleiben dann nur ein Bruchteil deiner Fragen und Probleme übrig >> und man >> erkennt das du dich mit dem Thema auseinandergesetzt hast. >> 2. die meisten der hier Aktiven haben mal so angefangen >> 3. Grundwissen und Konfiguration kann gerne gegen Bezahlung eingekauft >> werden >> >>> Danke! >>> >>> Ich habe heute ihre Mailingliste aboniert. Ist ein solches Abo zwingend >>> notwendig um Antworten zu erhalten? Wenn ja, sollten Sie das bitte auf >>> http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users explizit >>> hinschreiben. Ich verstehe den aktuellen Inhalt dieser Seite so, dass >>> man auch Fragen einsenden kann ohne die Liste abonieren zu müssen. >> Das weis man! Die Antworten gehen immer an die Mailingliste und >> werden nur >> an die eingetragenen verteilt. >> >> >>> Warum gibt es kein deutsches Postfix-Forum, sondern nur diese >>> umständliche Mailingliste? Oder habe ich das Forum (trotz intensiver >>> Suche) nur nicht gefunden? >> Mach eins auf keiner hindert dich daran. >> Die Postfix admins die ich kenne kommunizieren nur hierüber. >> Für die ist es Umständlicher irgendwo ein Forum zu besuchen. >> Hier kommt die Info automatisch und wer das Thema Interessant findet >> wird >> sich dessen annehmen und auch mit diskutieren. >> >> >>> >>> Liebe Grüße >>> Hubert Schölnast >>> >>> >>> Hubert Schölnast schrieb am 09.06.13 21:48: >>>> Hallo! >>>> >>>> >>>> Ich habe Verständnisprobleme mit mydestination, virtual_alias_domains >>>> und virtual_mailbox_domains und habe dazu 4 Fragen. >>>> >>>> Auf meinem Server gibt es nur einen einzigen User, der sich dort >>>> einloggen kann, das ist root. Ein Webserver läuft dort bereits, nun >>>> soll auch ein Mailserver folgen, meine Wahl fiel auf Postfix. >>>> Betriebssystem = Ubuntu Precise Pangolin (12.04 LTS). Der Server ist >>>> ein virtueller Server auf dem ich Root-Rechte habe, der aber 800 km >>>> von mir entfernt im Ausland (nämlich in einer Serverfarm in >>>> Deutschland) steht. Ich bin in Österreich (Wien) daheim. >>>> >>>> Der Server soll Zustellungs-Endpunkt für mehrere Domänen werden (ich >>>> nenne sie hier firstserver.at, secondserver.at und thirdserver.at), >>>> wobei jede Domäne ihre individuellen Mail-Accounts hat (nur virtuelle >>>> E-Mail-User). Alle User haben mehrere Geräte mit denen Sie ihre Mails >>>> verwalten (PC, Notebook, Tablet und Handy) und greifen auf Ihre >>>> E-Mails daher via IMAP (oder besser IMAPS) zu. Alle User, die vial >>>> IMAP auf den Server zugreifen dürfen, nutzen den Server auch als >>>> Postausgangsserver. >>>> >>>> Dann gibt es noch lokale Unix-Prozesse (z.B. cron) die gelegentlich >>>> E-Mails versenden. Alle lokal erzeugten E-Mails sollen an >>>> admin(a)firstserver.at gehen. >>>> >>>> Postfix soll die Mails nicht selbst in Postfächer ablegen, sondern >>>> diesen Job einem anderen Programm überlassen. Der Grund: Je nach >>>> Inhalt sollen eingehende E-Mails in unterschiedliche Ordner >>>> einsortiert werden. Beispielsweise soll es zur E-Mail Adresse >>>> anton(a)firstserver.at die Ordner firstserver_anton_inbox, >>>> firstserver_anton_spam_or_malware und >>>> firstserver_anton_mails_von_berta geben. >>>> >>>> Soweit ich das grundlegende Konzept von Postfix verstanden habe, sind >>>> alle meine Mail-User virtuelle Mail-User, denn keiner von ihnen hat >>>> ein Unix-Account am Server. Daher mache ich diese Einträge in main.cf: >>>> >>>> virtual_mailbox_domains = hash:/etc/postfix/virtual_mailbox_domains >>>> virtual_mailbox_maps = hash:/etc/postfix/virtual_mailbox_maps >>>> >>>> Inhalt von virtual_mailbox_domains: >>>> firstserver.at ok >>>> secondserver.at ok >>>> thirdserver.at ok >>>> ... >>>> >>>> Inhalt von virtual_mailbox_maps (Dazu gibts im Anschluss gleich die >>>> Frage 1): >>>> anton(a)firstserver.at firstserver_anton >>>> berta(a)firstserver.at firstserver_berta >>>> clara(a)secondserver.at secondserver_clara >>>> doris(a)thirdserver.at thirdserver_doris >>>> ... >>>> >>>> Frage 1: >>>> Ich weiß nicht genau, was ich in virtual_mailbox_maps wirklich auf den >>>> rechten Seiten hinschreiben soll, denn da sollen ja die Ablageorte der >>>> jeweiligen Konten stehen, aber Postfix legt die Mails selbst ja >>>> nirgends ab, sondern leitet sie an ein anderes Programm weiter, das >>>> dann die Ablage (nach einer Filterung) machen soll. >>>> >>>> Frage 2: >>>> Mir ist auch unklar, ob ich mydestination leer lassen soll, oder ob >>>> dort localhost eingetragen werden muss (wegen der E-Mails die von >>>> lokalen Prozessen erzeugt werden können). Also >>>> Entweder >>>> mydestination = >>>> oder >>>> mydestination = localhost >>>> Was ist richtig? >>>> >>>> >>>> Vorbereitung auf Fragen 3 und 4: >>>> Ich habe verstanden, dass ich allfällige Weiterleitungen in >>>> virtual_alias_maps eintragen muss. Beispielsweise sollen alle E-Mails, >>>> die an postmaster(a)secondserver.at und postmaster(a)thirdserver.at >>>> gesendet werden, an postmaster(a)firstserver.at umgeleitet werden. Und >>>> alles, was an postmaster(a)firstserver.at geht soll als Duplikat auch an >>>> admin(a)firstserver.at weitergeleitet werden. >>>> >>>> Ich glaube, das geht so: >>>> virtual_alias_maps = hash:/etc/postfix/virtual_alias_maps >>>> >>>> Inhalt von virtual_alias_maps: >>>> postmaster(a)secondserver.at postmaster(a)firstserver.at >>>> postmaster(a)thirdserver.at postmaster(a)firstserver.at >>>> postmaster(a)firstserver.at postmaster(a)firstserver.at, >>> admin(a)firstserver.at >>>> Frage 3: >>>> Kann ich mit diesem Eintrag >>>> @localhost admin(a)firstserver.at >>>> in virtual_alias_maps erreichen, dass alle E-Mails, die lokal am >>>> Server entstehen, an admin(a)firstserver.at zugestellt werden? Wenn >>>> nein: Wie sonst geht das? >>>> >>>> Frage 4: >>>> Ich habe in mehreren Tutorials bezüglich virtual_alias_domains immer >>>> wieder zwei widersprüchliche Aussagen gelesen, und weiß nicht was nun >>>> richtig ist. >>>> >>>> Aussage 1: In virtual_alias_domains müssen alle Domains angegeben >>>> sein, die in virtual_alias_maps bei den Adressen der linken Seite >>>> vorkommen. Demzufolge müsste ich also angeben: >>>> >>>> virtual_alias_domains = firstserver.at secondserver.at thirdserver.at >>>> >>>> Aussage 2a: In virtual_mailbox_domains müssen alle Domains angegeben >>>> sein, die in virtual_mailbox_maps bei den Adressen der linken Seite >>>> vorkommen. >>>> Aussage 2b: Jede Domain darf nur entweder in virtual_mailbox_domains >>>> oder in virtual_alias_domains stehen, aber niemals in beiden. >>>> Die Aussagen 2a und 2b fordern also, dass firstserver.at, >>>> secondserver.at und thirdserver.at nicht in virtual_alias_domains >>>> stehen dürfen, weil es E-Mail-Adressen aus diesen Domänen gibt, die in >>>> virtual_mailbox_maps stehen. Also müsste ich entgegen der >>>> Schlussfolgerung aus Aussage 1 virtual_alias_domains leer lassen. >>>> >>>> virtual_alias_domains = >>>> >>>> Dsa widerspricht aber dem, was aus Aussage 1 zu schließen ist. >>>> Was ist nun richtig? >>>> >>>> >>>> Liebe Grüße >>>> Hubert Schölnast >> >> Mit freundlichen Grüßen >> >> Uwe Drießen >> -- >> Software & Computer >> Uwe Drießen >> Lembergstraße 33 >> 67824 Feilbingert >> >> Tel.: 06708660045 >> >> >> >

8 14

Re: [postfix-users] Ungewöhnliche Fehlermeldung "your DNS server is hosting spam provider"
by Hubert Schölnast 28 Jun '13

28 Jun '13

Uwe Drießen schrieb am 27.06.13 16:12: > Fein jetzt noch die Kommentarzeichen einfügen.... (>) Menno! Ihr sei aber schon ziemlich pingelig mit euren ungeschriebenen Regeln hier in dieser Mailingliste! Wollt ihr allen ernstes, das ich jetzt auch noch vor jede Zeile, die ich kommentiere, dieses Zeichen von Hand eintrage? Was denn noch alles??? Ihr solltet echt mal ernsthaft über ein Forum nachdenken, das diese mühsame Mailingliste ersetzt, denn dann hättet ihr all diese Sorgen nicht. Falls euer Webserver unter einer Linux-Version läuft, müsst ihr nur phpBB runterladen, es entpacken, ein paar Parameter einstellen, und fertig ist das Forum. Siehe https://www.phpbb.com. Das habt ihr innerhalb von 2 Stunden erledigt. Ich bin bei solchen Sachen immer extrem genau, vorsichtig und lieber etwas zu paranoid, und ich habe im Jahr 2006 4 Stunden gebraucht um ein Forum für meine damaligen Mit-Studenten aufzusetzen. In diesen 4 Stunden waren ein eigenes Logo und grundlegende Anpassungen des Layouts bereits enthalten. Da dieser Studiengang 2009 wieder zu Ende war, gibt es dieses Forum heute nicht mehr, daher kann ich es euch leider nicht zeigen. Mit einem Forum gibt es keine Probleme mit irgendwelchen Zitierregeln die außer euch keiner kennt, html-Probleme gibts auch keine, und es ist sowas von egal mit welchem Client (Browser) man sich das Forum anschaut. Ihr könnte Bereiche freischalten, wo jeder posten darf, und gleichzeitig auch Bereiche haben, wo nur registrierte User posten dürfen. Ihr behaltet die Kontrolle darüber, wer sich registrieren darf. Es ist sogar möglich, Bereiche zu haben, die ihr für eure interen Kommunikation nutzen könnt, ohne dass Unbeteiligte etwas davon mitbekommen (wobei ihr das vermutlich auch weiterhin mit einer Mailingliste lösen wollt, was bei einer kleiner Gruppe, deren Mitglieder sich kennen, auch eine gute Lösung ist). E-Mail ist ein ganz tolles Kommunikationsmedium, aber man sollte es dort verwenden, wo es sinnvoll ist. Für Anfragen von Benutzern aus aller Welt, die man der Öffentlichkeit zur Verfügung stellen will, ist es - meiner Meinung nach - das falsche Medium. Dafür sind Foren wesentlich besser geeignet. Ihr könnt euren Usern nicht vorschreiben, welche Clients (Browser bzw. MUAs) sie verwenden dürfen wenn sie Fragen zu der von euch betreuten Software haben. Und ihr könnt von Ihnen nicht verlangen, dass sie sich an Regeln halten, die innerhalb eurer Gruppe vielleicht als selbstverständlich gelten, die ihr aber nach außen hin nicht bekannt gemacht habt. Liebe Grüße Hubert Schölnast

11 17

[postfix-users] Erweiterte Konfiguration
by Mathias Reineke 26 Jun '13

26 Jun '13

Guten werte Mailinglisten Benutzer, ich habe letztendlich zwei relativ einfache Fragen, diesen geht allerdings eine recht lange Erklärung voraus, um die Rahmenbedingungen erschöpfend zu erleutern. Also bitte ich vorab um Entschuldigung für die leicht romanartigen Züge meines Beitrags Ich bin derzeit damit befasst ein kleines Mailsystem auf meiner Ubuntu-Box einzurichten. Die Box ist im Web unter der beispielhaften Domain "example.de", mit wechselnder IP, zu erreichen. Die erklärten ziele sind dabei: 1. Bereitstellung eines IMAP-Postfachs für verschiedene Nutzer, z.B. Füruser1(a)example.de (umgesetzt mit Dovecot) 2. Einsammeln der Mails aus verschiedenen Externen Postfächern pro Benutzer (z.b. Von user1myfirstidentity@web.de,mysecondidentity@googlemail.com; umgesetzt mittels Dovecot PostLoginScript und getmail) 3. Versenden von Mails über die Externen Postfächer (z.B. User1 kann über die Box als Absendermyfirstidentity(a)web.de verwenden, was dazu führt, dass die Mail über User1s Mailaccount bei Web.de geleitet wird; umzusetzen mit Postfix) (4.) Versand von @example.de Mails an externe Accounts soll nicht umgesetzt werden (z.b. Vonuser1(a)example.de anuser(a)de.postfix.org), dazu fehlt mir mindestens eine statische IP 5. Erzwungene Verschlüsselung der Verbindungen eines Benutzers zum den Komponenten des Mailsystems (dank verbreiteter Unterstützung von TLS in allen Komponenten ein Leichtes) Das so beschriebene Setup ist natürlich problemfrei umzusetzen. Jetzt folgt aber der schwierige Teil, nämlich die Randbedingungen zu den oben genannten Zielen: 1.a) Asymmetrische Verschlüsselung (PGP) aller Mails im Postfach des Benutzers 2.a) Pro Benutzer symmetrisch verschlüsselte Speicherung der Zugangsdaten zu den Externen Postfächern bzw. SMTP Servern 3.a) siehe 2.a) 5.a) die von den Benutzern zum Mailsystem übertragenen Anmeldedaten müssen in Klartext, oder mindestens in vorhersehbarer Form (bekannte Digest-Methode) vorliegen Diese Randbedingungen sollen es den Administratoren (ich bin nicht allein, und ich will auch nicht "aus Versehen" die Daten der Nutzer sehen können) und vor allem eventuellen Einbrechern erschweren die Mail- beziehungsweise Zugangsdaten der einzelnen Benutzer einzusehen. Ich schreibe "erschweren", da am Ende ein super user mindestens die Zugangsdaten lesen können wird, dazu aber in den Prozess der Mailzustellung eingreifen muss. Mir ist kein Ansatz eingefallen, die Daten meiner Benutzer noch stärker zu sichern, leider. Randbedingung 1.a) wird von Dovecot mit pro Benutzer verwalteten PGP Schlüsseln, beim einsortieren der Mails, umgesetzt werden (Evaluierung steht noch aus, zu förderst muss das Relaying an externe SMTP Server funktionieren). Randbedingung 2.a) basiert erneut auf Dovecot. Dovecot ermöglicht es über Prefetch-Queries das Klartextpasswort der sich gerade angemeldeten Benutzer kurz vorzuhalten und eine über die "Post Login Script" Funktionalität ausgelöste Aktion auszuführen. Somit ist es mir möglich, bei der Anmeldung eines Benutzers, seine mit seinem Box-Passwort verschlüsselten Zugangsdaten zu den externen Postfächern zu holen und zu entschlüsseln, und damit getmail zu füttern. Getmail stellt dann die Mails der externen Postfächer dem Benutzer zu (hier ist ein Ansatzpunkt für einen Einbrecher mit super user Rechten, da dieser das Post Login Script manipulieren kann, oder aber die Nutzerdaten aus dem getmail Prozess auszulesen vermag). Das ganze ist transparent für den Benutzer und funktioniert wunderbar (transparent in dem Sinne, dass der Benutzer eh erst sieht, dass er neue Mails hat, wenn es sich anmeldet, und nicht bemerkt [von einer k leine Verzögerung abgesehen], dass die Mails erst in diesem Moment eingesammelt werden). Nun folgen die eigentliche Probleme. 3. Ist mit Postfix und dessen sender_based_relay_maps sowie sender_restrictions pro Benutzer (ein Benutzer darf nur @example.de und seine externen Adressen als Absender angeben) sehr schön umzusetzen. Die Schwierigkeit liegt bei der Randbedingung 3.a). Ich benötige eine Möglichkeit, im Kontext des Sendens einer Mail über Postfix an das Klartextpasswort des Benutzer heranzukommen, um damit das Ergebnis des sender_based_relay Lookups zu modifizieren (Entschlüsselung der gespeicherten Daten entsprechend 2.a)). Frage 1: Gibt es ist Postfix eine Möglichkeit das Ergebnis des sender_based_relay Lookups mit dem Klartextpasswort aus der SMTP Anmeldung zu vermischen? Beim sender_based_relay-ing ergibt sich, in meiner Installation, ein weiteres Problem. Sollte der Postfix die Mail nicht sofort zum Zielserver (beispielsweise dem SMTP vom Web.de) zustellen können, wird er dies später erneut versuchen. Dazu benötigt er dann "später" die Zugangsdaten des Benutzers zum externen Server, befindet sich aber nicht mehr im Kontext der Anmeldung des Benutzers, und hat somit auch nicht mehr dessen Klartextpasswort zur Verfügung. Der Schlüssel, der für die Entschlüsselung der Zugangsdaten benötigt wird, muss bis zum erfolgreichen Zustellen (oder zum letztendlichen Aufgeben der Zustellung) der Mail vorgehalten werden. (Alternativ könnte die Mail in diesem Moment abgelehnt werden.) Darum Frage 2: ist es möglich, Postfix spezielle Informationen in den Envelope einer sich in der "ausgehenden" Queue befindlichen Mail zu schreiben, und diese beim Zustellungsversuch zur Manipulation der Relay-Lookups zu verwenden? Mit Envelope meine ich an dieser Stelle den Satz an Verwaltungsdaten, den Postfix für die Zustellung einer Mail verwendet, und der in keinem Fall jemals in einer Mail auftaucht, weder bei erfolgreicher Zustellung noch bei Bounce noch bei Benachrichtigung des Postmasters über unzustellbare Mails. (An dieser Stelle sei angemerkt, dass dann das Klartextpasswort des Benutzers, oder besser eine Ableitung davon, temporär auf der Festplatte gespeichert würde, was es einem Angreifer mit super user Rechten ermöglichte, dies zu lesen.) Sind jemandem von Ihnen Ansätze bekannt, die zugrunde liegenden Probleme von Frage 1 und Frage 2 zu lösen? Erneut muss ich mich entschuldigen, dass dieser Beitrag recht lang ist, jedoch denke ich, dass dies durch die Komplexität des entstehenden Systems bedingt ist. Ich hoffen meine Ausführungen ermöglichen eine Einordnung und bestenfalls positive Beantwortung meiner Fragen. Haben Sie vorab schon vielen Dank für die Beschäftigung mit meinen Fragen. Mit freundlichen Grüszen, Mathias Reineke

2 6

[postfix-users] Erweiterte Konfiguration
by Mathias Reineke 26 Jun '13

26 Jun '13

Guten Tag werte Mailinglisten Benutzer, ich habe letztendlich zwei relativ einfache Fragen, diesen geht allerdings eine recht lange Erklärung voraus, um die Rahmenbedingungen erschöpfend zu erleutern. Also bitte ich vorab um Entschuldigung für die leicht romanartigen Züge meines Beitrags Ich bin derzeit damit befasst ein kleines Mailsystem auf meiner Ubuntu-Box einzurichten. Die Box ist im Web unter der beispielhaften Domain "example.de", mit wechselnder IP, zu erreichen. Die erklärten ziele sind dabei: 1. Bereitstellung eines IMAP-Postfachs für verschiedene Nutzer, z.B. Füruser1(a)example.de (umgesetzt mit Dovecot) 2. Einsammeln der Mails aus verschiedenen Externen Postfächern pro Benutzer (z.b. Von user1myfirstidentity@web.de,mysecondidentity@googlemail.com; umgesetzt mittels Dovecot PostLoginScript und getmail) 3. Versenden von Mails über die Externen Postfächer (z.B. User1 kann über die Box als Absendermyfirstidentity(a)web.de verwenden, was dazu führt, dass die Mail über User1s Mailaccount bei Web.de geleitet wird; umzusetzen mit Postfix) (4.) Versand von @example.de Mails an externe Accounts soll nicht umgesetzt werden (z.b. Vonuser1(a)example.de anuser(a)de.postfix.org), dazu fehlt mir mindestens eine statische IP 5. Erzwungene Verschlüsselung der Verbindungen eines Benutzers zum den Komponenten des Mailsystems (dank verbreiteter Unterstützung von TLS in allen Komponenten ein Leichtes) Das so beschriebene Setup ist natürlich problemfrei umzusetzen. Jetzt folgt aber der schwierige Teil, nämlich die Randbedingungen zu den oben genannten Zielen: 1.a) Asymmetrische Verschlüsselung (PGP) aller Mails im Postfach des Benutzers 2.a) Pro Benutzer symmetrisch verschlüsselte Speicherung der Zugangsdaten zu den Externen Postfächern bzw. SMTP Servern 3.a) siehe 2.a) 5.a) die von den Benutzern zum Mailsystem übertragenen Anmeldedaten müssen in Klartext, oder mindestens in vorhersehbarer Form (bekannte Digest-Methode) vorliegen Diese Randbedingungen sollen es den Administratoren (ich bin nicht allein, und ich will auch nicht "aus Versehen" die Daten der Nutzer sehen können) und vor allem eventuellen Einbrechern erschweren die Mail- beziehungsweise Zugangsdaten der einzelnen Benutzer einzusehen. Ich schreibe "erschweren", da am Ende ein super user mindestens die Zugangsdaten lesen können wird, dazu aber in den Prozess der Mailzustellung eingreifen muss. Mir ist kein Ansatz eingefallen, die Daten meiner Benutzer noch stärker zu sichern, leider. Randbedingung 1.a) wird von Dovecot mit pro Benutzer verwalteten PGP Schlüsseln, beim einsortieren der Mails, umgesetzt werden (Evaluierung steht noch aus, zu förderst muss das Relaying an externe SMTP Server funktionieren). Randbedingung 2.a) basiert erneut auf Dovecot. Dovecot ermöglicht es über Prefetch-Queries das Klartextpasswort der sich gerade angemeldeten Benutzer kurz vorzuhalten und eine über die "Post Login Script" Funktionalität ausgelöste Aktion auszuführen. Somit ist es mir möglich, bei der Anmeldung eines Benutzers, seine mit seinem Box-Passwort verschlüsselten Zugangsdaten zu den externen Postfächern zu holen und zu entschlüsseln, und damit getmail zu füttern. Getmail stellt dann die Mails der externen Postfächer dem Benutzer zu (hier ist ein Ansatzpunkt für einen Einbrecher mit super user Rechten, da dieser das Post Login Script manipulieren kann, oder aber die Nutzerdaten aus dem getmail Prozess auszulesen vermag). Das ganze ist transparent für den Benutzer und funktioniert wunderbar (transparent in dem Sinne, dass der Benutzer eh erst sieht, dass er neue Mails hat, wenn es sich anmeldet, und nicht bemerkt [von einer k leine Verzögerung abgesehen], dass die Mails erst in diesem Moment eingesammelt werden). Nun folgen die eigentliche Probleme. 3. Ist mit Postfix und dessen sender_based_relay_maps sowie sender_restrictions pro Benutzer (ein Benutzer darf nur @example.de und seine externen Adressen als Absender angeben) sehr schön umzusetzen. Die Schwierigkeit liegt bei der Randbedingung 3.a). Ich benötige eine Möglichkeit, im Kontext des Sendens einer Mail über Postfix an das Klartextpasswort des Benutzer heranzukommen, um damit das Ergebnis des sender_based_relay Lookups zu modifizieren (Entschlüsselung der gespeicherten Daten entsprechend 2.a)). Frage 1: Gibt es ist Postfix eine Möglichkeit das Ergebnis des sender_based_relay Lookups mit dem Klartextpasswort aus der SMTP Anmeldung zu vermischen? Beim sender_based_relay-ing ergibt sich, in meiner Installation, ein weiteres Problem. Sollte der Postfix die Mail nicht sofort zum Zielserver (beispielsweise dem SMTP vom Web.de) zustellen können, wird er dies später erneut versuchen. Dazu benötigt er dann "später" die Zugangsdaten des Benutzers zum externen Server, befindet sich aber nicht mehr im Kontext der Anmeldung des Benutzers, und hat somit auch nicht mehr dessen Klartextpasswort zur Verfügung. Der Schlüssel, der für die Entschlüsselung der Zugangsdaten benötigt wird, muss bis zum erfolgreichen Zustellen (oder zum letztendlichen Aufgeben der Zustellung) der Mail vorgehalten werden. (Alternativ könnte die Mail in diesem Moment abgelehnt werden.) Darum Frage 2: ist es möglich, Postfix spezielle Informationen in den Envelope einer sich in der "ausgehenden" Queue befindlichen Mail zu schreiben, und diese beim Zustellungsversuch zur Manipulation der Relay-Lookups zu verwenden? Mit Envelope meine ich an dieser Stelle den Satz an Verwaltungsdaten, den Postfix für die Zustellung einer Mail verwendet, und der in keinem Fall jemals in einer Mail auftaucht, weder bei erfolgreicher Zustellung noch bei Bounce noch bei Benachrichtigung des Postmasters über unzustellbare Mails. (An dieser Stelle sei angemerkt, dass dann das Klartextpasswort des Benutzers, oder besser eine Ableitung davon, temporär auf der Festplatte gespeichert würde, was es einem Angreifer mit super user Rechten ermöglichte, dies zu lesen.) Sind jemandem von Ihnen Ansätze bekannt, die zugrunde liegenden Probleme von Frage 1 und Frage 2 zu lösen? Erneut muss ich mich entschuldigen, dass dieser Beitrag recht lang ist, jedoch denke ich, dass dies durch die Komplexität des entstehenden Systems bedingt ist. Ich hoffen meine Ausführungen ermöglichen eine Einordnung und bestenfalls positive Beantwortung meiner Fragen. Haben Sie vorab schon vielen Dank für die Beschäftigung mit meinen Fragen. Mit freundlichen Grüszen, Mathias Reineke

2 2

[postfix-users] SMTP AUTH mit Cyrus SASL und auxprop
by Andreas Hahne 22 Jun '13

22 Jun '13

Guten Tag, zur Zeit versuche ich, auf einem Ubuntu-System (10.04) einen Postfix-Mailserver einzurichten und zur externen Authentifizierung Cyrus SASL zu verwenden. Bei der Konfiguration habe ich mich nach dem Buch "Postfix" von Ralf Hildebrandt und Patrick Ben Koetter gerichtet. Bis zum Einrichten von Cyrus hatte ich dabei auch keine Probleme, leider scheitere ich jetzt bei der Authentifizierung mit der Passwort-Check-Methode auxprop gegen eine MySQL-Datenbank. Die fehlenden Log-Ausgaben von MySQL sprechen in meinen Augen dafür, dass gar keine SQL-Anfrage an die DB gesendet wird (manuelle SQL-Anfragen werden geloggt). Hier komme ich bei meiner Fehlersuche allerdings nicht weiter. Daher habe ich die Ausgaben von saslfinger angehängt und hoffe, dass mir jemand weiterhelfen kann. Ich muss gestehen, dass ich nach langem Probieren den Versuch abgebrochen habe, den Sample-Server/Client zu testen, da zwischen Client und Server überhaupt keine Kommunikation zustande kam. Offenbar sind die Kommandozeilenparameter der Ubuntu-Packages grundsätzlich andere als bei der im Buch verwendeten Variante. Grüße Andreas

2 1