- postfix-users - list.sys4.de

Greylisting
by Joachim Fahrner 11 Jul '17

11 Jul '17

Hallo, in letzter Zeit habe ich mich an Roberts Vorschlag gehalten und Greylisting nur selektiv angewandt (Dialin-IPs usw.). Langsam komme ich ins Grübeln, ob ich das nicht doch generell wieder für alles aktivieren soll. Ich bekomme in letzter Zeit häufig Spam und Phishing von "echten" Mailservern (wurden die gehackt?), für die Greylisting nicht angewandt wurde, und die auch (noch) auf keiner Blacklist waren. Kurze Zeit später findet man die dann auch auf manchen Blacklists. Das heisst: die ziehen ihre Aktionen in kürzester Zeit über (gehackte?) Server durch, und suchen sich dann wieder einen anderen "unverbrauchten" Server. Hier würde Greylisting enorm helfen, das verzögert die Zustellung, und beim nächsten Versuch steigt die Wahrscheinlichkeit, dass sie von einer Blacklist registriert wurden. Was meint ihr? Jochen

3 3

SPF - "It is impossible for us to say why it was rejected."
by Marc Risse 10 Jul '17

10 Jul '17

Hallo zusammen, ich habe ein Phänomen: Mein Server akzeptiert die Mails der Ruhr-Uni Bochum nicht und gibt mir auch keinerlei Infos warum der SPF-Check negativ ausfällt. Der Link zu openspf sagt folgendes: mail@empfänger rejected a message that claimed an envelope sender address of sender(a)ruhr-uni-bochum.de. mail@empfänger received a message from out1.mail.ruhr-uni-bochum.de (2a05:3e00:8:1001::8693:3595) that claimed an envelope sender address of sender(a)ruhr-uni-bochum.de. The domain ruhr-uni-bochum.de has authorized out1.mail.ruhr-uni-bochum.de (2a05:3e00:8:1001::8693:3595) to send mail on its behalf, so the message should have been accepted. It is impossible for us to say why it was rejected. What should I do? If the problem persists, contact the ruhr-uni-bochum.de postmaster. Log: Jul 9 23:33:49 relay postfix/smtpd[4750]: Anonymous TLS connection established from out1.mail.ruhr-uni-bochum.de[2a05:3e00:8:1001::8693:3595]: TLSv1.2 with cipher ECDHE-RSA-AES256-GCM-SHA384 (256/256 bits) Jul 9 23:33:52 relay postgrey[721]: action=pass, reason=triplet found, client_name=out1.mail.ruhr-uni-bochum.de, client_address=2a05:3e00:8:1001::8693:3595, sender=sender(a)ruhr-uni-bochum.de, recipient=mail@empfänger Jul 9 23:33:52 relay postfix/smtpd[4750]: NOQUEUE: reject: RCPT from out1.mail.ruhr-uni-bochum.de[2a05:3e00:8:1001::8693:3595]: 550 5.7.1 <mail@empfänger>: Recipient address rejected: Message rejected due to: SPF fail - not authorized. Please see http://www.openspf.net/Why?s=mfromblabla; from=<sender(a)ruhr-uni-bochum.de> to=<mail@empfänger> proto=ESMTP helo=<out1.mail.ruhr-uni-bochum.de> Jul 9 23:33:52 relay postfix/smtpd[4750]: disconnect from out1.mail.ruhr-uni-bochum.de[2a05:3e00:8:1001::8693:3595] ehlo=2 starttls=1 mail=1 rcpt=0/1 data=0/1 rset=1 quit=1 commands=6/8 Hattet Ihr so etwas schon mal? Was kann ich tun? Der Postmaster der Ruhr-Uni reagiert nicht auf meine Anfrage. Hier der SPF-Record: ruhr-uni-bochum.de. 74421 IN TXT "v=spf1 exists:%{ir}.%{v}._spfx.ruhr-uni-bochum.de exists:%{ir}._ip.%{l}._spfx.ruhr-uni-bochum.de -all" DNS, SPF und IPv6 funktionieren problemlos, habe echt keine Idee... :( -- Mit freundlichen Grüßen Marc Risse RZ-Projekte Telefon: +49 2372 5520-385 Fax: +49 2372 5520-61-385 E-Mail: risse(a)citkomm.de Internet: http://www.citkomm.de ===================================== KDVZ Citkomm (Kommunaler Zweckverband) Citkomm services GmbH* Sonnenblumenallee 3, 58675 Hemer Telefon: +49 2372 5520-0 Fax: +49 2372 5520-279 E-Mail: post(a)citkomm.de *Tochtergesellschaft: Citkomm services GmbH Sitz der Gesellschaft: Hemer Handelsregister: AG Iserlohn, HRB 26 86 Geschäftsführer: Dr. Michael Neubauer, Kerstin Pliquett

4 4

Phishing Mails
by Joachim Fahrner 07 Jul '17

07 Jul '17

Hallo, so langsam wird das hier zum (unfreiwilligen) Hobby mit den Phishing-Mails. Ich frage mich gerade, warum das hier nicht abgewiesen wurde: Received: from mail.sicherheit.de (unknown [83.169.1.6]) Die IP hat zwar einen Reverse pointer zu mail.sicherheit.de: $ host 83.169.1.6 6.1.169.83.in-addr.arpa domain name pointer mail.sicherheit.de. Aber mail.sicherheit.de hat eine ganz andere IP: $ host mail.sicherheit.de mail.sicherheit.de has address 72.52.10.14 Sowas müsste sich doch blocken lassen. Ist das nicht Bestandteil von reject_invalid_helo_hostname? Jochen

5 22

HELO Access restrictions
by Joachim Fahrner 05 Jul '17

05 Jul '17

Hallo, ich stelle mal eine Frage zur Diskussion: nützen die HELO Access restrictions heute überhaupt noch was? Wenn ich so in meinen Logs stöbere, finde ich da kaum abgewiesene Mails. Und wenn, dann war es kein Spam. Der meiste Spam wird bei mir durch RBL geblockt. Die Idee hinter den HELO restrictions war ja, dass Botnet Zombies normal keinen korrekt konfigurierten Hostnamen und DNS-Einträge haben. Aber die Spamsoftware wird auch immer schlauer, und es ist ja ein Leichtes mit 2 DNS-Abfragen einen zur IP passenden Hostnamen zu bekommen: $ host 93.104.124.64 64.124.104.93.in-addr.arpa domain name pointer ppp-93-104-124-64.dynamic.mnet-online.de. $ host ppp-93-104-124-64.dynamic.mnet-online.de ppp-93-104-124-64.dynamic.mnet-online.de has address 93.104.124.64 Und wenn ich mir die Logs so ansehe bestätigt das meine These: da gibt es sehr viele HELO Namen die ziemlich kryptisch aussehen, so wie die von DSL-Anschlüssen. Also wären diese Prüfungen ja reine Zeitverschwendung, und sogar kontraproduktiv. Jochen

3 5

hostname ... does not resolve to address ...
by Joachim Fahrner 29 Jun '17

29 Jun '17

Hallo, ich habe in meinem Log massenhaft solche Fehlermeldungen: Jun 29 08:31:31 server postfix/smtpd[16058]: warning: hostname tupac2.dyne.org does not resolve to address 178.62.188.7: Temporary failure in name resolution Ich kann bei der Domain aber keine Fehler erkennen. Sie hat 3 Nameserver: ns.dyne.org, ns2.dyne.org und ns3.dyne.org. Ich hab die mal per dig gefragt, und bei allen dreien bekomme ich die korrekte Adresse für tupac2.dyne.org zurück. Über diesen Server erfolgt der Versand einer Mailingliste, und ich bekomme da auch reichlich Mails aus der Liste. Der Fehler scheint also nur gelegentlich aufzutreten. Bei keiner anderen Domain erhalte ich solche Fehlermeldungen, ich gehe daher davon aus dass mein outbound richtig funktioniert. Hat jemand eine Idee was da faul sein könnte? Jochen

2 1

Absender "Displayname" umschreiben mit Variable
by Marc Risse 22 Jun '17

22 Jun '17

Hallo Liste, ich dachte mir ich baue da mal schnell was, verzweifele jetzt aber. Ich möchte für eine Vielzahl von Linux-Servern eine Standard-Config ausrollen. Diese Server haben nur Postfix an Board um den Admin zu informieren, also für Cron etc. Da wir für unsere Server mehrere eigene DNS-Zonen betreiben (.server, .lanserver .etc) und ich auf dem zentralen Mailrelay Mails mit "solchen" Zonen zurückweise, habe ich folgendes gebaut: myorigin = /etc/mailname mydestination = localhost, $myhostname relayhost = relay.foo.de sender_canonical_maps = regexp:/etc/postfix/sender_canonical /etc/postfix/sender_canonical: /./ noreply(a)foo.de noreply(a)foo.de ist auf dem zuständigen Relay ein blackhole, also /dev/null Das ganze Funktioniert! Die Mails haben einen ordentlichen absender und werden ordentlich zugestellt. Antworten (Autoreply etc) werden direkt vernichtet. Super! Jetzt beschweren sich die Admins allerdings, dass im FROM leider immer "root <noreply(a)foo.de>" steht. Statt des Displaynames sollte dort der Hostname des sendenden Servers stehen, also ein FROM à la "WEB53.SERVER <noreply(a)citkomm.de>". So, lange Vorrede, hier mein Problem: Um den Displayname (oder wie auch immer der Text-Teil vor der Mailadresse heißt) umzuschreiben, brauche ich den Hostnamen oder ähnliches. Ich würde es am liebsten so machen: smtp_header_checks = regexp:/etc/postfix/header_checks /etc/postfix/header_checks: /^From:[[:space:]]+(.*)/ REPLACE From: "$myhostname" <noreply(a)citkomm.de> leider kann ich an der Stelle "$myhostname" keine Variable verwenden, zumindest habe ich dafür keine Lösung gefunden. Habt Ihr eine Idee, wie ich den Hostnamen "variabel" in den Header bekomme? Ziel soll es sein, dass die main.cf und alle anderen Dateien keine hostspezifischen Daten enthalten, also $myhostname u.s.w. wird von Postfix ermittelt, $myorigin kommt aus /etc/mailname sofern vorhanden. Für Tipps/Ideen wäre ich sehr dankbar - allerdings bitte keine Diskussionen über die Randbedingungen ;) VG Marc -- Marc Risse RZ-Projekte Telefon: +49 2372 5520-385 Fax: +49 2372 5520-61-385 E-Mail: risse(a)citkomm.de Internet: http://www.citkomm.de ===================================== KDVZ Citkomm (Kommunaler Zweckverband) Citkomm services GmbH* Sonnenblumenallee 3, 58675 Hemer Telefon: +49 2372 5520-0 Fax: +49 2372 5520-279 E-Mail: post(a)citkomm.de *Tochtergesellschaft: Citkomm services GmbH Sitz der Gesellschaft: Hemer Handelsregister: AG Iserlohn, HRB 26 86 Geschäftsführer: Dr. Michael Neubauer, Kerstin Pliquett

4 4

transport auf basis von sender und receiver bestimmen
by Patrick Landolt 22 Jun '17

22 Jun '17

Ich versuche folgendes setup zu erreichen: 1. Ich habe mehrere ip Adressen über den postfix die nachrichten an andere MTA senden soll 2. Ich habe verschiedene transport in der master.cf Datei erstellt. Jede mit einer eigenen smtp_bind_address soweit so gut. dieses setup funktioniert bereits. Aber jetzt muss ich auch noch langsame bzw. rasch (temp) blockende ISPs wie yahoo handhaben. Mein erster Versuch war den transport via tranpsort_maps zu ändern: yahoo.com slow: Aber mit diesem Eintrag wird der transport geändert ohne auf den sender Rücksicht zu nehmen. Denn mit sender_dependent_default_transport_maps setze ich den transport abhängig von der sender Adresse. Ich habe nun 4 transports definiert: * m1 * m1-slow * m2 * m2-slow Wenn ich nun auf m1.mxsend.ch verbinde soll die E-Mail via transport m1 verschickt werden. Bei einer Verbindung auf m2.mxsend.ch über den transport m2. Dies funktioniert. Aber ich kann keine Lösung finden, bei der der transport anhand des Senders UND des Empfängers bestimmt wird wie es folgend sein müsste: - Sender ist @m1.mxsend.ch und Empfänger ist someone(a)example.com > nutze transport m1 - Sender ist @m1.mxsend.ch und Empfänger ist someone(a)yahoo.com > nutze transport m1-slow - Sender ist @m2.mxsend.ch und Empfänger ist someone(a)exmaple.com > nutze transport m2 - Sender ist @m2.mxsend.ch und Empfänger ist someone(a)yahoo.com > nutze transport m2-slow Folgend noch mein komplettes setup: main.cf (postconf -n): alias_database = hash:/etc/aliases alias_maps = hash:/etc/aliases anvil_rate_time_unit = 60s anvil_status_update_time = 600s append_dot_mydomain = no biff = no bounce_queue_lifetime = 3d broken_sasl_auth_clients = yes debug_peer_level = 2 debug_peer_list = 5.102.146.19 html_directory = /usr/share/doc/postfix/html inet_interfaces = all inet_protocols = ipv4 m1-slow_destination_concurrency_failed_cohort_limit = 100 m1-slow_destination_concurrency_limit = 4 m1-slow_destination_concurrency_positive_feedback = 1/35 m1-slow_initial_destination_concurrency = 1 m2-slow_destination_concurrency_failed_cohort_limit = 100 m2-slow_destination_concurrency_limit = 1 m2-slow_initial_destination_concurrency = 1 mailbox_size_limit = 0 maximal_queue_lifetime = 3d message_size_limit = 20480000 milter_default_action = accept milter_protocol = 2 mydestination = $myhostname, localhost.$myhostname, localhost mydomain = mxsend.ch myhostname = m1 mynetworks = 127.0.0.0/8 5.102.146.19 5.102.145.149 5.102.151.226 myorigin = $myhostname non_smtpd_milters = inet:localhost:12301 readme_directory = /usr/share/doc/postfix recipient_delimiter = + sender_dependent_default_transport_maps = mysql:/etc/postfix/mysql_sender_dependent_default_transport_maps.cf smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache smtpd_banner = $myhostname ESMTP $mail_name smtpd_client_connection_count_limit = 0 smtpd_client_connection_rate_limit = 0 smtpd_client_event_limit_exceptions = smtpd_error_sleep_time = 1s smtpd_hard_error_limit = 2000 smtpd_milters = inet:localhost:12301 smtpd_recipient_restrictions = reject_non_fqdn_sender, reject_non_fqdn_recipient, reject_unauthenticated_sender_login_mismatch permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination permit smtpd_sasl_auth_enable = yes smtpd_sasl_path = private/auth smtpd_sasl_type = dovecot smtpd_soft_error_limit = 1000 smtpd_tls_auth_only = no smtpd_tls_cert_file = /etc/ssl/certs/ssl-cert-snakeoil.pem smtpd_tls_key_file = /etc/ssl/private/ssl-cert-snakeoil.key smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache smtpd_use_tls = yes transport_maps = mysql:/etc/postfix/mysql_transport_maps.cf virtual_alias_maps = mysql:/etc/postfix/mysql_virtual_alias_maps.cf virtual_gid_maps = static:5000 virtual_mailbox_base = /var/spool/maildirs virtual_mailbox_domains = mysql:/etc/postfix/mysql_virtual_mailbox_domains.cf virtual_mailbox_maps = mysql:/etc/postfix/mysql_virtual_mailbox_maps.cf virtual_minimum_uid = 5000 virtual_transport = lmtp:unix:private/dovecot-lmtp virtual_uid_maps = static:5000 master.cf (postconf -P): m1/unix/smtp_bind_address = 5.102.145.149 m1/unix/smtp_helo_name = m1.mxsend.ch m1/unix/syslog_name = postfix-m1 m2/unix/smtp_bind_address = 5.102.151.226 m2/unix/smtp_helo_name = m2.mxsend.ch m2/unix/syslog_name = postfix-m2 m1-slow/unix/smtp_bind_address = 5.102.145.149 m1-slow/unix/smtp_helo_name = m1.mxsend.ch m1-slow/unix/syslog_name = postfix-m1-slow m2-slow/unix/smtp_bind_address = 5.102.151.226 m2-slow/unix/smtp_helo_name = m2.mxsend.ch m2-slow/unix/syslog_name = postfix-m2-slow 5.102.145.149:smtp/inet/myhostname = m1.mxsend.ch 5.102.145.149:submission/inet/myhostname = m1.mxsend.ch 5.102.151.226:smtp/inet/myhostname = m2.mxsend.ch 5.102.151.226:submission/inet/myhostname = m2.mxsend.ch

1 0

Phishing Mails von der FAZ?
by Joachim Fahrner 18 Jun '17

18 Jun '17

Kann das sein? Habe heute eine Phishing Mail von mail.faz.net bekommen. Ähnlich wie die hier: http://zy0.de/q/46.163.116.28 Wurde deren Mailserver gehackt? Jochen

3 7

Spam-Probleme (v.a. Versicherungs-Spam), wo ist mein Config-Problem?
by Martin Sebald 16 Jun '17

16 Jun '17

Hallo zusammen, in letzter Zeit habe ich massive Probleme mit Spam. Vor allem kommt sehr sehr viel "Versicherungs-Spam" (Berufshaftpflicht, Krankenversicherung...) rein. Alleine mein eigener Account bekommt hier mehr als ein Dutzend Mails pro Tag. Mein Mailserverkonstrukt ist Postfix/Amavis/Spamassassin, also mehr oder weniger Standard, und ich erlaube mir mal, hier zu posten, auch, wenn das Thema mehr Richtung Amavis und Spamassassin geht. Falls das nicht ok ist, bitte sagen. Gut, folgendes ist mir aufgefallen vor einigen Wochen. Da kommt eine Spamnachricht und ich sehe folgendes: X-Spam-Score: 0.017 X-Spam-Level: X-Spam-Status: No, score=0.017 tagged_above=-999 required=3.5 tests=[BAYES_00=-3.5, DKIM_VALID=-0.1, DKIM_VALID_AU=-0.1, DKIM_VERIFIED=-0.1, HTML_MESSAGE=0.001, RAZOR2_CF_RANGE_51_100=1.5, RAZOR2_CF_RANGE_E8_51_100=1.886, RAZOR2_CHECK=0.922, RELAYCOUNTRY_GOOD=-0.5, RP_MATCHES_RCVD=-0.001, SPF_PASS=-0.001, T_KAM_HTML_FONT_INVALID=0.01] autolearn=no autolearn_force=no Spannend finde ich hier v.a. "BAYES_00=-3.5", was ja (soweit ich das weiß) darauf hindeutet, dass die Mail als Ham erkannt/angelernt wurde, oder? Wie kommt sie aber da rein frage ich mich? (3.5 ist mein Standardlevel, über dem die Nachricht dann Spam ist und entsprechend markiert wird.) Bin dann hergegangen und habe die komplette Bayes Datenbank (Ham wie Spam, habe keine Möglichkeit gefunden, nur die Ham Daten zu löschen) geleert und mit zig tausend Spam Nachrichten neu angelernt. Des Weiteren nutze ich auch die Spamassassin Regeln von Heinlein Support. Und schwupps wurden die allermeisten Spamnachrichten korrekt erkannt. Nun nach ein paar Wochen geht das wieder von vorne los, das meiste kommt durch und was ich dann eben sehe ist ist wieder "BAYES_00=-3.5"... Vermutlich habe ich irgendwo einen Denk- und/oder Config-Fehler, auf den ich nun nicht komme. Eventuell hat ja jemand einen Tipp für mich, fände ich spitze. Configs reiche ich natürlich gerne nach, wollte nun aber erstmal hören, in welcher Richtung ich suchen muss. Danke und viele Grüße, Martin

12 42

Ein postfwd für mehrere MTAs?
by Peter Heitzer 14 Jun '17

14 Jun '17

Ich bin gerade dabei, mich etwas in postfwd einzuarbeiten. Insbesonders sollen damit die Anzahl der Requests bzw. Mails nach aussen limitiert werden. Da wir mehrere MTAs benutzen, dachte ich, ob es eine gute Idee wäre, postfwd nur auf einer (evtl. zusätzlichen) Maschine laufen zu lassen und von den MTAs nicht via localhost, sondern über eine reguläre IP-Adresse anzusprechen. Der Vorteil wäre, dass die Limits exakt den in den postfwd-Regeln eingetragenen entsprächen. Bei mehreren MTAs müsste ich die Limits durch die Anzahl der MTAs teilen und es könnte passieren, daß ein Client einmal früher oder auch später das Limit erreicht, je nachdem welchen MTA er erwischt. Nachteilig bei dieser Lösung ist die starke Abgängigkeit von der dedizierten Maschine, auf der postfwd läuft. Wenn die Netzwerkverbindung gestört ist, wird u.U. der gesamte Mailtransport auf den MTAs behindert. Da ich nur Limits für innen (meine Domains) nach draussen ("Internet") implementieren möchte, würde ich postfwd nur dann aufrufen, wenn die Absenderdomain eine meiner eigenen. Hat jemand ein ähnliches Szenario (postfwd auf getrennter Maschine) bei sich im Einsatz? Wenn es keine gute Idee ist, nur einen postfwd laufen zu lassen, gibt es einfache Methoden, die einzelnen postfwd miteinander zu synchronisieren? ---- Dipl.-Inform(FH) Peter Heitzer, peter.heitzer(a)rz.uni-regensburg.de

2 1

Email Pot in bei mails an Support
by simoon 14 Jun '17

14 Jun '17

Hi, ich würde es gerne so einrichten das bei mails an eine unserer support emails der kunde vom mailserver eine mail mit bestätigungslink zurück bekommt den er clicken muss damit die mail ins postfach kommt. Hat da jemand eine Lösung für? Wir haben postfix, dovecot, amavis und spamassassin in der config. Gruss Alex

2 1

Ursache eines gelogten Fehlers in /var/log/maillog?
by Walter H. 12 Jun '17

12 Jun '17

Hallo, habe hier folgenden Eintrag in /var/log/maillog Jun 12 08:02:33 mail master[1941]: setrlimit: Unable to set file descriptors limit to -1: Operation not permitted kommt das von Postfix oder vom Cyrus-IMAP? Danke, Walter

2 1

*.Zip Files im Anhang blockieren und automatische Mitteilung an den Absender.
by Wolff, Lothar 03 Jun '17

03 Jun '17

Hallo Ich möchte im Postfix einstellen - Alle *.Zip Anhänge sind nicht blockiert - Absender bekommt einen Hinweis dass er eine Zip Datei gesendet hatte, die in das System nicht rein gelassen wird und das er diese bitte nochmal in einem anderen Format senden möge usw. usw . Wo kann man das am Besten im Postfix einstellen ? MfG Lothar Wolff

8 18

XBL Spamhaus greift nicht
by Ublun 29 May '17

29 May '17

eigentlich will ich über die Helo restriction die IP's gelistet auf xbl.spamhaus.org schon verworfen haben. Ich krieg es aber das nicht gebogen. Obwohl gelistet auf xbl.spamhaus.org und die Helo restrition da ist, gibt es immer noch SASL LOGIN Fehler. danke - David May 18 12:21:07 srv postfix/smtpd[6206]: connect from unknown[190.92.84.178] May 18 12:21:09 srv postfix/smtpd[6206]: warning: unknown[190.92.84.178]: SASL LOGIN authentication failed: authentication failure May 18 12:21:10 srv postfix/smtpd[6206]: disconnect from unknown[190.92.84.178] helo=1 auth=0/1 quit=1 commands=2/3 *190.92.84.178 is not listed in the SBL* *190.92.84.178 is not listed in the PBL* *190.92.84.178 is listed in the XBL*, because it appears in: CBL broken_sasl_auth_clients = yes # Restrictions # nachricht an den entfernten SMTP-Server, wenn er als "Spam-Schleuder" erkannt wurde default_rbl_reply = $rbl_code RBLTRAP: Sorry, but I decided that you are a spammer, you are not welcome here! # Zum eigene Wohl nicht ändern ;) smtpd_delay_reject = yes # Wir wollen begrüßt werden smtpd_helo_required = yes smtpd_helo_restrictions = permit_sasl_authenticated permit_mynetworks reject_unknown_helo_hostname reject_invalid_helo_hostname reject_rhsbl_helo xbl.spamhaus.org permit

4 5

Blackhole-Lists
by Marc Risse 29 May '17

29 May '17

Hallo Liste, das Thema kommt ja immer wieder mal auf: Wo bekommt man eine (gute) Liste von Blacklists her, mit denen Postfix, Policyd-Weight, SpamAssassin und so weiter gefüttert werden können? Meine persönliche Quellen neben diverser HowTos ist die Liste von MxToolBox. Ich habe mir einen Check (Check_MK) geschrieben, welcher die Antworten der RBLs auswertet, um so z.B. tote Anbieter schneller zu identifizieren. Ja, auch ich war von der "plötzlichen" Abschaltung von rhsbl.ahbl.org und relays.ordb.org betroffen, die plötzlich nur noch Blacklist-Treffer lieferten (und auch weiterhin liefern). Naja, man lernt nie aus ;) Vielleicht könnte man ein paar Konfigurationen zur Verfügung stellen, welche Einträge in welchen Tools Sinn ergeben und welche RBL-Dienste "aktuell" sind. Leider ist es ja so, dass z.B. in der Default-Konfiguration von policyd-weight nicht mehr existente RBLs enthalten sind... für den Anfänger bestimmt eine Hürde, die viel Zeit in Anspruch nehmen kann. Sollte ich von Euch etwas Input bekommen, würde ich dafür eine Domain/Webspace zur Verfügung stellen. Ich bin für Alles offen und hoffe, dass wir vielleicht eine schöne Page betreiben können die der aktuellen Situation entspricht. Auch einige der RBLs im Postfix-Buch sind nicht mehr verfügbar. Da die 4. Auflage laut Peer noch ein wenig dauert, könnte man vielleicht auch in Kooperation mit Peer so etwas aufbauen... Was meint Ihr? VG Marc -- Marc Risse RZ-Projekte Telefon: +49 2372 5520-385 Fax: +49 2372 5520-61-385 E-Mail: risse(a)citkomm.de Internet: http://www.citkomm.de ===================================== KDVZ Citkomm (Kommunaler Zweckverband) Citkomm services GmbH* Sonnenblumenallee 3, 58675 Hemer Telefon: +49 2372 5520-0 Fax: +49 2372 5520-279 E-Mail: post(a)citkomm.de *Tochtergesellschaft: Citkomm services GmbH Sitz der Gesellschaft: Hemer Handelsregister: AG Iserlohn, HRB 26 86 Geschäftsführer: Dr. Michael Neubauer, Kerstin Pliquett

2 1

REJECT wenn im header To: nicht meine domain vorkommt
by Andreas Wass - Glas Gasperlmair 26 May '17

26 May '17

Hallo Postfix Gemeinde! Macht es Sinn, in meine header_checks eine Regel aufzunehmen, welche das Feld "To:" überprüft und alle Email rejected, wenn nicht meine maildomain darin vorkommt. Hat jemand eine Idee, wie ich das mit regex verwirklichen könnte? Und irgendwas war da doch mit undisclosed recipients oder? vg, Andi

2 3

XBL Spamhaus greift nicht
by Ublun 18 May '17

18 May '17

eigentlich will ich über die Helo restriction die IP's gelistet auf xbl.spamhaus.org schon verworfen haben. Ich krieg es aber das nicht gebogen. Obwohl gelistet auf xbl.spamhaus.org und die Helo restrition da ist, gibt es immer noch SASL LOGIN Fehler. danke - David May 18 12:21:07 srv postfix/smtpd[6206]: connect from unknown[190.92.84.178] May 18 12:21:09 srv postfix/smtpd[6206]: warning: unknown[190.92.84.178]: SASL LOGIN authentication failed: authentication failure May 18 12:21:10 srv postfix/smtpd[6206]: disconnect from unknown[190.92.84.178] helo=1 auth=0/1 quit=1 commands=2/3 *190.92.84.178 is not listed in the SBL* *190.92.84.178 is not listed in the PBL* *190.92.84.178 is listed in the XBL*, because it appears in: CBL broken_sasl_auth_clients = yes # Restrictions # nachricht an den entfernten SMTP-Server, wenn er als "Spam-Schleuder" erkannt wurde default_rbl_reply = $rbl_code RBLTRAP: Sorry, but I decided that you are a spammer, you are not welcome here! # Zum eigene Wohl nicht ändern ;) smtpd_delay_reject = yes # Wir wollen begrüßt werden smtpd_helo_required = yes smtpd_helo_restrictions = permit_sasl_authenticated permit_mynetworks reject_unknown_helo_hostname reject_invalid_helo_hostname reject_rhsbl_helo xbl.spamhaus.org permit

2 1

Ist ein CNAME bei einer rDNS Abfrage erlaubt?
by Tobi 15 May '17

15 May '17

Hallo zusammen kurze Frage: habe gestern auf meinem Postfix den rDNS Check aktiviert via reject_unknown_reverse_client_hostname in der smtpd_client_restrictions Heute morgen konnte ich sehen, dass dabei die Mailingliste von ntp.org abgelehnt wird mit: Client host rejected: cannot find your reverse hostname, [185.140.48.241] Eine Abfrage des rDNS der IP ergibt ein Resultat, welches ich in dieser Form noch nicht gesehen habe 241.48.140.185.in-addr.arpa. 2731 IN CNAME 241.192/26.48.140.185.in-addr.arpa. 241.192/26.48.140.185.in-addr.arpa. 931 IN PTR psp3.ntp.org. Gemäss kurzer Recherche im Internet müsste der CNAME erlaubt sein. Weiss jemand was der Grund ist, dass Postfix meint den reverse Hostnamen nicht finden zu können? Gruss tobi

4 5

virtual setup und einzelne user einer domain auf einem anderen mailserver?
by Jakob Curdes 12 May '17

12 May '17

Hallo, ich bin neu in der Liste, aber nicht neu bei postfix. Trotzdem habe ich hier eine Nuss, die ich nicht geknackt bekomme. Wir wollen Benutzer schrittweise von (internem) Mailserver A auf (internen) Mailserver B migrieren (von zarafa zu kopano, aber das ist hier relativ egal). Wir haben die Benutzer auf beiden Seiten, migrieren die Mails mit IMAPSYNC, schmeissen dann die externe Abholung an mit fetchmail. Dann kann der User Mails empfangen und lesen. Postfix ist an kopano mittels LMTP angebunden; der kopano Spooler sendet seine Mails über den lokalen Postfix. Das klappt auch alles wunderbar, der User kann Mails nach extern versenden usw. Es gibt aber natürlich das Problem, dass die bereits migrierten User mit den noch nicht migrierten derselben Domain auf einem anderen Server kommunizieren müssen. Ich dachte, das ist ganz einfach mit transport tables, das scheint aber mit virtuellen usern nicht zu funktionieren!? ich habe in der transport table: local.user(a)maildomain.com : maildomain.com smtp:oldserver.domain.local und ansonsten in der main.cf: virtual_alias_domains = maildomain.com virtual_alias_maps = mysql:/etc/postfix/mysql-users.cf myorigin=/etc/mailname virtual_transport = lmtp:127.0.0.1:2003 transport_maps = hash:/etc/postfix/transport Mit diesen Settings kann ich von der Kommandozeile aus eine Mail an remote.user(a)maildomain.com verschicken, der auf dem anderen Server (der als relayhost eignetragen ist) residiert. Allerdings klappt das nicht von kopano aus, dann wird die mail abgewiesen mit "user unknown in virtual mailbox table". Was mache ich da falsch bzw. gibt es vielleicht einen anderen Weg um das zu erreichen? Ich habe das dunpfe Gefühl, dass man virtual_alias domains nicht auf zwei Server aufsplitten kann.... Vielen Dank für einen Tip, JC

1 0

450 4.7.1 Service unavailable; client [80.143.67.X} blocked using zen.spamhaus.org
by Christoph Kukulies 07 May '17

07 May '17

Seit gestern habe ich postscreen auf meinem Mailserver aktiviert. Jetzt wollte ich von meinem dip.t-ipconnect.de verbundenen PC via Thunderbird eine Email an einen Empfänger (@arcor.de) senden. Dies scheint nicht zu funktionieren. Ich bekomme Fehler beim Senden der Nachricht: Der Mail-Server antwortete: 4.7.1 Service unavailable; client [80.143.67.X] blocked using zen.spamhaus.org. Bitte überprüfen Sie die E-Mail-Adresse des Empfängers "user(a)arcor.de" und wiederholen Sie den Vorgang. Die IP bin ich. Ich benutze port 587 zum Senden der Email über meinen Server. Jetzt las ich in dem Howto https://blog.schaal-24.de/mail/postscreen-im-kampf-gegen-spam/ /Ich verwende zur Spam-Abwehr u.a. //postscreen <http://www.postfix.org/>////. Dadurch werden potentielle Spam-Mails direkt ablehnt, ehe sie auf dem Server angekommen und dann der Inhalt gescannt werden muss./ // /Postscreen sollte nicht eingesetzt werden, wenn Mail-User-Agents (MUAs) dort connecten sollen. Normalerweise wird der Port 25 für Mail-Transfer-Agents (MTAa) genutzt und die MUAs verwenden den Submission-Port (TCP 587). Man kann aber auch postcreen für eine weitere IP nicht einsetzen, wenn zu dieser kein MX-Record im DNS definiert ist. Dann ist einen Einlieferung durch einen MUA dort problemlos möglich./ Bin ich da vielleicht genau auf das Problem gelaufen? Und wie komme ich dem bei? Grüße

4 7

Reihenfolge von Adressumschreibungen ...
by Walter H. 04 May '17

04 May '17

Hallo, kann man die Reihenfolge von Adressumschreibungen beeinflussen? habe im westentlichen die Anleitung hier: https://dokuwiki.tachtler.net/doku.php?id=tachtler:postfix_echo-mailer-scri… verwendet um mir ein echo@domain zu "erschaffen", es funktioniert auch, hat aber nur einen Haken, ich musste auf die kommentierte Zeile SENDER=`egrep "^From: " $FILE_IN | $HEAD_COMMAND -1 | $SED_COMMAND "s,^From: ,,"` zurückgreifen, weil dieser Postfix als MX-Server meiner 2ten Domain fungiert, und alle Mails die dort ankommen so an eine Mailadresse meiner 1ten Domain weitergeleitet werden sollen, daß ich dies im Mail erkenne, und genau das habe ich mit folgendem gemacht: /etc/postfix/sndr_canonical.pcre if /.+/ !/(.+)\(a)vhost\.mail/ noreply@2tedomain endif und im /etc/postfix/main.cf das sender_canonical_classes = envelope_sender sender_canonical_maps = pcre:/etc/postfix/sndr_canonical.pcre und genau diese Ersetzung wird durchgeführt bevor das von /etc/postfix/master.cf reply unix - n n - - pipe flags= user=nobody argv=/etc/postfix/autoreply.sh ${sender} ${recipient} ausgeführt wird; kann ich diese Ersetzung f. genau eine einzige Zieladresse (echo@2tedomain) ausnehmen? wenn ja, wie? das Relayen/Forwarden von der 2ten Domain auf die 1te Domain habe ich in Summe so gelöst in /etc/postfix/main.cf weiters noch myhostname = vhost.mail ; vhost.mail ist im /etc/hosts File auf die IPadressen von smtp_bind_address bzw. smtp_bind_address6 gesetzt inet_interfaces = $myhostname inet_protocols = all mydestination = $myhostname, $mydomain relayhost = leer smtpd_banner = $myhostname ESMTP $mail_name ($mail_version) sender_dependent_relayhost_maps = hash:/etc/postfix/dependent_relayhost strict_7bit_headers = yes smtpd_delay_reject = yes smtpd_helo_required = yes smtpd_helo_restrictions = permit_mynetworks, reject_unknown_hostname, reject_non_fqdn_helo_hostname smtpd_client_restrictions = permit_mynetworks, reject_unknown_client_hostname smtpd_etrn_restrictions = permit_mynetworks, reject smtpd_sender_restrictions = check_sender_mx_access cidr:/etc/postfix/drop.cidr, check_sender_ns_access cidr:/etc/postfix/drop.cidr, reject_non_fqdn_sender, reject_unknown_sender_domain smtpd_recipient_restrictions = permit_mynetworks, reject_non_fqdn_recipient, reject_unauth_destination, reject_unknown_recipient_domain, check_recipient_access hash:/etc/postfix/recipient_access, reject smtpd_discard_ehlo_keywords = silent-discard, dsn smtpd_reject_unlisted_sender = yes smtpd_reject_unlisted_recipient = yes smtpd_use_tls = yes smtpd_tls_cert_file = /etc/postfix/tls.crt/2tedomain-host.crt smtpd_tls_key_file = /etc/postfix/tls.key/2tedomain-host.key smtpd_tls_CAfile = /etc/postfix/tls.crt/server-chain-intermediate.crt smtpd_tls_dh1024_param_file = /etc/postfix/tls.dh/dh2048.pem smtpd_tls_dh512_param_file = /etc/postfix/tls.dh/dh512.pem smtpd_tls_session_cache_database = btree:/var/lib/postfix/smtpd_tls_cache smtpd_tls_session_cache_timeout = 3600s smtp_bind_address = IPv4 smtp_bind_address6 = IPv6 smtp_generic_maps = hash:/etc/postfix/generic smtp_always_send_ehlo = yes smtp_helo_name = ipv6home.eu smtp_helo_timeout = 45 smtp_host_lookup = dns, native smtp_cname_overrides_servername = no smtp_sasl_auth_enable = yes smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd smtp_sasl_security_options = smtp_tls_CAfile = /etc/pki/tls/cert.pem smtp_tls_note_starttls_offer = yes smtp_tls_session_cache_database = btree:/var/lib/postfix/smtp_tls_cache smtp_tls_session_cache_timeout = 3600s virtual_alias_maps = hash:/etc/postfix/virtual transport_maps = hash:/etc/postfix/transport message_reject_characters = \0 message_size_limit = 1048576 unknown_address_reject_code = 554 unknown_client_reject_code = 550 unknown_hostname_reject_code = 554 unverified_recipient_reject_code = 554 unverified_sender_reject_code = 554 relay_domains = 2tedomain /etc/postfix/dependent_relayhost @1tedomain MX-host-von-domain-hoster-der-im-DNS-von-1te-domain-steht:25 @vhost.mail smtp-host-von-domain-hoster-der-fuer-1te-domain-senden-darf:587 /etc/postfix/generic calcbox(a)vhost.mail calcbox-worker@1tedomain walter(a)vhost.mail walter.h@1tedomain root(a)vhost.mail vhost-root@1tedomain logwatch(a)vhost.mail vhost-logwatch@1tedomain postmaster(a)vhost.mail vhost-postmaster@1tedomain ECHO-REPLY(a)vhost.mail vhost-echoreply@1tedomain MAILER-DAEMON(a)vhost.mail vhost-mailer@1tedomain /etc/postfix/recipient_access domainmaster@2tedomain OK hostmaster@2tedomain OK postmaster@2tedomain OK echo@2tedomain OK abuse@2tedomain OK admin@2tedomain OK info@2tedomain OK root@2tedomain OK walter.h@2tedomain OK /etc/postfix/sasl_passwd smtp-host-von-domain-hoster-der-fuer-1te-domain-senden-darf:587 userid:pwd /etc/postfix/transport reply.mail reply: echo@2tedomain echo(a)reply.mail @2tedomain 2tedomain@1tedomain calcbox calcbox-worker@1tedomain walter walter.h@1tedomain root vhost-root@1tedomain kann ich hier etwas ändern, sodaß das echo@2tedomain mit dem envelope_sender funktioniert? Danke im voraus, Walter

1 0

Re: 450 4.7.1 Service unavailable; client [80.143.67.X} blocked using zen.spamhaus.org
by Marco Dickert 04 May '17

04 May '17

On 2017-05-04 14:16:38, Christoph Kukulies wrote: > Steht denn bei Dir postscreen im netstat output? > > C. Ja, keine Ahnung warum. Eventuell ist das OS-abhängig? Ich nutze Debian Jessie (8.7). $ netstat -tulpen|grep postscreen tcp 0 0 0.0.0.0:25 0.0.0.0:* LISTEN 0 27534298 15950/postscreen tcp6 0 0 :::25 :::* LISTEN 0 27534299 15950/postscreen -- Marco Dickert marco(a)misterunknown.de https://misterunknown.de

1 0

Re: 450 4.7.1 Service unavailable; client [80.143.67.X} blocked using zen.spamhaus.org
by Marco Dickert 04 May '17

04 May '17

Moin, On 2017-05-04 13:48:02, Christoph Kukulies wrote: > Hallo Marco, > > das habe ich so aus > https://blog.schaal-24.de/mail/postscreen-im-kampf-gegen-spam/ > übernommen. > > Grüße > > Christoph stimmt, die Zeile ist bei mir in der master.cf auch drin, allerdings erst nach der Zeile mit Postscreen. Die Reihenfolge ist aber an der Stelle egal. Mich hat nur gewundert, dass bei dir im netstat-Output nicht postscreen, sondern smtp steht. -- Marco Dickert marco(a)misterunknown.de https://misterunknown.de

1 0

Eine Frage zur Einrichtung eines backup MX
by Alexander Palm 04 May '17

04 May '17

Hallo, meinst ihr die hier beschriebene Backup-Config wäre ausreichend? http://www.linuxlasse.net/linux/howtos/Postfix_as_backup_MX Oder zu unsicher? Oder besser die - ist nur viel länger: https://www.21x9.org/?p=394 Und was ich da widersprüchlich finde ist: Die Domains des primären Mailservers dürfen nicht unter mydestination aufgeführt sein Aber: mydestination = 21x9.org, localhost und der Primäre Server ist ja 21x9.org Danke & Gruß, Alex -- Sent by mobile - sorry for briefness.

1 0

postscreen Anleitung Inhalt der dnsbl_reply
by Christoph Kukulies 03 May '17

03 May '17

Im blog.schaal-24.de/main/postscreen-im-kampf-gegen-spam/ befindet sich ein tutorial zum Konfigurieren von postscreen. Darin ist ein Passus: /etc/postfix/dnsbl_reply hat den folgenden Inhalt: | # Secret DNSBL name Name in postscreen(8) replies secret.zen.spamhaus.org zen.spamhaus.org | *Und so funktioniert die Gewichtung:* postscreen_dnsbl_threshold = 3 stellt den minimalen Wert für ein Ablehnen dar. Die einzelnen Listen sind unterschiedlich stark gewichtet (*3 für zen.spamhaus.org oder *2 für b.barracudacentral.org). Whitelists haben eine negative Gewichtung. Erstmal werden alle Mails mit einem DNSBL-Score von 3 nicht angenommen (default). Durch die Gewichtung kann sich das jetzt aber verschieben. Postscreen addiert die individuelle Gewichtung hinzu (bl.mailspike.net*3 bedeutet einen Rejected bei einem Score >= 3+3). Bei einer negative Gewichtung für die Whitelisten wird der Betrag abgezogen. Um nicht richtig arbeitende Clients und “mynetworks” nicht immer abzuweisen: |postscreen_dnsbl_threshold = 3 postscreen_dnsbl_sites = zen.spamhaus.org*3 bl.mailspike.net*3 b.barracudacentral.org*2 bl.spameatingmonkey.net bl.spamcop.net spamtrap.trblspam.com dnsbl.sorbs.net=127.0.0.[2;3;6;7;10] ix.dnsbl.manitu.net bl.blocklist.de #whitelist list.dnswl.org=127.0.[0..255].0*-1 list.dnswl.org=127.0.[0..255].1*-2 list.dnswl.org=127.0.[0..255].[2..3]*-3 iadb.isipp.com=127.0.[0..255].[0..255]*-2 iadb.isipp.com=127.3.100.[6..200]*-2 wl.mailspike.net=127.0.0.[17;18]*-1 wl.mailspike.net=127.0.0.[19;20]*-2 postscreen_dnsbl_reply_map = texthash:/etc/postfix/dnsbl_reply postscreen_dnsbl_action = enforce postscreen_dnsbl_ttl = 1h| | | | | |Mir ist nicht ganz klar, ob das, was nach dem Satz "Um nicht richtig arbeitende Clients..." folgt, auch noch zum Inhalt des dnsbl_reply gehört ober ob das wieder in die main.cf gehört.| | | |Kann das jemand aufklären?| | | |Danke und Grüße| |Christoph| | |

1 0