- postfix-users - list.sys4.de

OT: Smartphone mitAnbindung an Postfix und Dovecot
by postfix_ml＠rirasoft.de 04 Feb '15

04 Feb '15

Hallo zusammen, mal 'ne Frage an euch: Wie, und ist es überhaupt möglich, kann man aktuelle Smartphones (Android) an ein bestehendes Mailsystem mit Postfix und Dovecot anbinden, damit die Mails darüber und nicht über Google (gmail) laufen? Hintergrund: mein Frau möchte sich ein Smartphone zulegen und ich betreibe selber meinen Mailserver (feste IP vorhanden). Gruß Andreas

6 6

CA certificate verification failed for *: num=7:certificate signature failure
by Marc Patermann 28 Jan '15

28 Jan '15

Hallo, ich schicke Mails an einen externen Exchange-Server. Die TLS-Verbindung wird teilweise "Trusted" aufgebaut, teilweise mit "A certificate verification failed for exchange[10.17.101.63]:25: num=7:certificate signature failure" aufgebaut. Wie kann das sein? Die CA Cert-Chain habe ich auf dem Server in /etc/ssl/certs abgelegt. Vorher war die TLS-Verbindung immer untrusted. Hier mal Auszüge aus dem Log: Jan 28 10:59:58 exts098 postfix/smtp[19043]: setting up TLS connection to exchange[10.17.101.63]:25 Jan 28 10:59:58 exts098 postfix/smtp[19043]: Trusted TLS connection established to exchange[10.17.101.63]:25: TLSv1 with cipher RC4-MD5 (128/128 bits) -- Jan 28 11:06:53 exts098 postfix/smtp[17667]: setting up TLS connection to exchange[10.17.101.63]:25 Jan 28 11:06:53 exts098 postfix/smtp[17667]: CA certificate verification failed for exchange[10.17.101.63]:25: num=7:certificate signature failure -- Jan 28 11:08:23 exts098 postfix/smtp[17667]: setting up TLS connection to exchange[10.17.101.63]:25 Jan 28 11:08:23 exts098 postfix/smtp[17667]: Trusted TLS connection established to exchange[10.17.101.63]:25: TLSv1 with cipher RC4-MD5 (128/128 bits) Marc

3 2

Postfix ist nicht von GHOST betroffen
by Patrick Ben Koetter 28 Jan '15

28 Jan '15

Wer ein wenig mehr Hintergrund möchte: https://sys4.de/de/blog/2015/01/28/entwarnung-fur-postfix-und-cve-2015-0235… p@rick -- [*] sys4 AG https://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 1

Re: Mails einzelner Domains über Relay ausliefern
by Michael Reincke 21 Jan '15

21 Jan '15

Hallo, die Lösung sind sender_dependent_relayhost_maps http://www.postfix.org/postconf.5.html#sender_dependent_relayhost_maps Gruß Michael Am 20. Januar 2015 19:01:20 MEZ, schrieb Michael Reincke <michael.reincke(a)famre.de>: >Hallo, > >Am 20. Januar 2015 18:25:53 MEZ, schrieb "Markus Schönhaber" ><postfix-users-de(a)list-post.mks-mail.de>: >>Am 20.01.2015 um 18:09 schrieb frank(a)belau.de: >> >>> ich bräuchte mal euer Wissen. Ich habe ein Webserver auf dem als >>> lokaler MTA ein Postfox läuft. Auf diesem System werden Webseiten >für >> >>> mehrere Domains gehostet. Bisher werden alle Mails direkt >>ausgeliefert. >>> (Der MX läuft auf anderen Systemen). Jetzt habe ich eine >Anforderung, >> >>> daß Mails von 2 Webseiten (jeweils eine andere Domain) über jeweils >>> einen eigenen Relayhost ausgeliefert werden sollen. >>> >>> Wie bekommt man das hin? >>> >>> >>> *(a)domain_a.de -> direkt ausliefern >>> ... >>> *(a)domain_f.de -> direkt ausliefern >>> *(a)domain_x.de -> über Relayhost X ausliefern >>> *(a)domain_y.de -> über Relayhost Y ausliefern >> >>http://www.postfix.org/postconf.5.html#transport_maps >> >>-- >>Gruß >> mks > >Wird so leider nicht funktionieren. >Die transport map ist nur für das Routing bzgl. Empfänger zuständig. > >Gruß > >Michael > >-- >Michael Reincke

3 2

Mails einzelner Domains über Relay ausliefern
by frank＠belau.de 20 Jan '15

20 Jan '15

Hallo zusammen, ich bräuchte mal euer Wissen. Ich habe ein Webserver auf dem als lokaler MTA ein Postfox läuft. Auf diesem System werden Webseiten für mehrere Domains gehostet. Bisher werden alle Mails direkt ausgeliefert. (Der MX läuft auf anderen Systemen). Jetzt habe ich eine Anforderung, daß Mails von 2 Webseiten (jeweils eine andere Domain) über jeweils einen eigenen Relayhost ausgeliefert werden sollen. Wie bekommt man das hin? *(a)domain_a.de -> direkt ausliefern ... *(a)domain_f.de -> direkt ausliefern *(a)domain_x.de -> über Relayhost X ausliefern *(a)domain_y.de -> über Relayhost Y ausliefern MfG Frank.

2 1

Problem mit cleanup nach content filter
by Jakob-Matthias Böttger 16 Jan '15

16 Jan '15

Hallo zusammen, ich habe folgendes Problem. Die Faktura Software eines Kunden verschickt Mails ohne Date Header. (Ich weiss das ist das Eigentliche Problem...) Der Mailserver nimmt auf 587 entgegen und schickt die Mail durch einen pre queue Contentfilter, in diesem Fall Amavis. Amavis registriert den fehlenden Header und Kreidet dies an. Die Mail wird jetzt auch ausgeliefert leider aber ohne den Date Header. Eigentlich müsste doch der Cleanup diesen jetzt nach dem content filter hinzufügen. Habt ihr eine Idee woran das liegt?

1 0

OT: DNS Provider gesucht
by lst_hoe02＠kwsoft.de 15 Jan '15

15 Jan '15

Hallo, ich bin auf der Suche nach einem DNS Provider, bevorzugt Deutschland mit der Möglichkeit DNSSEC gesicherte Domains zu verwalten, schön wäre auch Sachen wie SRV und TLSA Records. Das ganze darf auch etwas kosten sollte aber für den Privatgebrauch bezahlbar bleiben (~50 Euro / Jahr und Domain). Bin für jeden Hinweis dankbar, bei den "großen" sieht es leider bei DNSSEC traurig aus und auch SRV Records sind selten, TLSA gibt es wohl nirgends. Danke Andreas

8 14

ANN: dane-users@sys4.de Mailingliste und https://dane.sys4.de DANE SMTP Validator
by Patrick Ben Koetter 15 Jan '15

15 Jan '15

Nahezu 3% der DANE SMTP aktivierten Domains validieren nicht richtig oder sie veröffentlichen unbrauchbare TLSA Ressource Records[1]. Der Anteil wäre größer, hätten wir in der Vergangenheit nicht schon problematische Sites auf deren DANE Probleme aufmerksam gemacht. Eine Fehlerrate von 3% ist definitiv zu hoch. Der DANE Validator <https://dane.sys4.de> soll Konfigurationsfehler identifizieren. Er soll Administratoren unterstützen, funktionierende DANE SMTP Konfigurationen zu erstellen. Mit dem heutigen Release stellen wir die erste öffentliche Beta online. Die Version 1 soll bald folgen. Zeitgleich haben wir die englischsprachige Mailingliste "DANE users" <dane-users(a)sys4.de> ins Leben gerufen. Die Liste dient der Diskussion praktischer Fragestellungen aus dem DANE-Alltag. Sie ist nicht auf ein konkretes Produkt festgelegt. Interessierte abonnieren die Liste auf https://mail.sys4.de/cgi-bin/mailman/listinfo/dane-users. p@rick [1] Basierend auf einer DANE-Einführungsstudie von Viktor Dukhovni. -- [*] sys4 AG https://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 3

SASL- und IMAP-Authentifizierungsmechanismen von Dovecot/Postfix
by Michael Köhler 12 Jan '15

12 Jan '15

Hallo, ich denke schon die ganze Zeit darüber nach, ob der Authentifizierungsmechanismus „plain“ ein Sicherheitsrisiko ist, welchen ich in Postfix mit „smtpd_sasl_security_options“ bzw. „smtpd_sasl_tls_security_options“ und in Dovecot unter „auth_mechanisms“ angeben kann?! Ich bin geneigt dazu das Tor so weit wie möglich zu schliessen und nur die höchste und "verschlüsselste" Authentifizierungsmethode zuzulassen - aber ist das sinnvoll? Je nach Client kann es da zu Problemen führen, weil nicht alle Clients alle Möglichkeiten durchprobieren und deswegen der Erklärungsaufwand höher ist. Wenn ich die diversen Dokus/Bücher richtig verstanden habe, dann wird bei IMAP logischerweise (wenn ich Dovecot als IMAP-Server einsetze) Dovecot als Authentifizierungsinstanz genutzt. Wenn ich jetzt auth_mechanisms = plain, login, ... setze - wie wird dann eine Anmeldung per IMAPS vorgenommen? Wird die Authentifizierung verschlüsselt ablaufen? Und stellt Plaintext in dem Falle ein Sicherheitsrisiko dar? Und wie ist das bei Postfix? Ich kann mit smtpd_sasl_security_options = noanonymous, noplaintext smtpd_sasl_tls_security_options = $smtpd_sasl_security_options festlegen, dass bei einer unverschlüsselten SMTP-Session sowohl keine anonyme Authentifizierung als auch keine im Plaintext stattfinden darf. Um es komfortabler zu machen, kann ich aber auch smtpd_sasl_security_options = noanonymous, noplaintext smtpd_sasl_tls_security_options = noanonymous festlegen. Damit kann ich TLS-verschlüsselt auch wieder Plaintext verwenden. Würde denn auch smtpd_sasl_security_options = noanonymous smtpd_sasl_tls_security_options = $smtpd_sasl_security_options smtpd_tls_auth_only = yes zu dem gleichen Ergebnis führen, wenn ich nur verschlüsselte Authentifizierung erlauben will? Denn dann würde ja smtpd_sasl_security_options gar nicht zum Zuge kommen, oder? Was ist nun eine sichere und zugleich komfortable Konfiguration, damit sich am besten alle möglichen Clients einfach per IMAPS/SMTPS authentifizieren können? Viele Grüße, Michael

6 14

policyd defaults und AHBL
by Florian Streibelt 09 Jan '15

09 Jan '15

Hallo zusammen, ich bin auf ein default setting von policyd reingefallen. Im Quellcode steht dieses hier als default: ## RHSBL settings @rhsbl_score = ( 'multi.surbl.org', 4, 0, 'SURBL', 'rhsbl.ahbl.org', 4, 0, 'AHBL' ); Wenn man nun in der config in /etc die rhsbl_score nicht explizit drin hat, werden diese defaults verwendet und man lehnt u.U. mails ab, da AHBL den Betrieb eingestellt hat. Ich wusste nun, dass die ihren Betrieb einstellen und hatte mir meine Config angeschaut. AHBL habe ich nicht gefunden, weil ich nur die dnsbl settings gesetzt hatte und nicht die rhsbl. Dadurch kamen die defaults zu tragen und ich habe zuviel abgelehnt. Nur falls jemand von euch da gerade verzweifelt nach dem Setting sucht. Ich habe ein bischen gebraucht. Grüße, Florian

1 0

Postfix: MySQL mit Catch-All-Adressen
by Marco Dickert 09 Jan '15

09 Jan '15

Hallo Experten, ich verwalte meine Email-Adressen über eine MySQL-Tabelle, die folgendermaßen aussieht: | username | domain | passwort | destination | type | active | Kann ich mit diesem Setup auch Catch-All-Einträge realisieren? Ich habe für "username" schon versucht * oder % einzutragen, aber beides hat nicht zum Erfolg geführt. Auch leer lassen bringt nichts. viele Grüße -- Marco Dickert *dickert.marco(a)gmail.com <dickert.marco(a)gmail.com>* http://misterunknown.de

2 1

ANN: The missing Cyrus SASL man pages
by Patrick Ben Koetter 07 Jan '15

07 Jan '15

Wer SMTP AUTH in Postfix einrichtet, will entweder Cyrus SASL oder Dovecot. Cyrus SASL ist dann gut, wenn man nicht gleich einen full-blown POP/IMAP-Server installieren will, _nur_ weil man AUTH braucht. Aber Cyrus SASL ist ein wenig unterdokumentiert... Vor vielen Jahren habe ich begonnen man pages für Cyrus SASL zu schreiben. Über Weihnachten hatte ich endlich Zeit, die pages online zu stellen. Ich hoffe, sie helfen Euch. Hier ist die Seite von der aus es zu den man pages geht: https://sys4.de/de/blog/2015/01/07/missing-cyrus-sasl-man-pages/ p@rick -- [*] sys4 AG https://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0

Frage zu smtp auth
by Alexander Palm 03 Jan '15

03 Jan '15

Hallo, ich bin durch das Gucken der Videos vom CCC über diesen Link gestolpert: http://blog.debuglevel.de/liebesgruesse-vom-congress/ Da steht als Lösung um das zu umgehen, was da passierte SMTP-Auth... Aber, ich kann doch bei einem MTA, der ja Mails von anderen Servern annehmen soll, kein SMTP Auth verlangen? Oder sehe ich da was falsch... es muss doch möglich sein für einen Server eine Mail bei meinem Server abzugeben die an eine lokale Adresse geht ohne das er einen User bei mir hat...? Gruß und guten Rutsch, Alex -- Sent by mobile - sorry for briefness.

2 6

Mailserver ignoriert bei der Mail-Zustellung mit Content-Filter zusätzliche Empfängeradressen
by Thomas Barth 01 Jan '15

01 Jan '15

Hallo, ich wollte auf einem Mailserver (Postfix, Courier, MySQL, Amavis) einen Autoresponder für Urlaubsbenachrichtigungen einrichten, die einfach von jedem User per eMail selbst aktiviert/deaktiviert werden können. Ich verwende das Skript von Charles Hamilton wie auf dieser Seite beschrieben https://www.howtoforge.com/how-to-set-up-a-postfix-autoresponder-with-autor… . Das Skript wird hier in der master.cf als content_filter unter dem Service smtp angegeben. Da ich aber die eMails in Echtzeit von Amavis überprüfen lasse durch Portumleitungen (smtpd_proxy_filter=localhost:10024), musste ich den content_filter unter dem Service localhost:10025 definieren (autoresponder:dummy), damit es aufgerufen wird. Dies ist die einzige Abweichung von der Konfigurationsanleitung. Das Aktivieren / Deaktivieren der Benachrichtigungen funktioniert auch soweit. Allerdings wird bei normalen eMails die eMail nur immer einer Empfängeradresse zugestellt, wenn die Mail mehrere Empfängeradressen enthält! Alle anderen werden scheinbar ignoriert. Da weiß ich nicht weiter. Hier ein paar Angaben aus der master.cf # port 25 auf Port 10024 umleiten / Echtzeitüberprüfung durch Amavis (kein Store&Foreward) smtp inet n - - - - smtpd -o smtpd_proxy_filter=localhost:10024 -o content_filter= smtps inet n - - - - smtpd -o smtpd_proxy_filter=localhost:10024 -o content_filter= -o smtpd_tls_wrappermode=yes -o smtpd_sasl_auth_enable=yes -o smtpd_client_restrictions=permit_sasl_authenticated,reject -o milter_macro_daemon_name=ORIGINATING #Konfiguration Port 10025 für Rückgabe der durch Amavis überprüften eMails localhost:10025 inet n - - - - smtpd -o content_filter=autoresponder:dummy -o smtpd_proxy_filter= -o smtpd_authorized_xforward_hosts=127.0.0.0/8 -o smtpd_client_restrictions= -o smtpd_helo_restrictions= -o smtpd_sender_restrictions= -o smtpd_recipient_restrictions=permit_mynetworks,reject -o smtpd_data_restrictions= -o mynetworks=127.0.0.0/8 -o receive_override_options=no_unknown_recipient_checks Am Ender der master.cf steht der Service autoresponder autoresponder unix - n n - - pipe flags=Fq user=autoresponse argv=/usr/local/sbin/autoresponse -s ${sender} -r ${recipient} -S ${sasl_username} -C ${client_address} Mit dieser Einstellung sehe ich dann in mail.log folgende Einträge, wenn ich eine normale eMail an mehrere User sende: Dec 30 14:36:19 mailserver1 postfix/qmgr[20818]: 6C5FB276291: from=<txbarth(a)web.de>, size=1387, nrcpt=2 (queue active) Dec 30 14:36:19 mailserver1 amavis[16543]: (16543-13) Passed CLEAN, [212.227.17.11] [xx.xx.xxx.xx] <txbarth(a)web.de> -> <user1(a)mydomain.de>,<user2(a)mydomain.de>, Message-ID: <54A2AA4E.6020801(a)web.de>, mail_ id: sCfjhIs-o9we, Hits: -1.9, size: 974, queued_as: 6C5FB276291, 325 ms Dec 30 14:36:19 mailserver1 postfix/smtpd[20831]: proxy-accept: END-OF-MESSAGE: 250 2.0.0 Ok, id=16543-13, from MTA([127.0.0.1]:10025): 250 2.0.0 Ok: queued as 6C5FB276291; from=<txbarth(a)web.de> to=<user1(a)mydomain.de> proto=ESMTP helo=<mout.web.de> Dec 30 14:36:19 mailserver1 postfix/smtpd[20831]: disconnect from mout.web.de[212.227.17.11] Dec 30 14:36:21 mailserver1 postfix/pickup[20817]: 730DA2762BD: uid=5002 from=<txbarth(a)web.de> Dec 30 14:36:21 mailserver1 postfix/pipe[20838]: 6C5FB276291: to=<user2(a)mydomain.de>, relay=autoresponder, delay=2, delays=0.01/0/0/2, dsn=2.0.0, status=sent (delivered via autoresponder service) Dec 30 14:36:21 mailserver1 postfix/pipe[20838]: 6C5FB276291: to=<user1(a)mydomain.de>, relay=autoresponder, delay=2, delays=0.01/0/0/2, dsn=2.0.0, status=sent (delivered via autoresponder service) Dec 30 14:36:21 mailserver1 postfix/qmgr[20818]: 6C5FB276291: removed Dec 30 14:36:21 mailserver1 postfix/cleanup[20837]: 730DA2762BD: message-id=<54A2AA4E.6020801(a)web.de> Dec 30 14:36:21 mailserver1 postfix/qmgr[20818]: 730DA2762BD: from=<txbarth(a)web.de>, size=1507, nrcpt=1 (queue active) Dec 30 14:36:21 mailserver1 postfix/virtual[20850]: 730DA2762BD: to=<user2(a)mydomain.de>, relay=virtual, delay=0.02, delays=0/0.01/0/0, dsn=2.0.0, status=sent (delivered to maildir) Dec 30 14:36:21 mailserver1 postfix/qmgr[20818]: 730DA2762BD: removed Hier erscheint zweimal "delivered via autoresponder service", also für jede Empfängeradresse, aber nur einmal "delivered to maildir" für nur eine Empfängeradresse. Durch eine Kontrollausgabe im Autoresponder habe ich gesehen, dass es tatsächlich nur einmal aufgerufen wird. Wenn ich den Autoresonder wieder rausnehme, bekommen alle Empfängeradressen die eMail zugestellt. Dec 30 13:45:34 mailserver1 postfix/qmgr[19192]: 7F6BC276291: from=<txbarth(a)web.de>, size=100131, nrcpt=2 (queue active) Dec 30 13:45:34 mailserver1 amavis[16543]: (16543-09) Passed CLEAN, [212.227.15.4] [xx.xx.xx.xx] <txbarth(a)web.de> -> <user1(a)mydomain.de>,<user2(a)mydomain.de>, Message-ID: <54A29E68.30505(a)web.de>, mail_id: enMVd7SzLQVj, Hits: -1.9, size: 99718, queued_as: 7F6BC276291, 418 ms Dec 30 13:45:34 mailserver1 postfix/smtpd[19220]: proxy-accept: END-OF-MESSAGE: 250 2.0.0 Ok, id=16543-09, from MTA([127.0.0.1]:10025): 250 2.0.0 Ok: queued as 7F6BC276291; from=<thomasxbarth(a)web.de> to=<user1(a)mydomain.de> proto=ESMTP helo=<mout.web.de> Dec 30 13:45:34 mailserver1 postfix/virtual[19230]: 7F6BC276291: to=<user1(a)mydomain.de>, relay=virtual, delay=0.03, delays=0.02/0.01/0/0.01, dsn=2.0.0, status=sent (delivered to maildir) Dec 30 13:45:34 mailserver1 postfix/virtual[19230]: 7F6BC276291: to=<user2(a)mydomain.de>, relay=virtual, delay=0.03, delays=0.02/0.01/0/0.01, dsn=2.0.0, status=sent (delivered to maildir) Dec 30 13:45:34 mailserver1 postfix/qmgr[19192]: 7F6BC276291: removed Kann mir vielleicht jemand weiterhelfen, warum eine eMail mit dem Content-Filter nicht jedem angegebenen Empfänger zugestellt wird? Gruß, Thomas Barth

1 1

Postfix submission und finales Ziel aber kein MX
by Wolfgang Rosenauer 08 Dec '14

08 Dec '14

Hallo, ich stehe gerade auf dem Schlauch und hätte folgendes Setup zu optimieren: Grundlage ist ein Postfix Mailserver (natürlich), der als Submission Host und als finaler SMTP für die lokale Auslieferung für bestimmte Domains zuständig ist. Offizieller MX für diese Domains ist jedoch ein System vorher in der Kette, welches dann auch AV und AS übernimmt. D.h. von aussen sollte niemand direkt an das Zielsystem senden können. Allerdings kann ich das derzeit nicht abbilden und frage mich, wie das möglich wäre. Folgenden Ansatz hätte ich gehabt, der aber nicht wirklich wünschenswert ist: - SMTP Port auf diesen Host auf der Firewall blockieren -> Benutzer können Port 25 nicht mehr als Submission Port verwenden (wäre unschön und somit meine Fallback Lösung, wenn nicht anderes klappt) Geht sowas wie: Postfix nimmt Mails über SMTP/25 nur an, wenn entweder - SMTP Auth oder - "mydestination" _und_ von einer bestimmten IP Bisher habe ich immer wieder ein paar Mails, die direkt eingeliefert werden und damit AV/AS umgehen. Danke, Wolfgang

2 1

AMaViS: score_sender_maps
by django＠nausch.org 04 Dec '14

04 Dec '14

HI Joda, HI Mailingliste! Wie sieht es denn mit der score_sender_maps aus? Ist der Einsatz von softwhite- und blacklisten aktuell (noch) zu empfehlen, oder kann man sich das sparen und das Ganze gleich direkt in der local.cf des Spamassassin eintragen? Die amavisd.conf liefert dazu ja ein Beispiel mit: @score_sender_maps = ({ # a by-recipient hash lookup table, # results from all matching recipient tables are summed # ## per-recipient personal tables (NOTE: positive: black, negative: white) # 'user1(a)example.com' => [{'bla-mobile.press(a)example.com' => 10.0}], # 'user3(a)example.com' => [{'.ebay.com' => -3.0}], # 'user4(a)example.com' => [{'cleargreen(a)cleargreen.com' => -7.0, # '.cleargreen.com' => -5.0}], ## site-wide opinions about senders (the '.' matches any recipient) '.' => [ # the _first_ matching sender determines the score boost new_RE( # regexp-type lookup table, just happens to be all soft-blacklist [qr'^(bulkmail|offers|cheapbenefits|earnmoney|foryou)@'i => 5.0], [qr'^(greatcasino|investments|lose_weight_today|market\.alert)@'i=> 5.0], [qr'^(money2you|MyGreenCard|new\.tld\.registry|opt-out|opt-in)@'i=> 5.0], [qr'^(optin|saveonlsmoking2002k|specialoffer|specialoffers)@'i => 5.0], [qr'^(stockalert|stopsnoring|wantsome|workathome|yesitsfree)@'i => 5.0], [qr'^(your_friend|greatoffers)@'i => 5.0], [qr'^(inkjetplanet|marketopt|MakeMoney)\d*@'i => 5.0], ), # read_hash("/var/amavis/sender_scores_sitewide"), { # a hash-type lookup table (associative array) 'nobody(a)cert.org' => -3.0, 'cert-advisory(a)us-cert.gov' => -3.0, 'owner-alert(a)iss.net' => -3.0, 'slashdot(a)slashdot.org' => -3.0, 'securityfocus.com' => -3.0, 'ntbugtraq(a)listserv.ntbugtraq.com' => -3.0, 'security-alerts(a)linuxsecurity.com' => -3.0, 'mailman-announce-admin(a)python.org' => -3.0, 'amavis-user-admin(a)lists.sourceforge.net'=> -3.0, 'amavis-user-bounces(a)lists.sourceforge.net' => -3.0, 'spamassassin.apache.org' => -3.0, 'notification-return(a)lists.sophos.com' => -3.0, 'owner-postfix-users(a)postfix.org' => -3.0, 'owner-postfix-announce(a)postfix.org' => -3.0, 'owner-sendmail-announce(a)lists.sendmail.org' => -3.0, 'sendmail-announce-request(a)lists.sendmail.org' => -3.0, 'donotreply(a)sendmail.org' => -3.0, 'ca+envelope(a)sendmail.org' => -3.0, 'noreply(a)freshmeat.net' => -3.0, 'owner-technews(a)postel.acm.org' => -3.0, 'ietf-123-owner(a)loki.ietf.org' => -3.0, 'cvs-commits-list-admin(a)gnome.org' => -3.0, 'rt-users-admin(a)lists.fsck.com' => -3.0, 'clp-request(a)comp.nus.edu.sg' => -3.0, 'surveys-errors(a)lists.nua.ie' => -3.0, 'emailnews(a)genomeweb.com' => -5.0, 'yahoo-dev-null(a)yahoo-inc.com' => -3.0, 'returns.groups.yahoo.com' => -3.0, 'clusternews(a)linuxnetworx.com' => -3.0, lc('lvs-users-admin(a)LinuxVirtualServer.org') => -3.0, lc('owner-textbreakingnews(a)CNNIMAIL12.CNN.COM') => -5.0, # soft-blacklisting (positive score) 'sender(a)example.net' => 3.0, '.example.net' => 1.0, }, ], # end of site-wide tables }); Verwenden oder rauswerfen? Servus Django

6 14

Mail an einen einzelnen Empfänger annehmen, aber nicht zustellen, dafür in die Hold Queue
by django＠nausch.org 03 Dec '14

03 Dec '14

Griaseichallemindananda! Ich bin grad (wieder) mal am Basteln und Schrauben. Nun würde ich gerne meine erdachte Konfiguration testen. Dazu müsste ich alle Mails an einen bestimmten Empfänger am Postfix annehmen, diese aber nicht an den dahinterliegenden Dovecot zustellen, sondern in die Hold-Queue packen. Dort soll(en) die Mails solange rumhängen, bis Postfix diese zurückbounced an den Absender. Ich dachte mir ich machs mir einfach und pack einfach in die access_recipient und verpass der betreffenden eMail-Adresse ein schlichtes HOLD. Gesagt getan, ABER was sehe ich da im maillog? Dec 3 17:10:59 mx1 postfix/smtpd[24505]: warning: access table btree:/etc/postfix/access_recipient: with smtpd_proxy_filter specified, action HOLD is unavailable So so, Satz mit X war wohl nix. :/ Nun steh ich grad am Schlauch und mir fällt sonst grad keine Schweinerei ein, wie ich die Nachrichten an den einen Empfänger zurückhalte ohne dem Zielserver recipient_address_verification und smtpd_proxy_filter abzustellen. any idea? Servus Django

2 1

Absende-Domain beschränken
by Thomas Krause 30 Nov '14

30 Nov '14

Hallo, bei mir werden verstärkt über reguläre Mailkonten wieder Spam versendet. Ich konnte das mittels policyd reduzieren. Nun versenden die Spammer eben ein geringeres Volumen um unterhalb des Limits zu bleiben. Als Absende-Adressen werden Nicht-Lokale Mailadressen verwendet. Meine Frage: kann ich konfigurieren, dass nach erfolgreichem SMTP-AUTH lediglich mit lokalen Absende-Domains (mydestination) versendet werden darf? (Absendemailadresse=SASLLogin geht bei mir nicht, da mache Kunden eigene Mailserver betreiben und meinen Mailserver als Smarthost nutzen) Viele Grüße, Thomas.

2 2

Probleme mit SASL
by juergen.keitzl＠gmail.com 25 Nov '14

25 Nov '14

Hallo, ich habe im letzten Jahr angefangen meinen eigenen Mailserver zu hosten. Es ist ein absolutes privatdinge und auch nur für mich als Person. Betrachtet es einfach als Hobby. Ich betreibe die Geschichte auf einem Rasberry mit Debian Wheezy. Ich benutze Postfix und Dovecot. Der Server läuft, ich kann Mails empfangen und versenden. Insofern ist alles chic. Nur einProblem habe ich bis heute nie in den Griff bekommen. Das Relayen. Ich möchte ja gern mal von unterwegs, oder einfach aus Outlook eine Mail verschicken. Geht nicht. Unten habe ich die Saslfinger und die Postconfausgabe angehangen. Das erste Problem welches sich auftut ist: Cyrus-SASL (Quelltexte habe ich von der Seite Cyrus.org) bringen schon Fehler beim compilieren. Ich denke das nicht alle Bibliotheken angelegt wurden. Ich habe somit auch kein Testserver und Testclient um zu checken ob es ohne Postfix funktioniert. Mit Postfix werden mir aber dann Fehler bei der Authentifizierung gemeldet. Vielleicht bekomme ich von Euch einen Tip woran es hängt. Vielen Dank schon mal Jürgen saslfinger - postfix Cyrus sasl configuration Mo 24. Nov 08:53:38 CET 2014 version: 1.0.4 mode: server-side SMTP AUTH -- basics -- Postfix: 2.9.6 System: Raspbian GNU/Linux 7 \n \l -- smtpd is linked to -- libsasl2.so.2 => /usr/lib/arm-linux-gnueabihf/libsasl2.so.2 (0xb6d06000) -- active SMTP AUTH and TLS parameters for smtpd -- broken_sasl_auth_clients = yes smtpd_sasl_auth_enable = yes smtpd_sasl_exceptions_networks = $mynetworks smtpd_sasl_local_domain = $myhostname smtpd_sasl_path = smtpd smtpd_sasl_security_options = noanonymous smtpd_tls_CAfile = /etc/ssl/CAFiles_xx/Plesk/cacertificate.crt smtpd_tls_cert_file = /etc/ssl/CAFiles_xx/Plesk/certificate.crt smtpd_tls_key_file = /home/xxxxx/privat_ssl/mailserver_xx_psw.key smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache smtpd_use_tls = yes -- listing of /usr/lib/sasl2 -- ls: Zugriff auf /usr/lib/sasl2/sample.conf nicht möglich: Datei oder Verzeichnis nicht gefunden insgesamt 40 drwxr-xr-x 2 root root 4096 Nov 23 18:16 . drwxr-xr-x 83 root root 20480 Nov 23 17:58 .. -rw-r--r-- 1 root root 4 Apr 3 2014 berkeley_db.active -rw-r--r-- 1 root root 4 Jun 15 2013 berkeley_db.txt l????????? ? ? ? ? ? sample.conf -rw-r--r-- 1 root root 158 Nov 23 22:49 smtpd.conf -- listing of /usr/local/lib/sasl2 -- insgesamt 708 drwxr-sr-x 2 root staff 4096 Nov 23 16:58 . drwxrwsr-x 5 root staff 4096 Nov 23 16:58 .. -rwxr-xr-x 1 root staff 686 Nov 23 16:58 libanonymous.la -rwxr-xr-x 1 root staff 54486 Nov 23 16:58 libanonymous.so -rwxr-xr-x 1 root staff 54486 Nov 23 16:58 libanonymous.so.2 -rwxr-xr-x 1 root staff 54486 Nov 23 16:58 libanonymous.so.2.0.25 -rwxr-xr-x 1 root staff 674 Nov 23 16:58 libcrammd5.la -rwxr-xr-x 1 root staff 60824 Nov 23 16:58 libcrammd5.so -rwxr-xr-x 1 root staff 60824 Nov 23 16:58 libcrammd5.so.2 -rwxr-xr-x 1 root staff 60824 Nov 23 16:58 libcrammd5.so.2.0.25 -rwxr-xr-x 1 root staff 670 Nov 23 16:58 liblogin.la -rwxr-xr-x 1 root staff 55722 Nov 23 16:58 liblogin.so -rwxr-xr-x 1 root staff 55722 Nov 23 16:58 liblogin.so.2 -rwxr-xr-x 1 root staff 55722 Nov 23 16:58 liblogin.so.2.0.25 -rwxr-xr-x 1 root staff 670 Nov 23 16:58 libplain.la -rwxr-xr-x 1 root staff 56662 Nov 23 16:58 libplain.so -rwxr-xr-x 1 root staff 56662 Nov 23 16:58 libplain.so.2 -rwxr-xr-x 1 root staff 56662 Nov 23 16:58 libplain.so.2.0.25 -- listing of /etc/postfix/sasl -- insgesamt 12 drwxr-xr-x 2 root root 4096 Apr 3 2014 . drwxr-xr-x 3 root root 4096 Nov 15 20:17 .. -rw-r--r-- 1 root root 157 Nov 24 07:50 smtpd.conf -- content of /usr/lib/sasl2/smtpd.conf -- # Global parameters log_level: 3 pwcheck_method: auxprop mech_list: Plain LOGIN NTLM CRAM-MD5 DIGEST-MD5 # auxiliary Plugin parameters auxprop_plugin: sasldb -- content of /etc/postfix/sasl/smtpd.conf -- #Saslauthd parameters log_level:3 pwcheck_method: auxprop mech_list: PLAIN LOGIN NTLM CRAM-MD5 DIGEST_MD5 # auxiliary Plugin parameters auxprop_plugin:sasldb -- content of /etc/postfix/sasl/smtpd.conf -- #Saslauthd parameters log_level:3 pwcheck_method: auxprop mech_list: PLAIN LOGIN NTLM CRAM-MD5 DIGEST_MD5 # auxiliary Plugin parameters auxprop_plugin:sasldb -- active services in /etc/postfix/master.cf -- # service type private unpriv chroot wakeup maxproc command + args # (yes) (yes) (yes) (never) (100) smtp inet n - n - - smtpd -v smtp inet n - - - 1 postscreen smtpd pass - - - - - smtpd dnsblog unix - - - - 0 dnsblog tlsproxy unix - - - - 0 tlsproxy submission inet n - - - - smtpd -o syslog_name=postfix/submission -o smtpd_tls_security_level=encrypt -o smtpd_sasl_auth_enable=yes -o smtpd_client_restrictions=permit_sasl_authenticated,reject -o milter_macro_daemon_name=ORIGINATING smtps inet n - n - - smtpd -o syslog_name=postfix/smtps -o smtpd_tls_wrappermode=yes -o smtpd_sasl_auth_enable=yes -o smtpd_client_restrictions=permit_sasl_authenticated,reject -o milter_macro_daemon_name=ORIGINATING 628 inet n - - - - qmqpd pickup fifo n - - 60 1 pickup cleanup unix n - - - 0 cleanup qmgr fifo n - n 300 1 qmgr tlsmgr unix - - - 1000? 1 tlsmgr rewrite unix - - - - - trivial-rewrite bounce unix - - - - 0 bounce defer unix - - - - 0 bounce trace unix - - - - 0 bounce verify unix - - - - 1 verify flush unix n - - 1000? 0 flush proxymap unix - - n - - proxymap proxywrite unix - - n - 1 proxymap smtp unix - - - - - smtp relay unix - - - - - smtp showq unix n - - - - showq error unix - - - - - error retry unix - - - - - error discard unix - - - - - discard local unix - n n - - local virtual unix - n n - - virtual lmtp unix - - - - - lmtp anvil unix - - - - 1 anvil scache unix - - - - 1 scache maildrop unix - n n - - pipe flags=DRhu user=vmail argv=/usr/bin/maildrop -d ${recipient} old-cyrus unix - n n - - pipe flags=R user=cyrus argv=/cyrus/bin/deliver -e -m ${extension} ${user} uucp unix - n n - - pipe flags=Fqhu user=uucp argv=uux -r -n -z -a$sender - $nexthop!rmail ($recipient) ifmail unix - n n - - pipe flags=F user=ftn argv=/usr/lib/ifmail/ifmail -r $nexthop ($recipient) bsmtp unix - n n - - pipe flags=Fq. user=bsmtp argv=/usr/lib/bsmtp/bsmtp -t$nexthop -f$sender $recipient scalemail-backend unix - n n - 2 pipe flags=R user=scalemail argv=/usr/lib/scalemail/bin/scalemail-store ${nexthop} ${user} ${extension} mailman unix - n n - - pipe flags=FR user=list argv=/usr/lib/mailman/bin/postfix-to-mailman.py ${nexthop} ${user} -- mechanisms on localhost --

2 1

smtpauth nur mit zum Account passenden From-Adresse erlauben?
by Peter Heitzer 18 Nov '14

18 Nov '14

Gibt es für Postfix einen Authentisierungsserver, der beim Anmelden überprüft, ob die Absenderadresse zum Account passt? Damit könnte verhindert werden, daß z.B. im Falle eines geknackten Accounts Mail mit gefälschten Absendern (was Spammer normalerweise machen) verschickt werden.

2 2

Amavis CSV,UNDECIPHERABLE
by Joachim Burbach 13 Nov '14

13 Nov '14

Hallo, seid Tagen sehe ich vom Amavis seltame Mitteilungen. Jetzt habe ich herausgefunden dass es sich um Dateianhänge handelt mit der Endung .csv. Auch Password geschützte ZIP Dateien werden angemeckert. Ich habe aber im Internet noch nichts darüber finden können wie ich beim Amavis das einstellen kann dass er die ohne Mitteillungen zu versenden die einfach durchläßt. Er läßt sie zwar durch aber es kommt eine Mitteilung an den Virus Admin. Kann ich das irgendwo eintragen dass diese Dateiendungen .csv und .stp ungeprüft durch dürfen? Oder muss da noch etwas dafür installiert werden? MfG JO!

1 0

mout-xforward.kundenserver.de auf rbl
by Robert Schetterer 10 Nov '14

10 Nov '14

Fuer alle die es interesiert reject: RCPT from mout-xforward.kundenserver.de[82.165.159.36]: 554 5.7.1 Service unavailable; Client host [82.165.159.36] blocked using ix.dnsbl.manitu.net; Your e-mail service was detected by relay.heise.de (NiX Spam) as spamming at Thu, 06 Nov 2014 02:01:57 +0100. Your admin should visit http://www.dnsbl.manitu.net Domain: kundenserver.de Nserver: ns-1and1.ui-dns.biz Nserver: ns-1and1.ui-dns.com Nserver: ns-1and1.ui-dns.de Nserver: ns-1and1.ui-dns.org Status: connect Changed: 2011-06-27T16:02:00+02:00 Ursache duerften die Spam(versuche) von heute Nacht sein bei mir waren die Absender zum Teil so aufgebaut +beliebige-tel-nummer@meinedomain, ich spekuliere auf eine Systematik dahinter also ein Software Luecke evtl in einer http gui etc andere "prominente" deutsche Mailserver waren auch noch dabei Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 1

postscreen's MX Policy test
by Django 06 Nov '14

06 Nov '14

HI Joda, HI folks! Ich bin gard am Lesen von Wietse's Doku [1] zu postscreen. Das mit dem postscreen_whitelist_interfaces ist mir noch nicht 100%ig klar. Grundlegend kenne ich ja die Thematik, dass SPAMer bevorzugt den backup-MX ansprechen, in der Hoffnung, dieser sei weniger gut gepflegt, als der eigentliche MXer. Bei dem Parameter postscreen_whitelist_interfaces definiere ich doch alle Interfaces, auf denen grundsätzlich ein temporärer whitelisting-Eintrag gesetzt werden könnte. Per default wäre das ja: postscreen_whitelist_interfaces = static:all Daher wird ja für alle IP's des Servers auf denen ein SMTP-Daemon (Port 25) lauscht, grundsätzlich ein temporäres whitlisting möglich sein. Setze ich nun postscreen_whitelist_interfaces = !88.217.171.167 static:all Heisst es dann, whitelisting weiterhin auf allen Interfaces (IP-Adressen) aber *NICHT* auf der 88.217.171.167. Das hätte dann zur Folge, dass ein Client nur dann in's temporäre whitlisting kommen würde, wenn dieser auf der IP des Haupt-MXers aufschlägt. Tritt der Client nur an den Backup-MX, dann muss er zwangsläufig den kompletten postscreen-Bewertungslauf durchlaufen. Hab' ich das soweit richtig verstanden? Wenn ja, da macht das ja erst einmal nur dann Sinn, wenn ein postscreen Daemon auch beide IP-Adressen unter seiner Fuchtel hat, sprich die IP des Haupt-MX und des Backup-MX terminieren beide auf dem gleichen Postfix-Servers. So zumindestens interprätiere ich das Beispiel unter [1]. Habe ich mehrere MXer, dann kann ich das "nur" nutzen, wenn ich die temporäre whitelist-table "share", wie unter [2] angeschnitten. Richtig? Ich müsste mir überlegen, welcher der MXer den MEMCACHE-Server ist. Richtig? Dann nehmen wir mal die 217.91.103.190 als Haupt MX und die 88.217.171.167 für den Backup-MX her. Auf dem Server mit der IP 217.91.103.190 setze ich dann in der /etc/postfix/main.cf folgends: postscreen_cache_map = memcache:/etc/postfix/postscreen_cache proxy_write_maps = proxy:btree:/var/lib/postfix/postscreen_cache Dann lege ich die Datei /etc/postfix/postscreen_cache mit folgendem Inhalt an: memcache = inet:217.91.103.190:11211 backup = proxy:btree:/var/lib/postfix/postscreen_cache key_format = postscreen:%s Richtig? So und was genau, muss ich jetzt auf dem/den Backup-MX'n mit der 88.217.171.167 machen? Wiederum in der /etc/postfix/main.cf folgends: postscreen_cache_map = memcache:/etc/postfix/postscreen_cache proxy_write_maps = proxy:btree:/var/lib/postfix/postscreen_cache und dann in der /etc/postfix/postscreen_cache: memcache = inet:217.91.103.190:11211 backup = proxy:btree:/var/lib/postfix/postscreen_cache key_format = postscreen:%s So? Oder wie läuft das? Und tauschen dann beide MX die Informationen der temporären whitelist gegenseitig aus? Hmmm, ich bin mir da etwas unschlüssig, wei das nun genau laufen soll, wenn ich 2 oder mehr getrennte MXer hab. Infos sharen, oder jeden Server autark laufen lassen? Klärt mich doch mal auf! Bütte ... Servus Django [1] http://www.postfix.org/POSTSCREEN_README.html#white_veto [2] http://www.postfix.org/POSTSCREEN_README.html#temp_white_sharing

1 0

postscreen
by django＠nausch.org 30 Oct '14

30 Oct '14

HI Joda, Nachdem Du mich bei Deinem Besuch angefixt hast, hab ich mich mal an postscreen vergriffen. Herausgekommen ist erst einmal folgende Konfiguration. -------------------------------------------------------------------------------- master.cf smtp inet n - n - 1 postscreen smtpd pass - - n - - smtpd -o smtpd_milters=${spf_milter},${opendkim_milter},${opendmarc_milter},${amavisd_milter} dnsblog unix - - n - 0 dnsblog tlsproxy unix - - n - 0 tlsproxy -------------------------------------------------------------------------------- -------------------------------------------------------------------------------- main.cf ################################################################################ ## Postscreen # # Django : 2014-10-29 - PERMANENT WHITE/BLACKLIST TEST # default: postscreen_access_list = permit_mynetworks postscreen_access_list = permit_mynetworks cidr:/etc/postfix/postscreen_whitelist # # default: postscreen_blacklist_action = ignore postscreen_blacklist_action = drop # Django : 2014-10-29 - MAIL EXCHANGER POLICY TESTS # default: postscreen_whitelist_interfaces = static:all postscreen_whitelist_interfaces = !88.217.171.167 static:all # Django : 2014-10-29 - BEFORE 220 GREETING TESTS # default: postscreen_dnsbl_threshold = 1 postscreen_dnsbl_threshold = 2 # # default: postscreen_dnsbl_sites = postscreen_dnsbl_sites = zen.spamhaus.org*2 bl.spamcop.net*1 b.barracudacentral.org*1 swl.spamhaus.org*2 # # default: postscreen_dnsbl_action = ignore postscreen_dnsbl_action = enforce # # default: postscreen_greet_banner = $smtpd_banner # # default: postscreen_greet_action = ignore postscreen_greet_action = enforce # Django : 2014-10-29 - AFTER 220 GREETING TESTS # default: postscreen_bare_newline_action = ignore postscreen_bare_newline_action = drop # # default: postscreen_bare_newline_enable = no postscreen_bare_newline_enable = yes # # default: postscreen_non_smtp_command_enable = no postscreen_non_smtp_command_enable = yes # default: postscreen_non_smtp_command_action = drop # # default: postscreen_pipelining_enable = no postscreen_pipelining_enable = yes # # default: postscreen_pipelining_action = enforce -------------------------------------------------------------------------------- Das Ganze scheint auf den ersten Blick recht gut zu funktionieren - ganz 100%ig bin ich mir da aber nicht sicher. Warum? na ab und ann sehe ich folgende Meldungen im maillog: Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: NOQUEUE: reject: RCPT from [193.169.180.107]:54690: 450 4.3.2 Service currently unavailable; from=<return(a)news.mytoys.de>, to=<redacted(a)nausch.org>, proto=ESMTP, helo=<mail17-107.srv2.de> Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: warning: unknown macro name "client" in expansion request Der 450er stört mich nun erst mal nicht so recht, viel mehr diese WARNING: nknown macro name "client" in expansion request Was'n datt? Wenn ich es richtig aus dem maillog gegrep't hab dann dürft das da der komplette zugehörige Sermon des ersten Zustellversuchs sein: Oct 30 09:43:38 vml000080 postfix/postscreen[14951]: CONNECT from [193.169.180.107]:54690 to [10.0.0.80]:25 Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: [193.169.180.107]54690: discarding EHLO keywords: DSN Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: NOQUEUE: reject: RCPT from [193.169.180.107]:54690: 450 4.3.2 Service currently unavailable; from=<return(a)news.mytoys.de>, to=<redacted(a)nausch.org>, proto=ESMTP, helo=<mail17-107.srv2.de> Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: warning: unknown macro name "client" in expansion request Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: PASS NEW [193.169.180.107]:54690 Oct 30 09:43:44 vml000080 postfix/postscreen[14951]: DISCONNECT [193.169.180.107]:54690 Dann kommt er wieder: Oct 30 09:53:54 vml000080 postfix/postscreen[14951]: CONNECT from [193.169.180.107]:55755 to [10.0.0.80]:25 Oct 30 09:53:54 vml000080 postfix/postscreen[14951]: PASS OLD [193.169.180.107]:55755 Oct 30 09:53:54 vml000080 postfix/smtpd[15632]: connect from mail17-107.srv2.de[193.169.180.107] Oct 30 09:53:54 vml000080 postfix/smtpd[15632]: discarding EHLO keywords: DSN Oct 30 09:53:54 vml000080 smf-spf[12097]: SPF pass: ip=193.169.180.107, fqdn=mail17-107.srv2.de, helo=mail17-107.srv2.de, from=<return(a)news.mytoys.de> Oct 30 09:53:55 vml000080 postfix/smtpd[15632]: 3BD0175: client=mail17-107.srv2.de[193.169.180.107] Oct 30 09:53:55 vml000080 postfix/cleanup[14362]: 3BD0175: message-id=<re-pTf3SwushbLdwAjqbbGt4j-13RR982X-13ME1R6S-62QD4X(a)news.mytoys.de> Oct 30 09:53:55 vml000080 opendkim[1147]: 3BD0175: mail17-107.srv2.de [193.169.180.107] not internal Oct 30 09:53:55 vml000080 opendkim[1147]: 3BD0175: not authenticated Oct 30 09:53:55 vml000080 opendkim[1147]: 3BD0175: DKIM verification successful Oct 30 09:53:55 vml000080 opendmarc[1446]: 3BD0175: news.mytoys.de none Oct 30 09:53:58 vml000080 postfix/qmgr[10267]: 3BD0175: from=<return(a)news.mytoys.de>, size=96158, nrcpt=1 (queue active) Oct 30 09:53:58 vml000080 postfix/smtpd[15632]: disconnect from mail17-107.srv2.de[193.169.180.107] Oct 30 09:53:58 vml000080 postfix/lmtp[15548]: 3BD0175: to=<redacted(a)nausch.org>, relay=10.0.0.77[10.0.0.77]:24, delay=4.1, delays=4/0/0/0.15, dsn=2.0.0, status=sent (250 2.0.0 <redacted(a)nausch.org> 0XDGBev7UVS+QAAArK2B9Q Saved) Oct 30 09:53:58 vml000080 postfix/qmgr[10267]: 3BD0175: removed "PASS NEW" bedeutet doch, dass der Client alle Test bestanden hat und er einen temporären Whitelisting-Eintrag bekommen hat. Richtig? Da ich in meiner Konfig "deep protocol tests" aktiviert habe, kann postscreen die Verbindung nicht mehr an den eigentlichen SMTP-Daemon weiterreichen. Richtig? Daher kommt auch der "450 4.3.2 Service currently unavailable" zustande. Richtig? Aber was ist nun mit dieser Meldung >>unknown macro name "client" in expansion request<<? Die verstehe ich nicht ganz? Was will/soll mir das sagen? \o/ Ich fürchte, ich brauch da noch ein wenig Hilfe bevor ich datt janze auf meiner ersten Produktions-Maschine einsetze. Servus Django

5 8

-SSLv3 aktuell empfohlene master.cf für TLS ???
by Joachim Burbach 28 Oct '14

28 Oct '14

Ich würde ja auch gerne SSLv3 abschalten, aber leider bin ich mir nicht sicher was ich in meiner master.cf raus nehmen muss so dass TLS noch funktioniert. Oder passt das alles so noch? Kann mir einer helfen bitte? ---Postfix master.cf------------------------------------------------------------ smtp inet n - - - - smtpd submission inet n - - - - smtpd -o syslog_name=postfix/submission -o smtpd_tls_security_level=encrypt -o smtpd_sasl_auth_enable=yes -o smtpd_sasl_type=dovecot -o smtpd_sasl_path=private/auth -o smtpd_sasl_security_options=noanonymous -o smtpd_sasl_local_domain=$myhostname -o smtpd_client_restrictions=permit_sasl_authenticated,reject -o smtpd_sender_login_maps=mysql:/etc/postfix/mysql-virtual_sender.cf -o smtpd_sender_restrictions=reject_sender_login_mismatch -o smtpd_recipient_restrictions=reject_non_fqdn_recipient,reject_unknown_recipient_domain,permit_sasl_authenticated,reject smtps inet n - - - - smtpd -o syslog_name=postfix/smtps -o smtpd_tls_wrappermode=yes -o broken_sasl_auth_clients=yes pickup fifo n - - 60 1 pickup -o content_filter= -o receive_override_options=no_header_body_checks cleanup unix n - - - 0 cleanup qmgr fifo n - n 300 1 qmgr tlsmgr unix - - - 1000? 1 tlsmgr rewrite unix - - - - - trivial-rewrite bounce unix - - - - 0 bounce defer unix - - - - 0 bounce trace unix - - - - 0 bounce verify unix - - - - 1 verify flush unix n - - 1000? 0 flush proxymap unix - - n - - proxymap proxywrite unix - - n - 1 proxymap smtp unix - - - - - smtp relay unix - - - - - smtp showq unix n - - - - showq error unix - - - - - error retry unix - - - - - error discard unix - - - - - discard local unix - n n - - local virtual unix - n n - - virtual lmtp unix - - - - - lmtp anvil unix - - - - 1 anvil scache unix - - - - 1 scache maildrop unix - n n - - pipe flags=DRhu user=vmail argv=/usr/bin/maildrop -d vmail ${extension} ${recipient} ${user} ${nexthop} ${sender} uucp unix - n n - - pipe flags=Fqhu user=uucp argv=uux -r -n -z -a$sender - $nexthop!rmail ($recipient) ifmail unix - n n - - pipe flags=F user=ftn argv=/usr/lib/ifmail/ifmail -r $nexthop ($recipient) bsmtp unix - n n - - pipe flags=Fq. user=bsmtp argv=/usr/lib/bsmtp/bsmtp -t$nexthop -f$sender $recipient scalemail-backend unix - n n - 2 pipe flags=R user=scalemail argv=/usr/lib/scalemail/bin/scalemail-store ${nexthop} ${user} ${extension} mailman unix - n n - - pipe flags=FR user=list argv=/usr/lib/mailman/bin/postfix-to-mailman.py ${nexthop} ${user} dovecot unix - n n - - pipe flags=DROhu user=vmail:vmail argv=/usr/lib/dovecot/deliver -f ${sender} -d ${user}@${nexthop} # zusätzlicher transport ohne Filter für newsletter z.B. newssmtp unix - - n - 50 smtp -o content_filter= -o receive_override_options=no_unknown_recipient_checks,no_header_body_checks,no_milters amavis unix - - - - 4 smtp -o smtp_data_done_timeout=1200 -o smtp_send_xforward_command=yes -o disable_dns_lookups=yes 127.0.0.1:10025 inet n - - - - smtpd -o content_filter= -o local_recipient_maps= -o relay_recipient_maps= -o smtpd_restriction_classes= -o smtpd_delay_reject=no -o smtpd_client_restrictions= -o smtpd_helo_restrictions= -o smtpd_sender_restrictions= -o smtpd_recipient_restrictions=permit_mynetworks,reject -o mynetworks=127.0.0.0/8 -o smtpd_error_sleep_time=0 -o smtpd_soft_error_limit=1001 -o smtpd_hard_error_limit=1000 -o smtpd_client_connection_count_limit=0 -o smtpd_client_connection_rate_limit=0 -o receive_override_options=no_unknown_recipient_checks,no_header_body_checks policy-spf unix - n n - - spawn user=nobody argv=/usr/sbin/postfix-policyd-spf-perl --------------------------------------------------------------------------------------------------------------------------------------------------- M.f.G JO!

5 7

Re-2: -SSLv3 aktuell empfohlene master.cf für TLS ???
by Joachim Burbach 27 Oct '14

27 Oct '14

>evtl hilft das > >https://sys4.de/de/blog/2014/10/21/poodle-bug-postfix-sslv3-deaktivieren/ Ach jaaa sorry. :-) In der Main habe ich die Zeilen ja schon eingetragen. Habe beim testen mit openssl s_client -ssl3 -connect www.example.com:443 die ganze Zeit die Zeilen: 140612092499624:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1258:SSL alert number 40 140612092499624:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596: überlesen :-o Man sollte die Fenster ab und zu größer machen. ;-) SSLv3 ist somit abgeschalten mit diesen Zeilen in der main.cf: smtpd_tls_mandatory_protocols = !SSLv2 !SSLv3 smtp_tls_mandatory_protocols = !SSLv2 !SSLv3 smtp_tls_protocols = !SSLv2, !SSLv3 smtpd_tls_protocols = !SSLv2 !SSLv3 Danke sehr und noch einen schönen Tag. M.f.G. JO!

1 0

Re: Mail weiterleiten und Rest mit einem Handler verarbeiten / virtual_alias_map und transport_map
by Robert Schetterer 26 Oct '14

26 Oct '14

Am 26.10.2014 um 09:27 schrieb Sven Kummer: >>> Ganz genau! Alle Domains (=> *) mit einem der Handler verarbeiten bis > auf >>> die spezifizierte definiert(a)example.com, diese Mails will ich > weiterleiten >>> an eine von mir festgelegte E-Mail-Adresse, im Beispiel die von google. >> >> was verstehst du unter einem "Handler" irgendein script pipe alla >> >> master.cf >> >> autoreply unix - n n - - pipe >> flags= user=nobody argv=/opt/etc/postfix/autoreply ${sender} ${mailbox} >> >> etc ? > > Ganz genau, ja! > evtl so ,ungetestet.... relay_recipient_maps = hash:/etc/postfix/relay_recipients /etc/postfix/relay_recipients @relaydomain.de OK relay_domains = hash:/etc/postfix/relay_domains /etc/postfix/relay_domains relaydomain.de OK smtpd_recipient_restrictions = reject_unknown_recipient_domain, reject_non_fqdn_recipient, permit_mynetworks, permit_sasl_authenticated, check_recipient_access hash:/etc/postfix/recipient_access, check_recipient_access pcre:/etc/postfix/recipient_filter_access_pcre, ... /etc/postfix/recipient_access mein-empfaenger(a)relaydomain.de REDIRECT irgendwo(a)nirgendwo.com /etc/postfix/recipient_filter_access_pcre /.*/ FILTER autoreply Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

3 5

Re: Mail weiterleiten und Rest mit einem Handler verarbeiten / virtual_alias_map und transport_map
by Robert Schetterer 25 Oct '14

25 Oct '14

Am 25.10.2014 um 21:49 schrieb Robert Schetterer: > Am 25.10.2014 um 14:10 schrieb Sven Kummer: >> Ganz genau! Alle Domains (=> *) mit einem der Handler verarbeiten bis auf >> die spezifizierte definiert(a)example.com, diese Mails will ich weiterleiten >> an eine von mir festgelegte E-Mail-Adresse, im Beispiel die von google. > > was verstehst du unter einem "Handler" irgendein script pipe alla > > master.cf > > autoreply unix - n n - - pipe > flags= user=nobody argv=/opt/etc/postfix/autoreply ${sender} ${mailbox} > > etc ? > > > Best Regards > MfG Robert Schetterer > vieleicht gehts auch einfacher mit einer access table http://www.postfix.org/access.5.html REDIRECT user@domain After the message is queued, send the message to the specified address instead of the intended recipient(s). Note: this action overrides the FILTER action, and currently affects all recipients of the message. This feature is available in Postfix 2.1 and later. smtpd_recipient_restrictions = reject_unknown_recipient_domain, reject_non_fqdn_recipient, permit_mynetworks, permit_sasl_authenticated, check_recipient_access hash:/etc/postfix/recipient_access, /etc/postfix/recipient_access mein-empfaenger(a)example.com REDIRECT irgendwo(a)nirgendwo.com der Rest der Mails sollte dann eben nach deinen Wuenschen und deinem Setup weiter verarbeitet werden, was das genau ist habe ich leider noch nicht wirklich verstanden Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0

Mail weiterleiten und Rest mit einem Handler verarbeiten / virtual_alias_map und transport_map
by Sven Kummer 25 Oct '14

25 Oct '14

Hallo Liste! Stehe hier vor der Herausforderung folgendes Szenario in postfix abzubilden: 1. Mails die an eine Adresse definiert@example. org gehen, sollen weitergeleitet werden an definiert(a)gmail.com <mailto:definiert@gmail.com> 2. ALLE Mails an Domain * sollen von einem in der master.cf definierten Handler verarbeitet werden. Wichtig ist hier die Wildcard, da nicht alle Domains definiert werden können. Ausprobiert habe ich schon verschiedenes, habe die Domain example.org in die virtual_alias_domains eingetragen und die Weiterleitung an definiert(a)gmail.com <mailto:definiert@gmail.com> in der virtual_alias_maps. In der transport_maps dann wie folgt die Einträge gemacht: ---snip--- example.org smtp * handler_aus_maincf ---snip--- Leider laufen alle E-Mails an definiert(a)example.org <mailto:definiert@example.org> immer in den handler_aus_maincf, was ich ja nicht will er soll die Mail wie in der virtual_alias_map angegeben an definiert(a)gmail.com <mailto:definiert@gmail.com> weiterleiten. Nach einigem Testen habe ich festgestellt, dass wohl die virtual_alias_map vor der transport_map angewandt wird, was bedeutet dass die empfänger-Adresse schon als definiert(a)gmail.com <mailto:definiert@gmail.com> beim transport ankommt und dort dann * matched. Bin nicht sicher, ob es da einen einfachen Trick gibt, das zu vermeiden oder ob ich das ganze völlig falsch aufsetze. Kann mir hier jemand weiterhelfen? Vielen Dank für jegliche Tipps :) Viele Grüße Sven

2 1

Penetration Test ??
by Kötter, Markus 24 Oct '14

24 Oct '14

Hallo in die Runde, ich habe ein Postfix-Mailgateway mit Postfix 2.10.2, Amavisd-new 2.9.0, Spamassasisin 3.3.2 und Clamd 0.98.4 installiert. Das möchte ich in die DMZ stellen und es soll meinen internen Postfix schützen. Gibt es Penetration-Test-Tools mit denen ich herausfinden kann, ob mein Gateway einigermaßen "sicher" ist ? Vielen Dank im Voraus und freundliche Grüße Markus Kötter

6 9

"User doesn't exist: p@rick.de (in reply to RCPT TO command)." unterdrücken
by Django 24 Oct '14

24 Oct '14

HI, mittels des Parameter show_user_unknown_table_name kann man unterdrücken, ob zurückgegeben wird in welcher Tabelle genau der User nicht gefunden wurde, oder eben nur dass er nicht gefunden wurde. Bsp: (default) show_user_unknown_table_name=yes 550 5.1.1 <paeddrig(a)nausch.org>: Recipient address rejected: User unknown in virtual mailbox table. Contact your postmaster/admin for technical assistance. He can achieve our postmaster via email: postmaster(a)nausch.org or via fax: +49 8121 883179. In any case, please provide the following information in your problem report: This error message, time (Oct 18 14:25:16), client (mx1.schiessmich.tot[::1]) and server (mx01.nausch.org). Setze ich show_user_unknown_table_name=no wird nur noch angezeigt, dass der User nicht existiert: 550 5.1.1 <paeddrig(a)nausch.org>: Recipient address rejected: User unknown. Contact your postmaster/admin for technical assistance. He can achieve our postmaster via email: postmaster(a)nausch.org or via fax: +49 8121 883179. In any case, please provide the following information in your problem report: This error message, time (Oct 18 14:24:24), client (mx1.schiessmich.tot[::1]) and server (mx01.nausch.org). Interessant wir es nun bei aktivierter Empfängeradressüberprüfung: Egel ob nun der Parameter show_user_unknown_table_name auf yes oder no steht, die Rückmeldung ist immer die Gleiche: 577 5.1.1 <paeddrig(a)nausch.org>: Recipient address rejected: undeliverable address: host 10.0.0.77[10.0.0.77] said: 550 5.1.1 <paeddrig(a)nausch.org> User doesn't exist: paeddrig(a)nausch.org (in reply to RCPT TO command). Contact your postmaster/admin for technical assistance. He can achieve our postmaster via email: postmaster(a)nausch.org or via fax: +49 8121 883179. In any case, please provide the following information in your problem report: This error message, time (Oct 18 14:26:49), client (mx1.schiessmich.tot[::q]) and server (mx01.nausch.org). Ich würde gerne den Part ": host 10.0.0.77[10.0.0.77] said: 550 5.1.1 <paeddrig(a)nausch.org> User doesn't exist: paeddrig(a)nausch.org (in reply to RCPT TO command)." genauso unterdrücken wollen, wie das show_user_unknown_table_name=yes bei deaktivierter Empängeraddressverification? Bis jetzt habe ich noch keine passende Konfigurationsoption gefunden. Gibt's das wirklich nicht, oder hab ich es nur nicht gefunden. Servus Django

2 2

SSLv3
by Jochen Fahrner 21 Oct '14

21 Oct '14

Hallo, derzeit wird ja überall empfohlen SSLv3 abzuschalten, wegen Sicherheitslücken. Das scheint meinem Postfix aber nicht gut zu bekommen: Oct 20 09:34:08 s2 postfix/smtpd[13063]: warning: TLS library problem: 13063:error:1408A10B:SSL routines:SSL3_GET_CLIENT_HELLO:wrong version number:s3_srvr.c:965: Oct 20 09:34:08 s2 postfix/smtpd[13063]: lost connection after STARTTLS from mail02.rohde-schwarz.com[80.246.32.97] Oct 20 09:34:08 s2 postfix/smtpd[13063]: disconnect from mail02.rohde-schwarz.com[80.246.32.97] -- Mit besten Grüßen Jochen Fahrner

5 7

regexp: Linux vs. FreeBSD
by Olaf Zaplinski 21 Oct '14

21 Oct '14

Moin, ich habe mir einen Backup-MX unter FreeBSD gebaut und die header_checks vom vorhandenen Linux-System übernommen. Das Problem: unter FreeBSD wird \b als Whitespace nicht erkannt, damit sind eine Menge Regeln wirkungslos. Ein Beispiel: # cat header_checks if /^Subject:/ /\btest\b/ REJECT no spam #1 /[:blank:]test/ REJECT no spam #2 /[:space:]test/ REJECT no spam #3 /test/ REJECT no spam #4 endif # echo 'Subject: test 1 2 3'|postmap -fq - regexp:header_checks Subject: test 1 2 3 REJECT no spam #4 Dasselbe nun unter Linux: # echo 'Subject: test 1 2 3'|postmap -fq - regexp:header_checks Subject: test 1 2 3 REJECT no spam #1 Wie kann ich der FreeBSD-Version von Postfix (2.11) das Verhalten der Linux-Version (2.9) beibringen? Olaf

2 2

OT: Bayes DBs
by Marc Risse 21 Oct '14

21 Oct '14

Hallo Liste, etwas OT, aber da hier ja einige echte Profis vertreten sind, stell ich einfach mal eine Frage bezüglich Bayes DBs: Ich habe zwei MXer, welche per sa-learn kräftig lernen. Bisher haben wir per content_filter ein eigenes Script aufgerufen, welches Spammails per sa-learn "gelernt" hat, sowie an den jeweils entfernten MXer per smtp gesendet, und dort ebenfalls via sa-learn in die Bayes-DB geschrieben hat. Dieses Szenario lief seit 2008 relativ gut und stressfrei. Da die Systeme nun neu aufgebaut werden sollen, bin ich auf der Suche nach einfacheren oder effizienteren Möglichkeiten, die gelernten Inhalte zwischen beiden MXern abzugleichen. MySQL möchte ich nur ungern einsetzen. Wie macht ihr das? Macht Ihr es überhaupt? VG Marc

4 3

Postfix 2.11 Verständnisfragen
by Django [BOfH] 18 Oct '14

18 Oct '14

Ahoi! Ich erlaube mir mal einen eigenen thread für meine grundsätzlichen Verständnisfragen aufzumachen. Dank des Input's von Joda baue ich auf (m)einem Testhost gerade Postfix-from-scratch und beschäftige mich da viel mit Lesen und der Aktualisierung meiner eigenen Dokumentation. generic-maps: ============= Wo ich mir g'rad unschlüssig bin ist die Frage wo genau die generic-maps im MTA angesprochen werden. Macht das der qmgr selbst oder ist das Aufgabe der beiden Delivery Agenten lmtp und smtp. Ich vermute mal letzteres, da es ja keine pipe_generic-map gibt. Was stimmt nun? Servus Django -- "Bonnie & Clyde der Postmaster-Szene!" approved by Postfix-God http://wetterstation-pliening.info http://dokuwiki.nausch.org http://wiki.piratenpartei.de/Benutzer:Django

6 11

SSLv3 deaktivieren
by Alexander Palm 17 Oct '14

17 Oct '14

Hallo, gestern habe ich mit Schrecken von dem neuen SSL-Bug erfahren: https://de.ssl-tools.net/poodle-test https://community.qualys.com/blogs/securitylabs/2014/10/15/ssl-3-is-dead-ki… Wo ja steht man solle SSLv3 am besten einfach abklemmen. Was ich auch gleich gemacht habe. Zumindest beim Apache ging es wie beschrieben. Bei Postfix scheint es mir aber dennoch aktiv zu sein... Wie es hier steht: http://www.postfix.org/postconf.5.html#smtpd_tls_mandatory_protocols habe ich das eingestellt für vorsichtshalber alles: Also: smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3 smtp_tls_mandatory_protocols = !SSLv2, !SSLv3 smtp_tls_protocols = !SSLv2, !SSLv3 Es wird auch mit postconf nach einem Neustart so angezeigt - aber mit einem: openssl s_client -ssl3 -startssl smtp -connect mailbox.org:25 Kommt es nicht zu einem Fehler - sondern es gibt einfach einen connect der auf den SMTP-Handshake wartet. Hat schon jemand erfolgreich SSLv3 in Postfix abgeschaltet oder ist es eh zu viel Panikmache? Danke & Gruß, Alex

3 2

.forward-files
by Tim Wattenberg 16 Oct '14

16 Oct '14

Hallo zusammen, ich würde gerne die .forward-files auch für virtuelle Adressen einsetzen können. Ich habe dazu den forward path angepasst: forward_path = /var/mail/control.d/forward/$user Damit die Zustellung in die richtigen Maildirs auch klappt übergebe ich beim mailbox transport an lmtp: mailbox_transport = lmtp:unix:private/dovecot-lmtp Wenn ich nun bspw. per virtual_alias_maps an <user> weiterleite: - und <user> ein Systembenutzer ist funktioniert alles besten (.forward wird berücksichtigt, ansonsten delivery in die richtige Mailbox per lmtp) - und <user> kein Systembenutzer ist (aus der Dovecot Userdb) funktioniert zwar natürlich die delivery in die Mailbox, ein .forward-file wird allerdings nicht berücksichtigt. Auch eine Erweiterung der local_recipient_maps um die virtuellen Benutzer hat keinen Erfolg gebracht. Gibt es irgendeine Möglichkeit das umzusetzen, oder ist der setzen der Variablen im forward path "fest verdrahtet" mit den Systembenutzern? Besten Dank, Tim

1 0

debugger_command
by Django [BOfH] 16 Oct '14

16 Oct '14

HI Joda und all die anderen Postmaster! Der Parameter debugger_command ist ja von Haus aus "leer". Auf den CentOS-Maschinen wird in der main.cf ein wert gesetzt, der gezogen wird, sofern der MTA mit der Option "-D" gestartet wird. Nun mal Hand auf's Herz, wer von Euch hat dies schon mal gemacht, also ich die letzten 7 Jahre definitiv nicht. Stellt sich also die Frage, ob ich bei meinem neuen "Postfix from scratch" die Option analog RHEL zu setzen, oder diesen ignorieren - sprich leerlassen kann/soll. Servus Django -- "Bonnie & Clyde der Postmaster-Szene!" approved by Postfix-Meister http://wetterstation-pliening.info http://dokuwiki.nausch.org http://wiki.piratenpartei.de/Benutzer:Django

4 6

Nimmt Postfix E-Mails an wenn das Dateisystem unerwarteterweise plötzlich read-only ist?
by Hubert Schölnast 10 Oct '14

10 Oct '14

Hallo Ich habe Postfix auf einem virtuellen Server laufen und habe heute morgen erfahren, dass das Dateisystem meines Servers gegen Mitternacht in den read-only-Modus geschalten wurde. (Warum konnte man mir nicht sagen). Erst kurz nach 9 Uhr morgens wurde mein Server dann rebootet, seitdem läuft er wieder normal. Angeblich ist er in diesen 9 Stunden weitergelaufen, konnte aber nichts (weder empfangene E-Mails noch Log-Einträge noch sonst etwas) auf die Festplatte schreiben. Nun frage ich mich, wie Postfix in so einem Fall auf eingehende E-Mails reagiert. Ich halte zwei Varianten für denkbar: A) Postfix erkennt noch vor Ende des SMTP-Dialogs, dass es keine E-Mails speichern kann und meldet dem Client einen temporären Fehler. Dann ist alles gut, der Client wird später nocheinmal versuchen die E-Mail zuzustellen, so lange bis es endlich klappt oder bis ein Timeout abläuft. In diesem Fall erhält der Absender vom Client eine Nachricht die ihn über die Unzustellbarkeit informiert. B) Postfix bemerkt das nicht vor Ende des SMTP-Dialogs. Der Client baut eine TCP-Verbindung zu meinem Postfix auf, dieser meldet sich mit 220. Auf HELO usw. antwortet Postfix mit 250, dann sendet der Client DATA und Postfix antwortet mit 354. Jetzt sendet der Client die eigentliche E-Mail und Postfix empfängt die Daten und hält sie zumindest während des Empfangens im RAM-Speicher vor. Und jetzt kommt die entscheidende Frage: Schreibt Postfix die empfangenen Daten auf die Festplatte bevor es an den Client 250 (oder 4xx/5xx) sendet? Wenn nein, erhält nämlich der Client die Information, dass er die E-Mail erfolgreich zugestellt hat (250). Es folgen QUIT und 221, dann wird die TCP-Verbindung abgebaut und die Verbindung ist damit getrennt. Der Client kann die E-Mail aus seinem Speicher löschen, weil er ja von meinem Postfix die Meldung bekommen hat, dass die E-Mail empfangen worden ist. Aber Postfix wird scheitern wenn es versucht die E-Mail auf die schreibgeschützte Festplatte zu schrieben und hat keine Möglichkeit mehr, nachträglich den Client zu informieren. Die E-Mail wäre in diesem Fall verloren. Ich vermute ja, dass Postfix erst die empfangenen Daten wirklich physisch in den Permanentspeicher schreibt und erst dann den Empfang der Nachricht bestätigt, aber das ist eben nur eine Vermutung. Kann das jemand definitiv bestätigen? Danke! LG Hubert Schölnast

4 3

Postfix 2.10. versus 2.11
by django＠nausch.org 03 Oct '14

03 Oct '14

HI Joda! :P Ich hab mich einigermaßen von der hardcore-sys4-Woche erholt und bin gerade dabei meine Doku für Postfix 2.11 unter CentOS 7 zu überarbeiten. Wenn ich mich richtig erinnere, dann ist der Hauptvorteil von Postfix 2.11 zu Postfix 2.10 doch: ° PKI-less TLS server certificate verification based on DANE Aber war da nicht auch noch was in Punkto postscreen, oder verwechsle ich da grad was? Danke schon mal für's Feedback. Ergebendst Dein Padawan Django ;)-- "Bonnie & Clyde der Postmaster-Szene!" approved by Postfix-God http://wetterstation-pliening.info http://dokuwiki.nausch.org http://wiki.piratenpartei.de/Benutzer:Django

3 4

Ungewünschte Bouncemeldung - mail soll in der Warteschlange bleiben
by Andreas Cieslak 26 Sep '14

26 Sep '14

Hi List! Unser zentrales Mailgateway, postfix 2.5.5 , leitet mails an dahinterliegende Postfix/Dovecot mailserver mit physikalischen Posftfächern weiter. Die aliases für die entsprechenden dahinterliegenden mailserver und deren user sind zentral auf dem mailgateway abgelegt. Letzte Nacht gab es ein Wartungsfenster eines Mailservers, Postfix 2.7.1. Er war offline, und das zentrale Mailgateway, dass die mails an diesen mailserver weiterleiten sollte, gab folgende Fehlermeldung zurück: user <mailto:user@domain.de> @domain.de (expanded from user(a)domain.de): host mailserver.domain.de[x.x.x.x] said: 550 5.1.1 user(a)mailserver.domain.de: Recipient address rejected: User unknown in local recipient table (in reply to RCPT TO command) Obwohl ich vor dem Wartungszeitraum noch geprüft habe, dass mails in der queue des mailgateways bleiben sollen, gab es die Fehlermeldung. Ich habe es erfolgreich mit einem user getestet, der auf einem weiteren mailserver sein Postfach hat, der offline ist. Für diesen user/server hat das mailgateway die mails in der queue behalten und keine bounce gesendet. Das ist auch meine Absicht, dass die mails in der Queue des mailgateway bleiben sollen. Nun stellt sich mir die Frage ob es tatsächlich ein Problem des Mailgateways ist, oder das des LDAP-Dienstes, worüber sich die user authentifizieren? Die user melden sich per LDAP an den Systemen an. Der Mail-Server der gewartet wurde stellt ebenfalls den zentralen LDAP-Auth-Dienst zur Verfügung. Weitere LDAP-Server sind vorhanden, die die Anmeldung handhaben falls der zentrale LDAP-Server ausfällt. Oder ist es nur ein Postfix-Parameter, bzw. etwas an der config, dass angepasst werden muss? MFG Andreas Cieslak

1 0

OpenDMARC Probleme und Konfiguration
by Jochen Fahrner 20 Sep '14

20 Sep '14

Hallo, in letzter Zeit habe ich die Liste mit OpenDMARC Problemen genervt, danke für eure Geduld, dafür kommt jetzt hier die Lösung: Zum Verständnis erkläre ich die Funktionsweise und die Voraussetzungen für OpenDMARC (vereinfacht, nur so weit für's Verständnis nötig). OpenDMARC ist kein eigenständiger Filter, sondern er verlässt sich auf die "Authentication-Results" Header (im folgenden kurz "authres" genannt) der SPF und/oder DKIM Filter, die zwingend *vorher* laufen müssen. Er scannt dabei die authres Header die der eigene Mailserver mit Typ "pass" erzeugt hat. Alle darin enthaltenen header.d Domains werden gegen die Domain aus dem From-Header verglichen. Wird eine Übereinstimmung gefunden gibts ein "pass", andernfalls wird gemäß der Policy der Domain verfahren (none,quarantine,reject). Es genügt wenn entweder SPF oder DKIM ein "pass" erzeugen. Hat man für seine Domain die Policy "reject" eingestellt, läuft man in ein paar Probleme: 1. Postfix hat einen Bug (angeblich aus Kompatibilitätsgründen zu Sendmail): der erste eingefügte Header eines Postfix Policy Daemons wird verschluckt. Der vom SPF-Daemon kommt also nicht beim OpenDMARC an. Das ist nicht so tragisch, denn OpenDMARC kann die SPF-Prüfung auch selber machen. Wichtig ist jedoch dass OpenDMARC mit der libspf2 compiliert wurde, denn die eigenen SPF-Funktionen sind fehlerhaft. Um OpenDMARC prüfen zu lassen gibt es die Option: "SPFSelfValidate true" am besten in Verbindung mit "SPFIgnoreResults true" Alternativ könnte man auch einen SPF-milter versuchen, dazu hatte ich aber keine Lust, denn libspf2 ist sehr ausgereift und kommt auch mit ipv6 und vielen SPF-includes klar. 2. OpenDMARC benötigt die Domains aus *allen* DKIM-Signaturen. OpenDKIM liefert in der Default Konfiguration aber nur die erste gültige Signatur. Bei dieser Liste ist das z.B. de.postfix.org. Die passt aber nicht zu eurem From, und somit schlägt die Prüfung fehlt. Da bei Listen auch euer SPF nicht gültig ist, wird die Mail ggf. rejected. Mit der OpenDKIM(!) Option "AddAllSignatureResults true" Werden alle Signaturen geprüft und die Domains landen alle im authres Header. Damit kann OpenDMARC dann die richtige Domain finden und ein "pass" erzeugen. 3. Sendet ihr Mails mit einem Client von eurem DSL-Anschluss, so stimmt die IP nicht mit eurem SPF überein. Da auch (noch) keine Signatur drin ist, gibts wieder ein "fail". Um hier die Prüfung zu umgehen gibts die Option "IgnoreAuthenticatedClients true" Leider hat die Version 1.3.0 einen Bug den ich hier berichtet habe: http://sourceforge.net/p/opendmarc/tickets/103/ Wenn ihr OpenDMARC selber compiliert (z.B. wegen dem libspf2), dann könnt ihr den leicht selbst beheben. Hoffe etwas geholfen zu haben. Gruss Jochen

1 0

Test
by Joachim Fahrner 20 Sep '14

20 Sep '14

Bitte ignorieren. Aber möglicherweise habe ich die Lösung für das DMARC-Problem bei Mailinglisten gefunden. Das Problem liegt in der Konfiguration von OpenDKIM. Will das hiermit überprüfen. Ich berichte dann wenn das die Lösung ist.

2 1

DMARC Reports
by Joachim Fahrner 20 Sep '14

20 Sep '14

Hallo, obwohl ich schon vor Tagen die rua und ruf Einträge aus meinem DMARC DNS-Record rausgenommen habe, schickt mir Google immer noch Reports. Anscheinend speichern die die Adressen und löschen sie dann nicht mehr. Kann ich das Google irgendwie abgewöhnen? Gibt es sowas wie "rua=none"? -- Mit besten Grüßen Joachim Fahrner PGP-Key: http://www.fahrner.name/JoachimFahrner.asc

1 0

Test
by Joachim Fahrner 18 Sep '14

18 Sep '14

Sorry, bitte ignorieren -- Mit besten Grüßen Joachim Fahrner

1 0

Re: OpenDMARC fail OpenDKIM pass
by Joachim 18 Sep '14

18 Sep '14

Am 2014-09-18 14:19, schrieb Robert Schetterer: >>> allerdings um was richtig zu testen sollte kein tor dazwischen sein, >>> evtl ueber tor zu webmail etc ? >> >> Ok, das hier ist über Webmail. >> > > sieht ok aus, evtl mal so an die liste probieren > ok, das jetzt über Webmail an die Liste. Ist DKIM ok? -- Mit besten Grüßen Joachim Fahrner

1 0

OpenDMARC IgnoreAuthenticatedClients
by Joachim Fahrner 18 Sep '14

18 Sep '14

Hallo, noch ein Problem mit OpenDMARC: sobald ich die Policy für meine Domain auf p=reject ändere, kann ich keine Mails mehr versenden. Eigentlich sollte dafür die Option IgnoreAuthenticatedClients zuständig sein, aber es sieht so aus als wenn Postfix die Info "SASL authenticated" nicht an die milter durchreicht. Ein Workaround ist hier von A. Schulze beschrieben: http://postfix.1071664.n5.nabble.com/Permit-SASL-authenticated-users-to-byp… Ist das Problem bekannt? -- Mit besten Grüßen Joachim Fahrner

3 8

DMARC policy reject
by Jochen Fahrner 18 Sep '14

18 Sep '14

Hallo, also mit der reject policy habe ich irgendwie kein Glück. Jetzt kann ich nicht mal mehr an die Liste senden. Musste das wieder auf "none" zurückstellen. Hier ein Bounce aus der Liste: This is an authentication failure report for an email message received from IP 141.42.206.35 on Thu, 18 Sep 2014 08:48:16 +0200 (CEST). Feedback-Type: auth-failure Version: 1 User-Agent: OpenDMARC-Filter/1.3.0 Auth-Failure: dmarc Authentication-Results: s2.fahrner.name; dmarc=fail header.from=fahrner.name Original-Envelope-Id: 8BF263403F Original-Mail-From: postfix-users-bounces+jf=fahrner.name(a)de.postfix.org Source-IP: 141.42.206.35 Reported-Domain: fahrner.name Received: from postfix.charite.de (postfix.charite.de [141.42.206.35]) (using TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits)) (No client certificate requested) by s2.fahrner.name (Postfix) with ESMTPS id 8BF263403F for <jf(a)fahrner.name>; Thu, 18 Sep 2014 08:48:16 +0200 (CEST) Received: from localhost (localhost [127.0.0.1]) by de.postfix.org (Postfix) with ESMTP id 7A2123E16F for <jf(a)fahrner.name>; Thu, 18 Sep 2014 08:48:13 +0200 (CEST) DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=de.postfix.org; h=list-subscribe:list-help:list-post:list-archive :list-unsubscribe:list-id:precedence:content-type:content-type :in-reply-to:references:subject:subject:mime-version:user-agent :from:from:date:date:message-id:received:received:received :received:received:received; s=200801; t=1411022893; bh=AZBFENdP YA+2fANCRZoigwbAzFKzQJpDLwn+IdE1vEk=; b=EIThI6owH3OZzMJTxx/0OcT9 t8aF7XMEG7ENwIzw+nWh/UI2I97+Kqq3MKVRd11cmn6ImBQqs/iHGgFmrP1gzOJk ol48r74u0Wp6abxaJiNMwQ7tH2RguD6OUjgSnvMvHqdw+dKjhxtL4q6G/JmoEq2Y 91tauhqeOY05ZhZoHoM= X-Virus-Scanned: Debian amavisd-new at de.postfix.org Received: from de.postfix.org ([127.0.0.1]) by localhost (de.postfix.org [127.0.0.1]) (amavisd-new, port 10024) with ESMTP id 1wu1jmejV6g1 for <jf(a)fahrner.name>; Thu, 18 Sep 2014 08:48:13 +0200 (CEST) Received: from de.postfix.org (localhost [127.0.0.1]) by de.postfix.org (Postfix) with ESMTP for <jf(a)fahrner.name>; Thu, 18 Sep 2014 08:48:13 +0200 (CEST) X-Original-To: postfix-users(a)de.postfix.org Delivered-To: postfix-users(a)de.postfix.org Received: from localhost (localhost [127.0.0.1]) by de.postfix.org (Postfix) with ESMTP id 1F7EB3E12D for <postfix-users(a)de.postfix.org>; Thu, 18 Sep 2014 08:48:03 +0200 (CEST) Received: from de.postfix.org ([127.0.0.1]) by localhost (de.postfix.org [127.0.0.1]) (amavisd-new, port 10024) with ESMTP id LRutxneao4d8 for <postfix-users(a)de.postfix.org>; Thu, 18 Sep 2014 08:47:58 +0200 (CEST) Received: from s2.fahrner.name (s2.fahrner.name [78.46.184.248]) by de.postfix.org (Postfix) with ESMTPS for <postfix-users(a)de.postfix.org>; Thu, 18 Sep 2014 08:47:58 +0200 (CEST) Received: from [0.0.0.0] (unknown [166.70.207.2]) (using TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits)) (No client certificate requested) by s2.fahrner.name (Postfix) with ESMTPSA id 88FE83403F for <postfix-users(a)de.postfix.org>; Thu, 18 Sep 2014 08:47:55 +0200 (CEST) DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=fahrner.name; s=mail; t=1411022878; bh=AZBFENdPYA+2fANCRZoigwbAzFKzQJpDLwn+IdE1vEk=; h=Date:From:To:Subject:References:In-Reply-To:From; b=HMyOar/eFriYHqJm3SM2WuYlfy1OOi2vFkXzSmsWi5blZaiEY+oVEdu3IXxIOEQNr E0N3BXsvPPnQricdG078u0NdhMxDg4dVf6nljJ7EyXlihV5tMDDd2oR1F+AksHD+kS JQtQEZPwFShwR4hcp9CtuTejSupTMiMtZHPC7Itc= Message-ID: <541A8011.3090807(a)fahrner.name> Date: Thu, 18 Sep 2014 08:47:45 +0200 From: Jochen Fahrner <jf(a)fahrner.name> User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:17.0) Gecko/20130509 Thunderbird/17.0.6 MIME-Version: 1.0 To: postfix-users(a)de.postfix.org Subject: Re: OpenDMARC IgnoreAuthenticatedClients References: <1410985410.25010.383.camel(a)Thinkpad.lan> <5419F530.2000504(a)sys4.de> In-Reply-To: <5419F530.2000504(a)sys4.de> X-Enigmail-Version: 1.6 Content-Type: multipart/signed; protocol="application/pkcs7-signature"; micalg=sha1; boundary="------------ms080100090202000002000303" X-BeenThere: postfix-users(a)de.postfix.org X-Mailman-Version: 2.1.16rc2 Precedence: list List-Id: Mailing-Liste der deutschsprachigen Postfix Gemeinschaft <postfix-users.de.postfix.org> List-Unsubscribe: <http://de.postfix.org/cgi-bin/mailman/options/postfix-users>, <mailto:postfix-users-request@de.postfix.org?subject=unsubscribe> List-Archive: <http://de.postfix.org/pipermail/postfix-users/> List-Post: <mailto:postfix-users@de.postfix.org> List-Help: <mailto:postfix-users-request@de.postfix.org?subject=help> List-Subscribe: <http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users>, <mailto:postfix-users-request@de.postfix.org?subject=subscribe> Errors-To: postfix-users-bounces+jf=fahrner.name(a)de.postfix.org Sender: "postfix-users" <postfix-users-bounces+jf=fahrner.name(a)de.postfix.org> Laut Returnpath reflector ist aber alles gut. Mich wundert nur das " No DomainKeys signature(s) found.". Return Path DKIM/SPF Reflector Report ===================================== Source IP = 78.46.184.248 Mail From = jf(a)fahrner.name Identity Alignment Results ========================== SPF Domain Alignment Result = PASS The From domain 'fahrner.name' is an exact match with the SPF domain 'fahrner.name'. Note that no alignment policy was defined in a DMARC record, so the policy defaulted to relaxed. DKIM Domain Alignment Results: Result for DNS Record: mail._domainkey.fahrner.name = PASS The From domain 'fahrner.name' is an exact match with the DKIM domain 'fahrner.name'. Note that no alignment policy was defined in a DMARC record, so the policy defaulted to relaxed. DKIM Results ============ Result = pass Domain = fahrner.name Selector = mail DNS Record(s) = mail._domainkey.fahrner.name TXT v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ CX6HDfEw5BOPwL8C4idNjgb/YCKvbroUyEZ82MYIhu442XZJ7Y3BeFd2U/HVj9LM4M9qGNX32VOp2PXO PoIxKa5+w6mMOcsp3WblUUQ/yMhLOTnIupmzB6/h0CDAsWamLKrxnz7JuUbCeLc7KcWoBTDUiS6x23j8 KFcotlAD30owIDAQAB Public Key Length = 1024 DomainKeys Results ================== No DomainKeys signature(s) found. SPF Results =========== Result = pass Domain = fahrner.name DNS Record(s) = fahrner.name TXT v=spf1 mx -all DMARC Results ============= Domain = _dmarc.fahrner.name DNS Record = _dmarc.fahrner.name TXT v=DMARC1;p=reject DMARC Record Validation Results =============================== DMARC Errors Detected: None. Non-DMARC flags encountered (skipped): None. Visit http://www.returnpath.com/solution-content/dmarc-support/ for more information on DMARC record creation and validation. -- Mit besten Grüßen Jochen Fahrner

2 1

[postfix-users] OpenDMARC und dhl.com
by Joachim Fahrner 17 Sep '14

17 Sep '14

Mal ein Zwischenergebnis: IMHO ist OpenDMARC Schrott! DHL.com hat eine Dmarc-Policy mit p=reject, besitzt SPF aber sendet teilweise ohne DKIM-Signatur. Google Mail verkraftet das, nicht jedoch OpenDMARC. Trotz Compilierung mit "--with-spf" und Konfig "SPFIgnoreResults true" und "SPFSelfValidate true" scheitert OpenDMARC. Man kann natürlich dhl.com auf die Ignore-Liste setzen, aber das ist ja wohl nicht Sinn und Zweck der Übung. Jetzt kann man natürlich auf dhl.com schimpfen, weil die keine DKIM-Signatur senden (würde ich ja gerne), aber wenn es Google akzeptiert sollte das bei OpenDMARC nicht anders ein. -- Mit besten Grüßen Joachim Fahrner

5 36

[postfix-users] de.postfix.org SSL error
by Jochen Fahrner 17 Sep '14

17 Sep '14

Diese Message kommt mir auch spanisch vor: Sep 16 12:02:59 s2 opendkim[23233]: 3F122341C2: s=200801 d=de.postfix.org SSL error:04091068:rsa routines:INT_RSA_VERIFY:bad signature Stimmt da was mit der Mailingliste nicht? -- Mit besten Grüßen Jochen Fahrner

2 2