- postfix-users - list.sys4.de

[postfix-users] Email Account automatisch Deaktivieren nach x Fehlerhaften Anmeldeversuchen
by Andreas Kossmann via postfix-users 04 Dec '13

04 Dec '13

Hallo zusammen, ich habe folgendes: Einen Postfix Server mit POP3 und Imap. Ich will nun sicherstellen , dass Emailkonten nicht so leicht gehackt werden. Gibt es eine Funktion oder Addon welches mitzählt wie oft sich jemand mit einem Account anmelden wollte und diesen Account dann automatisch sperrt ? Gruß Andreas

5 5

[postfix-users] $mynetworks aus Datei
by Christian Bricart via postfix-users 29 Nov '13

29 Nov '13

Servus zusammen, In der Doku ( -> http://www.postfix.org/postconf.5.html#mynetworks ) stehen zwei Dinge: > Examples: > [..] > mynetworks = hash:/etc/postfix/network_table und darüber im Bezug auf IPv6 Adressen: > Note: IP version 6 address information must be specified inside [] in > the mynetworks value, > and in files specified with "/file/name". IP version 6 addresses > contain the ":" character, > and would otherwise be confused with a "type:table" pattern. letzteres gilt doch nur, wenn ich $mynetworks klassisch in der main.cf als Liste habe, oder? Innerhalb einer externen Lookup Datei sollten die Klammern doch dann weggelassen werden (können).. Grüsse Christian

1 0

[postfix-users] Umlaute im FROM gehen manchmal nicht
by Thomas via postfix-users 08 Nov '13

08 Nov '13

Hallo, ich versende über einen Provider Emails. Dieser ist bei bestimmten Absender über sender_dependent_relayhost eingetragen. Leider musste ich feststellen das bei bestimmten Absendern Emails nicht versandt werden. Im mail.log finde ich für diesee Absender nur das hier: (aber kein login mit password und kein 2XX wie bei den anderen Email Absendern) Oct 30 13:13:48 pbxmaster postfix/smtpd[23083]: connect from localhost[127.0.0.1]] Oct 30 13:13:48 pbxmaster postfix/smtpd[23083]: disconnect from localhost[127.0.0.1] Der Versand findet über eine PHP Klasse statt. Bei diesen Sendern finde ich im FROM Umlaute im Namen, aber nicht in der Emailadresse. Andere Sender mit Umlauten im Namen gehen aber. Von daher weiß ich nicht was die Ursache genau sein kann. Wie kann ich das weiter analysieren oder was kann die Ursache sein? Gruss Thomas

2 2

[postfix-users] Hilfe zu Mail-Hub Konfiguration
by Alexander Dick via postfix-users 05 Nov '13

05 Nov '13

Hallo liebe Postfix Liste! ich weiß nicht wirklich weiter mit meinem "Spezialfall", habe schon sehr viel gegoogelt aber es hat mir noch nichts weitergeholfen. Habe folgende Ist-Situation: - Kleine Firma mit einem MS Exchange Server - 1 Domain mit ca. 10 E-Mail Adressen - Mails sind derzeit noch beim Provider gehostet, d.h. der Exchange holt sich die Mails alle 15 Minuten beim Provider ab und stellt sie intern zu. - Versand erfolgt über Smarthost (Provider) Nun möchte ich das ganze so umstellen dass die Mails direkt in die Firma laufen und nicht mehr beim Provider abgeholt werden müssen. Wäre an sich kein Problem und es wäre nicht mal ein Mail-Hub notwendig. Nun habe ich aber den "Spezialfall" dass es auf der selben Domain noch 5 E-Mail Adressen gibt, die nichts mit der Firma zu tun haben bzw. privat verwendet werden. firmen_adresse(a)domain.at firmen_adresse2(a)domain.at privat_adresse(a)domain.at privat_adresse2(a)domain.at ... Mein Vorhaben wäre daher, die privaten Adressen direkt am Mail-Hub abzuwickeln: - Postfix Mail-Hub der alle einkommenden Mails für Domain @domain.at annimmt - Mails für Adressen die lokal am Mail-Hub existieren werden lokal zugestellt (z.B. privat_adresse(a)domain.at) - Mails für alle anderen Adressen werden an den Exchange weitergereicht (IP 192.168.0.x) - Es erfolgt KEIN Versand über den Postfix, dieser ist nur für einkommende Mails zuständig - Versand erfolgt weiterhin über den Exchange/Smarthost Die privaten Mailboxen werden dann über POP3 oder IMAP beim Mail-Hub abgerufen (Dazu habe ich Dovecot installiert - das ist das einzige was bereits funktioniert ;-). Hat jemand so eine (ähnliche) Konfiguration bereits am laufen? Ich wäre sehr Dankbar für Tipps oder gar eine Config File. Vielen Dank schon mal Alex

3 4

[postfix-users] #550 von einem Exchange Server
by Susanne Jaeckel via postfix-users 05 Nov '13

05 Nov '13

Hallo Postfix-User, ich hätte da mal eine Frage... Wir nutzen im Moment einenOpenXchange Server, der aber ja auch Postfix nutzt. Wir haben so weit, so gut, keine bekannten Probleme mit unseren Mails. Nun ist es aber passiert, das 2 unserer Kunden - welche mit einem Microsoft-Exchange Server arbeiten - Probleme haben, die Mails an uns auszuliefern. Beide bekommen ein "#550 5.1.1 RESOLVER.ADR.RecipNotFound" bei unseren Adressen. Mailversand nach GMX von denen scheint zu funktionieren. Wir haben in unseren Mail-Logs keine Konnektierungs-Versuche etc. von denen(!). Mailversand von uns an die andere Seite funktioniert auch. Insofern bin ich eigentlich der Meinung, dass es an unserer Seite nicht liegen kann. (Wir haben auch einen postgrey laufen, aber dann müßte man ja auch etwas mit "Greylisted" in den logfiles finden.) Da sich aber - wie gesagt - heute dann schon der 2. gemeldet hat, bei dem es nicht funktioniert, wollte ich mal sicherheitshalber nachfragen, ob es sein könnte, das ich etwas übersehe und ob ihr Vorschläge habt, wo ich ggfs. Mal nachschauen sollte. (Ich könnte evtl. ja noch ein logging in unserer Firewall konfigurieren, welches Pakete von deren IP aufzeichnet, um zu sehen, ob die nicht doch irgendwie bei uns ankommen...) Viele Grüße, Susanne.

2 2

[postfix-users] Zimbra - Postfix - Mailarchiva - 5 Sekunden Verzögerung beim Verschicken von mails
by Helge Hansemann via postfix-users 25 Oct '13

25 Oct '13

Hallo, ich bereite gerade den Umstieg von Zimbra 7.x unter Ubuntu 8.04 auf Zimbra 8.x auf Ubuntu 12.04 vor und habe jetzt folgendes Problem beobachtet: Eine Mail die im Webinterface von Zimbra verschickt wird dauert ca 5s (solange kann nicht weiter gearbeitet werden) wenn ich in der main.cf einen milter definiere: smtpd_milters = inet:server.domain.com:8092 Ohne den milter wird die mail sofort verschickt. Bei Zimbra 7.x trat dieses Problem nicht auf. Im Logfile ist das anhand der Timestamps ganz gut zu sehen: Oct 24 14:48:49 mail postfix/smtpd[25160]: connect from mail.domain.com [192.168.16.27] <--> ??? Oct 24 14:48:54 mail postfix/smtpd[25160]: NOQUEUE: filter: RCPT from mail.domain.com[192.168.16.27]: <user(a)domain.com>: Sender address triggers FILTER smtp-amavis:[127.0.0.1]:10026; from=<user(a)domain.com> to=<user(a)domain.com> proto=ESMTP helo=<mail.domain.com> Oct 24 14:48:54 mail postfix/smtpd[25160]: E3EB8FA38BD: client=mail.domain.com[192.168.16.27] Oct 24 14:48:54 mail postfix/cleanup[25165]: E3EB8FA38BD: message-id=<657406261.8.1382618929724.JavaMail.zimbra(a)domain.com> Oct 24 14:48:54 mail postfix/qmgr[28945]: E3EB8FA38BD: from=<user(a)domain.com>, size=782, nrcpt=1 (queue active) Oct 24 14:48:54 mail postfix/smtpd[25160]: disconnect from mail.domain.com[192.168.16.27] Oct 24 14:48:55 mail postfix/dkimmilter/smtpd[25169]: connect from localhost[127.0.0.1] Oct 24 14:48:55 mail postfix/dkimmilter/smtpd[25169]: 2896EFA38DA: client=localhost[127.0.0.1] Oct 24 14:48:55 mail postfix/cleanup[25165]: 2896EFA38DA: message-id=<657406261.8.1382618929724.JavaMail.zimbra(a)domain.com> Oct 24 14:48:55 mail postfix/qmgr[28945]: 2896EFA38DA: from=<user(a)domain.com>, size=1223, nrcpt=1 (queue active) Oct 24 14:48:55 mail postfix/dkimmilter/smtpd[25169]: disconnect from localhost[127.0.0.1] Oct 24 14:48:55 mail postfix/smtp[25166]: E3EB8FA38BD: to=<user(a)domain.com>, relay=127.0.0.1[127.0.0.1]:10026, delay=0.31, delays=0.06/0.02/0.01/0.23, dsn=2.0.0, status=sent (250 2.0.0 from MTA(smtp:[127.0.0.1]:10030): 250 2.0.0 Ok: queued as 2896EFA38DA) Oct 24 14:48:55 mail postfix/qmgr[28945]: E3EB8FA38BD: removed Oct 24 14:48:55 mail postfix/amavisd/smtpd[25173]: connect from localhost[127.0.0.1] Oct 24 14:48:55 mail postfix/amavisd/smtpd[25173]: 78E02FA38CB: client=localhost[127.0.0.1] Oct 24 14:48:55 mail postfix/cleanup[25165]: 78E02FA38CB: message-id=<657406261.8.1382618929724.JavaMail.zimbra(a)domain.com> Oct 24 14:48:55 mail postfix/qmgr[28945]: 78E02FA38CB: from=<user(a)domain.com>, size=1779, nrcpt=1 (queue active) Oct 24 14:48:55 mail postfix/amavisd/smtpd[25173]: disconnect from localhost[127.0.0.1] Oct 24 14:48:55 mail postfix/smtp[25171]: 2896EFA38DA: to=<user(a)domain.com>, relay=127.0.0.1[127.0.0.1]:10032, delay=0.35, delays=0.04/0.02/0.01/0.28, dsn=2.0.0, status=sent (250 2.0.0 from MTA(smtp:[127.0.0.1]:10025): 250 2.0.0 Ok: queued as 78E02FA38CB) Oct 24 14:48:55 mail postfix/qmgr[28945]: 2896EFA38DA: removed Oct 24 14:48:55 mail postfix/lmtp[25174]: 78E02FA38CB: to=<user(a)domain.com>, relay=mail.domain.com[192.168.16.27]:7025, delay=0.09, delays=0/0.02/0/0.07, dsn=2.1.5, status=sent (250 2.1.5 Delivery OK) Oct 24 14:48:55 mail postfix/qmgr[28945]: 78E02FA38CB: removed Die Mail sollte als Kopie an den Mailarchiva Dienst server.domain.com auf Port 8092 gehen. Das funktioniert auch. Ich suche jetzt nach Ideen, woran diese "Verzögerung" liegen könnte, bzw. wie ich die Sache genauer untersuchen könnte. Vielen Dank!

2 1

[postfix-users] was will denn GMX da von mir..?
by Christian Bricart via postfix-users 16 Oct '13

16 Oct '13

Servus, folgende Meldung im Log (echte Adressen latürnich obfuscated ;) ): Oct 16 09:17:11 outbound1 postfix/qmgr[16587]: D6F8918542BE: from=<ein-sender(a)meine.domain>, size=6393, nrcpt=1 (queue active) Oct 16 09:17:11 outbound1 postfix/smtp[5190]: D6F8918542BE: to=<ein-empfaenger(a)gmx.de>, relay=mx00.gmx.net[213.165.67.114]:25, delay=1.8, delays=1.7/0/0.04/0.07, dsn=5.0.0, status=bounced (host mx00.gmx.net[213.165.67.114] said: 550-Requested action not taken: mailbox unavailable 550 invalid DNS A/AAAA resource record (in reply to MAIL FROM command)) Ja - "meine.domain" hat weder einen A noch einen AAAA Record.. allerdings fünf MX, die alle korrekt auflösen.. Nimmt GMX neuerdings(?) keine Mails mehr von MX-only-Domains entgegen?!? Oder suche ich den Fehler an der falschen Stelle? Grüsse Christian

3 7

[postfix-users] T-Online auf Spamcop Blacklist
by Martin Sebald via postfix-users 15 Oct '13

15 Oct '13

Hallo zusammen, ist Euch schon aufgefallen, dass T-Online mal wieder auf der Blacklist steht? > Oct 15 08:56:13 mailserver postfix/smtpd[24524]: NOQUEUE: reject: RCPT > from mailout04.t-online.de[194.25.134.18]: 451 4.7.1 Service > unavailable; Client host [194.25.134.18] blocked using bl.spamcop.net; > Blocked - see http://www.spamcop.net/bl.shtml?194.25.134.18; > from=<xxx(a)t-online.de> to=<user(a)localdomain.tld> proto=ESMTP > helo=<mailout04.t-online.de> Oder wäre es eh sinnvoll, Spamcop nicht zu verwenden? Habe mich mit dem Thema noch nicht beschäftigt, es kam eben halt zum Klassiker vom Kunden zu mir: "Warum bekomme ich keine Mails von T-Online mehr?" Viele Grüße, Martin

4 6

[postfix-users] Spam über reguläre Mailkonten
by Thomas Krause via postfix-users 15 Oct '13

15 Oct '13

Hi, in der letzten Zeit habe ich gehäuft Probleme mit Spamversand über reguläre Mailkonten. Vermutlich ist der PC des Betreffenden nach Username/Paßwort ausspioniert wurden. Jedenfalls wird sich per SMTP-AUTH mit korrektem Usernamen u. Paßwort eingeloggt und dann der Spam abgesetzt. Dabei werden ganz unterschiedliche Absende-IP-Adressen verwendet. Das Spam- Volumen ist relativ gering, d.h. es fällt auch nicht gleich auf. Was kann ich dagegen machen? Einzig fällt mir ein, die Anzahl der pro Absende-Adresse versendeten Mails in Abhängigkeit der Zeit zu limitieren. Ist das überhaupt mit Postfix umzusetzen? Habt Ihr dazu Lösugen (bzw. Ideen)? Viele Grüße, Thomas.

8 10

[postfix-users] von DomainA Mails an EmpfängerA weiterleiten zu EmpfängerB obwohl EmpfängerA gelöscht
by Joachim Burbach via postfix-users 14 Oct '13

14 Oct '13

Hallo Miteinander, es musste eine Empfängeradresse (EmpfängerA) gelöscht werden. Eine Firma bekommt das jetzt aber nicht hin die E-Mailadresse in der gesamten Datenbank so ohne weiteres zu ändern. Aus dem Grund meine Frage falls da einer eine Lösung weis. Ich wurde da leider noch nicht fündig über die Suchmaschine. EmpfängerA wurde gelöscht. Die Mails aller Absender der DomainA an den EmpfängerA sollen aber wieder empfangen werden können z.B. per Umleitung auf EmpfängerB. Oder ich lege den EmpfängerA wieder an, dann dürfen aber nur die Absender der DomainA dem E-Mails senden können und alle anderen müssen ein reject bekommen. Ich habe zwar gefunden das man die Empfängeradresse umschreiben kann, aber ich will ja nur die Mails von DomainA und nicht wieder alle. Hat da vielleicht jemand eine Lösung. Ich dachte so etwas schon mal gelesen zu haben, aber finde es jetzt nicht mehr ... lg jo

2 1

[postfix-users] spamhaus blockt: master. cf
by Patrick Ben Koetter via postfix-users 10 Oct '13

10 Oct '13

Mal was amüsantes am Rande... :) <http://www.spamhaus.org/dbl/removal/record/master.cf> -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 1

Re: [postfix-users] Postfix + fail2ban
by Robert Schetterer via postfix-users 03 Oct '13

03 Oct '13

-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Am 02.10.2013 18:49, schrieb André Loos via postfix-users: > ... Eine vermutlich nicht neue Idee wäre, die > POP/SMTP-Authentifizierung auf einen anderen Server bzw. IP zu > legen. Dann wäre der MX-Eintrag nicht gleich dem POP oder > SMTP-Server der Benutzer und somit nicht für XY-Hacker > offensichtlich. Man könnte somit alles ablehnen, was sich am MXer > zu Authentifizieren versucht ... Gibt's dazu schon "schlaue" > Gedanken oder Tutorials? wird wahrscheinlich nicht viel aendern auf die Dauer, aber evtl kurzfristig helfen. > > Dank nochmals an Patrick und Robert! > > Schönen Feiertag denen, die Morgen frei haben :-), André > > _______________________________________________ postfix-users > mailing list postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > Best Regards MfG Robert Schetterer - -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.4.11 (GNU/Linux) Comment: Using GnuPG with Thunderbird - http://www.enigmail.net/ iQEcBAEBAgAGBQJSTQcvAAoJEP8jBObu0LlEjc4IAMZsxYHyQHOtqcZY5DNySPFk cOTojjYY1D/K4q9ajb1/Mx2OX6ZhfcLbEt0F9Dwr39bG5aMiNrGGZ6W32xjfwToQ pkBtSsdvrwBUqY1KcV36eM1jPHVQP73jnYmF0SonAST56KU0qujxNHh3jSbUhm53 7kIg4bFiRH5OCIyaQY+lXrPDGm1f6rjK5DsCRE2hcfyXjt/p3W/rMRyumNpC3eSA BdlGfKEI0iFCS5zOIJtv5GeriSxuO02MkJl005KqPlEnSRdww6b6RLVBOLgFG/Jk VZ2ntO+7/31actwHT4iJ20CY3aVnfHovAd8A1iZRwFQSkJYCKg6M3VHYNkRUWSE= =2Pub -----END PGP SIGNATURE-----

1 0

Re: [postfix-users] Postfix + fail2ban
by Patrick Ben Koetter via postfix-users 02 Oct '13

02 Oct '13

* André Loos via postfix-users <andre.loos(a)gmx.de>: > ... Eine vermutlich nicht neue Idee wäre, die POP/SMTP-Authentifizierung auf > einen anderen Server bzw. IP zu legen. > Dann wäre der MX-Eintrag nicht gleich dem POP oder SMTP-Server der Benutzer > und somit nicht für XY-Hacker offensichtlich. > Man könnte somit alles ablehnen, was sich am MXer zu Authentifizieren > versucht ... Darauf komme ich in ein paar Tagen/Wochen zurück. Ralf und ich haben da ein wenig mit Spammern gespielt. Genaues dann wenn wir das im http://blog.sys4.de lesbar aufbereitet haben werden. :) > Gibt's dazu schon "schlaue" Gedanken oder Tutorials? Du kannst die IP, auf der der Server AUTH anbietet, verstecken, aber es wird nur eine Frage der Zeit sein, bis port Scanner herausgefunden haben, dass dort ein SMTP-Server lauscht, der AUTH anbietet. Dann geht alles wieder von vorne los. Meine Haltung ist: Es wird immer passieren. Sie werden es immer versuchen. Wir legen - wann immer die Kunden das mittragen - eine sinnvolle Passwort-policy fest. Wir bieten den Kunden Trainings/Vorträge an, damit ihre Mitarbeiter auf Phising-Missbrauch etc. sensibilisiert sind. Wir monitoren die Dienste und das Sendeumfeld zusammen mit Partnerunternehmen auf Anzeichen für Mißbrauch. Wir sperren Konten sobald sie kompromittiert sind. Ich kann es nicht verhindern. Aber ich warte auch nicht bis es mich erwischt. Ich bin vorbereitet. > Dank nochmals an Patrick und Robert! > > Schönen Feiertag denen, die Morgen frei haben :-), André ACK p@rick -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0

Re: [postfix-users] Postfix + fail2ban
by André Loos via postfix-users 02 Oct '13

02 Oct '13

... Eine vermutlich nicht neue Idee wäre, die POP/SMTP-Authentifizierung auf einen anderen Server bzw. IP zu legen. Dann wäre der MX-Eintrag nicht gleich dem POP oder SMTP-Server der Benutzer und somit nicht für XY-Hacker offensichtlich. Man könnte somit alles ablehnen, was sich am MXer zu Authentifizieren versucht ... Gibt's dazu schon "schlaue" Gedanken oder Tutorials? Dank nochmals an Patrick und Robert! Schönen Feiertag denen, die Morgen frei haben :-), André

1 0

Re: [postfix-users] Postfix + fail2ban
by Robert Schetterer via postfix-users 01 Oct '13

01 Oct '13

Am 30.09.2013 21:50, schrieb André Loos via postfix-users: > Ich hätte gerne mal einen Vergleich von Euch. Ich hoste auf meinem > Mailserver 12 Domains und habe durchschnittlich täglich zwischen 15 und 30 > Tests per sasl, 5 per pop3/imap und weiterhin etwa 20-30, die ein open relay > suchen. > > Herzliche Grüße, André Hallo Andre, leider helfen Vergleiche da wenig, wenn deine Domains nun mal angegriffen werden , ist es halt so, trotzdem deine Werte sind nicht aussergewoehnlich, ich fuer meinen Teil analysiere die brute Force Versuche taeglich, und eigentlich mache ich mir nur dann Sorgen wenn auf existierende Mailboxen Angriffe erfolgen mit halbwegs realitaetsnahen Passwoertern ( also zb nicht 123456 etc ) erfolgen, dann sehe ich mal nach woher die Ips stammen ( China etc ) , dann kommt es auf den Kunden an , ich hab als Erstmassnahme auch selbst schon mal die Passwoerter geaendert, wenn mir etwas "spanisch" vorkam. Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0

Re: [postfix-users] Postfix + fail2ban
by Patrick Ben Koetter via postfix-users 30 Sep '13

30 Sep '13

* André Loos via postfix-users <andre.loos(a)gmx.de>: > Leider laufen bei mir die meisten Versuche/Tests, eine gültige > Konto-Passwortkombination zu erlangen, per sasl ein. Nur für das Protokoll: Bei IMAP ist es auch SASL (Simple And Secure Layer). Tatsächlich stammt es sogar originär aus der IMAP-Ecke. > Fehlgeschlagene Logins oder Tests per pop3/imap sind tatsächlich viel > weniger. Ich vermute hier, dass die Angreifer sehr wohl wissen, dass in den > maillogs die sasl-auth nicht so informativ ist, wie von "uns" gewünscht. Echt? Also ich komme zu einem anderen Schluss. Ich denke, die suchen Relays über die sie senden können. Das kann halt nur SMTP, wenn man jetzt mal die LEMONADE-Extentions in IMAP ausser acht läßt. > Weiterhin habe ich selbst Sendeversuche (im Log als sasl) mit falschem > Passwort gestartet. Das, was dann anschließend im Log zu finden ist, ist das > mimecodierte Wort "Passwort=UGFzc3dvcmQ6". Jedoch nicht das falsche Passwort > an sich bzw. gar der Benutzername, mit dem das Konto getestet wurde. Weder der Postfix policy(8) service noch das MILTER API geben Auskunft über das AUTH Passwort, das gesendet wurde. Eine eigene, programmierte Lösung fällt also flach. Dir bleibt also nur, das LOG auszuwerten und nach "authentication failed" zu suchen: 2013-09-30T04:12:47.500147+02:00 joliett postfix/submission/smtpd[4618]: warning: unknown[xxx.xxx.xxx.xxx]: SASL LOGIN authentication failed: UGFzc3dvcmQ6 Die IP hast Du ja dann und auf die kannst Du reagieren. > Ich hätte gerne mal einen Vergleich von Euch. Ich hoste auf meinem > Mailserver 12 Domains und habe durchschnittlich täglich zwischen 15 und 30 > Tests per sasl, 5 per pop3/imap und weiterhin etwa 20-30, die ein open relay > suchen. Auf einem System mit einem Vielfachen an Domains hatten wir heute 5 AUTH Tests auf SMTP. Woran das liegt? Spontan habe ich keine Antwort. Ausschlaggebend finde ich die Folgefragen auf die Tests: Wieviele gelingen und wieviele können anschliessend Schaden anrichten? Wenn beides Null ist, dann würde ich wachsam bleiben und für den Moment zähneknirschend hinnehmen, dass da andauernd irgendjemand versucht unser System zu exploiten. Grüsse p@rick > * André Loos via postfix-users <andre.loos(a)cogaa.de>: > > ich habe auf meinem Mailserver (Postfix) das bekannte fail2ban > installiert. > > Gibt es eine Möglichkeit die fail2ban Benachrichtigung so zu > > gestalten, dass mir ersichtlich ist, mit welchem Konto das Login > > (pop3/imap/sasl) gescheitert ist? > > mir ist nicht bekannt, dass f2b das out of the box kann und auch nicht, dass > man es einfach dahingehend erweitern kann. > > Christian Rößner und ich haben mal für ARF-Reports f2b evaluiert und dann > bald die Finger davon gelassen: Die Idee war gut - der Code nicht. (Ralf > würde > sagen: Es war so schlecht, dass ich es umschreiben musste bevor ich es > wegwarf...) > > > Das Logging des Daemons müsste natürlich den fehlgeschlagene Versuch > > mit dem benutzen Login erfassen. Ist das z.B. über den Loglevel steuerbar? > > In dovecot siehst du im normalen Loglevel, ob ein Login fehlgeschlagen ist > und auch den "user=<>": > > 2013-09-29T18:23:50.516957+02:00 joliett dovecot: imap-login: Aborted login > (auth failed, 1 attempts in 2 secs): user=<user(a)example.com>, method=PLAIN, > rip=xxx.xxx.xxx.xxx, lip=xxx.xxx.xxx.xxx, session=<+Jj8JIjnNQBtLAAa> > > > > Was müsste oder kann ich tun, um hier genauere Informationen zu erhalten? > > Vielleicht kannst Du f2b ja nach "mehr" suchen lassen als es für den > Sachverhalt "auth failed" benötigt und dann ist zufällig der user-String mit > dabei. Nicht schön, aber effektiv. > > p@rick > > > > Ich verspreche mir davon, zeitnah zu sehen, auf welche Domain oder auf > > welches Konto eine inszenierte Attacke es gerade abgesehen hat. > > Ich hatte kürzlich den Fall, dass die Login-Daten eines Benutzers, > > vermutlich über einen längeren Zeitraum, erfolgreich von Angreifern > > getestet wurden und wie zu erwarten zum Versenden von Spam benutzt wurden. > > Im mail.log finde ich derzeit bei einem gescheiterten Login keine > > genaueren Angaben zu den benutzten Logindaten. Wohl aber bei einem > > erfolgreichen Login. > > > > Euch vielen Dank für Tipps, Ideen oder andere Strategien ... > > > > André Loos > > > > _______________________________________________ > > postfix-users mailing list > > postfix-users(a)de.postfix.org > > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > > -- > [*] sys4 AG > > http://sys4.de, +49 (89) 30 90 46 64 > Franziskanerstraße 15, 81669 München > > Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 > Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer > Aufsichtsratsvorsitzender: Florian Kirstein > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0

Re: [postfix-users] Postfix + fail2ban
by Patrick Ben Koetter via postfix-users 30 Sep '13

30 Sep '13

André, * André Loos via postfix-users <andre.loos(a)cogaa.de>: > ich habe auf meinem Mailserver (Postfix) das bekannte fail2ban installiert. > Gibt es eine Möglichkeit die fail2ban Benachrichtigung so zu gestalten, dass > mir ersichtlich ist, mit welchem Konto das Login (pop3/imap/sasl) > gescheitert ist? mir ist nicht bekannt, dass f2b das out of the box kann und auch nicht, dass man es einfach dahingehend erweitern kann. Christian Rößner und ich haben mal für ARF-Reports f2b evaluiert und dann bald die Finger davon gelassen: Die Idee war gut - der Code nicht. (Ralf würde sagen: Es war so schlecht, dass ich es umschreiben musste bevor ich es wegwarf...) > Das Logging des Daemons müsste natürlich den fehlgeschlagene Versuch mit dem > benutzen Login erfassen. Ist das z.B. über den Loglevel steuerbar? In dovecot siehst du im normalen Loglevel, ob ein Login fehlgeschlagen ist und auch den "user=<>": 2013-09-29T18:23:50.516957+02:00 joliett dovecot: imap-login: Aborted login (auth failed, 1 attempts in 2 secs): user=<user(a)example.com>, method=PLAIN, rip=xxx.xxx.xxx.xxx, lip=xxx.xxx.xxx.xxx, session=<+Jj8JIjnNQBtLAAa> > Was müsste oder kann ich tun, um hier genauere Informationen zu erhalten? Vielleicht kannst Du f2b ja nach "mehr" suchen lassen als es für den Sachverhalt "auth failed" benötigt und dann ist zufällig der user-String mit dabei. Nicht schön, aber effektiv. p@rick > Ich verspreche mir davon, zeitnah zu sehen, auf welche Domain oder auf > welches Konto eine inszenierte Attacke es gerade abgesehen hat. > Ich hatte kürzlich den Fall, dass die Login-Daten eines Benutzers, > vermutlich über einen längeren Zeitraum, erfolgreich von Angreifern getestet > wurden und wie zu erwarten zum Versenden von Spam benutzt wurden. > Im mail.log finde ich derzeit bei einem gescheiterten Login keine genaueren > Angaben zu den benutzten Logindaten. Wohl aber bei einem erfolgreichen > Login. > > Euch vielen Dank für Tipps, Ideen oder andere Strategien ... > > André Loos > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

3 2

Re: [postfix-users] Postfix + fail2ban
by Robert Schetterer via postfix-users 29 Sep '13

29 Sep '13

Am 29.09.2013 13:22, schrieb André Loos via postfix-users: > Hallo Miteinander, > > ich habe auf meinem Mailserver (Postfix) das bekannte fail2ban installiert. > Gibt es eine Möglichkeit die fail2ban Benachrichtigung so zu gestalten, dass > mir ersichtlich ist, mit welchem Konto das Login (pop3/imap/sasl) > gescheitert ist? > Das Logging des Daemons müsste natürlich den fehlgeschlagene Versuch mit dem > benutzen Login erfassen. Ist das z.B. über den Loglevel steuerbar? > Was müsste oder kann ich tun, um hier genauere Informationen zu erhalten? > Ich verspreche mir davon, zeitnah zu sehen, auf welche Domain oder auf > welches Konto eine inszenierte Attacke es gerade abgesehen hat. > Ich hatte kürzlich den Fall, dass die Login-Daten eines Benutzers, > vermutlich über einen längeren Zeitraum, erfolgreich von Angreifern getestet > wurden und wie zu erwarten zum Versenden von Spam benutzt wurden. > Im mail.log finde ich derzeit bei einem gescheiterten Login keine genaueren > Angaben zu den benutzten Logindaten. Wohl aber bei einem erfolgreichen > Login. > > Euch vielen Dank für Tipps, Ideen oder andere Strategien ... > > André Loos > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > gugg mal http://sys4.de/de/blog/2012/12/28/botnets-mit-rsyslog-und-iptables-recent-m… http://sys4.de/de/blog/2013/04/17/monitoren-und-alarmierung-von-brute-force… bringt dich evtl auf weitere Ideen Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 1

[postfix-users] Postfix + fail2ban
by André Loos via postfix-users 29 Sep '13

29 Sep '13

Hallo Miteinander, ich habe auf meinem Mailserver (Postfix) das bekannte fail2ban installiert. Gibt es eine Möglichkeit die fail2ban Benachrichtigung so zu gestalten, dass mir ersichtlich ist, mit welchem Konto das Login (pop3/imap/sasl) gescheitert ist? Das Logging des Daemons müsste natürlich den fehlgeschlagene Versuch mit dem benutzen Login erfassen. Ist das z.B. über den Loglevel steuerbar? Was müsste oder kann ich tun, um hier genauere Informationen zu erhalten? Ich verspreche mir davon, zeitnah zu sehen, auf welche Domain oder auf welches Konto eine inszenierte Attacke es gerade abgesehen hat. Ich hatte kürzlich den Fall, dass die Login-Daten eines Benutzers, vermutlich über einen längeren Zeitraum, erfolgreich von Angreifern getestet wurden und wie zu erwarten zum Versenden von Spam benutzt wurden. Im mail.log finde ich derzeit bei einem gescheiterten Login keine genaueren Angaben zu den benutzten Logindaten. Wohl aber bei einem erfolgreichen Login. Euch vielen Dank für Tipps, Ideen oder andere Strategien ... André Loos

1 0

[postfix-users] Frage Postfixregel zu RBL
by Stephan Jacob via postfix-users 23 Sep '13

23 Sep '13

Hallo Postfixgemeinde, ich möchte eine Regel implementieren die eine Mail (Client) blockt wenn die IP auf mind. 2 RBLs steht. Wie mache ich das? Ich habe in meinen smptd_restrictions mit reject_rbl_client verschiedene RBLs eingebunden. Sobald die Client-IP auf einer der Listen steht wird die Mail sofort geblockt. Das entspricht ja dem erwarteten Verhalten. Jetzt will ich aber erst blocken, wenn die Client IP noch auf mind. einer zweiten Liste vorhanden ist. Über den Sinn bzw. Unsinn solcher einer Maßnahme kann man sicher diskutieren. Es wird bei uns jetzt allerdings für bestimmte Domänen erwünscht (die Domänen-Abhängigkeit kann ich dann ja mit einer eigenen Restriction-Class umsetzen). Über Anregungen würde ich mich freuen. Danke und viele Grüße Stephan Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

3 2

[postfix-users] MAILER-DAEMON
by info＠soheyl-larinejad.de via postfix-users 17 Sep '13

17 Sep '13

Um E-Mails an die Liste postfix-users zu schicken, nutzen Sie bitte die Adresse postfix-users(a)de.postfix.org Um sich via Web von der Liste zu entfernen oder draufzusetzen: <http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users> oder, via E-Mail, schicken Sie eine E-Mail mit dem Wort 'help' in Subject/Betreff oder im Text an postfix-users-request(a)de.postfix.org Sie koennen den Listenverwalter dieser Liste unter der Adresse postfix-users-owner(a)de.postfix.org erreichen Wenn Sie antworten, bitte editieren Sie die Subject/Betreff auf einen sinnvollen Inhalt der spezifischer ist als "Re: Contents of postfix-users digest..." Meldungen des Tages: 1. Re: postfix-users Nachrichtensammlung, Band 65, Eintrag 3 (info(a)soheyl-larinejad.de via postfix-users) ---------------------------------------------------------------------- Message: 1 Date: Tue, 17 Sep 2013 13:10:26 +0200 (CEST) From: "info(a)soheyl-larinejad.de via postfix-users" <postfix-users(a)de.postfix.org> To: postfix-users(a)de.postfix.org Subject: Re: [postfix-users] postfix-users Nachrichtensammlung, Band 65, Eintrag 3 Message-ID: <1521012149.306474.1379416227101.open-xchange(a)email.1und1.de> Content-Type: text/plain; charset="utf-8" > postfix-users-request(a)de.postfix.org hat am 17. September 2013 um 12:00 > geschrieben: > > > Um E-Mails an die Liste postfix-users zu schicken, nutzen Sie bitte > die Adresse > > postfix-users(a)de.postfix.org > > Um sich via Web von der Liste zu entfernen oder draufzusetzen: > > <http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users> > > > oder, via E-Mail, schicken Sie eine E-Mail mit dem Wort 'help' in > Subject/Betreff oder im Text an > > postfix-users-request(a)de.postfix.org > > Sie koennen den Listenverwalter dieser Liste unter der Adresse > > postfix-users-owner(a)de.postfix.org > > erreichen > > Wenn Sie antworten, bitte editieren Sie die Subject/Betreff auf einen > sinnvollen Inhalt der spezifischer ist als "Re: Contents of > postfix-users digest..." > > > Meldungen des Tages: > > 1. MAILER-DAEMON (info(a)soheyl-larinejad.de via postfix-users) > 2. Re: MAILER-DAEMON (Ralf Hildebrandt via postfix-users) > 3. Re: MAILER-DAEMON (Ralf Hildebrandt via postfix-users) > > > ---------------------------------------------------------------------- > > Message: 1 > Date: Mon, 16 Sep 2013 15:57:22 +0200 (CEST) > From: "info(a)soheyl-larinejad.de via postfix-users" > <postfix-users(a)de.postfix.org> > To: postfix-users(a)de.postfix.org > Subject: [postfix-users] MAILER-DAEMON > Message-ID: > <125367553.240757.1379339842442.open-xchange(a)email.1und1.de> > Content-Type: text/plain; charset="utf-8" > > Hallo zusammen, > > > > ich bin in dem Thema Postfix noch nicht so versiert und arbeite mich gerade > rein. > > Letzte Woche hatte ich einen Vorfall, den ich nicht verstanden habe oder > besser > gesagt verstehen möchte. Ich hoffe ihr könnt mir weiterhelfen. > > Einer unserer Mitarbeiter erhielt unzustellbare Fehlermeldungen, von E-Mails > welche er vor bereits längerer Zeit rausgeschickt hattte. Der Empfänger an > dem > diese Mail geschickt wurde, hatte sich damals in unsere Mailingliste > eingetragen. Ob die von ihm hinterlegte Mailadresse existiert ist nicht > sichergestellt. > > Das Postfach von unserem Mitarbeiter war innerhalb sehr kurzer Zeit mit > mehreren > hundert Mails gefüllt und es hörte nicht mehr auf. Und immer wieder der > selber > Server der die Antwort lieferte. > > Um dem ganzen Abhilfe zu schaffen, habe ich den sendenden Server in die > sender_access Liste mit einem REJECT wie Folgt aufgenommen. > > > > Nano sender_access > > > > *.fremdserver.ka REJECT > > Fremdserver.ka REJECT > > > > postmap hash:sender_access > > > > /etc/init.d/postfix restart > > > > Ich bin mir nun nicht sicher ob das Problem nun hierdurch behoben wurde. Auch > aus diesem Grund möchte ich mehr über diesen Vorgang erfahren um in Zukunft > gezielter das Problem angehen zu können. > > > > Im Folgenden Poste ich euch die Nachricht welche von dem unbekannten Server > kam. > > Unseren Mitarbeiter bezeichne ich als YUser(a)unseredomain.de > <<mailto:YUser@unseredomain.de> > und den ursprünglichen Empfänger als > ZUser(a)ZUserdomain.de <<mailto:ZUser@ZUserdomain.de> > . > > Unseren Server Als unseredomain.de <<mailto:YServer@unseredomain.de> > > Fremden > Server als fremdserver.ka <<mailto:ZServer@fremdserver.ka> > . > > > > > > ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- > > Von: Mail Delivery System [<mailto:MAILER-DAEMON@fremdserver.ka> ] > > Gesendet: Freitag, 13. 10 2013 08:33 > > An: Unser, Benutzer > > Betreff: Unzustellbar: xxxx?.. > > Fehler bei der Nachrichtenzustellung an folgende Empfänger oder Gruppen: > > > > ZUser@localhost > > Kommunikationsfehler bei der Zustellung der Nachricht. Versuchen Sie, die > Nachricht zu einem späteren Zeitpunkt erneut zu senden. Wenden Sie sich an > den > Helpdesk, falls das Problem weiterhin besteht. > > > > Diagnoseinformationen für Administratoren: > > Generierender Server: fremdserver.ka <<mailto:ZServer@fremdserver.ka> > > > ZUser@localhost > > #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: > Connection refused> #SMTP# > > > > Ursprüngliche Nachrichtenkopfzeilen: > > > > Received: from fremdserver.ka (localhost.localdomain [127.0.0.1]) > > by fremdserver.ka (Postfix) with ESMTP id F365428D9E6FA > > for <ZUser@localhost>; Tue, 10 Sep 2013 18:11:51 +0200 (CEST) > > X-Envelope-From: <YUser(a)unseredomain.de <<mailto:YUser@unseredomain.de> > > > > X-Envelope-To: <ZUser(a)ZUserdomain.net> > > X-Delivery-Time: 1372409561 > > X-UID: 9074 > > X-RZG-MI-VALUES: bm=0 mafl=1 sh=0 du=0 sp=2,1 vv=1 nf=0 > > X-Strato-MessageType: email > > X-RZG-CLASS-ID: mi > > Received: from post.strato.de [81.169.145.136] > > by fremdserver.ka with POP3 (fetchmail-6.3.6) > > for <ZUser@localhost> (single-drop); Tue, 10 Sep 2013 18:11:51 +0200 > (CEST) > > Received: from unseredomain.de ([85.214.119.99]) > > by mailin.rzone.de (jored mi89) (RZmta 31.28 OK) > > with ESMTP id 705210p5S7f2iX for <ZUser(a)ZUserdomain.net>; > > Fri, 28 Jun 2013 10:52:41 +0200 (CEST) > > Received: from localhost (localhost [127.0.0.1]) > > by unserdomain.de (unsere Group) with ESMTP id EBAF5347C1C3; > > Fri, 28 Jun 2013 10:52:40 +0200 (CEST) > > X-Virus-Scanned: at unseredomain.de > > Received: from unseredomain.de ([127.0.0.1]) > > by localhost (unseredomain.de [127.0.0.1]) (amavisd-new, port 10024) > > with ESMTP id ZY4wU6QYSeWZ; Fri, 28 Jun 2013 10:52:39 +0200 (CEST) > > thread-index: Ac5z3IpchT6iuEijTsqHoEvqRky7Bg== > > Thread-Topic: > =?iso-8859-1?Q?Unseredomain_Pressemitteilung_Karriere-Rating_der_?= > > =?iso-8859-1?Q?DEVK_l=E4uft_aus?= > > From: <YUser <<mailto:YUser@unseredomain.de> > @Unseredomain.de> > > To: > > CC: > > Subject: =?iso-8859-1?Q?Unseredomain__Pressemitteilung_Karriere-Rating_der_?= > > =?iso-8859-1?Q?DEVK_l=E4uft_aus?= > > Date: Fri, 28 Jun 2013 10:50:29 +0200 > > Message-ID: <2D5E8CFD3E6C47F4B84A8CDE4AA13459@oskar6> > > MIME-Version: 1.0 > > Content-Type: text/plain > > X-Mailer: Microsoft CDO for Windows 2000 > > Content-Class: urn:content-classes:message > > Importance: normal > > Priority: normal > > X-AVK-Virus-Check: AVA 22.10615;F1206 > > > ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- > > > > > > > > > > Ich bedanke mich jetzt schon für eure Hilfe. > > Beste Grüße > > Soul > > -------------- nächster Teil -------------- > Ein Dateianhang mit HTML-Daten wurde abgetrennt... > URL: > > <<http://de.postfix.org/pipermail/postfix-users/attachments/20130916/6cc37fde…> > > > > ------------------------------ > > Message: 2 > Date: Tue, 17 Sep 2013 11:29:29 +0200 > From: Ralf Hildebrandt via postfix-users > <postfix-users(a)de.postfix.org> > To: postfix-users(a)de.postfix.org > Subject: Re: [postfix-users] MAILER-DAEMON > Message-ID: <20130917092929.GD12464(a)sys4.de> > Content-Type: text/plain; charset=utf-8 > > > > > Einer unserer Mitarbeiter erhielt unzustellbare Fehlermeldungen, von > > > E-Mails > > welche er vor bereits längerer Zeit rausgeschickt hattte. Der Empfänger an > > dem > > diese Mail geschickt wurde, hatte sich damals in unsere Mailingliste > > eingetragen. Ob die von ihm hinterlegte Mailadresse existiert ist nicht > > sichergestellt. > > > > > Wieso kann der sich dann in eine Eurer Mailinglisten eintragen? > Entshuldige habe mich falsch ausgedrückt. Das ist eine Newsletter Liste. Hier kann sich so ziemlich alles und jeder eintragen. > Standard ist: Ich trage eine Adresse ein, kriege Bestätigungsmail an > DIESE Adresse und DANN, erst DANN und nur DANN, bin ich "drin". > > Alles andere ist problematisch. Aber das hast Du ja gerade selbst > bemerkt > Ja habe ich und wie, hat mich am Freitag den 13. fast den ganzen Abend gekostet. Danke für dein Tipp, dass werde ich mal so weitergeben an die Richtige Abteilung (Webprogrammierer)...:) > > > > Um dem ganzen Abhilfe zu schaffen, habe ich den sendenden Server in die > > sender_access Liste mit einem REJECT wie Folgt aufgenommen. > > > > > > > > Nano sender_access > > > > > > > > *.fremdserver.ka REJECT > > > > > Die syntax gibt es nicht. > > > > > Fremdserver.ka REJECT > > > > > Um zu sagen wie/ob das funktioniert müsste man wissen, wie > sender_access benutzt wird (mit check_sender_access > hash:/etc/postfix/sender_access)? > Ja genau so steht es in der main.cf. check_sender_access hash:/etc/postfix/sender_access > Dann müssen die Mails von einer irgendwas(a)Fremdserver.ka Adresse > gekommen sein - und waren keine Bounces. > > > > > postmap hash:sender_access > > /etc/init.d/postfix restart > > > > > Restart ist nicht nötig. > Dankeschön:) > > > > Ich bin mir nun nicht sicher ob das Problem nun hierdurch behoben wurde. > > Auch > > aus diesem Grund möchte ich mehr über diesen Vorgang erfahren um in > > Zukunft > > gezielter das Problem angehen zu können. > > > > > Na man sollte schon rauskriegen, WARUM da soviele Mails zurückgekommen > sind. Dazu muss man sich den Bounce (oder was auch immer es ist) genau > ansehen, Datumsangaben vergleichen usw. > > > > > Unseren Mitarbeiter bezeichne ich als YUser(a)unseredomain.de > > <<mailto:YUser@unseredomain.de> > und den ursprünglichen Empfänger als > > ZUser(a)ZUserdomain.de <<mailto:ZUser@ZUserdomain.de> > . > > > > > > > > Received: from post.strato.de [81.169.145.136] > > > > by fremdserver.ka with POP3 (fetchmail-6.3.6) > > > > for <ZUser@localhost> (single-drop); Tue, 10 Sep 2013 18:11:51 +0200 > > (CEST) > > > > > Alles lief in eine Mailbox, die wurde per POP und fetchmail abgeholt > > > > > Received: from unseredomain.de ([85.214.119.99]) > > > > by mailin.rzone.de (jored mi89) (RZmta 31.28 OK) > > > > with ESMTP id 705210p5S7f2iX for <ZUser(a)ZUserdomain.net>; > > > > Fri, 28 Jun 2013 10:52:41 +0200 (CEST) > > > > > Seit ÄONEN das erste Mal, denn die Mail ist am 28 Jun 2013 in die POP > Box gekommen, wurde aber erst am 10 Sep 2013 abgeholt. > > Dann hat die Mail 3 Tage auf dem abholenden Postfix gegammelt, der nicht > LMTP mit Dovecot reden konnte: > > #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: > Connection refused> #SMTP# > > Dann ist alles gebounced. > > > ------------------------------ > > Message: 3 > Date: Tue, 17 Sep 2013 11:36:04 +0200 > From: Ralf Hildebrandt via postfix-users > <postfix-users(a)de.postfix.org> > To: postfix-users(a)de.postfix.org > Subject: Re: [postfix-users] MAILER-DAEMON > Message-ID: <20130917093604.GE12464(a)sys4.de> > Content-Type: text/plain; charset=utf-8 > > > > > Seit ÄONEN das erste Mal, denn die Mail ist am 28 Jun 2013 in die POP > > Box gekommen, wurde aber erst am 10 Sep 2013 abgeholt. > > > > Dann hat die Mail 3 Tage auf dem abholenden Postfix gegammelt, der nicht > > LMTP mit Dovecot reden konnte: > > > > #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: > > Connection refused> #SMTP# > > > > Dann ist alles gebounced. > > > > > Übersetzung: > > a) nicht deine Schuld > > b) eigentlich doch deine Schuld, weil die Adresse NIE NIE NIE ohne > Bestätigung auf die Liste hätte kommen dürfen > > Einwand zu b) Das hilft natürlich nicht, wenn das ganze mal korrekt > bestätigt wurde, die DANN ihren Mailserver kaputtgespielt haben und Ihr > OHNE FEHLER immer Mail hingeschickt hat. > > Und nach drei Monaten hat's dann richtig geknallt und alle > "aufgestauten Fehler" kamen en-bloc zurück. > > Schlußfolgerung: > > Ich persönlich würde die Mail von der Adressliste löschen und nicht > weiter drüber nachdenken. Sowas ist relativ unwahrscheinlich. > die Mailadresse habe ich bereits aus der Liste genommen. Habe immer noch Fragezeichen im Kopf aber ich werde dein Tipp annehmen und nicht weiter darüber nachdenken. Vielen dank für die Hilfe.

1 0

Re: [postfix-users] postfix-users Nachrichtensammlung, Band 65, Eintrag 3
by info＠soheyl-larinejad.de via postfix-users 17 Sep '13

17 Sep '13

> postfix-users-request(a)de.postfix.org hat am 17. September 2013 um 12:00 > geschrieben: > > > Um E-Mails an die Liste postfix-users zu schicken, nutzen Sie bitte > die Adresse > > postfix-users(a)de.postfix.org > > Um sich via Web von der Liste zu entfernen oder draufzusetzen: > > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > > oder, via E-Mail, schicken Sie eine E-Mail mit dem Wort 'help' in > Subject/Betreff oder im Text an > > postfix-users-request(a)de.postfix.org > > Sie koennen den Listenverwalter dieser Liste unter der Adresse > > postfix-users-owner(a)de.postfix.org > > erreichen > > Wenn Sie antworten, bitte editieren Sie die Subject/Betreff auf einen > sinnvollen Inhalt der spezifischer ist als "Re: Contents of > postfix-users digest..." > > > Meldungen des Tages: > > 1. MAILER-DAEMON (info(a)soheyl-larinejad.de via postfix-users) > 2. Re: MAILER-DAEMON (Ralf Hildebrandt via postfix-users) > 3. Re: MAILER-DAEMON (Ralf Hildebrandt via postfix-users) > > > ---------------------------------------------------------------------- > > Message: 1 > Date: Mon, 16 Sep 2013 15:57:22 +0200 (CEST) > From: "info(a)soheyl-larinejad.de via postfix-users" > <postfix-users(a)de.postfix.org> > To: postfix-users(a)de.postfix.org > Subject: [postfix-users] MAILER-DAEMON > Message-ID: > <125367553.240757.1379339842442.open-xchange(a)email.1und1.de> > Content-Type: text/plain; charset="utf-8" > > Hallo zusammen, > > > > ich bin in dem Thema Postfix noch nicht so versiert und arbeite mich gerade > rein. > > Letzte Woche hatte ich einen Vorfall, den ich nicht verstanden habe oder > besser > gesagt verstehen möchte. Ich hoffe ihr könnt mir weiterhelfen. > > Einer unserer Mitarbeiter erhielt unzustellbare Fehlermeldungen, von E-Mails > welche er vor bereits längerer Zeit rausgeschickt hattte. Der Empfänger an dem > diese Mail geschickt wurde, hatte sich damals in unsere Mailingliste > eingetragen. Ob die von ihm hinterlegte Mailadresse existiert ist nicht > sichergestellt. > > Das Postfach von unserem Mitarbeiter war innerhalb sehr kurzer Zeit mit > mehreren > hundert Mails gefüllt und es hörte nicht mehr auf. Und immer wieder der selber > Server der die Antwort lieferte. > > Um dem ganzen Abhilfe zu schaffen, habe ich den sendenden Server in die > sender_access Liste mit einem REJECT wie Folgt aufgenommen. > > > > Nano sender_access > > > > *.fremdserver.ka REJECT > > Fremdserver.ka REJECT > > > > postmap hash:sender_access > > > > /etc/init.d/postfix restart > > > > Ich bin mir nun nicht sicher ob das Problem nun hierdurch behoben wurde. Auch > aus diesem Grund möchte ich mehr über diesen Vorgang erfahren um in Zukunft > gezielter das Problem angehen zu können. > > > > Im Folgenden Poste ich euch die Nachricht welche von dem unbekannten Server > kam. > > Unseren Mitarbeiter bezeichne ich als YUser(a)unseredomain.de > <mailto:YUser@unseredomain.de> und den ursprünglichen Empfänger als > ZUser(a)ZUserdomain.de <mailto:ZUser@ZUserdomain.de> . > > Unseren Server Als unseredomain.de <mailto:YServer@unseredomain.de> Fremden > Server als fremdserver.ka <mailto:ZServer@fremdserver.ka> . > > > > > ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- > > Von: Mail Delivery System [mailto:MAILER-DAEMON@fremdserver.ka] > > Gesendet: Freitag, 13. 10 2013 08:33 > > An: Unser, Benutzer > > Betreff: Unzustellbar: xxxx?.. > > Fehler bei der Nachrichtenzustellung an folgende Empfänger oder Gruppen: > > > > ZUser@localhost > > Kommunikationsfehler bei der Zustellung der Nachricht. Versuchen Sie, die > Nachricht zu einem späteren Zeitpunkt erneut zu senden. Wenden Sie sich an den > Helpdesk, falls das Problem weiterhin besteht. > > > > Diagnoseinformationen für Administratoren: > > Generierender Server: fremdserver.ka <mailto:ZServer@fremdserver.ka> > > ZUser@localhost > > #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: > Connection refused> #SMTP# > > > > Ursprüngliche Nachrichtenkopfzeilen: > > > > Received: from fremdserver.ka (localhost.localdomain [127.0.0.1]) > > by fremdserver.ka (Postfix) with ESMTP id F365428D9E6FA > > for <ZUser@localhost>; Tue, 10 Sep 2013 18:11:51 +0200 (CEST) > > X-Envelope-From: <YUser(a)unseredomain.de <mailto:YUser@unseredomain.de> > > > X-Envelope-To: <ZUser(a)ZUserdomain.net> > > X-Delivery-Time: 1372409561 > > X-UID: 9074 > > X-RZG-MI-VALUES: bm=0 mafl=1 sh=0 du=0 sp=2,1 vv=1 nf=0 > > X-Strato-MessageType: email > > X-RZG-CLASS-ID: mi > > Received: from post.strato.de [81.169.145.136] > > by fremdserver.ka with POP3 (fetchmail-6.3.6) > > for <ZUser@localhost> (single-drop); Tue, 10 Sep 2013 18:11:51 +0200 > (CEST) > > Received: from unseredomain.de ([85.214.119.99]) > > by mailin.rzone.de (jored mi89) (RZmta 31.28 OK) > > with ESMTP id 705210p5S7f2iX for <ZUser(a)ZUserdomain.net>; > > Fri, 28 Jun 2013 10:52:41 +0200 (CEST) > > Received: from localhost (localhost [127.0.0.1]) > > by unserdomain.de (unsere Group) with ESMTP id EBAF5347C1C3; > > Fri, 28 Jun 2013 10:52:40 +0200 (CEST) > > X-Virus-Scanned: at unseredomain.de > > Received: from unseredomain.de ([127.0.0.1]) > > by localhost (unseredomain.de [127.0.0.1]) (amavisd-new, port 10024) > > with ESMTP id ZY4wU6QYSeWZ; Fri, 28 Jun 2013 10:52:39 +0200 (CEST) > > thread-index: Ac5z3IpchT6iuEijTsqHoEvqRky7Bg== > > Thread-Topic: > =?iso-8859-1?Q?Unseredomain_Pressemitteilung_Karriere-Rating_der_?= > > =?iso-8859-1?Q?DEVK_l=E4uft_aus?= > > From: <YUser <mailto:YUser@unseredomain.de> @Unseredomain.de> > > To: > > CC: > > Subject: =?iso-8859-1?Q?Unseredomain__Pressemitteilung_Karriere-Rating_der_?= > > =?iso-8859-1?Q?DEVK_l=E4uft_aus?= > > Date: Fri, 28 Jun 2013 10:50:29 +0200 > > Message-ID: <2D5E8CFD3E6C47F4B84A8CDE4AA13459@oskar6> > > MIME-Version: 1.0 > > Content-Type: text/plain > > X-Mailer: Microsoft CDO for Windows 2000 > > Content-Class: urn:content-classes:message > > Importance: normal > > Priority: normal > > X-AVK-Virus-Check: AVA 22.10615;F1206 > > ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- > > > > > > > > > > Ich bedanke mich jetzt schon für eure Hilfe. > > Beste Grüße > > Soul > > -------------- nächster Teil -------------- > Ein Dateianhang mit HTML-Daten wurde abgetrennt... > URL: > <http://de.postfix.org/pipermail/postfix-users/attachments/20130916/6cc37fde…> > > ------------------------------ > > Message: 2 > Date: Tue, 17 Sep 2013 11:29:29 +0200 > From: Ralf Hildebrandt via postfix-users > <postfix-users(a)de.postfix.org> > To: postfix-users(a)de.postfix.org > Subject: Re: [postfix-users] MAILER-DAEMON > Message-ID: <20130917092929.GD12464(a)sys4.de> > Content-Type: text/plain; charset=utf-8 > > > Einer unserer Mitarbeiter erhielt unzustellbare Fehlermeldungen, von E-Mails > > welche er vor bereits längerer Zeit rausgeschickt hattte. Der Empfänger an > > dem > > diese Mail geschickt wurde, hatte sich damals in unsere Mailingliste > > eingetragen. Ob die von ihm hinterlegte Mailadresse existiert ist nicht > > sichergestellt. > > Wieso kann der sich dann in eine Eurer Mailinglisten eintragen? Entshuldige habe mich falsch ausgedrückt. Das ist eine Newsletter Liste. Hier kann sich so ziemlich alles und jeder eintragen. > > Standard ist: Ich trage eine Adresse ein, kriege Bestätigungsmail an > DIESE Adresse und DANN, erst DANN und nur DANN, bin ich "drin". > > Alles andere ist problematisch. Aber das hast Du ja gerade selbst > bemerkt :) Ja habe ich und wie, hat mich am Freitag den 13. fast den ganzen Abend gekostet. Danke für dein Tipp, dass werde ich mal so weitergeben an die Richtige Abteilung (Webprogrammierer)...:) > > > Um dem ganzen Abhilfe zu schaffen, habe ich den sendenden Server in die > > sender_access Liste mit einem REJECT wie Folgt aufgenommen. > > > > > > > > Nano sender_access > > > > > > > > *.fremdserver.ka REJECT > > Die syntax gibt es nicht. > > > Fremdserver.ka REJECT > > Um zu sagen wie/ob das funktioniert müsste man wissen, wie > sender_access benutzt wird (mit check_sender_access > hash:/etc/postfix/sender_access)? Ja genau so steht es in der main.cf. check_sender_access hash:/etc/postfix/sender_access > > Dann müssen die Mails von einer irgendwas(a)Fremdserver.ka Adresse > gekommen sein - und waren keine Bounces. > > > postmap hash:sender_access > > /etc/init.d/postfix restart > > Restart ist nicht nötig. Dankeschön:) > > > Ich bin mir nun nicht sicher ob das Problem nun hierdurch behoben wurde. > > Auch > > aus diesem Grund möchte ich mehr über diesen Vorgang erfahren um in Zukunft > > gezielter das Problem angehen zu können. > > Na man sollte schon rauskriegen, WARUM da soviele Mails zurückgekommen > sind. Dazu muss man sich den Bounce (oder was auch immer es ist) genau > ansehen, Datumsangaben vergleichen usw. > > > Unseren Mitarbeiter bezeichne ich als YUser(a)unseredomain.de > > <mailto:YUser@unseredomain.de> und den ursprünglichen Empfänger als > > ZUser(a)ZUserdomain.de <mailto:ZUser@ZUserdomain.de> . > > > Received: from post.strato.de [81.169.145.136] > > > > by fremdserver.ka with POP3 (fetchmail-6.3.6) > > > > for <ZUser@localhost> (single-drop); Tue, 10 Sep 2013 18:11:51 +0200 > > (CEST) > > Alles lief in eine Mailbox, die wurde per POP und fetchmail abgeholt > > > Received: from unseredomain.de ([85.214.119.99]) > > > > by mailin.rzone.de (jored mi89) (RZmta 31.28 OK) > > > > with ESMTP id 705210p5S7f2iX for <ZUser(a)ZUserdomain.net>; > > > > Fri, 28 Jun 2013 10:52:41 +0200 (CEST) > > Seit ÄONEN das erste Mal, denn die Mail ist am 28 Jun 2013 in die POP > Box gekommen, wurde aber erst am 10 Sep 2013 abgeholt. > > Dann hat die Mail 3 Tage auf dem abholenden Postfix gegammelt, der nicht > LMTP mit Dovecot reden konnte: > > #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: > Connection refused> #SMTP# > > Dann ist alles gebounced. > > > ------------------------------ > > Message: 3 > Date: Tue, 17 Sep 2013 11:36:04 +0200 > From: Ralf Hildebrandt via postfix-users > <postfix-users(a)de.postfix.org> > To: postfix-users(a)de.postfix.org > Subject: Re: [postfix-users] MAILER-DAEMON > Message-ID: <20130917093604.GE12464(a)sys4.de> > Content-Type: text/plain; charset=utf-8 > > > Seit ÄONEN das erste Mal, denn die Mail ist am 28 Jun 2013 in die POP > > Box gekommen, wurde aber erst am 10 Sep 2013 abgeholt. > > > > Dann hat die Mail 3 Tage auf dem abholenden Postfix gegammelt, der nicht > > LMTP mit Dovecot reden konnte: > > > > #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: > > Connection refused> #SMTP# > > > > Dann ist alles gebounced. > > Übersetzung: > > a) nicht deine Schuld > > b) eigentlich doch deine Schuld, weil die Adresse NIE NIE NIE ohne > Bestätigung auf die Liste hätte kommen dürfen > > Einwand zu b) Das hilft natürlich nicht, wenn das ganze mal korrekt > bestätigt wurde, die DANN ihren Mailserver kaputtgespielt haben und Ihr > OHNE FEHLER immer Mail hingeschickt hat. > > Und nach drei Monaten hat's dann richtig geknallt und alle > "aufgestauten Fehler" kamen en-bloc zurück. > > Schlußfolgerung: > > Ich persönlich würde die Mail von der Adressliste löschen und nicht > weiter drüber nachdenken. Sowas ist relativ unwahrscheinlich. die Mailadresse habe ich bereits aus der Liste genommen. Habe immer noch Fragezeichen im Kopf aber ich werde dein Tipp annehmen und nicht weiter darüber nachdenken. Vielen dank für die Hilfe. > > -- > [*] sys4 AG > > http://sys4.de, +49 (89) 30 90 46 64 > Franziskanerstraße 15, 81669 München > > Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 > Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer > Aufsichtsratsvorsitzender: Florian Kirstein > > > ------------------------------ > > Subject: Fusszeile der Nachrichtensammlung > > _______________________________________________ > postfix-users mailing list > postfix-users(a)de.postfix.org > http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users > > > ------------------------------ > > Ende postfix-users Nachrichtensammlung, Band 65, Eintrag 3 > **********************************************************

1 0

[postfix-users] MAILER-DAEMON
by info＠soheyl-larinejad.de via postfix-users 17 Sep '13

17 Sep '13

Hallo zusammen, ich bin in dem Thema Postfix noch nicht so versiert und arbeite mich gerade rein. Letzte Woche hatte ich einen Vorfall, den ich nicht verstanden habe oder besser gesagt verstehen möchte. Ich hoffe ihr könnt mir weiterhelfen. Einer unserer Mitarbeiter erhielt unzustellbare Fehlermeldungen, von E-Mails welche er vor bereits längerer Zeit rausgeschickt hattte. Der Empfänger an dem diese Mail geschickt wurde, hatte sich damals in unsere Mailingliste eingetragen. Ob die von ihm hinterlegte Mailadresse existiert ist nicht sichergestellt. Das Postfach von unserem Mitarbeiter war innerhalb sehr kurzer Zeit mit mehreren hundert Mails gefüllt und es hörte nicht mehr auf. Und immer wieder der selber Server der die Antwort lieferte. Um dem ganzen Abhilfe zu schaffen, habe ich den sendenden Server in die sender_access Liste mit einem REJECT wie Folgt aufgenommen. Nano sender_access *.fremdserver.ka REJECT Fremdserver.ka REJECT postmap hash:sender_access /etc/init.d/postfix restart Ich bin mir nun nicht sicher ob das Problem nun hierdurch behoben wurde. Auch aus diesem Grund möchte ich mehr über diesen Vorgang erfahren um in Zukunft gezielter das Problem angehen zu können. Im Folgenden Poste ich euch die Nachricht welche von dem unbekannten Server kam. Unseren Mitarbeiter bezeichne ich als YUser(a)unseredomain.de <mailto:YUser@unseredomain.de> und den ursprünglichen Empfänger als ZUser(a)ZUserdomain.de <mailto:ZUser@ZUserdomain.de> . Unseren Server Als unseredomain.de <mailto:YServer@unseredomain.de> Fremden Server als fremdserver.ka <mailto:ZServer@fremdserver.ka> . ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- Von: Mail Delivery System [mailto:MAILER-DAEMON@fremdserver.ka] Gesendet: Freitag, 13. 10 2013 08:33 An: Unser, Benutzer Betreff: Unzustellbar: xxxx….. Fehler bei der Nachrichtenzustellung an folgende Empfänger oder Gruppen: ZUser@localhost Kommunikationsfehler bei der Zustellung der Nachricht. Versuchen Sie, die Nachricht zu einem späteren Zeitpunkt erneut zu senden. Wenden Sie sich an den Helpdesk, falls das Problem weiterhin besteht. Diagnoseinformationen für Administratoren: Generierender Server: fremdserver.ka <mailto:ZServer@fremdserver.ka> ZUser@localhost #< #4.4.1 X-Postfix; connect to fremdserver.ka[/var/lib/imap/socket/lmtp]: Connection refused> #SMTP# Ursprüngliche Nachrichtenkopfzeilen: Received: from fremdserver.ka (localhost.localdomain [127.0.0.1]) by fremdserver.ka (Postfix) with ESMTP id F365428D9E6FA for <ZUser@localhost>; Tue, 10 Sep 2013 18:11:51 +0200 (CEST) X-Envelope-From: <YUser(a)unseredomain.de <mailto:YUser@unseredomain.de> > X-Envelope-To: <ZUser(a)ZUserdomain.net> X-Delivery-Time: 1372409561 X-UID: 9074 X-RZG-MI-VALUES: bm=0 mafl=1 sh=0 du=0 sp=2,1 vv=1 nf=0 X-Strato-MessageType: email X-RZG-CLASS-ID: mi Received: from post.strato.de [81.169.145.136] by fremdserver.ka with POP3 (fetchmail-6.3.6) for <ZUser@localhost> (single-drop); Tue, 10 Sep 2013 18:11:51 +0200 (CEST) Received: from unseredomain.de ([85.214.119.99]) by mailin.rzone.de (jored mi89) (RZmta 31.28 OK) with ESMTP id 705210p5S7f2iX for <ZUser(a)ZUserdomain.net>; Fri, 28 Jun 2013 10:52:41 +0200 (CEST) Received: from localhost (localhost [127.0.0.1]) by unserdomain.de (unsere Group) with ESMTP id EBAF5347C1C3; Fri, 28 Jun 2013 10:52:40 +0200 (CEST) X-Virus-Scanned: at unseredomain.de Received: from unseredomain.de ([127.0.0.1]) by localhost (unseredomain.de [127.0.0.1]) (amavisd-new, port 10024) with ESMTP id ZY4wU6QYSeWZ; Fri, 28 Jun 2013 10:52:39 +0200 (CEST) thread-index: Ac5z3IpchT6iuEijTsqHoEvqRky7Bg== Thread-Topic: =?iso-8859-1?Q?Unseredomain_Pressemitteilung_Karriere-Rating_der_?= =?iso-8859-1?Q?DEVK_l=E4uft_aus?= From: <YUser <mailto:YUser@unseredomain.de> @Unseredomain.de> To: CC: Subject: =?iso-8859-1?Q?Unseredomain__Pressemitteilung_Karriere-Rating_der_?= =?iso-8859-1?Q?DEVK_l=E4uft_aus?= Date: Fri, 28 Jun 2013 10:50:29 +0200 Message-ID: <2D5E8CFD3E6C47F4B84A8CDE4AA13459@oskar6> MIME-Version: 1.0 Content-Type: text/plain X-Mailer: Microsoft CDO for Windows 2000 Content-Class: urn:content-classes:message Importance: normal Priority: normal X-AVK-Virus-Check: AVA 22.10615;F1206 ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- Ich bedanke mich jetzt schon für eure Hilfe. Beste Grüße Soul

2 2

[postfix-users] Erkennen von Absenderfälschungen bei Phishing Mails
by Stephan Jacob via postfix-users 02 Sep '13

02 Sep '13

Hallo Liebe Postfix-Gemeinde, ich habe folgendes Problem/Vorhaben: Im Zuge von Phishing-Bekämpfung wollen wir Mails, die einen Absender aus unseren Domains haben aber nicht von Clients aus unserem Netzwerk stammen ablehnen. Ziel ist es Phishing-Nachrichten mit gefälschten Absender zu erkennen. (Wir haben ein extra SMTP-Relay, über welches die Leute normal auch von extern über Authentifizierung senden können und wo diese Regel nicht greift). Das ganze habe ich wie folgt umgesetzt: Es gibt eine check_sender_access Regel, die, wenn eine Absender Adresse aus unserer Domain ist, eine eigene Restriction Class aufruft. In dieser Class ist eine client_access_restriction angelegt, die immer dann rejectet, wenn die IP nicht aus unserem Netz stammt. Das Ganze funktioniert auch sehr gut. Aber nun mein Problem: Wir haben bei uns Organisationen (z.B. der Studentenrat) die eine eigene Domain haben und diese auch extern hosten lassen. Dort haben die Leute auch eine Mail-Adresse in dieser Domain bei dem externen Anbieter. Da den Leuten es aber zu aufwendig ist diese Postfächer abzurufen haben einige eine Weiterleitung auf ihr Uni Magdeburg Adresse angelegt (die Mitglieder dieser Organisationen sind auch Mitglieder unserer Uni). Wenn jetzt jemand von der Uni Magdeburg eine Mail an die Adresse des Studentenrates sendet, dann geht diese raus zu dem externen Dienstleister und wird von dort wieder rein zu uns gesendet (Weiterleitung). Dabei bleibt der Absender erhalten (sprich eine Uni-Magdeburg Adresse ist Absender) aber der Client meldet sich natürlich mit einer IP die nicht in unserem Netzwerk liegt (die IP des externen Hosters). Das heißt entsprechend meiner Restriction würde die Mail abgelehnt werden, da der Absender von intern kommt und die Mail von einem externen Client. Das soll sie aber nicht, da es eine "legale" Mail ist. Bei Weiterleitungen von bspw. GMX konnte ich das Problem in einem ersten Test nicht feststellen, da bei GMX anscheinend ein neuer Envelope gesetzt wird, wo der Absender für die weitergeleitete Mail die GMX-Mail-Adresse, an welche gesendet wurde, ist. Da greift meine Regel korrekter Weise nicht, da es eine externe Domain im Absender ist und eine externe Client-IP vorliegt. Ich hoffe ich konnte die Situation und das Problem einigermaßen beschreiben. Jetzt die Frage, wie kann ich, ohne solche gewollten Mails zu blocken, sinnvoll Mails von außen blocken, die unrechtmäßiger Weise eine Adresse aus unserer Domain als Absender angeben? Wie macht ihr sowas, bzw. ist es überhaupt sinnvoll und machbar zuverlässig solche Mails zu blocken? Ich würde mich über ein paar Denkanstöße sehr freuen. Viele Grüße aus Magdeburg Stephan Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

3 2

[postfix-users] Split-Domain-Setup
by Klaus Rörig via postfix-users 27 Aug '13

27 Aug '13

Hallo Liste, ich sehe hier grad den Wald vor lauter Bäumen nicht mehr. Folgendes Szenario: 1 Domain: meinedomain.de 2 Server mit Postfächern (90% auf Server1, Rest auf Server2) Beide Server fühlen sich für meinedomain.de zuständig (virtual_alias_domains) MX für meinedomain.de ist Server1 mit Dovecot für IMAP/POP3 Bestimmte Adressen sollen nun an Server durch gereicht werden. Und hier komm ich grad nicht weiter. Ich dachte mir eigentlich ich lege eine transport_map an mit folgendem Inhalt: user(a)meinedomain.de smtp:[server2] Aber diesen Eintrag ignoriert Posfix geflissentlich und meldet "User unknown in virtual alias table" postconf -n: alias_database = hash:/etc/aliases alias_maps = hash:/etc/aliases, ldap:/etc/postfix/ldap-forwards.cf append_dot_mydomain = no biff = no broken_sasl_auth_clients = yes canonical_maps = hash:/etc/postfix/canonical config_directory = /etc/postfix debug_peer_level = 2 debug_peer_list = localhost, 127.0.0.1 delay_warning_time = 4h inet_interfaces = all local_header_rewrite_clients = static:all mailbox_size_limit = 0 mailbox_transport = lmtp:unix:private/dovecot-lmtp message_size_limit = 524288000 mydestination = mx.meinedomain.de, 127.0.0.1 myhostname = mx.meinedomain.de mynetworks = 192.168.17.0/24 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128 myorigin = /etc/mailname readme_directory = no recipient_delimiter = + relayhost = smtp_sasl_auth_enable = yes smtp_sasl_password_maps = hash:/etc/postfix/saslpass smtp_sasl_security_options = noanonymous smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU) smtpd_delay_reject = no smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unknown_helo_hostname, reject_unauth_destination smtpd_sasl_auth_enable = yes smtpd_sasl_authenticated_header = yes smtpd_sasl_path = private/auth smtpd_sasl_security_options = noanonymous smtpd_sasl_type = dovecot smtpd_sender_login_maps = ldap:/etc/postfix/ldap-sender-maps.cf smtpd_sender_restrictions = permit_mynetworks, reject_unknown_sender_domain smtpd_tls_cert_file = /etc/ssl/private/cert.pem smtpd_tls_key_file = /etc/ssl/private/privatekey.pem smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache smtpd_use_tls = yes transport_maps = hash:/etc/postfix/transports virtual_alias_domains = meindomain.de virtual_alias_expansion_limit = 2000 virtual_alias_maps = hash:/etc/postfix/virtual-aliases, mysql:/etc/postfix/ mysql-virtual-aliases.cf, ldap:/etc/postfix/ldap-virtual-group-aliases.cf, ldap:/etc/postfix/ldap-virtual-aliases.cf transports: irgendwas(a)meinedomain.de smtp:[server2] Die virtual_aliases sind in der Form mailuser(a)meinedomain.de postfachname Wo habe ich meinen Denkfehler? Danke & Gruß, Klaus

2 1

[postfix-users] OT: Exchange 2013 Empfängervalidierung
by Thomas Antony via postfix-users 17 Aug '13

17 Aug '13

Hallo Ich konfiguriere gerade eben einen Postfix vor einem Exchange 2013 und bin auf Robert Schetterer Hinweis zu Exchange 2013 Empfängervalidierung aufmerksam geworden. Ich kann bestätigen das Exchange 2013 erst nach (!!!) DATA ein "550 5.1.1 User unknown*" *auswirft und die Email abweist. Somit hat es sich mit "reject_unverified_recipient" erledigt. Ist das Exchange 2013 Verhalten RFC konform bei "RCPT TO" ein OK auszugeben und erst nach DATA die Email mit "550 5.1.1 User unknown" abzuweisen? Was für Alternativen gibt es zu "reject_unverified_recipient bei diesem Szenario? Grüße, Thomas Antony

2 5

[postfix-users] Forward Secrecy
by Jochen Fahrner via postfix-users 16 Aug '13

16 Aug '13

Hallo, hat jemand den Artikel "verpfuschte Verschlüsselung" in der c't gelesen? http://www.heise.de/newsticker/meldung/Verschluesselung-bei-Mail-in-Germany… Wie müsste man Postfix Server und Client konfigurieren um immer die bestmögliche Verschlüsselung (je nach Gegenüber) zu verwenden? Hat der Client da überhaupt ein Wörtchen mitzureden, oder bestimmt das immer der Server? -- Mit besten Grüßen Jochen Fahrner

7 42

[postfix-users] ANN: Änderung der List-Policy: DMARC
by Patrick Ben Koetter via postfix-users 16 Aug '13

16 Aug '13

Hallo postfix-users(a)de.postfix.org, ein neuer Standard kündigt sich an: DMARC Dieser Standard announced Delivery-Policies für Nachrichten, die DKIM-signiert sind und/oder SPF-Einträge im DNS führen. Die Delivery-Policies sehen als Standard vor, Nachrichten zu rejecten, wenn sie nicht mehr im 'alignment' mit DMARC-Tests sind. Heutige Mailinglisten-Manager zerstören DMARC-Prüfkritieren. Wir haben deshalb diesen List-Server so modifiziert, dass er die DMARC-Prüfkritieren intakt beläßt. Ihr erkennt es daran, dass der From:-Header oben jetzt immer den Autoren UND die Liste als Absender benennt. Diese Mail sollte folgende From:-Header haben: Patrick Ben Koetter via postfix-users <postfix-users(a)de.postfix.org> Gleichzeitig wird ein Reply-To:-Header gesetzt: Reply-To: Patrick Ben Koetter <p(a)sys4.de> Mehr Hintergrund dazu und wie ihr das selber umsetzen könnt, haben Ralf, Robert und ich hier dokumentiert: <http://sys4.de/de/blog/2013/08/11/mailman-dmarc-konform-betreiben/> <http://sys4.de/de/blog/2013/08/11/dkim-konforme-mailinglisten/> <http://sys4.de/de/blog/2013/04/15/dmarc-standard-um-missbrauch-von-mailadre…> Happy Mailing! p@rick -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

5 16

[postfix-users] Test ohne S/MIME
by via postfix-users 15 Aug '13

15 Aug '13

Hm, sieht so aus als ob die Listen-Software S/MIME mail auffrisst. Die unten aufgeführte ist bis jetzt nicht auf der Liste erschienen :-( Aug 14 11:19:27 mailer postfix/qmgr[31083]: A47221811BB: from=<lst_hoe02(a)kwsoft.de>, size=12099, nrcpt=1 (queue active) Aug 14 11:19:27 mailer postfix/smtpd[11670]: disconnect from localhost[127.0.0.1] Aug 14 11:19:29 mailer postfix/smtp[11674]: A47221811BB: to=<postfix-users(a)de.postfix.org>, relay=de.postfix.org[141.42.206.35]:25, delay=1.6, delays=0.04/0.01/0.36/1.2, dsn=2.0.0, status=sent (250 2.0.0 from MTA(smtp:[127.0.0.1]:10025): 250 2.0.0 Ok: queued as 399BD3D48F) Aug 14 11:19:29 mailer postfix/qmgr[31083]: A47221811BB: removed Gruß Andreas

3 6

[postfix-users] Postfix TLS Forward Secrecy
by Andreas Reschke via postfix-users 15 Aug '13

15 Aug '13

Hallo zusammen, bei mir sieht das so aus: [root@mail ~]# openssl s_client -CAfile /etc/certs/rirasoft.crt -starttls smtp -connect mail.rirasoft.de:25 CONNECTED(00000003) depth=0 serialNumber = IZDjLkv72AEo8rSecWf7wiT3bzjQAzoP, C = DE, O = www.rirasoft.de, OU = GT56989536, OU = See www.rapidssl.com/resources/cps (c)11, OU = Domain Control Validated - RapidSSL(R), CN = www.rirasoft.de verify error:num=20:unable to get local issuer certificate verify return:1 depth=0 serialNumber = IZDjLkv72AEo8rSecWf7wiT3bzjQAzoP, C = DE, O = www.rirasoft.de, OU = GT56989536, OU = See www.rapidssl.com/resources/cps (c)11, OU = Domain Control Validated - RapidSSL(R), CN = www.rirasoft.de verify error:num=27:certificate not trusted verify return:1 depth=0 serialNumber = IZDjLkv72AEo8rSecWf7wiT3bzjQAzoP, C = DE, O = www.rirasoft.de, OU = GT56989536, OU = See www.rapidssl.com/resources/cps (c)11, OU = Domain Control Validated - RapidSSL(R), CN = www.rirasoft.de verify error:num=21:unable to verify the first certificate verify return:1 --- Certificate chain 0 s:/serialNumber=IZDjLkv72AEo8rSecWf7wiT3bzjQAzoP/C=DE/O=www.rirasoft.de/OU=GT56989536/OU=See www.rapidssl.com/resources/cps (c)11/OU=Domain Control Validated - RapidSSL(R)/CN=www.rirasoft.de i:/C=US/O=GeoTrust, Inc./CN=RapidSSL CA --- Server certificate -----BEGIN CERTIFICATE----- MIIE2zCCA8OgAwIBAgIDAz5WMA0GCSqGSIb3DQEBBQUAMDwxCzAJBgNVBAYTAlVT MRcwFQYDVQQKEw5HZW9UcnVzdCwgSW5jLjEUMBIGA1UEAxMLUmFwaWRTU0wgQ0Ew HhcNMTEwOTE5MTY1MDM3WhcNMTQwOTIyMTI1NzMwWjCB5TEpMCcGA1UEBRMgSVpE akxrdjcyQUVvOHJTZWNXZjd3aVQzYnpqUUF6b1AxCzAJBgNVBAYTAkRFMRgwFgYD VQQKEw93d3cucmlyYXNvZnQuZGUxEzARBgNVBAsTCkdUNTY5ODk1MzYxMTAvBgNV BAsTKFNlZSB3d3cucmFwaWRzc2wuY29tL3Jlc291cmNlcy9jcHMgKGMpMTExLzAt BgNVBAsTJkRvbWFpbiBDb250cm9sIFZhbGlkYXRlZCAtIFJhcGlkU1NMKFIpMRgw FgYDVQQDEw93d3cucmlyYXNvZnQuZGUwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAw ggEKAoIBAQCfGXltVNyBB2vp7Azft5wEZlwOu11i4pcSG1dfIuMjRMx2I5oWaVBU OkEALaJDLZj8rGRrU9Pp7SMbPnrKCKeAozQsRuv2wBVGYXu7EVtNVZGJZFdR4SXi +GFGR7sgEvdO3C9y3mhJVTaXpFgIBCCOVa/0Q25MFFADdmSXKL2MjaQYCmF4uRnt RhARiVM1dswi/bi0wBVrUVVhn7Zi6Mg/nxEqZpfc9tZazMY1T7o8hzZiGEqiMR7o //x1+yTTlq9sGSz20QcF92cnbUnqQbYRhJO0V3UDyoyE0JRajGYHziYIiV1HwVhP UeLlxBwNgQGHE1axhSo9WRYOf35tMmjjAgMBAAGjggE6MIIBNjAfBgNVHSMEGDAW gBRraT1qGEJK3Y8CZTn9NSSGeJEWMDAOBgNVHQ8BAf8EBAMCBaAwHQYDVR0lBBYw FAYIKwYBBQUHAwEGCCsGAQUFBwMCMCcGA1UdEQQgMB6CD3d3dy5yaXJhc29mdC5k ZYILcmlyYXNvZnQuZGUwQwYDVR0fBDwwOjA4oDagNIYyaHR0cDovL3JhcGlkc3Ns LWNybC5nZW90cnVzdC5jb20vY3Jscy9yYXBpZHNzbC5jcmwwHQYDVR0OBBYEFDfa Qm03+c8EO//dZ0X0/qFJIDMnMAwGA1UdEwEB/wQCMAAwSQYIKwYBBQUHAQEEPTA7 MDkGCCsGAQUFBzAChi1odHRwOi8vcmFwaWRzc2wtYWlhLmdlb3RydXN0LmNvbS9y YXBpZHNzbC5jcnQwDQYJKoZIhvcNAQEFBQADggEBADkmBmzkZoFl7ibB1UQTpzb1 0aPfmzMrEOTsegHkjHqlrFzPmWI+RULn65wNxZihUsANZNMcIgBXJy2MNK/OVaWM d/VqFYr6eeP8B+wszsmL413V33JOP+5ZwsAWk7Ik1IJ50SDnBee2lIyLgvbwXC71 WLLyMCZYhdrgozXtzoY9vb6YIWG5892zmyUVUgAq4F8jdgZFzV5N+HyCB2xDfZFL 0iDVv2AqtAz7udOj71arEBsGF4PIG8k9RfubbrHm4N2Ef5Vrf5kGMXFxABSEhZNc UO8Qo0w0Q5T63y9NXI8WkCNtlDoMox1V3wB85tVa9tuAZUJxKmLbhFkzhmwxqnU= -----END CERTIFICATE----- subject=/serialNumber=IZDjLkv72AEo8rSecWf7wiT3bzjQAzoP/C=DE/O=www.rirasoft.de/OU=GT56989536/OU=See www.rapidssl.com/resources/cps (c)11/OU=Domain Control Validated - RapidSSL(R)/CN=www.rirasoft.de issuer=/C=US/O=GeoTrust, Inc./CN=RapidSSL CA --- No client certificate CA names sent --- SSL handshake has read 2291 bytes and written 345 bytes --- New, TLSv1/SSLv3, Cipher is DHE-RSA-AES256-SHA Server public key is 2048 bit Secure Renegotiation IS supported Compression: NONE Expansion: NONE SSL-Session: Protocol : TLSv1 Cipher : DHE-RSA-AES256-SHA Session-ID: 1857A4CA89E4B7F4E60A00549E6E5F31E95BEC3EEBBB44ED1DF9CA92850BD467 Session-ID-ctx: Master-Key: 6E305107B737E85CD36796591E42750976B4889EE80F7A9C867DE3839834D7FB609953B70C780B3A809D3D13EA37C934 Key-Arg : None Krb5 Principal: None PSK identity: None PSK identity hint: None TLS session ticket: 0000 - 4a 49 24 17 74 92 68 a5-1c 60 d5 fc 0f 77 dd 47 JI$.t.h..`...w.G 0010 - 26 03 fc 4f 11 76 cd 06-e6 84 cb 34 2b ac e7 2e &..O.v.....4+... 0020 - 9b a7 76 96 99 9e 36 ac-62 52 02 ed 78 70 d1 4c ..v...6.bR..xp.L 0030 - 2a bb a1 95 ae 1d 54 d4-86 e9 b6 78 e8 58 18 84 *.....T....x.X.. 0040 - 76 12 de 13 82 36 41 09-a4 a5 cd 2d 53 ca a0 5e v....6A....-S..^ 0050 - 67 63 96 22 0a b5 d8 18-0e 76 f0 a6 6f 28 e3 eb gc.".....v..o(.. 0060 - b2 2e f4 a5 a5 05 62 da-c7 00 22 51 a3 84 47 8a ......b..."Q..G. 0070 - d8 37 23 1b 42 73 bf fe-70 b1 28 e1 36 24 9e 1e .7#.Bs..p.(.6$.. 0080 - c8 30 67 87 ae e6 e5 56-05 aa 71 3b bc a1 3b ec .0g....V..q;..;. 0090 - af 64 63 c5 c7 cf c1 60-54 53 9f 9b 62 b5 cd 5a .dc....`TS..b..Z Start Time: 1376589608 Timeout : 300 (sec) Verify return code: 21 (unable to verify the first certificate) --- 250 DSN Habe ich damit Postfix TLS Forward Secrecy richtig konfiguriert? Gruß Andreas

2 1

[postfix-users] Postfix TLS Forward Secrecy
by Patrick Ben Koetter via postfix-users 14 Aug '13

14 Aug '13

Wer mehr zum Thema lesen und sein Postfix auch gleich konfigurieren will, findet Ralfs Zusammenfassung hier: <http://sys4.de/de/blog/2013/08/14/postfix-tls-forward-secrecy/> p@rick -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

5 13

[postfix-users] TLS Cipher Aushandlung
by Jochen Fahrner via postfix-users 14 Aug '13

14 Aug '13

Wie läuft eigentlich unter Mailservern die TLS Ciper Aushandlung ab? Habe ich als Server oder Client die Möglichkeit zu sagen: "wir nehmen den strengst möglichen den wir beide unterstützen"? -- Mit besten Grüßen Jochen Fahrner

4 6

[postfix-users] kleiner test nach der mlm umstellung
by Robert Schetterer via postfix-users 13 Aug '13

13 Aug '13

Hi , bei nicht Interesse ignorieren Kleiner test text _dmarc.nci.de. IN TXT "v=DMARC1; dürfte selbsterklärend sein. p=reject; wie soll verfahren werden, reject ( lehne Mails ab ) adkim=s Modus für DKIM ( stricter Modus ) aspf=s Modus für SPF ( stricter Modus ) rua=mailto:hostmaster@ allgemeine Mailadresse für Feeback ruf=mailto:hostmaster@ spez. Adresse für z.B Fehler Feedback rf=afrf Format der spez. Fehler Feedback Mail pct=100 prozentuale Angabe für p= Anweisung, hier 100 % Mit freundlichen Gruessen Best Regards Robert Schetterer robert.schetterer_at_nci.de Tel: +49 89 360350 45 -- http://www.nci.de NCI GmbH Tel: +49-89-36035030 Angaben nach TDG NCI GmbH Network, Consulting & Internet Services Valentin-Linhof-Strasse 10 DE-81829 Muenchen / Germany phone:+49-89-36035033 fax:+49-89-36035034 email: info(a)nci.de Geschäftsführer: Thomas Quilling HRB: 113793 Amtsgericht München Umsatzsteuer-ID: DE180825659

2 1

[postfix-users] TLS von MTA zu MTA
by Jochen 12 Aug '13

12 Aug '13

Hallo, seit dem PRISM-Skandal macht man sich natürlich Gedanken, wie man die staatliche Schnüffelei weitestgehend unterbinden kann. Ist es mit möglich (und sinnvoll) eine TLS-Verschlüsselung zwischen 2 MTAs zu erzwingen? Wenn ja, wie müsste man das in seinem Postfix konfigurieren, sodass niemals unverschlüsselt Mails ausgetauscht werden?

6 26

[postfix-users] Postfix mit Altermime
by Andre Hohmann 12 Aug '13

12 Aug '13

Hallo zusammen, ich nutze postfix in Verbindung mit altermime, um bei ausgehenden Mails automatisch unabhängig vom Mailclient eine Signatur/einen Disclaimer anzuhängen. Dies klappt soweit auch ganz gut. Nun nutze ich allerdings, wie wohl viele andere Nutzer auch, in meinem Mailclient die Option "Originalnachricht beim Antworten automatisch zitieren, dabei meine Antwort _über_ dem Zitat beginnen". Hier ergibt sich nun das Problem, dass postfix bzw. altermime den Disclaimer ans Ende der gesamten Mail setzt, so dass der Disclaimer unter der zitierten Mail erscheint. Ich möchte jedoch, dass altermime den Disclaimer unter meinen eigenen Mailtext, also über die zitierte Mail setzt. Kennt jemand einen Lösungsansatz? Danke!

4 3

Re: [postfix-users] TLS von MTA zu MTA
by Robert Schetterer 10 Aug '13

10 Aug '13

Am 09.08.2013 15:40, schrieb Florian Streibelt: > Am Fr, 09.08.13 um 14:30:38 Uhr > schrieb Robert Schetterer <rs(a)sys4.de>: > >> Am 09.08.2013 14:15, schrieb Jochen: >>> Hallo, >>> >>> seit dem PRISM-Skandal macht man sich natürlich Gedanken, wie man die >>> staatliche Schnüffelei weitestgehend unterbinden kann. Ist es mit >>> möglich (und sinnvoll) eine TLS-Verschlüsselung zwischen 2 MTAs zu >>> erzwingen? Wenn ja, wie müsste man das in seinem Postfix konfigurieren, >>> sodass niemals unverschlüsselt Mails ausgetauscht werden? > >> das musst du am Ende selbst entscheiden >> die Frage ist ,ob du noch am allgemeinen unverschluesselten Mailverkehr >> teilnehmen willst oder nicht, du kannst andere nicht per se zur >> Verschluesselung zwingen >> > > Es gibt noch ein weitaus größeres Problem - die passenden Zertifikate. > > Ich hab grade keine Zeit für eine ausführliche Antwort, daher nur grob. > > > Es gibt ja gerade diese 'Email made in Germany Aktion' - da versuchen sie genau das. > > http://www.heise.de/newsticker/meldung/E-Mail-Made-in-Germany-SSL-Verschlue… > > Das skaliert aber nicht, und spiegelt m.E. eine Sicherheit vor die nicht da ist und sperrt wieder mal kleinere Anbieter aus, deren Mails als nicht sicher angezeigt werden. Marketing Fasel...., und die "Anzeige" wuerde ja erstmal nur in deren Webmail zu sehen sein, mal ehrlich wer nutzt das schon, wenn er gerade nicht muss, es ist eher peinlich fuer diese Firmen ,wenn man es genau nimmt, dass sie nicht schon immer die Uebertragung verschluesselten,falls es moeglich war. Microsoft hat mit Exchange auch so einen Modus , als besonderes neues Feature angepriesen hat wie immer nur einen einen tollen neuen Namen dafuer erfunden und die Anzeige geht natuerlich nur mit Outlook und Exchange....ich befuerchte es gibt sogar Admins die das als neues Killerfeature ansehen *g > > > > Zum einen sind da draußen hundertausende Mailserver, die keine 'offiziellen' Zertifikate von einer 'anerkannten' CA haben. Meine auch nicht, ich benutze CaCert Zertifikate und habe auch nicht vor das zu ändern, da es kein mehr an Sicherheit bietet. > > Spätestens seit DigiNotar wissen wir, wie kaputt das CA-System ist. Und das kann man auch nicht reparieren - da jede CA prinzipbedingt für jede Domain ein Zertifikat ausstellen kann. > Damit ist es dann eben möglich, dass China Telekom oder Türktrust oder eine 'vertrauenswürdige' CA in den USA ein Zertifikat für eine Domain Deiner Wahl ausstellt. > > Wenn Du also den 'anerkannten' CAs traust kann die NSA immer noch ein mitm machen - du müsstest schon manuell die ZErtifikatsprüfsummen pflegen. > > > Und selbst wenn das nicht so kaputt wäre, was macht man mit den Leuten die kein TLS anbieten? Auch weil sie sich kein Zertifikat leisten wollen - und wie bekommt man raus wer kein TLS anbietet und bei wem von außen die TLS verhandlung unterbunden wird? > > > > Grüße, > Florian > also ich hab jahrelang selbst produzierte ssl crts verwendet, ich hab zwar nicht gelogged wer die alles akzeptierte, aber ich kann mich eigentlich nicht daran erinnern dass sie massenhaft abgelehnt wurden, ich gehe davon aus dass die meisten es pragmatisch handhaben und eben nach dem Motto verfahren besser ein selbst gemachtes crt und verschluesseln als gar nicht, einfach ausprobieren und mitloggen Am Ende sollte die Email selbst aber auch verschluesselt sein ( pgp,smime etc ) sonst ist es eh immer eine "Scheinsicherheit" Wer ganz sicher gehen will sollte ausserdem auf Open Source Betriebssysteme setzen *g Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

4 5

[postfix-users] Problem mit MDR und Amavis/Postfix
by marcel-ml＠irc-addicts.de 30 Jul '13

30 Jul '13

Hallo zusammen, ich denke mal, hier kann mir jemand helfen. Ich nutze Postfix in Verbindung mit Amavis und soweit laeuft das auch alles perfekt. Mails werden ueberprueft und auch geblockt, falls notwendig. Nun habe ich aber folgendes Problem: Sobald eine Mail versendet wird, in der eine Empfangs- und Lesebestaetigung eingefordert wird, erhaelt der Absender, welcher ueber den Server versendet (Auth vorher geklappt und alles) die Empfangsbestaetigung nicht vom endgueltigen Server auf der die Mail landet, sondern von amavis. Bzw von Postfix, der mitteilt das die Mail lokal auf Port 10024 zugestellt wurde. Ich und auch die eigentlichen Absender haetten natuerlich gerne anstatt der Mitteilung das die Mail an Amavis weitergeleitet wurde die Meldung das ein externer Server die Mail angenommen hat. Kann mir hier jemand einen Tipp geben wonach ich schauen muss? Jeder Hinweis wird angenommen. =) Meine master.cf sieht wie folgt aus: # # Postfix master process configuration file. For details on the format # of the file, see the master(5) manual page (command: "man 5 master"). # # Do not forget to execute "postfix reload" after editing this file. # # ========================================================================== # service type private unpriv chroot wakeup maxproc command + args # (yes) (yes) (yes) (never) (100) # ========================================================================== smtp inet n - - - - smtpd #submission inet n - - - - smtpd # -o smtpd_tls_security_level=encrypt # -o smtpd_sasl_auth_enable=yes # -o smtpd_client_restrictions=permit_sasl_authenticated,reject # -o milter_macro_daemon_name=ORIGINATING #smtps inet n - - - - smtpd # -o smtpd_tls_wrappermode=yes # -o smtpd_sasl_auth_enable=yes # -o smtpd_client_restrictions=permit_sasl_authenticated,reject # -o milter_macro_daemon_name=ORIGINATING #628 inet n - - - - qmqpd pickup fifo n - - 60 1 pickup cleanup unix n - - - 0 cleanup qmgr fifo n - n 300 1 qmgr #qmgr fifo n - - 300 1 oqmgr tlsmgr unix - - - 1000? 1 tlsmgr rewrite unix - - - - - trivial-rewrite bounce unix - - - - 0 bounce defer unix - - - - 0 bounce trace unix - - - - 0 bounce verify unix - - - - 1 verify flush unix n - - 1000? 0 flush proxymap unix - - n - - proxymap proxywrite unix - - n - 1 proxymap smtp unix - - - - - smtp # When relaying mail as backup MX, disable fallback_relay to avoid MX loops relay unix - - - - - smtp -o smtp_fallback_relay= # -o smtp_helo_timeout=5 -o smtp_connect_timeout=5 showq unix n - - - - showq error unix - - - - - error retry unix - - - - - error discard unix - - - - - discard local unix - n n - - local virtual unix - n n - - virtual lmtp unix - - - - - lmtp anvil unix - - - - 1 anvil scache unix - - - - 1 scache # # ==================================================================== # Interfaces to non-Postfix software. Be sure to examine the manual # pages of the non-Postfix software to find out what options it wants. # # Many of the following services use the Postfix pipe(8) delivery # agent. See the pipe(8) man page for information about ${recipient} # and other message envelope options. # ==================================================================== # # maildrop. See the Postfix MAILDROP_README file for details. # Also specify in main.cf: maildrop_destination_recipient_limit=1 # maildrop unix - n n - - pipe flags=DRhu user=vmail argv=/usr/bin/maildrop -d ${recipient} # # ==================================================================== ## # ==================================================================== # # Recent Cyrus versions can use the existing "lmtp" master.cf entry. # # Specify in cyrus.conf: # lmtp cmd="lmtpd -a" listen="localhost:lmtp" proto=tcp4 # # Specify in main.cf one or more of the following: # mailbox_transport = lmtp:inet:localhost # virtual_transport = lmtp:inet:localhost # # ==================================================================== # # Cyrus 2.1.5 (Amos Gouaux) # Also specify in main.cf: cyrus_destination_recipient_limit=1 # #cyrus unix - n n - - pipe # user=cyrus argv=/cyrus/bin/deliver -e -r ${sender} -m ${extension} ${user} # # ==================================================================== # Old example of delivery via Cyrus. # #old-cyrus unix - n n - - pipe # flags=R user=cyrus argv=/cyrus/bin/deliver -e -m ${extension} ${user} # # ==================================================================== # # See the Postfix UUCP_README file for configuration details. # uucp unix - n n - - pipe flags=Fqhu user=uucp argv=uux -r -n -z -a$sender - $nexthop!rmail ($recipient) # # Other external delivery methods. # ifmail unix - n n - - pipe flags=F user=ftn argv=/usr/lib/ifmail/ifmail -r $nexthop ($recipient) bsmtp unix - n n - - pipe flags=Fq. user=bsmtp argv=/usr/lib/bsmtp/bsmtp -t$nexthop -f$sender $recipient scalemail-backend unix - n n - 2 pipe flags=R user=scalemail argv=/usr/lib/scalemail/bin/scalemail-store ${nexthop} ${user} ${extension} mailman unix - n n - - pipe flags=FR user=list argv=/usr/lib/mailman/bin/postfix-to-mailman.py ${nexthop} ${user} dovecot unix - n n - - pipe flags=DRhu user=vmail:vmail argv=/usr/lib/dovecot/deliver -f ${sender} -d ${recipient} tumgreyspf unix - n n - - spawn user=tumgreyspf argv=/usr/bin/tumgreyspf amavis unix - - - - 2 smtp -o smtp_data_done_timeout=1200 -o smtp_send_xforward_command=yes -o disable_dns_lookups=yes -o max_use=20 127.0.0.1:10025 inet n - - - - smtpd -o content_filter= -o smtpd_delay_reject=no -o smtpd_client_restrictions=permit_mynetworks,reject -o smtpd_helo_restrictions= -o smtpd_sender_restrictions= -o smtpd_recipient_restrictions=permit_mynetworks,reject -o smtpd_data_restrictions=reject_unauth_pipelining -o smtpd_end_of_data_restrictions= -o smtpd_restriction_classes= -o mynetworks=127.0.0.0/8 -o smtpd_error_sleep_time=0 -o smtpd_soft_error_limit=1001 -o smtpd_hard_error_limit=1000 -o smtpd_client_connection_count_limit=0 -o smtpd_client_connection_rate_limit=0 -o receive_override_options=no_header_body_checks,no_unknown_recipient_checks,no_milters -o local_header_rewrite_clients= vacation unix - n n - - pipe flags=Rq user=vacation argv=/var/spool/vacation/vacation.pl -f ${sender} -- ${recipient} und meine main.cf # See /usr/share/postfix/main.cf.dist for a commented, more complete version # Debian specific: Specifying a file name will cause the first # line of that file to be used as the name. The Debian default # is /etc/mailname. #myorigin = /etc/mailname smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU) biff = no # appending .domain is the MUA's job. append_dot_mydomain = no # Uncomment the next line to generate "delayed mail" warnings #delay_warning_time = 4h readme_directory = no # TLS parameters #smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem #smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key #smtpd_use_tls=yes #smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache #smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache # TLS PART START smtp_tls_CAfile = /etc/postfix/tls/root.crt smtp_tls_cert_file = /etc/postfix/tls/cert.pem smtp_tls_key_file = /etc/postfix/tls/privatekey.pem smtp_tls_session_cache_database = btree:$data_directory/smtp_tls_session_cache smtp_tls_security_level = may smtp_tls_loglevel = 1 smtpd_tls_CAfile = /etc/postfix/tls/root.crt smtpd_tls_cert_file = /etc/postfix/tls/cert.pem smtpd_tls_key_file = /etc/postfix/tls/privatekey.pem smtpd_tls_session_cache_database = btree:$data_directory/smtpd_tls_session_cache smtpd_tls_security_level = may smtpd_tls_loglevel = 1 smtpd_tls_received_header = yes smtpd_tls_ask_ccert = yes #smtpd_tls_auth_only = yes # TLS PART END # See /usr/share/doc/postfix/TLS_README.gz in the postfix-doc package for # information on enabling SSL in the smtp client. myhostname = server.de alias_maps = hash:/etc/aliases alias_database = hash:/etc/aliases myorigin = /etc/mailname mydestination = server.net-addicts.de, localhost.localdomain, , localhost relayhost = mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128 mailbox_size_limit = 0 recipient_delimiter = + inet_interfaces = all # Postfixadminaenderungen # virtual_mailbox_domains = proxy:mysql:/etc/postfix/sql/mysql_virtual_domains_maps.cf virtual_alias_maps = proxy:mysql:/etc/postfix/sql/mysql_virtual_alias_maps.cf, proxy:mysql:/etc/postfix/sql/mysql_virtual_alias_domain_maps.cf, proxy:mysql:/etc/postfix/sql/mysql_virtual_alias_domain_catchall_maps.cf virtual_mailbox_maps = proxy:mysql:/etc/postfix/sql/mysql_virtual_mailbox_maps.cf, proxy:mysql:/etc/postfix/sql/mysql_virtual_alias_domain_mailbox_maps.cf # Additional for quota support virtual_create_maildirsize = yes virtual_mailbox_extended = yes virtual_mailbox_limit_maps = mysql:/etc/postfix/sql/mysql_virtual_mailbox_limit_maps.cf virtual_mailbox_limit_override = yes virtual_maildir_limit_message = Sorry, the user's maildir has overdrawn his diskspace quota, please try again later. virtual_overquota_bounce = yes # Postfixadminaenderungen # # dovecot Anbindung # virtual_transport = dovecot dovecot_destination_recipient_limit = 1 smtpd_sasl_type = dovecot smtpd_sasl_path = private/auth smtpd_sasl_auth_enable = yes smtpd_sasl_authenticated_header = yes broken_sasl_auth_clients = yes smtpd_recipient_restrictions = reject_unknown_sender_domain reject_unknown_recipient_domain reject_unauth_pipelining permit_mynetworks permit_sasl_authenticated #reject_rbl_client dnsbl.sorbs.net reject_rbl_client bl.spamcop.net reject_rbl_client zen.spamhaus.org #reject_rbl_client dnsbl-1.uceprotect.net check_policy_service unix:private/tumgreyspf reject_unauth_destination check_client_access hash:/etc/postfix/ip-block smtpd_milters = inet:127.0.0.1:54321 non_smtpd_milters = inet:127.0.0.1:54321 milter_default_action = accept content_filter = amavis:[127.0.0.1]:10024 receive_override_options = no_address_mappings smtpd_client_restrictions = permit_mynetworks permit_sasl_authenticated reject_unauth_pipelining reject_rbl_client bl.spamcop.net reject_rbl_client zen.spamhaus.org # reject_rbl_client list.dsbl.org header_checks = pcre:/etc/postfix/pcre/header_checks body_checks = pcre:/etc/postfix/pcre/body_checks transport_maps = hash:/etc/postfix/transport # ende Vielen Dank noch mal im Voraus. Gruesse, Marcel

2 2

[postfix-users] DNS-Problem
by Jochen Fahrner 24 Jul '13

24 Jul '13

Hallo, seit einiger Zeit bekomme ich einen Newsletter nicht mehr. In meinem Log sehe ich folgende Meldungen: warning: 193.158.71.110: address not listed for hostname news.teleropa.de connect from unknown[193.158.71.110] NOQUEUE: reject: RCPT from unknown[193.158.71.110]: 450 4.7.1 Client host rejected: cannot find your hostname, [193.158.71.110]; from=<news(a)digitalmagazin.info> to=<mich> proto=ESMTP helo=<news.technisat.de> disconnect from unknown[193.158.71.110] Nun möchte ich ungern meinen Spam-Schutz aufweichen und frage mich: was macht der Versender hier falsch? nslookup sagt mir: Non-authoritative answer: 110.71.158.193.in-addr.arpa name = news.digitalmagazin.info. 110.71.158.193.in-addr.arpa name = news.teleropa.de. 110.71.158.193.in-addr.arpa name = news.technisat.de. 110.71.158.193.in-addr.arpa name = news.infosat.info. Authoritative answers can be found from: nix Für news.teleropa.de gibt es tatsächlich keinen DNS-Eintrag. Aber wie kommt Postfix auf diesen Namen? Im helo steht doch news.technisat.de. -- Mit besten Grüßen Jochen Fahrner

2 2

[postfix-users] unklares Verhalten bei Bad sender address syntax Fehlern
by Stephan Jacob 23 Jul '13

23 Jul '13

Hallo Postfix Gemeinde, ich habe auf meinem Mail-Relay ein ungewöhnliches Verhalten bemerkt, was ich mir nicht erklären kann: Wenn ich mich mit telnet auf Port 25 des Relays verbinde (also telnet relay.ovgu.de 25) und manuell eine SMTP Session durchführen will habe ich das Problem, dass Mail-Adressen immer mit dem Hinweis auf falsche Syntax abgewiesen werden. Beispiel telnet relay.ovgu.de 25 Connected to relay.ovgu.de. Escape character is '^]'. 220 relay.ovgu.de ESMTP Postfix helo maschine.ovgu.de 250 relay.ovgu.de MAIL FROM: sjacob(a)ovgu.de 501 5.1.7 Bad sender address syntax Dabei handelt es sich um meine Mail-Adresse die auch existiert. So weit so schlecht. Jetzt verbinde ich mich mit Thunderbird auf das Relay an Port 25 (dazu habe ich einfach meine IP zu mynetworks hinzugefügt, um ohne Authentifizierung relayen zu können) und versende eine Mail mit der Absender-Adresse sjacob(a)ovgu.de. Das geht ohne Probleme. Im Log ist auch klar zu erkennen, dass er die angegebene Adresse als FROM Adresse setzt. D.h. es kann nicht an strict_rfc821_envelopes = yes liegen!? Das Problem tritt unabhängig davon auf, von welcher Maschine aus ich die Telnet-Verbindung initiiere (selbst direkt auf dem Relay) und auch unabhängig davon welche Adressen ich eingebe. Valide und auch nicht valide Adressen werden mit dem gleichen Fehler abgewiesen. Folgende Sender restrictions sind gesetzt: smtpd_sender_restrictions = reject_unauth_sender_domains, reject_non_fqdn_sender, reject_unknown_sender_domain, (reject_unauth_sender_domains fast zwei Lookup-Dateien zusammen. In der ersten listen wir mit REGEXP Domains oder bekannte Teile von Adressen, die wir ablehnen, die zweite Datei ist eine HASH Datei mit kompletten Mail-Adressen, die wir ablehnen) Übrigens, wenn ich in der händischen SMTP Session die MAIL FROM Adresse leer lasse (also <> angebe), dann kann ich zumindest zu dem Punkt RCPT TO vordringen. Wenn ich dort eine Adresse eingebe bekomme ich aber auch den Bad Address Syntax Fehler. Ich kann mir nicht erklären, warum es mit dem Mail-Client funktioniert aber die direkte Eingabe nicht. Woran kann es liegen? Wenn irgendeine Regel greift, dann muss diese doch unabhängig von Client mit welchem ich die Mail versende greifen. Viele Grüße Stephan Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

3 3

Re: [postfix-users] unklares Verhalten bei Bad sender address syntax Fehlern
by Stephan Jacob 23 Jul '13

23 Jul '13

Hallo, der Vorschlag von Jörg funktioniert. Ich verstehe nur nicht das ich auf einem anderen Postfix Server (dem Zwillingsbruder des getesteten) mit gleicher Postfix-Version und Konfiguration ein MAIL FROM: sjacob(a)ovgu.de durchbekomme (also ohne < >)? Danke! Stephan Von: "Jörg Sitek" [mailto:Jogie@quantentunnel.de] Gesendet: Dienstag, 23. Juli 2013 09:27 An: Stephan Jacob Betreff: Aw: [postfix-users] unklares Verhalten bei Bad sender address syntax Fehlern Hi Stephan, > Ich kann mir nicht erklären, warum es mit dem Mail-Client funktioniert > aber die direkte Eingabe nicht. Woran kann es liegen? probiers doch mal mit "mail from:<sjacob(a)ovgu.de>" Gruß, jörg

1 0

[postfix-users] Einzelne Accounts "umleiten" ?
by weigel＠dfbnet.org 22 Jul '13

22 Jul '13

Hi, wir haben eine Postfix + Cyrus installation, die auch jahrelang so getan hat wie sie sollte. Jetzt sollen einige Accounts unserer Domain auf einen Office 365 Postfach umgeleitet werden. In Office 365 benutzen diese User eine andere Domain. Kann mir jemand nen Tipp geben, wie ich einzelen Accounts in einer zentralen Map eine "weiterleitung" verpassen kann? user1(a)localdomain.de --> user1(a)o365domain.com user2(a)localdomain.de --> user2(a)o365domain.com Danke für eure Hilfe Gruß Helmut Weigel -- DFB-Medien GmbH & Co. KG Otto-Fleck-Schneise 6 60528 Frankfurt fon: +49 (69) 6788-319 fax: +49 (69) 6788-343 pcfax: +49 (511) 760770 76 - 319 email: helmut.weigel(a)dfbnet.de Homepage: www.dfb-medien.de -------------------------------------------- Hermann-Neuberger-Haus | Otto-Fleck-Schneise 6 | 60528 Frankfurt | DFB-Medien GmbH & Co. KG | Geschäftsführung: DFB-Medien Verwaltungs-GmbH, deren Geschäftsführer: Kurt Gärtner, Tilman Walk |Vorsitzender des Aufsichtsrates: Dr. Theo Zwanziger | HRA 30550 | Registergericht: Frankfurt

2 2

[postfix-users] Postfix - Weiterleitung an speziellen Mailserver unterbinden
by Stephan Jacob 18 Jul '13

18 Jul '13

Hallo Postfix Gemeinde, an der Uni Magdeburg können die Nutzer ihr Postfach auf einen von drei Servern haben: - entweder sie sind auf exchange - entweder sie sind auf cyrus - entweder sie sind in der Medizin (dort läuft auch Exchange) Wenn eine Mail auf unserem Relay eingeht (dort läuft Postfix) wird über den virtual_alias_maps Parameter eine LDAP-Abfrage initiiert. Im LDAP steht dann als Forwarding-Adresse entweder exchange, cyrus oder medizin (je nachdem wo der Kollege sein Postfach hat). Die Mail wird entsprechend weitergeleitet. Jetzt die Frage: Ich möchte für eine Nacht die Zustellung von Mails an die Medizin unterbinden, da dort der Server umgestellt wird. Wie mach ich das am sinnvollsten ohne das LDAP anzufassen? Gibt es eine Möglichkeit die Mails für die Medizin auf dem Relay in der Queue zu halten und am nächsten morgen auf Knopfdruck die Zustellung an die Medizin wieder freizugeben, so dass Postfix dann auch die Mails in der Queue langsam wieder raussendet? Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

5 5

[postfix-users] Postfix - logfile - verarbeitung von bcc und cc
by dirk＠poper.de 09 Jul '13

09 Jul '13

Hallo Gemeinde, ich habe gerade mehrere frische Posfix Server aufgesetzt (spamd, MailScanner, ClamAV, Postgrey). Er tut was er soll. Wenn nun ein User eine Email verschickt, mit einem Empfänger auf CC oder BCC sehe ich davon nichts im Logfile. Ich sehe nur, dass die Quee für das TO an den Zielserver übergeben wurde und danach removed wird. Was muss ich ändern, damit Postfix auch CC und BCC Processing Infos in das Logfile schreibt? Danke im voraus. IT Systemhaus Poper Ingenieurbuero Poper INB Poper Allgemeine rechtliche Hinweise: Dirk Poper, Am Brauhof 4, 53721 Siegburg, +49 171 3553333, USt-IdNr.:DE157937612 Informationen zur Datennutzung Impressum Hinweis: Diese E-Mail und/oder die Anhaenge sind vertraulich und ausschliesslich fuer den bezeichneten Adressaten bestimmt. Jegliche Durchsicht, Weitergabe oder Kopieren dieser E-Mail ist strengstens verboten. Wenn Sie diese E-Mail irrtuemlich erhalten haben, informieren Sie bitte unverzueglich den Absender und vernichten Sie die Nachricht und alle Anhaenge. Vielen Dank. Notice: This transmittal and/or attachments may be privileged or confidential. It is intended solely for the addressee named above. Any dissemination, or copying is strictly prohibited. If you received this transmittal in error, please notify us immediately by reply and immediately delete this message and all its attachments. Thank you.

3 2

[postfix-users] Verständnisprobleme mit mydestination, virtual_alias_domains und virtual_mailbox_domains
by Hubert Schölnast 02 Jul '13

02 Jul '13

Hallo! Meine Frage vom 9.6. wurde nicht bearbeitet (siehe unten). Habe ich etwas falsch gemacht? Wenn Ja: Was muss ich anders machen? Wenn Nein: Ich bitte um Bearbeitung! Danke! Ich habe heute ihre Mailingliste aboniert. Ist ein solches Abo zwingend notwendig um Antworten zu erhalten? Wenn ja, sollten Sie das bitte auf http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users explizit hinschreiben. Ich verstehe den aktuellen Inhalt dieser Seite so, dass man auch Fragen einsenden kann ohne die Liste abonieren zu müssen. Warum gibt es kein deutsches Postfix-Forum, sondern nur diese umständliche Mailingliste? Oder habe ich das Forum (trotz intensiver Suche) nur nicht gefunden? Liebe Grüße Hubert Schölnast Hubert Schölnast schrieb am 09.06.13 21:48: > Hallo! > > > Ich habe Verständnisprobleme mit mydestination, virtual_alias_domains > und virtual_mailbox_domains und habe dazu 4 Fragen. > > Auf meinem Server gibt es nur einen einzigen User, der sich dort > einloggen kann, das ist root. Ein Webserver läuft dort bereits, nun > soll auch ein Mailserver folgen, meine Wahl fiel auf Postfix. > Betriebssystem = Ubuntu Precise Pangolin (12.04 LTS). Der Server ist > ein virtueller Server auf dem ich Root-Rechte habe, der aber 800 km > von mir entfernt im Ausland (nämlich in einer Serverfarm in > Deutschland) steht. Ich bin in Österreich (Wien) daheim. > > Der Server soll Zustellungs-Endpunkt für mehrere Domänen werden (ich > nenne sie hier firstserver.at, secondserver.at und thirdserver.at), > wobei jede Domäne ihre individuellen Mail-Accounts hat (nur virtuelle > E-Mail-User). Alle User haben mehrere Geräte mit denen Sie ihre Mails > verwalten (PC, Notebook, Tablet und Handy) und greifen auf Ihre > E-Mails daher via IMAP (oder besser IMAPS) zu. Alle User, die vial > IMAP auf den Server zugreifen dürfen, nutzen den Server auch als > Postausgangsserver. > > Dann gibt es noch lokale Unix-Prozesse (z.B. cron) die gelegentlich > E-Mails versenden. Alle lokal erzeugten E-Mails sollen an > admin(a)firstserver.at gehen. > > Postfix soll die Mails nicht selbst in Postfächer ablegen, sondern > diesen Job einem anderen Programm überlassen. Der Grund: Je nach > Inhalt sollen eingehende E-Mails in unterschiedliche Ordner > einsortiert werden. Beispielsweise soll es zur E-Mail Adresse > anton(a)firstserver.at die Ordner firstserver_anton_inbox, > firstserver_anton_spam_or_malware und > firstserver_anton_mails_von_berta geben. > > Soweit ich das grundlegende Konzept von Postfix verstanden habe, sind > alle meine Mail-User virtuelle Mail-User, denn keiner von ihnen hat > ein Unix-Account am Server. Daher mache ich diese Einträge in main.cf: > > virtual_mailbox_domains = hash:/etc/postfix/virtual_mailbox_domains > virtual_mailbox_maps = hash:/etc/postfix/virtual_mailbox_maps > > Inhalt von virtual_mailbox_domains: > firstserver.at ok > secondserver.at ok > thirdserver.at ok > ... > > Inhalt von virtual_mailbox_maps (Dazu gibts im Anschluss gleich die > Frage 1): > anton(a)firstserver.at firstserver_anton > berta(a)firstserver.at firstserver_berta > clara(a)secondserver.at secondserver_clara > doris(a)thirdserver.at thirdserver_doris > ... > > Frage 1: > Ich weiß nicht genau, was ich in virtual_mailbox_maps wirklich auf den > rechten Seiten hinschreiben soll, denn da sollen ja die Ablageorte der > jeweiligen Konten stehen, aber Postfix legt die Mails selbst ja > nirgends ab, sondern leitet sie an ein anderes Programm weiter, das > dann die Ablage (nach einer Filterung) machen soll. > > Frage 2: > Mir ist auch unklar, ob ich mydestination leer lassen soll, oder ob > dort localhost eingetragen werden muss (wegen der E-Mails die von > lokalen Prozessen erzeugt werden können). Also > Entweder > mydestination = > oder > mydestination = localhost > Was ist richtig? > > > Vorbereitung auf Fragen 3 und 4: > Ich habe verstanden, dass ich allfällige Weiterleitungen in > virtual_alias_maps eintragen muss. Beispielsweise sollen alle E-Mails, > die an postmaster(a)secondserver.at und postmaster(a)thirdserver.at > gesendet werden, an postmaster(a)firstserver.at umgeleitet werden. Und > alles, was an postmaster(a)firstserver.at geht soll als Duplikat auch an > admin(a)firstserver.at weitergeleitet werden. > > Ich glaube, das geht so: > virtual_alias_maps = hash:/etc/postfix/virtual_alias_maps > > Inhalt von virtual_alias_maps: > postmaster(a)secondserver.at postmaster(a)firstserver.at > postmaster(a)thirdserver.at postmaster(a)firstserver.at > postmaster(a)firstserver.at postmaster(a)firstserver.at, admin(a)firstserver.at > > Frage 3: > Kann ich mit diesem Eintrag > @localhost admin(a)firstserver.at > in virtual_alias_maps erreichen, dass alle E-Mails, die lokal am > Server entstehen, an admin(a)firstserver.at zugestellt werden? Wenn > nein: Wie sonst geht das? > > Frage 4: > Ich habe in mehreren Tutorials bezüglich virtual_alias_domains immer > wieder zwei widersprüchliche Aussagen gelesen, und weiß nicht was nun > richtig ist. > > Aussage 1: In virtual_alias_domains müssen alle Domains angegeben > sein, die in virtual_alias_maps bei den Adressen der linken Seite > vorkommen. Demzufolge müsste ich also angeben: > > virtual_alias_domains = firstserver.at secondserver.at thirdserver.at > > Aussage 2a: In virtual_mailbox_domains müssen alle Domains angegeben > sein, die in virtual_mailbox_maps bei den Adressen der linken Seite > vorkommen. > Aussage 2b: Jede Domain darf nur entweder in virtual_mailbox_domains > oder in virtual_alias_domains stehen, aber niemals in beiden. > Die Aussagen 2a und 2b fordern also, dass firstserver.at, > secondserver.at und thirdserver.at nicht in virtual_alias_domains > stehen dürfen, weil es E-Mail-Adressen aus diesen Domänen gibt, die in > virtual_mailbox_maps stehen. Also müsste ich entgegen der > Schlussfolgerung aus Aussage 1 virtual_alias_domains leer lassen. > > virtual_alias_domains = > > Dsa widerspricht aber dem, was aus Aussage 1 zu schließen ist. > Was ist nun richtig? > > > Liebe Grüße > Hubert Schölnast

6 24

[postfix-users] Verschiedene Ansätze, Mail zuzustellen (auch für Hubert Schölnast)
by Ralf Hildebrandt 01 Jul '13

01 Jul '13

Es gibt so im großen und ganzen zwei verschiedene Ansätze um einen IMAP Server (z.B. Dovecot oder Cyrus) anzubinden. Der eine Ansatz ist: * Domain in relay_domains auflisten (Postfix "relayed" das Zeug - nämlich zum LMTP-Server von cyrus oder dovecot, oder in einen transport hinein, der seinerseits eine PIPE aufruft) * Empfänger in relay_recipient_maps auflisten Internet --smtp--> Postfix --lmtp--> cyrus/dovecot Internet --smtp--> Postfix --pipe--> programm Vorteil: ======== * cyrus/dovecot kriegen Mails mit der vollen Emailadresse als Usernamen * d.h. man kann sich ohne Tricks mit seiner Emailadresse anmelden * die Mail im Transit hat auch immer dieselbe Adresse (keine Umschreibung nötig) Nachteil: ========= * irgendwoher muss die relay_recipient_maps Info kommen, am besten aus einer gemeinschaftlich genutzten Quelle von Postfix und cyrus/dovecot (Datenbank, LDAP, sowas...) Der andere Ansatz ist: * Domain in virtual_alias_domains auflisted, dann wird die Emailadresse auf irgendwas "umgeschrieben" (username4711@localhost) Und username4711@localhost wird dann irgendwie local zugestellt (dovecot-deliver, cyrus-deliver, pipe, sonstwas...) * Empfänger müssen dann in virtual_alias_maps auf die dem cyrus/dovecot bekannten Usernamen gemappt werden (damit die Mail korrekt ankommt) Vorteil: ======== * Alle Domains sind virtuell, bis auf EINE, und die eine ist die einzige, für die man die Zustellung dann konfigurieren muss. Nachteil: ========= * Im Transit ändert sich die Emailadresse irgendwann -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Axel von der Ohe, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

3 3

[postfix-users] Ungewöhnliche Fehlermeldung "your DNS server is hosting spam provider"
by Hubert Schölnast 28 Jun '13

28 Jun '13

Hallo Uwe Drießen, ich schrieb dir gestern die untenstehende Antwort an deine persönliche E-Mail-Adresse (bei fblan.de), erhielt von deinem Mailserver aber diese Antwort: does not like recipient. Remote host said: 550 5.7.1 <hubert(a)schoelnast.at>: Sender address rejected: your DNS server is hosting spam provider( KEY-SYSTEMS ) Key-Systems bzw. http://www.domaindiscount24.com ist ein Domain-Name-Registrar mit vermutlich tausenden Kunden, die diesen Dienst nutzen, um ihre Domain-Names zu registrieren. Viele brave und anständige Webmaster, die nie auf die Idee kämen Spam zu versenden (darunter jener Freund, dessen Mailserver derzeit meine Mails verwaltet, und auch ich selbst), nutzen die Dienste dieses Registrars. Es kann gut sein, dass auch Spam-Schleudern ihre Domain-Namen dort gekauft haben, aber deswegen gleich alle Kunden des Registrars zu verbannen geht wohl etwas zu weit. Ich denke, dass die Firma Key-Systems auch wenig Möglichkeiten hat zu erkennen, welche Ihrer Kunden nicht ganz so sauber sind. Meine Meinung: Du schießt mit Kanonen auf Spatzen und machst einen Registrar schlecht, der nichts weiter tut als sein Geschäft auszuüben. Da ich dich per E-Mail offenbar nicht direkt erreichen kann, bleibt mir nichts anderes übrig, als dich mit Hilfe dieser Mailing-Liste davon in Kenntnis zu setzen. Übrigens habe ich in den ca. 10 Jahren, in denen ich meine E-Mail-Adresse nun schon habe, noch nie eine failur notice mit so einer seltsamen Begründung erhalten. Liebe Grüße Hubert Schölnast Hubert Schölnast schrieb am 26.06.13 16:06: > Hallo Uwe! > > Ad Postfixbücher: > Die Version aus dem Jahr 2004 liegt auf meinem Schreibtisch, ich habe > die Version aus 2008 im Buchhandel bestellt, aber sie ist vergriffen. > Die dritte Auflage (2013) ist noch nicht erhältlich. Ich habe die > Ausgabe aus 2004 mehrmals aufmerksam durchgelesen, fand aber auf die > hier gestellten Fragen dennoch keine Antwort. Ich habe mir bereits vor > etwa einem Jahr die Auflage von 2008 ausgeliehen und auch diese > durchgelesen. Schon damals waren mir die hier nachgefragten Punkte > unklar. > Das Buch "POP3 und IMAP" (von Heinlein u. Hartleben) in der aktuellen > Ausgabe besitze ich ebenfalls, es hilft beim fraglichen Problem aber > noch weniger weiter. > > Ad "das weiß man": > Wer ist "man"? Ich jedenfalls offenbar nicht. Es gibt also mindestens > eine Person, die das mit dem Abo-Zwang nicht verstanden hat. Das > heißt: Es besteht Verbesserungpotential. Der von mir vorgeschlagene > ausdrückliche Hinweis auf den Zwang die Liste zu abonieren wäre gut > geeignet dieses Potential auszuschöpfen. > > > LG > Hubert schölnast > > > Uwe Drießen schrieb am 26.06.13 15:31: >> Im Auftrag von Hubert Schölnast >>> Hallo! >>> >>> Meine Frage vom 9.6. wurde nicht bearbeitet (siehe unten). Habe ich >>> etwas falsch gemacht? Wenn Ja: Was muss ich anders machen? Wenn Nein: >>> Ich bitte um Bearbeitung! >> Die Liste ist eine FREIWILLIGE Leistung aller derer die die Liste >> abonniert >> haben. >> >> Du setzt eine FREIE Software ein, Das setzt voraus das du auch mal >> Google >> und das Archiv der Mailinglisten (dieser und der postfixbuch Liste auf >> listen.jpberlin.de) >> Durchforstet. >> Zu deinem Problem gibt es schon etliche Postings. >> >> Die Empfehlung eins oder besser Beide Postfixbücher (deutschsprachig) >> kaufen >> und Schritt für Schritt vorgehen. >> 1. bleiben dann nur ein Bruchteil deiner Fragen und Probleme übrig >> und man >> erkennt das du dich mit dem Thema auseinandergesetzt hast. >> 2. die meisten der hier Aktiven haben mal so angefangen >> 3. Grundwissen und Konfiguration kann gerne gegen Bezahlung eingekauft >> werden >> >>> Danke! >>> >>> Ich habe heute ihre Mailingliste aboniert. Ist ein solches Abo zwingend >>> notwendig um Antworten zu erhalten? Wenn ja, sollten Sie das bitte auf >>> http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users explizit >>> hinschreiben. Ich verstehe den aktuellen Inhalt dieser Seite so, dass >>> man auch Fragen einsenden kann ohne die Liste abonieren zu müssen. >> Das weis man! Die Antworten gehen immer an die Mailingliste und >> werden nur >> an die eingetragenen verteilt. >> >> >>> Warum gibt es kein deutsches Postfix-Forum, sondern nur diese >>> umständliche Mailingliste? Oder habe ich das Forum (trotz intensiver >>> Suche) nur nicht gefunden? >> Mach eins auf keiner hindert dich daran. >> Die Postfix admins die ich kenne kommunizieren nur hierüber. >> Für die ist es Umständlicher irgendwo ein Forum zu besuchen. >> Hier kommt die Info automatisch und wer das Thema Interessant findet >> wird >> sich dessen annehmen und auch mit diskutieren. >> >> >>> >>> Liebe Grüße >>> Hubert Schölnast >>> >>> >>> Hubert Schölnast schrieb am 09.06.13 21:48: >>>> Hallo! >>>> >>>> >>>> Ich habe Verständnisprobleme mit mydestination, virtual_alias_domains >>>> und virtual_mailbox_domains und habe dazu 4 Fragen. >>>> >>>> Auf meinem Server gibt es nur einen einzigen User, der sich dort >>>> einloggen kann, das ist root. Ein Webserver läuft dort bereits, nun >>>> soll auch ein Mailserver folgen, meine Wahl fiel auf Postfix. >>>> Betriebssystem = Ubuntu Precise Pangolin (12.04 LTS). Der Server ist >>>> ein virtueller Server auf dem ich Root-Rechte habe, der aber 800 km >>>> von mir entfernt im Ausland (nämlich in einer Serverfarm in >>>> Deutschland) steht. Ich bin in Österreich (Wien) daheim. >>>> >>>> Der Server soll Zustellungs-Endpunkt für mehrere Domänen werden (ich >>>> nenne sie hier firstserver.at, secondserver.at und thirdserver.at), >>>> wobei jede Domäne ihre individuellen Mail-Accounts hat (nur virtuelle >>>> E-Mail-User). Alle User haben mehrere Geräte mit denen Sie ihre Mails >>>> verwalten (PC, Notebook, Tablet und Handy) und greifen auf Ihre >>>> E-Mails daher via IMAP (oder besser IMAPS) zu. Alle User, die vial >>>> IMAP auf den Server zugreifen dürfen, nutzen den Server auch als >>>> Postausgangsserver. >>>> >>>> Dann gibt es noch lokale Unix-Prozesse (z.B. cron) die gelegentlich >>>> E-Mails versenden. Alle lokal erzeugten E-Mails sollen an >>>> admin(a)firstserver.at gehen. >>>> >>>> Postfix soll die Mails nicht selbst in Postfächer ablegen, sondern >>>> diesen Job einem anderen Programm überlassen. Der Grund: Je nach >>>> Inhalt sollen eingehende E-Mails in unterschiedliche Ordner >>>> einsortiert werden. Beispielsweise soll es zur E-Mail Adresse >>>> anton(a)firstserver.at die Ordner firstserver_anton_inbox, >>>> firstserver_anton_spam_or_malware und >>>> firstserver_anton_mails_von_berta geben. >>>> >>>> Soweit ich das grundlegende Konzept von Postfix verstanden habe, sind >>>> alle meine Mail-User virtuelle Mail-User, denn keiner von ihnen hat >>>> ein Unix-Account am Server. Daher mache ich diese Einträge in main.cf: >>>> >>>> virtual_mailbox_domains = hash:/etc/postfix/virtual_mailbox_domains >>>> virtual_mailbox_maps = hash:/etc/postfix/virtual_mailbox_maps >>>> >>>> Inhalt von virtual_mailbox_domains: >>>> firstserver.at ok >>>> secondserver.at ok >>>> thirdserver.at ok >>>> ... >>>> >>>> Inhalt von virtual_mailbox_maps (Dazu gibts im Anschluss gleich die >>>> Frage 1): >>>> anton(a)firstserver.at firstserver_anton >>>> berta(a)firstserver.at firstserver_berta >>>> clara(a)secondserver.at secondserver_clara >>>> doris(a)thirdserver.at thirdserver_doris >>>> ... >>>> >>>> Frage 1: >>>> Ich weiß nicht genau, was ich in virtual_mailbox_maps wirklich auf den >>>> rechten Seiten hinschreiben soll, denn da sollen ja die Ablageorte der >>>> jeweiligen Konten stehen, aber Postfix legt die Mails selbst ja >>>> nirgends ab, sondern leitet sie an ein anderes Programm weiter, das >>>> dann die Ablage (nach einer Filterung) machen soll. >>>> >>>> Frage 2: >>>> Mir ist auch unklar, ob ich mydestination leer lassen soll, oder ob >>>> dort localhost eingetragen werden muss (wegen der E-Mails die von >>>> lokalen Prozessen erzeugt werden können). Also >>>> Entweder >>>> mydestination = >>>> oder >>>> mydestination = localhost >>>> Was ist richtig? >>>> >>>> >>>> Vorbereitung auf Fragen 3 und 4: >>>> Ich habe verstanden, dass ich allfällige Weiterleitungen in >>>> virtual_alias_maps eintragen muss. Beispielsweise sollen alle E-Mails, >>>> die an postmaster(a)secondserver.at und postmaster(a)thirdserver.at >>>> gesendet werden, an postmaster(a)firstserver.at umgeleitet werden. Und >>>> alles, was an postmaster(a)firstserver.at geht soll als Duplikat auch an >>>> admin(a)firstserver.at weitergeleitet werden. >>>> >>>> Ich glaube, das geht so: >>>> virtual_alias_maps = hash:/etc/postfix/virtual_alias_maps >>>> >>>> Inhalt von virtual_alias_maps: >>>> postmaster(a)secondserver.at postmaster(a)firstserver.at >>>> postmaster(a)thirdserver.at postmaster(a)firstserver.at >>>> postmaster(a)firstserver.at postmaster(a)firstserver.at, >>> admin(a)firstserver.at >>>> Frage 3: >>>> Kann ich mit diesem Eintrag >>>> @localhost admin(a)firstserver.at >>>> in virtual_alias_maps erreichen, dass alle E-Mails, die lokal am >>>> Server entstehen, an admin(a)firstserver.at zugestellt werden? Wenn >>>> nein: Wie sonst geht das? >>>> >>>> Frage 4: >>>> Ich habe in mehreren Tutorials bezüglich virtual_alias_domains immer >>>> wieder zwei widersprüchliche Aussagen gelesen, und weiß nicht was nun >>>> richtig ist. >>>> >>>> Aussage 1: In virtual_alias_domains müssen alle Domains angegeben >>>> sein, die in virtual_alias_maps bei den Adressen der linken Seite >>>> vorkommen. Demzufolge müsste ich also angeben: >>>> >>>> virtual_alias_domains = firstserver.at secondserver.at thirdserver.at >>>> >>>> Aussage 2a: In virtual_mailbox_domains müssen alle Domains angegeben >>>> sein, die in virtual_mailbox_maps bei den Adressen der linken Seite >>>> vorkommen. >>>> Aussage 2b: Jede Domain darf nur entweder in virtual_mailbox_domains >>>> oder in virtual_alias_domains stehen, aber niemals in beiden. >>>> Die Aussagen 2a und 2b fordern also, dass firstserver.at, >>>> secondserver.at und thirdserver.at nicht in virtual_alias_domains >>>> stehen dürfen, weil es E-Mail-Adressen aus diesen Domänen gibt, die in >>>> virtual_mailbox_maps stehen. Also müsste ich entgegen der >>>> Schlussfolgerung aus Aussage 1 virtual_alias_domains leer lassen. >>>> >>>> virtual_alias_domains = >>>> >>>> Dsa widerspricht aber dem, was aus Aussage 1 zu schließen ist. >>>> Was ist nun richtig? >>>> >>>> >>>> Liebe Grüße >>>> Hubert Schölnast >> >> Mit freundlichen Grüßen >> >> Uwe Drießen >> -- >> Software & Computer >> Uwe Drießen >> Lembergstraße 33 >> 67824 Feilbingert >> >> Tel.: 06708660045 >> >> >> >

8 14

Re: [postfix-users] Ungewöhnliche Fehlermeldung "your DNS server is hosting spam provider"
by Hubert Schölnast 28 Jun '13

28 Jun '13

Uwe Drießen schrieb am 27.06.13 16:12: > Fein jetzt noch die Kommentarzeichen einfügen.... (>) Menno! Ihr sei aber schon ziemlich pingelig mit euren ungeschriebenen Regeln hier in dieser Mailingliste! Wollt ihr allen ernstes, das ich jetzt auch noch vor jede Zeile, die ich kommentiere, dieses Zeichen von Hand eintrage? Was denn noch alles??? Ihr solltet echt mal ernsthaft über ein Forum nachdenken, das diese mühsame Mailingliste ersetzt, denn dann hättet ihr all diese Sorgen nicht. Falls euer Webserver unter einer Linux-Version läuft, müsst ihr nur phpBB runterladen, es entpacken, ein paar Parameter einstellen, und fertig ist das Forum. Siehe https://www.phpbb.com. Das habt ihr innerhalb von 2 Stunden erledigt. Ich bin bei solchen Sachen immer extrem genau, vorsichtig und lieber etwas zu paranoid, und ich habe im Jahr 2006 4 Stunden gebraucht um ein Forum für meine damaligen Mit-Studenten aufzusetzen. In diesen 4 Stunden waren ein eigenes Logo und grundlegende Anpassungen des Layouts bereits enthalten. Da dieser Studiengang 2009 wieder zu Ende war, gibt es dieses Forum heute nicht mehr, daher kann ich es euch leider nicht zeigen. Mit einem Forum gibt es keine Probleme mit irgendwelchen Zitierregeln die außer euch keiner kennt, html-Probleme gibts auch keine, und es ist sowas von egal mit welchem Client (Browser) man sich das Forum anschaut. Ihr könnte Bereiche freischalten, wo jeder posten darf, und gleichzeitig auch Bereiche haben, wo nur registrierte User posten dürfen. Ihr behaltet die Kontrolle darüber, wer sich registrieren darf. Es ist sogar möglich, Bereiche zu haben, die ihr für eure interen Kommunikation nutzen könnt, ohne dass Unbeteiligte etwas davon mitbekommen (wobei ihr das vermutlich auch weiterhin mit einer Mailingliste lösen wollt, was bei einer kleiner Gruppe, deren Mitglieder sich kennen, auch eine gute Lösung ist). E-Mail ist ein ganz tolles Kommunikationsmedium, aber man sollte es dort verwenden, wo es sinnvoll ist. Für Anfragen von Benutzern aus aller Welt, die man der Öffentlichkeit zur Verfügung stellen will, ist es - meiner Meinung nach - das falsche Medium. Dafür sind Foren wesentlich besser geeignet. Ihr könnt euren Usern nicht vorschreiben, welche Clients (Browser bzw. MUAs) sie verwenden dürfen wenn sie Fragen zu der von euch betreuten Software haben. Und ihr könnt von Ihnen nicht verlangen, dass sie sich an Regeln halten, die innerhalb eurer Gruppe vielleicht als selbstverständlich gelten, die ihr aber nach außen hin nicht bekannt gemacht habt. Liebe Grüße Hubert Schölnast

11 17

[postfix-users] Erweiterte Konfiguration
by Mathias Reineke 26 Jun '13

26 Jun '13

Guten werte Mailinglisten Benutzer, ich habe letztendlich zwei relativ einfache Fragen, diesen geht allerdings eine recht lange Erklärung voraus, um die Rahmenbedingungen erschöpfend zu erleutern. Also bitte ich vorab um Entschuldigung für die leicht romanartigen Züge meines Beitrags Ich bin derzeit damit befasst ein kleines Mailsystem auf meiner Ubuntu-Box einzurichten. Die Box ist im Web unter der beispielhaften Domain "example.de", mit wechselnder IP, zu erreichen. Die erklärten ziele sind dabei: 1. Bereitstellung eines IMAP-Postfachs für verschiedene Nutzer, z.B. Füruser1(a)example.de (umgesetzt mit Dovecot) 2. Einsammeln der Mails aus verschiedenen Externen Postfächern pro Benutzer (z.b. Von user1myfirstidentity@web.de,mysecondidentity@googlemail.com; umgesetzt mittels Dovecot PostLoginScript und getmail) 3. Versenden von Mails über die Externen Postfächer (z.B. User1 kann über die Box als Absendermyfirstidentity(a)web.de verwenden, was dazu führt, dass die Mail über User1s Mailaccount bei Web.de geleitet wird; umzusetzen mit Postfix) (4.) Versand von @example.de Mails an externe Accounts soll nicht umgesetzt werden (z.b. Vonuser1(a)example.de anuser(a)de.postfix.org), dazu fehlt mir mindestens eine statische IP 5. Erzwungene Verschlüsselung der Verbindungen eines Benutzers zum den Komponenten des Mailsystems (dank verbreiteter Unterstützung von TLS in allen Komponenten ein Leichtes) Das so beschriebene Setup ist natürlich problemfrei umzusetzen. Jetzt folgt aber der schwierige Teil, nämlich die Randbedingungen zu den oben genannten Zielen: 1.a) Asymmetrische Verschlüsselung (PGP) aller Mails im Postfach des Benutzers 2.a) Pro Benutzer symmetrisch verschlüsselte Speicherung der Zugangsdaten zu den Externen Postfächern bzw. SMTP Servern 3.a) siehe 2.a) 5.a) die von den Benutzern zum Mailsystem übertragenen Anmeldedaten müssen in Klartext, oder mindestens in vorhersehbarer Form (bekannte Digest-Methode) vorliegen Diese Randbedingungen sollen es den Administratoren (ich bin nicht allein, und ich will auch nicht "aus Versehen" die Daten der Nutzer sehen können) und vor allem eventuellen Einbrechern erschweren die Mail- beziehungsweise Zugangsdaten der einzelnen Benutzer einzusehen. Ich schreibe "erschweren", da am Ende ein super user mindestens die Zugangsdaten lesen können wird, dazu aber in den Prozess der Mailzustellung eingreifen muss. Mir ist kein Ansatz eingefallen, die Daten meiner Benutzer noch stärker zu sichern, leider. Randbedingung 1.a) wird von Dovecot mit pro Benutzer verwalteten PGP Schlüsseln, beim einsortieren der Mails, umgesetzt werden (Evaluierung steht noch aus, zu förderst muss das Relaying an externe SMTP Server funktionieren). Randbedingung 2.a) basiert erneut auf Dovecot. Dovecot ermöglicht es über Prefetch-Queries das Klartextpasswort der sich gerade angemeldeten Benutzer kurz vorzuhalten und eine über die "Post Login Script" Funktionalität ausgelöste Aktion auszuführen. Somit ist es mir möglich, bei der Anmeldung eines Benutzers, seine mit seinem Box-Passwort verschlüsselten Zugangsdaten zu den externen Postfächern zu holen und zu entschlüsseln, und damit getmail zu füttern. Getmail stellt dann die Mails der externen Postfächer dem Benutzer zu (hier ist ein Ansatzpunkt für einen Einbrecher mit super user Rechten, da dieser das Post Login Script manipulieren kann, oder aber die Nutzerdaten aus dem getmail Prozess auszulesen vermag). Das ganze ist transparent für den Benutzer und funktioniert wunderbar (transparent in dem Sinne, dass der Benutzer eh erst sieht, dass er neue Mails hat, wenn es sich anmeldet, und nicht bemerkt [von einer k leine Verzögerung abgesehen], dass die Mails erst in diesem Moment eingesammelt werden). Nun folgen die eigentliche Probleme. 3. Ist mit Postfix und dessen sender_based_relay_maps sowie sender_restrictions pro Benutzer (ein Benutzer darf nur @example.de und seine externen Adressen als Absender angeben) sehr schön umzusetzen. Die Schwierigkeit liegt bei der Randbedingung 3.a). Ich benötige eine Möglichkeit, im Kontext des Sendens einer Mail über Postfix an das Klartextpasswort des Benutzer heranzukommen, um damit das Ergebnis des sender_based_relay Lookups zu modifizieren (Entschlüsselung der gespeicherten Daten entsprechend 2.a)). Frage 1: Gibt es ist Postfix eine Möglichkeit das Ergebnis des sender_based_relay Lookups mit dem Klartextpasswort aus der SMTP Anmeldung zu vermischen? Beim sender_based_relay-ing ergibt sich, in meiner Installation, ein weiteres Problem. Sollte der Postfix die Mail nicht sofort zum Zielserver (beispielsweise dem SMTP vom Web.de) zustellen können, wird er dies später erneut versuchen. Dazu benötigt er dann "später" die Zugangsdaten des Benutzers zum externen Server, befindet sich aber nicht mehr im Kontext der Anmeldung des Benutzers, und hat somit auch nicht mehr dessen Klartextpasswort zur Verfügung. Der Schlüssel, der für die Entschlüsselung der Zugangsdaten benötigt wird, muss bis zum erfolgreichen Zustellen (oder zum letztendlichen Aufgeben der Zustellung) der Mail vorgehalten werden. (Alternativ könnte die Mail in diesem Moment abgelehnt werden.) Darum Frage 2: ist es möglich, Postfix spezielle Informationen in den Envelope einer sich in der "ausgehenden" Queue befindlichen Mail zu schreiben, und diese beim Zustellungsversuch zur Manipulation der Relay-Lookups zu verwenden? Mit Envelope meine ich an dieser Stelle den Satz an Verwaltungsdaten, den Postfix für die Zustellung einer Mail verwendet, und der in keinem Fall jemals in einer Mail auftaucht, weder bei erfolgreicher Zustellung noch bei Bounce noch bei Benachrichtigung des Postmasters über unzustellbare Mails. (An dieser Stelle sei angemerkt, dass dann das Klartextpasswort des Benutzers, oder besser eine Ableitung davon, temporär auf der Festplatte gespeichert würde, was es einem Angreifer mit super user Rechten ermöglichte, dies zu lesen.) Sind jemandem von Ihnen Ansätze bekannt, die zugrunde liegenden Probleme von Frage 1 und Frage 2 zu lösen? Erneut muss ich mich entschuldigen, dass dieser Beitrag recht lang ist, jedoch denke ich, dass dies durch die Komplexität des entstehenden Systems bedingt ist. Ich hoffen meine Ausführungen ermöglichen eine Einordnung und bestenfalls positive Beantwortung meiner Fragen. Haben Sie vorab schon vielen Dank für die Beschäftigung mit meinen Fragen. Mit freundlichen Grüszen, Mathias Reineke

2 6

[postfix-users] Erweiterte Konfiguration
by Mathias Reineke 26 Jun '13

26 Jun '13

Guten Tag werte Mailinglisten Benutzer, ich habe letztendlich zwei relativ einfache Fragen, diesen geht allerdings eine recht lange Erklärung voraus, um die Rahmenbedingungen erschöpfend zu erleutern. Also bitte ich vorab um Entschuldigung für die leicht romanartigen Züge meines Beitrags Ich bin derzeit damit befasst ein kleines Mailsystem auf meiner Ubuntu-Box einzurichten. Die Box ist im Web unter der beispielhaften Domain "example.de", mit wechselnder IP, zu erreichen. Die erklärten ziele sind dabei: 1. Bereitstellung eines IMAP-Postfachs für verschiedene Nutzer, z.B. Füruser1(a)example.de (umgesetzt mit Dovecot) 2. Einsammeln der Mails aus verschiedenen Externen Postfächern pro Benutzer (z.b. Von user1myfirstidentity@web.de,mysecondidentity@googlemail.com; umgesetzt mittels Dovecot PostLoginScript und getmail) 3. Versenden von Mails über die Externen Postfächer (z.B. User1 kann über die Box als Absendermyfirstidentity(a)web.de verwenden, was dazu führt, dass die Mail über User1s Mailaccount bei Web.de geleitet wird; umzusetzen mit Postfix) (4.) Versand von @example.de Mails an externe Accounts soll nicht umgesetzt werden (z.b. Vonuser1(a)example.de anuser(a)de.postfix.org), dazu fehlt mir mindestens eine statische IP 5. Erzwungene Verschlüsselung der Verbindungen eines Benutzers zum den Komponenten des Mailsystems (dank verbreiteter Unterstützung von TLS in allen Komponenten ein Leichtes) Das so beschriebene Setup ist natürlich problemfrei umzusetzen. Jetzt folgt aber der schwierige Teil, nämlich die Randbedingungen zu den oben genannten Zielen: 1.a) Asymmetrische Verschlüsselung (PGP) aller Mails im Postfach des Benutzers 2.a) Pro Benutzer symmetrisch verschlüsselte Speicherung der Zugangsdaten zu den Externen Postfächern bzw. SMTP Servern 3.a) siehe 2.a) 5.a) die von den Benutzern zum Mailsystem übertragenen Anmeldedaten müssen in Klartext, oder mindestens in vorhersehbarer Form (bekannte Digest-Methode) vorliegen Diese Randbedingungen sollen es den Administratoren (ich bin nicht allein, und ich will auch nicht "aus Versehen" die Daten der Nutzer sehen können) und vor allem eventuellen Einbrechern erschweren die Mail- beziehungsweise Zugangsdaten der einzelnen Benutzer einzusehen. Ich schreibe "erschweren", da am Ende ein super user mindestens die Zugangsdaten lesen können wird, dazu aber in den Prozess der Mailzustellung eingreifen muss. Mir ist kein Ansatz eingefallen, die Daten meiner Benutzer noch stärker zu sichern, leider. Randbedingung 1.a) wird von Dovecot mit pro Benutzer verwalteten PGP Schlüsseln, beim einsortieren der Mails, umgesetzt werden (Evaluierung steht noch aus, zu förderst muss das Relaying an externe SMTP Server funktionieren). Randbedingung 2.a) basiert erneut auf Dovecot. Dovecot ermöglicht es über Prefetch-Queries das Klartextpasswort der sich gerade angemeldeten Benutzer kurz vorzuhalten und eine über die "Post Login Script" Funktionalität ausgelöste Aktion auszuführen. Somit ist es mir möglich, bei der Anmeldung eines Benutzers, seine mit seinem Box-Passwort verschlüsselten Zugangsdaten zu den externen Postfächern zu holen und zu entschlüsseln, und damit getmail zu füttern. Getmail stellt dann die Mails der externen Postfächer dem Benutzer zu (hier ist ein Ansatzpunkt für einen Einbrecher mit super user Rechten, da dieser das Post Login Script manipulieren kann, oder aber die Nutzerdaten aus dem getmail Prozess auszulesen vermag). Das ganze ist transparent für den Benutzer und funktioniert wunderbar (transparent in dem Sinne, dass der Benutzer eh erst sieht, dass er neue Mails hat, wenn es sich anmeldet, und nicht bemerkt [von einer k leine Verzögerung abgesehen], dass die Mails erst in diesem Moment eingesammelt werden). Nun folgen die eigentliche Probleme. 3. Ist mit Postfix und dessen sender_based_relay_maps sowie sender_restrictions pro Benutzer (ein Benutzer darf nur @example.de und seine externen Adressen als Absender angeben) sehr schön umzusetzen. Die Schwierigkeit liegt bei der Randbedingung 3.a). Ich benötige eine Möglichkeit, im Kontext des Sendens einer Mail über Postfix an das Klartextpasswort des Benutzer heranzukommen, um damit das Ergebnis des sender_based_relay Lookups zu modifizieren (Entschlüsselung der gespeicherten Daten entsprechend 2.a)). Frage 1: Gibt es ist Postfix eine Möglichkeit das Ergebnis des sender_based_relay Lookups mit dem Klartextpasswort aus der SMTP Anmeldung zu vermischen? Beim sender_based_relay-ing ergibt sich, in meiner Installation, ein weiteres Problem. Sollte der Postfix die Mail nicht sofort zum Zielserver (beispielsweise dem SMTP vom Web.de) zustellen können, wird er dies später erneut versuchen. Dazu benötigt er dann "später" die Zugangsdaten des Benutzers zum externen Server, befindet sich aber nicht mehr im Kontext der Anmeldung des Benutzers, und hat somit auch nicht mehr dessen Klartextpasswort zur Verfügung. Der Schlüssel, der für die Entschlüsselung der Zugangsdaten benötigt wird, muss bis zum erfolgreichen Zustellen (oder zum letztendlichen Aufgeben der Zustellung) der Mail vorgehalten werden. (Alternativ könnte die Mail in diesem Moment abgelehnt werden.) Darum Frage 2: ist es möglich, Postfix spezielle Informationen in den Envelope einer sich in der "ausgehenden" Queue befindlichen Mail zu schreiben, und diese beim Zustellungsversuch zur Manipulation der Relay-Lookups zu verwenden? Mit Envelope meine ich an dieser Stelle den Satz an Verwaltungsdaten, den Postfix für die Zustellung einer Mail verwendet, und der in keinem Fall jemals in einer Mail auftaucht, weder bei erfolgreicher Zustellung noch bei Bounce noch bei Benachrichtigung des Postmasters über unzustellbare Mails. (An dieser Stelle sei angemerkt, dass dann das Klartextpasswort des Benutzers, oder besser eine Ableitung davon, temporär auf der Festplatte gespeichert würde, was es einem Angreifer mit super user Rechten ermöglichte, dies zu lesen.) Sind jemandem von Ihnen Ansätze bekannt, die zugrunde liegenden Probleme von Frage 1 und Frage 2 zu lösen? Erneut muss ich mich entschuldigen, dass dieser Beitrag recht lang ist, jedoch denke ich, dass dies durch die Komplexität des entstehenden Systems bedingt ist. Ich hoffen meine Ausführungen ermöglichen eine Einordnung und bestenfalls positive Beantwortung meiner Fragen. Haben Sie vorab schon vielen Dank für die Beschäftigung mit meinen Fragen. Mit freundlichen Grüszen, Mathias Reineke

2 2

[postfix-users] SMTP AUTH mit Cyrus SASL und auxprop
by Andreas Hahne 22 Jun '13

22 Jun '13

Guten Tag, zur Zeit versuche ich, auf einem Ubuntu-System (10.04) einen Postfix-Mailserver einzurichten und zur externen Authentifizierung Cyrus SASL zu verwenden. Bei der Konfiguration habe ich mich nach dem Buch "Postfix" von Ralf Hildebrandt und Patrick Ben Koetter gerichtet. Bis zum Einrichten von Cyrus hatte ich dabei auch keine Probleme, leider scheitere ich jetzt bei der Authentifizierung mit der Passwort-Check-Methode auxprop gegen eine MySQL-Datenbank. Die fehlenden Log-Ausgaben von MySQL sprechen in meinen Augen dafür, dass gar keine SQL-Anfrage an die DB gesendet wird (manuelle SQL-Anfragen werden geloggt). Hier komme ich bei meiner Fehlersuche allerdings nicht weiter. Daher habe ich die Ausgaben von saslfinger angehängt und hoffe, dass mir jemand weiterhelfen kann. Ich muss gestehen, dass ich nach langem Probieren den Versuch abgebrochen habe, den Sample-Server/Client zu testen, da zwischen Client und Server überhaupt keine Kommunikation zustande kam. Offenbar sind die Kommandozeilenparameter der Ubuntu-Packages grundsätzlich andere als bei der im Buch verwendeten Variante. Grüße Andreas

2 1