- postfix-users - list.sys4.de

DKIM konforme Mailing-Listen
by Tobias Hachmer 05 Aug '15

05 Aug '15

Hallo Liste, habe die beiden Blog-Einträge auf blog.sys4.de gelesen und versuche grade eine DKIM-konforme Mailing Liste zu konfigurieren. Mailman Version 2.1.20 Die entsprechenden Direktiven in der mmcfg.py sehen so aus: --- # The following is a three way setting. It sets the default for the list's # from_is_list policy which is applied to all posts except those for which a # dmarc_moderation_action other than accept applies. # 0 -> Do not rewrite the From: or wrap the message. # 1 -> Rewrite the From: header of posts replacing the posters address with # that of the list. Also see REMOVE_DKIM_HEADERS above. # 2 -> Do not modify the From: of the message, but wrap the message in an outer # message From the list address. DEFAULT_FROM_IS_LIST = 1 ALLOW_FROM_IS_LIST = Yes # Do not break existing DKIM signatures DEFAULT_SUBJECT_PREFIX = "" DEFAULT_MSG_HEADER = "" DEFAULT_MSG_FOOTER = "" --- Leider meckert mein Mail-Server immernoch, dass die erste DKIM-Signatur nicht mehr korrekt sei und die Mail verändert wurde. Da stehe ich aktuell auf dem Schlauch. Des Weiteren ist mir aufgefallen, dass hier auf der Liste der From-Header nicht mehr "Autor via Listenname" lautet sondern nur den ursprünglichen Autor enthält. Warum ist das so und die DKIM-Signaturen sind trotzdem korrekt? Viele Grüße, Tobias P.S.: Anbei ein Beispiel eines Header einer Mail meiner Liste: Authentication-Results: winnetou.kokelnet.de (amavisd-new); dkim=pass (2048-bit key) header.d=lists.freifunk-mwu.de header.b=gVoLtNo9; dkim=fail (1024-bit key) reason="fail (message has been altered)" header.d=hachmer.de header.b=mTQwAKes DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d= lists.freifunk-mwu.de; h=reply-to:from:from:list-subscribe :list-help:list-post:list-archive:list-unsubscribe:list-id :precedence:content-type:content-type:mime-version:user-agent :date:date:message-id:subject:subject:received:received:received :received:received:received:received:received:received; s= mail201507; t=1438710780; x=1440525181; bh=No13gESS3ijjWw4vdYwTT 749sVehetUqcGudn0DUXcI=; b=gVoLtNo9zsIAGXBq1MRVWZGMr6bM+e2UW/3x3 tL/Ud3BgPz2pHlDH3c9RydaT/TedkpMoQ3Q9L73QoLeF4IkPu+EXV1UbDImcfiQP OwZ/uaz9pN+41iACfZq49WApMsjiM8mk6Jycl9vMejY4p1RBfJwD1B+emVivfmXZ 2ODZkAy1LbZbyhCruum2xY3hP94adMyLb66U2TW6f9m4m3/8f25Rhjeail4XhxE6 FHeRMf26YnL628Sn1Gbut3Kkn7MSmJO6HNmR90X4nJI4R0nzM+YzMlbsZjcFUsHU rWH5/UZJp3ZL4VNaGDiX02yZEV9hHNId/vm5tl+ngONs8eyjw== DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=hachmer.de; h= content-type:content-type:mime-version:user-agent:date:date :message-id:subject:subject:from:from:received:received :received; s=d1024; t=1438710777; x=1440525178; bh=No13gESS3ijjW w4vdYwTT749sVehetUqcGudn0DUXcI=; b=mTQwAKesMfgjATTYbCfIKM6w3TCuC iyZZ2FECgV1KNBxOMduHh9SNb2wyMacEymb7hZKoHETG52G3sDMHM1zzujgG31X9 2z7S+WXN+YtdcNqmRBlKqCf42XydI/LIqvzhSUiDuxSUM1GZ/Jf8O9tK4yuUDUuW +DEErLQXl6i248= To: admin(a)lists.freifunk-mwu.de Subject: test X-Mailman-Version: 2.1.20 From: Tobias Hachmer via Admin <admin(a)lists.freifunk-mwu.de> Reply-To: Tobias Hachmer <tobias(a)hachmer.de>

3 6

Client IP im Transportheader unterdrücken wenn SASL authentisiert
by Peter Heitzer 03 Aug '15

03 Aug '15

Ist es in Postfix möglich, die Client IP im Header zu unterdrücken, wenn der Client sich mit SASL authentisiert hat. Beispiel für einen Header: Return-path: <xxx.yyy(a)mydomain.de> Received: from mymta(a)mydomain.de ([IP meines MTA]) by relay(a)mydomain.de with ESMTP; Mon, 03 Aug 2015 16:27:10 +0200 Received: from mymta(a)mydomain.de (localhost [127.0.0.1]) by localhost (Postfix) with SMTP id 05EA864F2 for <xxx.yyy(a)mydomain.de>; Mon, 3 Aug 2015 16:27:10 +0200 (CEST) Received: from pcxyz(a)jwd.de (pcyyz(a)jwd.de [IP von pcxyz(a)jwd.de]) (using TLSv1 with cipher AES128-SHA (128/128 bits)) Die letzte Received: Zeile von pcxyz(a)jwd.de soll unterdrückt werden. Hintergrund ist folgender: Wir haben auf unseren MTAs Sophos PureMessage im Einsatz. Bei unserer Spampolicy prüfen wir eingehende Mails von authentisierten Clients nur auf Viren. Wenn nun aber die Mail im TO oder CC an Empfänger außerhalb geht und die IP-Adresse des Clients ist blackgelistet, dann würde u.U. die Mail beim Empfänger als Spam eingestuft. Wir wollen aber, daß die Mail so aussieht, als käme sie von unserer Domain. Ist soetwas einfach möglich? Ich persönlich halte den Eintrag mit der Client IP für sinnvoll bei evtl. Fehleranalysen, aber von oberster Stelle ist es so gewünscht.

2 1

smtpd_helo_restrictions
by Lars Täuber 30 Jul '15

30 Jul '15

Hallo zusammen, wie ist das mit den helo restrictions? Bei unseren MX hosts habe ich folgende Restriktionen eingeschaltet: smtpd_helo_required = yes smtpd_helo_restrictions = reject_invalid_helo_hostname reject_non_fqdn_helo_hostname permit_mynetworks reject_unknown_helo_hostname Ich kenne die RFCs nicht. Deshalb die Frage, ob diese Einstellungen zu streng sind? Was ist hierzu die best practice? Es gibt folgende Logs: NOQUEUE: reject: RCPT from mail.xarapalace.com.mt[195.158.101.82]: 450 <CSWXARA-DMZ.cswxara.net>: Helo command rejected: Host not found; from=<XXXXX(a)xarapalace.com.mt> to=<YYYYY(a)bbaw.de> proto=ESMTP helo=<CSWXARA-DMZ.cswxara.net> Es wird jedoch eine Antwort auf eine dorthin erfolgreich gesendete Mail erwartet. Dank und Grüße Lars

1 0

DNS & MX
by Lars Täuber 29 Jul '15

29 Jul '15

Hallo zusammen, leider bin ich kein DNS Experte, deshalb hier eine kurze Frage: Muss der MX host für eine Domäne im gleichen Namensraum wie die Domäne selbst sein? Oder geht auch soetwas: # host globalyoungacademy.net globalyoungacademy.net has address 185.21.102.180 globalyoungacademy.net mail is handled by 20 mx2.bbaw.de. globalyoungacademy.net mail is handled by 10 mail.bbaw.de. web.de und GMX akzeptieren das ohne Probleme. Allerdings gibt es auch solche Fehlermeldungen in den Logs: NOQUEUE: reject: RCPT from smtp.ug.edu.gh[197.255.124.93]: 450 <YYYYY(a)ug.edu.gh>: Sender address rejected: undeliverable address: host ugmsrv.ug.edu.gh[197.255.124.93] said: 550 Sender domain <mail.bbaw.de> has no DNS MX entry (in reply to MAIL FROM command); from=<YYYYY(a)ug.edu.gh> to=<XXXXX(a)globalyoungacademy.net> proto=ESMTP helo=<ugmsrv.ug.edu.gh> Hat das einen Zusammenhang? Danke und Grüße Lars

3 3

Postfix SMTP Auth + LDAP - Absender prüfen
by Stephan Jacob 27 Jul '15

27 Jul '15

Hallo Postfix-Runde, ich betreibe ein ausgehendes Relay mit SMTP Auth. Ferner haben wir eine LDAP Nutzerdatenbank, die alle Accounts und Mail-Aliase zu einem Account beinhaltet. Dabei hat jeder Account eine "Haupt-Mailadresse" und er kann noch x-beliebige weitere Aliase haben die dann im LDAP zugeordnet sind. Auf dem ausgehenden Relay, wo die Nutzer sich mit Accountnamen und Passwort authentifizieren, möchte ich nur Mails durchlassen, wo der Absender ein Alias (oder die Haupt-Mailadresse) des Accounts ist, mit welchem sich authentifiziert wird. Wie setze ich das in Postfix um? Es gibt ja den Parameter smtpd_sender_login_maps. Ist das der richtige Weg? Wie kann ich da das LDAP anbinden und wie müsste dann die LDAP-Konfiguration aussehen, damit ich dort prüfen kann, dass der Absender der Mail auch zum Account passt? Muss ggf. noch andere Postfix Parameter setzen? Ich habe bereits das LDAP im Relay eingebunden, damit ich die Mails die intern versendet werden korrekt routen kann. D.h. wenn über das Ausgangsrelay Uni-intern gesendet wird, wird die Mail gleich auf dem Ausgangsrelay an den enspr. Account auf dem Postbox-Server weitergeleitet. Ich benutze dazu folgende ldap.conf die über den Parameter virtual_alias_maps = ldap:/etc/postfix/ldap.conf eingebunden ist: bind = yes bind_dn = cn=ZYXWU,ou=Hosts,dc=uni-magdeburg,dc=de bind_pw = ABCDEFGHIJKLMNOP version = 3 timeout = 20 size_limit = 1 expansion_limit = 0 server_host = ldap://ldap3.ovgu.de, ldap://ldap2.ovgu.de search_base = ou=people,dc=uni-magdeburg,dc=de query_filter = (mailLocalAddress=%s) result_attribute = mailForwardingAddress debuglevel = 0 VG Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

2 1

smtp_tls_policy_maps und backup MX
by django＠nausch.org 16 Jul '15

16 Jul '15

HI Patrick, HI all! Mit der Postfix-Option smtp_tls_policy_maps kann ich ja für beliebige Ziel-Domains eine abweichende Gewichtung bei der nötigen TLS-Verschlüsselung erreichen.(1) Das Ganze funktioniert ja soweit recht einfach und gut - wenn, und jetzt kommt die Einschränkung - wenn es eine Zieldomäne ohne Backup-MX betrifft. Wie, was ich da meine? O.K. ich erklär es mal an einem Beispiel. Fall 1: ======= Die Domäne example.edu hat nur einen MX-Record mit Namen mx01.example.edu Auf meinem Mailserver habe ich nur definiert: /etc/postfix/main.cf: smtp_tls_policy_maps = hash:/etc/postfix/tls_policy_maps /etc/postfix/tls_policy: example.edu encrypt Versucht nun mein MX eine eMail bei mx01.example.edu abzuliefern, macht er das nur, wenn eine trusted TLS-Connection zu mx01.example.edu zu Stande kommt. Kann keine TLS-Verbindung hergestellt werden, wir die eMail gequeuet mit all den Folgen. Also entweder wird solange versucht die Mail zuzustellen, bis auch eine TLS-Verbindung zu Stande kam, oder sie wird gebounced. Also hier stimmt dier Erwartung mit dem Ergebnis 100% überein. Fall2: Die Domäne example.com hat nicht nur einen MX-Record sondern 2! example.com. 86400 IN MX 10 mx01.example.com. example.com. 86400 IN MX 20 mx01.example.net. Die Domäne hat also eine Haupt MX und als Backup-MX fungiert der Mailserver mx01.example.com. Auf meinem Mailserver habe ich nur definiert: /etc/postfix/main.cf: smtp_tls_policy_maps = hash:/etc/postfix/tls_policy_maps /etc/postfix/tls_policy: example.com encrypt example.net encrypt Dann versuchen wir doch mal ein paar eMails zu verschicken: Test1: Klappt das mit der TLS-Verschlüsselung, wird die eMail brav zugestellt, im Idealfall an den Server mit der niedrigeren Priiorität, in dem Beispiel also mx01.example.com Test2: Beim Server mx01.example.com klappt die TLS-Verbindung warum auch immer nicht. Was erwarten wir? Na, die Nachricht soll auf dem zweiten MX mx01.example.net mit der Priorität 20 zugestellt werden. Das macht der Server auch und schickt die Nachricht dann via TLS (mx01.example.net hat als Standard smtpd_tls_security_level = may gesetzt) an mx01.example.net Test3: Unser eigener Server (Client) soll laut Definition mit den Zielservern von example.com und example.net nur über eine verschlüsselte Verbindung kommunizieren und versucht nun eine eMail an ceo(a)example.com zu senden. Laut MX-Record im DNS weiss mein Server, dass er als erstes sein Glück beim Server mx01.example.com versuchen soll. Leider klappt die TLS-Verbindung nicht, also wir mein Serveres wo versuchen? Genau beim Backup-MX. Leider klappt dort der TLS-Handshake auch nicht. Tja was erwarten wir? Die Nachricht wird zurückbehalten und an einem der beiden zuständigen MXe zugestellt, sobald der TLS-Kanal zu stande kommt- dauerts zu lange wird gebounced. Was passiert? <trommelwirbel> die Nachricht wird von meinem MX beim backup-MX mx01.example.net *ohne* TLS-Verbindung zugestellt! *möp* Also passiert genau das, was wir nicht wollten, die Nachricht wird unverschlüsselt übertragen, genau das, was wir mit der Konfiguration von smtp_tls_policy_maps eigentlich verhindern wollten. :/ So und nun ist der große Meister dran. Wie kann ich meinem Postfix-Client zwingen, bei gesetzter zwingenden TLS-Verschlüsselung auch wirklich nur zu senden, wenn der TLS-Channel auch wirklich zur Verfügung gestellt und das gleichgültig auf welchen MXer ich rauskomme? Any idea? Ich für meinen Teil, steh erst mal etwas arg ratlos da! Servus Django (1) http://www.postfix.org/postconf.5.html#smtp_tls_policy_maps -- http://dokuwiki.nausch.org http://wetterstation-pliening.info http://ebersberger-liedersammlung.de

2 1

Frage zur Spamabwehr ....
by Stefan Weber 12 Jul '15

12 Jul '15

Hallo, seit in der main.cf unter smtpd_recipient_restrictions die check_sender_access hash:/etc/postfix/sender_access, check_client_access cidr:/etc/postfix/client_access, werkeln, wird schon einiges abgefangen. Der durchgelassene Spam wird trotzdem nicht weniger, weil immer neue IP's auftauchen. Die Anzahl der SpamMails die durchkommen, bleiben ungefähr gleich, so um die 50 über 1-2 Tage. Aufbau und Inhalt lassen die Vermutung aufkommen, dass da der/die gleichen Versender zu Werke sein könnten, was der weiteren Idee Nahrung gibt, dass die IP's der vermeintlich absendenden Server gefakt (gespooft) sein könnten. Gibt es in Postfix eine einfache Methode zu validieren, ob die IP im Header und der tatsächlichen Server identisch sind? Vielen Dank für die Antworten im Voraus !!! Stefan

5 5

Erzwingen von Fehler 550 an Stelle von Warnung 450
by Walter H. 10 Jul '15

10 Jul '15

Hallo, kann mir jemand bitte verraten wie ich bei Postfix erzwinge, daß er an Stelle eines 450 einen 550 liefert? hier meine main.cf: http://pastebin.com/3Fvb6WXy und mit telnet localhost 25 passiert das: [root@filter ~]# telnet localhost 25 Trying ::1... Connected to localhost. Escape character is '^]'. 220 filter.local ESMTP Postfix (2.6.6) ehlo filter.local 250-filter.local 250-PIPELINING 250-SIZE 20972032 250-VRFY 250-ETRN 250-ENHANCEDSTATUSCODES 250 8BITMIME mail from: <Rybansunglasses(a)fitdomesticcompany.com> 250 2.1.0 Ok rcpt to: <walter(a)filter.local> 450 4.1.8 <Rybansunglasses(a)fitdomesticcompany.com>: Sender address rejected: Domain not found und genau hier benötige ich an Stelle des 450-Fehlers einen 550 Fehler, nur wie? mein main.cf (http://pastebin.com/3Fvb6WXy) hat so ziemlich alle reject-codes auf 550 gesetzt, nur woher kommt dieser 450? Danke im voraus. -- Mit freundlichen Grüßen, Ing. Walter Höhlhubmer [e-Mail: walter.h(a)mathemainzel.info]

3 10

Email mit txt und html wie txt darstellen wenn Tabelleninformationen
by Thomas 29 Jun '15

29 Jun '15

Hallo, ich weiß nicht ob ich hier richtig bin, aber es ist auch ein aktuelles Problem des Emailversands. Ich habe in einer Email Informationen darzustellen. Das geht am besten in einer ganz einfachen Tabelle mit zwei Spalten. Bei HTML ist das alles kein Problem. Man nimmt eine einfache Tabelle und fertig. Im txt Modus schreibe ich: "Eine Anzeige dieser E-Mail ist nur als HTML möglich." Mehr und mehr Leute möchten allerdings die Informationen auch im reiner txt Form lesen. Wie stelle ich da Tabelleninformationen da, so etwa: bezeichner: information bezeichneranders: info oder soll man Leerzeichen zum auffüllen benutzen bezeichner: information bezeichneranders: info Gruss Thomas

3 3

ANN: DNSSEC-Day - 1,5 Jahre Erfahrung mit DNSSEC und DANE im Videostream
by Patrick Ben Koetter 25 Jun '15

25 Jun '15

Postfix Users! Am kommenden Dienstag, den 30. Juni, veranstalten Heise, BSI und DENIC den DNSSEC-Day auf http://heise.de/netze/dnssec-day. Carsten (Strotmann) und ich werden als DNSSEC- und DANE-Experten mit dabei sein. Von 12 bis 18 Uhr sind wir alle im Video Livestream und beantworten Fragen rund um DNSSEC und DANE. Der Nachmittag teilt sich in vier Blöcke: DNSSEC Wofür man die Technik braucht, wie sie in Grundzügen funktioniert Anwendersicht Wie setzen Clients DNSSEC ein, welche Provider und DNS-Server sind ratsam Administratoren Eigene Domäne absichern, Registrare finden, Fallstricke vermeiden DNSSEC als Plattform Wofür sich DNSSEC zusätzlich eignet: Openpgpgkey, SMIME/A, SSH Fingerpring, IPSec Um die Themen herum haben wir Screencasts vorbereitet, die z.B. die Aktivierung eines DNSSEC-fähigen Resolvers auf verschiedenen Plattformen demonstrieren. Eine Liste mit Links zu deutschen DNSSEC-Registraren wird es (endlich) auch geben... Nur um noch ein weiteres FAQ zu nennen, das wir in den letzten 1,5 Jahren DANE Evangelismus immer wieder gehört haben. Weitere Details zum Programm hat heise Netze in seinem Artikel "Am 30. Juni ist DNSSEC-Day" <http://www.heise.de/netze/meldung/Am-30-Juni-ist-DNSSEC-Day-2723932.html> zusammengestellt. Ich hoffe, ihr schaut rein. Wir haben die Veranstaltung absichtlich in Admin-freundliche Uhrzeiten hineingelegt. Wir freuen uns auf neugierige Fragen! p@rick -- [*] sys4 AG https://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

1 0

SRS mit Postfix
by Marco Dickert 16 Jun '15

16 Jun '15

Moin, ich möchte gern Sender-Rewriting mit Postfix realisieren, weil ich für einige Domains keine Postfächer, sondern nur Weiterleitungen (meist zu Freemailern) eingerichtet habe. Wenn der ursprüngliche Sender einen SPF-Record hat, landen diese weitergeleiteten Mails oftmals im Spam-Ordner der Empfänger. Bekannte Lösung ist ja das Umschreiben der Envelope-Adresse. Ich habe dazu diesen Artikel gefunden: http://christophfischer.com/linux/15-mailserver/56-sender-rewriting-scheme-… Wird das von euch zur Nachahmung empfohlen, oder gibt es mittlerweile "bessere" Lösungen (oder sogar ein Debian-Paket)? Viele Grüße, --- Marco Dickert marco(a)misterunknown.de http://misterunknown.de

4 4

Wie SSL Fingerprint in den Transportheader bringen?
by Peter Heitzer 16 Jun '15

16 Jun '15

Ein Kollege fragte mich, ob es möglich sei, im Transportheader den Fingerprint einer SSL Verbindung mit abzuspeichern. Soweit ich es verstehe, müsste man dazu den TLS Loglevel auf >=2 stellen, wovon allerdings in der Dokumentation außer für Debugzwecke dringend abgeraten wird. Gibt es eine andere Möglichkeit dazu? Wir verwenden Postfix 2.9.4 auf SLES11 SP3.

2 1

Re: an hotmail.de versendet von meinem lokalen Server klappt nicht, Webmail vom Provider klappt.
by J. Echter 13 Jun '15

13 Jun '15

Am 13.06.2015 um 00:01 schrieb Mein Papierkorb: > Am 12.06.2015 um 23:07 schrieb J. Echter: >> Am 12.06.2015 um 22:00 schrieb Robert Schetterer: >>> Am 12.06.2015 um 21:53 schrieb Robert Schetterer: >>>> Am 12.06.2015 um 20:30 schrieb J. Echter: >>>>> Hi, >>>>> >>>>> also wie im Betreff beschrieben. >>>>> >>>>> Wenn ich eine Mail von meinem lokalen System sende bekomme ich: >>>>> >>>>> This is the mail system at host cluster. >>>>> >>>>> I'm sorry to have to inform you that your message could not >>>>> be delivered to one or more recipients. It's attached below. >>>>> >>>>> For further assistance, please send mail to postmaster. >>>>> >>>>> If you do so, please include this problem report. You can >>>>> delete your own text from the attached returned message. >>>>> >>>>> The mail system >>>>> >>>>> <xxx.xxx(a)hotmail.de>: host mailserver.burg-gmbh.de[176.9.65.175] >>>>> said: 550 >>>>> Relay denied for <hotmail.de> (in reply to RCPT TO command) >>>>> >>>>> >>>>> Wenn ich die Mail über das Webmail von meinem Anbieter (burg-gmbh.de) >>>>> sende klappts. >>>>> >>>>> Was ist da los? >>>>> >>>>> Habe das Problem nur bei hotmail, sonst funktioniert das System recht >>>>> gut. :) >>>>> >>>>> Viele Grüsse >>>>> >>>>> Jürgen >>>> mach mal >>>> >>>> dig -t mx hotmail.de >>>> >>>> da sollte "nicht" mailserver.burg-gmbh.de rauskommen >>>> wenn ja ,ist dein dns total aus dem Ruder... >>>> >>>> andere Moeglichkeit du hast dein Mailrouting verhunzt >>>> falscher transport Eintrag etc, evtl wolltest >>>> du einen "slow" transport fuer hotmail einrichten und hast einen >>>> copy paste Fehler etc >>>> >>>> >>>> >>>> >>>> >>>> >>>> Best Regards >>>> MfG Robert Schetterer >>>> >>> hm, ich haette besser hinsehen sollen...war wohl zu heiss heute >>> >>> eigentlich sagt die Meldung >>> nur aus dass mailserver.burg-gmbh.de mails fuer hotmail.de >>> nicht relayed, sendest als xxx(a)hotmail.de ueber ein relay etc, wenn ja >>> warum tust du das ? >>> >>> Best Regards >>> MfG Robert Schetterer >>> >> Hi, >> >> also bei allen anderen Providern klappt mein Setup. >> >> xxx.xxx(a)hotmail.de ist die Empfängeradresse, ich habe das, wie immer, >> aus Thunderbird heraus gesendet. >> >> mit hotmail hab ich in meinen .conf files gar nix. >> >> Genauso wie ich diese E-Mail über das gleiche System schicke, die >> kommt ja auch an :) >> >> Grüsse >> >> Jürgen > > Hi Jürgen, > > Naja, aber Dein Anbieter, die Burg-Gmbh scheint wohl Mails, die an > hotmail.de gehen sollen nicht weiterzuleiten - warum auch immer. > Möglich, dass das webmailing über einen anderen mailserver bei deinem > anbieter läuft, der diese restriktion nicht hat. > Ich würde die Fehlermeldung mal zum Anbieter schicken - da wirst Du > selbst nichts ändern können. > Das ist ne Einstellung am Mailserver. Oder hast Du Zugriff darauf > (weil du schreibst "lokaler Server")? > > Gruß, > Markus > > Hi, ja an den habe ich mich gewendet und der meinte ich wäre der einzige mit diesem Problem und ich soll mal mein Mail System näher beschreiben. Wollte sicherstellen das es nichts sein kein was meine Konfiguration erzeugt wird. Hab denen jetzt nochmal geschrieben. :) Danke Jürgen

1 0

an hotmail.de versendet von meinem lokalen Server klappt nicht, Webmail vom Provider klappt.
by J. Echter 12 Jun '15

12 Jun '15

Hi, also wie im Betreff beschrieben. Wenn ich eine Mail von meinem lokalen System sende bekomme ich: This is the mail system at host cluster. I'm sorry to have to inform you that your message could not be delivered to one or more recipients. It's attached below. For further assistance, please send mail to postmaster. If you do so, please include this problem report. You can delete your own text from the attached returned message. The mail system <xxx.xxx(a)hotmail.de>: host mailserver.burg-gmbh.de[176.9.65.175] said: 550 Relay denied for <hotmail.de> (in reply to RCPT TO command) Wenn ich die Mail über das Webmail von meinem Anbieter (burg-gmbh.de) sende klappts. Was ist da los? Habe das Problem nur bei hotmail, sonst funktioniert das System recht gut. :) Viele Grüsse Jürgen

2 3

Umstellung von Postfix virtual auf Dovecot LDA
by Marco Dickert 03 Jun '15

03 Jun '15

Hallo Postfix'ler, ich habe eine kurze Frage bezüglich der lokalen Mailzustellung. Und zwar nutze ich bisher Postfix virtual als Zustellungsmechanismus. Ich habe einige Alias-Domains, für die ich nur Mails weiterleite (keine lokalen Postfächer) und einige virtuelle Mailboxen. Ich möchte nun, um Sieve-Skripte nutzen zu können, die lokale Zustellung auf den Dovecot-LDA umstellen. Meine Frage diesbezüglich ist: Werden Mails, die normalerweise weitergeleitet werden sollen (virtual_alias_domains, virtual_alias_maps), dann immer noch direkt von Postfix weitergeleitet? Oder übergibt Postfix *alles* an Dovecot, und die Aliase müssen dort separat nochmal konfiguriert werden? Ich hoffe ich konnte meine Frage verständlich stellen. Viele Grüße, --- Marco Dickert marco(a)misterunknown.de http://misterunknown.de

3 8

Postfix und LDAP - Problem bei LDAP Ausfall
by Stephan Jacob 27 May '15

27 May '15

Hallo, ich habe ein ungewöhnliches Verhalten bei meinen Mailservern, was ich mir nicht erklären kann: Ich habe ein Relay für den Empfang von Mails, ganz normal über Port 25. Dann habe ich ein Relay für den "Postausgang", wo die Clients über Port 587 mit Starttls einliefern. Auf beiden Servern habe ich unser LDAP eingebunden, um die Mails auch an die entsprechenden Postfächer zu leiten. Dabei habe ich in der LDAP Konfiguration (siehe unten) 2 LDAP Sever hinterlegt. Wenn nun ein LDAP-Server ausfällt, wird bei dem Empfangsrelay sofort und automatisch der zweite LDAP-Server in der Liste gewählt und der Mailtransport läuft ganz normal weiter. Bei unserem Ausgangsrelay funktioniert dieser Automatismus irgendwie nicht. Ich kann mir nicht erklären warum nicht. D.h. das Relay versucht immer weiter den ausgefallenen LDAP-Server abzufragen. Alle Server dürfen natürlich auch die beiden LDAP-Sever abfragen. Wenn ich auf dem Ausgangsrelay die Reihenfolge der Server in der LDAP-Konfig ändere wird auch der nun erste Server abgefragt. Nur leider kommt Postfix nicht auf die Idee, automatisch den anderen Server zu nutzen, wenn der erste down ist. Dafür bleibt der Mailtransport einfach stehen. Im Log steht nur das der LDAP-Server nicht erreichbar ist. D.h. Postfix scheint auch wirklich zu erkennen, dass der aktuelle Server nicht mehr da ist. Woran liegt es, dass das Ausgangsrelay nicht einfach den LDAP-Server wechselt, wenn einer der LDAP Server nicht erreichbar ist? Wie kann ich dem Verhalten mal auf die Spur kommen? Auf beiden Mailservern habe ich exakt dieselbe Postfix-Version (2.7.0), die exakt gleiche LDAP-Konfig Datei und habe LDAP auch exakt gleich in Postfix eingebunden. D.h. auf beiden Servern ist folgendes konfiguriert: main.cf: virtual_alias_maps = ldap:/etc/postfix/ldap.conf, hash:/etc/postfix/maps/swmd, hash:/etc/postfix/maps/mappings ldap.conf: # # LDAP Defaults # # See ldap.conf(5) for details # This file should be world readable but not world writable. #BASE dc=example, dc=com #URI ldap://ldap.example.com ldap://ldap-master.example.com:666 #SIZELIMIT 12 #TIMELIMIT 15 #DEREF never bind = yes bind_dn = cn=ABCDEFG,ou=Hosts,dc=uni-magdeburg,dc=de bind_pw = XXXXXXXXXXXXX version = 3 timeout = 20 size_limit = 1 expansion_limit = 0 server_host = ldap://ldap3.ovgu.de, ldap://ldap2.ovgu.de search_base = ou=people,dc=uni-magdeburg,dc=de query_filter = (mailLocalAddress=%s) result_attribute = mailForwardingAddress debuglevel = 0 Viele Grüße Stephan Stephan Jacob Otto-von-Guericke Universität Magdeburg Universitätsrechenzentrum (URZ) Universitätsplatz 2 Gebäude 26 - 035 39106 Magdeburg Tel.: 0391-67-58572 Fax: 0391-67-11134

3 2

catchall, bounce messages, ...
by Walter H. 26 May '15

26 May '15

Hallo, habe eine etwas kompliziertere Umgebung zu Hause; 3 virtuelle Maschinen als Mailserver server1: Postfix mit Cyrus als Mail-Store (Zugriff über IMAP) server2: Postfix als ausgehender Mail-Server server3: Postfix mit Fetchmail als eingehender Mail-Server ---[ server1 ]--- server1 ist auf den Clients als SMTP und als IMAP Server konfiguriert; /etc/postfix/transport beinhaltet das server1.domain.local lmtp:unix:/var/lib/imap/socket/lmtp domain.local smtp:server1.domain.local * smtp:server2.domain.local entsprechend im main.cf: transport_maps = hash:/etc/postfix/transport bzw. smtp_generic_maps = hash:/etc/postfix/generic (hier werden interne adressen wie z.B. root(a)server1.domain.local in gültige von der weiten Welt erreichbare Mail-adressen umgewandelt) virtual_alias_maps = hash:/etc/postfix/virtual (hier werden interne adressen wie z.B. root(a)server1.domain.local einem ordner wie z.B. name+sub zugeordnet und auch ein catchall derart @domain.local bzw. @server1.domain.local einem ordner wie z.B. name+sub.catchall zugeordnet bzw. realisiert) relayhost ist nicht gesetzt; die anderen beiden haben im main.cf den relayhost mit [server1.domain.local]:25 gesetzt ---[ server2 ]--- server2 ist der ausgehende Mail-Server /etc/postfix/dependent_relayhost @maildomain smtpserver:port (web-hoster, gmx, isp, ...) entsprechend im main.cf sender_dependent_relayhost_maps = hash:/etc/postfix/dependent_relayhost bzw. smtp_sasl_auth_enable = yes smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd (ordnet den einzelnen smtp-servern jeweils userid+password zu) mein isp macht es kompliziert, daher auch das smtp_sender_dependent_authentication = yes (sasl_passwd entsprechend umfangreicher) ---[ server3 ]--- und jetzt der eigentliche Teil: server3 als eingehender Mail-Server hier im main.cf local_recipient_maps = luser_relay = catchall(a)domain.local notify_classes = bounce, 2bounce, delay, protocol, resource, software bounce_notice_recipient = catchall(a)domain.local 2bounce_notice_recipient = catchall(a)domain.local delay_notice_recipient = catchall(a)domain.local und weiters smtpd_delay_reject = yes smtpd_helo_required = yes smtpd_helo_restrictions = permit_mynetworks, reject_unknown_hostname, reject_non_fqdn_helo_hostname smtpd_client_restrictions = permit_mynetworks, reject smtpd_etrn_restrictions = permit_mynetworks, reject smtpd_sender_restrictions = reject_unknown_sender_domain smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination, permit smtpd_end_of_data_restrictions = smtpd_restriction_classes = smtpd_reject_unlisted_sender = yes smtpd_reject_unlisted_recipient = yes unknown_address_reject_code = 550 body_checks = pcre:/etc/postfix/body_chks.pcre body_checks_size_limit = 1048576 header_checks = regexp:/etc/postfix/hdr_chks.regex, pcre:/etc/postfix/hdr_chks.pcre header_checks_size_limit = 131072 und in fetchmailrc z.B. set daemon 224 set postmaster "root(a)waldinet.home" set properties "" set bouncemail set no spambounce set softbounce defaults smtphost server3.domain.local poll pop.gmx.net with proto POP3 user ###### there with password "password" is name+GMX hier hätte ich gerne dass egal welche bouncemail auch immer generiert wird, diese an direkt an z.B. catchall(a)domain.local geht und nicht retour via server2 wo es entweder versandet oder mit folgender Zeile in /etc/postfix/dependent_relayhost <> server1.domain.local:25 eine Mailloop generiert und diese bouncemail beim postmaster landet ... alle 3 server sind ein centos 6.x und haben postfix 2.6.6 bitte um Hinweise ob ich es richtig gemacht habe, und wenn nein, wie es geht ... Danke, Walter

1 0

Postfix 2.11 und smtpd_tls_dh1024_param_file
by Django [BOfH] 24 May '15

24 May '15

Heyho Patrick, Ich hab in meiner main.cf folgendes stehen: # Django : 2014-10-19 - EDH Server support # http://www.postfix.org/FORWARD_SECRECY_README.html # Definition des 512 bit Schlüssels (export ciphers) # für die obsoleten „Export“-Ciphers und des 2048-bit # (non export ciphers) Schlüssels für all die anderen # EDH Cipher Suits. # default: smtpd_tls_dh512_param_file = # smtpd_tls_dh1024_param_file = smtpd_tls_dh1024_param_file = /etc/pki/tls/private/dh_2048.pem smtpd_tls_dh512_param_file = /etc/pki/tls/private/dh_512.pem Wann genau lädt der Postfix 2.11. eigentlich diese beiden Dateien? Passiert das nur beim initialen Start des master-daemon oder immer dann wenn eine TLS-Verbindung initiiert wird? Du weisst das doch sicherlich, oder? ;) Servus Django -- "Bonnie & Clyde der Postmaster-Szene!" approved by Postfix-God http://wetterstation-pliening.info http://dokuwiki.nausch.org http://wiki.piratenpartei.de/Benutzer:Django

6 11

DHL Spam
by Sören Mindorf 21 May '15

21 May '15

Hallo zusammen, wir bekommen hier in den letzten Wochen immer wieder DHL Paketankündigungen mit Links oder mit Dateianhängen in denen dann der Email Inhalt mit dem Link angehängt ist. Der Link ist entweder ein reines PDF oder aber ein PDF im ZIP. Konntet Ihr dies auch beobachten und wenn ja, wie kann ich das wegfiltern? Ich habe nichts gefunden, worauf man irgendwelche Regex machen kann. Hier mal eine Mail von denen: https://s.mit42.de/7XSmK Unser Mailgateway ist eine Sophos und ich würde gerne davor oder dahinter ein Postfix stellen, wenn dieser besser filtern könnte, aber mir fällt nichts ein, wie ich das bewerkstelligen kann. Was mich am Meisten verwundert ist die Tatsache, dass die Spammer unsere Email Adressen kennen, auch die internen, die in keinem Adressbuch vorhanden sind. Danke und Gruß Sören -- Sören Mindorf

5 4

Doppelter exclude_cipher Eintrag?
by Benedikt Schindler 21 May '15

21 May '15

Hallo, ich habe eine Kurze Verständnisfrage. Auf Heise.de wurde wegen der neuen Logjam-Attacke folgende exclude_ciphers für postfix empfohlen: smtpd_tls_mandatory_exclude_ciphers = aNULL, eNULL, EXPORT, DES, RC4, MD5, PSK, aECDH, EDH-DSS-DES-CBC3-SHA, EDH-RSA-DES-CDC3-SHA, KRB5-DE5, CBC3-SHA Meine Frage: Ist der Eintrag EDH-DSS-DES-CBC3-SHA nicht überflüssig da ja später alle cyphers deaktiviert werden in denen CBC3-SHA vorkommt, oder verstehe ich da etwas falsch? Gruß Benedikt Schindler P.S.: Ausserdem fällt mir da gerade auf, dass EDH-RSA-DES-CDC3-SHA wahrscheinlich EDH-RSA-DES-CBC3-SHA lauten soll.

1 1

Mail löschen, wenn nicht zustellbar
by Marco Dickert 18 May '15

18 May '15

Guten Morgen, auf meinem Webserver laufen mehrere Webseiten mit mehreren Domains. Ein Postfix leitet Emails für bestimmte Domains an andere Email-Adressen weiter. Nun gibt es Mails, die mein Spam-Filter nicht erkennt, aber Google beispielsweise schon. Im Mail-Log taucht dann sowas auf: May 13 09:20:19 kronos postfix/smtp[5189]: 22393141539: to=< xxxxxxx(a)gmail.com>, relay=gmail-smtp-in.l.google.com[2a00:1450:4013:c00::1a]:25, delay=2.1, delays=0.08/0.01/1.2/0.79, dsn=5.7.1, status=bounced (host gmail-smtp-in.l.goo gle.com[2a00:1450:4013:c00::1a] said: 550-5.7.1 [2a01:4f8:140:9324::2 12] Our system has detected that this 550-5.7.1 message is likely unsolicited mail. To reduce the amount of spam sent 550-5.7.1 to Gmail, this message has been bloc ked. Please visit 550-5.7.1 http://support.google.com/mail/bin/answer.py?hl=en&answer=188131 for 550 5.7.1 more information. 20si31421217wjz.5 - gsmtp (in reply to end of DATA command)) Danach landet die entsprechende Mail in der Queue und wird immer wieder versucht zu senden, was weiterhin fehlschlägt. Kann ich Postfix irgendwie sagen, dass er diese Mails direkt löschen soll? Viele Grüße, Marco

5 6

Mail und Redundanz. Was ist möglich?
by Matthias Egger 15 May '15

15 May '15

Servus Liste Für ein neues Setup das ich hier aufbauen will, stellt sich mir die Frage, was man denn bei dovecot und postfix redundant auslegen kann und soll. Ziel des Setup soll es sein, dass jeweils 50% ausfallen können (sei es durch HW defekte oder geplante Wartung) und die restlichen 50% überbrücken dann eine Weile den Ausfall. So wie ich das sehe gibt es 3 Stellen, die man redundant auslegen müsste: * Eingehende, zu empfangende Mails (MTA) * Ausgehende, zu versendende Mails (MTA) * Mailverwaltung (ablage in Postfächer, Lesen der Mails etc.)(MDA) Punkt 1 scheint die leichteste Übung zu sein. * Zwei gleichwertige (also z.B. beide MX10) MX-Frontrelays in verschiedenen Netzen aufbauen welche Spamfilterung machen und mittels address verification via LTMP zu einem dovecot kontakt aufnehmen um die User zu prüfen. Auch für Punkt 3 scheint es bereits von Haus aus interessante Lösungen zu geben. Ich hätte jetzt wie in peers dovecot Buch beschrieben die Lösung: "Active/Active-Cluster mit Echtzeit-Replikation" eingesetzt. Grosse Fragezeichen habe ich nun aber bei der Übergabe der Emails von den MX-Frontrelays an Dovecot sowie bei den zu versendenden Emails. MX-Frontrelay Übergabe: So wie ich das sehe, kann ich für eine Zieldomain ja jeweils nur einen Relay angeben. Somit müsste ich bei MX1 als relay für example.com dovecot1 angeben, wohingegen ich bei MX2 dovecot2 angeben würde. Wie stelle ich es nun aber an, dass bei einem Ausfall von dovecot1 der MX1 automatisch an dovecot2 weiterleitet? Oder muss ich das gar nicht weil MX1 dann einen temporären Fehler meldet und der "Client" es dann entweder bei MX2 versucht oder halt später nochmals kommt? Mailversand: Hier habe ich die grössten Fragezeichen. Wie kann ich hier eine einfache Lösung für Endbenutzer bewerkstelligen, damit diese nur z.B. smtp.example.com definieren müssen und bei Ausfall von smtp1 automatisch über smtp2 senden und umgekehrt? Und wo sollte man smtp1 resp. smtp2 laufen lassen? Auf den MXen oder auf den Dovecots? Schon mal danke fürs durchlesen und beantworten. Lieber Gruss Matthias -- Matthias Egger ETH Zurich Department of Information Technology maegger(a)ee.ethz.ch and Electrical Engineering IT Support Group (ISG.EE), ETL/F/24.1 Phone +41 (0)44 632 03 90 Physikstrasse 3, CH-8092 Zurich Fax +41 (0)44 632 11 95

3 11

Re: Postfix - Versand nur lokale User
by chris.vps＠posteo.de 29 Apr '15

29 Apr '15

Danke schon mal! Hab jetzt "authorized_submit_users = root, meinkleinerspezielleruser" in der main.cf ergänzt und mit "postfix reload" die config-files neu eingelesen. Hoffe, das passt erst mal. Wenn ein böser Mensch nun über diese beiden User (root geht schon mal gar nicht) Zugang zu meinem System findet, bekomm ich das wenigstens mit (eine programmierte Brieftaube flüstert mir das dann ;) ). Eine letzte Frage: Ist dieses Vorgehen auch sinnvoll, um böse Buben auszusperren? Danke, Gruß Chris Am 26.04.2015 23:25 schrieb Florian Pritz: > Am 2015-04-26 22:30, schrieb chris.vps(a)posteo.de: >> Postfix läuft nur, damit ich Systemnachrichten erhalten kann (an eine >> externe Mailadresse). Sprich, der Mailversand soll eigentlich NUR von >> root oder dem einzigen User auf meinem System aus erlaubt sein. > > http://www.postfix.org/postconf.5.html#authorized_submit_users

4 4

Postfix aliase in mysql und ldap
by Magnus Wagner 29 Apr '15

29 Apr '15

Hallo alle, ich habe ein kleines Problem und stehe total auf dem Schlauch. Alle mysql-aliase funktioneren, alle LDAP-aliase werden ignoriert. Auch wenn ich mysql komplett raus neheme hilft das nicht. Es gibt keine user die sowohl in mysql als auch im LDAP vorhanden sind. Folgende Konfiguration liegt vor Die mysql-aliase funktionieren seit gut 8 Jahren. /etc/postfix/main.cfg Myorigin = dhm.de Mydestinations = dhm.de, $FQDN alias_maps = hash:/etc/aliases, ldap:/etc/postfix/aliases.ldap, mysql:/etc/postfix/mysql-virtual_forwardings.cf local_recipient_maps = $alias_maps mysql gibt bei einer email username(a)dhm.de username(a)INTERN.dhm.de zurück. (INTERN groß nur zum zeigen wo der Unterschied ist) Ldap soll das gleiche machen und scheint das auch zu tun: #/usr/sbin/postmap -q "username2(a)dhm.de" ldap:/etc/postfix/aliases.ldap username2(a)intern.dhm.de Im Logfile sieht mysql folgendermassen aus: Apr 28 16:42:28 hvs3 postfix/smtp[27345]: 98DFE203F7: to=<username(a)intern.dhm.de>, orig_to=<username(a)dhm.de>, relay=RELAYSERVER.intern.dhm.de[IP]:25, delay=0.47, delays=0.01/0/0/0.45, dsn=2.6.0, status=sent (250 2.6.0 <20150428164232-1.1.v.l.0.pjglnjjbr3(a)openemm.invalid> [InternalId=5767] Queued mail for delivery) LDAP hingegen so: Apr 28 16:55:14 hvs3 postfix/local[27677]: 81E50203F7: to=<username2(a)dhm.de>, relay=local, delay=0.08, delays=0.04/0.01/0/0.02, dsn=5.1.1, status=bounced (unknown user: "username2") Konkret geht es um die Umstelllung von einem mailsystem auf ein anderes. In diesem Rahmen möchte ich die extra Mysqldatenabnk los werden. Hat irgendwer eine Idee wo und wie ich diesem verhalten auf die Schliche komme oder mache ich etwas grunsätzlich falsch. Das die User lokal nicht existieren ist klar. Grüße aus Berlin, Magnus /etc/postfix/aliases.ldap server_host = ldap://LDAPSERVER:389server_port = 389 search_base = ou=ExchangeTest,ou=intern,ou=Nutzer,dc=intern,dc=dhm,dc=de bind = yes bind_dn = CN bind_pw = PASSWORT query_filter = (&(|(objectclass=person)(objectclass=group))(|(proxyAddresses=smtp:%s)(proxyAddresses=SMTP:%s))) result_attribute=mail result_format=%u(a)intern.dhm.de debuglevel = 0 version = 3 -- Stiftung Deutsches Historisches Museum Unter den Linden 2 | 10117 Berlin Tel: 030-20304-0 | Fax: 030-20304-543 Präsident: Prof. Dr. Alexander Koch Magnus Wagner IT-Manager/Administrator Abteilung IT Telefon: +49 (0)30 20304 113 Mobil : +49 176 10310423 ++++ AUSSTELLUNGEN ++++ 21. November 2014 bis 26. April 2015 RAF – Terroristische Gewalt 24. April bis 25. Oktober 2015 1945 – Niederlage. Befreiung. Neuanfang Zwölf Länder Europas nach dem Zweiten Weltkrieg Dauerausstellung Deutsche Geschichte in Bildern und Zeugnissen www.dhm.de/ausstellungen www.facebook.com/DeutschesHistorischesMuseum

3 5

Postfix - Versand nur lokale User
by chris.vps＠posteo.de 26 Apr '15

26 Apr '15

Ahoi Matrosen (und Matrosinnen), ein einfaches (so hoffe ich) Ansinnen, bei dem ihr mir vielleicht helfen könnt: Soeben habe ich Postfix unter Debian (Wheezy/Stable/VPS) aufgesetzt. Mailversand funktioniert. Postfix läuft nur, damit ich Systemnachrichten erhalten kann (an eine externe Mailadresse). Sprich, der Mailversand soll eigentlich NUR von root oder dem einzigen User auf meinem System aus erlaubt sein. Wenn ich das richtig sehe und ich den Versand auf diese beiden Nutzer irgendwie "beschränken" könnte, könnte ich unerwünschten Spam vermeiden. Daher meine Bitte: Wie realisiere ich das am Einfachsten? Besten Dank vorab, Chris

1 0

sender_bcc_maps nur bei Versand über Relayhost
by Frank Ebert 21 Apr '15

21 Apr '15

Moin, folgendes Szenario: Ich habe als relay_domains folgende Ziele konfiguriert: domain1.de lmtp:unix:private/lmtp-dovecot domain2.de lmtp:unix:private/lmtp-dovecot Der Rechner versendet seine (externen) Mails über einen Relayhost (sender_dependent_relayhost_maps). Alle Mails, die ich selbst an @domain1.de oder @domain2.de sende, werden also nicht über den Relayhost verschickt, sondern über den lokalen Dovecot. Nun soll Postfix für alle Mails, die über den Relayhost verschickt werden eine bcc-Mail erstellen. Meine Idee war nun dies über sender_bcc_maps in der master.cf zu lösen. Hierfür habe ich der Zeile smtp inet n - n - - smtpd die folgende Option mitgegeben: -o cleanup_service_name=cleanup_smtp und cleanup_smtp wie folgt konfiguriert: cleanup_smtp unix n - n - 0 cleanup -o sender_bcc_maps=hash:/usr/local/etc/postfix/sender_bcc_maps Danach werden auch bcc-Mails erstellt. Jedoch nicht nur für die Mails, die über den Relayhost verschickt werden, sondern auch die Mails, die über lmtp-dovecot verschickt werden. Wo ist mein Denkfehler? Wie kann ich mein Vorhaben umsetzen? Gibt es "schönere" Wege? Vielen Dank! Frank

1 1

Welches Postfix-Timeout ist für smtpd_recipient_restrictions Scripte zuständig?
by Benedikt Schindler 14 Apr '15

14 Apr '15

Hallo, ich habe bei 2 Domains die bei mir Mails einliefern wollen ein Timeout-Problem. Die Server verbinden sich, senden mir ihre RCPT-To Daten, und dann überprüft ein SPF-Script ob alles korrekt ist. Nach 3 Minuten 30 Sekunden bricht unser Server wegen Timeout ab. Nach 5 Miniuten bekommt er die Antwort vom SPF-Script. 1.) Ich weiss dass der eigentliche Hauptgrund für das Timeout eine wahnsinnig langsame SPF auflösung bei diesen beiden speziellen Domains ist. 2.) Aber ich verstehe nicht welches Postfix-Timeout dafür zuständig ist für den Abbruch. So wie ich die Parameter command_time_limit und policy-spf_time_limit verstehe müsste er mindestens 16 Minuten warten und bei SPF sogar unglaubliche 60 Minuten. Welches Timeout übersehe ich, oder welches Timeout verstehe ich falsch? Gruß Benedikt Postconf: command_time_limit = 1000s policy-spf_time_limit = 3600s smtp_data_init_timeout = 120s smtp_mail_timeout = 300s smtp_rcpt_timeout = 300s Log des Einlieferungsversuchs: 2015-04-12T15:35:43.452512+02:00 s16510537 postfix/smtpd[30673]: connect from mail-bn1bon0090.outbound.protection.outlook.com[157.56.111.90] 2015-04-12T15:35:43.890736+02:00 s16510537 postfix/smtpd[30673]: Anonymous TLS connection established from mail-bn1bon0090.outbound.protection.outlook.com[157.56.111.90]: TLSv1.2 with cipher ECDHE-RSA-AES256-SHA384 (256/256 bits) 2015-04-12T15:35:53.898612+02:00 s16510537 postgrey[27193]: action=pass, reason=triplet found, client_name=mail-bn1bon0090.outbound.protection.outlook.com, client_address=157.56.111.90, sender=[...](a)starwoodhotels.com, recipient=[...](a)owayo.com 2015-04-12T15:39:15.062377+02:00 s16510537 postfix/smtpd[30673]: NOQUEUE: reject: RCPT from mail-bn1bon0090.outbound.protection.outlook.com[157.56.111.90]: 451 4.3.5 Server configuration problem; from=<[...](a)starwoodhotels.com> to=<[...](a)owayo.com> proto=ESMTP helo=<na01-bn1-obe.outbound.protection.outlook.com> 2015-04-12T15:39:15.215569+02:00 s16510537 postfix/smtpd[30673]: disconnect from mail-bn1bon0090.outbound.protection.outlook.com[157.56.111.90] 2015-04-12T15:40:00.501212+02:00 s16510537 postfix/policy-spf[30675]: : Policy action=PREPEND Received-SPF: none (starwoodhotels.com: No applicable sender policy available) receiver=s16510537.onlinehome-server.info; identity=mailfrom; envelope-from="[...](a)starwoodhotels.com"; helo=na01-bn1-obe.outbound.protection.outlook.com; client-ip=157.56.111.90 2015-04-12T15:41:40.049505+02:00 s16510537 postfix/policy-spf[30709]: : Policy action=PREPEND Received-SPF: none (starwoodhotels.com: No applicable sender policy available) receiver=s16510537.onlinehome-server.info; identity=mailfrom; envelope-from="[...](a)starwoodhotels.com"; helo=na01-bn1-obe.outbound.protection.outlook.com; client-ip=157.56.111.90 2

3 3

Transport Load Balancing/Fallback
by Frost, Christian 13 Apr '15

13 Apr '15

Hallo, ich stehe vor folgender Aufgabe und weiss hier leider nicht wie ich diese loesen kann. Ich habe zwei externe Mailserver (mail1.domain.tld,mail2.domain.tld) diese sind fuer den ein und ausgehenden Mailverkehr zustaendig. Zusaetzlich habe ich ein internes Mailsystem/Mailrelay mit Postfix welches Scans usw. vornimmt und abschliessend einen internen Postfach Server wo alle Mailkonten liegen. mail1.domain.tld \ <-> postfix-relay.domain.intern <-> postfachsrv.domain.intern mail2.domain.tld / Auf dem Postfix System ist eine Transport Map vorhanden in folgender Form: * smtp:mail1.domain.tld sub1.domain.intern smtp:postfachsrv.domain.intern sub2.domain.intern smtp:postfachsrv.domain.intern Nun gibt es fuer mail1.domain.tld einen A Record der genau eine IP zurueck liefert. Meine Aufgabe ist es nun das der Postfix Server Mails mit dem Ziel "*" nicht nur an mail1.domain.tld sendet, sondern im Fehlerfall an mail2.domain.tld. Am schoensten waere es natuerlich wenn es nicht nur die Moeglichkeit eines Fallback gibt sondern das der Postfix Server die Mails auf beide Systeme verteilt. Ich wollte hier eigentlich keinen zusaetzlichen Server in die Kette als Loadbalancer aufnehmen. Die Loesung den gleichen A Record mit unterschiedlichen IPs anzulege , um DNS round robin zu ermoeglichen, finde ich nicht wirklich brauchbar. Gibt es hier auch andere Moeglichkeiten, dies realisieren? Gruss Christian

4 6

howto Postfix und Dovecot?
by "Mathias Hägele" 10 Apr '15

10 Apr '15

Hallo, möchte meinen Mailserver wieder zum Leben erwecken ... Deshalb die Frage in die Runde: Kennt jemand ein gutes Howto für Postfix mit Dovecot bzw. gute auch gerne Grundlagen-Ressourcen hauptsächlich im Hinblick auf Dovecot. (Das Dovecot Wiki ist imho nicht schlecht aber teilweise widersprüchlich z.B. meckert er bei mir wenn ich einige Optionen 1:1 übernehme ...) Irgendwie habe ich es geschafft mein System "kaputtzukonfigurieren" es gibt hauptsächlich Probleme im Hinblick mit Authentifizierung. Es ist ein Debian (Wheezy) System und die Authentifizierung sollte/kann gerne über dovecot laufen, bin aber nicht darauf festgenagelt. Habe einige Jahre relativ wenig in der Materie gemacht und die Doku ist die Konfiguration ;-). ... (Das Endziel wäre wenn der Srv. mal wieder funktioniert diesen auf einen 2. Rootserver in eine kvm VM zu migrieren aber das ist momentan noch ferne Zukunftsmusik...) Danke Vorab! MH

2 2

access_client_whitelist domain statt IP
by Thomas 08 Apr '15

08 Apr '15

Hallo, in der /etc/postfix/access_client_whitelist habe ich stehen 123.123.123.123 OK Das funktioniert auch soweit, Emails die von einem Postfix Server von der IP 123.123.123.123 kommen werden angenommen. Nun ändert sich leider doch alle paar Wochen die IP dieses Rechners. Kann ich auch my.domain.de OK machen? Da der Sender soft_bounce = yes hat wären kleine Verzögerungen in der Auflösung von my.domain.de kein Problem. Ich weiß, das ist alles nicht optimal, aber eine statische IP nur für diesen Dienst kommt bald und dann werde ich wohl auch einen OpenVPN Tunnel machen und ich will bis dahin nicht alles mit userid/pw Authentifizierung usw. machen. Gruss Thomas

2 1

Spamassassin Bayes DB
by Joachim Fahrner 02 Apr '15

02 Apr '15

Hallo zusammen, ich habe hier ein kleines Problem mit der Spamassassin Bayes DB. Spamassassin läuft bei mir als postfix-milter unter dem User debian-spamd. Alles was mit autoloearn=yes gekennzeichnet wurde landet auch brav in der Bayes DB. Für Mails die dem spamd durchrutschen habe ich das Plugin dovecot-antispam installiert, und Mails die von der Inbox in den Junk Ordner verschoben werden, lernt es auch brav in die Bayes DB ein, nur leider in die falsche: nämlich die vom User vmail (unter dem läuft der Dovecot). So bringt das ganze nix. Wie muss man das konfigurieren dass Postfix und Dovecot in die gleiche Bayes DB trainieren, wenn sie unter verschiedenen Usern laufen? Kennt jemand dazu eine Anleitung im Netz? -- Mit besten Grüßen Joachim Fahrner

3 5

Server timing out when sending larger messages
by Catscrash 27 Mar '15

27 Mar '15

Hi, Ich hab einen neuen VPS-Server, der mir einige Probleme mit Timeouts gibt, die ich so noch nie hatte. Die Probleme tauchen bei manchen Providern bei allen Mails auf, bei anderen nur bei größeren (~800k = größer) Das sieht dann in etwa so aus: Mar 24 18:02:08 __HOST__ postfix/smtp[27831]: Anonymous TLS connection established to mail.XXX.org[XX.XX.XX.XX]:25: TLSv1.2 with cipher AECDH-AES256-SHA (256/256 bits) Mar 24 18:08:06 __HOST__ postfix/smtp[27831]: 7F4D8D486F7: to=<xx(a)xx.xx>, relay=mail.XXX.org[xx.xx.xx.xx]:25, delay=19438, delays=18916/0.03/169/353, dsn=4.4.2, status=deferred (conversation with mail.XXX.org[xx.xx.xx.xx] timed out while sending message body) Passiert mit gmail, t-online, etc. aber auch mit einem anderen meiner Server, der normalerweise keinerlei Probleme macht, sodass ich da auch mal die Gegenseite sehen kann: Mar 24 18:02:08 root postfix/smtpd[28051]: Anonymous TLS connection established from __HOSTNAME__[yy.yy.yy.yy]: TLSv1.2 with cipher AECDH-AES256-SHA (256/256 bits) Mar 24 18:02:19 root postfix/policyd-weight[12338]: decided action=PREPEND X-policyd-weight: NOT_IN_SBL_XBL_SPAMHAUS=-1.5 NOT_IN_SPAMCOP=-1.5 (only DNSBL check requested); <client=__HOSTNAME__[yy.yy.yy.yy]> <helo=__HOSTNAME__> <from=ZZZ@__HOSTNAME__> <to=xx(a)yy.zz>; delay: 1s Mar 24 18:02:19 root postgrey[18205]: action=pass, reason=recipient whitelist, client_name=__HOSTNAME__, client_address=yy.yy.yy.yy, sender=ZZZ@__HOSTNAME__, recipient=xx(a)yy.org Mar 24 18:02:19 root postfix/smtpd[28051]: 73104482C241: client=__HOSTNAME__[yy.yyy.yyy.yy] Mar 24 18:02:40 root postfix/cleanup[28654]: 73104482C241: message-id=<> Mar 24 18:03:56 root postfix/smtpd[28683]: initializing the server-side TLS engine Mar 24 18:17:27 root postfix/smtpd[28051]: timeout after DATA (16309 bytes) from __HOSTNAME__[yy.yyy.yyy.yy] postconf -n: alias_database = hash:/etc/aliases alias_maps = hash:/etc/aliases append_at_myorigin = yes append_dot_mydomain = no biff = no broken_sasl_auth_clients = yes config_directory = /etc/postfix dovecot_destination_recipient_limit = 1 imscp-arpl_destination_recipient_limit = 1 inet_interfaces = all inet_protocols = ipv4 local_destination_recipient_limit = 1 local_recipient_maps = unix:passwd.byname $alias_database local_transport = local mail_spool_directory = /var/mail mailbox_command = procmail -a "$EXTENSION" mailbox_size_limit = 0 message_size_limit = 0 mydestination = $mydomain mydomain = __HOSTNAME__.local myhostname = __HOSTNAME__ mynetworks_style = host myorigin = $myhostname recipient_delimiter = + relay_domains = hash:/etc/postfix/imscp/relay_domains smtp_bind_address = yy.yyy.yyy.yyy smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt smtp_tls_loglevel = 1 smtp_tls_mandatory_protocols = !SSLv2, !SSLv3 smtp_tls_protocols = !SSLv2, !SSLv3 smtp_tls_security_level = may smtpd_banner = $myhostname smtpd_data_restrictions = reject_multi_recipient_bounce, reject_unauth_pipelining smtpd_helo_required = yes smtpd_helo_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_invalid_helo_hostname, reject_non_fqdn_helo_hostname smtpd_recipient_restrictions = reject_non_fqdn_recipient, reject_unknown_recipient_domain, permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination, reject_unlisted_recipient, permit smtpd_relay_restrictions = smtpd_sasl_auth_enable = yes smtpd_sasl_authenticated_header = yes smtpd_sasl_path = smtpd smtpd_sasl_security_options = noanonymous smtpd_sasl_type = cyrus smtpd_sender_restrictions = reject_non_fqdn_sender, reject_unknown_sender_domain, permit_mynetworks, permit_sasl_authenticated smtpd_tls_CAfile = /etc/ssl/private/ca-bundle.crt smtpd_tls_auth_only = no smtpd_tls_cert_file = /etc/ssl/private/xxxxxx.pem smtpd_tls_key_file = /etc/ssl/private/xxxxxx..key smtpd_tls_loglevel = 1 smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3 smtpd_tls_protocols = !SSLv2, !SSLv3 smtpd_tls_received_header = yes smtpd_tls_security_level = may transport_maps = hash:/etc/postfix/imscp/transport virtual_alias_maps = hash:/etc/postfix/imscp/aliases virtual_gid_maps = static:8 virtual_mailbox_base = /var/mail/virtual virtual_mailbox_domains = hash:/etc/postfix/imscp/domains virtual_mailbox_limit = 0 virtual_mailbox_maps = hash:/etc/postfix/imscp/mailboxes virtual_minimum_uid = 999 virtual_transport = dovecot virtual_uid_maps = static:999 Eigentlich ist der VPS recht flott und reagiert schnell, ping zeiten sind sehr gut und ich habe ansonsten noch nichts bemerkt was langsam erscheint, aber aus irgendeinem Grund scheint das bei SMTP nicht der Fall zu sein. Ich hab sicherheitsalber iptables geflushed, falls da irgendwas blockendes drin ist, hat aber nichts geholfen. Habt ihr eine Idee? Danke!

2 2

komisches neues Verhalten bei Postfix 3.0.0
by Christian Bricart 26 Mar '15

26 Mar '15

Tach zusammen, ich hab' grade mal in einem Anflug von Wahnsinn mich an das Upgrade von Postfix auf 3.0.0 gemacht ;-) hat prinzipiell gar nicht weh getan, weil die neuen Defaults aus der COMPATIBILITY_README eh schon meine Defaults waren - also ging das Aktivieren von > compatibility_level = 2 direkt und ohne Schmerzen ;) Aber *ein* neues Verhalten wurmt mich: warum fummelt die Version beim Starten in/an meiner main.cf rum und appended einfach jedesmal sinnlose Defaults: > queue_directory = /var/spool/postfix > meta_directory = /etc/postfix > command_directory = /usr/sbin > sample_directory = /etc/postfix > newaliases_path = /usr/bin/newaliases > mailq_path = /usr/bin/mailq > readme_directory = no > sendmail_path = /usr/sbin/sendmail > daemon_directory = /usr/libexec/postfix > manpage_directory = /usr/local/man > html_directory = no > data_directory = /var/lib/postfix > shlib_directory = /usr/lib64/postfix/${mail_version} zusätzlich gibt es ja wohl neuerdings(?) eine Datei ${meta_directory}/postfix-files welches mir beim Starten immer dem Symlink meiner main.cf folgt und sie dann statt dem Link da hinkopiert.. dort drin steht zumindest was von "f" für die main.cf - allerdings für die master.cf auch und die lässt er in Ruhe.. Wo finde ich denn Doku wie man das "The-Postfix-Way" macht..? Weil ausser "Do not edit this file." finde ich nix ;-) Danke Christian

1 0

bcc_senders
by Joachim Fahrner 22 Mar '15

22 Mar '15

Hallo, ich bin auf einen anderen Server umgezogen, habe alle Konfigfiles kopiert, und jetzt geht was nicht mehr auf dem neuen Server :-( Ich nutze bcc_senders um mir per plus-adressierung eine Kopie in den Sent-Ordner zu legen. Beispiel: jf(a)fahrner.name jf+sent(a)fahrner.name sendet eine Kopie an mich selbst. Im Dovecot habe ich eine Sieve-Regel für das Feld "delivered-to", wenn da "jf+sent(a)fahrner.name" drin steht verschiebe ich es in den Sent-Ordner. Das klappt jetzt nicht mehr. Ich kriege zwar die Kopie, aber in "delivered-to" fehlt das "+sent". Ich hab grad gar keine Idee wo ich nach dem Fehler suchen könnte. -- Mit besten Grüßen Joachim Fahrner

2 4

helpful_warnings=no schaltet nicht "override earlier entry" Warnings aus
by Axel Beckert 10 Mar '15

10 Mar '15

Hallo, wir verteilen unsere main.cf auf Server und Workstations per Konfigurationsmanagement. Es gibt eine Default-main.cf, die meistens ausreicht. Braucht es Abweichungen, so werden diese durch ein beim Deployment angehängtes per-host-Konfigurationsschnipsel gelöst. In diesem sind ggf. Einstellungen drin, die in der Default-Datei bereits mit anderen Wertten drin sind, um diese zu überschreiben. Mit Debian 7 Wheezy und Postfix 2.9.6 funktioniert dies wunderbar, aber seit Debian 8 Jessie und Postfix 2.11.3 jammert Postfix in verschiedensten Situationen über diese "Überschreib"-Methoden: # postconf > /dev/null postconf: warning: /etc/postfix/main.cf, line 29: overriding earlier entry: mydestination= postconf: warning: /etc/postfix/main.cf, line 30: overriding earlier entry: relayhost=smtp.phys.ethz.ch postconf: warning: /etc/postfix/main.cf, line 31: overriding earlier entry: inet_interfaces=loopback-only # Die dazugehörige main.cf sieht wie folgt aus: ---8<--- # Note: file generated by dphys-config DO NOT EDIT IN /etc/postfix/main.cf # Default settings (hostname has been inserted by the configuration # deployment tool) myhostname = silberspitz.ethz.ch smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU Linux) biff = no append_dot_mydomain = no alias_maps = hash:/etc/aliases alias_database = hash:/etc/aliases myorigin = /etc/mailname relayhost = smtp.phys.ethz.ch mynetworks = 127.0.0.0/8, [::1]/128 mailbox_size_limit = 0 recipient_delimiter = + inet_interfaces = loopback-only sender_canonical_maps = pcre:/etc/postfix/sender_canonical mydestination = # Per-host settings mydestination = silberspitz.ethz.ch silberspitz localhost bb.phys.ethz.ch hobbit.phys.ethz.ch xymon.phys.ethz.ch relayhost = inet_interfaces = all --->8--- (Grundidee bei diesem Beispiel: Alle Standard-Server sollen Mails via Mailserver verschicken, nicht aber der Monitoring-Server von dem o.g. Beispiel stammt. Der soll auch noch Mails an das SMS-Gateway verschicken können, wenn der Mailserver down ist.) Um o.g. Warnungen zu unterdrücken habe ich dann noch ein helpful_warnings = no ganz vorne in der main.cf hinzugefügt. Gemäss man page unterdrückt dies "warnings about problematic configuration settings, and helpful suggestions." -- Klang für mich nach genau der richtigen Einstellung, hat aber leider keinen Unterschied gemacht. Deswegen meine Frage: Wie bekomme ich Postfix dazu, diese Warnungen nicht mehr auszugeben? Sie verursachen diverse Mails von Cron-Jobs, weil Output (auf STDERR) kommt, z.B. von popularity-contest: ---8<--- Subject: Cron <root@silberspitz> test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.daily ) /etc/cron.daily/popularity-contest: sendmail: warning: /etc/postfix/main.cf, line 28: overriding earlier entry: mydestination= sendmail: warning: /etc/postfix/main.cf, line 29: overriding earlier entry: relayhost=smtp.phys.ethz.ch sendmail: warning: /etc/postfix/main.cf, line 30: overriding earlier entry: inet_interfaces=loopback-only postdrop: warning: /etc/postfix/main.cf, line 28: overriding earlier entry: mydestination= postdrop: warning: /etc/postfix/main.cf, line 29: overriding earlier entry: relayhost=smtp.phys.ethz.ch postdrop: warning: /etc/postfix/main.cf, line 30: overriding earlier entry: inet_interfaces=loopback-only --->8--- Und nein, ich will nicht pauschal allen Output nach STDERR unterdrücken, da könnte ja durchaus mal ein relevanter Fehler drin sein. :-) (Mal ganz davon abgesehen, dass ich das nicht in jedem Skript machen will, welches irgendwann mal "sendmail" aufruft.) Im Changelog habe ich diesen Eintrag gefunden: 20130404 Human factors: warning when a main.cf parameter has multiple entries with different values. File: util/dict.c. Aber das ist doch gar kein Bug, das ist ein Feature! ;-) Code-Stelle dazu ist recht sicher dies hier: 459 if ((old = dict->lookup(dict, member)) != 0 460 && strcmp(old, val) != 0) 461 msg_warn("%s, line %d: overriding earlier entry: %s=%s", 462 VSTREAM_PATH(fp), lineno, member, old); Bei Weiterverfolgen, ob das Log-Level irgendwo ausgewertet wird und beeinflusst werden kann, bin ich bis zur Funktion msg_text am Ende von util/msg_output.c gekommen, aber da haben mich meine C-Kenntnisse dann irgendwann verlassen... Mit freundlichem Gruss, Axel Beckert -- Axel Beckert <beckert(a)phys.ethz.ch> support: +41 44 633 26 68 IT Services Group, HPT H 6 voice: +41 44 633 41 89 Departement of Physics, ETH Zurich CH-8093 Zurich, Switzerland http://nic.phys.ethz.ch/

2 2

PGP-Schlüssel einfach und sicher verteilen
by Robert Schetterer 06 Mar '15

06 Mar '15

Hi @ll, weil es grade durch die Medien getrieben wird https://sys4.de/de/blog/2015/02/26/pgp-schluessel-einfach-und-sicher-vertei… Best Regards MfG Robert Schetterer -- [*] sys4 AG http://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

10 35

Re: GPG-Verschlüsselung auf dem Server für ausgehende Mail
by Matthias Schmidt 05 Mar '15

05 Mar '15

> Am 25 Feb 2015 um 00:52 schrieb Matthias-Christian Ott <ott(a)mirix.org>: > > On 2015-02-24 13:07, Matthias Schmidt wrote: >> >>> Am 22 Feb 2015 um 03:52 schrieb Matthias-Christian Ott <ott(a)mirix.org>: >>> >>> On 2015-02-21 13:19, Ralph J.Mayer wrote: >>>> ich würde gerne jede meiner ausgehenden Mails automatisch verschlüsseln >>>> lassen, sofern ein Schlüssel vorliegt. >>>> Das ganze soll auf meinem Server passieren, weil ich z.B. auf dem iPhone >>>> kein PGP habe. >> >> es gibt für das iPhone mehrere Anwendungen: >> - iPGMail >> - oPenGP >> >> ich würd auch immer nur Verschlüsseln, wenn’s sein muss. > > Damit es dann möglichst auffällig ist, dass die verschlüsselten E-Mails > wichtige Informationen beinhalten. Das hilft doch nur einer > Metadatenauswertung. > Käse, die Header werden ja eh nicht verschlüsselt und das ist das was da ausgewertet wird. Dass die Verschlüsselung die Auswertung von Metadaten erschweren würde ist ein Märchen. Bei der Verschlüsselung geht es allein darum den Inhalt vor unberechtigten Mitlesern zu schützen und das ist in diesem Fall meist nicht irgendein staatl. Dienst. Wenn die nämlich so interessiert an Dir sind, dass sie Deine Mails lesen wollen, greifen die die schon ab, währen Du die schreibst. Außerdem hast Du dann ein ziemliches Problem am Hals ;-) Gruss Matthias

2 1

Postfix/Cyrus auf Emailrechner / Anbindung per shell oder mySQL an Rechner wo Daten gepflegt werden
by Thomas 05 Mar '15

05 Mar '15

Hallo, ich habe auf meinen master Rechner Apache, mySQL usw. und verwalte dort meine Benutzer mit user, password, Emailadresse. Dann habe ich einen zweiten Email-Rechner mit Postfix, Cyrus, IMAP usw. auf den ich ein- und ausgehende Emails verwalte/versende. Heute pflege ich das per Hand. Ich möchte aber das wenn man auf dem master Rechner Benutzer anlegt/ändert dieses gleich auf meinen Email-Rechner aktualisiert wird. Frage, soll ich noch per Script die SASL Datenbank auf dem Emailrechner pflegen und die postfix conf file pflegen/rüberkopieren oder das ganze so machen das der Emailrechner per Tunnel auf die mySQL Datenbank des Masterrechners zugreift. Was aber wenn der Tunnel mal kaputt ist, mySQL mit Replikation ist mir dafür zu aufwändig und das dann keine Emails angenommen werden können möchte ich auch nicht. Oder was wäre eine gescheite Lösung und gibt es evtl. schon shell Scriptfiles im Netz die das rüberkopieren oder den shell Zugriff umgesetzt haben und genau das machen. danke Gruss Thomas

4 5

DMARC und Mailinglisten
by Joachim Fahrner 24 Feb '15

24 Feb '15

Hallo, bei Mailinglisten wird das DMARC wirklich zum Problem. Habe mich jetzt auf einer Liste angemeldet die nicht DMARC-konform ist und prompt werden da Mails abgewiesen. Kriegt man das irgendwie in den Griff, ohne DMARC komplett zu deaktivieren? Feb 20 06:28:35 s2 postfix/postscreen[20427]: CONNECT from [8.8.178.116]:46715 to [78.46.184.248]:25 Feb 20 06:28:35 s2 postfix/postscreen[20427]: PASS OLD [8.8.178.116]:46715 Feb 20 06:28:36 s2 postfix/smtpd[20429]: connect from mx2.freebsd.org[8.8.178.116] Feb 20 06:28:37 s2 postfix/smtpd[20429]: Anonymous TLS connection established from mx2.freebsd.org[8.8.178.116]: TLSv1.2 with cipher ECDHE-RSA-AES256-GCM-SHA384 (256/256 bits) Feb 20 06:28:39 s2 policyd-spf[20438]: None; identity=helo; client-ip=8.8.178.116; helo=mx2.freebsd.org; envelope-from=owner-freebsd-current(a)freebsd.org; receiver=jf(a)fahrner.name Feb 20 06:28:39 s2 policyd-spf[20438]: Pass; identity=mailfrom; client-ip=8.8.178.116; helo=mx2.freebsd.org; envelope-from=owner-freebsd-current(a)freebsd.org; receiver=jf(a)fahrner.name Feb 20 06:28:39 s2 postfix/smtpd[20429]: 7224534141: client=mx2.freebsd.org[8.8.178.116] Feb 20 06:28:39 s2 postfix/cleanup[20440]: 7224534141: message-id=<464530409.2420401.1424409908005.JavaMail.yahoo(a)mail.yahoo.com> Feb 20 06:28:39 s2 opendkim[3180]: 7224534141: mx2.freebsd.org [8.8.178.116] not internal Feb 20 06:28:39 s2 opendkim[3180]: 7224534141: not authenticated Feb 20 06:28:40 s2 opendkim[3180]: 7224534141: bad signature data Feb 20 06:28:40 s2 opendmarc[3192]: 7224534141: authres: s2.fahrner.name;#012#011dkim=fail reason="no signature error" (2048-bit key; insecure) header.d=yahoo.com header.i=(a)yahoo.com header.b=Bk3hfdot;#012#011dkim-adsp=unknown (insecure policy); dkim-atps=neutral Feb 20 06:28:40 s2 opendmarc[3192]: 7224534141: recvspf: Pass (sender SPF authorized) identity=mailfrom; client-ip=8.8.178.116; helo=mx2.freebsd.org; envelope-from=owner-freebsd-current(a)freebsd.org; receiver=jf(a)fahrner.name Feb 20 06:28:40 s2 postfix/pickup[19499]: A037634145: uid=118 from=<opendmarc> Feb 20 06:28:40 s2 postfix/cleanup[20444]: A037634145: message-id=<20150220052840.A037634145(a)s2.fahrner.name> Feb 20 06:28:40 s2 opendmarc[3192]: 7224534141: yahoo.com fail Feb 20 06:28:40 s2 opendkim[3180]: A037634145: DKIM-Signature header added (s=mail, d=fahrner.name) Feb 20 06:28:40 s2 postfix/cleanup[20440]: 7224534141: milter-reject: END-OF-MESSAGE from mx2.freebsd.org[8.8.178.116]: 5.7.1 rejected by DMARC policy for yahoo.com; from=<owner-freebsd-current(a)freebsd.org> to=<jf(a)fahrner.name> proto=ESMTP helo=<mx2.freebsd.org> -- Mit besten Grüßen Joachim Fahrner

6 34

GPG-Verschlüsselung auf dem Server für ausgehende Mail
by Ralph J.Mayer 24 Feb '15

24 Feb '15

Moin, ich würde gerne jede meiner ausgehenden Mails automatisch verschlüsseln lassen, sofern ein Schlüssel vorliegt. Das ganze soll auf meinem Server passieren, weil ich z.B. auf dem iPhone kein PGP habe. Signieren will ich die Mails nicht, dazu müsste ja ein privkey vorhanden sein. http://www.postfix.org/addon.html#security-gateway listet drei Produkte auf, die aber eher in Richtung Enterprise gehen. Entdeckt habe ich z.B. https://github.com/infertux/zeyple Ein kleines Script, welches über content_filter eingebunden wird und im Grunde tut was ich will. Allerdings nicht für Multipart-Mails :-( Deshalb die Frage, kennt jemand eine passende Lösung für private Setups? rm

4 3

Email mit TO oder CC an nicht valide Domain sperren
by Thomas 23 Feb '15

23 Feb '15

Hallo, ich habe von einer großen Firma eine Email bekommen. Da konnte der Absender eine außen nicht valide Emailadresse eben dieser Firma als CC eintragen. Als ich ein rply all gemacht habe ist die Email an diese Adresse natürlich zu mir zurück gekommen. Die Domain ist eingetragen, nur eben löst ein #nslookup eben nicht zu einer IP auf. Es wäre doch Verantwortung des Absenders eben dieser Firma zu verhindern das Emails als FROM oder CC verwendet werden die für Außenstehende nicht erreichbar sind oder nicht nach außen gelangen und eben zu diesem Problem führen. Ein Außenstehender bekommt eine Email mit Subject Delivery Status Notification (Failure) und in den ersten Zeilen steht: Delivery to the following recipient failed permanently: empfaenger(a)mail.grossefirma.de Technical details of permanent failure: DNS Error: Address resolution of mail.großeFirma.de .de. failed: Domain name not found Für einen Laien ist das doch total missverständlich und verwirrend wenn er eine solche Email bekommt. Gruss Thomas

2 1

IETF verbietet RC4 in TLS
by Patrick Ben Koetter 21 Feb '15

21 Feb '15

Jetzt ist der richtige Zeitpunkt die TLS-Ciphers in Postfix zu überprüfen und RC4 zu deaktivieren. Das IETF hat mit https://tools.ietf.org/rfc/rfc7465.txt ein RFC veröffentlicht in dem es den RC4 Algorithmus explizit mit MUST NOT verbietet. Wenn ihr in Postfix TLS aktiviert habt (und wenn auch nur opportunistisch für den SMTP Client) setzt ihr dazu in main.cf: # TLS Server smtpd_tls_exclude_ciphers = RC4, aNULL # TLS Client smtp_tls_exclude_ciphers = RC4, aNULL p@rick -- [*] sys4 AG https://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 1

Relayhost Problem
by Daniel Thielking 19 Feb '15

19 Feb '15

Hallo Leute, ich habe seit einer Woche das Problem das ich keine Mails mehr von meinem Server über den Relay bekomme. Zum Problem: Ich betreibe einen kleinen Heimserver und benutze Postfix als für z.B. Cron mails. Als Relayserver ist der smtp.1und1.de eingetragen, das hat auch bis vor ca. einer Woche ohne weiteres funktioniert. Jetzt bekomme ich nur noch Mails mit dem Inhalt: This is the mail system at host server.meine.domain. I'm sorry to have to inform you that your message could not be delivered to one or more recipients. It's attached below. For further assistance, please send mail to postmaster. If you do so, please include this problem report. You can delete your own text from the attached returned message. The mail system <daniel.thielking(a)ias.rwth-aachen.de>: host smtp.1und1.de[212.227.15.183] said: 550-Requested action not taken: mailbox unavailable 550 invalid DNS A/AAAA resource record (in reply to MAIL FROM command) Aus den Loggs bekomme ich folgende Meldungen: Feb 18 14:57:40 server postfix/smtp[249243]: 9BFF7404D4: to=<daniel.thielking(a)ias.rwth-aachen.de>, relay=smtp.1und1.de[212.227.15.167]:587, delay=0.5, delays=0.12/0.01/0.31/0.05, dsn=5.0.0, status=bounced (host smtp.1und1.de[212.227.15.167] said: 550-Requested action not taken: mailbox unavailable 550 invalid DNS A/AAAA resource record (in reply to MAIL FROM command)) Feb 18 14:57:40 server postfix/cleanup[249241]: 2D84D404D9: message-id=<20150218135740.2D84D404D9(a)server.meine.domain> Feb 18 14:57:40 server postfix/bounce[249245]: 9BFF7404D4: sender non-delivery notification: 2D84D404D9 Feb 18 14:57:40 server postfix/qmgr[249237]: 2D84D404D9: from=<>, size=2652, nrcpt=1 (queue active) Feb 18 14:57:40 server postfix/qmgr[249237]: 9BFF7404D4: removed Feb 18 14:57:40 server postfix/cleanup[249241]: 3830940437: message-id=<20150218135740.2D84D404D9(a)server.meine.domain> Feb 18 14:57:40 server postfix/local[249246]: 2D84D404D9: to=<root(a)server.meine.domain>, relay=local, delay=0.08, delays=0.04/0/0/0.04, dsn=2.0.0, status=sent (forwarded as 3830940437) Feb 18 14:57:40 server postfix/qmgr[249237]: 3830940437: from=<>, size=2809, nrcpt=1 (queue active) Feb 18 14:57:40 server postfix/qmgr[249237]: 2D84D404D9: removed Feb 18 14:57:40 server postfix/smtp[249243]: certificate verification failed for smtp.1und1.de[212.227.15.183]:587: untrusted issuer /C=DE/O=Deutsche Telekom AG/OU=T-TeleSec Trust Center/CN=Deutsche Telekom Root CA 2 Feb 18 14:57:40 server postfix/smtp[249243]: 3830940437: to=<daniel.thielking(a)ias.rwth-aachen.de>, orig_to=<root(a)server.thielking-vonessen.de>, relay=smtp.1und1.de[212.227.15.183]:587, delay=0.51, delays=0.04/0/0.33/0.14, dsn=2.0.0, status=sent (250 Requested mail action okay, completed: id=0LbIy2-1XiimU2c4g-00kxnT) Feb 18 14:57:40 server postfix/qmgr[249237]: 3830940437: removed Danke schon mal für die Hilfe Daniel Thielking -- _____________________________________________________ Auszubildender Fachinformatiker für Systemintegration RWTH Aachen Lehrstuhl für Integrierte Analogschaltungen Raum 24C 313 Walter-Schottky-Haus Sommerfeldstr. 24 D-52074 Aachen www.ias.rwth-aachen.de Email: Daniel.Thielking(a)ias.rwth-aachen.de Phone: +49-(0)241-80-27771 FAX: +49-(0)241-80-627771 _____________________________________________________

3 6

Fw: Aw: Relayhost Problem
by "Matthias Hägele" 18 Feb '15

18 Feb '15

Gesendet: Mittwoch, 18. Februar 2015 um 15:12 Uhr Von: "Daniel Thielking" <Daniel.Thielking(a)ias.rwth-aachen.de> An: postfix-users(a)de.postfix.org Betreff: Relayhost Problem Hallo Leute, ich habe seit einer Woche das Problem das ich keine Mails mehr von meinem Server über den Relay bekomme. Zum Problem: Ich betreibe einen kleinen Heimserver und benutze Postfix als für z.B. Cron mails. Als Relayserver ist der smtp.1und1.de eingetragen, das hat auch bis vor ca. einer Woche ohne weiteres funktioniert. Jetzt bekomme ich nur noch Mails mit dem Inhalt: This is the mail system at host server.meine.domain. I'm sorry to have to inform you that your message could not be delivered to one or more recipients. It's attached below. For further assistance, please send mail to postmaster. If you do so, please include this problem report. You can delete your own text from the attached returned message. The mail system <daniel.thielking(a)ias.rwth-aachen.de>[daniel.thielking(a)ias.rwth-aachen.de]: host smtp.1und1.de[212.227.15.183] said: 550-Requested action not taken: mailbox unavailable 550 invalid DNS A/AAAA resource record (in reply to MAIL FROM command) Aus den Loggs bekomme ich folgende Meldungen: Feb 18 14:57:40 server postfix/smtp[249243]: 9BFF7404D4: to=<daniel.thielking(a)ias.rwth-aachen.de>[daniel.thielking(a)ias.rwth-aachen.de], relay=smtp.1und1.de[212.227.15.167]:587, delay=0.5, delays=0.12/0.01/0.31/0.05, dsn=5.0.0, status=bounced (host smtp.1und1.de[212.227.15.167] said: 550-Requested action not taken: mailbox unavailable 550 invalid DNS A/AAAA resource record (in reply to MAIL FROM command)) Feb 18 14:57:40 server postfix/cleanup[249241]: 2D84D404D9: message-id=<20150218135740.2D84D404D9(a)server.meine.domain>[20150218135740.2D84D404D9(a)server.meine.domain] Feb 18 14:57:40 server postfix/bounce[249245]: 9BFF7404D4: sender non-delivery notification: 2D84D404D9 Feb 18 14:57:40 server postfix/qmgr[249237]: 2D84D404D9: from=<>, size=2652, nrcpt=1 (queue active) Feb 18 14:57:40 server postfix/qmgr[249237]: 9BFF7404D4: removed Feb 18 14:57:40 server postfix/cleanup[249241]: 3830940437: message-id=<20150218135740.2D84D404D9(a)server.meine.domain>[20150218135740.2D84D404D9(a)server.meine.domain] Feb 18 14:57:40 server postfix/local[249246]: 2D84D404D9: to=<root(a)server.meine.domain>[root(a)server.meine.domain], relay=local, delay=0.08, delays=0.04/0/0/0.04, dsn=2.0.0, status=sent (forwarded as 3830940437) Feb 18 14:57:40 server postfix/qmgr[249237]: 3830940437: from=<>, size=2809, nrcpt=1 (queue active) Feb 18 14:57:40 server postfix/qmgr[249237]: 2D84D404D9: removed Feb 18 14:57:40 server postfix/smtp[249243]: certificate verification failed for smtp.1und1.de[212.227.15.183]:587: untrusted issuer /C=DE/O=Deutsche Telekom AG/OU=T-TeleSec Trust Center/CN=Deutsche Telekom Root CA 2 Feb 18 14:57:40 server postfix/smtp[249243]: 3830940437: to=<daniel.thielking(a)ias.rwth-aachen.de>[daniel.thielking(a)ias.rwth-aachen.de], orig_to=<root(a)server.thielking-vonessen.de>[root(a)server.thielking-vonessen.de], relay=smtp.1und1.de[212.227.15.183]:587, delay=0.51, delays=0.04/0/0.33/0.14, dsn=2.0.0, status=sent (250 Requested mail action okay, completed: id=0LbIy2-1XiimU2c4g-00kxnT) Feb 18 14:57:40 server postfix/qmgr[249237]: 3830940437: removed Danke schon mal für die Hilfe ------ Hallo, Du sendest von einer dynamischen IP? Meldung: invalid DNS A/AAAA resource record (in reply to MAIL FROM command)) Werden DNS Dienste wie dyndns oder ähnliches benutzt sodaß dein Hostname/Server jederzeit sauber aufgelöst wird? Wenn man eine dynamische IP benutzt könnte evtl. auch der "Vorbesitzer" unangenehm aufgefallen sein ... Du könntest das z.B. dort gegenprüfen: http://www.heise.de/netze/tools/dns/ hth MH

1 0

OT: Cyrus Imapdb Datenbank beleidigt? ...
by "Matthias Hägele" 18 Feb '15

18 Feb '15

Hallo Postfix User, Vorgeschichte: Der Mailserver konnte die Mails nicht mehr so schnell ausliefern wie eine amok laufende Software auf einem anderen Server diesen mit falschen Mailadressen beschossen hatte. Double bounces usw. auf dem postmaster account welche das I/O wohl irgendwie an seine bescheidenen Grenzen (veraltete Hardware) brachten. In Verbindung mit einem gleichzeitigen Providerproblem wuchs dann die Warteschlange sehr schnell auf bis dato unbekannte Höhen an, während der amoklaufende Server weiterhin versuchte seinen Datenmüll auf dem Postfix abzuladen ... Versuch gerade zu biegen: Durchgeführte quick and dirty und evtl. voreilige "Rettungsaktion": Die Inboxen Admin Accounts ließen sich nicht mehr aufrufen da er wohl soviele Dateien (zeigte z.B. kurz 460000 im Webclient an) drin hat ... um Inodes freizuschaufeln und wg. nicht mehr funktionierenden Postmaster Mails habe ich auf dem überforderten Mailserver (per bootcd) direkt im dateisystem die imap mails des postmaster accounts und weiterer admin benutzer von Hand gelöscht. Jetzt vermute ich daß die Datenbank "denkt" daß noch Mails vorhanden sein sollten welche aber durch die Löschaktion ins digitale Nirvana befördert wurden. Kann ich jetzt einfach diese cyrus .db .cache usw. files löschen bzw. krieg ich das "einfach" bereinigt.? Mein Versuch über die grafische Verwaltungsoberfläche einen Adminaccount zu löschen und komplett neu anzulegen hat leider nichts gebracht, er legt den zugehörigen userordner unterhalb imap-mail im Dateisystem leider nicht mehr an. Der Mailserver ist eine "all in one" Lösung die gleichzeitig noch proxy, imapserver, firewall usw. spielt (postfix, amavisd, spamassasin, cyrus imap ...) Die Postmaster Mails habe ich auf einen anderen Account umgeleitet um die Funktionalität wiederherzustellen ... sobald aber Mails an einen der alten "kaputten Accounts" versucht werden ins Postfach zu legen kommt Fehlermeldung: im Logfile: "[/var/imap/socket/lmtp] said 451 4.3.0 System I/O error" in (reply to RCPT TO Command) die mails müssen dann manuell aus der Postfix-Queue gelöscht werden ... Gerne nehme ich auch Hinweise auf weitere Doku entgegen ... Vorab Vielen Dank für jeden Hinweis! MH

1 0

OpenDMARC
by J. Fahrner 17 Feb '15

17 Feb '15

Hallo, was ist denn mit dem DMARC schon wieder kaputt? Wieso bekomme ich Failure Reports zu Mails mit denen ich absolut nix zu tun habe? Am 16.02.2015 um 19:00 schrieb postmaster(a)fahrner.name: > This is an authentication failure report for an email message received from IP > 208.69.40.157 on Mon, 16 Feb 2015 19:00:58 +0100 (CET). > > > Feedback-Type: auth-failure > Version: 1 > User-Agent: OpenDMARC-Filter/1.3.0 > Auth-Failure: dmarc > Authentication-Results: s2.fahrner.name; dmarc=fail header.from=zestsoftware.nl > Original-Envelope-Id: 126A134008 > Original-Mail-From: opendmarc-users-bounces(a)trusteddomain.org > Source-IP: 208.69.40.157 > Reported-Domain: zestsoftware.nl > > > Authentication-Results: s2.fahrner.name; > dkim=fail reason="no signature error" (1024-bit key; insecure) header.d=zestsoftware.nl header.i=(a)zestsoftware.nl header.b=qyvXpEvP; > dkim-adsp=none (insecure policy); dkim-atps=neutral > Received-SPF: Pass (sender SPF authorized) identity=mailfrom; client-ip=208.69.40.157; helo=medusa.blackops.org; envelope-from=opendmarc-users-bounces(a)trusteddomain.org; receiver=jf(a)fahrner.name > Received: from medusa.blackops.org (medusa.blackops.org [208.69.40.157]) > (using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits)) > (No client certificate requested) > by s2.fahrner.name (Postfix) with ESMTPS id 126A134008 > for <jf(a)fahrner.name>; Mon, 16 Feb 2015 19:00:57 +0100 (CET) > Received: from medusa.blackops.org (mailman(a)localhost.blackops.org [127.0.0.1]) > by medusa.blackops.org (8.14.5/8.14.5) with ESMTP id t1GHvYk3045630; > Mon, 16 Feb 2015 09:59:24 -0800 (PST) > (envelope-from opendmarc-users-bounces(a)trusteddomain.org) > DKIM-Filter: OpenDKIM Filter v2.9.2 medusa.blackops.org t1GHvYk3045630 > Authentication-Results: medusa.blackops.org; > dkim=fail reason="no signature error" (1024-bit key; unprotected) header.d=zestsoftware.nl header.i=(a)zestsoftware.nl header.b=qyvXpEvP; > dkim-adsp=none (unprotected policy); dkim-atps=neutral > X-SenderID: Sendmail Sender-ID Filter v1.0.0 medusa.blackops.org t1GHvYk3045630 > Authentication-Results: medusa.blackops.org; sender-id=fail (NotPermitted) header.sender=opendmarc-users-bounces(a)trusteddomain.org; spf=fail (NotPermitted) smtp.mfrom=opendmarc-users-bounces(a)trusteddomain.org > Received: from mail.zestsoftware.nl (mail.zestsoftware.nl [149.210.198.85]) > by medusa.blackops.org (8.14.5/8.14.5) with ESMTP id t1GHvPQ9045625 > (version=TLSv1/SSLv3 cipher=DHE-RSA-AES256-SHA bits=256 verify=NO) > for <opendmarc-users(a)trusteddomain.org>; > Mon, 16 Feb 2015 09:57:28 -0800 (PST) > (envelope-from j.ladage(a)zestsoftware.nl) > DKIM-Filter: OpenDKIM Filter v2.9.2 medusa.blackops.org t1GHvPQ9045625 > X-SenderID: Sendmail Sender-ID Filter v1.0.0 medusa.blackops.org t1GHvPQ9045625 > Authentication-Results: medusa.blackops.org; > sender-id=pass header.from=j.ladage(a)zestsoftware.nl; > spf=pass smtp.mfrom=j.ladage(a)zestsoftware.nl > Received: from localhost (localhost [127.0.0.1]) > by mail.zestsoftware.nl (Postfix) with ESMTP id 3D633320AF7; > Mon, 16 Feb 2015 18:57:25 +0100 (CET) > X-Virus-Scanned: Debian amavisd-new at mail.zestsoftware.nl > Received: from mail.zestsoftware.nl ([127.0.0.1]) > by localhost (mail.zestsoftware.nl [127.0.0.1]) (amavisd-new, > port 10024) > with ESMTP id YsGkr9LzcZXl; Mon, 16 Feb 2015 18:57:23 +0100 (CET) > Received: from [192.168.242.12] (92-108-193-94.dynamic.upc.nl [92.108.193.94]) > (using TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits)) > (No client certificate requested) > by mail.zestsoftware.nl (Postfix) with ESMTPSA id 600BF320AF6 > for <opendmarc-users(a)trusteddomain.org>; > Mon, 16 Feb 2015 18:57:23 +0100 (CET) > DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=zestsoftware.nl; > s=mail; t=1424109443; > bh=1cchw4zDAoZ+9XCxRHnTF7FitmVVdBoPZyb317LSLYs=; > h=From:Subject:Date:To; > b=qyvXpEvPmYOUPaB6A/g+ZoEGyXGDYAxSrQa9VqqKjKSIc59PlQpDvsNZqMgOsFwOX > 5H16hxn8/4lrAzUmeJ9YhW/YrT6Sn5IZWM979jQlg9difo43DrMV3n4/Ap9uBNX1v9 > a48Jq9j0apxsrsJMqYe/EFSAg4EY+TrbdQo20Z+Q= > From: Jean-Paul Ladage <j.ladage(a)zestsoftware.nl> > Content-Type: multipart/mixed; > boundary="Apple-Mail=_B84B22D7-490D-47D9-B353-3CCAF6DD89BD" > Message-Id: <87A4D0DA-792E-427A-9FEA-EB1144745DA1(a)zestsoftware.nl> > Date: Mon, 16 Feb 2015 18:57:22 +0100 > To: opendmarc-users(a)trusteddomain.org > Mime-Version: 1.0 (Mac OS X Mail 8.1 $1993$) > X-Mailer: Apple Mail (2.1993) > X-Spam-Status: No, score=-1.9 required=5.0 tests=J_CHICKENPOX_54, > RP_MATCHES_RCVD autolearn=unavailable version=3.3.1 > X-Spam-Checker-Version: SpamAssassin 3.3.1 (2010-03-16) on medusa.blackops.org > Subject: Re: [opendmarc-users] Postgres Schema? > X-BeenThere: opendmarc-users(a)trusteddomain.org > X-Mailman-Version: 2.1.14 > Precedence: list > List-Id: OpenDMARC discussion <opendmarc-users.trusteddomain.org> > List-Unsubscribe: <http://www.trusteddomain.org/mailman/options/opendmarc-users>, > <mailto:opendmarc-users-request@trusteddomain.org?subject=unsubscribe> > List-Archive: <http://www.trusteddomain.org/pipermail/opendmarc-users> > List-Post: <mailto:opendmarc-users@trusteddomain.org> > List-Help: <mailto:opendmarc-users-request@trusteddomain.org?subject=help> > List-Subscribe: <http://www.trusteddomain.org/mailman/listinfo/opendmarc-users>, > <mailto:opendmarc-users-request@trusteddomain.org?subject=subscribe> > Errors-To: opendmarc-users-bounces(a)trusteddomain.org > Sender: opendmarc-users-bounces(a)trusteddomain.org

2 1

tls_dane_trust_anchor_digest_enable
by django＠nausch.org 16 Feb '15

16 Feb '15

HI, je öfter ich Wietses Doku[1] durchlese, umso mehr Zweifel hab ich, ob ich auch wirklich das richtige richtig gemacht habe. Im Abschnitt "Creating the server certificate file" schreibt er man könne bei Verwendung einer "kommerziellen" CA in der Zertifikats-Datei das RootCA weglassen, wenn der Sender (Kommunikationspartner) ebenfalls das Root-Zertifikat der CA vorrätig hat. Somit verringere sich der Aufwand beim TLS-Handshake. Soweit so gut, bis hierhin passt es ja noch, oder? Das bedeutet, nutze ich eine CA, bei der ich nicht sicher sein kann, ob der Kommunikattionspartner das zugehörige Root-Zertifikat auch vorrätig hat, packe ich demzufolge, neben dem Serverzertifikat, das Zwischenzertifikat und dann das Root-Zertifikat in die Zertifikatsdatei. Richtig? really really? In der verlinkten Doku[2] schreibt Wietse ferner: "RFC 6698 trust-anchor digest support in the Postfix TLS library. Enable support for RFC 6698 (DANE TLSA) DNS records that contain digests of trust-anchors with certificate usage "2". In this case the certificate usage logically requires the server administrator to configure the server to include the trust-anchor certificate in the server's SSL certificate chain. If enough domains mess this up, you can disable support for these TLSA records, but you'll no longer have secure connections that get it right and only publish trust anchor records." Watt meint er denn mit: "If enough domains mess this up, you can disable support for these TLSA records, but you'll no longer have secure connections that get it right and only publish trust anchor records." Ich gehe mal davon aus, dass bei einem "3 0 1" im TLSA-Record von der von Wietses Thematik nicht betroffen bin, solange ich ein "offizielles Zertifikat" benutze, oder wie? Nutze ich aber eine eigene CA, oder eben eine, bei der ich nicht sicher sein kann, ob der Kommunikationspartner" dem Root-Zertifikat vertraut, darf ich keinen "3 0 1"er verwenden, sondern muss auf "2 0 1" setzen. Ferner muss ich im Zertifikatsfile im Postfix die komplette trustchain hinterlegen. Richtig? Pffff, irgendwie steh ich grad an einem Punkt, an dem ich nicht 100% weiß, hab ich das TLSA-Zeugs nun richtig verstanden, oder nicht. Vielleicht hat JODA ja Rat für mich. ;) Servus Django [1] http://www.postfix.org/TLS_README.html [2] http://www.postfix.org/postconf.5.html#tls_dane_trust_anchor_digest_enable

1 0

Outlook.com rejected mails
by Joachim Fahrner 13 Feb '15

13 Feb '15

Hallo, wenn ich versuche Mail an live.de Postfächer zu senden, wird die Mail rejected: Feb 8 10:11:15 s2 postfix/smtp[2846]: 97BD83410A: to=<xxx(a)live.de>, relay=mx2.hotmail.com[65.55.92.136]:25, delay=878, delays=876/0.01/1.3/0.13, dsn=5.0.0, status=bounced (host mx2.hotmail.com[65.55.92.136] said: 550 SC-001 (SNT004-MC1F1) Unfortunately, messages from 78.46.184.248 weren't sent. Please contact your Internet service provider since part of their network is on our block list. You can also refer your provider to http://mail.live.com/mail/troubleshooting.aspx#errors. (in reply to MAIL FROM command)) Hat jemand eine Ahnung was denen nicht passt? Und was man dagegen unternehmen kann? Die Beschreibung auf deren Webseite ist leider nichtssagend. -- Mit besten Grüßen Joachim Fahrner

10 28

TLSA: DNS ttl und revoced certs
by django＠nausch.org 05 Feb '15

05 Feb '15

HI! Zwei kurze Fragen: Welche Erfahrungswerte könnt Ihr mir denn TTL von TLSA-Records nennen? Was macht man bei einem zurückgerufenen Zertifikat? Reicht es den TLSA-Record zu klöschen, oder gibt es da ähnlich wie bei DKIM 'nen besonderen Eintrag zum Kennzeichnen, das das Zertifikat/Schlüssel revoced wurde? ttyl Django

6 12

Postscreen
by django＠nausch.org 05 Feb '15

05 Feb '15

Servus, kann einer das Verhalten von SPAM-Ausschlägen bestätigen? Wenn ich meine Mailgraph Statistiken so anschaue, fällt mir auf, dass in unregelmäßigen Abständen massive Ausschläge vor allem bei PREGREET und HANGUP auftauchen. DNSBL und BARE NEWLINE sind da eher weniger davon betroffen. Servus Django

4 4