- postfix-users - list.sys4.de

Verständnisproblem access restrictions
by Joachim Fahrner 27 Mar '17

27 Mar '17

Hallo Liste, ich habe jetzt die Seite http://www.postfix.org/SMTPD_ACCESS_README.html gefühlte 100 mal durchgelesen, aber immer noch ein Verständnisproblem damit. Ursprünglich wurden die unterschiedlichen Prüfungen zu unterschiedlichen Zeitpunkten gemacht. Heute werden die jedoch zurückgehalten bis zum Zeitpunkt "RCPT TO" oder "ETRN". Welchen Sinn macht dann die Trennung nach Zeitpunkten überhaupt noch? Dann könnte man doch gleich alles in smtpd_recipient_restrictions reinpacken, und bräuchte die anderen restrictions nicht mehr. So muss man nur einige Prüfungen mehrfach wiederholen (z.B. permit_mynetworks). Ich finde das ziemlich verwirrend, und weiß nie wann welche Prüfung wo reingehört, und welche permits ich davor benötige. Das führt dazu, dass man sich immer an irgendwelchen Beispielen aus dem Netz orientiert, die dann oft für irgendwelche uralt-Versionen gemacht sind, oder wo auch nur einer woanders abgeschrieben hat, ohne es wirklich verstanden zu haben. Kann das jemand mit einfachen Worten erklären? Gruss Jochen

5 12

Re: SRS nur für bestimmte Mails? Oder andere Lösung?
by Martin Sebald 23 Mar '17

23 Mar '17

Hallo Uwe, >> <user(a)user.pushyourmail.de> (expanded from <user(a)domain.de>): host >> mx1.hostedcloud.me[185.160.1.4] said: 550 88.99.90.187 is not allowed to >> send mail from gmx.de. Please see >> http://www.openspf.net/Why?scope=mfrom;identity=gmxuser@gmx.de;ip >> =88.99.90.187 >> (in reply to end of DATA command) > Das hört sich eher an als ob ein Fremder Host über GMX mit GMX Adresse ohne Anmeldung versucht zu relayen > (no go, meine Domain dann melde dich an weil du EINER MEINER USER bist oder sende nicht unter meiner Flagge) > Oder aber es ist Weiterleitung zur Weiterleitung, da die Mailadresse maskiert sind ist das recht schwer den ECHTEN Weg nachzuvollziehen. > Wer da über wen mit welcher Adresse versucht an wen zuzustellen und wer die Fehlermeldung auf welchem Weg wirft. Nein nein, das passt so schon so wie beschrieben. Habe dann ja selbst auch getestet. In o.g. Beispiel ist das so (die echten User habe ich natürlich maskiert): Absender ist gmxuser(a)gmx.de (ein echtes GMX Konto, mit dem der Test dann lief) und der Empfänger ist user(a)domain.de (ein Forward Alias auf meinem Mailserver), das Ziel des Forwards ist dann die Exchange Mailbox bei United Hoster namens user(a)user.pushyourmail.de - und von Mailserver von United Hoster kam dann die Fehlermeldung an den GMX User zurück. Soweit ist das ja auch alles nachvollziehbar für mich. Mit Ausnahme des Zeitpunkts des Feedbacks (konnte keine Hinweise finden, dass GMX/web.de vor einigen Tagen ihre SPF Einstellungen entsprechend umgestellt hat - das sollte im Gegensatz dazu wieder seit einiger Zeit so eingestellt sein, sodass das Problem seit vielen Monaten existiert) und, dass sich nur einer meiner User beschwert hat, die nach United Hoster weiterleiten. > Und eine Hetzner Ip wird nie in der Lage sein eine Mail OHNE Anmeldung über GMX oder an GMX vorbei an einen anderen zu senden (der SPF prüft) > Das wäre dann Absenderfälschung (tut fast jeder Spamer so) und da wirkt SPF in dem Fall Nein, das wird nicht gehen. Soweit ja auch nachvollziehbar durch mich. Die Frage ist, wie ich das Problem vom Tisch bekomme. Bei GMX/web.de werde ich die SPF Einträge nicht ändern können, egal auf welchem Wege. Dass United Hoster die SPF Checks bei ihnen selbst raus nimmt ist ebenso unwahrscheinlich. Daher meine Nachfrage nach SRS, aber nur eine Behandlung von Mails, die bestimmten Kriterien entsprechen. Also eben Absender von einer Domain, die "harte" SPF Einstellungen hat. Empfänger leitet (direkt oder indirekt) auf eine externe Adresse um. Dann wäre das finde ich halbwegs sauber. Die meisten Mails unangetastet und die, die ansonsten nicht ankommen, werden eben verbogen. Und da habe ich eben keine Lösung gefunden, die mir das so machen würde bzw die ich so einstellen kann. Viele Grüße, Martin

3 2

Selektives Greylisting
by Joachim Fahrner 23 Mar '17

23 Mar '17

Hallo Liste, ich bin wieder mal am Tuning meiner Konfiguration ;-) Vor einiger Zeit hatte ich mal blind Roberts selektives Greylisting übernommen, wie hier beschrieben: https://sys4.de/de/blog/2013/10/09/selektive-rbl-spf-greylisting-checks-mit… Jetzt habe ich die Beschreibung nochmal genauer gelesen, und dabei ist mir etwas aufgefallen: In smtpd_client_restrictions wird zuerst mynetworks und sasl_authenticated erlaubt. Als nächstes werden die 3 access Tabellen geprüft, und bei Treffern die 3 Klassen ausgeführt. Diese beginnen jeweils wieder mit permit_mynetworks und permit_sasl_authenticated. Ist das nicht doppelt gemoppelt? mynetwork und sasl_authenticated müsste doch schon ganz am Anfang mit permit die client_restrictions verlassen haben. Oder hab ich da was falsch verstanden? Jochen

2 1

SRS nur für bestimmte Mails? Oder andere Lösung?
by Martin Sebald 23 Mar '17

23 Mar '17

Guten Morgen, habe ein Problem mit einem User. Dieser beklagt sich, dass seit einigen Tagen Mails von web.de und GMX nicht mehr an seinen externen Exchange Provider (United Hoster) weitergeleitet werden. Folgende Information erhält der Absender (also der web.de bzw GMX User) per Mail: <user(a)user.pushyourmail.de> (expanded from <user(a)domain.de>): host mx1.hostedcloud.me[185.160.1.4] said: 550 88.99.90.187 is not allowed to send mail from gmx.de. Please see http://www.openspf.net/Why?scope=mfrom;identity=gmxuser@gmx.de;ip=88.99.90.… (in reply to end of DATA command) Soweit, so gut. Das Thema ist ja nicht ganz neu, kann man ja an einigen Stellen im Netz nachlesen. Seltsamerweise beklagt sich nur ein User über den Umstand - dabei habe ich einige, die zu United Hoster auf Hosted Exchange Mailboxen weiterleiten. Das finde ich doch seltsam. Gut, eventuell haben sich die anderen schlich noch nicht beschwert oder erhalten üblicherweise keine Mails von web.de und GMX. Nun aber meine konkrete Frage, denn dazu habe ich trotz einiger Recherche nicht wirklich befriedigendes gefunden: Wie damit umgehen? Meine Idee war nach anfänglicher Recherche, mittels SRS (Sender Rewriting Scheme) Mails zu bearbeiten, die von Absendern kommen, wo der SPF Recors der Domain "scharf" geschaltet ist und die bei mir auf einen externen Empfänger (eventuell auch erst nach einigen internen Forwards) weitergeleitet werden. Irgendwie konnte ich dazu nichts finden und alle Mails mit SRS zu bearbeiten, das will ich nicht. Eine andere Möglichkeit für das konkrete o.g. Problem wäre, dass man die Mails ein einer Mailbox belässt und zyklisch abholt. Aber k.A., ob United Hoster das unterstützt. Des Weiteren hat dies ja auch Nachteile. Mails kommen nicht sofort an und das grundsätzliche Problem der Weiterleitungen bei scharfem SPF Eintrag existiert ja weiterhin. Grundsätzlich will ich vorausschicken, dass ich zwar selbst für einige eigene Domains SPF aktiviert habe (allerdings Softfail), aber naja, dennoch nicht allzu viel davon halte. Bzw ich gehe dann ganz konform mit der Meinung von Peer in seinem bekannten Beitrag: https://www.heinlein-support.de/blog/news/gmx-de-und-web-de-haben-mail-reje… Mir geht es hier halt darum, eine befriedigende Lösung zu erhalten, im konkreten Fall für den besagten Benutzer, aber auch allgemein, eventuell sind ja auch andere betroffen bis hin zu mir selbst. ;-) Also denke ich können wir die Grunsatzdiskussion zumindest ein Stück weit zurückstellen. Danke und viele Grüße, Martin

1 0

nolisting MX record
by Christoph Kukulies 22 Mar '17

22 Mar '17

Nachdem ich mittlerweile der Verzweiflung nahe bin, weil spam immer noch - trotz postgrey - scheinbar ungehindert durchkommt, habe ich jetzt zum letzten Mittel gegriffen und in dem DNS-record meines Servers einen "fake" MX Eintrag gemacht, derart, daß da jetzt steht @ IN 10 nolisting @ IN 20 mail Normale Mail kommt ungehindert an (darüber bin ich schon mal froh). Aber eben kam wieder eine Spam mail der Sorte amanda durch. Hier ist sie (habe versucht, die möglicherweise bösartigen Links zu neutralisieren). Wenn da das nolisting nichts nütt , scheint sie über einen regulären Server gelaufen zu sein, der wiederholt zuzustellen versucht, oder? Grüße Christoph

6 8

master.cf content_filter=
by Christoph Kukulies 21 Mar '17

21 Mar '17

Mal eine Frage zu den Einträgen in der master.cf, die bei mir beginnt mit: # smtp inet n - n - - smtpd -o content_filter= smtp inet n - n - - smtpd Ist das richtig so? Ich hänge die ganze master.cf noch mal dran. Und auch die main.cf. Ist da irgendwas falsches zu entdecken? postgrey läuft als daemon postgrey --pidfile=/var/run/postgrey.pid --daemonize --inet=127.0.0.1:10029 --delay=120 --max-age=20 Für jede Hilfe bin ich dankbar. Grüße Christoph

1 0

Re: ich werde der Spamflut nicht Herr - postfix amavis-new dovecot
by Christoph Kukulies 21 Mar '17

21 Mar '17

Nehme an, Du meinst postgrey (/etc/default/postgrey). Wenn ich die Zeile greylisting = permit_dnswl_client list.dnswl.org, permit_dnswl_client swl.spamhaus.org, check_policy_service inet:127.0.0.1:10029 einbaue, bekomme ich postconf: warning : /etc/postfix/main.cf unused parameter: greylisting=permit_dnswl_client list.dnswl.org, permit_dnswl_client swl.spamhaus.org, checkp_policy_service inet:127.0.0.1:10029 Habe jetzt postgrey als daemon an port 10029 laufen (/etc/default/postgrey ) Die Meldung geht weg, wenn ich smtpd_restriction_class = greylisting, internal reinsetze. Kann ich zwei Einträge in smtpd_restriction_class setzen? Grüße Christoph Am 20.03.2017 um 11:56 schrieb simoon: > HI, > > ja, du musst die zeile auf den postgrey port ändern, kanste du im > postgrex configuriern. > > gruss > > alex > > > > Am 14.03.2017 um 11:01 schrieb Christoph Kukulies: >> Ich habe eine postgrey zwar laufen, wird aber wohl nicht im Eingriff >> sein, oder? >> >> Wie sieht der postgrey Eintrag in der master.cf bei Dir aus? >> 1200 ? Ss 0:00 postgrey --pidfile=/var/run/postgrey.pid >> --daemonize --inet=127.0.0.1:60000 --delay=120 --max-age=20 >> >> Zumindest nicht auf dem port. Würde es reichen, in Deinem Beispiel >> die 10026 auf 60000 zu ändern? >> >> Grüße >> Christoph >> >> >>> And then there is a postgrey instance running on 127.0.0.1:10026 >>> >>> hth >>> André >> >> >

2 2

smtp_deley_reject=yes - unused parameter
by Christoph Kukulies 14 Mar '17

14 Mar '17

Durch Zufall sah ich - als ich postfix mehr oder weniger aus Versehen von der command line startete 'postfix" - daß es eine Warnung gab: /usr/sbin/postconf: warning: /etc/postfix/main.cf: unused parameter: smtdp_delay_reject=yes Ich fand die in keinem log. main.cf: #-------------------------------------------------------------------------------------------------------------------------- myhostname = mail.myhost.org mydomain = myhost.org myorigin = $mydomain smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu) biff = no append_dot_mydomain = no readme_directory = no mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128 mydestination = local, localhost.localdomain, localhost mailbox_size_limit = 51200000 message_size_limit = 51200000 recipient_delimiter = inet_interfaces = all inet_protocols = all ##### TLS parameters ###### smtpd_tls_cert_file=/etc/postfix/ssl/mail.myhost.org.crt smtpd_tls_key_file=/etc/postfix/ssl/mail.myhost.org.key smtpd_use_tls=yes smtpd_tls_auth_only=yes smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache ###### SASL Auth ###### smtpd_sasl_type = dovecot smtpd_sasl_path = private/auth smtpd_sasl_auth_enable = yes smtpd_restriction_classes = internal internal = permit_mynetworks, permit_sasl_authenticated, reject ###### Use Dovecot LMTP Service to deliver Mails to Dovecot ###### ##virtual_transport = spamass-dovecot virtual_transport = lmtp:unix:private/dovecot-lmtp ##### Only allow mail transport if client is authenticated or in own network (PHP Scripts, ...) ###### ##### allow mail sending if Client is authenticated or in own network (PHP scripts, ...) , block spam servers ###### ##### smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, check_client_access hash:/etc/postfix/access, check_sender_access hash:/etc/postfix/sender_access, reject_unauth_destination, reject_rbl_client zen.spamhaus.org, reject_rbl_client cbl.abuseat.org, reject_rbl_client sbl.spamhaus.org, reject_rbl_client dul.dnsbl.sorbs.net, permit #++ CPK 2017-02-21 disable_vrfy_command = yes smtdp_delay_reject = yes smtpd_helo_required = yes smtpd_helo_restrictions = permit_mynetworks, reject_non_fqdn_hostname, reject_invalid_hostname, permit smtpd_error_sleep_time = 1s smtpd_soft_error_limit = 10 smtpd_hard_error_limit = 20 ###### MySQL Connection ###### virtual_alias_maps = mysql:/etc/postfix/virtual/mysql-aliases.cf virtual_mailbox_maps = mysql:/etc/postfix/virtual/mysql-maps.cf virtual_mailbox_domains = mysql:/etc/postfix/virtual/mysql-domains.cf local_recipient_maps = $virtual_mailbox_maps content_filter=smtp-amavis:[127.0.0.1]:10024 compatibility_level = 2 smtpd_client_restrictions = reject_rbl_client sbl.spamhaus.org, check_client_access hash:/etc/postfix/blacklist smtpd_sender_restrictions = hash:/etc/postfix/access debug_peer_list = 91.200.0.0/16 #---------------------------------------------------------------------------------------------------------------- Zu welcher Option gehört sie - muß was mit dem initial SMTP-Dialog zu tun haben und wann eine Mail abgewiesen wird. ( so eine Art "look ahead" ?) Grüße Christoph

2 2

Fwd: Re: ich werde der Spamflut nicht Herr - postfix amavis-new dovecot
by Florian Beer | 42dev 13 Mar '17

13 Mar '17

On 13.Mar'17 - 20:59:16, André Keller wrote: > greylisting = > permit_dnswl_client list.dnswl.org, > permit_dnswl_client swl.spamhaus.org, > check_policy_service inet:127.0.0.1:10026 FYI: Die Spamhaus Whitelist ist derzeit nicht funktionstüchtig. "The Spamhaus Whitelist project is currently on hold pending redesign/reengineering of the service. We do not at this time have a relaunch date for this service, follow @spamhaus on Twitter for announcements." - https://www.spamhauswhitelist.com Ansonsten sehr nette Konfiguration, die Idee Greylisting für bestimmte Clients bzw. TLDs einzuführen war mir bisher neu. Gefällt mir! Gruß, Florian

1 0

1&1 Spam
by Joachim Fahrner 12 Mar '17

12 Mar '17

Hallo Liste, ich beschäftige mich schon seit Jahren mit der Spamabwehr, aber bei den Servern von 1&1 beisse ich mir die Zähne aus. Vielleicht hat ja jemand eine Idee, wie man das Problem lösen könnte. Bei 1&1 kann sich jeder für lau einen Server mieten und in Massen Spams raushauen. Dementsprechend sind die Server von mout.kundenserver.de auch so ziemlich auf jeder Blacklist. Andererseits haben auch viele Kleingewerbetreibende ihre Internetpräsenz bei 1&1, und wenn man deren Mails blockt werden auch viele legitime Mails geblockt (mein Elektriker versendet z.B. über 1&1). Ich habe keinen Plan, wie man die guten 1&1 Mails von den schlechten 1&1 Mails trennen könnte. -- Mit besten Grüßen Joachim Fahrner

2 3