- postfix-users - list.sys4.de

Problem mit smtpd_sender_login_maps
by Martin Sebald 08 Nov '16

08 Nov '16

Hallo zusammen, habe ein Problem mit smtpd_sender_login_maps. Irgendwie will das nicht so, wie ich möchte und denke, dass es funktiniert. Verwende ISPConfig als ISP Hilfsmittel. Greift nicht allzu tief ins System ein, macht einem das Leben aber leichter. Nun gibt es hier eine neue Sache, die ich vorher schon manuell drinnen hatte - und nun geht es auf einmal nicht mehr. Nämlich die Sache mit den smtpd_sender_login_maps um zu verhindern, dass ein SASL User mit beliebigen Absendeadressen versenden darf. In der main.cf steht folgendes: smtpd_sender_login_maps = proxy:mysql:/etc/postfix/mysql-virtual_sender_login_maps.cf hash:/etc/postfix/controlled_envelope_senders Der fragliche Ausschnitt von /etc/postfix/mysql-virtual_sender_login_maps.cf: query = SELECT destination FROM mail_forwarding WHERE source = '%s' AND active = 'y' AND allow_send_as = 'y' AND server_id = 1 UNION SELECT email FROM mail_user WHERE email = '%s' AND disablesmtp = 'n' AND server_id = 1; In der Datei /etc/postfix/controlled_envelope_senders definiere ich noch ein paar Ausnahmen, die hier fragliche Sache ist die Abfrage auf die Datenbank. Es wird abgefragt, ob ein Mailalias direkt auf die Mailbox (= SASL User) umgeleitet wird. Falls ja, darf versendet werden. Dies funktioniert auch wunderbar, wenn es nur ein Weiterleitungsziel gibt. Stehen mehrere drin, also z.B. alias(a)domain.tld geht an mailbox1(a)domain.tld und mailbox2(a)domain.tld, klappt die Abfrage nicht mehr. Im Datenbankfeld stehen die mehreren Ziele mit \n Zeilenumbrüchen drin. Und komischerweise ging es vor dem Update auf die letzte Version von ISPConfig. Eventuell hat sich etwas in der Datenbank geändert, ich weiß es nicht. Dachte mir also, ich mache aus "destination" in der Abfrage das hier: REPLACE(destination,'\n',',') Denn hier http://www.postfix.org/postconf.5.html#smtpd_sender_login_maps habe ich folgendes gelesen: "In all cases the result of table lookup must be either 'not found' or a list of SASL login names separated by comma and/or whitespace." Tja, hm, warum geht das also nicht? Habe die Abfrage mal direkt auf die Datenbank ausgeführt und sie ergibt auch das gewünschte Ergebnis. Beide Ziele mit Komma dazwischen. Mit Leerstelle habe ich auch versucht, klappte auch nicht. Wäre toll, wenn mir jemand auf die Sprünge helfen könnte. Vermutlich ist es nur ne Kleinigkeit oder ein ganz grundsätzlicher Denkfehler. Meinte Frage habe ich auch schon im ISPConfig Forum gestellt, leider aber bisher keine verwertbare Antwort erhalten. Danke und viele Grüße, Martin

2 2

Amavisd-new - Virenscanner zähmen?
by usenet＠schani.com 07 Nov '16

07 Nov '16

Hallo, ich benutze auf einem debian8 postfix mit amavisd-new den sopos Virenscanner. Jedes Mail das durch Postfix läuft wird auf Viren geprüft. Das kostet mich zu viel Leistung. Kann ich die ganzen systeminternen Mail (root) von einer Prüfung ausschließen? Kann ich nur einen bestimmten Teil von normalen Mails prüfen lassen. Jede Mail dauert zur Zeit fast 10 Sekunden, so das ich zu manchen Zeiten 100 Mails in der queue habe wo viel Zeugs dabei ist das gar nicht geprüft werden muss. Wie stelle ich das an? Besten Dank für eine Info Christian

3 4

Spamversand, reject_sender_login_mismatch
by Thomas Krause 27 Oct '16

27 Oct '16

Hallo, ich kann leider reject_sender_login_mismatch nicht aktivieren, da die (lieben) Kunden sich teilweise mit anderen Mailadressen anmelden als sie dann versenden. Allerdings könnte ich die Absende-Domain auf Übereinstimmung überprüfen. Postfix bietet dafür keine Option an ??? Ich müsste mir also einen kleinen Policyd schreiben. Beim Durchsehen der Logfiles ist mir aufgefallen, dass das from= teilweise leer ist. Wie soll ich das behandeln? Ablehnen? Annehmen? Wie behandelt die Postfix-Option reject_sender_login_mismatch den Fall "leere Absendeadresse"? Grüße, Thomas

3 2

Automatische Mailarchiv nach Empfänger User
by Lothar Wolff 25 Oct '16

25 Oct '16

Hallo, eingelieferte E-Mails werden nachdem über Postfix (nach Antivirus V/SPAM etc.) an einen anderen MTA (Exchange) weitergeleitet. Um ein ähnliches System, wie beim vorherigen Maileingang zu er zeugen, wird folgendes angestrebt. - Für jede eingehende E-Mail Adresse z.B. xxx at tld.de soll ein Verzeichnis angelegt werden. - In diesem Verzeichnis sollen dann alle eingehenden E-Mails für diese Adresse abgelegt werden. Dateiname xxxxxx.eml oder msg. - Optional jeder Monat ein Unter-Ordner Die von mir bisher gefundene Option "always_bcc" erstellt nur eine lange Datei, die man zwar editieren bzw. grep etc. bearbeiten kann, was aber auf die Zukunft einfach zu umständlich ist. Wenn dieses Thema in einer ähnlichen Art schon in der Vergangenheit behandelt wurde, bitte ich um Benennung eines Links, oder andere Informationen. Freundliche Grüße Lothar Wolff

3 2

Re: Zertifikat für Mailserver
by Gregor Hermens 20 Oct '16

20 Oct '16

Hallo Walter, Am Donnerstag, 20. Oktober 2016 schrieb Walter H.: > On Thu, October 20, 2016 07:57, Gregor Hermens wrote: > > In beiden Fällen muß ich nur zusätzlich Einfluß auf den DNS-Resolver des > > Opfers nehmen können, > > was ohne entsprechende Kollateralschäden schon mal nicht möglich ist; > > > was bei genügend krimineller Energie kein Hexenwerk ist... > > doch, weils in der Menge derer, die diesen Resolver verwenden, garantiert > mind. einen gibt, dem es verhext vorkommt und mit dem Besen andere warnt > ;-) > > oder anders: ein MITM Angriff auf die Art nur auf EINE ganz bestimmte > Person ist ausgeschlossen; wenn ich es schaffe, mich in die Internet-Verbindung meines Opfers einzuklinken, kann ich mich diesem gegenüber sowohl als dessen Resolver als auch Mailserver ausgeben. Beispiel: Ich könnte einen WLAN-Access-Point aufsetzen, diesem die SSID eines offenen WLAN geben, daß das Opfer auch benutzt, mich in die Nähe des Opfers begeben und so dafür sorgen, daß sich dessen Smartphone statt über das Mobilfunknetz über das ihm bekannte WLAN mit dem Internet verbindet. Der echte Resolver und dessen andere Nutzer bekommen davon nichts mit, ich habe aber Zugriff auf den gesamten unverschlüsselten Traffic des Opfers und kann verschlüsselten Traffic terminieren für alle Gegenstellen, deren Zertifikat ich fälschen konnte. Der Angriff auf eine einzelne Person ist imho also sogar leichter als der auf eine ganze Gruppe. > hat jemand seine eigene Domain, und betreibt zusätzlich seinen eigenen > Resolver sowie auch die Athoritativen DNS Server der Domain, ist ein > derartiger MITM-Angriff das kleinere Problem ... Das ist aber nicht der Normalfall. Aber auch hier reicht es, wenn ich mich zwischen das Opfer und seinen Resolver setzen oder den Resolver z.B. per Cache Poisoning beeinflussen kann. Das Opfer müsste z.B. Certificate Pinning betreiben, um sich zu schützen. Gruß, Gregor -- @mazing fon +49 8142 6528665 Gregor Hermens fax +49 8142 6528669 Brucker Strasse 12 gregor.hermens(a)a-mazing.de D-82216 Gernlinden http://www.a-mazing.de/

4 3

Redundanz bei Address Verifizierung
by Das Leo 20 Oct '16

20 Oct '16

Hallo Postfix Profis, ich habe folgendes Scenario: ## Mail Transport ## MX Record (Prio 10) >> Postfix-1 >> Antispam Appliance-1 >> Exchange Cluster MX Record (Prio 10) >> Postfix-2 >> Antispam Appliance-2 >> Exchange Cluster MX Record (Prio 10) >> Postfix-1 >> Antispam Appliance-2 >> Ticket System MX Record (Prio 10) >> Postfix-2 >> Antispam Appliance-2 >> Ticket System ## Address Verification ## (daher auch "address_verify_transport_maps" in Benutzung) MX Record (Prio 10) >> Postfix-1 (SMTP: RCPT To:) >> Antispam Appliance-1 (LDAP gegen ActiveDirectory) >> Exchange Cluster MX Record (Prio 10) >> Postfix-2 (SMTP: RCPT To:) >> Antispam Appliance-2 (LDAP gegen ActiveDirectory) >> Exchange Cluster MX Record (Prio 10) >> Postfix-1 (SMTP: RCPT To:) >> Ticket System (lokale Mailboxen, auch Postfix) MX Record (Prio 10) >> Postfix-2 (SMTP: RCPT To:) >> Ticket System (lokale Mailboxen, auch Postfix) Fuer die beiden Antispam Appliances habe ich 2 gleiche A-Records erstellt, damit Postfix eine Art Round-Robin macht und der Aufall einer Appliance verkraftet werden kann. Damit das ganze funktioniert, nutze ich die folgenden tables: - relay_domains - transport_maps - address_verify_transport_maps Nun zu meiner Problematik: Wenn eine Mail eingeht und eine der beiden Antispam Appliances ausfaellt, bekommt der sendende Server, immer wenn gerade der A-Record von der ausgefallenen AntiSpam Appliance genutzt wird, von Postfix ein: - 450 4.1.7 said: unverified address: Address verification in progress Beim Transport jedoch (und Nutzung des Verifiy-Caches), wird eine Mail in ca 10-20 sek. an die andere Antispam Appliance zugestellt, sollte die eine nicht verfuegbar sein. Gibt es die Moeglichkeit, eine bessere Redundanz bei der Address Verification zu schaffen? Beispiel: 1. SMTP kommt rein 2. SMTP: "RCPT To:" an Postfix 2. Address Verifiy gegen AntiSpam Appliance-1 (timeout) 3. Address Verifiy gegen AntiSpam Appliance-2 (success) 4. SMTP: "DATA etc." 5. SMTP ende Ich moechte einfach vermeiden, dass bei Ausfall einer Antispam Appliance unnoetig Bounces an sendende Server generiert werden. Freu mich auf eure Tipps =) Gruss Leo

2 1

Redundanz bei Address Verifizierung
by Das Leo 20 Oct '16

20 Oct '16

Hallo Postfix Profis, ich habe folgendes Scenario: ## Mail Transport ## MX Record (Prio 10) >> Postfix-1 >> Antispam Appliance-1 >> Exchange Cluster MX Record (Prio 10) >> Postfix-2 >> Antispam Appliance-2 >> Exchange Cluster MX Record (Prio 10) >> Postfix-1 >> Antispam Appliance-2 >> Ticket System MX Record (Prio 10) >> Postfix-2 >> Antispam Appliance-2 >> Ticket System ## Address Verification ## (daher auch "address_verify_transport_maps" in Benutzung) MX Record (Prio 10) >> Postfix-1 (SMTP: RCPT To:) >> Antispam Appliance-1 (LDAP gegen ActiveDirectory) >> Exchange Cluster MX Record (Prio 10) >> Postfix-2 (SMTP: RCPT To:) >> Antispam Appliance-2 (LDAP gegen ActiveDirectory) >> Exchange Cluster MX Record (Prio 10) >> Postfix-1 (SMTP: RCPT To:) >> Ticket System (lokale Mailboxen, auch Postfix) MX Record (Prio 10) >> Postfix-2 (SMTP: RCPT To:) >> Ticket System (lokale Mailboxen, auch Postfix) Fuer die beiden Antispam Appliances habe ich 2 gleiche A-Records erstellt, damit Postfix eine Art Round-Robin macht und der Aufall einer Appliance verkraftet werden kann. Damit das ganze funktioniert, nutze ich die folgenden tables: - relay_domains - transport_maps - address_verify_transport_maps Nun zu meiner Problematik: Wenn eine Mail eingeht und eine der beiden Antispam Appliances ausfaellt, bekommt der sendende Server, immer wenn gerade der A-Record von der ausgefallenen AntiSpam Appliance genutzt wird, von Postfix ein: - 450 4.1.7 said: unverified address: Address verification in progress Beim Transport jedoch (und Nutzung des Verifiy-Caches), wird eine Mail in ca 10-20 sek. an die andere Antispam Appliance zugestellt, sollte die eine nicht verfuegbar sein. Gibt es die Moeglichkeit, eine bessere Redundanz bei der Address Verification zu schaffen? Beispiel: 1. SMTP kommt rein 2. SMTP: "RCPT To:" an Postfix 2. Address Verifiy gegen AntiSpam Appliance-1 (timeout) 3. Address Verifiy gegen AntiSpam Appliance-2 (success) 4. SMTP: "DATA etc." 5. SMTP ende Ich moechte einfach vermeiden, dass bei Ausfall einer Antispam Appliance unnoetig Bounces an sendende Server generiert werden. Freu mich auf eure Tipps =) Gruss Leo

3 2

Zertifikat für Mailserver
by Andreas Wass - Glas Gasperlmair 20 Oct '16

20 Oct '16

Hallo Postfix Profis! Wir sind gerade dabei, einen neuen Mailserver nur für unsere Domain einzurichten und fragen uns, ob wir ein offizielles Zertifikat ausstellen lassen sollen, welches unseren Mailserver gegen über anderen als legitim ausweist und mit dem wir verschlüsselte Verbindungen aufbauen können. 1.) Verwendet ihr offizielle Zertifikate und sollte man das machen? 2.) Muss das ein bestimmter Zertifikat-Typ sein? 3.) Was kostet so ein Zertifikat ungefähr? 4.) Welchen Anbieter könnt ihr empfehlen? -- vg, Andi

18 30

ElCapitan
by Matthias Schmidt 18 Oct '16

18 Oct '16

Hallo, ich hab mal alles auf ein sauberes System migriert :-) Dabei hab ich irgendwie meinen Loglevel verloren. Es werden nur noch Warnungen und Fehler im Log angezeigt. Wo muss ich da schrauben, damit ich wieder alles sehe? Dann funzt seitdem ich auf ElCapitan bin Postfix reload nicht mehr. Er meldet fatal postfix lefft net, obwohl ja alles läuft. Ich kann nur in der GUI anhalten und wieder starten. Wie bekomm ich meine Abkürzung wieder oder ist die von Apple geklaut worden? Dank und Gruss Matthias

2 4

Best Practice - Default Absender Domain
by Christian Arndt 13 Oct '16

13 Oct '16

Hi, was ist der _best practice_ eine "valide" Absender-Domain von Hosts, die nur eine interne Domain haben [1], zu erzwingen? Das Problem welches ich habe ist, dass diese E-Mails durch meinen Relay Server abgelehnt werden [2]. Geloest habe ich es zwischenzeitlich dadurch, dass ich eine sender_canonical angelegt habe, in der das Mapping von internem Hostnamen zu Wunsch-Absender Domain enthalten ist [3] (hier example.com als Bsp.) Gibt es da ein anderes "Standard-Vorgehen" ? Viele Gruesse, Christian [1] domain.internal in /etc/mailname [2] status=bounced (Host or domain name not found. Name service error for name=192-100-100-12.domain.internal type=A: Host not found) [3] 192-100-100-12.domain.internal server(a)example.com

2 2