- postfix-users - list.sys4.de

SSL_accept error from 213-225-38-118.nat.highway.a1.net[213.225.38.118]: -1
by Andreas Wass - Glas Gasperlmair 30 Oct '21

30 Oct '21

Hallo Liste, Obwohl ich ein offizielles aktuelles LetsEncrypt (am 23.10.2021 neu erstellt) Zertifikat für TLS verwende, beobachte ich schon seit längerem folgende Einträge im mail.log. alle ca. 20 Minuten. Oct 25 08:59:14 mail postfix/submission/smtpd[33873]: SSL_accept error from 213-225-38-118.nat.highway.a1.net[213.225.38.118]: -1 Oct 25 08:59:14 mail postfix/submission/smtpd[33873]: warning: TLS library problem: error:14094416:SSL routines:ssl3_read_bytes:sslv3 alert certificate unknown:../ssl/record/rec_layer_s3.c:1543:SSL alert number 46: Zertifikat wurde vorgestern am 23.10.2021 mit folgendem Befehl neu erstellt, da wir auf eine neue Hardware umgezogen sind: (Meldungen kamen aber vorher auf der alten Maschine auch schon) certbot certonly --standalone --rsa-key-size 4096 -d mail1.gasperlmair.at Hab auch keine Beschwerden, dass jemand nicht einliefern könnte. Sollte ich das einfach ignorieren? vg, Andi

7 26

Postfix-rspamd Problem durch recipient_bcc_maps
by Andreas Wass - Glas Gasperlmair 21 Oct '21

21 Oct '21

3 7

mailq auf neuen Mailserver migrieren?
by Andreas Wass - Glas Gasperlmair 13 Oct '21

13 Oct '21

Hallo, ist es möglich, die mailq von einem Centos-Postfix Version 2.11.11 auf Debian-Postfix Version 3.5.6 zu migrieren? Wenn ja, wie? -- vg, Andi

2 1

Submission Port - receive_override_options=no_header_body_checks funktioniert nicht
by Andreas Wass - Glas Gasperlmair 13 Sep '21

13 Sep '21

Hallo Liste, Möchte Header- und Bodychecks für submission port deaktivieren, hab den receive_override_options=no_header_body_checks brav in die master.cf wie folgt eingetragen, allerdings funktioniert das nicht. Mails mit diversen Keyword werden sowohl an port 25 (wo es ja berechtigt ist) als auch am submission (wo sie durchgelassen werden solten) in die HOLD queue gestellt. # ========================================================================== # service type private unpriv chroot wakeup maxproc command + args # (yes) (yes) (no) (never) (100) # ========================================================================== #smtp inet n - y - - smtpd # Port 25 - alle extern ankommenden mails per postscreen pruefen smtp inet n - y - 1 postscreen smtpd pass - - y - - smtpd # SASL auf port 25 nicht zulassen (senden nur über submission s. unten) -o smtpd_sasl_auth_enable=no # extern ankommende Mails per smtpd_proxy_filter an amavis übergeben -o smtpd_proxy_filter=localhost:10024 dnsblog unix - - y - 0 dnsblog tlsproxy unix - - y - 0 tlsproxy # Port 587 - Senden von mails nur über diesen Port zulassen *submission inet n - y - - smtpd** ** -o receive_override_options=no_header_body_checks* -o syslog_name=postfix/submission -o smtpd_tls_security_level=encrypt -o smtpd_sasl_auth_enable=yes # -o smtpd_tls_auth_only=yes -o smtpd_reject_unlisted_recipient=no # -o smtpd_client_restrictions=$mua_client_restrictions # -o smtpd_helo_restrictions=$mua_helo_restrictions # -o smtpd_sender_restrictions=$mua_sender_restrictions -o smtpd_recipient_restrictions= -o smtpd_relay_restrictions=permit_sasl_authenticated,reject # -o receive_override_options=no_header_body_checks # -o milter_macro_daemon_name=ORIGINATING # zu sendende mails (z.B. Thunderbird) per content_filter an amavis übergeben -o content_filter=smtp:[127.0.0.1]:10030 #smtps inet n - y - - smtpd # -o syslog_name=postfix/smtps # -o smtpd_tls_wrappermode=yes # -o smtpd_sasl_auth_enable=yes # -o smtpd_reject_unlisted_recipient=no # -o smtpd_client_restrictions=$mua_client_restrictions # -o smtpd_helo_restrictions=$mua_helo_restrictions # -o smtpd_sender_restrictions=$mua_sender_restrictions # -o smtpd_recipient_restrictions= # -o smtpd_relay_restrictions=permit_sasl_authenticated,reject # -o milter_macro_daemon_name=ORIGINATING #628 inet n - y - - qmqpd pickup unix n - y 60 1 pickup cleanup unix n - y - 0 cleanup qmgr unix n - n 300 1 qmgr #qmgr unix n - n 300 1 oqmgr tlsmgr unix - - y 1000? 1 tlsmgr rewrite unix - - y - - trivial-rewrite bounce unix - - y - 0 bounce defer unix - - y - 0 bounce trace unix - - y - 0 bounce verify unix - - y - 1 verify flush unix n - y 1000? 0 flush proxymap unix - - n - - proxymap proxywrite unix - - n - 1 proxymap smtp unix - - y - - smtp relay unix - - y - - smtp -o syslog_name=postfix/$service_name # -o smtp_helo_timeout=5 -o smtp_connect_timeout=5 showq unix n - y - - showq error unix - - y - - error retry unix - - y - - error discard unix - - y - - discard local unix - n n - - local virtual unix - n n - - virtual lmtp unix - - y - - lmtp anvil unix - - y - 1 anvil scache unix - - y - 1 scache postlog unix-dgram n - n - 1 postlogd # # ==================================================================== # Interfaces to non-Postfix software. Be sure to examine the manual # pages of the non-Postfix software to find out what options it wants. # # Many of the following services use the Postfix pipe(8) delivery # agent. See the pipe(8) man page for information about ${recipient} # and other message envelope options. # ==================================================================== # # maildrop. See the Postfix MAILDROP_README file for details. # Also specify in main.cf: maildrop_destination_recipient_limit=1 # maildrop unix - n n - - pipe flags=DRXhu user=vmail argv=/usr/bin/maildrop -d ${recipient} # # ==================================================================== # # Recent Cyrus versions can use the existing "lmtp" master.cf entry. # # Specify in cyrus.conf: # lmtp cmd="lmtpd -a" listen="localhost:lmtp" proto=tcp4 # # Specify in main.cf one or more of the following: # mailbox_transport = lmtp:inet:localhost # virtual_transport = lmtp:inet:localhost # # ==================================================================== # # Cyrus 2.1.5 (Amos Gouaux) # Also specify in main.cf: cyrus_destination_recipient_limit=1 # #cyrus unix - n n - - pipe # flags=DRX user=cyrus argv=/cyrus/bin/deliver -e -r ${sender} -m ${extension} ${user} # # ==================================================================== # Old example of delivery via Cyrus. # #old-cyrus unix - n n - - pipe # flags=R user=cyrus argv=/cyrus/bin/deliver -e -m ${extension} ${user} # # ==================================================================== # # See the Postfix UUCP_README file for configuration details. # uucp unix - n n - - pipe flags=Fqhu user=uucp argv=uux -r -n -z -a$sender - $nexthop!rmail ($recipient) # # Other external delivery methods. # ifmail unix - n n - - pipe flags=F user=ftn argv=/usr/lib/ifmail/ifmail -r $nexthop ($recipient) bsmtp unix - n n - - pipe flags=Fq. user=bsmtp argv=/usr/lib/bsmtp/bsmtp -t$nexthop -f$sender $recipient scalemail-backend unix - n n - 2 pipe flags=R user=scalemail argv=/usr/lib/scalemail/bin/scalemail-store ${nexthop} ${user} ${extension} mailman unix - n n - - pipe flags=FRX user=list argv=/usr/lib/mailman/bin/postfix-to-mailman.py ${nexthop} ${user} # Rückgabe der untersuchten Mails von amavis an postfix localhost:10025 inet n - - - - smtpd -o content_filter= -o smtpd_proxy_filter= -o smtpd_authorized_xforward_hosts=127.0.0.0/8 -o smtpd_client_restrictions= -o smtpd_helo_restrictions= -o smtpd_sender_restrictions= -o smtpd_recipient_restrictions=permit_mynetworks,reject -o smtpd_data_restrictions= -o mynetworks=127.0.0.0/8 -o receive_override_options=no_unknown_recipient_checks vg, Andi

3 7

CentOS Nachfolger für Postfix : Alma Linux oder gar nix
by m 09 Sep '21

09 Sep '21

On 9/1/21 13:06, Patrick Ben Koetter wrote: > ich setze privat und seit einigen Jahren auch zunehmend geschäftlich > ArchLinux ein. Die Sorgen, die auch ich anfangs mit einem Rolling > Release hatte, dass Stabilität des OS und der Dienste leiden würden, > haben sich nicht bestätigt. >> Meine persönliche Erfahrung ist, dass die generellen Bedenken bzgl. >> Rolling Releases eher emotional sind und nicht auf aktuellen, >> praktischen Erfahrungen basieren. > Sie sind – persönliche Meinung – nicht so rechthaberisch und > alleingehend wie Debian/Ubuntu, nicht so steinalt wie RedHat > und nicht so unbedeutend wie SUSE. nicht nur OS'e legen einem jede Minute Steine in den Weg. selbst die dümmsten webadmin Seiten legen Wert darauf, für die user alles kaputtzumachen. ja so sind sie, die ganze noobs nèe webadmin. deren emotionales Gelaber ist kaum auszuhalten.

2 2

DKIM, SPF, DMARC usw.
by m 08 Sep '21

08 Sep '21

https://de.postfix.org/pipermail/postfix-users/2021-September/006767.html heutzutage gilt nur als Könner, wer so viel abweist wie möglich. Abweisen ist Trumpf und schafft Arbeitsplätze für IT noobs.

1 0

DKIM, SPF, DMARC usw.
by Andreas Wass - Glas Gasperlmair 07 Sep '21

07 Sep '21

Hallo Liste, bin ja gerade am tüfteln unseres neuen Setups für unseren neuen Mailserver auf Debian mit postfix, dovecot, amavis und Co. Macht es überhaupt Sinn DKIM, SPF, DMARC usw einzusetzen? Im Postfix Buch von Peer Heinlein habe ich gelesen, dass das seiner Meinung nach der falsche Ansatz ist, da sich heute jeder Spammer gültige DNS Einträge, gültige Signaturen usw. konfigurieren kann und es dadurch eigentlich noch leichter wird durch Spamfilter hindurch zu kommen, denn verfolgt man folgenden Ansatz, https://blog.sys4.de/amavisd-new-dkim-howto-de.html dann würde man bei gültigen Absendern ja Viren und Spamprüfungen per Policies für gewisse Absender ausschalten und nur ungültige Absender durch Viren- und Spamfilter jagen. FAZIT aus meiner Sicht: 1. Abweisen aller Versender (Kunden die uns Aufträge senden) mit ungültigen DKIM, SPF aufgrund schlecht konfigurierter Mailserver wäre fatal. 2. Ausnahme von Viren- und Spamfilter aufgrund von gültigen DKIM, SPF Absendern, die ich mühsam in einer Liste pflegen muss bringt auch nix, da ich natürlich möchte, dass auch Emails unserer Kunden trotz gültiger DKIM, SPF usw. durch alle Spam- und Virenfilter gehen. * Also was tun? Weist Ihr Versender aufgrund ungültiger Prüfungen dieser Mechanismen ab? (Es sollen ja auch viele Office 365 Mailserver im Hinblick darauf schlecht konfiguriert sein und viel ungültige Prüfung in diese Richtung auslösen) * Was macht Sinn? * Oder habe ich generell etwas falsch verstanden? vg, Andi

8 15

CentOS Nachfolger für Postfix & Co
by Andreas Wass - Glas Gasperlmair 01 Sep '21

01 Sep '21

Hallo Postfix-Liste, ich hoffe, ich darf meine Frage hier stellen, da es nicht unmittelbar mit postfix zu tun hat. wir betreiben seit 2016 einen Mailserver mit Postfix, Dovecot, Spamassassin & Co. unter CentOS 7.x lt. Anleitung von Django (https://dokuwiki.nausch.org/doku.php/centos:mail_c7:start) Vielen Dank nochmal an dieser Stelle an Michael Nausch für seine super ausführlichen Anleitungen. Allerdings wird CentOS bald nicht mehr geben, wenn man folgendem Artikel glaubt: https://kofler.info/nachruf-auf-centos/ Da es dann angeblich kein CentOS mehr gibt, welches für den Produktiveinsatz geeignet ist, suchen wir nach einem freien Nachfolger. Daher meine Frage an euch: Welche freie Distribution für Postfix, Dovecot, Amavis, ClamAV, Spamassassin und Roundcube würdet ihr empfehlen? Mit freundlichen Grüßen *Andreas Wass*

7 7

postscreen bzw. DNSBL und DNSWL
by Andreas Wass - Glas Gasperlmair 30 Aug '21

30 Aug '21

Hallo Leute, bin grad am tüfteln, welche Konfiguration zur Spamabwehr für unseren neuen Postfix Mailserver wohl am besten ist. Und für die 1. Instanz hab ich natürlich an postscreen gedacht. Unsere Anforderungen: Firmenserver mit 1 Domain Mailaufkommen ca. 2000 eingehende Mails/Tag Kundenmails müssen natürlich durchkommen Hier nun meine Fragen: 1. Welche postscreen Konfiguration macht Sinn vor allem in Hinblick auf Office 365 Mailserver, die sich ja immer mit einer anderen IP connecten und somit starke Verzögerungen bei der Zustellung durch div. Einstellungen entstehen können. Vielleicht möchte der/die eine oder andere hier seine/ihre optimale Konfig mal posten 2. Welche DNSBL und DNSWL (wenn geht kostenlos) kann ich dafür benutzen, bzw. welche nutzt ihr? Viele Grüße, Andi

2 1

whitelisting mnit rbl_override
by Christoph Kukulies 27 Aug '21

27 Aug '21

Ich habe das Problem, daß ein externer Mailserver, der für mich wichtig ist, bei barracudacentral.org derzeit geblacklistet ist. Jetzt las ich eine Anleitung derart, daß eine /etc/postfix/rbl_override editiert wird, in die z.B. die IP gefolgt von OK eingetragen wird: 1.2.3.4 OK Auszug aus main.cf: smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, check_client_access hash:/etc/postfix/access, check_sender_access hash:/etc/postfix/sender_access, reject_unauth_destination, check_client_access hash:/etc/postfix/rbl_override, reject_rbl_client zen.spamhaus.org, reject_rbl_client cbl.abuseat.org, reject_rbl_client sbl.spamhaus.org, reject_rbl_client dul.dnsbl.sorbs.net, # permit # -smtpd_recipient_restrictions = # - permit_mynetworks, # - reject_non_fqdn_recipient, # - reject_unknown_recipient_domain, # - reject_non_fqdn_sender, # - reject_unknown_sender_domain, # - reject_invalid_helo_hostname, # - reject_non_fqdn_helo_hostname, # - reject_unauth_destination, # - reject_unverified_recipient, # - check_client_access pcre:$config_directory/greylisting.pcre, # - ohne grey greylisting = # - ohne grey permit_dnswl_client mailspike.net, # - ohne grey permit_dnswl_client list.dnswl.org, # - ohne grey check_policy_service inet:127.0.0.1:10029 Es funktioniert aber nicht. (Ubuntu 18.04.5 LTS postfix mail_version 3.3.0) — Christoph

2 3