- postfix-users - list.sys4.de

OT: Smartphone mitAnbindung an Postfix und Dovecot
by postfix_ml＠rirasoft.de 04 Feb '15

04 Feb '15

Hallo zusammen, mal 'ne Frage an euch: Wie, und ist es überhaupt möglich, kann man aktuelle Smartphones (Android) an ein bestehendes Mailsystem mit Postfix und Dovecot anbinden, damit die Mails darüber und nicht über Google (gmail) laufen? Hintergrund: mein Frau möchte sich ein Smartphone zulegen und ich betreibe selber meinen Mailserver (feste IP vorhanden). Gruß Andreas

6 6

CA certificate verification failed for *: num=7:certificate signature failure
by Marc Patermann 28 Jan '15

28 Jan '15

Hallo, ich schicke Mails an einen externen Exchange-Server. Die TLS-Verbindung wird teilweise "Trusted" aufgebaut, teilweise mit "A certificate verification failed for exchange[10.17.101.63]:25: num=7:certificate signature failure" aufgebaut. Wie kann das sein? Die CA Cert-Chain habe ich auf dem Server in /etc/ssl/certs abgelegt. Vorher war die TLS-Verbindung immer untrusted. Hier mal Auszüge aus dem Log: Jan 28 10:59:58 exts098 postfix/smtp[19043]: setting up TLS connection to exchange[10.17.101.63]:25 Jan 28 10:59:58 exts098 postfix/smtp[19043]: Trusted TLS connection established to exchange[10.17.101.63]:25: TLSv1 with cipher RC4-MD5 (128/128 bits) -- Jan 28 11:06:53 exts098 postfix/smtp[17667]: setting up TLS connection to exchange[10.17.101.63]:25 Jan 28 11:06:53 exts098 postfix/smtp[17667]: CA certificate verification failed for exchange[10.17.101.63]:25: num=7:certificate signature failure -- Jan 28 11:08:23 exts098 postfix/smtp[17667]: setting up TLS connection to exchange[10.17.101.63]:25 Jan 28 11:08:23 exts098 postfix/smtp[17667]: Trusted TLS connection established to exchange[10.17.101.63]:25: TLSv1 with cipher RC4-MD5 (128/128 bits) Marc

3 2

Postfix ist nicht von GHOST betroffen
by Patrick Ben Koetter 28 Jan '15

28 Jan '15

Wer ein wenig mehr Hintergrund möchte: https://sys4.de/de/blog/2015/01/28/entwarnung-fur-postfix-und-cve-2015-0235… p@rick -- [*] sys4 AG https://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 1

Re: Mails einzelner Domains über Relay ausliefern
by Michael Reincke 21 Jan '15

21 Jan '15

Hallo, die Lösung sind sender_dependent_relayhost_maps http://www.postfix.org/postconf.5.html#sender_dependent_relayhost_maps Gruß Michael Am 20. Januar 2015 19:01:20 MEZ, schrieb Michael Reincke <michael.reincke(a)famre.de>: >Hallo, > >Am 20. Januar 2015 18:25:53 MEZ, schrieb "Markus Schönhaber" ><postfix-users-de(a)list-post.mks-mail.de>: >>Am 20.01.2015 um 18:09 schrieb frank(a)belau.de: >> >>> ich bräuchte mal euer Wissen. Ich habe ein Webserver auf dem als >>> lokaler MTA ein Postfox läuft. Auf diesem System werden Webseiten >für >> >>> mehrere Domains gehostet. Bisher werden alle Mails direkt >>ausgeliefert. >>> (Der MX läuft auf anderen Systemen). Jetzt habe ich eine >Anforderung, >> >>> daß Mails von 2 Webseiten (jeweils eine andere Domain) über jeweils >>> einen eigenen Relayhost ausgeliefert werden sollen. >>> >>> Wie bekommt man das hin? >>> >>> >>> *(a)domain_a.de -> direkt ausliefern >>> ... >>> *(a)domain_f.de -> direkt ausliefern >>> *(a)domain_x.de -> über Relayhost X ausliefern >>> *(a)domain_y.de -> über Relayhost Y ausliefern >> >>http://www.postfix.org/postconf.5.html#transport_maps >> >>-- >>Gruß >> mks > >Wird so leider nicht funktionieren. >Die transport map ist nur für das Routing bzgl. Empfänger zuständig. > >Gruß > >Michael > >-- >Michael Reincke

3 2

Mails einzelner Domains über Relay ausliefern
by frank＠belau.de 20 Jan '15

20 Jan '15

Hallo zusammen, ich bräuchte mal euer Wissen. Ich habe ein Webserver auf dem als lokaler MTA ein Postfox läuft. Auf diesem System werden Webseiten für mehrere Domains gehostet. Bisher werden alle Mails direkt ausgeliefert. (Der MX läuft auf anderen Systemen). Jetzt habe ich eine Anforderung, daß Mails von 2 Webseiten (jeweils eine andere Domain) über jeweils einen eigenen Relayhost ausgeliefert werden sollen. Wie bekommt man das hin? *(a)domain_a.de -> direkt ausliefern ... *(a)domain_f.de -> direkt ausliefern *(a)domain_x.de -> über Relayhost X ausliefern *(a)domain_y.de -> über Relayhost Y ausliefern MfG Frank.

2 1

Problem mit cleanup nach content filter
by Jakob-Matthias Böttger 16 Jan '15

16 Jan '15

Hallo zusammen, ich habe folgendes Problem. Die Faktura Software eines Kunden verschickt Mails ohne Date Header. (Ich weiss das ist das Eigentliche Problem...) Der Mailserver nimmt auf 587 entgegen und schickt die Mail durch einen pre queue Contentfilter, in diesem Fall Amavis. Amavis registriert den fehlenden Header und Kreidet dies an. Die Mail wird jetzt auch ausgeliefert leider aber ohne den Date Header. Eigentlich müsste doch der Cleanup diesen jetzt nach dem content filter hinzufügen. Habt ihr eine Idee woran das liegt?

1 0

OT: DNS Provider gesucht
by lst_hoe02＠kwsoft.de 15 Jan '15

15 Jan '15

Hallo, ich bin auf der Suche nach einem DNS Provider, bevorzugt Deutschland mit der Möglichkeit DNSSEC gesicherte Domains zu verwalten, schön wäre auch Sachen wie SRV und TLSA Records. Das ganze darf auch etwas kosten sollte aber für den Privatgebrauch bezahlbar bleiben (~50 Euro / Jahr und Domain). Bin für jeden Hinweis dankbar, bei den "großen" sieht es leider bei DNSSEC traurig aus und auch SRV Records sind selten, TLSA gibt es wohl nirgends. Danke Andreas

8 14

ANN: dane-users@sys4.de Mailingliste und https://dane.sys4.de DANE SMTP Validator
by Patrick Ben Koetter 15 Jan '15

15 Jan '15

Nahezu 3% der DANE SMTP aktivierten Domains validieren nicht richtig oder sie veröffentlichen unbrauchbare TLSA Ressource Records[1]. Der Anteil wäre größer, hätten wir in der Vergangenheit nicht schon problematische Sites auf deren DANE Probleme aufmerksam gemacht. Eine Fehlerrate von 3% ist definitiv zu hoch. Der DANE Validator <https://dane.sys4.de> soll Konfigurationsfehler identifizieren. Er soll Administratoren unterstützen, funktionierende DANE SMTP Konfigurationen zu erstellen. Mit dem heutigen Release stellen wir die erste öffentliche Beta online. Die Version 1 soll bald folgen. Zeitgleich haben wir die englischsprachige Mailingliste "DANE users" <dane-users(a)sys4.de> ins Leben gerufen. Die Liste dient der Diskussion praktischer Fragestellungen aus dem DANE-Alltag. Sie ist nicht auf ein konkretes Produkt festgelegt. Interessierte abonnieren die Liste auf https://mail.sys4.de/cgi-bin/mailman/listinfo/dane-users. p@rick [1] Basierend auf einer DANE-Einführungsstudie von Viktor Dukhovni. -- [*] sys4 AG https://sys4.de, +49 (89) 30 90 46 64 Franziskanerstraße 15, 81669 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 3

SASL- und IMAP-Authentifizierungsmechanismen von Dovecot/Postfix
by Michael Köhler 12 Jan '15

12 Jan '15

Hallo, ich denke schon die ganze Zeit darüber nach, ob der Authentifizierungsmechanismus „plain“ ein Sicherheitsrisiko ist, welchen ich in Postfix mit „smtpd_sasl_security_options“ bzw. „smtpd_sasl_tls_security_options“ und in Dovecot unter „auth_mechanisms“ angeben kann?! Ich bin geneigt dazu das Tor so weit wie möglich zu schliessen und nur die höchste und "verschlüsselste" Authentifizierungsmethode zuzulassen - aber ist das sinnvoll? Je nach Client kann es da zu Problemen führen, weil nicht alle Clients alle Möglichkeiten durchprobieren und deswegen der Erklärungsaufwand höher ist. Wenn ich die diversen Dokus/Bücher richtig verstanden habe, dann wird bei IMAP logischerweise (wenn ich Dovecot als IMAP-Server einsetze) Dovecot als Authentifizierungsinstanz genutzt. Wenn ich jetzt auth_mechanisms = plain, login, ... setze - wie wird dann eine Anmeldung per IMAPS vorgenommen? Wird die Authentifizierung verschlüsselt ablaufen? Und stellt Plaintext in dem Falle ein Sicherheitsrisiko dar? Und wie ist das bei Postfix? Ich kann mit smtpd_sasl_security_options = noanonymous, noplaintext smtpd_sasl_tls_security_options = $smtpd_sasl_security_options festlegen, dass bei einer unverschlüsselten SMTP-Session sowohl keine anonyme Authentifizierung als auch keine im Plaintext stattfinden darf. Um es komfortabler zu machen, kann ich aber auch smtpd_sasl_security_options = noanonymous, noplaintext smtpd_sasl_tls_security_options = noanonymous festlegen. Damit kann ich TLS-verschlüsselt auch wieder Plaintext verwenden. Würde denn auch smtpd_sasl_security_options = noanonymous smtpd_sasl_tls_security_options = $smtpd_sasl_security_options smtpd_tls_auth_only = yes zu dem gleichen Ergebnis führen, wenn ich nur verschlüsselte Authentifizierung erlauben will? Denn dann würde ja smtpd_sasl_security_options gar nicht zum Zuge kommen, oder? Was ist nun eine sichere und zugleich komfortable Konfiguration, damit sich am besten alle möglichen Clients einfach per IMAPS/SMTPS authentifizieren können? Viele Grüße, Michael

6 14

policyd defaults und AHBL
by Florian Streibelt 09 Jan '15

09 Jan '15

Hallo zusammen, ich bin auf ein default setting von policyd reingefallen. Im Quellcode steht dieses hier als default: ## RHSBL settings @rhsbl_score = ( 'multi.surbl.org', 4, 0, 'SURBL', 'rhsbl.ahbl.org', 4, 0, 'AHBL' ); Wenn man nun in der config in /etc die rhsbl_score nicht explizit drin hat, werden diese defaults verwendet und man lehnt u.U. mails ab, da AHBL den Betrieb eingestellt hat. Ich wusste nun, dass die ihren Betrieb einstellen und hatte mir meine Config angeschaut. AHBL habe ich nicht gefunden, weil ich nur die dnsbl settings gesetzt hatte und nicht die rhsbl. Dadurch kamen die defaults zu tragen und ich habe zuviel abgelehnt. Nur falls jemand von euch da gerade verzweifelt nach dem Setting sucht. Ich habe ein bischen gebraucht. Grüße, Florian

1 0