- postfix-users - list.sys4.de

[postfix-users] Sender-Pruefungen
by Margrit Lottmann 25 Sep '12

25 Sep '12

...frueher ...hatten wir einen Kaiser...Scherz... aber auch: (in exim) eine strenge Senderpruefung zumindest fuer Adressen aus unserem Adressraum (unsere Domains...nur wer gelistet war, durfte senden ...jetzt machen wir nur normale Sender-Verifys...d.h. Domain muss existieren...reject_unlisted_sender habe ich wieder ausdokumentiert...da wir den ganzen Wildwuchs auf unseren Uni-Webserervern eh' nicht bewaeltigen koennten...Unser Chef sieht das so...dass wir die Freiheit der Wissenschaft sichern muessen...mehr dazu nicht...sonst aergere ich mich am fruehen Morgen... ...aber: mal wieder rollt eine Welle von Password-Fischern ueber uns hinweg ...von aussen (also nicht aus unserem Netz und bei den Adressen der Absender stimmt nur die Domain...) Lohnt es, Regeln einzubauen, die zumindest fuer die Aussenwelt Sender-Checks wieder "genauer" durchfuehrt ...und wie mache ich das dann ??? Gibt es bedingte Checks der Form wenn nicht aus unserem Netz dann reject_unlisted_sender ??? Lohnt es ueberhaupt, so was auszudenken ??? Es ist ja nicht so schwer, richtige Adresse zu finden ... -- MfG Margrit Lottmann Otto-von-Guericke-Universitaet Magdeburg Abt. Anwendungen Tel.: 0391 67 58572 Fax: 0391 67 11134

2 1

[postfix-users] Spam von local - schon wieder ...
by Matthias Schmidt 18 Sep '12

18 Sep '12

Hallo, bei mir sind gestern wieder über rund 45 Minuten mails eingegangen und teilweise wegen Spam abgelehnt worden. Als das das erste mal passiert ist, hab ich den Rat von Uwe befolgt und meine main.cf so geändert: smtpd_sasl_auth_enable = yes smtpd_helo_required = yes smtpd_use_pw_server = yes #mit Greylisting #smtpd_recipient_restrictions = permit_sasl_authenticated permit_mynetworks reject_unauth_destination check_policy_service unix:private/policy permit #ohne Greylisting smtpd_recipient_restrictions = permit_sasl_authenticated permit_mynetworks permit_tls_clientcerts check_sender_access hash:/etc/postfix/whitelist reject_non_fqdn_hostname reject_unknown_reverse_client_hostname reject_unauth_destination reject_rbl_client cbl.abuseat.org reject_rbl_client zen.spamhaus.org smtpd_pw_server_security_options = login,gssapi,cram-md5 data_directory = /var/lib/postfix smtpd_client_restrictions = smtpd_sender_restrictions = check_sender_access regexp:/etc/postfix/tag_as_originating.re permit_mynetworks permit_sasl_authenticated permit_tls_clientcerts check_sender_access regexp:/etc/postfix/tag_as_foreign.re smtpd_data_restrictions = reject_unauth_pipelining mydestination = $myhostname, localhost.$mydomain, localhost, mail.$mydomain, liste.$mydomain, $mydomain virtual_transport = virtual Die Mails kommen mit sasl_username=ftp hier an. Beim (Sytem-Benutzer) ftp ist Mail nicht aktiviert. Das Mail sieht so aus: Content type: Spam Internal reference code for the message is 20536-07/3+yiMXOQhcE5 First upstream SMTP client IP address: [65.200.13.203] According to a 'Received:' trace, the message apparently originated at: [17.45.146.70], nico-lae.qr.32.de [17.45.146.70] Return-Path: <dagata(a)ma-pu.plm.com> From: Co-operative-Bank-p.l.c.UK.363(a)e-mail-alert-id.9656.review-24-hrs-cooperative-online.co.uk Message-ID: <E1T94zk-2493-Bo@Co-operative-Bank-p.l.c.UK.363@e-mail-alert-id.9656.review-24-hrs-cooperative-online.co.uk.aristo-internet.nl> X-Mailer: Stylatule-decouvrez 6.4 Subject: IMPORTANT SECURITY ISSUES [INCIDENT 462376-xz-46 ] Not quarantined. The message WAS NOT relayed to: <mod9966(a)hotmail.com>: 250 2.7.0 Ok, discarded, id=20536-07 - SPAM SpamAssassin report: Spam detection software, running on the system "mcgregor.admilon.net", has identified this incoming email as possible spam. The original message has been attached to this so you can view it (if it isn't spam) or label similar future email. If you have any questions, see websensei(a)admilon.net for details. Content preview: ACCESS TO YOUR ACCOUNT HAS BEEN TEMPORARILY SUSPENDED. The reason for this issue: - UNUSUAL NUMBER OF INVALID LOGIN ATTEMPTS ON YOUR ACCOUNT To restore your account, please click below: [...] Content analysis details: (13.0 points, 25.0 required) pts rule name description ---- ---------------------- -------------------------------------------------- 0.0 MSGID_MULTIPLE_AT Message-ID contains multiple '@' characters 0.9 DKIM_ADSP_NXDOMAIN No valid author signature and domain not in DNS 2.4 TVD_PH_BODY_ACCOUNTS_PRE BODY: TVD_PH_BODY_ACCOUNTS_PRE -0.0 BAYES_40 BODY: Bayes spam probability is 20 to 40% [score: 0.3950] 1.5 HTML_IMAGE_ONLY_20 BODY: HTML: images with 1600-2000 bytes of words 0.3 HTML_MESSAGE BODY: HTML included in message 0.7 MIME_HTML_ONLY BODY: Message only has text/html MIME parts 1.9 RAZOR2_CF_RANGE_E8_51_100 Razor2 gives engine 8 confidence level above 50% [cf: 100] 0.5 RAZOR2_CF_RANGE_51_100 Razor2 gives confidence level above 50% [cf: 100] 4.0 RAZOR2_CHECK Listed in Razor2 (http://razor.sf.net/) 0.8 RDNS_NONE Delivered to internal network by a host with no rDNS 0.0 TO_EQ_FM_HTML_ONLY To == From and HTML only 0.0 TO_NO_BRKTS_NORDNS_HTML TO_NO_BRKTS_NORDNS_HTML Return-Path: <dagata(a)ma-pu.plm.com> Received: from [128.2.1.64] (unknown [65.200.13.203]) by mcgregor.admilon.net (Postfix) with ESMTPA id 25AF01DBA536 for <mod9966(a)hotmail.com>; Mon, 17 Sep 2012 22:22:07 +0900 (JST) X-TM-AS-Result: No--7.291-5.0-31-1 X-Recommended-Action: accept X-IronPort-AV: E=Sophos;i="4.80,368,1344186000"; X-Envelope-From: hsbc-uk-mintea-nji-iasti-ebay-de.fr-dultzii(a)nico-lae.qr.32.de Content-type: text/html X-Proofpoint-Spam-Details: rule=notspam policy=default score=11 spamscore=11 suspectscore=3 X-SpamExpertAristo-Outgoing-Evidence: Combined (0.24) X-SpamExpertAristo-Username: 61.8.92.97 X-Mailer: Stylatule-decouvrez 6.4 To: mod9966(a)hotmail.com Date: Mon, 17 Sep 2012 13:22:08 GMT X-Barracuda-Start-Time: 135755806806600 Subject: IMPORTANT SECURITY ISSUES [INCIDENT 462376-xz-46 ] X-Copfilter-Virus-Scanned: ClamAV 0.684.2 Received: from nico-lae.qr.32.de ([17.45.146.70]) by ghs-fw (Copfilter 0.84beta4) X-IronPort-Anti-Spam-Filtered: true From: Co-operative-Bank-p.l.c.UK.363(a)e-mail-alert-id.9656.review-24-hrs-cooperative-online.co.uk X-Filter-ID: XtLePq6GTMn8G68F0comdleehesxkccwnpq66380849601991cmBIW/8OODKS1A/6t51a7Dur X-Filtered-With: Copfilter Version 0.84beta4 (ProxSMTP 1.8) X-Proofpoint-Virus-Version: vendor=fsecure engine=2.50.10432:5.7.7855,1.0.431,0.0.000 X-OriginalArrivalTime: 04 Sep 2012 16:53:23.0515 (UTC) FILETIME=[CBBBD8B0:01CD8ABD] X-SpamExpertAristo-Domain: joomlabouwer.nl Message-ID: <E1T94zk-2493-Bo@Co-operative-Bank-p.l.c.UK.363@e-mail-alert-id.9656.review-24-hrs-cooperative-online.co.uk.aristo-internet.nl> X-Originating-IP: 61.8.92.97 X-imss-scan-details: No--7.291-5.0-31-1 X-Copfilter-Originating-IP: 89.105.199.76 X-SpamExpertAristo-Outgoing-Class: ham X-TM-IMSS-Message-ID: <2c625bfa00003402(a)bodyshape.co.th> X-IronPort-Anti-Spam-Result: tc597710475692009648zbf1847zhfdijebku$ X-TM-AS-Product-Ver: IMSS-7.0.0.6126-6.8.0.1017-19162.000 Authentication-Results: aristo-internet.nl;auth=pass () smtp.auth=61.8.92.97 Content-Transfer-Encoding: 7bit Im Protokoll sieht das so aus: Sep 17 22:22:05 mcgregor postfix/smtpd[20603]: connect from unknown[65.200.13.203] Sep 17 22:22:08 mcgregor postfix/smtpd[20603]: NOQUEUE: filter: RCPT from unknown[65.200.13.203]: <dagata(a)ma-pu.plm.com>: Sender address triggers FILTER smtp-amavis:[127.0.0.1]:10026; from=<dagata(a)ma-pu.plm.com> to=<mod9966(a)hotmail.com> proto=ESMTP helo=<[128.2.1.64]> Sep 17 22:22:08 mcgregor postfix/smtpd[20603]: 25AF01DBA536: client=unknown[65.200.13.203], sasl_method=CRAM-MD5, sasl_username=ftp Sep 17 22:22:17 mcgregor postfix/cleanup[20650]: 25AF01DBA536: message-id=<E1T94zk-2493-Bo@Co-operative-Bank-p.l.c.UK.363@e-mail-alert-id.9656.review-24-hrs-cooperative-online.co.uk.aristo-internet.nl> Sep 17 22:22:17 mcgregor postfix/qmgr[505]: 25AF01DBA536: from=<dagata(a)ma-pu.plm.com>, size=3817, nrcpt=1 (queue active) Sep 17 22:22:17 mcgregor amavis[20536]: (20536-06) loaded policy bank "ORIGINATING" Sep 17 22:22:17 mcgregor amavis[20536]: (20536-06) process_request: fileno sock=12, STDIN=0, STDOUT=1 Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) ESMTP::10026 /var/amavis/tmp/amavis-20120917T221431-20536: <dagata(a)ma-pu.plm.com> -> <mod9966(a)hotmail.com> Received: from mcgregor.admilon.net ([127.0.0.1]) by localhost (mcgregor.admilon.net [127.0.0.1]) (amavisd-new, port 10026) with ESMTP for <mod9966(a)hotmail.com>; Mon, 17 Sep 2012 22:22:17 +0900 (JST) Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) smtp connection cache, dt: 85.1, state: 0 Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) body hash: b55bb74e4d5c950db7ed42aa282aa202 Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) Checking: 3+yiMXOQhcE5 ORIGINATING [65.200.13.203] <dagata(a)ma-pu.plm.com> -> <mod9966(a)hotmail.com> Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) 2822.From: <Co-operative-Bank-p.l.c.UK.363(a)e-mail-alert-id.9656.review-24-hrs-cooperative-online.co.uk>, 2821.Mail_From: <dagata(a)ma-pu.plm.com> Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) p001 1 Content-Type: text/html, size: 1755 B, name: Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) Checking for banned types and filenames Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) INFO: unknown banned table name ALT-RULES, recip=mod9966(a)hotmail.com Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) collect banned table[0]: mod9966(a)hotmail.com, tables: Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) p.path mod9966(a)hotmail.com: "P=p001,L=1,M=text/html,T=html" Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) ask_av Using (ClamAV-clamd): CONTSCAN /var/amavis/tmp/amavis-20120917T221431-20536/parts\n Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) ClamAV-clamd: Connecting to socket /var/amavis/clamd Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) ClamAV-clamd: Sending CONTSCAN /var/amavis/tmp/amavis-20120917T221431-20536/parts\n to UNIX socket /var/amavis/clamd Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) run_av (ClamAV-clamd): CLEAN Sep 17 22:22:17 mcgregor amavis[20536]: (20536-07) run_av (ClamAV-clamd) result: clean Sep 17 22:22:18 mcgregor postfix/smtpd[20603]: disconnect from unknown[65.200.13.203] Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) spam_scan: score=13.043 autolearn=no tests=[BAYES_40=-0.001,DKIM_ADSP_NXDOMAIN=0.9,HTML_IMAGE_ONLY_20=1.546,HTML_MESSAGE=0.3,MIME_HTML_ONLY=0.723,MSGID_MULTIPLE_AT=0.001,RAZOR2_CF_RANGE_51_100=0.5,RAZOR2_CF_RANGE_E8_51_100=1.886,RAZOR2_CHECK=4,RDNS_NONE=0.793,TO_EQ_FM_HTML_ONLY=0.001,TO_NO_BRKTS_NORDNS_HTML=0.001,TVD_PH_BODY_ACCOUNTS_PRE=2.393] Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) blocking contents category is (6) for mod9966(a)hotmail.com Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) do_notify_and_quar: ccat=Spam (6,0) ("6":Spam, "5":Spammy, "1,1":CleanTag, "1":Clean, "0":CatchAll) ccat_block=(6), qar_mth= Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) skip local delivery(3): <> -> <spam-quarantine> Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) SPAM, <dagata(a)ma-pu.plm.com> -> <mod9966(a)hotmail.com>, Yes, score=13.043 tag=-999 tag2=7 kill=12 tests=[BAYES_40=-0.001, DKIM_ADSP_NXDOMAIN=0.9, HTML_IMAGE_ONLY_20=1.546, HTML_MESSAGE=0.3, MIME_HTML_ONLY=0.723, MSGID_MULTIPLE_AT=0.001, RAZOR2_CF_RANGE_51_100=0.5, RAZOR2_CF_RANGE_E8_51_100=1.886, RAZOR2_CHECK=4, RDNS_NONE=0.793, TO_EQ_FM_HTML_ONLY=0.001, TO_NO_BRKTS_NORDNS_HTML=0.001, TVD_PH_BODY_ACCOUNTS_PRE=2.393] autolearn=no, quarantine 3+yiMXOQhcE5 (spam-quarantine) Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) dkim: candidate originators: 2822.From:<websensei(a)admilon.net>, 2821.mail_from:<websensei(a)admilon.net> Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) dkim: signing (author), From: <websensei(a)admilon.net>, KEY.key_ind=>0, a=>rsa-sha256, c=>relaxed/simple, d=>admilon.net, s=>default, ttl=>1814400, x=>1349702537.86839 Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) smtp session: setting up a new session Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) smtp creating socket by IO::Socket::INET to [127.0.0.1]:10027 Sep 17 22:22:23 mcgregor postfix/smtpd[20578]: connect from localhost[127.0.0.1] Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) smtp resp to greeting: 220 mcgregor.admilon.net ESMTP Postfix Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) smtp cmd> EHLO localhost Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) smtp resp to EHLO: 250 mcgregor.admilon.net\nPIPELINING\nSIZE 41943040\nVRFY\nETRN\nAUTH LOGIN CRAM-MD5 GSSAPI\nSTARTTLS\nENHANCEDSTATUSCODES\n8BITMIME\nDSN Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) AUTH not needed, user='', MTA offers 'LOGIN CRAM-MD5 GSSAPI' Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) smtp cmd> MAIL FROM:<websensei(a)admilon.net> ENVID=AM..20120917T132223Z(a)mcgregor.admilon.net Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) smtp cmd> RCPT TO:<websensei(a)admilon.net> Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) smtp cmd> DATA Sep 17 22:22:23 mcgregor postfix/smtpd[20578]: E8B861DBA541: client=localhost[127.0.0.1] Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) smtp resp to MAIL (pip): 250 2.1.0 Ok Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) smtp resp to RCPT (pip) (<websensei(a)admilon.net>): 250 2.1.5 Ok Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) smtp resp to DATA: 354 End data with <CR><LF>.<CR><LF> Sep 17 22:22:23 mcgregor amavis[20536]: (20536-07) smtp cmd> QUIT irgendwo ist da also noch ein Loch, an welche Schraube muss ich denn drehen um dem einen Riegel vorzuschieben? Danke und Gruss Matthias

3 5

[postfix-users] Blocklist bl.spamcop.net
by Margrit Lottmann 14 Sep '12

14 Sep '12

habe ich bei postscreen drin und bei recippient_restrictions (reject_rbl_client bl.spamcop.net) allein gestern hatte ich durch bl.spamcop.net >20000 rejects ...und Beschwerden von Nutzern... kann man diesen Blocklistanbieter ueberhaupt noch nutzen ??? ...yahoo-Sender kommen momentan bei uns nicht durch ... -- MfG Margrit Lottmann Otto-von-Guericke-Universitaet Magdeburg Abt. Anwendungen Tel.: 0391 67 58572 Fax: 0391 67 11134

2 1

[postfix-users] Server oft auf Spamhaus oder Abuseeat
by Mathias Jung 11 Sep '12

11 Sep '12

Hallo, ich habe einen Server der derzeit immer wieder auf Spamhaus oder Abuseeat landet. Alle Benutzer haben die Möglichkeit Postgrey, Policyd sowie Spamassassin zu nutzen - tun das aber zum teil nicht. Gerade bei denen fällt mir oft auf das diese auch Weiterleitungen an zB. google eingetragen haben. Wenn ich dann eine Meldung eines Listings bekomme finde ich in dem Bereich der Logs dann oft diesen Ablauf: - Mail an Benutzer - der hat keine der Filter aktiv - Mail leitet weiter auf extern (zB. google). - Dort sagt der Spamfilter - nö mag ich nicht - mein Server lehnt die Email dann auch ab Ich hänge jetzt bei genau diesem Punkt. Ist das womöglich ein Configfehler meinerseits oder fehlt etwas das ich tun kann? Hier mal die derzeitige Restriction die ich im Einsatz habe: smtpd_recipient_restrictions = check_recipient_access hash:/etc/postfix/recipient_access, reject_unauth_pipelining, check_sender_access hash:/etc/postfix/access check_client_access hash:/etc/postfix/whitelist reject_unknown_sender_domain, reject_unknown_recipient_domain, reject_non_fqdn_sender, reject_non_fqdn_recipient, # Postfix policyd check_policy_service inet:127.0.0.1:10031, permit_sasl_authenticated, reject_unknown_reverse_client_hostname, ## Blacklisting / Filter # Policyd-Weight Whitelist check_recipient_access hash:/etc/postfix/policyd_weight_list, # Greylisting Dienst check_policy_service inet:127.0.0.1:10023, # Policyd-Weight Dienst check_policy_service inet:127.0.0.1:12525, reject_unauth_destination, permit Bin für jeden noch so kleinen Hinweis dankbar.

4 9

[postfix-users] Absender spezifisches dsn=5.4.6?
by Marcel Borgstedt 11 Sep '12

11 Sep '12

Hallo an alle, Ich komme mit einem Problem nicht weiter und hoffe, dass Ihr mir dazu ein paar Hinweise geben könnt oder vielleicht ein ähnliches Problem schon selber gelöst habt. Zum Problem: Nach meiner Interpretation des Maillogs vermutet Postfix je nach Nutzer, oder nach Absender Adresse, einen Mail loop. Das kann ich logisch nicht nachvollziehen aber es scheint so zu sein. Bemerkenswert ist auch der unterschied in der Verzögerung. Was mag das bedeuten? Auszug des Maillogs: Sep 10 10:14:50 domäne1-sympa01 postfix/qmgr[971]: 8F1782780B5: from=<user1@domäne2>, size=6613, nrcpt=1 (queue active) Sep 10 10:14:50 domäne1-sympa01 postfix/local[25972]: 8F1782780B5: to=<domäne2-lists-personen(a)xn--domne1-dua.info>, orig_to=<lists-personen@domäne2>, relay=local, delay=0.04, delays=0.01/0/0/0.02, dsn=5.4.6, status=bounced (mail forwarding loop for domäne2-lists-personen(a)xn--domne1-dua.info) Sep 10 10:14:50 domäne1-sympa01 postfix/qmgr[971]: 8F1782780B5: removed ... Sep 10 10:20:35 domäne1-sympa01 postfix/qmgr[971]: ACD72278115: from=<user2@domäne2>, size=6295, nrcpt=1 (queue active) Sep 10 10:20:36 domäne1-sympa01 postfix/local[26051]: ACD72278115: to=<domäne2-lists-personen(a)xn--domne1-dua.info>, orig_to=<lists-personen@domäne2>, relay=local, delay=1, delays=0.02/0/0/1, dsn=2.0.0, status=sent (delivered to command: /home/sympa/bin/queue lists-personen@domäne2) Sep 10 10:20:36 domäne1-sympa01 postfix/qmgr[971]: ACD72278115: removed Hintergrund: Auf dem Server, CentOS 5.5, läuft eine Sympa Instanz, ein mailing list manager, ähnlich wie der GNU Mailman, mit 3 Robots, virtuellen Instanzen zum trennen von Domänen. Postfix in der Version 2.7.1 dient diesem als MTA. Von Postfix werden die Instanzen postfix und postfix-out ausgeführt. postfix nimmt E-Mails entgegen und postfix-out versendet. User1 kann an andere Listen schicken und andere User können an die besagte Liste schicken. User1 ist bisher der einzige Fall bei dem das passiert. Weiter unten folgen Auszüge aus dem Maillog mit erweitertem loging, den Alias_maps und die Ergebnisse der Versions-Abfrage des Postfix und des OS. Ich hoffe, dass irgendwer daraus schlau wird und bin für jede Art von Hilfe oder Hinweisen dankbar. Ich weiß nämlich nicht einmal mehr wo ich noch suchen soll. Auszug eines späteren Versuchs mit erweitertem loging: Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: input attribute value: EE14627813F Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: public/cleanup socket: wanted attribute: (list terminator) Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: input attribute name: (end) Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: send attr flags = 178 Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: EE14627813F: client=domäne1-mxch02.domäne1.intern[172.17.1.117] Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: > domäne1-mxch02.domäne1.intern[172.17.1.117]: 250 2.1.5 Ok Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: watchdog_pat: 0x136c4f70 Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: < domäne1-mxch02.domäne1.intern[172.17.1.117]: DATA Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: > domäne1-mxch02.domäne1.intern[172.17.1.117]: 354 End data with <CR><LF>.<CR><LF> Sep 10 12:58:46 domäne1-sympa01 postfix/cleanup[28086]: EE14627813F: message-id=<D5DBDA00108E2B40B7EBD45806F5B394B89BB1BDA8(a)xn--domne1-mbcl01-dfb.xn--domne1-dua.intern> Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: public/cleanup socket: wanted attribute: status Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: input attribute name: status Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: input attribute value: 0 Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: public/cleanup socket: wanted attribute: reason Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: input attribute name: reason Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: input attribute value: (end) Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: public/cleanup socket: wanted attribute: (list terminator) Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: input attribute name: (end) Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: > domäne1-mxch02.domäne1.intern[172.17.1.117]: 250 2.0.0 Ok: queued as EE14627813F Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: watchdog_pat: 0x136c4f70 Sep 10 12:58:46 domäne1-sympa01 postfix/qmgr[27895]: EE14627813F: from=<user1@domäne2>, size=3387, nrcpt=1 (queue active) Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: < domäne1-mxch02.domäne1.intern[172.17.1.117]: QUIT Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: > domäne1-mxch02.domäne1.intern[172.17.1.117]: 221 2.0.0 Bye Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: match_hostname: domäne1-mxch02.domäne1.intern ~? 127.0.0.0/8 Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: match_hostaddr: 172.17.1.117 ~? 127.0.0.0/8 Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: match_hostname: domäne1-mxch02.domäne1.intern ~? 172.20.0.0/23 Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: match_hostaddr: 172.17.1.117 ~? 172.20.0.0/23 Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: match_list_match: domäne1-mxch02.domäne1.intern: no match Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: match_list_match: 172.17.1.117: no match Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: send attr request = disconnect Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: send attr ident = smtp:172.17.1.117 Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: private/anvil: wanted attribute: status Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: input attribute name: status Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: input attribute value: 0 Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: private/anvil: wanted attribute: (list terminator) Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: input attribute name: (end) Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: disconnect from domäne1-mxch02.domäne1.intern[172.17.1.117] Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: master_notify: status 1 Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: connection closed Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: watchdog_stop: 0x136c4f70 Sep 10 12:58:46 domäne1-sympa01 postfix/smtpd[28082]: watchdog_start: 0x136c4f70 Sep 10 12:58:47 domäne1-sympa01 postfix/local[28087]: EE14627813F: to=<domäne2-lists-personen(a)xn--domne1-dua.info>, orig_to=<lists-personen@domäne2>, relay=local, delay=0.05, delays=0.02/0/0/0.03, dsn=5.4.6, status=bounced (mail forwarding loop for domäne2-lists-personen(a)xn--domne1-dua.info) Sep 10 12:58:47 domäne1-sympa01 postfix/cleanup[28086]: 06FED278141: message-id=<20120910105847.06FED278141(a)xn--domne1-sympa01-7hb.xn--domne1-dua.intern> Sep 10 12:58:47 domäne1-sympa01 postfix/qmgr[27895]: EE14627813F: removed [root@domäne1-sympa01 ~]# cat /etc/redhat-release CentOS release 5.5 (Final) [root@domäne1-sympa01 ~]# postconf -d | grep mail_version mail_version = 2.7.1 [root@domäne1-sympa01 ~]# postconf -n alias_database = hash:/etc/aliases alias_maps = hash:/etc/aliases, hash:/home/sympa/etc/sympa_aliases alternate_config_directories = /etc/postfix-out command_directory = /usr/sbin config_directory = /etc/postfix daemon_directory = /usr/libexec/postfix debug_peer_level = 2 html_directory = no inet_interfaces = all luser_relay = $user(a)xn--domne1-dua.intern mail_owner = postfix mailq_path = /usr/bin/mailq.postfix manpage_directory = /usr/share/man message_size_limit = 20480000 multi_instance_directories = /etc/postfix-out multi_instance_enable = yes multi_instance_wrapper = ${command_directory}/postmulti -p -- mydestination = $mydomain mydomain = domäne1.info myhostname = domäne1-sympa01.domäne1.intern myorigin = $mydomain newaliases_path = /usr/bin/newaliases.postfix queue_directory = /var/spool/postfix readme_directory = /usr/share/doc/postfix-2.3.3/README_FILES relay_domains = sample_directory = /usr/share/doc/postfix-2.3.3/samples sendmail_path = /usr/sbin/sendmail.postfix setgid_group = postdrop smtpd_recipient_restrictions = reject_unauth_destination unknown_local_recipient_reject_code = 550 virtual_alias_domains = domäne2 domäne3 domäne1-sympa01.domäne1.intern virtual_alias_maps = hash:/home/sympa/etc/sympa_virtual Auszug der /home/sympa/etc/sympa_aliases: #------------------------------ lists-personen: list alias created 08 Apr 2011 domäne2-lists-personen: "| /home/sympa/bin/queue lists-personen@domäne2" domäne2-lists-personen-request: "| /home/sympa/bin/queue lists-personen-request@domäne2" domäne2-lists-personen-editor: "| /home/sympa/bin/queue lists-personen-editor@domäne2" #domäne2-lists-personen-subscribe: "| /home/sympa/bin/queue lists-personen-subscribe@domäne2" domäne2-lists-personen-unsubscribe: "| /home/sympa/bin/queue lists-personen-unsubscribe@domäne2" domäne2-lists-personen-owner: "| /home/sympa/bin/bouncequeue lists-personen@domäne2" Auszug der /home/sympa/etc/sympa_virtual: ############### domäne2 - lists-personen ############### lists-personen@domäne2 domäne2-lists-personen lists-personen-request@domäne2 domäne2-lists-personen-request lists-personen-editor@domäne2 domäne2-lists-personen-editor lists-personen-unsubscribe@domäne2 domäne2-lists-personen-unsubscribe lists-personen-owner@domäne2 domäne2-lists-personen-owner Mit besten Grüßen Marcel

1 0

[postfix-users] Geht das überhaupt?
by tobster＠brain-force.ch 30 Aug '12

30 Aug '12

Hallo zusammen sitze hier gerade an einem kleinen Problem: wir haben die letzten Tage massiv Phishings auf Kundenaccounts gehabt (und viele Kuden sind/waren leider so blöd das PW einzugeben). Die Mails sind eigentlich immer gleich aufgebaut, der Sender steht in dieser Form << domain-alert <irgendwas@nichtDomain> >> Jetzt dachte ich mit RegExp müsste man dem eigentlich Herr werden können. Also einen RegExp gemacht der prüft ob domain vorkommt und wenn ja zusätzlich prüft ob @domain in der Adresse vorkommt. Wenn nicht dann wegschmeissen bzw verweigern. Diesen Check habe ich in die smtpd_sender_restrictions mittels sender_access eingebaut Nach einigen Tests scheint es mir als würde Postfix nur alles zwischen < und > erhalten und prüfen. Den domain-alert Teil vornedrann erhält Postfix scheinbar ned, zumindest konnte ich nichts in den Logs finden. Damit kann ich meinen RegExp natürlich vergessen. gibt es eine Möglichkeit, dass Postfix auch den String vor < und > zur Prüfung bekommt? Oder anders gefragt: was ist denn der beste Weg diese Phishers möglichst zu verweigern? Es ist mir klar, dass man sicher nicht alle Fälle abfangen kann, aber wenn es nur ein paar wären wäre schon viel getan :-) Danke vielmals für jede Idee Gruss tobi

6 7

[postfix-users] Statistik mit pflogsumm
by Margrit Lottmann 30 Aug '12

30 Aug '12

Nutzt noch jemand dieses Programm??? Ich habe ein Problem: Unsere Mailrelay-Server (natuerlich postfix) schicken angenommene Mails zuerst ueber 127.0.0.1:10025 an einen Filter-Service (PureMessage von Sophos). Damit ist die Queue-ID weg... Ueber 127.0,0.1:10026 kommt die Mail nach der Inhaltspruefung zurueck (Viren nicht). Sie erhaelt eine neue Queue-ID. Ich muss also sagen, dass eine Mail, die wirklich letztendlich zugestellt wird 2x gezählt wird. Wenn ich per pflogsumm jeden tag des Monats auswerte, habe ich eine Verfaelschung der Daten. Einfach die gemessenen Mails und Groessenmengen des Tages halbieren ... erscheint mir auch zu einfach. Kann ich irgendwie die log-Daten filtern, dass ich 1x die Port-25-Daten habe und einmal die von Port 10026 ??? Koennte man in der master.cf bei den entsprechenden smtpd- Definitionen separate log-Dateien angeben ??? Ev. muss ich auch pflogsumm (perl) modifizieren ! ? Ueber Tipps wuerde ich mich freuen!!! -- MfG Margrit Lottmann Otto-von-Guericke-Universitaet Magdeburg Abt. Anwendungen Tel.: 0391 67 58572 Fax: 0391 67 11134

4 3

Re: [postfix-users] Relay von Local?
by Matthias Schmidt 25 Aug '12

25 Aug '12

Am 25.08.2012 um 18:03 schrieb Uwe Drießen: > Im Auftrag von Matthias Schmidt >> >> Am 25.08.2012 um 15:29 schrieb Uwe Drießen: >> >>> Im Auftrag von Matthias Schmidt >>>> Hallo, >>>> seit gestern bekomm ich von postfix solche Mails (s.u.). >>>> Ich versteh's nicht ganz, die Mails sollten ja bereits hier abgewiesen >>> werden: >>>> smtpd_recipient_restrictions = >>>> >> permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination, >>>> permit >>>> >>> >>> Zeig mal die logzeilen zu der Mail. >>> >>> >>> Und was soll das letzte permit ???? >>> >>> Damit nimmst du alles an von denen die nicht sasl_autenticated, nicht > aus >>> deinem Netzwerk kommen an. >>> >>> Da müsste dann ein reject stehen wenn nur eigene User darüber schicken >>> dürfen !! >> >> da schiess ich mich ins Bein, denn dann kommen keine Mails mehr an ... >> Irgendwo ist da ein Loch ... das Zauberkraut muss also ein anderes sein > ;-) > > Lass das letzte permit einfach weg. Was bis dahin nicht abgelehnt wurde wird > eh angenommen > Und schau dir die 2 Mail von mir an da steht noch ein wenig mehr drin das du > umsetzen kannst. > > Und um evtl. zu sehen warum die Mail angenommen wurde wird das log > benötigt! > das hab ich in dem langen Mail gepostet (die 4. im Thread). Du meinst also alles was ich unter smtpd_client_restrictions und smtpd_sender_restrictions in smtpd_recipient_restrictions reinzupacken? Gruss Matthias

2 1

[postfix-users] Relay von Local?
by Matthias Schmidt 25 Aug '12

25 Aug '12

Hallo, seit gestern bekomm ich von postfix solche Mails (s.u.). Ich versteh's nicht ganz, die Mails sollten ja bereits hier abgewiesen werden: smtpd_recipient_restrictions = permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination,permit das sind die weiteren smtpd Einstellungen: smtpd_pw_server_security_options = login,gssapi,cram-md5 data_directory = /var/lib/postfix smtpd_client_restrictions = permit_sasl_authenticated permit_mynetworks check_sender_access hash:/etc/postfix/whitelist reject_non_fqdn_hostname reject_unknown_reverse_client_hostname reject_rbl_client cbl.abuseat.org reject_rbl_client zen.spamhaus.org permit smtpd_sender_restrictions = check_sender_access regexp:/etc/postfix/tag_as_originating.re permit_mynetworks permit_sasl_authenticated permit_tls_clientcerts check_sender_access regexp:/etc/postfix/tag_as_foreign.re Das sind die Mails: Content type: Spam Internal reference code for the message is 57201-02/ghorrefFg9hP First upstream SMTP client IP address: [83.19.178.206] cys206.internetdsl.tpnet.pl According to a 'Received:' trace, the message apparently originated at: [61.8.92.97], Unknown [61.8.92.97] Return-Path: <bub8(a)jetxos.net> From: Uk.HALIFAX.internet.msg-notify###!-!securespecial(a)AT-MY-bgtr-279882394343150-TESTTESTNOW-LOCALHOSt.net Message-ID: <0ed1e2164567685-18915-37-e3(a)infonet.com> X-Mailer: Groupinculus Subject: Fraudulent banking activity! [HLF-ID;87n- August2012] Not quarantined. The message WAS NOT relayed to: <beth_92(a)hotmail.co.uk>: 250 2.7.0 Ok, discarded, id=57201-02 - SPAM SpamAssassin report: Spam detection software, running on the system "mcgregor.admilon.net", has identified this incoming email as possible spam. The original message has been attached to this so you can view it (if it isn't spam) or label similar future email. If you have any questions, see websensei(a)admilon.net for details. Content preview: Untitled Document We have detected fraudulent activity on your Halifax Internet banking account on 24/08/2012. For your protection, you must verify this activity before you can continue using your account. [...] Content analysis details: (15.6 points, 25.0 required) pts rule name description ---- ---------------------- -------------------------------------------------- 0.0 NO_DNS_FOR_FROM DNS: Envelope sender has no MX or A DNS records 0.0 FSL_HELO_NON_FQDN_1 FSL_HELO_NON_FQDN_1 0.9 DKIM_ADSP_NXDOMAIN No valid author signature and domain not in DNS 2.4 TVD_PH_BODY_ACCOUNTS_PRE BODY: TVD_PH_BODY_ACCOUNTS_PRE 1.5 HTML_IMAGE_ONLY_20 BODY: HTML: images with 1600-2000 bytes of words 0.3 HTML_MESSAGE BODY: HTML included in message 0.8 BAYES_50 BODY: Bayes spam probability is 40 to 60% [score: 0.4904] 0.7 MIME_HTML_ONLY BODY: Message only has text/html MIME parts 1.9 RAZOR2_CF_RANGE_E8_51_100 Razor2 gives engine 8 confidence level above 50% [cf: 100] 0.5 RAZOR2_CF_RANGE_51_100 Razor2 gives confidence level above 50% [cf: 100] 4.0 RAZOR2_CHECK Listed in Razor2 (http://razor.sf.net/) 0.8 RDNS_NONE Delivered to internal network by a host with no rDNS 0.0 HELO_NO_DOMAIN Relay reports its domain incorrectly 0.0 TO_EQ_FM_HTML_ONLY To == From and HTML only 0.0 TO_NO_BRKTS_NORDNS_HTML TO_NO_BRKTS_NORDNS_HTML 0.0 TO_EQ_FM_DIRECT_MX To == From and direct-to-MX 1.7 TO_EQ_FM_HTML_DIRECT To == From and HTML only, direct-to-MX Return-Path: <bub8(a)jetxos.net> Received: from [83.19.178.206] (cys206.internetdsl.tpnet.pl [83.19.178.206]) by mcgregor.admilon.net (Postfix) with ESMTPA id DA5C51D0A388 for <beth_92(a)hotmail.co.uk>; Sat, 25 Aug 2012 00:47:00 +0900 (JST) X-GB-From: Uk.HALIFAX.internet.msg-notify###!-!securespecial(a)AT-MY-bgtr-279882394343150-TESTTESTNOW-LOCALHOSt.net X-OriginalArrivalTime: Fri, 24 Aug 2012 15:46:48 GMT X-SEF-Processed: 5_0_0_116__9573_53_13_39_07_03 X-Mailer: Groupinculus Subject: Fraudulent banking activity! [HLF-ID;87n- August2012] To: beth_92(a)hotmail.co.uk X-GB-AV: none found (0 seconds) X-GB-AS-summary: 10,1,0,d41d8cd98f00b204,d41d8cd98f00b204,bub1(a)jetos.net,7834,3775,3425,3776,4070 X-GB-Rule: 40 X-TM-AS-Product-Ver: IMSS-faoggldegmhmu=7.1.0.4101-6.8.0.61.8.92.97-22055.450 From: Uk.HALIFAX.internet.msg-notify###!-!securespecial(a)AT-MY-bgtr-279882394343150-TESTTESTNOW-LOCALHOSt.net X-GB-AS: unknown, (score 10, 0 seconds) X-MIMETrack: Itemize by SMTP Server on notes/Unitar(Release 8.5.2|Sat,Fri, 24 Aug 2012 15:46:48 GMT GMT) at X-TM-IMSS-Message-ID: <trfmuovk0851-52e3(a)infonet.com> 1241;: $21412:$;21412;4;2142949;::$219429:::424204021 Received: from Unknown [61.8.92.97] by srv02.wicerhla.co.uk - SurfControl E-mail Filter (5.0.1); Fri, 24 Aug 2012 15:46:48 GMT X-GB-To: beth_92(a)hotmail.co.uk X-imss-scan-details: No--0.158-5.0-18-1 Defensive: Filters MIME-Version: -2.1 Message-ID: <0ed1e2164567685-18915-37-e3(a)infonet.com> X-TM-AS-Result: No--0.730-5.0-31-1 Content-Type: text/html Date: Fri, 24 Aug 2012 15:46:48 GMT X-GB-Received: From (beth_92(a)hotmail.co.uk-61.8.92.97) ---> ftp <--- X-Sender: Buuuucifer Kann ich das irgendwie unterbinden? Danke und noch ein schönes Wochenende Matthias

2 3

[postfix-users] Mail hängt in der Ausgangs Queue
by Christian Krützfeldt 17 Aug '12

17 Aug '12

Hallo, wir haben ein Problem bei Mail mit Anhängen (egal wie groß oder wie klein). Das Problem mal gehen die Mails raus, mal aber auch nicht und wenn erstmal eine hängt dann bleiben fast alle Mails mit Anhang in der Queue hängen. Ich hab unten zwei Beispiele angehängt wie das ganze in "mailq" aussieht. Ich konnte bis jetzt nicht feststellen das "postfix stop" und "postfix start" helfen. Die einzige Lösung die immer hilft ist "reboot" gefolgt von einem "postfix flush", wenn mehrere Mails hängen müssen auch mal mehrere reboots gemacht werden. Meine Vermutungen bis jetzt waren das es irgendwie mit der MTU Einstellung der Servers bzw. der Einstellung des nächsten Servers zusammenhängt, aber irgendwie hab ich da nichts näheres gefunden und kleinere bzw größer MTU werte haben nichts gebracht. Wäre sehr über Tipps dankbar wie ich das Problem entweder lösen oder doch mindestens etwas genauer lokalisieren kann. Christian -Queue ID- --Size-- ----Arrival Time---- -Sender/Recipient------- 3DB111FFFF* 2706218 Fri Aug 3 11:07:28 aa.aa(a)balticfinance.de aaaaa(a)aaaaaa.de 675472723B 454891 Fri Aug 3 10:22:05 aaa(a)balticfinance.de (lost connection with maildo.versatel.de[89.245.133.5] while sending message body) aaaaa(a)foni.net Nach einen reboot ist 3DB111FFFF* raus gegangen, ein postfix flush hilft dann auch für 675472723B. Nur postfix flush hilft nicht (meistens zumindest). 2. Beispiel -Queue ID- --Size-- ----Arrival Time---- -Sender/Recipient------- 5865E27179* 74858 Fri Aug 3 17:37:08 aaa(a)balticfinance.de a.aaa(a)aaaa.de 47AFC1FFFE 343316 Fri Aug 3 17:33:11 aaa(a)balticfinance.de (conversation with mail.caurus.de[85.13.144.89] timed out while sending message body) aaaa(a)caurus.de Nach einem reboot sind beide mails rausgegangen.

4 10