Hallo! Einen kleinen Kollateralschaden gibts doch:
An sich klappt alles bestens. Die Lösung mit dem X-SMTP-Auth scheint aber ein loch zu haben; nämlich wenn ein Spammer eine Mail mit einem "X-SMTP-Auth: no" im Header schickt. Dann sieht es im Header nach dem Postfix so aus:
X-SMTP-Auth: no X-SMTP-Auth: no
und das führt, aus irgendeinem Grund, dazu, dass die Mail geniced wird (also einen negativen score bekommt) In der local.cnf des Spamassassin steht: header __NO_SMTP_AUTH X-SMTP-Auth =~ /^no$/ meta SMTP_AUTH !__NO_SMTP_AUTH describe SMTP_AUTH Message sent using SMTP Authentication tflags SMTP_AUTH nice score SMTP_AUTH -200
Was läuft da schief? Wird das Flag beim Spamassassin wieder invertiert? Kann ich das verhindern? Kann ich irgendwie verhindern, dass das X.SMTP-Auth: no zweimal im Header erscheint - also den Eintrag unterdrücken, wenn er schon da ist?
Alternativ könnte ich natürlich einfach auch den Header verändern, aber das ist ja eigentlich keine richtige Lösung. Vielen Dank! (Gerald) Gerald Nowitzky whl@igne.de hat am 16. Juli 2008 um 10:38 geschrieben:
Hallo!
also, erstmal vielen Dank an alle für die ausführlichen und detaillierten Vorschläge! Ich habe die Lösung von Roland mit dem zusätzlichen Header bei nicht-authentifizierten Mails verwendet. Die ist "fälschungssicher", weil da eine Headerzeile bei externen Mails hinzugefügt wird. Da ein nicht authentifizierter Mail/Spamsender nur eine gefälschte Headerzeile anfügen kann, aber nicht löschen, kann diese Funktion auch nicht missbraucht werden.
"Kollateralschäden" sind mir bisher noch keine bekannt geworden ;-)
Die Lösung mit dem "smtpd_sasl_authenticated_header = yes" wollte ich nicht nehmen, weil dann a) Der Benutzername im Header erscheint b) Das Erkennungsmerkmal nur bei authetifizierten Mails vorhanden ist, und damit gefälscht werden kann.
Nochmal Danke an alle für die ausführliche Hilfe! Ein Problem weniger auf meiner Liste ;-)
(Gerald)
Roland Scheike rsbtde@googlemail.com hat am 15. Juli 2008 um 16:23 geschrieben:
Hallo Gerald,
machbar wäre z.B. ein "nicen" der versendeten Mail- d.h. Du ziehst einen Score von x ab. Ob das nun soviel ist dass der Spamscanner definitiv nicht mal seine Header schreiben kann oder nur ein paar wenige Punkte ist Dir überlassen.
Das Prinzip: # In /etc/postfix/main.cf: smtpd_data_restrictions = reject_unauth_pipelining permit_sasl_authenticated check_client_access regexp:/etc/postfix/add_auth_header.regexp
# In /etc/postfix/add_auth_header.regexp: /^/ PREPEND X-SMTP-Auth: no
Somit steht bei allen Mails, die nicht über die Regex gelaufen sind der Header X-SMTP-Auth: no drin.
Diesen kann man dann zum Prüfen verwenden: # In /etc/mail/spamassassin/local.cf: header __NO_SMTP_AUTH X-SMTP-Auth =~ /^no$/ meta SMTP_AUTH !__NO_SMTP_AUTH describe SMTP_AUTH Message sent using SMTP Authentication tflags SMTP_AUTH nice score SMTP_AUTH -25
Dann noch in der /etc/postfix/master.cf die Data-Restrictions wieder rausnehmen und gut ists
127.0.0.1:10025 inet n - n - - smtpd -o smtpd_data_restrictions= ...
HTH, Roland
2008/7/15 Gerald Nowitzky whl@igne.de:
Hallo!
Ich habe folgendes Problem:
Ich betreibe einen Postfix mit Amavis und Spamassassin. Der Server nimmt Mails für seine Domains entgegen und ist Relay für ausgehende Mails. Die Nutzer für ausgehende Mails sind nicht in einem Trusted Network, sondern authentifizieren sich über SASL.
Das Problem ist nun, dass auch die ausgehenden Mails, also Mails von Nutzern, die sich über SASL authentifizieren, über den Spamassassin gehen. Mit entsprechend blödem Inhalt und einer dynamischen IP passiert es immer wieder, dass eine ausgehende Mail von meinem Spamassassin als Spam markiert wird und so dem Empfänger zugestellt wird. Gibt es eine Möglichkeit, das zu verhindern?
Vielen Dank für die Hilfe! (Gerald)
Hier ist meine master.cf. :10024 / :10025 ist der "umweg" für den Amavis.
smtp inet n - n - - smtpd -o content_filter=smtp-amavis:[127.0.0.1]:10024 pickup fifo n - - 60 1 pickup cleanup unix n - - - 0 cleanup qmgr fifo n - n 300 1 qmgr #qmgr fifo n - - 300 1 oqmgr tlsmgr unix - - - 1000? 1 tlsmgr rewrite unix - - - - - trivial-rewrite bounce unix - - - - 0 bounce defer unix - - - - 0 bounce trace unix - - - - 0 bounce verify unix - - - - 1 verify flush unix n - - 1000? 0 flush proxymap unix - - n - - proxymap smtp unix - - - - - smtp relay unix - - - - - smtp -o fallback_relay= showq unix n - - - - showq error unix - - - - - error discard unix - - - - - discard local unix - n n - - local virtual unix - n n - - virtual lmtp unix - - n - - lmtp anvil unix - - - - 1 anvil scache unix - - - - 1 scache maildrop unix - n n - - pipe flags=DRhu user=vmail argv=/usr/bin/maildrop -d ${recipient} uucp unix - n n - - pipe flags=Fqhu user=uucp argv=uux -r -n -z -a$sender - $nexthop!rmail ($recipient) ifmail unix - n n - - pipe flags=F user=ftn argv=/usr/lib/ifmail/ifmail -r $nexthop ($recipient) bsmtp unix - n n - - pipe flags=Fq. user=bsmtp argv=/usr/lib/bsmtp/bsmtp -t$nexthop -f$sender $recipient scalemail-backend unix - n n - 2 pipe flags=R user=scalemail argv=/usr/lib/scalemail/bin/scalemail-store ${nexthop} ${user} ${extension} mailman unix - n n - - pipe flags=FR user=list argv=/usr/lib/mailman/bin/postfix-to-mailman.py ${nexthop} ${user}
procmail unix - n n - 5 pipe flags=R user=nobody argv=/usr/bin/procmail -t -m /opt/open-xchange/etc/admindaemon/procmailrc ${sender} ${user} ${recipient} smtp-amavis unix - - n - 2 smtp -o smtp_data_done_timeout=1200 -o smtp_send_xforward_command=yes -o disable_dns_lookups=yes -o max_use=20 127.0.0.1:10025 inet n - n - - smtpd -o content_filter=procmail:spamcheck -o local_recipient_maps= -o relay_recipient_maps= -o smtpd_restriction_classes= -o smtpd_delay_reject=no -o smtpd_client_restrictions=permit_mynetworks,reject -o smtpd_helo_restrictions= -o smtpd_sender_restrictions= -o smtpd_recipient_restrictions=permit_mynetworks,reject -o mynetworks_style=host -o mynetworks=127.0.0.0/8 -o strict_rfc821_envelopes=yes -o smtpd_error_sleep_time=0 -o smtpd_soft_error_limit=1001 -o smtpd_hard_error_limit=1000 -o smtpd_client_connection_count_limit=0 -o smtpd_client_connection_rate_limit=0 -o receive_override_options=no_header_body_checks,no_unknown_recipient_checks smtps inet n - n - - smtpd -o smtpd_tls_wrappermode=yes -o content_filter=smtp-amavis:[127.0.0.1]:10024
postfix-users mailing list postfix-users@de.postfix.org http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users
postfix-users mailing list postfix-users@de.postfix.org http://de.postfix.org/cgi-bin/mailman/listinfo/postfix-users