[postfix-users] von qpsmtpd regeln auf postfix setup umstellen
Hallo,
ich nutze derzeit den qpsmtpd als spam und antivirus filter, dieser liefert an den courier-mta (smtpd) aus.
Der MDA (maildrop) ruft den amavis auf um nochmals zu scannen und zu filtern.
Dies ist ein recht kompliziertes setup welches ich vereinfachen möchte.
Meine Idee ist es auf postfix+amavisd-new+dovecot zu wechseln.
1.) Hürde qpsmtpd setup auf postfix moven. a.) Sollte ich den qpsmtpd lassen und nur auf den postfix weiterleiten oder b.) Die configuration vom qpsmtpd auf den postfix heben.
Ich tendiere zu b.
Hoffe dass ihr mir helfen könnt bei der migration.
Bin mir nicht sicher ob ich nicht gleich auf den postscreen wechseln soll?
Ist eine relativ lange Liste, habe auch gleich die links zu den plugins hinzugefügt, ich vermute dass nicht viele den qpsmtpd hier einsetzen ;-)
### qpsmtp plugin: hosts_allow http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/hosts_allow;h=ca44...
postfix setting: smtpd_client_connection_count_limit=15 smtpd_client_connection_rate_limit=5
##
qpp: check_earlytalker http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_earlytalker;...
pfs: smtpd_helo_required=yes
##
qpp: dont_require_anglebrackets http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/dont_require_angle...
pfs: strict_rfc821_envelopes=no < default
##
qpp: http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/count_unrecognized...
pfs: smtpd_junk_command_limit= 10 ??? => gibt es sowas ähnliches im postfix
##
qpp: require_resolvable_fromhost http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/require_resolvable...
pfs: smtpd_client_restrictions = reject_unknown_client_hostname
##
qpp: check_badmailfrom & check_badmailfrom_patterns & check_badrcptto_patterns & check_badrcptto http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_badmailfrom;... http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_badmailfrom_... http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_badrcptto;h=... http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_badrcptto_pa...
pfs: header_checks=pcre:...
##
qpp: dnsbl http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/dnsbl;h=48df98ff8c...
pfs: reject_rbl_client ...
##
qpp: check_loop 50 http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_loop;h=95caa...
pfs: Braucht man dass beim Postfix? welche Einstellung ist das?
##
qpp: virus/clamdscan clamd_conf=/etc/clamav/clamd.conf max_size=40894464 pfs: amavisd-new
##
qpp: spamassassin munge_subject_threshold 8 reject_threshold 10 pfs: amavisd-new
##
Vielen Dank dass du bisher gelesen hast ;-). Natüerlich ist dass nicht alles aber primär das was ich beim qpsmtpd eingestellt habe.
Ich werde auch einige einstellungen von
http://www.postfix.org/docs.html => UCE/Virus
übernehmen.
Freu mich schon auf euer feedback.
LG Aleks
* Aleksandar Lazic al-pfusde@none.at:
Hallo,
ich nutze derzeit den qpsmtpd als spam und antivirus filter, dieser liefert an den courier-mta (smtpd) aus.
Der MDA (maildrop) ruft den amavis auf um nochmals zu scannen und zu filtern.
Dies ist ein recht kompliziertes setup welches ich vereinfachen möchte.
Meine Idee ist es auf postfix+amavisd-new+dovecot zu wechseln.
1.) Hürde qpsmtpd setup auf postfix moven. a.) Sollte ich den qpsmtpd lassen und nur auf den postfix weiterleiten oder b.) Die configuration vom qpsmtpd auf den postfix heben.
Ich tendiere zu b.
b) fragt sich nur was alles in qpsmtpd drin ist
Bin mir nicht sicher ob ich nicht gleich auf den postscreen wechseln soll?
Das ist oft ne schlaue Sache, geht aber nur wenn deine SMTP-AUTH Kunden port 587 (jedenfalls != 25) nutzen
qpp: check_earlytalker
Das macht postscreen
qpp: check_loop 50 http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_loop;h=95caa...
pfs: Braucht man dass beim Postfix? welche Einstellung ist das?
Schon eingebaut. Ist das hop_limit
On Die 13.09.2011 20:56, Ralf Hildebrandt wrote:
- Aleksandar Lazic al-pfusde@none.at:
Hallo,
[snipp]
Bin mir nicht sicher ob ich nicht gleich auf den postscreen wechseln soll?
Das ist oft ne schlaue Sache, geht aber nur wenn deine SMTP-AUTH Kunden port 587 (jedenfalls != 25) nutzen
Leider nicht. Damit fällt wohl postscreen aus.
qpp: check_earlytalker
Das macht postscreen
Kann man das mit smtpd vom postfix nachbauen?
qpp: check_loop 50 http://git.develooper.com/?p=qpsmtpd.git;a=blob;f=plugins/check_loop;h=95caa...
pfs: Braucht man dass beim Postfix? welche Einstellung ist das?
Schon eingebaut. Ist das hop_limit
Danke.
Wie schaut es mit den anderen settings aus, habe ich das so ungefähr gemapped?
* Aleksandar Lazic al-pfusde@none.at:
qpp: check_earlytalker
Das macht postscreen
Kann man das mit smtpd vom postfix nachbauen?
Nein.
Wie schaut es mit den anderen settings aus, habe ich das so ungefähr gemapped?
Ich muss zugeben daß ich da nicht so genau geguckt habe :)
On Die 13.09.2011 21:31, Ralf Hildebrandt wrote:
- Aleksandar Lazic al-pfusde@none.at:
qpp: check_earlytalker
Das macht postscreen
Kann man das mit smtpd vom postfix nachbauen?
Nein.
Wie schaut es mit den anderen settings aus, habe ich das so ungefähr gemapped?
Ich muss zugeben daß ich da nicht so genau geguckt habe :)
Ok ;-)
werd mal ne konfig basteln und hier posten, wenn gewünscht.
Vielleicht mit postscreen mal gucken.
LG Aleks
am 13.09.11 20:56 schrieb Ralf Hildebrandt Ralf.Hildebrandt@charite.de:
Bin mir nicht sicher ob ich nicht gleich auf den postscreen wechseln soll?
Das ist oft ne schlaue Sache, geht aber nur wenn deine SMTP-AUTH Kunden port 587 (jedenfalls != 25) nutzen
"geht nur" ist aber nicht ganz korrekt imho ;) über Post 25 geht es auch, nur beim Senden kommt erstmal ne Ablehnung. Kurz danach geht es aber. Aber keine Frage, über submission isses besser.
On Behalf Of Ralf Hildebrandt
- Aleksandar Lazic al-pfusde@none.at:
Hallo,
Meine Idee ist es auf postfix+amavisd-new+dovecot zu wechseln.
1.) Hürde qpsmtpd setup auf postfix moven. b.) Die configuration vom qpsmtpd auf den postfix heben.
Ich tendiere zu b.
b) fragt sich nur was alles in qpsmtpd drin ist
Eigentlich ist das nicht so wichtig was alles im alten drin ist. Festlegen was Postfix für dich tun soll, welche checks sollen gemacht werden. Der einfachheit halber alle checks unter smtpd_recipient_restrictions in der main.cf zusammenfassen.
Amavis als PreQueue Filter?
Einrichten, Adressen übertragen, Mails auf das neue System sync'en, beobachten wo es hakt und immer mal wieder nachbessern bis das die richtige Balance zwischen alle Ham und möglichst wenig Spam erreicht ist für dein System.
Bin mir nicht sicher ob ich nicht gleich auf den postscreen wechseln soll?
Das ist oft ne schlaue Sache, geht aber nur wenn deine SMTP-AUTH Kunden port 587 (jedenfalls != 25) nutzen
Oder man hat noch eine 2. IP und baut den MX auf die 2. IP mit Postscreen.
Die Kunden brauchen nix zu ändern (vorläufig da 587 eigentlich schon fast Standard für eigene Kunden) und fremde Server beißen sich an Postscreen die Zähne aus (in der Regel die die man eh nicht möchte)
Mit freundlichen Grüßen
Drießen
Hallo,
On Die 13.09.2011 23:28, Driessen wrote:
On Behalf Of Ralf Hildebrandt
- Aleksandar Lazic al-pfusde@none.at:
Hallo,
Meine Idee ist es auf postfix+amavisd-new+dovecot zu wechseln.
1.) Hürde qpsmtpd setup auf postfix moven. b.) Die configuration vom qpsmtpd auf den postfix heben.
Ich tendiere zu b.
b) fragt sich nur was alles in qpsmtpd drin ist
Eigentlich ist das nicht so wichtig was alles im alten drin ist. Festlegen was Postfix für dich tun soll, welche checks sollen gemacht werden.
Nun da ich mir die qpsmtpd config und Einstellungen in jahrelanger kleinstarbeit erarbeitet habe möchte ich primär mit dem Setup starten, wenn möglich ;-)
Der einfachheit halber alle checks unter smtpd_recipient_restrictions in der main.cf zusammenfassen.
Sind die Warnungen von http://www.postfix.org/SMTPD_ACCESS_README.html#danger noch gültig?
Reicht es wirklich ausschlie�lich smtpd_recipient_restrictions zu nutzen?
Bin mir nicht sicher ob ich nicht gleich auf den postscreen wechseln soll?
Das ist oft ne schlaue Sache, geht aber nur wenn deine SMTP-AUTH Kunden port 587 (jedenfalls != 25) nutzen
Oder man hat noch eine 2. IP und baut den MX auf die 2. IP mit Postscreen.
Die Kunden brauchen nix zu ändern (vorläufig da 587 eigentlich schon fast Standard für eigene Kunden) und fremde Server beißen sich an Postscreen die Zähne aus (in der Regel die die man eh nicht möchte)
Wenn ich den postscreen nutzen sollte und den smtpd auf port 587 zum authentifizieren dann müssten sich doch die smtp-clients auf 587 verbinden richtig?
Somit ist der einzige Unterschied für den Client der port und dass er sich authentifizieren muss, richtig?
Wie funktioniert der Ablauf wenn ein Client sich auf port 25 verbindet und dort AUTH schickt? Laut meinem Verständnis sollte er ja dann geblockt werden, richtig?
Soweit ich aus http://www.postfix.org/POSTSCREEN_README.html#config entnommen habe benötige ich mit postscreen dann mehrere Services, richtig? Was nicht tragisch ist, nur für mein Verständis.
Wenn ich den postscreen nutze muss ich dann smtpd_recipient_restrictions überhaupt einstellen?
Kann ich mit postscreen auch header_checks nutzen?
Welche Erfahrungen (gute/schlechte) habt Ihr mit
http://www.postfix.org/POSTSCREEN_README.html#after_220 Tests after the 220 SMTP server greeting
Brauche ich überhaupt greylisting mit postscreen?
Sorry sind doch mehr Fragen geworden als erwartet, hoffe dass es nicht zu viele sind.
LG Aleks
On Behalf Of Aleksandar Lazic
Hallo,
On Die 13.09.2011 23:28, Driessen wrote:
On Behalf Of Ralf Hildebrandt
- Aleksandar Lazic al-pfusde@none.at:
Hallo,
Meine Idee ist es auf postfix+amavisd-new+dovecot zu wechseln.
1.) Hürde qpsmtpd setup auf postfix moven. b.) Die configuration vom qpsmtpd auf den postfix heben.
Ich tendiere zu b.
b) fragt sich nur was alles in qpsmtpd drin ist
Eigentlich ist das nicht so wichtig was alles im alten drin ist. Festlegen was Postfix für dich tun soll, welche checks sollen gemacht werden.
Nun da ich mir die qpsmtpd config und Einstellungen in jahrelanger kleinstarbeit erarbeitet habe möchte ich primär mit dem Setup starten, wenn möglich ;-)
Möglich ist alles. Wirst dennoch nicht um feintunning danach Drumherum kommen.
Der einfachheit halber alle checks unter smtpd_recipient_restrictions in der main.cf zusammenfassen.
Sind die Warnungen von http://www.postfix.org/SMTPD_ACCESS_README.html#danger noch gültig?
Grundsätzlich haben diese Warnungen immer noch bestand. Aber bitte den Absatz genau lesen warum man verschiedene Dinge nicht tun sollte (das gilt eigentlich immer)
Reicht es wirklich ausschlie�lich smtpd_recipient_restrictions zu nutzen?
Ja solange höchtens DUNNO für ausnahmen für clients statt permit genommen wird. Läuft stabil seit Jahren. "Here is an example that shows when a PERMIT result can result in too much access permission"
Sagt ganz klar warum man kein permit in den restriktionen nimmt und du solltest eh erst nach dem RCP to ablehnen. Steht alles unter den smtp_recipient... dann kannst du auch sofort beim check ablehnen und musst nicht bis zum ende der checks warten.
Bin mir nicht sicher ob ich nicht gleich auf den postscreen wechseln soll?
Das ist oft ne schlaue Sache, geht aber nur wenn deine SMTP-AUTH Kunden port 587 (jedenfalls != 25) nutzen
Oder man hat noch eine 2. IP und baut den MX auf die 2. IP mit
Postscreen.
Die Kunden brauchen nix zu ändern (vorläufig da 587 eigentlich schon fast Standard für eigene Kunden) und fremde Server beißen sich an Postscreen die Zähne aus (in der Regel die die man eh nicht möchte)
Wenn ich den postscreen nutzen sollte und den smtpd auf port 587 zum authentifizieren dann müssten sich doch die smtp-clients auf 587 verbinden richtig?
Oder eine 2. IP für den MX record welche als Standard in der main.cf hinterlegt wird.
In der Master.cf werden dann die IP's und die Ports für die eigenen Kunden zur Einlieferung davon abweichend inkl. eigener Restriktionen hinterlegt.
IP.ad.res.se:submission inet n - - 0 - smtpd -o ......
IP.ad.res.se:smtp inet n - - 0 - smtpd -o .....
Somit ist der einzige Unterschied für den Client der port und dass er sich authentifizieren muss, richtig?
Wenn du nur eine IP hast JA.
Wie funktioniert der Ablauf wenn ein Client sich auf port 25 verbindet und dort AUTH schickt? Laut meinem Verständnis sollte er ja dann geblockt werden, richtig?
Muß nicht kann man so machen. Auf jeden fall wird er dann bei einer IP und Postscreen gegen Postscreen rennen. Postscreen kann dann auch nicht restriktiv prüfen denn da würden viele Clients nicht durchkommen.
Soweit ich aus http://www.postfix.org/POSTSCREEN_README.html#config entnommen habe benötige ich mit postscreen dann mehrere Services, richtig? Was nicht tragisch ist, nur für mein Verständis.
Wenn ich den postscreen nutze muss ich dann smtpd_recipient_restrictions überhaupt einstellen?
Grundsätzlich musst du gar nichts einstellen aber was möchtest du? Das du Mails auch in Zukunft versenden kannst? Möchtest du Openrelay spielen? Möchtest du Herr deines Mailservers bleiben?
Wenn auch nur eine der obigen Fragen mit Ja beantwortet wird dann kommst du um Restriktionen nicht herum. Die Frage welche Restriktionen beantwortet deine Policy für den Mailserver und evtl. Probleme bei der Einlieferung bzw. der Annahme von Mails.
Kann ich mit postscreen auch header_checks nutzen?
Postscreen hat nicht mit Header oder Bodychecks zu tun. Die laufen weit später im cleanup Prozess.
Welche Erfahrungen (gute/schlechte) habt Ihr mit
http://www.postfix.org/POSTSCREEN_README.html#after_220 Tests after the 220 SMTP server greeting
Kommt drauf an was du möchtest? Deep inspection mit erstmal 450er fehler oder soll nur auf RBL's geprüft und durch gewunken werden.
Brauche ich überhaupt greylisting mit postscreen?
Warum nicht? Und was heißt denn brauchen? Brauchen tut man erstmal nichts wenn es keine Probs gibt. Ansonsten fällt so was unter feintuning und wie man Greylisting betreibt (selectiv oder immer für alle)? Wird Greylistung am Anfang im Lernbetrieb ohne Verzögerung betrieben und dann irgendwann scharf geschaltet?
Sorry sind doch mehr Fragen geworden als erwartet, hoffe dass es nicht zu viele sind.
Kann ich mithalten denn deine Fragen sind fragen die nur du selbst beantworten kannst. Wie sieht die Policy deines Servers aus? Was möchtest du haben? Wo hast du Probleme? Mit was hast du Probleme?
Das Postfixsetup kann Komfortabel, mit sehr vielen spezifischen, leistungsfähigen Anpassungen, bei Abbildung sehr komplexer Strukturen und dennoch Übersichtlich und einfach nachvollziehbar aufgebaut werden.
Die Grundsätzliche Einrichtung mit den wichtigsten Parametern kann in ca. 30-60 Minuten erfolgen und dein Postfix rennt und tut das wofür es geschrieben wurde.
Sorry wollte dich nicht überfahren. Postfix ist einfach, aber sehr mächtig und es gibt fast nichts was man nicht tun kann.
Mit freundlichen Grüßen
Drießen
On Don 15.09.2011 02:29, Driessen wrote:
On Behalf Of Aleksandar Lazic
Nun da ich mir die qpsmtpd config und Einstellungen in jahrelanger kleinstarbeit erarbeitet habe möchte ich primär mit dem Setup starten, wenn möglich ;-)
Möglich ist alles. Wirst dennoch nicht um feintunning danach Drumherum kommen.
Jep. Deswegen auch diese Fragen.
[snipp]
Sorry wollte dich nicht überfahren. Postfix ist einfach, aber sehr mächtig und es gibt fast nichts was man nicht tun kann.
Kein Problem, danke für deine und eure hilfe. Werd mich nun den Antworten widmen und den Server aufbauen.
Wenn erlaubt würde ich die "fertige" Konfig hier posten und würde mich dann auf euer feedback freuen.
LG Aleks
Sind die Warnungen von http://www.postfix.org/SMTPD_ACCESS_README.html#danger noch gültig?
ja
Reicht es wirklich ausschlie�lich smtpd_recipient_restrictions zu nutzen?
ja
participants (4)
-
Aleksandar Lazic -
Driessen -
Jim Knuth -
Ralf Hildebrandt