Portál AbcLinuxu, 4. května 2025 09:16
A domain name that is not in FQDN form is no more than a local alias. Local aliases MUST NOT appear in any SMTP transaction.V jiných variacích se to objevuje ještě na dalších místech specifikace.
nejak mi nedochazi ten nadpis clanku... ano je to o zabezpecni pouzivat nas mail server jako relay apod, ale kde je ten boj proti spamu?Ten nadpis je redakční (tj. nepsal jsem ho já - moje chyba, že jsem žádný nedodal
jinak existuji nastaveni kde jde blokovat hodne rovnou postfixem bez zatezovani systemu spamassissinem apod (body_checks, header_checks...).Ano, mám v plánu se tím zabývat v pozdějších dílech.
smtpd_sender_restrictions = reject_invalid_hostname, reject_unknown_sender_domain, reject_non_fqdn_sender, ...- takto to používame odjakživa (cca. od roku 2003) a nikdy s tým nebol problém. Pritom nehostujeme len naše veci, ale aj mailboxy pre cca stovku zákazníkov a ich domén. Budem sa opakovať, ale ak si niekto nevie nastaviť mailový server (a vyriešiť s providerom správne doménové meno), tak nech si ten mailový server nedáva na internet.
Presne, tyto pravidla se v praxi bohuzel pouzit nedaji, nebot hrozi pruser.To není úplně přesné, přísná pravidla se použít mohou, pokud je legitimní klienti mají šanci obejít - buďto whitelistem, nebo tím, že náhradní MX servery nejsou tak přísné. Pokud je v důsledku chybné konfigurace odesílající server nepřipuštěn k primárnímu mailserveru, může poslat mail skrz sekundární (např. mailserver poskytovatele připojení). Protože postupné vyzkoušení všech mailserverů z MX záznamu je povinnou částí SMTP, tak s tím legitimní klienti nemají problém, ale odřízne to minimálně 90% spamu.
Kombinace pravidel
Dobry den, v clanku se pise, ze lze ruzne kombinovat restrikce. Chtel bych se zeptat jak lze zkombinovat nasledujici dve situace, ktere nastavaji zaroven. Samostatne bych celkem vedel jak restrikce nastavit, ale jak je nastavit tak, aby zafungovaly dohromady to moc netusim.
1) smtp server pro odesilani mailu do internetu
mail (domena.cz) (klient) => serv1 (192.168.0.21) => postfix (192.168.0.1) => internet
2) stahovani pop3 schranky a dorucovani na serv1
pop3.domena.cz (internet) => fetchmail (192.168.0.1) => postfix (192.168.0.1) => serv1 (192.168.0.21)
Za odpoved dekuji.
mynetworks = 127.0.0.0/8 smtpd_client_restrictions = permit_mynetworks, check_client_access hash:/etc/postfix/client-access, reject smtpd_sender_restrictions = check_sender_access hash:/etc/postfix/sender-access, reject smtpd_recipient_restrictions = check_client_access hash:/etc/postfix/client-access, check_recipient_access hash:/etc/postfix/recipient-access, rejectPřičemž v client-access by byla adresa 192.168.0.21, v sender-access doména domena.cz (případně jednotlivé adresy) a v recipient-access opět doména domena.cz. Klíčová práce by se odehrávala v smtpd_recipient_restrictions, kde by to nejdřív povolilo klienta 192.168.0.21 pro odesílání odkudkoliv a potom příjemce v doméně domena.cz, ostatní by bylo zakázáno. Podle mě by to mělo fungovat, tedy aspoň pokud jsem správně pochopil, co má být cílem.
Tiskni
Sdílej:
ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.