Dotaz: Postfix - vypnuti greylistingu pri overeni heslem

[jirka]

Mam postfix a veskera prichozi posta je prohnana pres greylisting - bohuzel se tak deje i v pripade ze nekdo ten server pouziva jako smtp, jde nejak nastavit jiny rezim pokud se uzivatel overi jmenem a heslem?

Odpovědi

[svaca]

A co takhle popsat poradne konfiguraci ??? Na tohle se nade ani odpovedet ....

[billgates]

Moja konfiguracia je takato:

smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unlisted_recipient,
... hromada rejectov ...
    reject_rbl_client multihop.dsbl.org,
    check_policy_service unix:private/policy,
    permit

Greylisting je ten posledny riadok check_policy_service unix:private/policy. Takze greylisting sa pouzije az ako posledne pravidlo pred kontrolou. Ak je niekto z mynetworks alebo sa autentifikoval cez sasl, tak sa to k tomu riadku vobec nedostane. Cize riesenim by malo byt posunutie toho pravidla na koniec zoznamu. Aj ked bez uvedenia blizsich informacii je to skor vestenie z gule.

[jirka]

Omlouvam se, konfigurak jsem sem dat chtel, ale hlava derava.... prave ze zhruba tak jak to popisujete to mam:

smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination, check_policy_service unix:/var/spool/postfix/postgrey/socket

Presto to nefunguje - ale ted me napada ze to zlobi u majlu posilanych lokalne, neni mozne ze kdyz posilam x@domena.cz -> y@domena.cz ze to Postfix v prnim kroku prijme (SMTP), ale pak to posle znovu sam sobe a uz pouzije i Greylisting? (mozna placam blbosti, nevim presne jak mail putuje pokud ma byt dorucen lokalne).

Uzivatele jsou virtualni v mysql a smtp pristup postfix overuje pres dovecot.

[svaca]

Ne takto to nefunguje, kdyz je to lokalne, jde to bez domeny takze neopusti SMTP server...

Jak spoustis ten postgrey ? Jakym prikazem? Postgrey defaultne NEKONTROLUJE lokalni (nebo odchozi maily). Nemas nahodou v main.cf treba zapnuty posilani pres smart host ?

neco jako:

relayhost = nejaky.server.nekde

[pasmen]

Ne takto to nefunguje, kdyz je to lokalne, jde to bez domeny takze neopusti SMTP server...

S tim ze to jde bez domeny bych nesouhlasil. Pokud ma typickou (a spravne nastavenou) konfiguraci, je defaultne nastaven parametr

append_at_myorigin = yes

takze pro lokalne odeslanou postu to i tak odejde s priponou @$myorigin.

[svaca]

Ano to vim, ale defaultne prave je, ze kdyz neco posilam z franta@domena.cz na tonda@domena.cz v DOMENE (domena.cz) tak to pri default nastaveni jede "jen" mezi franta a tona, tedy na localhostu. Je to i logicke a nevadi tedy ten append ...

[jirka]

Postfix s postgrey komunikuje pres socket

smtpd_recipient_restrictions =
   ...
   check_policy_service unix:/var/spool/postfix/postgrey/socket

Stejne tak odchozi postu kontroluje i antivir a antispam pres amavis

content_filter=smtp-amavis:[127.0.0.1]:10024

coz mi ale nevadi.

Abych to shrnul, posta od x@domena.cz pro y@domena.cz kde odesilatel pouzije jako smtp server mail.domena.cz a overi se pres SASL je greylistovana - coz v podstate pro toho uzivatele znamena ze jeho postovni klient zpravu nedoruci a vypise chybu.

[pasmen]

A opravdu se pres SASL uspesne overi? Proc jednoduse nenastavit treba

mynetworks = 127.0.0.0/8

popr. jak jinak uznas za vhodne, a pak nepouzit tuto konstrukci:

smtpd_recipient_recstrictions =
    ...
    permit_mynetworks,
    ...
    permit_sasl_authenticated,
    ...
    check_policy_service ...

[jirka]

Overi... je to videt i z logu - navic to smtp uz nejakou dobu pouzivam a kdyby to overovani nefungovalo, asi uz bych byl znamy spammer :)

To co pises uz tam v podstate mam - krome nastaveni mynetworks, ma to pro me nejaky vyznam? Ja potrebuju to smtp z ruznych IP.

[billgates]

mynetworks nema v tomto pripade vyznam. No, mam to rovnako a mne to funguje dobre. Bude to nejaka kuleha :)

[pasmen]

Jeste se koukni do logu, jestli se ti greylistovana zprava dostane az k amavisu. Pak by mohlo byt spatne nastaveni daemona smtpd v master.cf, ktery postu od amavisu opet vraci do fronty. Jinak takhle: pokud se chces zbavit greylistovani jen na zaklade toho, ze neco prijde s obalkovou adresou tve domeny, pak je to jako kdybys ho nemel, neni nic jednodussiho nez tu adresu odesilatele zmenit.

[jirka]

mrknu dik... ne, chci se zbavit greylistingu pokud se uzivatel na SMTP overi pres SASL

[pasmen]

Jo sorry, moje kratkodoba pamet je fakt mizerna... V kazdem pripade koukni na tamto, tusim, ze problem je tam.

[jirka]

Jo, zni to logicky, ale nenapada me co s tim, vypis master.cf:

  9 smtp      inet  n       -       n       -       -       smtpd
...
 99 smtp-amavis unix - - n - 2 smtp
100     -o smtp_data_done_timeout=1200
101     -o smtp_send_xforward_command=yes
102     -o disable_dns_lookups=yes
103 
104 127.0.0.1:10025 inet n - n - - smtpd
105     -o content_filter=
106     -o local_recipient_maps=
107     -o relay_recipient_maps=
108     -o smtpd_restriction_classes=
109     -o smtpd_client_restrictions=
110     -o smtpd_helo_restrictions=
111     -o smtpd_sender_restrictions=
112     -o smtpd_recipient_restrictions=permit_mynetworks,reject
113     -o mynetworks=127.0.0.0/8
114     -o strict_rfc821_envelopes=yes
115     -o smtpd_error_sleep_time=0
116     -o smtpd_soft_error_limit=1001
117     -o smtpd_hard_error_limit=1000

Napada me tam pridat jeste permit_sasl_authenticated (radek 112), ale asi je to hovadina. Jestli to dobre chapu, mail se vraci z amavisu a prepisujou se zde pravidla smtpd_recipient_restrictions tak, ze se to proste uz nekontroluje a doruci (protoze plati permit_mynetworks).

[pasmen]

Hmm, tak to taky vypada dobre... Jedine, co uz me ted napada je, zapnout verbose logovani Postfixu. Take jeste muzes zkusit otestovat odesilani rucne pomoci telnetu, tak aspon budes vedet, jestli ti to zpravu greylistuje ihned, nebo az po vraceni zpravy do fronty amavisem. Takze neco takovehleho:

telnet mail.tvojedomena.cz 25
Trying W.X.Y.Z...
Connected to mail.tvojedomena.cz.
Escape character is '^]'.
220 mail.tvojedomena.cz ESMTP
EHLO A.B.C
...
AUTH PLAIN XXXXXXXXXXXXXXXXXX
...
MAIL FROM: <franta@tvojedomena.cz>
...
RCPT TO: <karel@tvojedomena.cz>
...
DATA
ABC
DEF
GHI
.
...
QUIT

Pokud ti to zpravu odmitne hned, pak je problem pravdepodobne nekde uvnitr smtpd_recipient_restrictions v main.cf, kdyz ne a zpravu to prijme a odmitne az po vraceni amavisem, muze to byt nekde v definici transportu v master.cf.

[pasmen]

Policy service funguje jeste pred zarazenim do fronty (na urovni SMTP prikazu RCPT TO:, takze ne, Postfix to nejdrive neprijme... Vazne sem hod celou konfiguraci, at vidime, co se deje.

[jirka]

tady je tedy cely main.cf

 
  1 queue_directory = /var/spool/postfix
  2 command_directory = /usr/sbin
  3 daemon_directory = /usr/libexec/postfix
  4 mail_owner = postfix
  5 
  6 myhostname = mail.domena.cz
  7 
  8 mydomain = domena.cz
  9 
 10 myorigin = $mydomain
 11 
 12 inet_interfaces = $myhostname
 13 
 14 mydestination = $myhostname, localhost.$mydomain, localhost, postfix.$mydomain
 15 
 16 unknown_local_recipient_reject_code = 550
 17 
 18 mynetworks_style = host
 19 
 20 
 21 alias_maps = hash:/etc/aliases
 22 
 23 mailbox_transport = dovecot
 24 
 25 
 26 smtpd_banner = $myhostname ESMTP Welcome to xxxx!
 27 
 28 
 29 debug_peer_level = 2
 30 
 31 debugger_command =
 32      PATH=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/bin
 33      xxgdb $daemon_directory/$process_name $process_id & sleep 5
 34 
 35 sendmail_path = /usr/sbin/sendmail.postfix
 36 
 37 newaliases_path = /usr/bin/newaliases.postfix
 38 
 39 mailq_path = /usr/bin/mailq.postfix
 40 
 41 setgid_group = postdrop
 42 
 43 html_directory = no
 44 
 45 manpage_directory = /usr/share/man
 46 sample_directory = /usr/share/doc/postfix-2.3.3/samples
 47 readme_directory = /usr/share/doc/postfix-2.3.3/README_FILES
 48 
 49 virtual_alias_maps = proxy:mysql:/etc/postfix/mysql_virtual_alias_maps.cf
 50 virtual_gid_maps = static:97
 51 virtual_mailbox_base = /var/spool/mail/
 52 virtual_mailbox_domains = proxy:mysql:/etc/postfix/mysql_virtual_domains_maps.cf
 53 virtual_mailbox_limit = 102400000
 54 virtual_mailbox_maps = proxy:mysql:/etc/postfix/mysql_virtual_mailbox_maps.cf
 55 virtual_minimum_uid = 97
 56 virtual_transport = dovecot
 57 virtual_uid_maps = static:97
 58 
 59 smtpd_recipient_restrictions =
 60     permit_sasl_authenticated,
 61     permit_mynetworks,
 62     reject_unauth_destination,
 63     check_policy_service unix:/var/spool/postfix/postgrey/socket
 64 
 65 smtpd_sasl_auth_enable = yes
 66 smtpd_sasl_local_domain =
 67 smtpd_sasl_security_options = noanonymous
 68 smtpd_sasl_authenticated_header = yes
 69 smtpd_sasl_type = dovecot
 70 smtpd_sasl_path = /var/run/dovecot/auth-client
 71 
 72 broken_sasl_auth_clients = yes
 73 
 74 smtpd_use_tls = yes
 75 smtpd_tls_auth_only = yes
 76 smtpd_tls_key_file = /etc/pki/postfix/smtpd.key
 77 smtpd_tls_cert_file = /etc/pki/postfix/smtpd.crt
 78 smtpd_tls_CAfile = /etc/pki/postfix/cacert.pem
 79 smtpd_tls_received_header = yes
 80 smtpd_tls_session_cache_timeout = 3600s
 81 
 82 tls_random_source = dev:/dev/urandom
 83 
 84 content_filter=smtp-amavis:[127.0.0.1]:10024

[svaca]

Tohle vypada dobre .. Zkus jeste zadat:

smtpd_sasl_local_domain = $mydomain

zkus jeste pridat:

relay_domains = $mydestination

dale bych mozna skusil radsi definovat :

mynetworks = 192.168.1.0/24, 127.0.0.0/8

nez : mynetworks_style = host

mam stejnou konfiguraci jako ty (postfix, dovecot, mysql, atd) ale misto postgrey (neda se poradne ovladat) pouzivam Sglgrey je totiz bozi na zpravu a tento problem nemam, co popisujes ty ...

[jirka]

zkusim dik... nemyslim ze chyba je primo v postgrey, v kazdem pripade ten sqlgrey vypada zajimave, zkusim ho

[svaca]

K sqlgrey je hooodne dobre taky toto