Dotaz: Postfix + sasl + prava na relay

[Jan Matuska]

Zdravim, mel bych dotaz ohledne reseni pristupovych prav s Postfixu. Postfix mam nastaveny, vcetne sasl. Prijima postu do jedne domeny, umoznuje relay uzivatelum, ktere mam v LAN, vse OK. Uzivatele se musi prihlasovat. O co mi jde Chtel bych nejakym zpusobem omezit pravo na odeslani mailu jakemukoliv uzivateli a zaroven mit moznost definovat nejaky seznam IP adres, ktere by mely mit moznost odeslat mail bez prihlaseni. Zatim jsem stvoril polovicate reseni, ktere pracuje tak, ze prijme mail od IP adres, ktere jsou uvedene v seznamu mynetworks a ostatnim v pripade, ze se prihlasi.

mynetworks = seznam_ip_co_mohou_odesilat_bez_prihlaseni
smtpd_recipient_restrictions =
            reject_unknown_sender_domain,
            reject_unknown_recipient_domain,
            permit_mynetworks,
            permit_sasl_authenticated,
            reject_unauth_destination,
            check_policy_service inet:127.0.0.1:60000,
            reject_unauth_pipelining

Hledal jsem v dokumentaci principiene bych potreboval neco, co by zretezilo pravidlo permit_sasl_authenticated spolecne s nejakym testem na povolene IP, ktere maji prihlaseni povoleny. Ale treba jsem uplne vedle a reseni je uplne nekde jinde

Odpovědi

[romank]

smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, rej ect_unauth_destination

[Jan Matuska]

Dekuji za odpoved. Je mi to jasne, ale spis by me zajimalo, zda-li jde nejak omezit seznam IP, ktere se mohou vubec prihlasit (krome FW). Zatim totiz na siti pouzivame spolecny prihlasovaci udaj pro vsechny uzivatele a to kvuli smapovacim virum. Zda se to sice postavene na hlavu, ale zatim se to osvedcilo - resp. je to reseni na nejakou dobu, nez dam dohromady novy IS, ktery bude spravu techto dat pro jednotlive uzivatele resit.

Idealne by bylo, kdyby existovalo (a to jsem prave v dokumentaci a prectenych clancich nikde nenasel jak na to) nejaky seznam napr. mynetworks2 s IP "odpojenych" uzivatelu a ja pak mohl jednoduse napsat:

smtpd_recipient_restrictions = reject_mynetworks2, permit_sasl_authenticated, permit_mynetworks, rej ect_unauth_destination

[pupu]

Myslite jako 'man 5 access'?

[Jan Matuska]

Ano, to je ono. Puvodne (drive nez jsem napsal tento prispevek) jsem si myslel, ze je to urceno na uplne neco jineho, ale otestoval jsem to a dela to presne to, co potrebuji. Dekuji.