Dotaz: Jak odesílat z Postfixu přes externí relay ?

[psm]

Stale tu válčím s jedním problémem a ne a ne na to přijít. Aby mohla firma využívat svůj lokální datový server taky pro rychlé vnitřní posílání pošty, navrhl jsem řešení POSTFIX/DOVECOT/FETCHMAIL/SQUIRRELMAIL tak, aby lokální POSTFIX poznal lokální uživatele a těm dával počtu rovnou do MAILDIR´s, zatímco externím adresátům posílal poštu jako RELAY přes externího ISP a jeho poštovní server SMTP.

Vše se zdá, že chodí, dokonce odchází i externí pošta, ale pouze příjemcům, kteří mají schránky u ISP, přes jehož SMTP server to jde. U ostatních to hlásí odmítnutí. Jakoby při vyřizování pošty pro "své" klienty postupoval server ISP jinak, než pro ty externí.

Čím to může být ? Samozřejmě ten lokální POSTFIX nemá žádné MX records apod, to už by to mohl odbavovat rovnou sám ... a zase na druhou stranu - kdyby bylo takovéto omezení všude, na co by uměl POSTFIX RELAY ?

Odpovědi

[Luboš Doležel (Doli)]

zatímco externím adresátům posílal poštu jako RELAY přes externího ISP a jeho poštovní server SMTP.

Pokud externí = cizí, tak je jasné, že to nejde. ISP průchozí provoz obvykle povoluje jen vlastním zákazníkům.

[psm]

Ne ne, tak to nemyslím :

uživatelé A,B,C,D = jedna firma má 4 mailboxy u ISP. Normálně je stahovali do PC a naopak - přes SMTP ISP odesílali poštu. jenže :

když potřebovali poslat poštu jeden druhému (po vnitřní síti), tak to šlo od už. A WEBem ven, přes SMTP ISP a POP3 schránku B zase zpět : třeba uživatel A -> B.

A to je štvalo. A tak mají lokální SMTP POSTFIX navíc, mezi sebou jim to proběhne okamžitě, pouze píšou-li "do světa", jde to přes RELAY přes venkovní SMTP toho JEJICH ISP.

A ta blbina, co to dělá je ta, že když ta nějaké cílová adresa mailu je zákazník jejich ISP, tak to jde (Active24). Ale když to jde třeba na xxx@volny.cz, tak server ACTIVE 24 zařve, že ne ...

Co mám blbě ??? Na co se podívat ?

[Frt]

Mam ve firme presne takovou konfiguraci a odchozi chodi bez problemu. Zkus treba na pastebin.cz dat svuj konfigurak main.cf (samozrejme zamaskuj co nechces abych videl ) a ja se na to mrknu. Mozna je chybicka nekde tam...

[psm]

Díky za reakci - šoupnu to rovnou sem :

# Please be sure to read the /usr/share/doc/postfix/README.MDK file
# to learn about differences from stock postfix to Mandriva package.
# This file contains only the parameters changed from a default install
# see /etc/postfix/main.cf.dist for a commented, fuller version of this file.

# These are changed by postfix install script
readme_directory = /usr/share/doc/postfix/README_FILES
html_directory = /usr/share/doc/postfix/html
sendmail_path = /usr/sbin/sendmail.postfix
setgid_group = postdrop
command_directory = /usr/sbin
manpage_directory = /usr/share/man
daemon_directory = /usr/lib/postfix
newaliases_path = /usr/bin/newaliases
mailq_path = /usr/bin/mailq
queue_directory = /var/spool/postfix
mail_owner = postfix

# User configurable parameters

inet_interfaces = all
mynetworks_style = subnet
#delay_warning_time = 4h
smtpd_banner = $myhostname ESMTP $mail_name ($mail_version) (Mandriva Linux)
unknown_local_recipient_reject_code = 450
smtp-filter_destination_concurrency_limit = 2
lmtp-filter_destination_concurrency_limit = 2
recipient_delimiter = +
owner_request_special = no
alias_database = hash:/etc/postfix/aliases
alias_maps = hash:/etc/postfix/aliases
delay_warning_time = 2h
myhostname = server.cosi.cz
mydomain = cosi.cz
mydestination = $myhostname, localhost.$mydomain, $mydomain
mynetworks = 127.0.0.0/24, 192.168.0.0/16
debug_peer_level = 1
home_mailbox = Maildir/
mail_spool_directory = /var/spool/mail
maximal_queue_lifetime = 5d
message_size_limit = 10240000
myorigin = $myhostname
relay_domains = $mydestination
relayhost = out.smtp.cz
virtual_alias_maps = hash:/etc/postfix/virtual

[pupu]

relayhost = [out.smtp.cz]

Jinak konfigurak neni smerodatny. Podstatny je vystup z 'postconf -n'.

[psm]

Tak tady je výstup z ´postconf -n´ :

alias_database = hash:/etc/postfix/aliases
alias_maps = hash:/etc/postfix/aliases
command_directory = /usr/sbin
config_directory = /etc/postfix
daemon_directory = /usr/lib/postfix
debug_peer_level = 1
delay_warning_time = 2h
home_mailbox = Maildir/
html_directory = /usr/share/doc/postfix/html
inet_interfaces = all
mail_owner = postfix
mail_spool_directory = /var/spool/mail
mailq_path = /usr/bin/mailq
manpage_directory = /usr/share/man
maximal_queue_lifetime = 5d
message_size_limit = 10240000
mydestination = $myhostname, localhost.$mydomain, $mydomain
mydomain = neco.cz
myhostname = server.neco.cz
mynetworks = 127.0.0.0/24, 192.168.0.0/16
mynetworks_style = subnet
myorigin = $myhostname
newaliases_path = /usr/bin/newaliases
owner_request_special = no
queue_directory = /var/spool/postfix
readme_directory = /usr/share/doc/postfix/README_FILES
recipient_delimiter = +
relay_domains = $mydestination
relayhost = [out.smtp.cz]
sendmail_path = /usr/sbin/sendmail.postfix
setgid_group = postdrop
smtpd_banner = $myhostname ESMTP $mail_name ($mail_version) (Mandriva Linux)
unknown_local_recipient_reject_code = 450
virtual_alias_maps = hash:/etc/postfix/virtual

Snad Vás něco napadne - já už nevím - snad jen co s tou autentifikací ? ACTIVE24 standardně požaduje SMTP auth. Jak tohle udělá POSTFIX ?

[pupu]

Tohle vypada OK, ted je jeste otazka, co je v logu.

Autentikace vypada takhle:

main.cf:
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options =
relayhost = [smtp.neco.cz]

sasl_passwd:
smtp.neco.cz jmeno:heslo

Pokud nepujde, zkus s/bez zavorek. Fungovat by to melo takhle, ale nezkousel jsem.

[sartori]

[] jsou v pripade ze pises IP, jinak bez Zapominas

[pupu]

Ne tak docela. Zavorky rikaji, ze nemas resolvovat MX.

[psm]

Dík za tip, ale můžete to upřesnit ? Já mám MANDRIVA 2008 distro a nejsem si jist, zda je to v systému (ty knihovny SASL nebo SASL2 ?) ... jak zjistím, že je nainstalovaná funkční podpora SASL pro POSTFIX ?

[pupu]

Mandrivu neznam. Ja osobne bych to zkusil nastavit tak, jak jsem popsal vyse, zkusil neco poslat a dival se do logu. Ono to kdyztak bude hlasite protestovat. Pripadne je mozno zvysit 'ukecanost' jednotlivych casti Postfixu pridanim '-v' v master.cf k prislusne komponente.

[psm]

Tak jsem si vyzkoušel komunikaci Active 24 ručními příkazy telnetem a chodí to LOGIN i PLAIN - dají se tomu hesla kódovaná BASE64 ... Takže vím, že A24 pojede, AŽ přemluvím POSTFIX, aby přes SASL posílal ta hesla jako AUTH. Jenže to se lehce řekne ... ˇať dělám, co dělám, pořád mi to řve, že :
... SASL authentification failuire ... no worthy mechs found ...
konfigurační soubor je v Mandrivě v /etc/sasl2/smtpd.conf a přijde mi, že systém POSTFIXU nějak nemůže trefit k souborům s daty. Zkouším toto:

mech_list:         plain login

# To authenticate using the separate saslauthd daemon, (e.g. for
# system or ldap users). Also see /etc/sysconfig/saslauthd.
#pwcheck_method:    saslauthd
#saslauthd_path:    /var/lib/sasl2/mux

# To authenticate against users stored in sasldb.
pwcheck_method:    auxprop
auxprop_plugin:    sasldb
sasldb_path:       /var/lib/sasl2/sasl.db

do sasl.db jsem nahrál pomocí saslpasswd2 data (jméno nadřízeného SMTP serveru jméno:heslo) a stále nic ...

[pupu]

Davat jakakoliv hesla do sasl databaze je k nicemu. Leda bys chtel overovat uzivatele na SVEM serveru. Stejne tak konfigurace v sasldb(2).

[psm]

Díky - no a jak tedy udělat funkční ověření AUTH na nadřazeném ISP Pastfix serveru ?

Zatím nic nefunguje ... standardně se to má dávat do mapy :

smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/isp_auth
smtp_sasl_security_options = noanonymous

jenže to mi nechodí, i když to v tom souboru isp_auth mám ve tvaru

smtp.poskytovatel.cz username:password

Co s tím ?

[Filip Jirsák]

Je shodná levá strana té mapy a to, co je uvedeno u relayhost?

[psm]

Jistě - je tam uvedeno :

out.smtp.cz

což je odchozí POSTFIXový server ACTIVE 24 ...

Taky by mne zajímalo, jestli není nějaká souvislost s metodou, jak se testují moji příchozí, t.j. nastavení souboru

/sasl2/smtpd.conf

neboli chci říct, jestli není problém v tom, že musí být sasl2 auth funkční i třeba pro zpětnou komunikaci od ISP SPTP serveru zpátky na můj POSTFIX. Protože to furt řve, že není vhodná metoda ... Přece authentizace uživatelů mého SMTP nemá nic s tím, jak se hlásí (autentifikuje) uživatel na nadřazeném účtu. Přece proto, aby ho postfix Active 24 pustil na RELAY, ještě nemusí být user povinně autentifikován SASL metodou předchozím POSTFIX serveru (u mne)? Každá část má přece jinou DB. Nebo snad chce někdo říct, že kdybych měl špatně nebo vůbec nastavenou autentizaci na SMTPD, že by nešla ani kontrola směrem nahoru tou mapou ?

[Filip Jirsák]

V relahost už máte také jenom out.smtp.cz, bez hranatých závorek?

Autentizace na SMTP serveru a autentizace SMTP klienta spolu vůbec nesouvisí. Vždyť teď se náhodou pokoušíte e-maily odesílat přes Postfix, který umí být zároveň serverem, ale většina uživatelů bude přes ten server ISP odesílat e-maily z nějakého poštovního klienta (Thunderbird, Outlook), který rozhodně žádné serverové schopnosti SMTP nemá, natož aby uměl autorizovat klienty.

[psm]

Ne, IP ISP relayhost MÁM v závorkách. Vaše odpověď to slušně motá :

a) mluvíme o autentizaci (ne autorizaci - i když na terminoligii bych tak nelpěl)

b) kdo by si bože myslel, že klintské programy THB nebo MS OUTLOOK by ještě kontrolovaly nějaký jiný klientský program pod sebou ? To je přece jasné.

Šlo jen o to, zda firemní POSTFIX v roli klienta vůči ISP POSTFIXu musí nebo nemusí mít zároveň funkční klientské nastavení AUTH démona pro klienty pod sebou - příklad :

člověk A má spuštěný třeba Thunderbird. Nemá zapnuté ověřování SMTP pro POSTFIX 1 ve firmě, který je pro něho nejblíže nadřazeným serverem a přes který přistupuje na RELAYHOST ISP POSTFIX 2, kde už ověřování musí být zapnuté vždy, jinak by POSTFIX 2 neprovedl RELAY do jiné domény.

A mně šlo o to, zda Postfix 1 musí nebo nemusí ověřovat klienty pod sebou v okamžiku, kdy MUSÍ sám sebe ověřovat jako klienta vůči Postfixu 2 (ISP). Zdá se že logicky nikoliv, protože po nalezení chyby - viz http://www.abclinuxu.cz/forum/show/206532
mi to běhá sice zatím v PLAIN/LOGIN, ale klienti na POSTFIX1 neověřuji a POSTFIX1 vůči POSTFIX2 ano. Ono šlo v podstatě o to, které parametry mají na co vliv. Potřeboval jsem vědět, zda na POSTFIX1 musí být v /etc/sasl2/smtpd.conf nastavené metody SASL2, zda musí být zapnuto "smtpd_sasl_auth_enable" i když se klient "dole" neověřuje a jde jen o ověření POSTFIX1 vůči POSTFIX2.

Testy ukazují že ne, že totiž parametry začínající na smtpd se týkají ověření "dolů", zatímco smtp parametry mají vliv na chování směrem "nahoru".

Teď bych už jen ocenil, kdyby někdo poradil, jak do takto funkčního systému implementovat nějaké zabezpečení - asi nejspíše TLS, protože jiné šance mi podle EHLO POSTFIX 2 nedává

A kdyby to šlo nějak jednoduše, protože pro nějakých10-15 uživatelů lokální sítě nechci řešit složité MYSQL varianty pod.

Děkuji předem za pomoc.

[pupu]

smtp_* parametry jsou pro smtp cast Postfixu (tj. to, co odesila), smtpd_ pro smtpd (tj. to, co prijima). Je pochopitelne zcela regulerni mit zapnutou autentikaci pouze pro jeden kus. TLS bych osobne pridal podle http://postfix.state-of-mind.de/patrick.koetter/smtpauth/

[psm]

A má smysl (pokud to jde) aplikovat TLS taky jen z POSTFIX 1 na POSTFIX 2 - neboli až od okamžiku, kdy data včetně hlaviček opouštějí firmu, tzn. pokud půjde o INTRANET poštu, jet bez zabezpečení (smtpd bez TLS) a pouze ve směru na poskytovatelův server POSTFIX 2 aplikovat TLS (smtp s TLS)?

Neboli aby pouze spojení POSTFIX 1 - POSTFIX 2 používalo TLS, zatímco PC - POSTFIX 1 nepoužívalo TLS ?

Jde to tak udělat ?

[pupu]

Jde a IMHO nema smysl. Pro interni postu bych klidne TLS povolil, ale nevyzadoval. Pokud si chces vybirat, kam posilat s a bez TLS, ja osobne bych pouzil transportni mapu pres specialni transport - ale mozna to jde i jednoduseji.

[psm]

No já měl pro to tento důvod: vzhledem k tomu, že lokální postfix 1 doručí data buď v rámci intranetu - pak je mi to fuk a nepotřebuju to mít s TLS a nebo přes externí relayhost poskytovatele a pak bych to možná chtěl mít s TLS, i když možná taky o nic nejde, protože pro ověření vůči postfixu 2 se posílá heslo, které klidně nemusí být heslem žádného z uživatelů a jeho odposlechnutí by způsobilo pouze to, že by někdo zvenku využívat (zneužívat) SMTP postfix ISP pro sebe. Samozřejmě nejde jen o to autentizační heslo, ale i o data samotná. Takže to TLS by smysl mělo (aspoň od postfix 1 na postfix 2).

Ale stále šlo zatím jen o odesílání. Horší je to se stahováním POP3 schránek od ISP na lokální server, což se děje pomocí FETCHMAIL. Tady je možná to riziko odposlechnutí hesel větší. Ale to by pak všichni klienti POP3 jako Outlook Express, Outlook, Mozilla atd, kteří používají port 110 a nezabezpečenou komunikaci, měli stejný problém. A ruku na srdce, k čemu bude zákazníkovi to, že si v klientovi nastavil zabezpečený přenos, když odpověď mu na něj přijde třeba normálně, že ...

A té protistraně to těžko nařídí ...

[Petr Šobáň]

Podle mě to nepředáváš relay, ale asi se to snažíš doručovat sám proto pro ACTIVE 24 přijme maily, ale ostatní servery tě odmítnou jak nemáš veřejnou IP atd.....

A nebo ACTIVE 24 potřebuje zadat login který nemáš zadaný aby přeposílal mail dál.

PS. Mám u nich účet ale jejich server nepoužívám - vše doručuje můj lokální smtp.

[psm]

Dál to předávám jako RELAY : v relayhost mám out.smtp.cz. Pravda je, že nemám tam ten login (jak se to udělá ?), ale teď jsem vyzkoušel poslat to rovnou, to prošlo třeba na seznam nebo volny, ale z jednoho serveru (fakulta syna), kam jsme to taky poslali, se to vrátilo jako SPAM.

... nejspíše tam, kde kontrolují IP odesilatele proti záznamům MX a naopak, to neprojde. MX v tuto chvíli ukazují na ACTIVE24.

Já jsem nechtěl používat přímo tento firemní server jako hlavní (tzn. včetně MX směřujících na něj atd.) i když by mi odpadly trable s FETCHMAILEM atd., ale měl jsem obavu, že při nějakých nedostatcích je větší riziko, že se takovýto malý server dostane někde na blacklist apod.

Jinak na pokusy používám EXISTUJÍCÍ mail adresu z té domény, hostované na A24, tak jsem myslel, že to projde. Ale je fakt, že i v normálním klientovi se musí autentifikace pro SMTP nastavit.

Kde se tohle nastaví v POSTFIXu tak, aby se to použilo pro RELAYHOST ?

[psm]

Ještě k té adrese : firma MÁ vlastní pevnou IP (zřízenou mj. i pro toto a taky proto, aby měli přístup na mailserver) přes SQUIRRELMAIL, ale není - viz minulý příspěvek - jako MX. Je to pouze pevná veřejná IP ...

[Petr Šobáň]

Já MX záznam na tom serveru nemám ale sedí mi ip->název->ip je jasné že zase ale tak často ten smtp nepoužívám.