Dotaz: Chování postfixu se zakázaným relay

[jan.rok]

Dobrý den, chtěl bych se zeptat na to, zda je normální tohle chování:

Postfix má povolené odesílání mailů pouze od klientů z

 
mynetworks=127.0.0.1/8, 192.168.1.0/24

Když to testuju telnetem zvenčí, tak jakmile zadám

RCPT TO:xxx@cizidomena.cz

, tak to hned hodí Relay access denied. To je správně. Ale zjistil jsem, že když by náhodný útočník uhádl nějakou moji emailovou adresu, tak pomocí

MAIL FROM:cokoliv@mojedomena.cz
RCPT TO:uhadnuty-mail@mojedomena.cz

může klidně do mé domény posílat spam.

Jak tomu mám zabránit? Mimochodem jsem náhodou zjistil, že např. Hmailserver pod Win to má taky takhle otevřené. Bojím se zbytečně nebo mám někde vážnou chybu v konfiguraci (chybí mi nějaký parametr)?

Díky, J. Rok

Odpovědi

[Robert Kupka]

V tomto pripade nejde o relay. Relay znamena dorucovanie mailu niekam uplne inam, ako na vas server.

Pokial "utocnik" da do RCPT TO: nejaku vasu adresu, resp. cielovu adresu v domene mojadomena.cz, pre ktoru je vas postfix nakonfigurovany ako MX, tak sa nejedna zo strany utocnika o relay, ale o delivery do ciela. Vas postfix potom normalne dorucuje, co je v poriadku. Je uz dalej na vas dalsimi opatreniami zaistit filtraciu SPAMu.

[jan.rok]

Díky za vysvětlení.

[jan.rok]

Přesto ještě jeden dotaz: jak se dá nastavit, aby server vůbec neodpovídal na HELO, EHLO, MAIL FROM, RCPT TO? A je to vůbec žádoucí? Na tohle se ptám proto, že např. některé weby, které zjištují DNS reporty (např. http://www.dnscolos.com) vyhodnocují jako chybu, když jsou tyto příkazy zakázané.

[jirkamailto]

Pokud by se s Vasim serverem zkusil spojit nejaky jiny server, ktery by nedostal z Vaseho serveru HELO EHLO apod, tak pokud je dobre nakonfigurovany, tak by s komunikaci prestal. To same kdyby Vas server zacal komunikovat s jinym serverem, tak pokud by "nepozdravil" Tak by take komunikace s nejvetsi pravdepodobnosti ustala. To jsou zakladni principy smtp komunikace.

[Filip Jirsák]

Jenom doplním: pokud má Postfix sloužit jenom jako relay, nekonfigurujte mu žádné domény, pro které má poštu přijímat, a zakažte mu naslouchání na IP adrese dostupné z vnější sítě, nebo zablokujte příchozí provoz na portu tcp/25 na firewallu. Tím budete mít pojištěné rovnou 2×, že Postfix z venku poštu přijímat nebude.