Dotaz: Nemám nastavený postfix na openrelay?

[filbar]

Příloha:

• main.cf (27329 bytů)

Před nedávnem jsem si pořídil vpsfree server a právě na něm rozjíždím Postfix nějakých mých domén. Z maillogu jsem zjistil, že asi mám něco špatně nastavené, protože se mi v něm objevilo několik zpráv typu:

Feb 19 11:17:38 filbar postfix/qmgr[14510]: AB2CE30103A7: from=<>, size=6829, nrcpt=1 (queue active)
Feb 19 11:18:08 filbar postfix/smtp[14914]: connect to mx.aguavisa.com.cust.a.hostedemail.com[67.215.65.132]: Connection timed out (port 25)
Feb 19 11:18:08 filbar postfix/smtp[14914]: AB2CE30103A7: to=<unresolvedfa3@aguavisa.com>, relay=none, delay=199999, delays=199969/0.01/30/0, dsn=4.4.1, status=deferred (connect to mx.aguavisa.com.cust.a.hostedemail.com[67.215.65.132]: Connection timed out)

nebo

Feb 19 11:15:06 filbar postfix/qmgr[14510]: E839730104D6: from=<>, size=3471, nrcpt=1 (queue active)
Feb 19 11:15:06 filbar postfix/bounce[14909]: 9355D30103A4: sender non-delivery notification: E839730104D6
Feb 19 11:15:06 filbar postfix/qmgr[14510]: 9355D30103A4: removed
Feb 19 11:15:07 filbar postfix/smtpd[14895]: disconnect from unknown[119.176.60.91]
Feb 19 11:15:10 filbar postfix/smtp[14910]: E839730104D6: to=<carrieriemerbiov@gmail.com>, relay=gmail-smtp-in.l.google.com[209.85.218.21]:25, delay=3.3, delays=0/0/0.22/3.1, dsn=5.1.1, status=bounced (host gmail-smtp-in.l.google.com[209.85.218.21] said: 550-5.1.1 The email account that you tried to reach does not exist. Please try 550-5.1.1 double-checking the recipient's email address for typos or 550-5.1.1 unnecessary spaces. Learn more at                              550 5.1.1 http://mail.google.com/support/bin/answer.py?answer=6596 1si2270161bwz.26 (in reply to RCPT TO command))

Dosud jsem totiž postfix provozoval pouze na svém routeru, kam mi žádný mail nechodil, takže jsem s ničím takovým problém neměl.

Nastavení Postfixu je v příloze. Předem děkuji za vaše odpovědi.

Odpovědi

[Filip Jirsák]

Ten konfigurák podle zběžného prohlédnutí na openrelay nevypadá. Pátrejte po tom, kde se vám v systému ty e-maily vzaly – jestli přišly ze sítě, nebo zda je nevyrobil nějaký lokální proces.

[pavel]

Souhlas: mynetworks_style = host

Zkus to proverit odnekud z jineho stroje:
telnet IP
Trying IP...
Connected to IP
Escape character is '^]'.
220 hostname.mydomain.cz ESMTP Postfix
HELO localhost
250 hostname.domain.cz
MAIL FROM:novak@mydomain.cz
250 2.1.0 Ok
RCPT TO:tvujmail@domain.cz
250 2.1.5 Ok
DATA
354 End data with .
ggg
.
250 2.0.0 Ok: queued as 92B5347604
quit

Pripadne to jeste proverit skrze http://www.spamhelp.org/shopenrelay/

[filbar]

Tak podle toho to vypadá asi v pořádku:

RCPT TO: xxx@google.com
554 5.7.1 <xxx@google.com>: Relay access denied

i ten spamhelp hlásí, že nejsem open-relay

Testing 83.167.228.15 on port 25... successful! - the SMTP server is NOT an open relay.

Budu sledovat maillog a uvidím.

Děkuji za vaše rady.

[filbar]

Sledováním maillogu jsem došel k tomu závěru, že ty podezřelé řádky jsou odpovědi na spamy do neexistujících mailboxů mých domén:

Feb 19 20:21:20 filbar postfix/qmgr[15696]: DF9E430104D5: from=<bernettarittingernysuv@gmail.com>, size=900, nrcpt=1 (queue active)
Feb 19 20:21:20 filbar lmtpunix[16496]: accepted connection
Feb 19 20:21:20 filbar lmtpunix[16496]: lmtp connection preauth'd as postman
Feb 19 20:21:20 filbar lmtpunix[16496]: verify_user(linpro.cz!user.info) failed: Mailbox does not exist
Feb 19 20:21:20 filbar master[16716]: about to exec /usr/lib/cyrus-imapd/lmtpd
Feb 19 20:21:20 filbar lmtpunix[16716]: executed
Feb 19 20:21:20 filbar postfix/lmtp[16715]: DF9E430104D5: to=<info@linpro.cz>, relay=bar672.name[/var/lib/imap/socket/lmtp], delay=2.1, delays=2.1/0/0/0.01, dsn=5.1.1, status=bounced (host bar672.name[/var/lib/imap/socket/lmtp] said: 550-Mailbox unknown.  Either there is no mailbox associated with this 550-name or you do not have authorization to see it. 550 5.1.1 User unknown (in reply to RCPT TO command))
Feb 19 20:21:20 filbar postfix/cleanup[16714]: 609B830104D7: message-id=<20100219192120.609B830104D7@bar672.name>
Feb 19 20:21:20 filbar postfix/qmgr[15696]: 609B830104D7: from=<>, size=2990, nrcpt=1 (queue active)
Feb 19 20:21:20 filbar postfix/bounce[16717]: DF9E430104D5: sender non-delivery notification: 609B830104D7
Feb 19 20:21:20 filbar postfix/qmgr[15696]: DF9E430104D5: removed
Feb 19 20:21:21 filbar postfix/smtpd[16710]: disconnect from unknown[221.194.130.20]
Feb 19 20:21:23 filbar postfix/smtp[16718]: 609B830104D7: to=<bernettarittingernysuv@gmail.com>, relay=gmail-smtp-in.l.google.com[209.85.218.12]:25, delay=3.5, delays=0/0/0.27/3.3, dsn=5.1.1, status=bounced (host gmail-smtp-in.l.google.com[209.85.218.12] said: 550-5.1.1 The email account that you tried to reach does not exist. Please try 550-5.1.1 double-checking the recipient's email address for typos or 550-5.1.1 unnecessary spaces. Learn more at                              550 5.1.1 http://mail.google.com/support/bin/answer.py?answer=6596 20si1212599bwz.10 (in reply to RCPT TO command))

[pupu]

Openrelay to neni, ale je to backscatter source. To taky neni dobre. Proc prijimas na urovni Postfixu maily pro neexistujici adresaty?

[filbar]

Protože se zkouším naučit, jak nakonfigurovat prostředí pro webhosting, takže mám v Postfixu uvedené pouze domény pro příjem mailu a samotný příjem do schránek mi řídí jejich nadefinování v Cyrus IMAPu.

Takže je teda lepší mít samotné schránky duplikované jak v Postfixu, tak v Cyrus IMAPu?

[Filip Jirsák]

Nejlepší je mít ty schránky nadefinované v jedné databázi (např. LDAP), odkud si je bude tahat jak Postfix, tak Cyrus.

Jinak pokud nemůže server e-mail do neexistující schránky odmítnou rovnou během spojení, neměl by o tom dnes už chybový e-mail odesílateli posílat – protože odesílatel v drtivé většině případů bude falešný, takže váš server pak de facto rozesílá spam. Sice je to proti RFC, ale to v tomhle zaostává za praxí. Leda byste chybové e-maily odesílal jen odesílatelům, jejichž „totožnost“ máte ověřenou, např. pomocí SPF – jenže to snad zatím servery neumí.

[Kroko]

A jak to vypnout? Jedna se o tzv. bounce zpravy a nejak jsem neprisel na to jak tyto bounce vypnout :(

[pupu]

To neni dobry napad. Lepsi je udelat to tak, jak radil kolega. Nedat duvod k jejich generovani.

[Filip Jirsák]

Podívejte se na notify classes. Ale pokud můžete, dejte opravdu Postfixu seznam platných schránek, aby neplatné e-mailové adresy mohl odmítat ještě během spojení s odesílatelem.

[filbar]

A SpamAssassin neumí odmítnout takové zprávy a dále se jimi nezabývat?

[Filip Jirsák]

Jednak by stejně musel mít k dispozici seznam platných schránek, jednak by se musel spouštět ještě v průběhu komunikace s odesílatelem, což může být problém – kontrola může trvat dlouho, a odesílatel nebude mít „trpělivost“ čekat na výsledek a přeruší spojení. Navíc by se stejně dostal ke slovu až v okamžiku, kdy je přenesena celá zpráva – pokud neznámého adresáta odmítne rovnou Postfix, udělá to ještě před tím, než se zpráva začne posílat, takže se tím ušetří přenosová kapacita i čas serveru.