Dotaz: problem se SMTP servrem, jak ochranit ?

[georgo23]

Zdravím, máme na síti nasazený smtp server POSTFIX. Máme docela nemalé problémy poslední dobou a už si moc nevíme rady. Téměř každý den, nám nějaký klient, který je zjevně zavirovaný vytíží postfix tak, že se dostaneme na blacklisty. Prostě vůbec nevím, jak jej zabezpečit k odesílání takového množství SPAMu. Je to v 10k mailů. Pak už se jen maily vrací zde zasílám konfig:

#myorigin = /etc/mailname
smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
biff = no
# appending .domain is the MUA's job.
append_dot_mydomain = no
# Uncomment the next line to generate "delayed mail" warnings
#delay_warning_time = 4h

readme_directory = no

# TLS parameters
smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
smtpd_use_tls=yes
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache

# See /usr/share/doc/postfix/TLS_README.gz in the postfix-doc package for
# information on enabling SSL in the smtp client.

myhostname = smtp1.xxxxxx.cz
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
myorigin = /etc/mailname
#mydestination = localhost.xxxxxx.cz, , localhost
relayhost =
mynetworks = 127.0.0.0/8, x.x.x.x/22, x.x.x.x/24
mailbox_command = procmail -a "$EXTENSION"
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all
message_size_limit = 12000000
smtp_destination_concurrency_limit = 2
smtp_destination_rate_delay = 1s
smtp_extra_recipient_limit = 10

Je proti tomu vůbec nějaká účinná obrana ?

Odpovědi

[blb]

Doporucuju projet na webu nejake tutorialy, treba na howtoforge je jich mraky. Ale jako prvni to chce zjistit kdo ty spamy rozesila, zda nefungujete jako open relay atd...

[NN]

Na to, ze je to public postak, nevidim absolutne zadne 'restrictions' pravidla. Otestujte se na "open relay" a vychazejte z oficialnich dokumentace.

[MMMMMMMMM]

zkus projet server tímto http://emailsecuritygrader.com/ a jak píše NN, nějaké restrikce tam snad máš, ne? :)

[georgo23]

No mam, pouze na nase IP adresy, prave ze nevim jake mam dat dalsi. S tim potrebuji pomoci.

[MadCatX]

Pokud ty restrikce fungují, neměl by přece být problém z logů vyčíst, kdo ty spamy rozesílá a zablokovat účet nebo přidat rovnou IP ban. Jakým způsobem ten váš Postfix ověřuje identitu uživatele?

[NN]

Mohl bych je videt?

[georgo23]

Co mate na mysli ?

[NN]

..mam, pouze na nase IP adresy..

[georgo23]

mynetworks = 127.0.0.0/8, x.x.x.x/22, x.x.x.x/24

zbytek resime skrze iptables. Ano v logu vyčtete kdo je hříšník, ale když je hříšník a to je náš případ zavirovaný, tak log roste šílenou rychlostí. Například za weekend měli logy cca 20 GB. Nedej bože, když je hříšníků vícero. To pak už rovnou nahazujeme server na jinou IP, protože dostat se z BLACKlistů je téměř nemožné. Proto hledáme nejrůznější restrikce a ptáme se zde, Vás zkušených co je v tomto případě nejlepší.

[AraxoN]

Na obmedzenie škôd spôsobených hacknutým mailovým účtom je možné použiť policyd. Keď sa limit nastaví na 60 mailov na používateľa za hodinu, tak z hacknutého účtu odíde maximálne stovky mailov než sa na to príde (ak je nasadený monitoring).

[georgo23]

Abych to nějak uvedl na pravou míru. Server pouze přeposílá poštu ven ze sítě. Nejsou na něm vedeny žádné účty. Není žádná autentizace, pouze na ip adresy. Jinak řečeno, je to skutečně server odchozí pošty, který obsluhuje stovky, až tisíce ip adres z naší sítě. Potřebujeme jej nastavit tak, aby nám nikdo nespamoval, ať již záměrně, nebo proto že je zavirovaný.

[GeorgeWH]

tak filtruj odchadzajuce maily spamfiltrom, pripadne nastavit politiku na N malov/minuta z jednej ip.

a aky je problem si zistit z logu, ktora ip najviac posiela?

[AraxoN]

policyd vie limitovať aj podľa IP adresy