Dotaz: DKIM signatura pouze na lokální síti

[Jirka]

Ahoj, rozjel jsem na poštovním serveru (postfix+amavis) podepisování mailů DKIM. Vše se zdařilo, jenom mi amavis podepisoval maily z lokální sítě, pokud se uživatel připojil z venku, mail se nepodepsal. Níže je část konfiguračního souboru amavis:

$enable_dkim_verification = 1;
$enable_dkim_signing = 1;
dkim_key("domena.cz", "dkim", "/var/lib/dkim/domena.cz.pem");
@dkim_signature_options_bysender_maps = (
    { '.' =>
        {
                ttl => 21*24*3600,
                c => 'relaxed/simple'
        }
    }
);
@local_domains_maps = ['.'];

Nalezl jsem na internetu řešení a to byla úprava definice lokální sítě na:

@mynetworks = qw( 0/0 );

Od té doby to správně podepisuje všechny odchozí maily. Ale později jsem si vyzkoušel jednoduchou věc: Přes telnet jsem z neexistujícího účtu (MAIL FROM, se správnou doménou) poslal spamovou zprávu pro existující účet. Amavis ji správně zarazil, ale protože odesílatel byl z lokální sítě, nezahodil ji (DISCARD), ale pokusil se varovat odesílatele (BOUNCE). Jenže ten neexistuje a tak mi pošta visela ve frontě. To asi není dobré. Otázka tedy zní, jak nakonfigurovat amavis, aby podepisoval DKIM všechny odchozí maily, nejen z lokální sítě.

Odpovědi

[BigBRAMBOR]

Bud na smtp hodnej, podepisuj vsechno co jde pres 587 TLS, pres ten port pouze overene heslem a nic necpi pres 25. Aspon tak to mam ja.

[Jirka]

Ale já to zkouším právě přes port 587. A samozřejmě, že odesílající se musí ověřit heslem, ať je na portu 25 či 587. Debugoval jsem amavis a on píše:

dkim: not signing mail which is not originating from our site

Zřejmě je to normální chování!? Moje představa byla, že odesílající se ověří heslem a odešle poštu, ať už přes port 25, 465 či 587. A pošta se mu podepíše. Spamassasin takové problémy nemá, ten pracuje vždy.

[Jirka]

Je to legrace, už jsem na to kápl. Do konfiguračního souboru amavisu jsem přidal toto:

$interface_policy{'10024'} = 'DKIM_ALWAYS';
$policy_bank{'DKIM_ALWAYS'} = { originating => 1 };

A hle pracuje to tak jak jsem chtěl, podepisuje se to ze všech sítí. Ale problém trvá, protože neexistující uživatel (viz můj první příspěvek) má poštu nyní podepsanou, je tedy důvěryhodný, tak mu amavis chce poslat varování. A protože neexistuje, tak to varováni je ve frontě. To je z louže pod okap. Ideální řešení by bylo podepisování DKIM pouze pro poštu co prošla autorizaci (SASL).

[MP]

Mel by jste se zamyslet, co mate nakonfigurovano za bordel, popr. proc mate bordel v logice a popisu dotazu. Za prve tvrdite, ze poslat email muze jen autorizovany uzivatel, ale nasledne posilate pres telnet jako neexistujici uzivatel.

[Jirka]

Odesílat poštu ze serveru může jen autorizovaný uživatel, odkudkoliv. A tuto poštu chci podepisovat DKIM. Server samozřejmě musí přijmout poštu pro emailovou adresu o kterou se stará, od kohokoliv. To je normální chování. A telnetem jsem zkoušel akci nějakého padoucha, který si adresu odesílatele vymyslel a příjemce byla existující adresa.

Překvapilo mě, že většina návodů na podepisování DKIM v amavisu to řeší jen pro lokální uživatele. Naštěstí jsem našel starší návod Postfix+DKIM email signatures in amavisd-new, který by měl dělat, to co chci. Vyzkouším však až v noci.

[Filip Jirsák]

Překvapilo mě, že většina návodů na podepisování DKIM v amavisu to řeší jen pro lokální uživatele.

To je správně. Uživatel, který se přihlásil jménem a heslem, je považován za lokálního uživatele. Respektive určuje to konfigurační volba smtpd_relay_restrictions, jejíž výchozí nastavení je permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination.

[Jirka]

V mém případě používám smtpd_recipient_restrictions, neb jde o starší server. Ale to by nemělo hrát roli.

[BigBRAMBOR]

Nejdrive si to srovnej v hlave ty, pak to pujde i s amavisem. Nejdrive pises ze uzivatel muze posilat na 25 a 587 po overeni, potom ze idealni by bylo aby se podepisovalo pouze po overeni a poto ze pres telnet odesles kazdemu.

[Jirka]

Tak jsem to zkusil dle inzerovaného návodu a nakonec se odchozí pošta podepisovala, tak jak jsem chtěl. Pak jsem odstranil pro mě nepotřebné volby (například nevyužíval jsem port 10027). Nakonec se toho vyklubalo řešení uveřejněné zde. Jenom jsem odstranil předposlední nastavení smtpd_sender_restrictions (mysql-virtual_sender.cf). A je tam pozapomenuta část z master.cf:

amavisfeed unix    -       -       n        -      2     lmtp
    -o lmtp_data_done_timeout=1200
    -o lmtp_send_xforward_command=yes
    -o disable_dns_lookups=yes
    -o max_use=20

10025    inet    n    -    n    -    -    smtpd
    -o smtpd_sender_restrictions=

Ta volba smtpd_sender_restrictions= je důležitá, bez ní se pošta zacyklí. Jinak tam lze přidávat další volby dle chuti.