Dotaz: Postfix+dovecot+SOGo - zakáz přeposílání mailů

[jan.rok]

Dobrý den, používám Postfix+Dovecot+webmail SOGo (celé je to součást distribuce Zentyal 4.5). Delší dobu mě trápí problém popisovaný zde.

Uživatelé mají pomocí webmailu nastaveno přeposílání mailů na své soukromé adresy. Protože jim ale chodí velké množství spamu (a ne s každým si antispam poradí), generuje to velký objem pošty, kterou můj postfix jen přeposílá dál. V kombinaci s tím, že můj poskytovatel nedovolí víc jak 5 odesílacích vláken současně (a s tímto nijak nehnu) to vede k tomu, že ve frontě se hromadí množství nesmyslných mailů na neexistující adresy, které se postfix snaží odeslat. Na korektní maily pak nedojde řada.

Chtěl bych tedy automatické přeposílání na soukromé adresy zakázat. Ale jak to udělat, když nemám přístupy do uživatelských webmailů? Kde jsou uvolženy konfigurace přesměrování?

Děkuji za rady. J.R.

Odpovědi

[MP]

Totalne spatny pristup, ale zalezi na okolnostech.

Takze prvni a zakladni otazka je, kdo jsou tito uzivatele - jedna se o firemni mailserver? A pokud ano, je to pozadavek "shora"?

[jan.rok]

Dotaz se netýkal posouzení přístupu, prostě taková je situace, není ideální, ale taková je realita a není v tuto chvíli v mé moci to nějak změnit. Jde o delší dobu používané řešení, kde není vůle vedení to změnit (ani nejsou prostředky na změnu). Hledá se nějaké řešení situace. Ano, je to požadavek "shora". A jak z něho "vybruslit"?

[petr]

Pokud vedeni nevadi, ze reseni je nah0vno a ze dorucovani emailu je treba zpozdene kvuli spamu, nic bych neresil. Az se zacnou zpozdovat emaily v radu hodin, pak bych vedeni vysvetlil ze jakkoliv nejsou penize/ochota/cokoliv jineho, danoh situaci je nutne vyresit a predlozil jim reseni. Pokud nebudou souhlasit, tak jim zpozdeni emailu v radu hodin/dnu nevadi a tudiz bych to neresil.

[strejda]

že ve frontě se hromadí množství nesmyslných mailů na neexistující adresy

A to jako proč? A jak tenhle stav souvisi s forwardama?

Jinak řečeno, pokud mají uživatelé nastaveny forwardy na správné (existujicí) adresy, pak je výše uvedený důsledkem něčeho jiného, např mail delivery notification pro neexistující uživatele či cokoli jiného...

[jan.rok]

Ano, ve frontě jsou notifikační maily na neexistující adresy.

[strejda]

V tom případě ale zákaz forwardů nic nevyřeší. Primárně je potřeba správně nakonfigurovat postfix tak aby maily pro neexistující uživatele odmítnul v rámci příchozí transakce (čímž se zároveň přestanou posílat delivery notification). Tohle je už dlouho naprosto základní podmínka pro provozování mailserveru.

[jan.rok]

Rozumím. Tohle ale funguje: pošlu-li mail na adresu, která neexistuje na serveru, postfix ho odmítne. Podle toho, co jsem zjistil, tak se ta fronta plní maily, které se chtějí odeslat jako potvrzení o doručení. Ten spam je zasílán na existující adresy.

[strejda]

Aha, jasně. To znamená, že notifikaci tedy posílá tvůj postfix (což bz asi neměl, pokud se mail dál forwarduje, ale to není v tomto případě podstatné). Obecně vzato, potvzení o doručeni asi dneska není moc použitelné, maximálně tak na podepsané mail (DKIM, ...) pokud to je opravdu velmi tvrdě vyžadováno. Jednoduše ho zakaž... V každém případě by to ale chělo přitvrdit při příjmu mailů, třeba reject_unknown_sender_domain, ... Podívej se do default configu pro aktuální posfix, tam by to mělo být +/- dobře.

[a]

A není to tak, že tvůj server odmítá poštu, kterou pokládá za spam tím způsobem, že ji vrací odesílateli?

Takhle to dělá MS Exchange server. Nevím tedy, jestli každý, ale ten náš jo. A administrátor prostě neví wocogo, takže jsem před něj radši dal postfix. Taky ten MSE chytře vracel poštu, která měla větší velikost, než byla ta nastavená. Přijal ji a poslal jí nazpátek s chybovou hláškou, že je větší, než limit... Vlastně přijal všechno pro naši doménu a pak z toho podle potřeby generoval ty chybové hlášky a vracel to celé.

[j]

"Na korektní maily pak nedojde řada. " Az na to, ze takhle to vazne nefunguje. MTA se pokusi mail dorucit, a kdyz se to nepovede, odlozi si ho na "potom" a mezi tim pokracuje dalsima mailama. A je uplne jedno, jestli muze odesilat milion mailu zaroven nebo jedinej. Pokud by sis pak na necem hypoteticky moh nabehnout, tak na prostoru na disku, pokud by toho byly desitky tisic cekajicich mailu.

Standardne se o doruceni snazi asi 5 dnu. Casto se to nastavuje tak, ze kazdej dalsi pokus je za delsi dobu.

S forwardovanim to jednak nema nic spolecnyho, druhak kdyz to zakazes na serveru tak se to da trivialne nastavit v klientovi. Samo jina vec je, ze firemni posta nema na privatnim mailu co pohledavat a je to naprosto vpohode obhajitelnej duvod k vyhazovu.

[jan.rok]

A není to tedy třeba tak, že fronta se takto naplní a že odesílání z ní jde pomalu proto, že to nějak omezuje poskytovatel? Třeba že pustí jen x odchouích mailů za sekundu? Pak by se mohlo zdát, že na těch pár korektních mailů "nedojde řada".

Zákaz forwardu na soukromé maily se tedy pokusím prosadit a obhájit. Tím se ale vracím na začátek dotazu: Jak to těm uživatelům povypínat?

[strejda]

Špatně :) Může to být v ~/.forward, v databázi, jako sieve script, a hlavně to může být přeposílané mail klientem.

Ale ješte jednou, ty forwardy to nezpůsobují, tu notifikaci posílá postfix bez ohledu na to, yda se potom udělá forward či ne! Pravý problém je to, že máte povolený příjem mailů s nevalidní 'Form:' adresou .

[dan]

Ja to mam podobne, problem je ze mam nastavene aby dovecot ukladal Spamy do foldra Spam, ale forward nastaveny cez sieve v dovecote forwarduje vsetko aj tie Spamy a ak to vzdialeny server odmietne tak sa posielaju nedorucenky odosielatelovi cize spammerovi preto trci tolko mailov vo fronte. U mna ale nieje tych spamov az tak vela lebo ich filtrujem na dalsom stroji este predtym ako to dorazi na postfix s dovecotom.

[Max]

Přeposílání mailů na jiné adresy mimo server je řešení, které fungovalo před 10 lety. V současné době jde o zastaralý způsob, který je téměř rovný tomu ty maily mazat.
Co myslíš, že se stane, když přijde email od odesílatele (test@odesilatel.tld), který má SPF, DKIM, DMARC, ADSP apod. věci nasazené? Email (prijemce@domena1.tld) se přepošle na úplně jinou adresu (prijemce@domena2.tld) a cílový server jej odmítne a odesílateli přijde info o nedoručení na adresu, na kterou nic neposílal (prijemce@domena2.tld).
Nejen, že se tedy email nedoručí, ale přijde info o nedoručení z úplně jiné adresy, což je pro odesílatele matoucí a mám zkušenosti, že to spíše pak považují za spam.
Prostě v dnešní době se emaily rozhodně nepřeposílají a není snad problém si nastavit na spoustě freemailů i jiných serverů výběr ze vzdáleného mailboxu.
Hlavním řešením tedy podle mně je informovat uživatele, aby si maily nepřeposílali mimo server, ale když už to potřebují, tak používali fce vybírání mailboxu.
Zdar Max

[strejda]

Co myslíš, že se stane, když přijde email od odesílatele (test@odesilatel.tld), který má SPF, DKIM, DMARC, ADSP apod. věci nasazené?

A co by se asi tak mělo stát? Admin na domena1.tld není lemra líná, má nasazené a funkční SRS takže vše funguje jak má...

Proč by se, hergot, v dnešní době neměly maily přeposílat, respektivě co tomu konkrétně brání (a neschopnost admina neberu jako argument)?
Navíc, proč by (pokud pominu vícenásobný forward, plný cílový mailbox...) měl přijít mail delivery failure z domena2.tld?

[Max]

Protože jsou tři případy adminů :
1) admin většinou ani neví, co srs je
2) admin, co ví, co srs je, má morální problém s nasazením
3) admin ví, co srs je a má ho nasazen

kde třetí případ je spíše rarita.

Delivery failure ti vrátí přeposílací server, ale nebude tam původní doména, ale ta, na kterou se to přeposílá, tzn. i úplně jiný adresát v reportu, než kterému jsi mail posílal.
Prostě odesílatel pošle email na : "firma@domena.tld" a vrátí se mu zpráva, že se nepodařilo doručit email na "franta@seznam.tld"
Zdar Max

[Max]

Jinými slovy, přeposílání spoléhá na to, že jsou všechny servery správně nastaveny. Takový předpoklad je ale úplně mimo.
Vidím to v práci, případů, kdy mi lidé volají, že jim přišla zpráva o nedoručení někam, kam email neposílali, není sice hodně, ale jsou. Většinou se jedná o menší firmy, které mají historicky nějakou adresu na seznamu a pak mají svojí adresu se svojí doménou, kterou si přeposílají na tu seznamáckou. Jelikož máme SPF a oni používají nějaký server bez SRS, tak je problém na světě.
Zdar Max

[a]

Hlavně by taky měly servery přijímat poštu co prošla přes SRS.

Mám nasazené srs. A jednou jsme si takhle přeposílali poštu mimo jiné do jedné nadnárodní firmy. A příjemci pořád, že jim nic nedošlo. Koukám do logů, pošta byla u nich přijata. Říkám jim, někde to tam musíte mít. A oni pořád, že ne. Nechali to prověřit u jejich IT odporníků a ti prohlásili, že takové divné znaky v odesílací adrese se jejich poštovním serverům nelíbí a že to pokládají za spam. Marné bylo přesvědčování, že je to tam právě kvůli tomu, aby se to dalo od spamu odlišit, a marné bylo posílání odkazů, kde si to mají nastudovat... Hoši z nadnárodní firmy si zřídili maily na seznamu nebo tak něco a tím se to vyřešilo. (Beztak jsme si přeposílali soukromé maily :).