[Postfixbuch-users] Artikel "Zwei-Klassen-Post" im Linuxmagazin beschreibt ein Open Relay

[Ralf Hildebrandt]

Der Artikel "Zwei-Klassen-Post" im Linuxmagazin beschreibt ein Open Relay. 

Warum?
======

Sehen wir uns mal die smtpd_recipient_restrictions an:

smtpd_recipient_restrictions = 
   check_sender_access mysql:/etc/postfix/mysql-restricted-senders.cf
   check_sender_access mysql:/etc/postfix/mysql-localdomains.cf
   check_recipients_access mysql:/etc/postfix/mysql-restricted-recipients.cf
   reject_unauth_destination
   
So, wenn nun

   check_sender_access mysql:/etc/postfix/mysql-restricted-senders.cf
   
nicht greift (also kein "localonly" zurückgibt), dann kommt die
nächste Restriktion

   check_sender_access mysql:/etc/postfix/mysql-localdomains.cf

an die Reihe. Und das gibt laut Text ("Nicht für Alle", S. 78) folgendes
zurück:

"Für den Fall, dass der Absender zu einer lokalen Domain gehört,
liefert diese Abfrage ein OK und akzeptiert die Mail."

OK = Mail angenommen = Open Relay, da nur anhand der Absenderadresse
authorisiert wurde.

Dass das ganze nicht klappen kann, sieht man schon daran dass
NIRGENDWO eine Abfrage auf Netzbereiche gemacht wird - einziges
Kriterium ist IMMER die Absenderadresse.

Lösung:
=======

"check_sender_access mysql:/etc/postfix/mysql-localdomains.cf" müsste
statt OK "reject_unauth_destination" zurückgeben -- allerdings ist mir
nicht klar, ob dann die gewünschte Funktion noch gegeben ist oder eine
eigene Restriction Class referenzieren, die prüft, ob der Client im
lokalen Netz war. 

Denn schließlich soll das Ding ja prüfen on der Client aus dem eigenen
Netz ist UND ZUSÄTZLICH noch, ob die Absenderadresse nach draußen mailen darf.

-- 
Ralf Hildebrandt (Ralf.Hildebrandt at charite.de)          spamtrap at charite.de
Postfix - Einrichtung, Betrieb und Wartung       Tel. +49 (0)30-450 570-155
http://www.postfix-buch.com
2 + 2 = 5, for extremely large values of 2.