[Postfixbuch-users] restrictions

[Sandy Drobic]

Patrick Braun wrote:
> 
> -----Ursprüngliche Nachricht-----
> Von: postfixbuch-users-bounces at listi.jpberlin.de
> [mailto:postfixbuch-users-bounces at listi.jpberlin.de]Im Auftrag von Sandy
> Drobic
> Gesendet: Mittwoch, 1. November 2006 10:47
> An: Eine Diskussionsliste rund um das Postfix-Buch.
> Betreff: Re: [Postfixbuch-users] restrictions
> 
> 
> Patrick Braun wrote:
>> Sind diese Restrictions sinvoll? Welche sollte man ergenzen welche löschen
>>
>> smtpd_recipient_restrictions = check_client_access
>> hash:/etc/postfix/ip-block, permit_mynetworks, permit_sasl_authenticated,
>> reject_unauth_destination, permit
>>
>> smtpd_helo_required = yes
>> smtpd_helo_restrictions = permit_mynetworks, permit_sasl_authenticated,
>> check_client_access hash:/etc/postfix/ip-block, reject_unknown_hostname,
>> reject_non_fqdn_hostname, permit
>> smtpd_sender_restrictions = permit_mynetworks, permit_sasl_authenticated,
>> reject_unknown_hostname, reject_non_fqdn_hostname, reject_rhsbl_sender
>> domain.tld, permit
> 
>> reject_unknown_hostname ist doppelt aufgeführt. Bei mir würde das viele
>> erwünschte Mails abweisen. Was ist denn eigentlich dieser letzte check:
>> "reject_rhsbl_sender domain.tld"?
> 
> reject_rbl_client domain.tld
> 
> Verwirft die Anfrage, wenn der SMTP-Client einen DNS-Record vom Typ A unter
> domain.tld hat.

Okay, soweit ist das schon klar. Ich hatte aber nach "reject_RHSBL_sender 
domain.tld" gefragt. (^-^)

Ist das eine Verschleierung der eigentlichen Domain oder aus copy & paste 
übriggeblieben?

> 
>> smtpd_client_restrictions = permit_mynetworks, reject_rbl_client
>> bl.spamcop.net, reject_rbl_client relays.ordb.org, reject_rbl_client
>> opm.blitzed.org, reject_rbl_client list.dsbl.org, reject_rbl_client
>> sbl.spamhaus.org, reject_rbl_client bl.spamcop.net, reject_rbl_client
>> cbl.abuseat.org, reject_rbl_client dynablock.njabl.org, reject_rbl_client
>> combined.rbl.msrbl.net, permit
> 
>> bl.spamcop.net ist mit Vorsicht zu genießen, die Liste wehrt sehr viele
>> Spamzombies ab, aber auch etliche mehr oder minder zu recht auf die Liste
>> gesetzte normale Mailserver.
> 
>> Verwende sbl-xbl.spamhaus.org, das ist eine Kombiliste aus
>> sbl.spamhaus.org, xbl.spamhaus.org und cbl.abuseat.org.
> 
>> Diese drei kannst du dann streichen.
> 
> Danke für den Hinwei
> 
>> in ip-block steht
>>
>> 213.200.241.202 REJECT
>> dmzsmx02.implenia.com OK
> 
>> Wozu dieser gemischte Block? Wäre es nicht sinnvoller, den zu teilen in
>> zwei getrennte Listen, eine White-List und eine Blacklist? Die Verwaltung
>> wäre jedenfalls einfacher und weniger fehlerträchtig.
> 
>> Bitte beachte, dass deine Einstellung im Augenblick erlaubt, dass
>> dmzsmx02.implenia.com relayen darf. Wenn er eine feste IP hat, sollte er
>> in mynetworks enthalten sein. Wenn er nur als Whitelist aufgenommen werden
>> soll, dann sollte der check nach reject_unauth_destination stehen.
> 
> 213.200.241.202 da möchte ich das von da keine mails angenomen werden, hatte
> heute nacht über 28'000 mails gelöscht
> 
> dmzsmx02.implenia.com da sollen mails angenommen werden  funktioniert jetzt
> auch

Ich wiederhole es explizit: Im Augenblick kann dmzsmx02.implenia.com 
deinen Server benutzen, um beliebige Mails über dich zu verschicken. Also 
nicht nur Mails, die an deine Domains gerichtet sind, sondern auch Mails, 
die über deinen Server nach extern relayed werden.

Wenn du das möchtest, nimm dmzsmx02.implenia.com in mynetworks auf, wenn 
dieser Client nur von allen Restriktionen verschont bleiben soll, setze 
den Check nach reject_unauth_destination. Dann kannst du dir den IP-Block 
sparen und auch die Checks unter smtpd_sender_restrictions werden 
ausgeklammert wie jetzt durch permit_mynetworks. Im Augenblick durchläuft 
  dmzsmx02.implenia.com noch alle smtpd_sender_restrictions.

> habs aber aus den helo rausgenommen
> 
>> Insgesamt ist diese Aufteilung nicht so transparent wie eine Konfig, wo
>> alle checks unter smtpd_recipient_restrictions stehen.
> 
> gibt es ein beispiel wie man das damit macht?

smtpd_recipient_restrictions =
	permit_mynetworks,
	permit_sasl_authenticated,
	reject_unauth_destination
	check_client_access hash:/etc/postfix/client_whitelist,
	check_client_access hash:/etc/postfix/client_blacklist,
	reject_unknown_hostname,
	reject_non_fqdn_hostname
	reject_rhsbl_sender domain.tld,
	reject_rbl_client bl.spamcop.net,
	reject_rbl_client relays.ordb.org,
	reject_rbl_client opm.blitzed.org,
	reject_rbl_client list.dsbl.org,
	reject_rbl_client sbl-xbl.spamhaus.org,
	reject_rbl_client dynablock.njabl.org,
	reject_rbl_client combined.rbl.msrbl.net

/etc/postfix/client_whitelist:
# alle clients, die von denen Mails an unsere Domains angenommen werden
dmzsmx02.implenia.com OK

/etc/postfix/client_blacklist:
# alle clients, die direkt geblockt werden:
213.200.241.202 REJECT

Mit der Trennung in Blacklist und Whitelist ist das Eintragen weiterer IPs 
  sehr einfach, und durch die Position nach reject_unauth_destination ist 
sichergestellt, dass nicht relayed wird.

Ich habe alle doppelten checks herausgenommen und die kombinierte sbl-xbl 
hereingesetzt. Meinst du nicht auch, dass diese Konfig transparenter ist?
Jetzt siehst du wenigstens, was in welcher Reihenfolge abläuft.

Spare dir die Aufteilung auf die verschiedenen Bereiche auf, wenn du eine 
wirklich haarige Reihe von Checks hast.

Du hast hier jetzt die restrictions von deiner Konfig aufgeführt, aber 
hast du auch überprüft, dass deine Empfängervalidierung funktioniert?

Sandy
-- 
Antworten bitte nur in die Mailingliste!
PMs bitte an: news-reply2 (@) japantest (.) homelinux (.) com