[Sysadmins] postfix help need

[Sysadmins] postfix help need

[Igor Solovyov]

Hi All!

Есть почтовый сервер - postfix + cyrus, авторизация через sasldb.
Решил побороться со спамом, и в результате прочтения небезизвестной
статьи "... без оружия", получил очень неплохой результат в смысле
отсекания спама. Но возникла проблема следующего рода.
Нужно пускать на smtp некоторых пользователей снаружи. 
Причем, поскольку эти пользователи (руководство) частенько перемещаются
чуть ли не по всему миру, то нет возможности определить откуда их
"ждать", чтобы в спамеры не записать.
В общем пока не могу решить эту задачу, не ухудшая качество отсекания
спама. Вот выдежка из main.cf:

smtpd_helo_restrictions =   permit_sasl_authenticated,
permit_mynetworks,
check_helo_access hash:/etc/postfix/helo_access,
check_helo_access regexp:/etc/postfix/helo_regexp,
check_helo_access regexp:/etc/postfix/dul_checks,
reject_invalid_hostname,
reject_non_fqdn_hostname,
permit

smtpd_sender_restrictions = permit_sasl_authenticated,
permit_mynetworks,
check_sender_access regexp:/etc/postfix/sender_access
reject_non_fqdn_sender,
reject_unknown_sender_domain,
permit

smtpd_recipient_restrictions = permit_sasl_authenticated,
permit_mynetworks,
reject_unauth_pipelining,
reject_non_fqdn_recipient,
reject_unknown_recipient_domain,
reject_unlisted_recipient,
reject_unauth_destination,
permit

smtpd_etrn_restrictions = permit_mynetworks,reject_unknown_client,reject

smtpd_data_restrictions = permit_mynetworks,
reject_unauth_pipelining,
reject_non_fqdn_sender,
reject_non_fqdn_recipient,
reject_unknown_recipient_domain,
reject_unknown_sender_domain,
permit

вроде прописал в начале permit_sasl_authenticated, но все
равно этих пользователей отсекает как спамеров.

В общем прошу помощи, как бы безопасно пускать этих пользователей
откуда угодно только по признаку sasl_authenticated без ухудшения
антиспамовой обороны?

P.S.
Кстати, я еще использовал postgrey (check_policy_service
inet:127.0.0.1:60000), но вынужден был отказаться от этой
затеи из-за еженочного падения postgey:

postgrey[29349]: fatal: Can't call method "txn_commit" on an undefined
value at /usr/sbin/postgrey line 223.

:-(

-- 
Best Regars!
Igor Solovyov

Re: [Sysadmins] postfix help need

[Pavel Zilke]

Igor Solovyov пишет:
> Hi All!
>
> Есть почтовый сервер - postfix + cyrus, авторизация через sasldb.
> Решил побороться со спамом, и в результате прочтения небезизвестной
> статьи "... без оружия", получил очень неплохой результат в смысле
> отсекания спама. Но возникла проблема следующего рода.
> Нужно пускать на smtp некоторых пользователей снаружи. 
> Причем, поскольку эти пользователи (руководство) частенько перемещаются
> чуть ли не по всему миру, то нет возможности определить откуда их
> "ждать", чтобы в спамеры не записать.
> В общем пока не могу решить эту задачу, не ухудшая качество отсекания
> спама. Вот выдежка из main.cf:
>
> <skip>
>   
А может имеет смысл поднять VPN сервер, и пусть удаленные пользователи 
сначала заходят в корпоративную сеть, а там уже как локальные 
пользователи работают с почтой и другими сервисами?

Re: [Sysadmins] postfix help need

[Igor Solovyov]

Hi!
On Thu, 22 Nov 2007 08:36:12 +0300
Pavel Zilke <zidex@mail.ru> wrote:

> А может имеет смысл поднять VPN сервер, и пусть удаленные
> пользователи сначала заходят в корпоративную сеть, а там уже как
> локальные пользователи работают с почтой и другими сервисами?

И как это сделать? Учитывая это:

> > Причем, поскольку эти пользователи (руководство) частенько
> > перемещаются чуть ли не по всему миру, то нет возможности
> > определить откуда их "ждать"...

Я что-то не очень представляю. :-(
В моем понимании VPN подразумевает знание как минимум ip-адресов
обоих "концов" тонеля или я чего-то не так понимаю?

-- 
Best Regars!
Igor Solovyov

Re: [Sysadmins] postfix help need

[Alexey Morsov]

[-- Attachment #1: Type: text/plain, Size: 1380 bytes --]

On Thu, Nov 22, 2007 at 08:37:10AM +0500, Igor Solovyov wrote:
> Hi All!
> 
> Есть почтовый сервер - postfix + cyrus, авторизация через sasldb.
> Решил побороться со спамом, и в результате прочтения небезизвестной
> статьи "... без оружия", получил очень неплохой результат в смысле
> отсекания спама. Но возникла проблема следующего рода.
> Нужно пускать на smtp некоторых пользователей снаружи. 
> Причем, поскольку эти пользователи (руководство) частенько перемещаются
> чуть ли не по всему миру, то нет возможности определить откуда их
> "ждать", чтобы в спамеры не записать.
А не надо прям на HELO резать :)

-- 

С уважением,
Алексей Морсов
программист ЗАО "ИК "Риком-Траст"

Jabber: samurai@www.fondmarket.ru
ICQ: 196766290
www.ricom.ru
www.fondmarket.ru

ALT Linux Team Member
email: swi@altlinux.ru
web: www.altlinux.ru, www.sisyphus.ru

NP: Ayreon - The shooting company of captain Frans B. Cocq


[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 477 bytes --]

Re: [Sysadmins] postfix help need

[Alexey Shabalin]

> > А может имеет смысл поднять VPN сервер, и пусть удаленные
> > пользователи сначала заходят в корпоративную сеть, а там уже как
> > локальные пользователи работают с почтой и другими сервисами?
>
> И как это сделать? Учитывая это:
>
> > > Причем, поскольку эти пользователи (руководство) частенько
> > > перемещаются чуть ли не по всему миру, то нет возможности
> > > определить откуда их "ждать"...
>
> Я что-то не очень представляю. :-(
> В моем понимании VPN подразумевает знание как минимум ip-адресов
> обоих "концов" тонеля или я чего-то не так понимаю?
это смотря для чего vpn (net<->net или net<->client). всё-же настраивается.
смотрите pptp+ppp (тогда на win клиентах доп.ПО ставить не надо, но
могут возникнуть трудности - где-то по миру могут зарезать gre),
openvpn (на клиентах надо ставить openvpn - но это того стоит - вещь
замечательная).

-- 
Alexey Shabalin

Re: [Sysadmins] postfix help need

[Vladimir V. Kamarzin]

>>>>> On 22 Nov 2007 at 08:37 "IS" == Igor Solovyov writes:

 IS> вроде прописал в начале permit_sasl_authenticated, но все
 IS> равно этих пользователей отсекает как спамеров.

Лог реджекта пользователя в студию.
Запостите так же вывод postconf -n

 IS> P.S.
 IS> Кстати, я еще использовал postgrey (check_policy_service
 IS> inet:127.0.0.1:60000), но вынужден был отказаться от этой
 IS> затеи из-за еженочного падения postgey:

 IS> postgrey[29349]: fatal: Can't call method "txn_commit" on an undefined
 IS> value at /usr/sbin/postgrey line 223.

Что у вас за дистрибутив?

rpm -q postgrey
rpm -q libdb4.4

Был такой баг, но сейчас это исправлено. Если у вас server 4.0, убедитесь что
установлен postgrey, который находится в 4.0/branch

-- 
vvk

Russian Postfix irc: irc.freenode.net #postfix-ru

Re: [Sysadmins] postfix help need

[Igor Solovyov]

Hi!
On Thu, 22 Nov 2007 12:36:12 +0300
Alexey Morsov <samurai@ricom.ru> wrote:

> > Нужно пускать на smtp некоторых пользователей снаружи. 
> > Причем, поскольку эти пользователи (руководство) частенько
> > перемещаются чуть ли не по всему миру, то нет возможности
> > определить откуда их "ждать", чтобы в спамеры не записать.
> А не надо прям на HELO резать :)

И в каком месте HELO я их режу? Если самым первым стоит...
smtpd_helo_restrictions =   permit_sasl_authenticated,
....

На самом деле похоже проблема была тут:

smtpd_client_restrictions = permit_mynetworks,
check_client_access hash:/etc/postfix/client_access,
check_client_access regexp:/etc/postfix/dul_checks,
permit

Пропустил permit_sasl_authenticated, вписал,
вроде не отшибает их больше... :-D
Только теперь грейлистит их на регулярной основе... :-(
Не понос, так золотуха... :-)

-- 
Best Regars!
Igor Solovyov

Re: [Sysadmins] postfix help need

[Igor Solovyov]

Hi!
On Thu, 22 Nov 2007 16:36:52 +0500
"Vladimir V. Kamarzin" <vvk@vvk.pp.ru> wrote:

> rpm -q postgrey
> rpm -q libdb4.4
> 
> Был такой баг, но сейчас это исправлено. Если у вас server 4.0,
> убедитесь что установлен postgrey, который находится в 4.0/branch

Ага, я уже и сам нагуглил про это... :-))))

-- 
Best Regars!
Igor Solovyov

Re: [Sysadmins] postfix help need

[Igor Solovyov]

Hi!
On Thu, 22 Nov 2007 12:40:35 +0300
"Alexey Shabalin" <a.shabalin@gmail.com> wrote:

> > В моем понимании VPN подразумевает знание как минимум ip-адресов
> > обоих "концов" тонеля или я чего-то не так понимаю?
> это смотря для чего vpn (net<->net или net<->client). всё-же
> настраивается. смотрите pptp+ppp (тогда на win клиентах доп.ПО
> ставить не надо, но могут возникнуть трудности - где-то по миру могут
> зарезать gre), openvpn (на клиентах надо ставить openvpn - но это
> того стоит - вещь замечательная).

Спасибо. Просто не имел никогда дела с "net<->client" тунелями.
А проблему вроде удалось решить самим postfix-ом. :-)

-- 
Best Regars!
Igor Solovyov

Re: [Sysadmins] postfix help need

[Мерзляков Евгений Анатольевич]

В сообщении от Thursday 22 November 2007 22:03:21 Igor Solovyov написал(а):
> Пропустил permit_sasl_authenticated, вписал,
> вроде не отшибает их больше... :-D
> Только теперь грейлистит их на регулярной основе... :-(
> Не понос, так золотуха... :-)

дык в вайтлист занести и все

-- 
Мерзляков Е.А.
jabber-id: humptydumpty@jabber.ru
icq: 115657846

Re: [Sysadmins] postfix help need

[Igor Solovyov]

Hi!
On Fri, 23 Nov 2007 08:42:23 +0500
Мерзляков Евгений Анатольевич <hj@acoustics.ru> wrote:

> В сообщении от Thursday 22 November 2007 22:03:21 Igor Solovyov
> написал(а):
> > Пропустил permit_sasl_authenticated, вписал,
> > вроде не отшибает их больше... :-D
> > Только теперь грейлистит их на регулярной основе... :-(
> > Не понос, так золотуха... :-)
> 
> дык в вайтлист занести и все

Дык не понятно что в вайтлист занести. :-)
В него, насколько я понял, можно занести либо имя домена,
либо ip-адрес, а в данном случае они заранее не известны,
поскольку эти пользователи могут подключиться в и-нет
фактически в любой точке мира. :-)

Нужно сделать как-то так, чтобы грейлистинг и не пытался
обрабатывать _авторизовавшихся_клиентов_, независимо откуда
они подключаются.

-- 
Best Regars!
Igor Solovyov

Re: [Sysadmins] postfix help need

[Мерзляков Евгений Анатольевич]

В сообщении от Friday 23 November 2007 09:08:59 Igor Solovyov написал(а):
> Дык не понятно что в вайтлист занести. :-)
> В него, насколько я понял, можно занести либо имя домена,
> либо ip-адрес, а в данном случае они заранее не известны,
> поскольку эти пользователи могут подключиться в и-нет
> фактически в любой точке мира. :-)

видимо грейлисты у нас разные, в моем можно почтовый адрес добавить в вайтлист

комментарии из конфига грейлиста:
# If set to yes, then the table 'whitelist' is looked up
# each time postfix request the server
# if the email/domain/ip is in the whitelist, then the response
# will be 'dunno' .
# 
# In the whitelist table, you can set the following values:
# an email: ie john@foo.tld
# a domain: ie @bar.tld
# an IP   : ie 1.2.3.4
# a subnet: ie 1.2.3


-- 
Мерзляков Е.А.
jabber-id: humptydumpty@jabber.ru
icq: 115657846

Re: [Sysadmins] postfix help need

[Igor Solovyov]

Hi!
On Fri, 23 Nov 2007 10:50:59 +0500
Мерзляков Евгений Анатольевич <hj@acoustics.ru> wrote:

> В сообщении от Friday 23 November 2007 09:08:59 Igor Solovyov написал
> (а):
> > Дык не понятно что в вайтлист занести. :-)
> > В него, насколько я понял, можно занести либо имя домена,
> > либо ip-адрес, а в данном случае они заранее не известны,
> > поскольку эти пользователи могут подключиться в и-нет
> > фактически в любой точке мира. :-)
> 
> видимо грейлисты у нас разные, в моем можно почтовый адрес добавить в
> вайтлист

Да нет, дело не в этом, в мой тоже можно, только вот если поглядеть
логи, то желающих прописать в поле From: наш адрес очень много,
так что это не выход совсем.

-- 
Best Regars!
Igor Solovyov

Re: [Sysadmins] postfix help need

[Alexey Morsov]

[-- Attachment #1: Type: text/plain, Size: 1621 bytes --]

On Thu, Nov 22, 2007 at 10:03:21PM +0500, Igor Solovyov wrote:
> Hi!
> On Thu, 22 Nov 2007 12:36:12 +0300
> Alexey Morsov <samurai@ricom.ru> wrote:
> 
> > > Нужно пускать на smtp некоторых пользователей снаружи. 
> > > Причем, поскольку эти пользователи (руководство) частенько
> > > перемещаются чуть ли не по всему миру, то нет возможности
> > > определить откуда их "ждать", чтобы в спамеры не записать.
> > А не надо прям на HELO резать :)
> 
> И в каком месте HELO я их режу? Если самым первым стоит...
> smtpd_helo_restrictions =   permit_sasl_authenticated,
> ....
> 
> На самом деле похоже проблема была тут:
> 
> smtpd_client_restrictions = permit_mynetworks,
> check_client_access hash:/etc/postfix/client_access,
> check_client_access regexp:/etc/postfix/dul_checks,
> permit
А.. ну да. недоглядел. Ну да- sasl_auth первым пунктом везде во всех
рестрикшенах. Дальше него для авторизованных не пойдет проверять.

-- 

С уважением,
Алексей Морсов
программист ЗАО "ИК "Риком-Траст"

Jabber: samurai@www.fondmarket.ru
ICQ: 196766290
www.ricom.ru
www.fondmarket.ru

ALT Linux Team Member
email: swi@altlinux.ru
web: www.altlinux.ru, www.sisyphus.ru



[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 481 bytes --]