[mdk-re] REJECT sender by ip {postfix}

[mdk-re] REJECT sender by ip {postfix}

[Carry Ram]

Почтовик под Postfix пытались прикрыть согласно этому howto:

*******************
 Subj : Запрещение приема почты с определенных email в postfix
---------------------------------------------------------------------
/etc/postfix/main.cf:
   smtpd_sender_restrictions = hash:/etc/postfix/access

/etc/postfix/access
    domain REJECT		 # Заблокировать всю почту с домена и поддоменов
    192.168.1.1 REJECT		 # Не принимать почту с IP (или подсети)

# postmap /etc/postfix/access
# postfix reload
******************

Так вот неполучилось, пишу IP злого сервака из моей сети, рассылающего разный
бред, проделываю все шаманские телодвижения. А сервак как принимал мыло от
него, так и принемает :(
Чего делать с ним? (С postfix :)

Re: [mdk-re] REJECT sender by ip {postfix}

[Sergey Vlasov]

On Tue, 06 Nov 2001 14:49:10 +1080000
"Carry Ram" <hexacon@mail.ru> wrote:

> Почтовик под Postfix пытались прикрыть согласно этому howto:
> 
> *******************
>  Subj : Запрещение приема почты с определенных email в postfix
> ---------------------------------------------------------------------
> /etc/postfix/main.cf:
>    smtpd_sender_restrictions = hash:/etc/postfix/access

Видимо, все-таки smtpd_client_restrictions; sender - это
ограничения на MAIL FROM.

Re: [mdk-re] REJECT sender by ip {postfix}

[Peter V. Saveliev]

Carry Ram wrote:

> Почтовик под Postfix пытались прикрыть согласно этому howto:
>
> *******************
>  Subj : Запрещение приема почты с определенных email в postfix
> ---------------------------------------------------------------------
> /etc/postfix/main.cf:
>    smtpd_sender_restrictions = hash:/etc/postfix/access
>
> /etc/postfix/access
>     domain REJECT                # Заблокировать всю почту с домена и поддоменов
>     192.168.1.1 REJECT           # Не принимать почту с IP (или подсети)
>
> # postmap /etc/postfix/access
> # postfix reload
> ******************
>
> Так вот неполучилось, пишу IP злого сервака из моей сети, рассылающего разный
> бред, проделываю все шаманские телодвижения. А сервак как принимал мыло от
> него, так и принемает :(
> Чего делать с ним? (С postfix :)

# ipchains -j DENY -A input -s <ip злого сервака>

Это - так, направление... А вообще - man ipchains и "как закрыть конкретный порт для
коннекта с конкретной машиной".

Петр.

Re[2]: [mdk-re] REJECT sender by ip {postfix}

[Carry Ram]

>> Почтовик под Postfix пытались прикрыть согласно этому howto:
>> 
>> *******************
>>  Subj : Запрещение приема почты с определенных email в postfix
>> ---------------------------------------------------------------------
>> /etc/postfix/main.cf:
>>    smtpd_sender_restrictions = hash:/etc/postfix/access
>
>Видимо, все-таки smtpd_client_restrictions; sender - это
>ограничения на MAIL FROM.

ДА %) действительно все заработало.
Только еще одна вещь вскрылась. Много юзеров намылились отправлять через наш
smtp почту не только своего мылобокса типа @наш_домен.ку, а и со своих левых
боксов типа @mail.ru, @yahoo.com.
Как им это безобразие прикрыть, чтоб через наш postfix-сервер ходила только
почта с нашего домена (и еще пары наших виртуальных доменов :)
Вот здесь, кажется, и нужно както проверять домен FROM отправителя?

Re: Re[2]: [mdk-re] REJECT sender by ip {postfix}

[Vsevolod Sipakov]

On Wed, 7 Nov 2001, Carry Ram wrote:

> ДА %) действительно все заработало.
> Только еще одна вещь вскрылась. Много юзеров намылились отправлять через наш
> smtp почту не только своего мылобокса типа @наш_домен.ку, а и со своих левых
> боксов типа @mail.ru, @yahoo.com.
> Как им это безобразие прикрыть, чтоб через наш postfix-сервер ходила только
> почта с нашего домена (и еще пары наших виртуальных доменов :)
> Вот здесь, кажется, и нужно както проверять домен FROM отправителя?

насколько я смог разобраться это делается через restriction_classes
то есть "своим" ip ставится определенный класс 
и потом от этого класса проверяется from
если @свой_домен.ru - разрешен relay, иначе сразу reject
даже если destination тоже свой домен

для всех же остальных клиентов проверяется
TO -> $mydestination

это довольно мутный топик.
чаще всего делают два сервера - внутренний и наружный

например как это сделано у меня (одним сервером:)

main.cf:
smtpd_recipient_restrictions = \
  check_client_access hash:/etc/postfix/clients, \
  check_sender_access hash:/etc/postfix/unwanted-senders, \
  check_recipient_access hash:/etc/postfix/unwanted-recipients, \
  permit_mynetworks, check_relay_domains
smtpd_restriction_classes = insiders
smtpd_sender_restrictions = \
  check_sender_access hash:/etc/postfix/unwanted-senders, permit
insiders = check_sender_access hash:/etc/postfix/mysenders, reject

/etc/postfix/clients:
# тут всякие спамерские IP
4.19.93.152     REJECT
205.158.62.24   REJECT
....
# тут наши restriction classes
192.168.1.134   OK
192.168.1       insiders

/etc/postfix/mysenders:
megalink.ru             OK
chita.rt.ru             OK

для IP .134 разрешены любые from
$mynetworks == 192.168.1.0/24

=======================


Vsevolod Sipakov

Re[4]: [mdk-re] REJECT sender by ip {postfix}

[Carry Ram]

>насколько я смог разобраться это делается через restriction_classes
>то есть "своим" ip ставится определенный класс 
>и потом от этого класса проверяется from
>если @свой_домен.ru - разрешен relay, иначе сразу reject
>даже если destination тоже свой домен
>
>для всех же остальных клиентов проверяется
>TO -> $mydestination
>
>main.cf:
>smtpd_recipient_restrictions = \
>  check_client_access hash:/etc/postfix/clients, \
>  check_sender_access hash:/etc/postfix/unwanted-senders, \
>  check_recipient_access hash:/etc/postfix/unwanted-recipients, \
>  permit_mynetworks, check_relay_domains

А что проверяется/отвергается этим блоком?^^^^^^^^^^^^^^^^^^

>smtpd_restriction_classes = insiders
>smtpd_sender_restrictions = \
>  check_sender_access hash:/etc/postfix/unwanted-senders, permit
>insiders = check_sender_access hash:/etc/postfix/mysenders, reject
>
>/etc/postfix/clients:
># тут всякие спамерские IP
>4.19.93.152     REJECT
>205.158.62.24   REJECT
>....

Ну с этим все более менее понятно, а где это прописывается:
VVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVVV

># тут наши restriction classes
>192.168.1.134   OK
>192.168.1       insiders

????????????????????????????????????