Re: [Comm] глюк_или_фича_в__postfix(_е_)_?

[Alexey Morsov <samurai@ricom.ru>]

Dmitry Lebkov wrote:
> On Sun, 13 Mar 2005 19:35:28 +0300
> Maksim E Lapin wrote:
> 
> 
>>Hello, Dmitry Lebkov 
>>Вс, 13.03.2005 19:41:25 you wrote:
>>
>>DL> Max Lapin wrote:
>>DL> > Dmitry Lebkov пишет:
>>DL> > 
>>DL> >> Max Lapin wrote:
>>DL> >>
>>DL> >>> Maksim E Lapin пишет:
>>DL> >>> всетаки кто нить ответит? эта фича сводит на нет всю антиспамовскую 
>>DL> >>> защиту...
>>DL> >>
>>DL> >> Что это за "защита", если она базируется на одной проверке HELO?
>>DL> > 
>>DL> > 
>>DL> > Ну естественно не только ...  я все "урезал" для большей понятности 
>>DL> > самой проблеммы, но неужели нету элементарной проверки на подлинность? в 
>>DL> > принципе достаточно проверить MX-ы для того домена который и сравнить с 
>>DL> > IP c которого устанавливается связь.
>>DL> 
>>DL> А посмотри на ситуацию немного шире: конфигурация, в которой один (или больше)
>>DL> серверов занимаются только отправкой по SMTP и один (или больше) - только
>>DL> приемом по SMTP. Конфигурация вполне реальная. Как ты в этом случае проверишь
>>DL> подлинность по MX-записи?
>>
>>Элементарно:
>>
>>IN  MX 10 mail1.domain.ru
>>IN  MX 20 mail2.domain.ru
>>эти принимать почту не обязанны
>>(у меня именно так только всего 2 один на прием другой для передачи) 
> 
> 
> Зачем SMTP-sender'у MX-запись на домен, для которого он только _отправляет_
> почту? В большинстве случаев, он даже и не слушает 25 порт.
> 
> 
> 
>>насколько я понимаю другие проверяют тоже так
>>IN  MX 30 mail3.domain.ru
>>IN  MX 40 mail4.domain.ru
>>
>>domain.ru   IN   TXT     "v=spf1 mx -all"
>>
>>mail1.domain.ru  IN A 1.2.3.4
>>mail2.domain.ru  IN A 1.2.3.5
>>mail3.domain.ru  IN A 1.2.3.6
>>.....
>>ну или для балансировки нагрузки
>>mail1.domain.ru  IN A 1.2.3.4
>>mail1.domain.ru  IN A 1.2.3.5
>>mail1.domain.ru  IN A 1.2.3.6
>>но это уже частности..
>>
>>Ну и PTR записи 
>>
>>1.2.3.4  IN PTR mail1.domain.ru
>>....
>>
>>помоему должен резолвится IP сравниватся с заявленным именем сервера
>>(для любителей - SPF хотя, помоему, он бесполезен) ну и далее есть ли
>>для этой тачки MX и правильная A ... для виртуальных доменов тоже
>>проблем не вижу.. ну еще RBL для проверки на открытый релей.
> 
> 
> Подозреваю, сэр желает странного. А именно, требует от reject_unknown_hostname
> поведения reject_unkonown_client. 
> 
> Вообще, лучше _все_ проверки делать в smtpd_recipient_restrictions. А еще
> лучше - внимательно "раскурить" www.postfix.org и соответствующие ссылки
> с него. ;)
Да да, согласен. Понапихать non_fqdn и unknow_host везде кроме helo - 
режет замечательно и при этом лишнего не отрубит (бо частенько бывают 
вполне себе нормальные почтовые корпоративные сервера, имеющие скажем 
запись dns только в прямой зоне но не имеющие в обратной. :)
И потом опять же dilup-ы всякие (т.е. я имею ввиду ваши же юзьверя к 
примеру) - у них нет dns и ip дипамический - так что вышеуказанные 
режекты в helo их отрубят сразу ^_^
Я бы все таки был осторожнее :)

-- 
Всего наилучшего,
Системный Администратор ЗАО "ИК "РИКОМ-ТРАСТ"
Алексей Морсов
ICQ: 196766290
Jabber: Samurai@jabber.pibhe.com
http://www.ricom.ru
http://www.fondmarket.ru