[Sysadmins] postfix and postmaster mail

[Sysadmins] postfix and postmaster mail

[Maxim Tyurin]

Hi!
Заметил грабли:
postfix не фильтрует почту на postmaster@ только если это
postmaster@$mydomain.

Если сервер обслуживает несколько доменов, описанных в mydestination и
relay_domains то почта на postmaster@, на эти домены прогоняется через
все фильтры. Получается нельзя использовать правила в цепочках до
smtpd_recipient_restrictions.

Это такой хитрый баг или я недокрутил что-то?

P.S. postfix 2.3.8
-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
   ___                                 
  / _ )__ _____  ___ ____ _______ _____
 / _  / // / _ \/ _ `/ _ `/ __/ // (_-<
/____/\_,_/_//_/\_, /\_,_/_/  \_,_/___/
               /___/  

Re: [Sysadmins] postfix and postmaster mail

[Anton Kvashin]

Maxim Tyurin пишет:
> Заметил грабли:
> postfix не фильтрует почту на postmaster@ только если это
> postmaster@$mydomain.
> 
> Если сервер обслуживает несколько доменов, описанных в mydestination и
> relay_domains то почта на postmaster@, на эти домены прогоняется через
> все фильтры. Получается нельзя использовать правила в цепочках до
> smtpd_recipient_restrictions.
> 
> Это такой хитрый баг или я недокрутил что-то?

Не использую постфикс, но адрес postmaster'а должен быть открыт для 
всех (RFC1123), чтобы на него могли сообщать о проблемах работы 
почтовой системы.

http://www.elantech.ru/docs/postfix-docs-ru/BASIC_CONFIGURATION_README.html#notify

-- 
Anton Kvashin

Re: [Sysadmins] postfix and postmaster mail

[Vladimir V. Kamarzin]

>>>>> On 07 Jun 2007 at 23:28 "MT" == Maxim Tyurin writes:

 MT> Заметил грабли:
 MT> postfix не фильтрует почту на postmaster@ только если это
 MT> postmaster@$mydomain.

Да, этот адрес исключается из всех рестрикшенов потому что
адрес из address_verify_sender (default: postmaster) должен быть всегда
достижим при случае встречной обратной проверки отправителя.

 MT> Если сервер обслуживает несколько доменов, описанных в mydestination и
 MT> relay_domains то почта на postmaster@, на эти домены прогоняется через
 MT> все фильтры. Получается нельзя использовать правила в цепочках до
 MT> smtpd_recipient_restrictions.

Можно, если внедрить в рестрикшены нечто вроде

smtpd_restriction_classes = pass_postmaster

pass_postmaster = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination, permit

smtpd_client_restrictions = ...
           reject_unauth_destination,
           check_recipient_access pcre:/etc/postfix/recipient_checks.pcre

/etc/postfix/recipient_checks.pcre:
/^postmaster\@/    pass_postmaster
/^abuse\@/ pass_postmaster

-- 
vvk

Russian Postfix irc: irc.freenode.net #postfix-ru

Re: [Sysadmins] postfix and postmaster mail

[Sergey]

On Friday 08 June 2007, Vladimir V. Kamarzin wrote:

> Да, этот адрес исключается из всех рестрикшенов потому что
> адрес из address_verify_sender (default: postmaster) должен быть всегда
> достижим при случае встречной обратной проверки отправителя.
 
Только вот делать её правильнее не с postmaster, а с <>

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] postfix and postmaster mail

[Vladimir V. Kamarzin]

>>>>> On 08 Jun 2007 at 10:29 "S" == Sergey  writes:

>> Да, этот адрес исключается из всех рестрикшенов потому что
>> адрес из address_verify_sender (default: postmaster) должен быть всегда
>> достижим при случае встречной обратной проверки отправителя.
 S> Только вот делать её правильнее не с postmaster, а с <>

А почему?

-- 
vvk

Russian Postfix irc: irc.freenode.net #postfix-ru

Re: [Sysadmins] postfix and postmaster mail

[Sergey]

On Friday 08 June 2007, Vladimir V. Kamarzin wrote:

>  S> Только вот делать её правильнее не с postmaster, а с <>
> 
> А почему?

Хотябы потому, что postmaster@ оговорён в RFC (хоть и в стадии
Standards Track), а <> в STD. Кроме того, в RFC2142, в общем-то,
не сказано, что он совсем необходим. Опять же, наличие или 
отсутствие postmaster никак не отражается на процессе доставики
почты, если не использовать специальных проверок. Напротив, <> 
обязателен к приёму ввиду того, что этот псевдоадрес должен 
используется в mail from smtp-серверами при генерации служебных 
сообщений отправителю. Запрещение mail from:<> приводит к проблемам 
в работе почтового сервера - пользователи теряют возможность получения 
уведомлений о проблемах с доставкой, особенно, если проблема 
диагностируется не на сервере, через который происходит отправка.

Стало быть, если сервер <> не принимает, с ним можно и не общаться - и
так кривой, хуже уже не будет.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] postfix and postmaster mail

[Maxim Tyurin]

Vladimir V. Kamarzin writes:

>>>>>> On 07 Jun 2007 at 23:28 "MT" == Maxim Tyurin writes:
>
>  MT> Заметил грабли:
>  MT> postfix не фильтрует почту на postmaster@ только если это
>  MT> postmaster@$mydomain.
>
> Да, этот адрес исключается из всех рестрикшенов потому что
> адрес из address_verify_sender (default: postmaster) должен быть всегда
> достижим при случае встречной обратной проверки отправителя.

Я знаю. Проблема как раз в том что не всегда исключается.

>  MT> Если сервер обслуживает несколько доменов, описанных в mydestination и
>  MT> relay_domains то почта на postmaster@, на эти домены прогоняется через
>  MT> все фильтры. Получается нельзя использовать правила в цепочках до
>  MT> smtpd_recipient_restrictions.
>
> Можно, если внедрить в рестрикшены нечто вроде
>
> smtpd_restriction_classes = pass_postmaster
>
> pass_postmaster = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination, permit
>
> smtpd_client_restrictions = ...
>            reject_unauth_destination,
>            check_recipient_access pcre:/etc/postfix/recipient_checks.pcre
>
> /etc/postfix/recipient_checks.pcre:
> /^postmaster\@/    pass_postmaster
> /^abuse\@/ pass_postmaster

Тогда я вообще ничего не понимаю :(
Насколько я знаю check_recipient_access можно использовать не раньше
smtpd_recipient_restrictions.

Когда работает smtpd_client_restrictions значение RCPT TO еще не
известно.

Если smtpd_delay_reject = no то до RCPT TO дело может и не дойти.

Или я ошибаюсь?
-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
   ___                                 
  / _ )__ _____  ___ ____ _______ _____
 / _  / // / _ \/ _ `/ _ `/ __/ // (_-<
/____/\_,_/_//_/\_, /\_,_/_/  \_,_/___/
               /___/  

Re: [Sysadmins] postfix and postmaster mail

[Vladimir V. Kamarzin]

>>>>> On 08 Jun 2007 at 12:53 "MT" == Maxim Tyurin writes:

 MT> Vladimir V. Kamarzin writes:
>>>>>>> On 07 Jun 2007 at 23:28 "MT" == Maxim Tyurin writes:
>>
>>  MT> Заметил грабли:
>>  MT> postfix не фильтрует почту на postmaster@ только если это
>>  MT> postmaster@$mydomain.
>>
>> Да, этот адрес исключается из всех рестрикшенов потому что
>> адрес из address_verify_sender (default: postmaster) должен быть всегда
>> достижим при случае встречной обратной проверки отправителя.

 MT> Я знаю. Проблема как раз в том что не всегда исключается.

Всегда исключается только `postconf address_verify_sender`.

>>  MT> Если сервер обслуживает несколько доменов, описанных в mydestination и
>>  MT> relay_domains то почта на postmaster@, на эти домены прогоняется через
>>  MT> все фильтры. Получается нельзя использовать правила в цепочках до
>>  MT> smtpd_recipient_restrictions.
>>
>> Можно, если внедрить в рестрикшены нечто вроде
>>
>> smtpd_restriction_classes = pass_postmaster
>>
>> pass_postmaster = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination, permit
>>
>> smtpd_client_restrictions = ...
>>            reject_unauth_destination,
>>            check_recipient_access pcre:/etc/postfix/recipient_checks.pcre
>>
>> /etc/postfix/recipient_checks.pcre:
>> /^postmaster\@/    pass_postmaster
>> /^abuse\@/ pass_postmaster

 MT> Тогда я вообще ничего не понимаю :(
 MT> Насколько я знаю check_recipient_access можно использовать не раньше
 MT> smtpd_recipient_restrictions.

Это не так.

 MT> Когда работает smtpd_client_restrictions значение RCPT TO еще не
 MT> известно.
 MT> Если smtpd_delay_reject = no то до RCPT TO дело может и не дойти.

Если включить smtpd_delay_reject = no, то действительно рестрикшены будут
проверяться в порядке следования и клиент получит reject по первому же
запрещающему правилу, т.е. именно так как вы описали, и предложенное мной
решение работать не будет. Но, если smtpd_delay_reject = yes, это всё работать
будет.

-- 
vvk

Russian Postfix irc: irc.freenode.net #postfix-ru

Re: [Sysadmins] postfix and postmaster mail

[Vladimir V. Kamarzin]

>>>>> On 07 Jun 2007 at 23:28 "MT" == Maxim Tyurin writes:

 MT> Заметил грабли:
 MT> postfix не фильтрует почту на postmaster@ только если это
 MT> postmaster@$mydomain.

По итогам обсуждения, вынес кое-что на freesource.info:

Роль postmaster-а. Допустимые ограничения 
http://www.freesource.info/wiki/Dokumentacija/Postfix/antispam/postmaster

Методика верификации отправителей в postfix, раздел address_verify_sender:
http://www.freesource.info/wiki/Dokumentacija/Postfix/antispam/verifysender?v=cud#h3970-2

-- 
vvk

Russian Postfix irc: irc.freenode.net #postfix-ru