Re: [Postfix] Rejet de nom de domaine "usurpé"

[Joël BERTRAND <joel.bertrand@systella.fr>]

Le 08/04/2014 12:03, Johnny B a écrit :
> Le 04/08/2014 07:56 AM, BERTRAND Joël a écrit :
> > Johnny B a écrit :
> > > Le 04/07/2014 10:40 PM, BERTRAND Joël a écrit :
> > > > Johnny B a écrit :
> > > > > RE Hello, (désolé pour le bug  de police thunderbird ;)
> > > > >
> > > > > Pour le forging il est inutile de passer par SPF ou Policyd2 par
> > > > > exemple. (ces tools sont très utiles mais pour d'autres choses)
> > > > >
> > > > > Il faut donc utiliser les options de restrictions Postfix comme :
> > > > >
> > > > >
> > > > > smtpd_sender_restrictions =
> > > > >
> > > > >    reject_authenticated_sender_login_mismatch
> > > > >    reject_invalid_helo_hostname
> > > > >
> > > > >
> > > > > La méthode de Joel BERTRAND pour aussi fonctionner mais ce n'est pas
> > > > > viable. Imagine toi blacklister 50 000 serveurs de spams ;)
> > > >
> > > >     Sauf que je ne blackliste rien. C'est au smtp distant d'avoir un
> > > > champ SPF valide. Je ne fais que vérifier lors du FROM (donc bien
> > > > avant la transaction concernant les données) que l'émetteur utilise
> > > > bien le bon SMTP.
> > > >
> > > >     Mon domaine, c'est systella.fr avec un champ SPF "v=spf1
> > > > +a:rayleigh.systella.fr -all". Si une adresse forgée vient chez moi
> > > > avec comme expéditeur un sous-domaine de systella.fr et que ce mail
> > > > n'est pas venu de rayleigh.systella.fr, mon sendmail le jette (même
> > > > sans bounce). Et ce mécanisme est automatique. Il n'y a pas 50000
> > > > serveurs de spam à blacklister.
> > >
> > > Merci pour les infos du SPF je connais ;)
> > >
> > > Pourquoi utiliser du SPF pour éviter le forging alors que Postfix le
> > > fait très bien et de façon native ? Je répondrai à ma propre question en
> > > disant que c'est un choix perso.
> > >
> > > SPF est très puissant mais n'est utile que si la grande majorité des
> > > domaines ont un enregistrement SPF, or ce n'est pas vraiment le cas.
> > > Meme si les majors des webmails ont encouragé l'utilisation du SPF ca ne
> > > deviendra sans doute jamais un standard. ( et je le déplore)
> > >
> > >
> > > >     Raffinement : j'utilise aussi les soft-failed pour greylister,
> > > > comme les blacklists traditionnelles. C'est très efficace.
> > > >
> > > > > Il est essentiel d'utiliser les restrictions Postfix avant les tools
> > > > > DKIM,SPF,Spamassassin,Amavis etc... Ces restrictions sont natives a
> > > > > Postfix et fonctionnent divinement bien, cela évite aussi de
> > > > > bouffer les
> > > > > ressources car ces forging ou spams sont rejetés avant d'être traités.
> > > > > Attention la gestion Postfix peu devenir un enfer ;)
> > > >
> > > >     Je pense surtout que tu n'as pas bien compris l'intérêt du SPF. Ce
> > > > n'est pas d'éviter les spams en provenance de domaines de spam, mais
> > > > justement d'éviter que des spammeurs forgent des adresses.
> > >
> > >
> > > J'ai largement utilisé ces tools y compris le greylisting ;) (je ne vois
> > > pas l'intérêt du greylisting mais c'est un avis perso)
> >
> >     Pourtant, entre le GREETINGS_DELAY, le greylisting, le scoring de
> > SA sur la longueur de la greylist, SA et clamav, je vire plus de 95%
> > des spams.
>
>
> On va pas troller mais de mon coté j'utilise les restrictions postfix +
> clamav + amavisd-new + spamassassin + dspam + policyd2
>
> Et je drop environ 99,9 % des spams, sachant que la plupart se font
> rejectés par Postfix en amont. On parle de forging de mail et plus en
> général de checks des en-têtes.

	Justement. Et la réponse est plus SPF que ce que tu indiquais plus haut 
qui ne résout absolument pas le problème de l'OP qui reçoit des mails de 
spam avec une adresse forgée à partir de son propre domaine et en 
provenance d'un SMTP tiers.

> > > Je préfère utiliser Postfix a "100%" plutot que de rajouter des couches
> > > de checks alors qu'il remplit très bien ce rôle   (c'est aussi un avis
> > > perso ;) )
> >
> >     Je ne vois pas en quoi la réponse au HELO serait invalide. Je ne
> > vois pas non plus en quoi l'émetteur devrait s'authentifier sur le
> > serveur local alors qu'il utilise un SMTP distant.
>
> Excuse moi mais j'ai pas tout saisi la , j'ai cité des exemples de
> checks c'est tout.

	Tu prétends pourtant que ce que j'avais indiqué ne fonctionnait pas.

> >     Il est vrai que je ne connais pas postfix, utilisant sendmail
> > depuis plus de vingt ans, mais ta technique me semble louche pour
> > résoudre le problème de l'OP.
>
> Ce n'est pas vraiment "ma technique" mais des recommandations connues.
> Je connais peu Sendmail, je suis passé très vite sur Postfix et Qmail,
> surement une question de génération ;)

	On est toujours le vieux khon de quelqu'un d'autre.

	Fin de la discussion pour ma part,

	JKB