Re: postfix open relay verhindern
schrieb Christian am 14.02.2011 19:34:
> Hallo allerseits,
>
> ich habe hier ein Problem mit meiner Postfix Kofiguration auf einem debian
> lenny server. Seit neuestem hat der Server eine eigene Domain. Seither habe
> ich das Gefühl, dass der Postfix auf diesem ein Open Relay darstellt.
>
> Ich hatte in meiner main.cf folgende Zeile stehen:
>> smtpd_recipient_restrictions =
>> permit_mynetworks,
>> reject_unauth_destination,
>> reject_invalid_hostname,
>> reject_non_fqdn_sender,
>> reject_unknown_sender_domain,
>> reject_non_fqdn_recipient,
>> reject_unknown_recipient_domain
> und
>> inet_interfaces = all
>> mynetworks = 127.0.0.0/8
>> relayhost =
> Nun habe ich in meinen logs festgestellt, dass einige zig Mails von anderen
> Mailservern abgelehnt wurden, weil sie aus dem dynamischen IP-Bereich kommen.
> Diese Mails habe ich nie abgeschickt und auch sonst niemand von dem internen
> Netz aus. Sie kommen offiziell von www-data@foo.bar.
>
> Ich vermute, dass jemand Mails an meinen Postfix schickt, die offiziell von
> www-data@foo.bar (foo.bar sei meine Domain) kommen und an irgendwelche
> Adressen gehen sollen. Oder gibt es da noch andere Möglichkeiten?
>
> Auf jeden Fall verstehe ich nicht, warum das reject_unauth_destination die
> Mail nicht aussortiert. In mynetworks ist die öffentliche IP nicht drinne,
> also kann's das schon mal nicht sein.
> Unter
> http://www.postfix.org/postconf.5.html#reject_unauth_destination
> steht, dass die Mail nicht angenommen werden sollte, da weder ein relay-host
> angedsprochen wurde, noch der lokale Postfix die endgültige Zieladresse ist.
>
> Also warum werden die Mails angenommen?
Wenn der Apache auf localhost läuft kann der immer versenden wenn du in
deiner main.cf sowas drin stehen hast:
mynetworks = 127.0.0.0/8, [::1]/128
und dann
permit_mynetworks
in der
smtpd_recipient_restrictions.
> Was kann ich dagegen tun?
Mal deine Serverkonfig posten. (postconf -n)
Du hast also noch einen Apachen laufen? Sind da Domains drauf?
Vielleicht ist da ja ein Kontaktformular was von einem Bot
zweckentfremdet wird, da es z.B. weder Blacklists noch Captchas nutzt.
Nebenbei:
Ob du Mailservertechnisch ein openrelay bist kannst du recht leicht zum
Beispiel unter:
http://www.abuse.net/relay.html
testen. (Glaube ich in deinem Fall jedoch gerade weniger)
[..]
Gute Nacht!
--
Michael
-
Bitte kein Cc an mich, ich lese die Liste.
http://sysda.net/
Reply to: