[Postfixbuch-users] LDAP-Lookup und Ausfallsicherheit

[Thomas Stiefel]

Hallo zusammen,

wir haben folgende Ausgangssituation:
Wir betreiben 3 Postfix-Server als SMTP-Relays, die im Internet hängen
und schon mal einiges an SPAM vorfiltern. Die Mails werden dann an einen
Domino-Server DOM2 (ebenfalls in der DMZ) per SMTP weitergeleitet, auf
dem weitere Checks laufen. Wir haben allerdings in der letzten Zeit das
Problem, dass wir sehr viele Mails mit falschen Empfänger-Adressen
bekommen, die das Domino-System unnötig belasten.

Daher wollen wir per LDAP direkt eine Abfrage auf Benutzer im
Domino-Directory ausführen und alle Mails abweisen, die nicht an eine
gültige Adresse gehen. Ich habe auf dem DOM2 den LDAP-Server
konfiguriert und gestartet sowie auf unserem Testsystem mittels
relay_recipient_maps  ein LDAP-Lookup eingerichtet, das auch wie
gewünscht funktioniert.

Das Problem ist nun allerdings, dass wir während des Offline-Backups des
Domino-Servers temporäre Lookup-Fehler erhalten und die Mails dann
temporär abgelehnt werden:

451 <user at domain.de>: Temporary lookup failure

Da sich auf das Testsystem in der Regel nur ein paar wenige SPAM-Mails
verirren ist das nicht ganz so tragisch, aber auf den Produktiv-Servern
können wir das nicht gebrauchen. Daher bräuchten wir eine Lösung, damit
auch in der Zeit wo der DOM2 down ist die Mails weiterhin angenommen und
zugestellt werden. Nach einiger Recherche und reiflicher Überlegung bin
ich auf 2 mögliche Szenarien gekommen.

Variante A:
Ich könnte auf dem internen Domino-Server DOM1 im Intranet auch einen
LDAP-Server aktivieren und diesen als 2. Ziel für den Lookup
konfigurieren. Wobei sich hier die Frage stellt wie man das am besten
konfiguriert. Die einfachste wäre wohl ein DNS-Alias, der auf beide
Server zeigt und somit sollte Postfix dann hoffentlich automatisch auf
DOM1 zugreifen, wenn DOM2 down ist.

Variante B:
Ich habe in einer Mail von Sandy gelesen, dass man wohl auch per Script
das LDAP-Directory abfragen und das Ergebnis in eine Hash-DB schreiben
kann. Es müsste hier allerdings neben der Internet-Adresse auch das Feld
Kurzname aus dem Domino-Directory mit abgefragt werden.

Die LDAP-Query für Postfix lautet:  query_filter =
(|(mail=%s)(uid=%u)(uid=%s))

Die Variante B würde ich ganz klar bevorzugen, da ich hier nicht nur
keinen 2. LDAP-Server laufen lassen müsste und den Zugriff aus der DMZ
ins Intranet nicht erlauben müsste, sondern vor allem auch die Anzahl
der LDAP-Abfragen minimieren könnte - was den Domino-Server zusätzlich
entlasten würde.

Ich wäre für jeden vernünftigen Vorschlag sehr dankbar.

Gruß
Tom