[Postfixbuch-users] Mail wird relayed ohne offenes Relay

[Dominik Storck]

Hallo Wolfgang,

mag ja sein, daß das Regelwerk noch verbesserungsfähig ist, aber
prinzipiell funktioniert es. Ist quasi als Summe diverser Idenn aus dem
Postfix-Buch und div. Online-Quellen entstanden. Wenn dem so wäre, wie
du vermutest, wäre die Maschine ein offenes Relay und ich hätte wohl
schon lange ein massives Problem. Das ist aber nicht der Fall.

Fakt ist: Mails von Maschinen, die in der access aufgeführt sind, werden
relayed, alle anderen bekommen ein
"Relaying denied". So soll's ja auch sein. Nebenbei: Die Checks mit der
Nixspam (ix.dnsbl.manitu.net) und ein Greylisting (eingehängt in den
smtp_recipient_restrictions) verhindern sehr wirksam Spam. Selten, daß
mal wirklich einer durchrutscht. Und keine große Gefahr von false
positives. Wirklich gute Erfahrungen hier damit.

Im großen und ganzen ein sehr stabiles System, auf dem täglich wirklich
reichlich Mails für viele Accounts durchgeschleust werden und das
normalerweise mit wenig Wartung absolut zufriedenstellend läuft.

Mein Problem ist nun wirklich der bislang nur einmal aufgetretene Fall
wie eingangs beschrieben, daß eine Mail
zu einem Relaying geführt hat, die definitv Spam war, die eingebauten
Tests erfolgreich passiert hat und - weil an
einen lokalen Account gerichtet - angenommen wurde. Irgendwie war wohl
der Mail-Header so präpariert, daß die
Mail dann weiteren 4 externen Empfängern zugestellt wurde, von denen
einer eine abuse-Meldung wg. Spam
an mich gerichtet hat. Leider habe ich die originale Nachricht nicht zu
Gesicht bekommen, so daß ich nur mutmaßen
kann, daß es da wohl eine Lücke gibt. Hatte die Hoffnung, daß es evtl.
Leidensgenossen gibt, die einen ähnlichen Fall
hatten. Wäre doch der Hammer, wenn man so relativ simpel ansonsten
saubere Maschinen mißbrauchen könnte

Nochmal: die ganzen Regelwerke verrichten ihre Arbeit soweit
erfolgreich, die Maschine ist kein sperrangelweit offenes Relay, in der
/etc/postfix/access gibt und gab es keinen Eintrag, der dem Spammer das
Relaying erlaubt hätte
und deshalb frage ich mich, wie er das hinbekommen hat bzw. wie ich das
zu Testzwecken nachstellen kann, um den Ablauf verfolgen zu können.

Grüße + Danke für's mit draufrumdenken ;-)
Dominik




Am 20.07.2011 09:46, schrieb wolfgang:
> On 2011-07-19 09:15, Dominik Storck wrote:
>
>> smtpd_helo_restrictions = permit_mynetworks,
>>         check_sender_access hash:/etc/postfix/access,
>>         check_client_access hash:/etc/postfix/access,
>>         reject_rbl_client ix.dnsbl.manitu.net,
>>         permit
> Das bedeutet m.E.:
>
> Wenn in /etc/postfix/access keine Regel steht, die den sender_ oder 
> client_access _verbietet_ und wenn der Client nicht in 
> ix.dnsbl.manitu.net ist, wird die Mail angenommen: permit
>
> Zur Verdeutlichung: Du schriebst nur, dass in access keine Regel ist, 
> die den Zugang erlaubt. Aber steht dort eine, die ihn verbietet?
>
> Hope this helps.
>
> wolfgang