Problem mit DKIM-Signierung unter amavisd-new
Klaus Tachtler
klaus at tachtler.net
Mi Jun 8 06:21:01 CEST 2016
Hallo Thilo,
fehlt nicht in Deiner $policy_bank{'engelbracht_SUBMISSION'} der Eintrag:
inet_acl => [qw( 11.22.33.44/32 )],
Grüße
Klaus.
> Hallo zusammen,
>
> auf meinem Mailserver (postfix, dovecot, amavisd-new) werden eingehende
> E-Mails per smtpd_proxy_filter an amavisd-new übergeben. AMaViS lauscht
> auf Port 9820.
>
> Nun möchte ich amavisd-new auch dazu verwenden, dass ausgehende E-Mails
> mit DKIM signiert werden. Da die User ihre E-Mails auf den submission-
> Port einliefern müssen, habe ich mir überlegt, amavisd-new auf einem
> zusätzlichen Port lauschen zu lassen und mit Interface policies und
> policy_banks dies zu steuern.
>
> Meine master.cf habe ich entsprechend angepasst:
>
> [ ... ]
>
> smtp inet n - n - 1 postscreen
>
> smtpd pass - - n - - smtpd
> -o content_filter=
> # AMaViS lauscht auf Port 9820
> -o smtpd_proxy_filter=11.22.33.44:9820
>
> submission inet n - - - - smtpd
> -o cleanup_service_name=subcleanup
> -o smtpd_tls_security_level=encrypt
> -o smtpd_tls_received_header=yes
> -o smtpd_sasl_auth_enable=yes
> -o smtpd_client_restrictions=permit_sasl_authenticated,reject
> # AMaVis lauscht zusaetzlich auf Port 9880
> -o smtpd_proxy_filter=11.22.33.44:9880
> -o milter_macro_daemon_name=ORIGINATING
>
> subcleanup unix n - - - 0 cleanup
> -o header_checks=pcre:/etc/postfix-engelbracht.com/header-checks
>
>
> tlsproxy unix - - n - 0 tlsproxy
>
> dnsblog unix - - n - 0 dnsblog
>
> # AMaViS sendet die E-Mails auf diesen Port zurueck:
> 9821 inet n - - - - smtpd
> -o content_filter=
> -o smtpd_proxy_filter=
> -o smtpd_authorized_xforward_hosts=11.22.33.44/32
>
> # Die "submission" user senden die E-Mails auf diesen Port zurueck:
> 9881 inet n - - - - smtpd
> -o content_filter=
> -o smtpd_proxy_filter=
> #-o smtpd_authorized_xforward_hosts=11.22.33.44/32
>
> [ ... ]
>
>
> Die Konfiguration von amavisd-new:
>
> #Auf diesen IP-Adressen/Ports lauscht AMaViS:
> @listen_sockets = (
> '11.22.33.44:9820',
> '11.22.33.44:9880',
> );
>
>
> $interface_policy{'9820'} = 'engelbracht';
> $interface_policy{'9880'} = 'engelbracht_SUBMISSION';
>
>
> $policy_bank{'engelbracht'} = {
> inet_acl => [qw( 11.22.33.44/32 )],
> myhostname => 'mail.engelbracht.tld',
> localhost_name => 'mail.engelbracht.tld',
> X_HEADER_LINE => 'amavisd-new at mail.engelbracht.tld',
> local_domains_maps => '.engelbracht.tld',
> enable_dkim_verification => 1
> };
> $policy_bank{'engelbracht_SUBMISSION'} = {
> originating => 1,
> bypass_spam_checks_maps => [1],
> bypass_banned_checks_maps => [1],
> final_bad_header_destiny => D_PASS,
> terminate_dsn_on_notify_success => 0,
> warnbadhsender => 1,
> smtpd_discard_ehlo_keywords => ['8BITMIME'],
> enable_dkim_signing => 1
> };
>
> $signed_header_fields{'received'} = 0;
>
> dkim_key('engelbracht.tld', 'dkim', '/etc/amavis/engelbracht.tld.pem');
> @dkim_signature_options_bysender_maps = (
> { '.' =>
> {
> ttl => 21*24*3600,
> c => 'relaxed/simple'
> }
> }
> );
>
> # Alle E-Mails an den Host zuruecksenden, von dem sie
> # urspruenglich kam, auf Port +1
> $forward_method = 'smtp:*:*';
> $notify_method = 'smtp:*:*';
>
> @mynetworks => qw( 11.22.33.44/32 22.33.44.55/32 33.44.55.66/32 );
>
>
> Wenn ich nun eine Testmail versende, dann taucht in der Logdatei
> folgende Fehlermeldung auf:
>
> Jun 7 22:14:27 mail amavis[2576]: (!)DENIED ACCESS from IP
> 11.22.33.44, policy bank 'engelbracht_SUBMISSION'
>
> Die policy bank 'engelbracht_SUBMISSION' hat ja funktioniert, aber die
> E-Mail wird trotzdem nicht gesendet.
> In der E-Mail an den postmaster ist zu lesen:
>
>
> Out: 220 mail.engelbracht.tld ESMTP
> In: EHLO [192.168.0.41]
> Out: 250-mail.engelbracht.tld
> Out: 250-PIPELINING
> Out: 250-SIZE 51200000
> Out: 250-VRFY
> Out: 250-ETRN
> Out: 250-STARTTLS
> Out: 250-ENHANCEDSTATUSCODES
> Out: 250-8BITMIME
> Out: 250 DSN
> In: STARTTLS
> Out: 220 2.0.0 Ready to start TLS
> In: EHLO [192.168.0.41]
> Out: 250-mail.engelbracht.tld
> Out: 250-PIPELINING
> Out: 250-SIZE 51200000
> Out: 250-VRFY
> Out: 250-ETRN
> Out: 250-AUTH PLAIN
> Out: 250-AUTH=PLAIN
> Out: 250-ENHANCEDSTATUSCODES
> Out: 250-8BITMIME
> Out: 250 DSN
> In: AUTH PLAIN 47110815==
> Out: 235 2.7.0 Authentication successful
> In: MAIL FROM:<user at engelbracht.tld> BODY=8BITMIME
> Out: 250 2.1.0 Ok
> In: RCPT TO:<mustermann at web.de>
> Out: 451 4.3.0 Error: queue file write error.
> In: QUIT
> Out: 221 2.0.0 Bye
>
>
> Mir stellt sich jetzt die Frage:
> EINGEHENDE E-Mails werden ja problemlos an amavisd-new übergeben, auf
> Viren geprüft etc. Anschließend werden diese E-Mails ja wieder zurück
> an postfix übergeben.
> Muss man bei AUSGEHENDEN E-Mails eine andere Konfiguration verwenden?
>
> Vielen Dank im Voraus!
>
>
> Liebe Grüße
>
> Thilo
----- Ende der Nachricht von Thilo Engelbracht
<mailinglists at engelbracht.de> -----
--
------------------------------------------
e-Mail : klaus at tachtler.net
Homepage: http://www.tachtler.net
DokuWiki: http://www.dokuwiki.tachtler.net
------------------------------------------
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : nicht verfügbar
Dateityp : application/pgp-keys
Dateigröße : 3120 bytes
Beschreibung: Öffentlicher PGP-Schlüssel
URL : <https://listi.jpberlin.de/pipermail/postfixbuch-users/attachments/20160608/fba82205/attachment.skr>
Mehr Informationen über die Mailingliste Postfixbuch-users