Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > de.comm.software.mailserver > #7199 > unrolled thread

postfix: Mail reinlassen trotz falschem HELO?

Back to article view | Back to de.comm.software.mailserver

Contents

  postfix: Mail reinlassen trotz falschem HELO? Ulli Horlacher <framstag@rus.uni-stuttgart.de> - 2025-05-17 19:08 +0000
    Re: postfix: Mail reinlassen trotz falschem HELO? Friedemann Stoyan <usenet@ip6-mail.de> - 2025-05-18 03:56 +0200
      Re: postfix: Mail reinlassen trotz falschem HELO? Ulli Horlacher <framstag@rus.uni-stuttgart.de> - 2025-05-19 21:28 +0000
    Re: postfix: Mail reinlassen trotz falschem HELO? Tim Ritberg <tim@server.invalid> - 2025-05-18 10:52 +0200
    Re: postfix: Mail reinlassen trotz falschem HELO? Arno Welzel <usenet@arnowelzel.de> - 2025-05-18 14:01 +0200
    Re: postfix: Mail reinlassen trotz falschem HELO? Markus Schaaf <mschaaf@elaboris.de> - 2025-05-19 16:58 +0200

#7199 — postfix: Mail reinlassen trotz falschem HELO?

Es gibt einen bloeden Mailserver, der ein kaputtes HELO verwendet:

2025-05-17 10:45:38 postfix/smtpd[7188]: NOQUEUE: reject: RCPT from mtmx02.victorvox-ag.de[193.227.194.209]: 450 4.7.1 <FRA2C-RGVMX02.victorvox-ag.de>: Helo command rejected: Host not found; from=<no-reply@yourfone.de> to=<XXX> proto=ESMTP helo=<FRA2C-RGVMX02.victorvox-ag.de>

Leider sind dessen Mail wichtig und ich will sie trotzdem reinlassen.
Ich hab deshalb konfiguriert:

/etc/postfix# grep victorvox access_ok*
access_ok:victorvox-ag.de                       OK
grep: access_ok.db: binary file matches

/etc/postfix# grep access_ok main.cf
smtpd_client_restrictions = check_client_access hash:/etc/postfix/access_ok
smtpd_sender_restrictions = check_sender_access hash:/etc/postfix/access_ok


Das greift aber nicht, Mails werden weiterhin abgewiesen:

2025-05-17 20:05:39 postfix/smtpd[31994]: NOQUEUE: reject: RCPT from mtmx02.victorvox-ag.de[193.227.194.209]: 450 4.7.1 <FRA2C-RGVMX02.victorvox-ag.de>: Helo command rejected: Host not found; from=<no-reply@yourfone.de> to=<XXX> proto=ESMTP helo=<FRA2C-RGVMX02.victorvox-ag.de>



-- 
Ullrich Horlacher              Server und Virtualisierung
Rechenzentrum TIK
Universitaet Stuttgart         E-Mail: horlacher@tik.uni-stuttgart.de
Allmandring 30a                Tel:    ++49-711-68565868
70569 Stuttgart (Germany)      WWW:    https://www.tik.uni-stuttgart.de/

[toc] | [next] | [standalone]

#7200

Ulli Horlacher wrote:

> /etc/postfix# grep victorvox access_ok*
> access_ok:victorvox-ag.de                       OK
> grep: access_ok.db: binary file matches

> /etc/postfix# grep access_ok main.cf
> smtpd_client_restrictions = check_client_access hash:/etc/postfix/access_ok
> smtpd_sender_restrictions = check_sender_access hash:/etc/postfix/access_ok


> Das greift aber nicht, Mails werden weiterhin abgewiesen:

Ich glaube, Du suchst check_helo_access. Ich würde da auch nicht mit "OK"
arbeiten, sondern mit "DUNNO".

mfg Friedemann

[toc] | [prev] | [next] | [standalone]

#7204

Friedemann Stoyan <usenet@ip6-mail.de> wrote:
> Ulli Horlacher wrote:
> 
>> /etc/postfix# grep victorvox access_ok*
>> access_ok:victorvox-ag.de                       OK
>> grep: access_ok.db: binary file matches
> 
>> /etc/postfix# grep access_ok main.cf
>> smtpd_client_restrictions = check_client_access hash:/etc/postfix/access_ok
>> smtpd_sender_restrictions = check_sender_access hash:/etc/postfix/access_ok
> 
> 
>> Das greift aber nicht, Mails werden weiterhin abgewiesen:
> 
> Ich glaube, Du suchst check_helo_access.

Danke, das wars. Damit klappts.


-- 
Ullrich Horlacher              Server und Virtualisierung
Rechenzentrum TIK
Universitaet Stuttgart         E-Mail: horlacher@tik.uni-stuttgart.de
Allmandring 30a                Tel:    ++49-711-68565868
70569 Stuttgart (Germany)      WWW:    https://www.tik.uni-stuttgart.de/

[toc] | [prev] | [next] | [standalone]

#7201

Am 17.05.25 um 21:08 schrieb Ulli Horlacher:
> 
> Das greift aber nicht, Mails werden weiterhin abgewiesen:
> 
> 2025-05-17 20:05:39 postfix/smtpd[31994]: NOQUEUE: reject: RCPT from mtmx02.victorvox-ag.de[193.227.194.209]: 450 4.7.1 <FRA2C-RGVMX02.victorvox-ag.de>: Helo command rejected: Host not found; from=<no-reply@yourfone.de> to=<XXX> proto=ESMTP helo=<FRA2C-RGVMX02.victorvox-ag.de>
> 
Abseits der anderen Antworten, ist das ein Relay? Dann wird das Result 
gecachet.

Den kann man abfragen: postmap -q foo@bar.de 
hash:/var/lib/postfix/verify.db oder so

Tim

[toc] | [prev] | [next] | [standalone]

#7202

Ulli Horlacher, 2025-05-17 21:08:

> Es gibt einen bloeden Mailserver, der ein kaputtes HELO verwendet:
> 
> 2025-05-17 10:45:38 postfix/smtpd[7188]: NOQUEUE: reject: RCPT from mtmx02.victorvox-ag.de[193.227.194.209]: 450 4.7.1 <FRA2C-RGVMX02.victorvox-ag.de>: Helo command rejected: Host not found; from=<no-reply@yourfone.de> to=<XXX> proto=ESMTP helo=<FRA2C-RGVMX02.victorvox-ag.de>
> 
> Leider sind dessen Mail wichtig und ich will sie trotzdem reinlassen.
> Ich hab deshalb konfiguriert:
> 
> /etc/postfix# grep victorvox access_ok*
> access_ok:victorvox-ag.de                       OK
> grep: access_ok.db: binary file matches
> 
> /etc/postfix# grep access_ok main.cf
> smtpd_client_restrictions = check_client_access hash:/etc/postfix/access_ok
> smtpd_sender_restrictions = check_sender_access hash:/etc/postfix/access_ok

Und wieso "victorvox-ag.de" und nicht "fra2c-rgvmx02.victorvox-ag.de"?

> Das greift aber nicht, Mails werden weiterhin abgewiesen:
> 
> 2025-05-17 20:05:39 postfix/smtpd[31994]: NOQUEUE: reject: RCPT from mtmx02.victorvox-ag.de[193.227.194.209]: 450 4.7.1 <FRA2C-RGVMX02.victorvox-ag.de>: Helo command rejected: Host not found; from=<no-reply@yourfone.de> to=<XXX> proto=ESMTP helo=<FRA2C-RGVMX02.victorvox-ag.de>

Möglicherweise, weil das Ding sich mit "fra2c-rgvmx02.victorvox-ag.de"
meldet und "victorvox-ag.de" dafür nicht passt.

Zumindest in helo_access würde postfix einen regulären Ausdruck erwarten
und nicht nur einen Domain-Namen.

Ansonsten wäre es auch sinnvoll, den Betreiber des Servers bei
victorvox-ag.de zu informieren, dass ihr entweder ihr Server nicht
korrekt konfiguriert ist oder ein DNS-Eintrag für den Namen in der
HELO-Anfrage fehlt.


-- 
Arno Welzel
https://arnowelzel.de

[toc] | [prev] | [next] | [standalone]

#7203

Am 17.05.25 um 21:08 schrieb Ulli Horlacher:
> Es gibt einen bloeden Mailserver, der ein kaputtes HELO verwendet:
> 
> 2025-05-17 10:45:38 postfix/smtpd[7188]: NOQUEUE: reject: RCPT from mtmx02.victorvox-ag.de[193.227.194.209]: 450 4.7.1 <FRA2C-RGVMX02.victorvox-ag.de>: Helo command rejected: Host not found; from=<no-reply@yourfone.de> to=<XXX> proto=ESMTP helo=<FRA2C-RGVMX02.victorvox-ag.de>
> 
> Leider sind dessen Mail wichtig und ich will sie trotzdem reinlassen.
> Ich hab deshalb konfiguriert:
> 
> /etc/postfix# grep victorvox access_ok*
> access_ok:victorvox-ag.de                       OK
> grep: access_ok.db: binary file matches
> 
> /etc/postfix# grep access_ok main.cf
> smtpd_client_restrictions = check_client_access hash:/etc/postfix/access_ok
> smtpd_sender_restrictions = check_sender_access hash:/etc/postfix/access_ok
> 
> 
> Das greift aber nicht, Mails werden weiterhin abgewiesen:
> 
> 2025-05-17 20:05:39 postfix/smtpd[31994]: NOQUEUE: reject: RCPT from mtmx02.victorvox-ag.de[193.227.194.209]: 450 4.7.1 <FRA2C-RGVMX02.victorvox-ag.de>: Helo command rejected: Host not found; from=<no-reply@yourfone.de> to=<XXX> proto=ESMTP helo=<FRA2C-RGVMX02.victorvox-ag.de>

Die Access-Regeln von Postfix sind oft verwirrend, wenn man das 
Gesamtbild nicht genau kennt. Je nach Version sind die Defaults 
unterschiedlich und dann gibt es noch Switches für die 
Kompatibilität zu älteren Versionen. Passend zu den verschiedenen 
Stadien des SMTP-Dialogs gibt es smtpd_*_restrictions, die 
jeweils unabhängig voneinander getestet werden. Ein OK von 
smtpd_client_restrictions hebt kein reject von 
smtpd_recipient_restrictions auf. Das ist deshalb wichtig zu 
wissen, weil man alle früheren Tests auch in späteren 
Restrictions durchführen/wiederholen kann.

https://www.postfix.org/SMTPD_ACCESS_README.html

Was bei Deinen (zu unvollständigen) Config-Snippets oben 
auffällt, ist dass das Reject kanonisch zu 
smtpd_helo_restrictions gehört, wo sowas wie 
reject_unknown_helo_hostname diesen Log-Eintrag hervorrufen 
sollte. Natürlich könnte reject_unknown_helo_hostname auch in 
allen späteren Regellisten (hier jedoch nur 
smtpd_{sender,recipient}_restrictions, wegen NOQUEUE) auftauchen, 
und müsste in jeder Regelliste, in der es auftaucht, durch ein 
check_*_access entschärft werden.

Außerdem musst Du genau schauen, was da eigentlich gesucht wird. 
check_client_acess sucht IP-Adresse oder Reverse-Hostname des 
Clients, check_sender_access das SMTP-From. Um alle Hostnamen 
einer Domain zu erlauben, wäre die Syntax:

.domain.tld  OK

Darauf hat zwar auch der Kompatibilitätsschalter 
parent_domain_matches_subdomains Einfluss, die explizite Syntax 
funktioniert aber immer. Ich würde jedoch für Whitelists besser 
IP-Adressen nehmen, denn Reverse-DNS kann jeder selbst setzen.

MfG

[toc] | [prev] | [standalone]

Back to top | Article view | de.comm.software.mailserver

csiph-web