Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > de.comm.software.mailserver > #6037 > unrolled thread

Postfix: unbekannter Absender (bounce)

Back to article view | Back to de.comm.software.mailserver

Contents

  Postfix: unbekannter Absender (bounce) Torsten Berger <toberger@t-online.de> - 2018-12-30 16:01 +0100
    Re: Postfix: unbekannter Absender (bounce) Tim Ritberg <tim@server.invalid> - 2018-12-30 18:33 +0100
      Re: Postfix: unbekannter Absender (bounce) Torsten Berger <toberger@t-online.de> - 2018-12-30 19:04 +0100
    Re: Postfix: unbekannter Absender (bounce) Arno Welzel <usenet@arnowelzel.de> - 2018-12-30 21:58 +0100
      Re: Postfix: unbekannter Absender (bounce) Torsten Berger <toberger@t-online.de> - 2018-12-31 03:43 +0100
        Re: Postfix: unbekannter Absender (bounce) Tim Ritberg <tim@server.invalid> - 2018-12-31 11:51 +0100
          Re: Postfix: unbekannter Absender (bounce) Torsten Berger <toberger@t-online.de> - 2018-12-31 12:34 +0100
            Re: Postfix: unbekannter Absender (bounce) Tim Ritberg <tim@server.invalid> - 2018-12-31 13:27 +0100
              Re: Postfix: unbekannter Absender (bounce) Torsten Berger <toberger@t-online.de> - 2018-12-31 17:05 +0100
                Re: Postfix: unbekannter Absender (bounce) Tim Ritberg <tim@server.invalid> - 2018-12-31 18:36 +0100
        Re: Postfix: unbekannter Absender (bounce) Arno Welzel <usenet@arnowelzel.de> - 2019-01-01 22:54 +0100
          Re: Postfix: unbekannter Absender (bounce) Torsten Berger <toberger@t-online.de> - 2019-01-06 00:17 +0100
            Re: Postfix: unbekannter Absender (bounce) Arno Welzel <usenet@arnowelzel.de> - 2019-01-06 12:32 +0100
              Re: Postfix: unbekannter Absender (bounce) Torsten Berger <toberger@t-online.de> - 2019-01-06 21:44 +0100
                Re: Postfix: unbekannter Absender (bounce) Arno Welzel <usenet@arnowelzel.de> - 2019-01-07 00:57 +0100
                  Re: Postfix: unbekannter Absender (bounce) Tim Ritberg <tim@server.invalid> - 2019-01-07 16:48 +0100
                  Re: Postfix: unbekannter Absender (bounce) Torsten Berger <toberger@t-online.de> - 2019-01-07 20:37 +0100
                    Re: Postfix: unbekannter Absender (bounce) Juergen Ilse <news@usenet-verwaltung.de> - 2019-01-12 20:09 +0000

#6037 — Postfix: unbekannter Absender (bounce)

Hi,


habe hier ein kleines Problem mit Postfix 2.11.3 unter Debian 8.11.

Der kleine Server steht hier lokal für interne Mails. Die Benutzer sind
reale und keine virtuellen Benutzer.

Geht eine Mail von einem Benutzer raus, dann wird diese über
smtp_generic_maps umgeschrieben.

Also:
userA@intern         extuserA@ispA.com
userB@intern         extuserB@ispB.com

dazu sind auch die Parameter sender_dependent_relayhost_maps

userA@intern         mail.ispA.com:587
userB@intern         mail.ispB.com:587
@ispA.com            mail.ispA.com:587
@ispB.com            mail.ispB.com:587

und smtp_sasl_password_maps entsprechen angepasst.

Soweit funktioniert auch alles super.

wie kann ich es aber erreichen, dass Mails die von einer "unbekannten"
Domain (z.B. @ispC.com oder Schreibfehler bei der Absenderadresse im MUA
oder neu angelegter Benutzer ...) kommen direkt an den localen Benutzer,
der die Mail verfasst hat, "gebounct" wird.

Möglicherweise ist das auch nicht die beste Lösung für mein Problem.

Habe leider dazu nichts wirklich was brauchbares gefunden (oder die
falschen Suchbegriffe verwendet) und hoffe, dass Ihr mir einen Schubs in
die richtige Richtung geben könnt.


Vielen Dank im Voraus.

Bye Torsten.

[toc] | [next] | [standalone]

#6038

Am 30.12.18 um 16:01 schrieb Torsten Berger:
> 
> wie kann ich es aber erreichen, dass Mails die von einer "unbekannten"
> Domain (z.B. @ispC.com oder Schreibfehler bei der Absenderadresse im MUA
> oder neu angelegter Benutzer ...) kommen direkt an den localen Benutzer,
> der die Mail verfasst hat, "gebounct" wird.
> 

Postfix interessieren die Header deines MUA nicht.

Tim

[toc] | [prev] | [next] | [standalone]

#6039

Am 30.12.18 um 18:33 schrieb Tim Ritberg:
> Postfix interessieren die Header deines MUA nicht.

Wieso gibt es denn dann rewrite Tables und wieso funktioniert das
Umschreiben bei Domains die in der sender_dependent_relayhost_maps
angegeben sind? Auch wenn die in meinem Fall Thunderbirds (MUA) sind.

Wohin werden Mails gesendet, deren Absenderdomain nicht in der
sender_dependent_relayhost_map angegeben sind? Und warum bleiben diese
dann wohl in der Queue liegen und warum wird versucht, diese über Port
25 an die Empfängerdomain auszuliefern? Über Port 25 sollen keine Mail
in die freie Wildbahn.

Warum beantwortest Du meine Frage nicht, sondern wirfst mir einem
Brocken vor, der mir nicht weiterhilft?
Ist vielleicht in meiner Fragestellung etwas unklar, was ich noch
nachreichen sollte?

Ist eine nachvollziehbare Antwort wirklich zu viel verlangt?

Torsten.

[toc] | [prev] | [next] | [standalone]

#6040

Torsten Berger:

[...]
> wie kann ich es aber erreichen, dass Mails die von einer "unbekannten"
> Domain (z.B. @ispC.com oder Schreibfehler bei der Absenderadresse im MUA
> oder neu angelegter Benutzer ...) kommen direkt an den localen Benutzer,
> der die Mail verfasst hat, "gebounct" wird.

Was meinst Du genau?

Der Benutzer versucht z.B. mit "beispiel@ispC.com" als Absender eine
Mail mit seinem MUA an Postfix zu übergeben. Und dann soll postfix die
Annahme der Mail verweigern?

Ein "bounce" wäre das aktive Zurücksenden der Mail an die Adresse im
Envelope-From - damit wäre ich höchst zurückhaltend. In der Praxis macht
sowas mehr Probleme, als es nützt. Und woher soll Postfix dann die
korrekte Adresse kennen wenn im Envelope-From eine unbekannte Domain
drinsteht?



-- 
Arno Welzel
https://arnowelzel.de

[toc] | [prev] | [next] | [standalone]

#6041

Hallo Arno,

Am 30.12.18 um 21:58 schrieb Arno Welzel:
>> oder neu angelegter Benutzer ...) kommen direkt an den localen Benutzer,
>> der die Mail verfasst hat, "gebounct" wird.
> 
> Was meinst Du genau?
> 
> Der Benutzer versucht z.B. mit "beispiel@ispC.com" als Absender eine
> Mail mit seinem MUA an Postfix zu übergeben. Und dann soll postfix die
> Annahme der Mail verweigern?
Ja, richtig. Genau das. Es ginge natürlich auch eine Mail an postmaster.
Sie soll aber nicht als MAILER-DAEMON Mail im Spool-Verzeichnis liegen
bleiben. Verweigern wäre eigentlich der richtige Ansatz.
Das Problem ist ja, dass durch die sender_depent_relayhost_maps bei
falscher Absenderadresse die Mail nicht mehr sinnvoll zugestellt werden
 kann.

> Ein "bounce" wäre das aktive Zurücksenden der Mail an die Adresse im
> Envelope-From - damit wäre ich höchst zurückhaltend. In der Praxis macht
> sowas mehr Probleme, als es nützt. Und woher soll Postfix dann die
> korrekte Adresse kennen wenn im Envelope-From eine unbekannte Domain
> drinsteht?
ÄÄhhmm, natürlich! Du hast Recht! So geht es natürlich nicht. Sorry!

In der Zwischenzeit habe ich den Versuch über
smtpd_sasl_auth_enable = yes
unternommen, die Mail nur anzunehmen, wenn der Benutzer sich
authentifiziert hat. Momentan noch über "shadow". Also die Anmeldedaten
aus der /etc/shadow. Bisher klappt das auch, leider eben auch noch ohne
Authentifizierung. :-( Keine Ahnung was da noch fehlt.

Mein Gedanke bei der Sache ist, die Authentifizierung nicht über lokalen
Benutzernamen sondern über eine Datenbank vorzunehmen, in der die
Absender-Adresse und das zugehörige Passwort gespeichert sind. Wird also
nicht die richtige Absenderadresse verwendet, schlägt die
Authentifizierung fehl.

Nur ein Versuch, bei dem ich noch nicht einmal weiß, ob das abbildbar
ist. Denn im MUA wird ja ein Benutzername abgefragt. Ist der korrekt,
habe ich das Problem ja trotzdem. :-(

Über einen praktikablen Ansatz würde ich mich sehr freuen.

Bye Torsten

[toc] | [prev] | [next] | [standalone]

#6043

Am 31.12.18 um 03:43 schrieb Torsten Berger:
> In der Zwischenzeit habe ich den Versuch über
> smtpd_sasl_auth_enable = yes
> unternommen, die Mail nur anzunehmen, wenn der Benutzer sich
> authentifiziert hat. Momentan noch über "shadow". Also die Anmeldedaten
> aus der /etc/shadow. Bisher klappt das auch, leider eben auch noch ohne
> Authentifizierung. :-( Keine Ahnung was da noch fehlt.
> 

Mir kommt das so vor, als hättest du die nie richtig mit Postfix
auseinander gesetzt.

Daher: http://www.postfix.org/documentation.html

Tim

[toc] | [prev] | [next] | [standalone]

#6044

Am 31.12.18 um 11:51 schrieb Tim Ritberg:

> Mir kommt das so vor, als hättest du die nie richtig mit Postfix
> auseinander gesetzt.

Würde ich hier fragen, wenn ich schon alles wüsste?
Wie wäre es mal zur Abwechslung mit einem konstruktiven Beitrag?

> Daher: http://www.postfix.org/documentation.html
Sehr witzig bei 928 Parametern!

Bye

[toc] | [prev] | [next] | [standalone]

#6045

Am 31.12.18 um 12:34 schrieb Torsten Berger:
> Würde ich hier fragen, wenn ich schon alles wüsste?
ja, um sich mal andere Ansichten zu holen!

> Wie wäre es mal zur Abwechslung mit einem konstruktiven Beitrag?
RTFM! Konstruktiver geht's nicht. Du hast nicht mal ein minimales Setup
am Laufen, das Netz ist voll davon mit Howtos.

>> Daher: http://www.postfix.org/documentation.html
> Sehr witzig bei 928 Parametern!
Wieso sollen wir DEINE Arbeit machen?
Welchen Teil von BASIC_CONFIGURATION_README hast du nicht verstanden?

Tim

[toc] | [prev] | [next] | [standalone]

#6046

Am 31.12.18 um 13:27 schrieb Tim Ritberg:

> Wieso sollen wir DEINE Arbeit machen?
> Welchen Teil von BASIC_CONFIGURATION_README hast du nicht verstanden?

Welchen Teil von

"smtp_sasl_password_maps entsprechen angepasst."
und
"Soweit funktioniert auch alles super."

hast Du nicht verstanden.

Gib Dir keine Mühe mehr. Du hast es in meine Bestenliste geschafft.
Kein Wunder, dass im Usenet keiner mehr schreibt.

Bye

[toc] | [prev] | [next] | [standalone]

#6047

Am 31.12.18 um 17:05 schrieb Torsten Berger:
> 
> Gib Dir keine Mühe mehr. Du hast es in meine Bestenliste geschafft.
> Kein Wunder, dass im Usenet keiner mehr schreibt.
> 

Yay, ich freu mich so!
Vergiss nicht beim Rausgehen deine Merkbefreiung mitzunehmen...

Tim

[toc] | [prev] | [next] | [standalone]

#6048

Torsten Berger:

[...]
> Mein Gedanke bei der Sache ist, die Authentifizierung nicht über lokalen
> Benutzernamen sondern über eine Datenbank vorzunehmen, in der die
> Absender-Adresse und das zugehörige Passwort gespeichert sind. Wird also
> nicht die richtige Absenderadresse verwendet, schlägt die
> Authentifizierung fehl.

Dazu passt am ehesten smtpd_sender_login_maps.

Siehe auch <http://www.postfix.org/postconf.5.html>

> Nur ein Versuch, bei dem ich noch nicht einmal weiß, ob das abbildbar
> ist. Denn im MUA wird ja ein Benutzername abgefragt. Ist der korrekt,
> habe ich das Problem ja trotzdem. :-(

Evtl. hilft smtpd_sender_restrictions mit
reject_known_sender_login_mismatch.



-- 
Arno Welzel
https://arnowelzel.de

[toc] | [prev] | [next] | [standalone]

#6049

Hallo Arno,

Am 01.01.19 um 22:54 schrieb Arno Welzel:
> Torsten Berger:
> 
> [...]
>> Mein Gedanke bei der Sache ist, die Authentifizierung nicht über lokalen
>> Benutzernamen sondern über eine Datenbank vorzunehmen, in der die
>> Absender-Adresse und das zugehörige Passwort gespeichert sind. Wird also
>> nicht die richtige Absenderadresse verwendet, schlägt die
>> Authentifizierung fehl.
> 
> Dazu passt am ehesten smtpd_sender_login_maps.
> 
> Siehe auch <http://www.postfix.org/postconf.5.html>
> 
>> Nur ein Versuch, bei dem ich noch nicht einmal weiß, ob das abbildbar
>> ist. Denn im MUA wird ja ein Benutzername abgefragt. Ist der korrekt,
>> habe ich das Problem ja trotzdem. :-(
> 
> Evtl. hilft smtpd_sender_restrictions mit
> reject_known_sender_login_mismatch.
> 

Sorry, dass ich erst so spät geantwortet habe. Morgen werde ich mir mal
die Optionen ansehen. Mit smtpd_sender_restrictions dachte ich schon,
dass ich die Lösung hätte.
Allerdings bin ich dann auf das Gesicht gefallen, weil mit
check_sender_access natürlich auch Mails von externen Sendern geblockt
werden, die nicht in der Liste stehen. :-(
Das sah dann so aus:

unknown_address_reject_code = 554
smtpd_sender_restrictions =
    reject_unknown_sender_domain
    reject_unlisted_sender
    check_sender_access hash:/etc/postfix/sender_permit
    reject

So geht es leider nicht.

Vielen Dank für Deine Mühe!

Bis denne...

Bye Torsten

[toc] | [prev] | [next] | [standalone]

#6050

Torsten Berger:

> Hallo Arno,
> 
> Am 01.01.19 um 22:54 schrieb Arno Welzel:
>> Torsten Berger:
>>
>> [...]
>>> Mein Gedanke bei der Sache ist, die Authentifizierung nicht über lokalen
>>> Benutzernamen sondern über eine Datenbank vorzunehmen, in der die
>>> Absender-Adresse und das zugehörige Passwort gespeichert sind. Wird also
>>> nicht die richtige Absenderadresse verwendet, schlägt die
>>> Authentifizierung fehl.
>>
>> Dazu passt am ehesten smtpd_sender_login_maps.
>>
>> Siehe auch <http://www.postfix.org/postconf.5.html>
>>
>>> Nur ein Versuch, bei dem ich noch nicht einmal weiß, ob das abbildbar
>>> ist. Denn im MUA wird ja ein Benutzername abgefragt. Ist der korrekt,
>>> habe ich das Problem ja trotzdem. :-(
>>
>> Evtl. hilft smtpd_sender_restrictions mit
>> reject_known_sender_login_mismatch.
>>
> 
> Sorry, dass ich erst so spät geantwortet habe. Morgen werde ich mir mal
> die Optionen ansehen. Mit smtpd_sender_restrictions dachte ich schon,
> dass ich die Lösung hätte.
> Allerdings bin ich dann auf das Gesicht gefallen, weil mit
> check_sender_access natürlich auch Mails von externen Sendern geblockt
> werden, die nicht in der Liste stehen. :-(
> Das sah dann so aus:
> 
> unknown_address_reject_code = 554
> smtpd_sender_restrictions =
>     reject_unknown_sender_domain
>     reject_unlisted_sender
>     check_sender_access hash:/etc/postfix/sender_permit
>     reject
> 
> So geht es leider nicht.

Deswegen schrieb ich auch reject_known_sender_login_mismatch als Option
für smtpd_sender_restrictions - damit werden Absender blockiert, die
einen Login haben und eine Domain benutzen, die ihnen nicht zugewiesen ist:

<http://www.postfix.org/postconf.5.html#reject_known_sender_login_mismatch>

"reject_known_sender_login_mismatch

Apply the reject_sender_login_mismatch restriction only to MAIL FROM
addresses that are known in $smtpd_sender_login_maps. This feature is
available in Postfix version 2.11 and later."


-- 
Arno Welzel
https://arnowelzel.de

[toc] | [prev] | [next] | [standalone]

#6051

Hallo Arno,

ich wollte noch einmal kurz beschreiben, was ich als
Ziel habe damit wir nicht aneinander vorbei operieren:

Alles was nicht in der sender_dependent_relayhost_maps drin steht, soll
nicht angenommen (oder an postmaster weitergeleitet) werden damit es
immer einen definierten Weg der Mails zum ISP gibt.
Entweder werden sonst die Mails logischerweise mit falscher
Authentifizierung vom ISP abgewiesen oder es wird versucht, diese direkt
über Port 25 (über FW ausgehend geblockt) bei dem MX der Empfängerdomain
abzuliefern.
Das führt dazu, dass die Mail in der Queue liegen bleibt, da sich dort
ein Server befindet, der die Mails garantiert nicht haben will. Beides
soll vermieden werden.

Grundsätzlich benötige ich keine Authentifizierung der Clients außer es
ist für das Ziel unumgänglich. Wahrscheinlich würde ich es mich sogar
behindern, weil ich manchmal auf der Kommandozeile eine Mail verschicke,
die über einen lokal installiereten Nullmailer-Daemon an Postfix
übergeben wird.

Am 06.01.19 um 12:32 schrieb Arno Welzel:
> 
> Deswegen schrieb ich auch reject_known_sender_login_mismatch als Option
> für smtpd_sender_restrictions - damit werden Absender blockiert, die
> einen Login haben und eine Domain benutzen, die ihnen nicht zugewiesen ist:

Klingt super und sieht momentan bei mir so aus (offensichtlich nicht
korrekt):

sasl2-bin installiert und mit der
"https://www.df.eu/de/support/df-faq/cloudserver/anleitungen/smtp-authentifizierung-mit-postfix-debian/"
Anleitung konfiguriert. (Mit weiteren Anleitungen verglichen) Allerdings
habe ich den Socket ins chroot gelegt.

smtpd_sasl_auth_enable = yes
broken_sasl_auth_clients = yes
unknown_address_reject_code = 554
smtpd_sender_login_maps = hash:/etc/postfix/sender_login
smtpd_sasl_security_options = noanonymous
smtpd_sender_restrictions =
    reject_unlisted_sender
    reject_known_sender_login_mismatch
    reject (nur damit ich die Mails nicht jedes Mal aus der Queue
fischen muss)

/etc/postfix/sender_login:

toberger@t-online.de, ...., ....		user1
meinefrau@isp.ltd, ..., ...			user2

postmap und reload natürlich durchgeführt.
Es spielt keine Rolle, was in der Map steht (auch leer). Ich kann mit
JEDER Domain posten, die mir einfällt. Ob ich nun einen Anwender mitgebe
(Passwort wird auch abgefragt) oder nicht. Mit den o.g. Auswirkungen.

Vielen Dank für Deine Mühe und eine schöne Woche ...

Bye Torsten

[toc] | [prev] | [next] | [standalone]

#6052

Torsten Berger:

> Hallo Arno,
> 
> ich wollte noch einmal kurz beschreiben, was ich als
> Ziel habe damit wir nicht aneinander vorbei operieren:
[...]

Ich gebe auf. Ich verstehe dein Problem nicht.


-- 
Arno Welzel
https://arnowelzel.de

[toc] | [prev] | [next] | [standalone]

#6054

Am 07.01.19 um 00:57 schrieb Arno Welzel:
> Torsten Berger:
> 
>> Hallo Arno,
>>
>> ich wollte noch einmal kurz beschreiben, was ich als
>> Ziel habe damit wir nicht aneinander vorbei operieren:
> [...]
> 
> Ich gebe auf. Ich verstehe dein Problem nicht.
> 
> 
LOL :-D

Tim

[toc] | [prev] | [next] | [standalone]

#6055

Hallo Arno,

Am 07.01.19 um 00:57 schrieb Arno Welzel:
> [...]
> 
> Ich gebe auf. Ich verstehe dein Problem nicht.

Schade, dass mein Problem hier so unverständlich erscheint auf die Frage:

Wie beeinflusse ich den Weg der Mails, deren Absenderdomain nicht in der
sender_dependent_relayhost_maps eingetragen ist?
Der relayhost ist leider keine Lösung.

Dann werde ich es wohl vorerst auf Eis legen müssen.

Danke Dir.

Bye Torsten

[toc] | [prev] | [next] | [standalone]

#6056

Hallo,

Torsten Berger <toberger@t-online.de> wrote:
> Am 07.01.19 um 00:57 schrieb Arno Welzel:
>> [...]
>> Ich gebe auf. Ich verstehe dein Problem nicht.
> Schade, dass mein Problem hier so unverständlich erscheint auf die Frage:
> Wie beeinflusse ich den Weg der Mails, deren Absenderdomain nicht in der
> sender_dependent_relayhost_maps eingetragen ist?

Gar nicht. Du traegst einfach die Domainparts der von dir verwendeten 
Absenderadressen zusammen mit dem zustaendigen outgoing mailserver in
die sender_dependent_relayhost_maps ein. Anders wirst du das Problem 
nicht los, wenn der <Domaininhaber der Absenderdomain einen restriktiven
SPF record gesetzt hat.

Tschuess,
	Juergen Ilse			(juergen@usenet-verwaltung.de)

[toc] | [prev] | [standalone]

Back to top | Article view | de.comm.software.mailserver

csiph-web