Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > de.comm.software.mailserver > #6469

Re: postfix access

Show all headers | View raw

Am 03.08.21 um 21:14 schrieb Thomas Hochstein:
> Ulli Horlacher schrieb:
> 
>> Subject: postfix access
> 
> Disclaimer: Ich kenne mich mit Postfix praktisch nicht aus; ich habe
> nur die Doku gelesen.
> 
>> Was hab ich uebersehen oder falsch gemacht?
> 
> | Delayed evaluation of SMTP access restriction lists 
> [...]
> |  Restriction lists are still evaluated in the proper order of (client,
> |  helo, etrn) or (client, helo, sender, relay, recipient, data, or
> |  end-of-data) restrictions. When a restriction list (example: client)
> |  evaluates to REJECT or DEFER the restriction lists that follow
> |  (example: helo, sender, etc.) are skipped. 
> <http://www.postfix.org/SMTPD_ACCESS_README.html>
> 
> Wenn ich das richtig verstehe, wird zuerst smtpd_client_restrictions
> ausgewertet. Das führt bei Dir zu einem REJECT wegen des Hostnamens
> (Reverse-Lookups) der IP-Afresse; damit ist das Thema durch. Die
> normalerweise später geprüften smtpd_sender_restrictions werden gar
> nicht mehr ausgewertet; erst da ist aber das MAIL FROM überhaupt
> bekannt. Man kann also bei einem Block auf IP-Ebene Ausnahmen für
> bestimmte IP-Adressen vorsehen, aber nicht bestimmte Absenderadressen
> ausnehmen, weil die zu diesem Zeitpunkt noch nicht bekannt sind und
> die Entscheidung bei einem REJECT/DEFER endgültig fällt.
> 
> Ob und wie es mit Postfix möglich ist, Mails von bestimmten IPs (hier:
> IPs mit bestimmtem Reverse-Lookup) nicht zu rejecten, sondern das nur
> vorzumerken, so dass man dann später den MAIL FROM auswerten und
> bestimmte Mails abweichend doch akzeptieren kann, kann ich nicht
> sagen; auf Anhieb habe ich jedenfalls keine einfache Lösung in der
> Doku gefunden. Vermutlich bräuchte man so etwas wie einen Milter?

Thomas' Begründung passt - allerdings blockiert protection.outlook.com
auch legitime Firmenabsender... wenn Ulli das braucht?

Für die UND-Verknüpfung zweier Checks in so einfachen Fällen kann man
smtpd_restriction_classes [1] verwenden; wenn's aber viele Regeln gibt,
ist ein externer policy-daemons wie z. B. https://postfwd.org/ wohl
handhabbarer.
[1] http://www.postfix.org/RESTRICTION_CLASS_README.html

Entwurf für restriction classes:

1. In /etc/postfix/main.cf:

smtpd_restriction_classes = outlook_com
outlook_com = check_sender_access
		  hash:/etc/postfix/access_outlook_com_permitted
	      static:{554 5.7.1 E-mail rejected: protection.outlook.com
		  is classified as a spammer domain}
smtpd_sender_restrictions =
	...
	reject_unauth_destination
	check_client_access hash:/etc/postfix/access
	...

2. In /etc/postfix/access:
protection.outlook.com	outlook_com

3. In /etc/postfix/access_outlook_com_permitted:
XXXXXX@msn.com          OK

4. das übliche postmap/postfix reload.

Einschränkung: Das alles unterstellt, dass von Sendern mit Hostnamen
*outlook.com keine gefälschten @msn.com-Absender kommen können.

Hinweis: Das 521 550 in Ullis Originalkonfiguration ist Grütze. Weder
braucht's bei outlook.com 521 + drop, noch würde Postfix das 550
verwenden (siehe Logs - es antwortet ja mit 521 5.7.1 und übernimmt die
550 als Payload-Text).

Back to de.comm.software.mailserver | Previous | Next — Previous in thread | Next in thread | Find similar | Unroll thread

Thread

postfix access Ulli Horlacher <framstag@tandem-fahren.de> - 2021-08-03 18:39 +0000
  Re: postfix access Thomas Hochstein <thh@thh.name> - 2021-08-03 21:14 +0200
    Re: postfix access Matthias Andree <matthias.andree@gmx.de> - 2021-08-04 11:53 +0200
      Re: postfix access Thomas Hochstein <thh@thh.name> - 2021-08-04 13:51 +0200

csiph-web