Postfix Header Check / Spamabwehr

[msdlk45]

Hallo ihr Postmaster da draußen,

ich habe folgende Probleme mit meinem aufgesetzten Postfix Gateway in der DMZ.

1) Mit meiner unten stehenden Konfiguration möchte ich erreichen, dass dieser alle Mail ablehnt, für den kein vernünfitiger MX/A Record existiert. Dies funktioniert allerdings nur anhand von "mail from:". Dies wird allerdings meist von Spammern gefaked und dann steht im Header unter "from:" eine ganz andere Adresse. Gibt es hier eine Möglichkeit Postfix dazu zu bringen auch diese Zeile dahingehend zu verifizieren bzw. mit der "mail from:"-Zeile zu vergleichen?

2) Diese Frage schließt sich irgendwie dem obigen an, ist jedoch etwas anderer Natur: Ich möchte, ebenfalls zu Spamabwehr, Mail aus dem Internet möglichst ablehnen können die als Absender meine Maildomain enthalten. Antworten und neue Mail aus dem Intranet jedoch muss er annehmen und zustellen. Hier habe ich zunächst an die access table gedacht, doch dann lehnt er von außen und von innen Mail ab.



alias_maps = hash:/etc/aliases
biff = no
canonical_maps = hash:/etc/postfix/canonical
command_directory = /usr/sbin
config_directory = /etc/postfix
daemon_directory = /usr/lib/postfix
debug_peer_level = 2
defer_transports =
delay_warning_time = 4h
disable_dns_lookups = no
html_directory = /usr/share/doc/packages/postfix/html
inet_interfaces = all
mail_spool_directory = /var/mail
mailbox_command =
mailbox_size_limit = 0
mailbox_transport =
mailq_path = /usr/bin/mailq
manpage_directory = /usr/share/man
masquerade_classes = envelope_sender, header_sender, header_recipient
masquerade_domains =
masquerade_exceptions = root
message_size_limit = 10240000
mydestination = $myhostname, localhost.$mydomain, localhost
myhostname = mail1.example.com
mynetworks = 192.168.252.12, 127.0.0.0/8
myorigin = $mydomain
newaliases_path = /usr/bin/newaliases
readme_directory = /usr/share/doc/packages/postfix/README_FILES
relay_domains = $mydomain
relay_recipient_maps =
relocated_maps = hash:/etc/postfix/relocated
sample_directory = /usr/share/doc/packages/postfix/samples
sender_canonical_maps = hash:/etc/postfix/sender_canonical
sendmail_path = /usr/sbin/sendmail
setgid_group = maildrop
smtp_sasl_auth_enable = no
smtp_use_tls = no
smtpd_banner = $myhostname ESMTP
smtpd_data_restrictions = reject_unauth_pipelining
smtpd_delay_reject = yes
smtpd_helo_required = yes
smtpd_helo_restrictions = reject_invalid_hostname, reject_non_fqdn_hostname, reject_unknown_hostname
smtpd_recipient_restrictions = hash:/etc/postfix/my_unknown_users, reject_non_fqdn_recipient, reject_unknown_recipient_domain, permit_mynetworks, reject_unauth_destination
smtpd_sasl_auth_enable = no
smtpd_sender_restrictions = reject_non_fqdn_sender, reject_unknown_sender_domain, hash:/etc/postfix/access
smtpd_use_tls = no
soft_bounce = yes
strict_rfc821_envelopes = no
transport_maps = hash:/etc/postfix/transport
unknown_local_recipient_reject_code = 550
virtual_alias_maps = hash:/etc/postfix/my_aliases

[Tomek]

Als Lesetipp:
http://www.postfix.org/uce.html
http://www.postfix.org/uce.html#header_checks

[Webdude]

Das solltest du dir näher ansehen:
reject_unknown_sender_domain, reject_unknown_recipient_domain, reject_unknown_hostname

Header From und Envelope From zu vergleichen macht keinen Sinn, z.B. bei Mailinglisten sollen diese sich unterscheiden.

[msdlk45]

Danke schon mal für die schnellen Anworten.

Den Lesetip habe ich mir schon zu reingezogen, allerdings ist hier keine Lösung für mein Problem zu finden.

Es müsste dann so etwas wie: header_checks = reject_unknown_sender_domain geben, was jedoch nicht funktioniert. Ansonsten müsste ich explizit black- oder whitelists führen, was ich aber nicht wirklich führen möchte/kann. Irgend welche weiteren Ideen?

Mit diesen Mitteln lassen sich meines Erachtens auch nicht die Probleme aus 2) lösen. :confused:

[Blackcollar]

du musst meines Wissens dein Netz bei mynetworks angeben :


mynetworks=192.168.252.0/24

Jetzt trustet er laut deiner Einstellungen allen IP Adressen aus dem Bereich 192.168.252.0 - 192.168.252.255


gruß 'collar

PS: Wenn ich mich irre, sagt mir bescheid, auch ich lerne noch ^_°

[msdlk45]

Hier ist die Einstellung schon richtig, da dies die Hostadresse ist. Ich hätte auch schreiben können 192.168.252.12/32

[Blackcollar]

2) Diese Frage schließt sich irgendwie dem obigen an, ist jedoch etwas anderer Natur: Ich möchte, ebenfalls zu Spamabwehr, Mail aus dem Internet möglichst ablehnen können die als Absender meine Maildomain enthalten. Antworten und neue Mail aus dem Intranet jedoch muss er annehmen und zustellen. Hier habe ich zunächst an die access table gedacht, doch dann lehnt er von außen und von innen Mail ab.

ich meine ja nur, dass du bei der Überprüfung dann so sagen kannst, das er alles aus deinem Intranet empgangen darf und später kannst du dann ja die aggressive Methode alles sperren wählen. Dein internes ist dann ja durch permit_mynetworks durchgegangen....

gruß 'collar

[msdlk45]

Ah ja, permit_mynetworks vor die access table im Abschnitt "smtpd_sender_restrictions" :)

Warum bin ich nicht selber drauf gekommen, danke collar

[Blackcollar]

np, man versucht sein bestes ;)