Debian, Postfix und SASL

[Zephyrus]

Hi.

Ich hänge derzeit an folgendem Problem:

Mails werden lokal "relayt" obwohl sie das nicht dürften.
Dabei kann MAIL FROM: auch einen entfernten Absender enthalten.
Siehe Beispiel:

telnet domain.de 25

220 domain.de ESMTP
HELO abcdefg
250 domain.de
MAIL FROM: test@domain.de
250 Ok
RCPT TO: irgendwoanders@gmx.de
554 <irgendwoanders@gmx.de>: Relay access denied
RCPT TO: test@domain.de
250 Ok
quit
221 Bye

Open Relay geht nicht (gott sei dank) aber wenn man wie oben an einen lokalen User mailt, klappt das. Woran kann das liegen?

Hier ein Ausschnitt aus der main.cf von Postfix:

# SASL-SMTP-AUTH Configuration
smtpd_sasl_application_name = smtpd
smtpd_sasl_auth_enable = yes
smtpd_sasl2_auth_enable = yes
smtpd_sasl_security_options = noanonymous
smtpd_sasl_local_domain = $myhostname
broken_sasl_auth_clients = yes
smtpd_recipient_restrictions = permit_sasl_authenticated, reject_unknown_recipient_domain, reject_unknown_sender_domain, reject_invalid_hostname, reject_non_fqdn_recipient, reject_unauth_destination, reject_unauth_pipelining

Da auch Confixx drauf läuft, hatte ich folgendes hinzugefügt:

smtpd_sender_restrictions = reject_sender_login_mismatch
smtpd_sender_login_maps = hash:/etc/postfix/confixx_virtualUsers

Allerdings kann man dann nicht mehr versenden.
Als Fehler wird gemeldet: 553 Sender address rejected: not owned by user

Stehe grad auf nem Ast, jemand da der mir kurz eine klatscht und sagt was ich falsch mache? :o

[Dukel]

Geb den Server nicht im Internet frei, wen dem Server eh keiner schreiben darf.

[Zephyrus]

Geb den Server nicht im Internet frei, wen dem Server eh keiner schreiben darf.
???


Geh mal per telnet auf nen 1und1 server und versuch das.
Das bekommst du dann 550 Relay Access denied und so muss das auch sein.

[Roger Wilco]

Open Relay geht nicht (gott sei dank) aber wenn man wie oben an einen lokalen User mailt, klappt das. Woran kann das liegen?
Am Simple Mail Transfer Protocol. Wie wolltest du denn sonst jemals Mails empfangen?

[Zephyrus]

Nein, pass auf:

Du kannst dich per telnet mit der Kiste verbinden und als irgendein Absender lokale Konten anmailen ohne dich authentifizieren zu müssen. Bei 1und1 erscheint deswegen auch richtigerweise der 550 Fehler.

[BedriddenTech]

Was du brauchst, ist SMTP-Auth mit einer entsprechenden Regel. Keine Ahnung, wie der Postfix das regelt.

Aber Achtung: E-Mails von irgendwoher an einen lokalen Benutzer müssen immer akzeptiert werden -- das meinte auch Roger Wilco.

[tschloss]

Nein, pass auf:

Du kannst dich per telnet mit der Kiste verbinden und als irgendein Absender lokale Konten anmailen ohne dich authentifizieren zu müssen. Bei 1und1 erscheint deswegen auch richtigerweise der 550 Fehler.

Adressat ist lokaler User => kein "Relay", das heisst dann Zustellung oder Auslieferung
Relaying ist das Weiterleiten für andere als die eigene Zieldomain.

Oder habe dich falsch verstanden?

Greetz
Thomas

[Dukel]

Ich meinte, wenn er einen NAT Router hat muss er den Mailserver extra freischalten.
Wenn nur local gesendet werden soll oder nach aussen gesendet werden soll braucht man den nicht freigeben.

[Zephyrus]

Richtig, es geht um SMTP-Auth - was zwar läuft aber nicht greift. Sorry, hab ich wohl auch ein bisschen blöd geschrieben.
:o

[michael.sprick]

Willst Du Deinen Mailserver denn nur zum Versenden von Mails nehmen?
Denn wenn Du vorhast, auch Mails von extern zu empfangen, sind die Einstellungen so richtig...

Stell Dir vor, jemand schickt Dir von web.de eine Email.... Weil Du alle MX Einträge richtig eingerichtet hast, landet die Mail auch auf Deinem Server.

Absender ist also <irgendjemand@web.de> Empfänger ist <du@deinserver.de>.

irgendjemand@web.de kann sich aber garnicht auf Deinem Server authentifizieren... er hat ja keinen Account.
Der Server darf die Mail aber dann annehmen, wenn die Zieldomain auch lokal auf dem Server eingerichtet ist. Er darf sie nur nicht an einen anderen Server weiterschicken, ohne dass sich der Absender authentifiziert hat.

Wenn Du nicht vorhast, Deinen Server ausschließlich als "internen" Mailserver zu benutzten, auf dem nur userX@deinedomain.de an userY@deinedomain.de und umgekehrt, dann ist Dein Server richtig eingerichtet.

hth, michael