🚀 go-pugleaf

W dniu czwartek, 2 kwietnia 2020 18:16:12 UTC+2 użytkownik cysorz.to....@gmail.com napisał:
> W dniu czwartek, 2 kwietnia 2020 11:35:47 UTC+2 użytkownik Piotr Lechowicz napisał:
> 
> > Wybacz, ale odnoszę wrażenie, że działasz trochę po omacku i nie wiesz co/jak chcesz osiągnąć.
> Tak to może wyglądać, ale ja wiem co chcę osiągnąć. Obowiązkowe uwierzytelnianie po stronie klienta i taką konfigurację postfiksa, aby MTA nie był open relay.
> 
> 
> > > Jak jest zakomentowana, to klient może wysyłać przy następujących ustawieniach
> > > port: 587
> > > Bezpieczeństwo połączenia "STARTTLS" ("Bez szyfrowania" nie idzie)
> > > Metoda uwierzytelniania: Normalne hasło ("Bez uwierzytelniania" i "Szyfrowane hasło" nie idzie).
> > 
> > Dla portu 587 właśnie tak powinno być ustawione po stronie klienta.
> 
> I w zasadzie na tym można byłoby poprzestać, gdyby nie pewne wątpliwości.
> Tak jak pisałem wcześniej EHLO nie pokazuje, że uwierzytelnianie na porcie 587 działa. Oto listingi z włączonym uwierzytelnianiem dla sieci wewnętrznej:
> Dla portu 25
>  telnet localhost 25
> Trying 127.0.0.1...
> Connected to localhost.
> Escape character is '^]'.
> 220 mail.moja.domena.pl ESMTP
> EHLO localhost
> 250-mail.moja.domena.pl
> 250-PIPELINING
> 250-SIZE 128000000
> 250-VRFY
> 250-ETRN
> 250-STARTTLS
> 250-AUTH PLAIN LOGIN
> 250-AUTH=PLAIN LOGIN
> 250-ENHANCEDSTATUSCODES
> 250-8BITMIME
> 250-DSN
> 250-SMTPUTF8
> 250 CHUNKING
> quit
> 221 2.0.0 Bye
> 
> Dla portu 587
>  telnet localhost 587
> Trying 127.0.0.1...
> Connected to localhost.
> Escape character is '^]'.
> 220 mail.moja.domena.pl ESMTP
> EHLO localhost
> 250-mail.moja.domena.pl
> 250-PIPELINING
> 250-SIZE 128000000
> 250-VRFY
> 250-ETRN
> 250-STARTTLS
> 250-ENHANCEDSTATUSCODES
> 250-8BITMIME
> 250-DSN
> 250-SMTPUTF8
> 250 CHUNKING
> quit
> 221 2.0.0 Bye
> 
> I teraz nie wiem, czy na porcie 587 działa uwierzytelnianie, czy nie.
> 
> 
> 
> > > port: 465
> > > Bezpieczeństwo połączenia "STARTTLS" i "Bez szyfrowania"
> > > Metoda uwierzytelniania: "Normalne hasło" i "Bez uwierzytelniania"
> > > Maile dochodzą. Na ust. "Szyfrowane hasło" - nie.
> > 
> > A jak skonfigurowałeś dostępne dla klienta metody uwierzytelniania?
> Wcześniej napisałem nieprawdę... zatem jeszcze raz.
> 1. Bezpieczeństwo połączenia "STARTTLS"
> Metoda uwierzytelniania: "Normalne hasło"
> Działa
> 
> 2. Bezpieczeństwo połączenia "STARTTLS"
> Metoda uwierzytelniania: "Szyfrowane hasło"
> Nie działa
> 
> 3. Bezpieczeństwo połączenia "Bez szyfrowania"
> Metoda uwierzytelniania: "Normalne hasło" i każda inna
> Nie działa
> 
> 
> > Poza tym to nie samo hasło ma być szyfrowane, tylko całe połączenie.
> > Dla portu 465 ustaw w kliencie:
> >   Bezpieczeństwo połączenia "SSL/TLS"
> >   Metoda uwierzytelniania: "Normalne hasło"
> Nie działa i żadnych komunikatów w logach. Klient mówi, że nie mógł się połączyć z serwerem.
> 
> Ale zostawmy port 465. Wydaje się, że port 587 działa, tylko dlaczego tego nie pokazuje przy telnetowaniu?
> 
> Pozostaje jeszcze kwestia open relay przez port 465.
> 
> Pozdrawiam
> Cysorz

Wracam do tematu, sytuacja jest dziwna.
Skonfigurowałem Postfiksa tylko dla portu 587.
Wydaje się działać poprawnie. maillog poniżej:

---------------
Apr  6 13:37:14 mail postfix/smtpd[24174]: BCE862A60701: client=gate[192.168.0.253], sasl_method=PLAIN, sasl_username=testowe_konto@mail.moja.domena.pl
Apr  6 13:37:14 mail postfix/cleanup[24176]: BCE862A60701: message-id=<d47cbfee-4cd9-9787-3110-ea56349c8592@moja.domena.pl>
Apr  6 13:37:14 mail postfix/qmgr[11100]: BCE862A60701: from=<testowe_konto@moja.domena.pl>, size=701, nrcpt=1 (queue active)
Apr  6 13:37:14 mail postfix/smtpd[24174]: disconnect from gate[192.168.0.253] ehlo=1 auth=1 mail=1 rcpt=1 data=1 quit=1 commands=6
Apr  6 13:37:15 mail postfix/smtp[24177]: BCE862A60701: to=<moje_konto@linux.pl>, relay=mail.linux.pl[88.99.142.38]:25, delay=0.59, delays=0.1/0/0.14/0.35, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as 1D8A663801BD)
-----------
Niestety, okazało się, że jeżeli klient jest skonfigurowany "Bez uwierzytelniania", to poczta również jest dostarczana.
Zaklęcia stosowane przez innych z podobnym problemem, u mnie nie działają.

Wersja Postfiksa: 3.4.7 x64 instalowana z paczki Slackware.
postconf -n
-----------------
alias_database = hash:/etc/postfix/aliases
alias_maps = hash:/etc/postfix/aliases
broken_sasl_auth_clients = yes
canonical_maps = hash:/etc/postfix/canonical
command_directory = /usr/sbin/
compatibility_level = 2
daemon_directory = /usr/libexec/postfix
debug_peer_level = 2
debugger_command = PATH=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/bin xxgdb $daemon_directory/$process_name $process_id & sleep 5
default_destination_concurrency_limit = 20
dovecot_destination_recipient_limit = 1
home_mailbox = Maildir/
inet_protocols = ipv4
local_destination_concurrency_limit = 2
local_recipient_maps = $alias_maps unix:passwd.byname
mail_name = Postfix
mail_spool_directory = /var/mail/%u/
mailbox_command = /usr/libexec/dovecot/deliver
mailbox_size_limit = 204800000
mailq_path = /usr/bin/mailq
manpage_directory = /usr/man
message_size_limit = 128000000
mydestination = $mydomain, $myhostname, localhost
mydomain = moja.domena.pl
myhostname = mail.moja.domena.pl
mynetworks = 192.168.0.0/16, 127.0.0.0/8
myorigin = $mydomain
newaliases_path = /usr/bin/newaliases
readme_directory = /usr/share/doc/postfix
recipient_canonical_maps = hash:/etc/postfix/recipient_canonical
relay_domains = $mydestination
sample_directory = /etc/postfix/samples
sender_canonical_maps = hash:/etc/postfix/sender_canonical
sendmail_path = /usr/sbin/sendmail
setgid_group = postdrop
smtpd_banner = $myhostname ESMTP
smtpd_client_restrictions = reject_unknown_client,permit_sasl_authenticated
smtpd_helo_required = yes
smtpd_helo_restrictions = reject_unauth_pipelining,reject_invalid_helo_hostname,permit
smtpd_recipient_restrictions = permit_sasl_authenticated,reject_unauth_destination,reject
smtpd_relay_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination
smtpd_sasl_auth_enable = yes
smtpd_sasl_authenticated_header = yes
smtpd_sasl_local_domain = $myhostname
smtpd_sasl_path = smtpd
smtpd_sasl_security_options = noanonymous
smtpd_sender_login_maps = hash:/etc/postfix/login_maps
smtpd_sender_restrictions = reject_unknown_sender_domain, reject_non_fqdn_sender,reject_authenticated_sender_login_mismatch,permit_sasl_authenticated,permit_mynetworks
unknown_local_recipient_reject_code = 450
virtual_alias_domains = inna_domena.pl
virtual_alias_maps = hash:/etc/postfix/virtual
virtual_mailbox_base = /var/mail/virtual
virtual_transport = dovecot

-----------------
Co może być nie tak? Czy to możliwe, że ta wersja Postfiksa jest wadliwa?