🚀 go-pugleaf

W dniu poniedziałek, 6 kwietnia 2020 13:55:14 UTC+2 użytkownik cysorz.to....@gmail.com napisał:
> W dniu czwartek, 2 kwietnia 2020 18:16:12 UTC+2 użytkownik cysorz.to....@gmail.com napisał:
> > W dniu czwartek, 2 kwietnia 2020 11:35:47 UTC+2 użytkownik Piotr Lechowicz napisał:
> > 
> > > Wybacz, ale odnoszę wrażenie, że działasz trochę po omacku i nie wiesz co/jak chcesz osiągnąć.
> > Tak to może wyglądać, ale ja wiem co chcę osiągnąć. Obowiązkowe uwierzytelnianie po stronie klienta i taką konfigurację postfiksa, aby MTA nie był open relay.
> > 
> > 
> > > > Jak jest zakomentowana, to klient może wysyłać przy następujących ustawieniach
> > > > port: 587
> > > > Bezpieczeństwo połączenia "STARTTLS" ("Bez szyfrowania" nie idzie)
> > > > Metoda uwierzytelniania: Normalne hasło ("Bez uwierzytelniania" i "Szyfrowane hasło" nie idzie).
> > > 
> > > Dla portu 587 właśnie tak powinno być ustawione po stronie klienta.
> > 
> > I w zasadzie na tym można byłoby poprzestać, gdyby nie pewne wątpliwości.
> > Tak jak pisałem wcześniej EHLO nie pokazuje, że uwierzytelnianie na porcie 587 działa. Oto listingi z włączonym uwierzytelnianiem dla sieci wewnętrznej:
> > Dla portu 25
> >  telnet localhost 25
> > Trying 127.0.0.1...
> > Connected to localhost.
> > Escape character is '^]'.
> > 220 mail.moja.domena.pl ESMTP
> > EHLO localhost
> > 250-mail.moja.domena.pl
> > 250-PIPELINING
> > 250-SIZE 128000000
> > 250-VRFY
> > 250-ETRN
> > 250-STARTTLS
> > 250-AUTH PLAIN LOGIN
> > 250-AUTH=PLAIN LOGIN
> > 250-ENHANCEDSTATUSCODES
> > 250-8BITMIME
> > 250-DSN
> > 250-SMTPUTF8
> > 250 CHUNKING
> > quit
> > 221 2.0.0 Bye
> > 
> > Dla portu 587
> >  telnet localhost 587
> > Trying 127.0.0.1...
> > Connected to localhost.
> > Escape character is '^]'.
> > 220 mail.moja.domena.pl ESMTP
> > EHLO localhost
> > 250-mail.moja.domena.pl
> > 250-PIPELINING
> > 250-SIZE 128000000
> > 250-VRFY
> > 250-ETRN
> > 250-STARTTLS
> > 250-ENHANCEDSTATUSCODES
> > 250-8BITMIME
> > 250-DSN
> > 250-SMTPUTF8
> > 250 CHUNKING
> > quit
> > 221 2.0.0 Bye
> > 
> > I teraz nie wiem, czy na porcie 587 działa uwierzytelnianie, czy nie.
> > 
> > 
> > 
> > > > port: 465
> > > > Bezpieczeństwo połączenia "STARTTLS" i "Bez szyfrowania"
> > > > Metoda uwierzytelniania: "Normalne hasło" i "Bez uwierzytelniania"
> > > > Maile dochodzą. Na ust. "Szyfrowane hasło" - nie.
> > > 
> > > A jak skonfigurowałeś dostępne dla klienta metody uwierzytelniania?
> > Wcześniej napisałem nieprawdę... zatem jeszcze raz.
> > 1. Bezpieczeństwo połączenia "STARTTLS"
> > Metoda uwierzytelniania: "Normalne hasło"
> > Działa
> > 
> > 2. Bezpieczeństwo połączenia "STARTTLS"
> > Metoda uwierzytelniania: "Szyfrowane hasło"
> > Nie działa
> > 
> > 3. Bezpieczeństwo połączenia "Bez szyfrowania"
> > Metoda uwierzytelniania: "Normalne hasło" i każda inna
> > Nie działa
> > 
> > 
> > > Poza tym to nie samo hasło ma być szyfrowane, tylko całe połączenie.
> > > Dla portu 465 ustaw w kliencie:
> > >   Bezpieczeństwo połączenia "SSL/TLS"
> > >   Metoda uwierzytelniania: "Normalne hasło"
> > Nie działa i żadnych komunikatów w logach. Klient mówi, że nie mógł się połączyć z serwerem.
> > 
> > Ale zostawmy port 465. Wydaje się, że port 587 działa, tylko dlaczego tego nie pokazuje przy telnetowaniu?
> > 
> > Pozostaje jeszcze kwestia open relay przez port 465.
> > 
> > Pozdrawiam
> > Cysorz
> 
> Wracam do tematu, sytuacja jest dziwna.
> Skonfigurowałem Postfiksa tylko dla portu 587.
> Wydaje się działać poprawnie. maillog poniżej:
> 
> ---------------
> Apr  6 13:37:14 mail postfix/smtpd[24174]: BCE862A60701: client=gate[192.168.0.253], sasl_method=PLAIN, sasl_username=testowe_konto@mail.moja.domena.pl
> Apr  6 13:37:14 mail postfix/cleanup[24176]: BCE862A60701: message-id=<d47cbfee-4cd9-9787-3110-ea56349c8592@moja.domena.pl>
> Apr  6 13:37:14 mail postfix/qmgr[11100]: BCE862A60701: from=<testowe_konto@moja.domena.pl>, size=701, nrcpt=1 (queue active)
> Apr  6 13:37:14 mail postfix/smtpd[24174]: disconnect from gate[192.168.0.253] ehlo=1 auth=1 mail=1 rcpt=1 data=1 quit=1 commands=6
> Apr  6 13:37:15 mail postfix/smtp[24177]: BCE862A60701: to=<moje_konto@linux.pl>, relay=mail.linux.pl[88.99.142.38]:25, delay=0.59, delays=0.1/0/0.14/0.35, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as 1D8A663801BD)
> -----------
> Niestety, okazało się, że jeżeli klient jest skonfigurowany "Bez uwierzytelniania", to poczta również jest dostarczana.
> Zaklęcia stosowane przez innych z podobnym problemem, u mnie nie działają.
> 
> Wersja Postfiksa: 3.4.7 x64 instalowana z paczki Slackware.
> postconf -n
> -----------------
> alias_database = hash:/etc/postfix/aliases
> alias_maps = hash:/etc/postfix/aliases
> broken_sasl_auth_clients = yes
> canonical_maps = hash:/etc/postfix/canonical
> command_directory = /usr/sbin/
> compatibility_level = 2
> daemon_directory = /usr/libexec/postfix
> debug_peer_level = 2
> debugger_command = PATH=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/bin xxgdb $daemon_directory/$process_name $process_id & sleep 5
> default_destination_concurrency_limit = 20
> dovecot_destination_recipient_limit = 1
> home_mailbox = Maildir/
> inet_protocols = ipv4
> local_destination_concurrency_limit = 2
> local_recipient_maps = $alias_maps unix:passwd.byname
> mail_name = Postfix
> mail_spool_directory = /var/mail/%u/
> mailbox_command = /usr/libexec/dovecot/deliver
> mailbox_size_limit = 204800000
> mailq_path = /usr/bin/mailq
> manpage_directory = /usr/man
> message_size_limit = 128000000
> mydestination = $mydomain, $myhostname, localhost
> mydomain = moja.domena.pl
> myhostname = mail.moja.domena.pl
> mynetworks = 192.168.0.0/16, 127.0.0.0/8
> myorigin = $mydomain
> newaliases_path = /usr/bin/newaliases
> readme_directory = /usr/share/doc/postfix
> recipient_canonical_maps = hash:/etc/postfix/recipient_canonical
> relay_domains = $mydestination
> sample_directory = /etc/postfix/samples
> sender_canonical_maps = hash:/etc/postfix/sender_canonical
> sendmail_path = /usr/sbin/sendmail
> setgid_group = postdrop
> smtpd_banner = $myhostname ESMTP
> smtpd_client_restrictions = reject_unknown_client,permit_sasl_authenticated
> smtpd_helo_required = yes
> smtpd_helo_restrictions = reject_unauth_pipelining,reject_invalid_helo_hostname,permit
> smtpd_recipient_restrictions = permit_sasl_authenticated,reject_unauth_destination,reject
> smtpd_relay_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination
> smtpd_sasl_auth_enable = yes
> smtpd_sasl_authenticated_header = yes
> smtpd_sasl_local_domain = $myhostname
> smtpd_sasl_path = smtpd
> smtpd_sasl_security_options = noanonymous
> smtpd_sender_login_maps = hash:/etc/postfix/login_maps
> smtpd_sender_restrictions = reject_unknown_sender_domain, reject_non_fqdn_sender,reject_authenticated_sender_login_mismatch,permit_sasl_authenticated,permit_mynetworks
> unknown_local_recipient_reject_code = 450
> virtual_alias_domains = inna_domena.pl
> virtual_alias_maps = hash:/etc/postfix/virtual
> virtual_mailbox_base = /var/mail/virtual
> virtual_transport = dovecot
> 
> -----------------
> Co może być nie tak? Czy to możliwe, że ta wersja Postfiksa jest wadliwa?

Edit. nareszcie działa.

Kluczowe linie w master.cf
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_sasl_path=smtpd
  -o smtpd_sasl_security_options=noanonymous
  -o smtpd_sasl_authenticated_header=yes
  -o receive_override_options=no_header_body_checks,no_address_mappings
  -o smtpd_sender_restrictions=reject_sender_login_mismatch,reject_unknown_sender_domain,reject_non_fqdn_sender,reject_authenticated_sender_login_mismatch,permit_sasl_authenticated,permit_mynetworks,rejec
  -o smtpd_recipient_restrictions=reject_non_fqdn_recipient,reject_unknown_recipient_domain,permit_sasl_authenticated,reject_unauth_destination
  -o smtpd_relay_restrictions=permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination
  -o smtpd_helo_restrictions=reject_unauth_pipelining,reject_invalid_helo_hostname,permit