🚀 go-pugleaf

W dniu poniedziałek, 6 kwietnia 2020 14:53:56 UTC+2 użytkownik cysorz.to....@gmail.com napisał:
> W dniu poniedziałek, 6 kwietnia 2020 13:55:14 UTC+2 użytkownik cysorz.to....@gmail.com napisał:
> > W dniu czwartek, 2 kwietnia 2020 18:16:12 UTC+2 użytkownik cysorz.to....@gmail.com napisał:
> > > W dniu czwartek, 2 kwietnia 2020 11:35:47 UTC+2 użytkownik Piotr Lechowicz napisał:
> > > 
> > > > Wybacz, ale odnoszę wrażenie, że działasz trochę po omacku i nie wiesz co/jak chcesz osiągnąć.
> > > Tak to może wyglądać, ale ja wiem co chcę osiągnąć. Obowiązkowe uwierzytelnianie po stronie klienta i taką konfigurację postfiksa, aby MTA nie był open relay.
> > > 
> > > 
> > > > > Jak jest zakomentowana, to klient może wysyłać przy następujących ustawieniach
> > > > > port: 587
> > > > > Bezpieczeństwo połączenia "STARTTLS" ("Bez szyfrowania" nie idzie)
> > > > > Metoda uwierzytelniania: Normalne hasło ("Bez uwierzytelniania" i "Szyfrowane hasło" nie idzie).
> > > > 
> > > > Dla portu 587 właśnie tak powinno być ustawione po stronie klienta.
> > > 
> > > I w zasadzie na tym można byłoby poprzestać, gdyby nie pewne wątpliwości.
> > > Tak jak pisałem wcześniej EHLO nie pokazuje, że uwierzytelnianie na porcie 587 działa. Oto listingi z włączonym uwierzytelnianiem dla sieci wewnętrznej:
> > > Dla portu 25
> > >  telnet localhost 25
> > > Trying 127.0.0.1...
> > > Connected to localhost.
> > > Escape character is '^]'.
> > > 220 mail.moja.domena.pl ESMTP
> > > EHLO localhost
> > > 250-mail.moja.domena.pl
> > > 250-PIPELINING
> > > 250-SIZE 128000000
> > > 250-VRFY
> > > 250-ETRN
> > > 250-STARTTLS
> > > 250-AUTH PLAIN LOGIN
> > > 250-AUTH=PLAIN LOGIN
> > > 250-ENHANCEDSTATUSCODES
> > > 250-8BITMIME
> > > 250-DSN
> > > 250-SMTPUTF8
> > > 250 CHUNKING
> > > quit
> > > 221 2.0.0 Bye
> > > 
> > > Dla portu 587
> > >  telnet localhost 587
> > > Trying 127.0.0.1...
> > > Connected to localhost.
> > > Escape character is '^]'.
> > > 220 mail.moja.domena.pl ESMTP
> > > EHLO localhost
> > > 250-mail.moja.domena.pl
> > > 250-PIPELINING
> > > 250-SIZE 128000000
> > > 250-VRFY
> > > 250-ETRN
> > > 250-STARTTLS
> > > 250-ENHANCEDSTATUSCODES
> > > 250-8BITMIME
> > > 250-DSN
> > > 250-SMTPUTF8
> > > 250 CHUNKING
> > > quit
> > > 221 2.0.0 Bye
> > > 
> > > I teraz nie wiem, czy na porcie 587 działa uwierzytelnianie, czy nie.
> > > 
> > > 
> > > 
> > > > > port: 465
> > > > > Bezpieczeństwo połączenia "STARTTLS" i "Bez szyfrowania"
> > > > > Metoda uwierzytelniania: "Normalne hasło" i "Bez uwierzytelniania"
> > > > > Maile dochodzą. Na ust. "Szyfrowane hasło" - nie.
> > > > 
> > > > A jak skonfigurowałeś dostępne dla klienta metody uwierzytelniania?
> > > Wcześniej napisałem nieprawdę... zatem jeszcze raz.
> > > 1. Bezpieczeństwo połączenia "STARTTLS"
> > > Metoda uwierzytelniania: "Normalne hasło"
> > > Działa
> > > 
> > > 2. Bezpieczeństwo połączenia "STARTTLS"
> > > Metoda uwierzytelniania: "Szyfrowane hasło"
> > > Nie działa
> > > 
> > > 3. Bezpieczeństwo połączenia "Bez szyfrowania"
> > > Metoda uwierzytelniania: "Normalne hasło" i każda inna
> > > Nie działa
> > > 
> > > 
> > > > Poza tym to nie samo hasło ma być szyfrowane, tylko całe połączenie.
> > > > Dla portu 465 ustaw w kliencie:
> > > >   Bezpieczeństwo połączenia "SSL/TLS"
> > > >   Metoda uwierzytelniania: "Normalne hasło"
> > > Nie działa i żadnych komunikatów w logach. Klient mówi, że nie mógł się połączyć z serwerem.
> > > 
> > > Ale zostawmy port 465. Wydaje się, że port 587 działa, tylko dlaczego tego nie pokazuje przy telnetowaniu?
> > > 
> > > Pozostaje jeszcze kwestia open relay przez port 465.
> > > 
> > > Pozdrawiam
> > > Cysorz
> > 
> > Wracam do tematu, sytuacja jest dziwna.
> > Skonfigurowałem Postfiksa tylko dla portu 587.
> > Wydaje się działać poprawnie. maillog poniżej:
> > 
> > ---------------
> > Apr  6 13:37:14 mail postfix/smtpd[24174]: BCE862A60701: client=gate[192.168.0.253], sasl_method=PLAIN, sasl_username=testowe_konto@mail.moja.domena.pl
> > Apr  6 13:37:14 mail postfix/cleanup[24176]: BCE862A60701: message-id=<d47cbfee-4cd9-9787-3110-ea56349c8592@moja.domena.pl>
> > Apr  6 13:37:14 mail postfix/qmgr[11100]: BCE862A60701: from=<testowe_konto@moja.domena.pl>, size=701, nrcpt=1 (queue active)
> > Apr  6 13:37:14 mail postfix/smtpd[24174]: disconnect from gate[192.168.0.253] ehlo=1 auth=1 mail=1 rcpt=1 data=1 quit=1 commands=6
> > Apr  6 13:37:15 mail postfix/smtp[24177]: BCE862A60701: to=<moje_konto@linux.pl>, relay=mail.linux.pl[88.99.142.38]:25, delay=0.59, delays=0.1/0/0.14/0.35, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as 1D8A663801BD)
> > -----------
> > Niestety, okazało się, że jeżeli klient jest skonfigurowany "Bez uwierzytelniania", to poczta również jest dostarczana.
> > Zaklęcia stosowane przez innych z podobnym problemem, u mnie nie działają.
> > 
> > Wersja Postfiksa: 3.4.7 x64 instalowana z paczki Slackware.
> > postconf -n
> > -----------------
> > alias_database = hash:/etc/postfix/aliases
> > alias_maps = hash:/etc/postfix/aliases
> > broken_sasl_auth_clients = yes
> > canonical_maps = hash:/etc/postfix/canonical
> > command_directory = /usr/sbin/
> > compatibility_level = 2
> > daemon_directory = /usr/libexec/postfix
> > debug_peer_level = 2
> > debugger_command = PATH=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/bin xxgdb $daemon_directory/$process_name $process_id & sleep 5
> > default_destination_concurrency_limit = 20
> > dovecot_destination_recipient_limit = 1
> > home_mailbox = Maildir/
> > inet_protocols = ipv4
> > local_destination_concurrency_limit = 2
> > local_recipient_maps = $alias_maps unix:passwd.byname
> > mail_name = Postfix
> > mail_spool_directory = /var/mail/%u/
> > mailbox_command = /usr/libexec/dovecot/deliver
> > mailbox_size_limit = 204800000
> > mailq_path = /usr/bin/mailq
> > manpage_directory = /usr/man
> > message_size_limit = 128000000
> > mydestination = $mydomain, $myhostname, localhost
> > mydomain = moja.domena.pl
> > myhostname = mail.moja.domena.pl
> > mynetworks = 192.168.0.0/16, 127.0.0.0/8
> > myorigin = $mydomain
> > newaliases_path = /usr/bin/newaliases
> > readme_directory = /usr/share/doc/postfix
> > recipient_canonical_maps = hash:/etc/postfix/recipient_canonical
> > relay_domains = $mydestination
> > sample_directory = /etc/postfix/samples
> > sender_canonical_maps = hash:/etc/postfix/sender_canonical
> > sendmail_path = /usr/sbin/sendmail
> > setgid_group = postdrop
> > smtpd_banner = $myhostname ESMTP
> > smtpd_client_restrictions = reject_unknown_client,permit_sasl_authenticated
> > smtpd_helo_required = yes
> > smtpd_helo_restrictions = reject_unauth_pipelining,reject_invalid_helo_hostname,permit
> > smtpd_recipient_restrictions = permit_sasl_authenticated,reject_unauth_destination,reject
> > smtpd_relay_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination
> > smtpd_sasl_auth_enable = yes
> > smtpd_sasl_authenticated_header = yes
> > smtpd_sasl_local_domain = $myhostname
> > smtpd_sasl_path = smtpd
> > smtpd_sasl_security_options = noanonymous
> > smtpd_sender_login_maps = hash:/etc/postfix/login_maps
> > smtpd_sender_restrictions = reject_unknown_sender_domain, reject_non_fqdn_sender,reject_authenticated_sender_login_mismatch,permit_sasl_authenticated,permit_mynetworks
> > unknown_local_recipient_reject_code = 450
> > virtual_alias_domains = inna_domena.pl
> > virtual_alias_maps = hash:/etc/postfix/virtual
> > virtual_mailbox_base = /var/mail/virtual
> > virtual_transport = dovecot
> > 
> > -----------------
> > Co może być nie tak? Czy to możliwe, że ta wersja Postfiksa jest wadliwa?
> 
> Edit. nareszcie działa.
> 
> Kluczowe linie w master.cf
>   -o smtpd_sasl_auth_enable=yes
>   -o smtpd_sasl_path=smtpd
>   -o smtpd_sasl_security_options=noanonymous
>   -o smtpd_sasl_authenticated_header=yes
>   -o receive_override_options=no_header_body_checks,no_address_mappings
>   -o smtpd_sender_restrictions=reject_sender_login_mismatch,reject_unknown_sender_domain,reject_non_fqdn_sender,reject_authenticated_sender_login_mismatch,permit_sasl_authenticated,permit_mynetworks,rejec
>   -o smtpd_recipient_restrictions=reject_non_fqdn_recipient,reject_unknown_recipient_domain,permit_sasl_authenticated,reject_unauth_destination
>   -o smtpd_relay_restrictions=permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination
>   -o smtpd_helo_restrictions=reject_unauth_pipelining,reject_invalid_helo_hostname,permit

Edit:
Obcięło mi literkę w tej linii:
-------------
  -o smtpd_sender_restrictions=reject_sender_login_mismatch,reject_unknown_sender_domain,reject_non_fqdn_sender,reject_authenticated_sender_login_mismatch,permit_sasl_authenticated,permit_mynetworks,reject
--------------