🚀 go-pugleaf

W dniu 2020-04-01 o 08:55, LFC pisze:
> Serwer w mojej firmie służył do poczty korporacyjnej, więc działał sobie na porcie 25 i jako tako to funkcjonowało.
> Teraz w związku z akcją "siedź w domu" zarząd sobie zażyczył, żeby mógł odbierać i wysyłać również pocztę w domu.
> Z odbiorem nie ma problemu bo port 995, natomiast wysyłka na ogół nie była możliwa ponieważ niektórzy ISP blokują port 25, a sieci dynamicznego IP są w dnsbl.
> W związku z tym aktywowałem sendmailowi port 587
I dobrze, wysyłanie przez MSA z obligatoryjnym szyfrowaniem i uwierzytelnieniem to w zasadzie jedyne sensowne rozwiązanie.

> i dodałem opcję `delay_checks', `friend', a do access dopisałem:
> Spam:adres1@domena.com.pl
> ...
> I działa, ale widzę, że choć w sendmail.mc dałem Family=inet dla demona przy obu portach to i tak zaczęły mi włazić hosty ipv6. 
A potrzebujesz wogóle dostępu do usług po IPv6?
Na interfejsie publicznym serwera masz włączone IPv6? Może wystarczy wyłączyć?

> Zablokowałem INPUT dla ipv6,
Jeżeli wyciąłeś ruch IPv6 na firewallu, to jaki cudem ten ruch dociera do serwera SMTP?

> ale widzę w mquee i w logach jakieś hosty ze świata np z Ukrainy przedstawiają się jako nasza domena i pakuja spam aż miło. Jak to ukrócić?
> Myślałem o opcji rela based_on_MX, ale wtedy każdy cwaniak, który sobie wpisze w domenę nasz serwer jako MX bedzie mógł relayowac do woli.
> Jakies sugestie?
>
Żaden cwaniak nie ma szans "relayować" przez twój serwer, o ile mu w konfiguracji tego nie umożliwisz!
relay_based_on_MX to właśnie taka furtka.


O ile kojarzę, to masz już milter-regex?
Żeby zabezpieczyć swój serwer, spróbuj:

ME = ( helo /^10\.10\.10\.10$/ or helo /^localhost$/ or helo /^poczta\.example\.com$/ or helo /^mail\.example\.com$/ )
REALLY_ME = ( connect /localhost/ /127\.0\.0\.1/ or connect /^poczta\.example\.com$/ /10\.10\.\10\.10/ )
discard
$ME and not $REALLY_ME

Zastosowane w przykładzie dane serwera SMTP:
poczta.example.com to podstawowa, a mail.example.com to dodatkowa nazwa FQDN serwera - jeżeli jest skonfigurowana
10.10.10.10 to adres IP ustawiony w rekordzie A dla poczta.example.com (zwykle adres publiczny serwera SMTP)
Ustaw to na początku konfiga, zaraz po wyjątkach na zaufane lub uwierzytelnione hosty.

Żeby umożliwić weryfikację dla innych serwerów przeczytaj
https://serverfault.com/questions/415533/how-to-stop-people-from-using-my-domain-to-send-spam
i zainteresuj się tematem SPF http://www.openspf.org/ (chociaż pasywnie) oraz DKIM https://pl.wikipedia.org/wiki/DomainKeys_Identified_Mail

> LFC
>