🚀 go-pugleaf

W dniu 2020-04-14 o 18:27, LFC pisze:
> Zasięgałem tu porad w kwestii konfiguracji sendmaila. Szczególnie chciałęm osiągnąć aby "roaming users" mogli wysyłać pocztę ze swoich domowych laptopów/internetów.
> Stanęło na STARTTLS, porcie 587 i opcji delay_checks, a w pliku access za poradnikiem konfiguracji antyspamowej sendmaila
> To: domena.pl    OK
> Connect:domena.pl    OK

Tego Connect: bym nie robił...
Uwierzytelnienie ma być jedynym warunkiem dopuszczającym relay

> Było RELAY, jak dałem OK.
> Po odpaleniu takiej konfiguracji godzina spokoju a potem:
> 
> Apr 14 13:33:04 host sendmail[4126]: STARTTLS=server, relay=[58.58.185.75], version=TLSv1/SSLv3, verify=NO, cipher=DHE-RSA-AES128-GCM-SHA256, bits=128/128> Apr 14 13:33:07 host sendmail[4126]: AUTH=server, relay=[58.58.185.75], authid=user@domena.pl, mech=LOGIN, bits=0

Niżej twierdzisz, że masz wyłącznie userów systemowych; powinno być authid=user
Ten j-evans14@ poniżej to rzeczywisty user, czy fake?
Bo nie wiem czy logi przerabiasz konsekwentnie czy wyrywkowo: raz user@domena, potem j-evans14@domena; raz host, potem mpwik...

> Apr 14 13:33:12 host sendmail[4126]: 03EBX0DG004126: from=<j-evans14@domena.pl>, size=1195, class=0, nrcpts=1, msgid=<v016c324.1mucmmux.ae3ea.6vpf@domena.pl>, proto=ESMTP, daemon=MSA, relay=[58.58.185.75]
> Apr 14 13:33:17 host sendmail[4126]: 03EBX0DH004126: from=<j-evans14@domena.pl>, size=1132, class=0, nrcpts=1, msgid=<ed6b4raa.hvf1bxaf.98ufz.3er9@domena.pl>, proto=ESMTP, daemon=MSA, relay=[58.58.185.75]
> 

Przyjrzałbym się konfiguracji SASLa, bo może przechodzi każde uwierzytelnienie, nawet na fałszywe dane...

> Potem otwiera połączenie, też TLs z serwerem docelowym i śle do jakiegoś usera z tego serwera> 
> Apr 14 13:33:14 mpwik sendmail[4137]: STARTTLS=client, relay=hotmail-com.olc.protection.outlook.com., version=TLSv1/SSLv3, verify=OK, cipher=ECDHE-RSA-AES256-GCM-SHA384, bits=256/256
> Apr 14 13:33:15 mpwik sendmail[4137]: 03EBX0DG004126: to=<dave_gresham@hotmail.com>, delay=00:00:05, xdelay=00:00:03, mailer=esmtp, pri=121195, relay=hotmail-com.olc.protection.outlook.com. [104.47.10.33], dsn=2.0.0, stat=Sent (<v016c324.1mucmmux.ae3ea.6vpf@mpwikzdw.com.pl> [InternalId=84911503470524, Hostname=DB5EUR03HT...od.protection.outlook.com] 9023 bytes in 0.368, 23.938 KB/sec Queued mail for delivery -> 250 2.1.5)
> 
> I dalej sieje po różnych adresach email - prawdziwych i fikcyjnych.

Jak już się uwierzytelnił, to może - tak to ma działać.
Jak się uporasz z tym bałaganem, to możesz ustawić limity dla loginów/adresów IP nadawców.

> Dochodza podobne połączenia z innych IP - istny sajgon

Uwierzytelnienie tymi samymi danymi co w logu, czy za każdym razem innymi?
Pokazałeś jeden wpis z logów - pokaż więcej...

> Nie rozumiem mechanizmu.
> 
> Mało tego, ze się uwiesza i spamuje to jeszcze otwiera połączenia ipv6 choć support dla ipv6 jest wyłączony, a na inpucie ipv6 jest drop.

Pokaż te logi z IPv6.

> Wszystkie adresy email w domenie należą do userów systemowych z /bin/false, ale authid dla faktycznego usera autoryzującego się w sieci lokalnej wygląda authid=user.
> Mam rozumieć, że dysponuje hasłami niektórych userów i się autoryzuje

Może tak być, jeżeli hasła masz słabe.
Ponownie pytanie: w logu przy uwierzytelnieniu tych spamów są dane rzeczywistych userów czy fejki?

, czy też wykorzystuje jakąś dziurę w sendmailu.
> Zresztą, gdyby się autoryzował, to mógłby wysyłać jako ten user, a on spamuje z fikcyjnych kont niby z domeny - coś jakby aktywować opcję relay_local_from albo relay_mail_from,

A nie masz FEATURE(relay_entire_domain) albo innego podobnego wynalazku?
Sprawdziłeś całe sendmail.mc?

> Jak tylko wyłączę tą opcję delay_checks wraca spokój i normalna praca sendmaila.
> Wyłączyłem FEATURE dnsbl zen.spamhaus i można wysłać pocztę z dynamicznego, ale to oznacza, że ze spamerskimi nalotami trzeba będzie walczyć na piechotę.

Czyli potwierdzasz, że problem z relay wynika z włączenia uwierzytelnienia?

> 
> LFC
> 

Możesz ewentualnie jeszcze spróbować zapytać na comp.mail.sendmail.
Udziela się tam (chociaż tu też czasem zagląda) specjalista od sendmaila: Andrzej Adam Filip <anfi@onet.eu>