🚀 go-pugleaf

W dniu 2020-04-04 o 13:02, LFC pisze:
> 
> W dniu 2020-04-03 o 16:32, LFC pisze:
> 
>>>
>>>> Zablokowałem INPUT dla ipv6,
>>> Jeżeli wyciąłeś ruch IPv6 na firewallu, to jaki cudem ten ruch dociera do serwera SMTP?
>>>
> Nie zrozumieliśmy się.
> W sysctl.conf od dawna mam wpisane:
> 
> net.ipv6.conf.default.disable_ipv6 = 1
> net.ipv6.conf.all.disable_ipv6 = 1
> 
> Chyba, że nie zrozumiałem zasady, ale 1 oznacza enabled, czyli jak dla mnie reguła ma być aktywna, czyli wyłączyć ipv6.

Tak jest OK i taka konfiguracja wyłącza IPv6.
> 
> Gdyby to oznaczało jednak, że jest włączone to tłumaczyło by czemu właziły hosty po ipv6, ale i tak mi to skrzeczy, ponieważ skonfigurowałem w sendmail.mc demony dla Family=inet, wiec nie powinny
> słuchać po ipv6.
> Dopiero REJECT na INPUCIE w ip6tables zatrzymał ten proceder.

Jak chcesz wiarygodnej analizy to pokaż logi.

> 
> Oprócz tego pakowały się hosty po ipv4 przedstawiając się jako domena. Wszystko to się działo z opcją (`delay_checks', `friend') w sendmail.mc
> która jak zrozumiałem miała wstrzymywać test dla określonych userów wpisanych do acces z opisem Spam:adres@email FRIEND, którzy dokonaja autoryzacji, a puszczała do relayowania również spamerskie hosty, które przedstawiły się jako z domeny.
> Po wywaleniu tej opcji wszystko wraca do normy, jest spokój ale nie da się wysłać poczty z domowego internetu obojętne czy z portu 25, 587 czy 465, o ile nie jest to adres statyczny bo sendmail przy pomocy dnsbl spamhaus wysyła hosta na drzewo jeszcze przed autoryzacją.

Ustawienie nasłuchu na porcie 587 z relay wyłącznie dla klientów po uwierzytelnieniu jest proste:

Sprawdź config SASLa:

[root]# cat /etc/sasl2/Sendmail.conf
pwcheck_method:saslauthd

i ustaw w sendmail.mc

dnl # The following allows relaying if the user authenticates, and disallows plaintext authentication (PLAIN/LOGIN) on non-TLS links
define(`confAUTH_OPTIONS', `A p')dnl
dnl # w 2 poniższych mechanizmy możesz ustawić w/g uznania
TRUST_AUTH_MECH(`DIGEST-MD5 CRAM-MD5 LOGIN PLAIN')dnl
define(`confAUTH_MECHANISMS', `DIGEST-MD5 CRAM-MD5 LOGIN PLAIN')dnl

FEATURE(`no_default_msa')dnl
DAEMON_OPTIONS(`port=587, Name=MSA, M=Ea')dnl

oraz zostaw delay_checks bez kombinacji:

FEATURE(`delay_checks')dnl

a w access wyłącz wszystkie zbędne wpisy dotyczące relay poza:

To:twoja.domena.pl	RELAY

oraz powyłączaj do testów wszystkie wpisy Spam:...

W takiej konfiguracji delay_checks przesuwa kontrolę dnsbl do momentu rcpt, a poprawne uwierzytelnienie klienta wyłącza ją wogóle.
Powyższe ustawienia zakładają, że masz już w sendmailu uruchomione szyfrowanie i ehlo na porcie 587 pokazuje 250-STARTTLS.
W kliencie ustawiasz port:587/szyfrowanie:StartTLS/uwierzytelnianie:włączone (w Mozilla Thunderbird: "normalne hasło").

> 
> LFC