Newsgroup: it.comp.os.linux.sys
Titolo: BIND, Sendmail, smart relay host e ip forged

... 
Relaying denied. IP name possibly forged [172.16.209.100]
Il messaggio non arriva. Guardandomi in giro, ho scoperto che il 
problema potrebbe essere una configurazione errata di BIND: sendmail 
oterrebbe una risoluzione inversa di 172.16.209.100 che non corrisponde 
a 
alboge.prova.it
.
Allora ho verificato, ma a me sembra ok:
su albo:
[root@albo root]# host 172.16.209.100
100.209.16.172.in-addr.arpa domain name pointer 
alboge.prova.it
.
[root@albo root]# host 
alboge.prova.it
alboge.prova.it
 has address 172.16.209.100
idem su alboge.
Tuttavia, per provare, ho rimosso dal DNS (sia nella zona 
prova.it
 che 
in quella inversa) le entry di alboge... e tutto si è messo a 
funzionare. Peccato che nel dns alboge ci debba restare! Dove sbaglio?
-- 
Marco Ciullini
Datamar s.r.l.
http://www.datamar.it
mailto:
marco.ciullini@datamarpuntoit

 funzionare. Peccato che nel dns alboge ci debba restare! Dove sbaglio?
Questo sara` un aiuto parziale, in quanto non uso piu` da anni sendmail.
Cmq, che sendmail consideri problematico l'ip in questione
(indipendentemente dal reverse), ha senso nella misura in cui esso e` ip
di classe privata e quindi "potenzialmente" artefatto.
Su altri mta (say, postfix), e` possibile definire la "localnet" da cui
accettare posta. Suppongo tu debba fare altrettanto in sendmail e
indicargli quell'ip come facente parte della sua rete, o in generale
degli ip "allowed".
Mi spiace per l'aiuto parziale.
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Sex is not the answer. Sex is the question. "Yes" is the answer.

 Mi spiace per l'aiuto parziale.
Grazie comunque, un aiuto parziale č molto meglio di niente!


> Infatti, in sendmail esiste un fail "access" in cui specificare gli host 
Ho creato un neologismo! fail, failsistem, failserver, failscering...  :-)


 viste le risposte al comando host postate prima, non so che fare.
Soluzione della nonna che *potrebbe* dipendere da come e cosa usa
sendmail come resolver (non tutti l'apposita libreria...):
Prova a mettere la mappatura statica della macchina che contatta il tuo
sendmail, nel file /etc/hosts della macchina con sendmail. Se questo
funziona, e` possibile che sendmail usi un suo resolver o chissa` che
altro, ma se non altro, non devi modificare il dns.
Nota che mi sto muovendo nel vasto e ampio campo dell'ipotetico.
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
The linuX Files -- The Source is Out There.

 altro, ma se non altro, non devi modificare il dns.
Mi ero dimenticato di dirlo... ho provato anche quella, ma niente da fare.
in /etc/nsswitch.conf ho:
hosts:      files nisplus dns
e in /etc/hosts avevo aggiunto:
172.16.209.100  alboge 
alboge.prova.it
ma, se metto le due entry nella zona 
prova.it
 e relativa inversa per la 
sottorete 172.16.209, tutto smette di funzionare, stesso errore di 
prima. Già mi vedo ad editare a mano i file hosts di una trentina di 
client windows... :-(


 Mi ero dimenticato di dirlo... ho provato anche quella, ma niente da fare.
Non ti prometto nulla, ma a casa ho un vecchio libro, "sendmail for
linux", se ho tempo, stasera ci butto un occhio e vedo se c'e` qualcosa.
Se mi scordo di questo thread, beep me in mail (e` valida).
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Company slogan: The Mandatory Beatings Will Continue Until Morale Improves.

 Se mi scordo di questo thread, beep me in mail (e` valida).
Grazie mille. Se passi da Genova, fatti vivo: come minimo ti spetta un 
caffč!


Risolto, almeno parzialmente.
l'Ip address may be forged rimane, ma adesso se non altro fa il delivery.
Il delivery veniva negato in quanto, sulla macchina B (alboge) non era 
abilitata la subnet 172.16.209 al RELAY: io ero convinto che scrivendo 
mail 
pi...@prova.it
 da console della macchina B, sendmail della macchina 
  stessa vedesse il messaggio provenire da 127.0.0.1... mi sbagliavo. 
Abilitato il relay per la subnet 172.16.209 sulla macchina B, il 
delivery viene effettuato: nei log vedo sempre may be forged... ma non 
importa!
Grazie a tutti per l'attenzione, e grazie a Maurizio per la 
disponibilità. Se poi qualcuno riuscisse a farmi capire il perchè del 
messaggio ip may be forged... sarebbe veramente splendido.


 importa!
A giudicare dal quello che scrivono qui, parrebbe un'inconsistenza nei
dati del DNS. Fai delle query nei vari server per verificare come ti
rispondono. Cmq, e` solo un warining.
http://www.sendmail.org/~ca/email/relayingdenied.html#RELDENFORGED
Ps:
Suggeriscono anche di riavviare sendmail se fai modifiche al
/etc/resolv.conf...
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Always remember that you are unique.  Just like everyone else.

 /etc/resolv.conf...
Riavviati sendmail su ambedue le macchine, e bind sulla macchina A.
ecco i rusultati delle prove (ripetute dopo il riavvio dei servizi):
Dalla macchina "B" (alboge)
[root@alboge root]# host 
alboge.prova.it
alboge.prova.it
 has address 172.16.209.100
[root@alboge root]# host 172.16.209.100
100.209.16.172.in-addr.arpa domain name pointer 
alboge.prova.it
.
[root@alboge root]# host 
alboge.prova.it
.
alboge.prova.it
 has address 172.16.209.100
Idem dalla macchina A (albo)
[root@albo root]# host 
alboge.prova.it
alboge.prova.it
 has address 172.16.209.100
[root@albo root]# host 172.16.209.100
100.209.16.172.in-addr.arpa domain name pointer 
alboge.prova.it
.
[root@albo root]# host 
alboge.prova.it
.
alboge.prova.it
 has address 172.16.209.100
A me sembra tutto Ok.
Ciò nonostante, il warning persevera.


 Ciň nonostante, il warning persevera.
Anche a me. Boh, se hai tempo da perdere, puoi ancora verificare due
cose:
- versione di sendmail. Magari in quella specifica versione c'e` una
  sorta di "baco" non grave, ma fastidioso nella gestione della zona 
  inversa...
- dlint o nslint per verificare se, al di la` delle funzionalita`,
  magari la zona ha qualche integrity error che porta sendmail fuori
  strada.
Altro proprio non mi viene in mente, a parte che sendmail non mi piaceva
prima e non mi piace adesso, anche per queste cose. :)
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
If NT is your answer, you don't understand the question

 prima e non mi piace adesso, anche per queste cose. :)
Anche a me comincia a piacere poco... comincerò a guardarmi in giro: 
postfix? qmail?
Ciao


 postfix? qmail?
Se lo chiedi a me, significa che non hai letto molti dei miei messaggi.
:)
Ps:
postfix.
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Every nonzero finite dimensional inner product space has an orthonormal basis.


Entrambi validi, pero' la licenza di qmail non permette di distribuire
binari, ma solo sorgente. Quindi se esce una patch non e' immediato
l'aggiornamento, ma bisogna ricompilare. Io preferisco postfix, magari
su debian :-)
CYA
Banana