Newsgroup: it.comp.os.linux.sys
Titolo: Postfix e spam?


Mar  8 07:18:03 relay postfix/qmgr[1684]: 1F55812901BB: from=<>, size=2923,
nrcpt=1 (queue active)
Mar  8 07:18:03 relay postfix/qmgr[1684]: 4CE3912901AF: removed
-------------------------------------------------
mi pare di aver capito che qualcuno (dal server mx4_.
hhhhhh.net
) sta facendo
spam verso i server smtp di google (o sbaglio). Ma Postfix non dovrebbe
di default non permettere il relay se non dal dominio cui è configurato?
Non capisco, inoltre, se lo spam avviene attraverso il relay del mio server
oppure la causa potrebbe essere una postazione interna della rete che
manda, a causa di un virus (sono tutti clients windows outlook), mail a
tutto spiano.
xxx.xxx.xxx.xxx è l'indirizzo del mio server di posta. 
La posta funziona regolarmente (a parte la lentezza dovuta,credo,al
bombardamento dello spam di cui sopra) ma non riesco ad interpretare
correttamente il log di cui sopra.
Questa è la configurazione di postfix.
# Global Postfix configuration file.
queue_directory = /var/spool/postfix
command_directory = /usr/sbin/
daemon_directory = /usr/libexec/postfix
mail_owner = postfix
myhostname = 
mail.miodominio.com
mydomain = 
miodominio.com
myorigin = $mydomain
inet_interfaces = all
mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain
unknown_local_recipient_reject_code = 550
debug_peer_level = 2
debugger_command =
         PATH=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/bin
         xxgdb $daemon_directory/$process_name $process_id & sleep 5
sendmail_path = /usr/sbin/sendmail
newaliases_path = /usr/bin/newaliases
mailq_path = /usr/bin/mailq
setgid_group = postdrop
html_directory = /usr/doc/postfix-2.1.5/html
manpage_directory = /usr/man
sample_directory = /etc/postfix
readme_directory = /usr/doc/postfix-2.1.5/README_FILES
myhostname = 
relay.miodominio.com
mydomain = 
miodominio.com
virtual_alias_domains = 
altrodominio.com
 
altroancoradominioo.com
virtual_alias_maps = hash:/etc/postfix/virtual
relay_domains = 
miodominio.com
 
altrodominio.com
 
altroancoradominioo.com
mynetworks = 
192.168.0.0/24
, 
192.168.1.0/24
, 
127.0.0.0/8
smtpd_client_restrictions =
check_client_access = hash:/etc/postfix/access
grazie a tutti.
bye
paolo

 tutto spiano.
Potrebbe essere, ma di default gli spamware usano il direct-to-mx o al 
massimo un relay attraverso il record MX della loro zona inversa.
Quindi, questo lo puoi sapere solo tu.
Nota che dall'estratto di log che alleghi non si vede tutta la storia 
della mail, perchè c'è solo la parte di consegna fallita.
Puoi seguire la storia della mail greppando per il queue-ID assegnato da 
postfix alla mail:
grep 4C8CA12900C9 $LOG_POSTFIX
Potrebbero anche essere solo bounce da user_unknown da spam che tenta 
l'ingresso, se non fai il rejection sul boundary (non ho guardato).
Puoi provare a capirlo greppando il destinatario della mail in uscita e 
vedendo se hai ricevuto mail da quel mittente, e se la mail in uscita ha 
envelope sender nullo.
'ao
-- 
cat: .signature: No such file or directory

 
sono riuscito ad estrarre dal maillog:
----------- /var/log/maillog --------
Mar  8 11:26:38 relay postfix/qmgr[1684]: 4C8CA12900C9: from=<>, size=4428,
nrcpt=1 (queue active)
Mar  8 11:26:41 relay postfix/smtp[5848]: 4C8CA12900C9: host kkkkkk . google
_ . com[64.233.zzz.zz] said: 450 4.2.1 Try again later, mailbox temporarily
unavailable. (in reply to RCPT TO command)
Mar  8 11:26:42 relay postfix/smtp[5848]: 4C8CA12900C9: to=<mc xx mail xx er
@ g mail _.com>, relay=yyyyyy . google _ . com[64.233.zzz.zz], delay=47091,
status=deferred (host yyyyyy . google _ . com[64.233.zzz.zz] said: 450
4.2.1 Try again later, mailbox temporarily unavailable. (in reply to RCPT
TO command))
----------- /var/log/maillog --------
tutti e tre i messaggi si ripetono molto frequentemente e il numero
qmgr[1684] è sempre lo stesso, segno che quel messaggio, a mio avviso, è in
loop. O no?
Grazie in anticipo,
Paolo

 
a naso, pare sia il tuo server a spammare...
provato con qualche test per open relay?
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
| (fake address in reply-to field!)
+-------

 
Il problema è che il server postfix è dietro al firewall a cui non ho
accesso. Ho provato a telnettare su 
relay-test.mail-abuse.org
 ma
il firewall non mi fa passare. Ci sono altri modi, secondo te, per
testare il relay?
Grazie,
Paolo

 loop. O no?
il numero qmgr[1684] è sempre lo stesso perchè quello tra parentesi è il 
pid del queuemanager, e resterà (in linea di massima) uguale fino a che 
master non lo chiude e lo rilancia (variazioni nella conf seguite da un 
postfix reload, per dire).
La prima riga:
Mar  8 11:26:38 relay postfix/qmgr[1684]: 4C8CA12900C9: from=<>, 
size=4428, nrcpt=1 (queue active)
Indica come il queue ID 4C8CA12900C9 abbia origine dal queue manager (e 
quindi sul server stesso, altrimenti inizierebbe con una connect da 
qualcuno), segno che è il risultato di un bounce, il che è confermato 
dall'envelope sender nullo ( from=<> ).
prova una ricerca nei log per il destinatario del bounce:
grep 
quel...@gmail.com
 $POSTFIX_LOG
e poi greppa per il queue-ID che aveva la mail entrante da questo 
*mittente*.
Troverai quasi certamente che la storia di questa mail assomiglia a:
1) arriva una mail diretta a Tizio@tuodominio da 
quel...@gmail.com
2) Il tuo server la accetta e tenta di consegnarla alla macchina per la 
quale fa relay (il dominio "tuodominio" non è su questa macchina qui ma 
sta oltre)
3) l'utente Tizio su tale macchina non esiste, e il tuo relay riceve un 
550 User unknown.
4) Il tuo relayer genera un bounce (quindi from=<> ) diretto a 
quel...@gmail.com
5) cercando di consegnare tale mail ottiene a sua volta un 550 poichè i 
server gmail non sanno nulla di un tal 
quel...@gmail.com
Si chiama "backscatter da user_unknown", ed è dovuto al fatto che il tuo 
sistema è un multi-tier in cui lo strato esterno non ha visibilità degli 
utenti, e quindi accetta indefessamente qualsiasi cosa sia diretta al 
dominio.
Le soluzioni passano dall'esportazione delle mappe utente sul tier1 
(ldap, mysql, whatever) oppure dall'uso di specifici hacks quale
http://www.postfix.org/ADDRESS_VERIFICATION_README.html
Per una migliore comprensione della cosa consiglio anche
http://www.postfix.org/BACKSCATTER_README.html
Saluti.


 testare il relay?
Ciao, non so se ti puo' interessare, ma mi sembra che
http://www.abuse.net/relay.html
 effettui alcuni test sull'open relay via
web, dandoti i risultati dei tentativi "in diretta".
Spero ti sia utile!
Saluti, Marco

 Saluti, Marco
Ho visto il link che mi hai passato e ti ringrazio molto.
Domani faccio immediatamente le prove di relay che vengono fornite.
Grazie,
Paolo

 Paolo
Figurati, spero ti sia d'aiuto! Penso esista qualcosa di piu' raffinato,
ma almeno hai un'idea di cosa fa/non fa il tuo mailserver! :-)
Saluti, Marco

 
Ti ringrazio molto di tutte le spiegazioni. E' la prima volta che mi capita
una situazione simile ed ho scoperto quanto poco conosco Postfix.
Grazie,
Paolo

 per evitare di accettare qualsiasi indirizzo (inesistente) ai mio server?
Yep
