Newsgroup: it.comp.os.linux.sys
Titolo: Re: [Postfix] smtp auth per poste.it

 Relaying not allowed - please use SMTP AUTH (in
reply to RCPT TO command)
-------------------
oltre a quelle gia' messe in 
main.cf
, non saprei che altre opzioni
di autenticazione provare, dalle doc di postfix mi pare che dovrebbe
farcela da solo ad autenticarsi, senza moduli esterni... mah,
sicuramente sbaglio qualcosa... ma cosa?
Se qualcuno puo' darmi una mano e' ovviamente il benvenuto, grazie. 
Ciao,
Giuseppe
-- 
 abbadabba

 reply to RCPT TO command)
Che significa che non sta usando smtp-auth.
Occhio che in alcune distribuzioni, il supporto sasl/tls non e` incluso,
ma e` un pacchetto a parte.
Ad esempio in debian e` cosi`. In debian se non installi l'apposito
supporto (postfix-tls), non puo` funzionare.
mizio@hal:~$ apt-cache search postfix tls
postfix - A high-performance mail transport agent
postfix-tls - TLS and SASL support for Postfix
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Diplomacy is the ability to let someone else have your way.

 ma e` un pacchetto a parte.
eppero' credevo di avere tutto, da 'rpm -qi postfix' (mandrake):
This rpm supports LDAP, SMTP AUTH (trough cyrus-sasl) and TLS.
If you need MySQL too, rebuild the srpm --with mysql.
e avevo gia' installato il pacchetto
cyrus-sasl-2.1.12-1mdk
sperando, lo ammetto, che -configurato postfix- l'autenticazione
lato client fosse automatica.
Come vedi ci sto capendo poco, sorry :-)
 
Ciao,
Giuseppe
-- 
 abbadabba

 lato client fosse automatica.
cercando fra gli rpm, ho trovato questi possibili plugin, anche se
non si riferiscono a postfix ne nel nome, ne nella descrizione:
libsasl2-plug-anonymous                                                       
libsasl2-plug-crammd5
libsasl2-plug-digestmd5
libsasl2-plug-gssapi
libsasl2-plug-otp
libsasl2-plug-plain
libsasl2-plug-sasldb
libsasl2-plug-srp
piu' altri deprecated e/o unsupported(sic) che non riporto,
e le rispettive versioni "7" (il mio postfix e' il 2.0.6, se c'entra )
libsasl7-*  (corrispondenti non 1:1, nella 7 ne mancano alcuni)
potrebbe essere uno di questi a mancarmi? (il sasl-plain forse?)
Grazie.
Ciao,
Giuseppe (augurante la buonanotte)
-- 
 abbadabba

 lato client fosse automatica.
Non lo posso escludere, dipende da chi e come fa il pacchetto.
Da quello che hai mostrato, pare che il supporto sia presente.
Tornando a bomba, smtp-auth permette diversi tipi di autenticazione. In
assenza di specifiche informazioni, e di errori di username/password (il
primo e` nel formato 
nome.c...@poste.it
), devi andare un po` a naso.
tipiche impostazioni _potrebbero_ essere:
smtp_sasl_security_options = noplaintext
(occhio, smtp, non smtpd, che serve lato server). Altre possibilita`
sono noanonymous.
A giudicare da come si presenta dovrebbe bastare.
250-relay.poste.it
250-DSN
250-8BITMIME
250-PIPELINING
250-HELP
250-AUTH=LOGIN
250-AUTH LOGIN CRAM-MD5 DIGEST-MD5 PLAIN
Cmq, verifica _bene_ le credenziali di autenticazione e ricorda di dare
un postmap /path/to/file nel caso di ogni modifica.
Se proprio non ci salti fuori, devi aumentare il debug verso tale sito,
mediante debug_peer_list = 
relay.poste.it
, o altra strategia di debug.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Sheep are not a substitute for caffeine.

 noanonymous.
provate, non cambiano la situazione; ovvio che se mi validi il tipo di prova 
"manuale"  che ho fatto (trovata negli esempi, non sapevo se era 
veramente attinente allo scopo) il mio problema diventa capire perche' 
_io_ non sono autenticato sul server e non perche' postfix "non funziona"
Grazie
Ciao,
Giuseppe
-- 
 abbadabba

 ("username\0password") con lo stesso risultato
Allora. Il "metodo" e` corretto, ma non devi usare AUTH PLAIN (che come
dice la parola stessa, autentica in chiaro).
Nel senso che postfix non lo usa a meno di dirgli il contrario.[1]
 
E/O nel caso, devi impostarlo nelle options del precedente messaggio.
Quirk: hard && bad. Imposta un client MUA (tipo quello di mozilla), come
da istruzioni di 
poste.it
, e sniffa (tcpdump ad esempio) la connessione
per capire come si autentica.
A questo punto dovresti riuscire a "forzare" l'ordine del tipo di auth
in postfix.
E` grezzo, ma dovrebbe funzionare. Nota che smtp client di postfix,
tenta le auth in ordine in cui le vengono presentate da smtp server
quindi il primo che prova e` LOGIN, da output.
[1]
By default, the Postfix SMTP client does not use authentication methods
that send plaintext passwords, and defers delivery with the following
error message: "Authentication failed: cannot SASL authenticate to
server".
Puoi provare a "spegnere" le altre autenticazioni, a botte di:
# Specify zero or more of the following:
# 
# noplaintext:  disallow methods that use plaintext passwords
# noactive:     disallow methods subject to active (non-dictionary)
# attack
# nodictionary: disallow methods subject to passive (dictionary) attack
# noanonymous:  disallow methods that allow anonymous authentication
# 
# By default, the Postfix SMTP client will not use plaintext passwords.
#
#smtp_sasl_security_options = 
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Those who do not understand Unix are condemned to reinvent it, poorly.

 E` grezzo, ma dovrebbe funzionare.
era un po' che volevo studiarmi tcpdump, questa puo' essere
una buona scusa per cominciare, in effetti ;-)  
Ciao e Grazie ancora per il gentile aiuto,
Giuseppe
-- 
 abbadabba

.
[...]
250 <40B1ED380000C582> Mail accepted.
ho quindi fatto un dump anche di 'postfix flush', ma il risultato non e'
del tipo che mi aspettavo:
220 
relay.poste.it
 ESMTP SerEHLO 
apencil.dyndns.info
.
250-relay.poste.it
.
250-DSN.
[...] altri dump simili, quello "piu' lungo" arriva alle linee
250-DELIVERBY 300.
250 SIZE.
mi sembrerebbe che postfix abbandoni prima di provare ad autenticarsi;
m'era venuta la tentazione di installare postfix da un altro pacchetto, e
ricominciare a configurarlo da capo, ma  la cosa strana e' che postfix ha 
_sempre_ funzionato nello spedire la posta prima di incontrare il server 
di 
poste.it
; ... e funziona ancora, appena testato; boh, sara' da esorciz-
zare :-?
Ciao,
Giuseppe
-- 
 abbadabba

 mi sembrerebbe che postfix abbandoni prima di provare ad autenticarsi;
Non proprio. Come ti dicevo, rifiuta l'auth in chiaro visto che e` il
primo proposto.
La soluzione, a questo punto dovrebbe essere:
smtp_sasl_security_options = nologin
(per farlo saltare direttamente a cram-md5).
Puoi provare anche
smtp_sasl_security_options = noplaintext, nologin
O togliere la direttiva (il default e` smtp_sasl_security_options =
noplaintext, noanonymous)
Ricorda di riavvire postfix in ogni modifica. Se non va con nessuna di
queste tre possibilita`, non saprei cosa dire. L'unica cosa che posso
fare e` provarci io (ho un account su poste, nel caso fammi sapere).
Ps: se trovi la modalita` che funziona, fai un post apposito con subject
significativo: sara` utile per altri che vengono dopo di te.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
A good system can't have a weak command language.

 significativo: sara` utile per altri che vengono dopo di te.
Sara' fatto (spero :-) ) 
Beh, che altro? Ah sě :o) 
Ti ringrazio per il tuo tempo, e la grande disponibilita' nel darmi 
un aiuto, Grazie mille :-)
Ciao,
Giuseppe
-- 
 abbadabba

 Sara' fatto (spero :-) ) 
Allora, visto che mi hai incuriosito, e che ho un account 
poste.it
, ho
fatto un po` di test. I risultati non sono entusiastici.
(Ci sono aspetti specifici di debian)
Con questa configurazione:
# testing pourpose
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options =
relayhost = 
relay.poste.it
# end
e in sasl_passwd
relay.poste.it
   username:password
ho testato su debian woody (stable) e debian sid (unstable).
debian woody, ha postfix 1.1.11. installare il pacchetto postfix-tls
raccomanda l'installazione di libsasl-digestmd5-des o
libsasl-modules-plain. Li installo entrambi. Postfix1, usa libsasl e
non libsasl2.
In questo scenario, con questa configurazione e queste librerie
installate, _FUNZIONA_.
Lo stesso test su debian sid, che ha postfix 2.1.1-1 prevede
l'installazione del solito pacchetto postfix-tls, in dipendenza con
libsasl2 che a sua volta raccomanda libasasl2-modules, che materialmente
comprendono le librerie per le varie forme di autenticazione.
La stessa configurazione, produce invece un
status=deferred (Authentication failed: SASL authentication failed;
server 
relay.poste.it
[62.241.4.1] said: 535 invalid user ID or password)
Il che significa che _potenzialmente_ pare che ci sia qualche problema
con libsasl2, e a meno di ricompilare, linkando postfix con sasl1, non
c'e` verso di farlo andare.
Ripeto: PARE, perche` l'unica cosa che non ho fatto, e` stato
ricompilare postfix2 con supporto a libsasl1.
Spero di avere chiarito un po` la questione. Mi viene da pensare, come
ipotetico "flusso" delle cose che:
poste.it
 usa libsasl1
per qualche motivo, la compatibilita` backworth di libsasl2 non e`
perfetta, almeno nella versione presente su sid.
Allo stato attuale, per assicurarsi di cio`, ci vorrebbe la
ricompilazione del pacchetto, linkando a libsasl1 (perche` essendo in
dipendenza, non c' e`modo di "scegliere" almeno in debian).
Se tu puoi fare questa prova, magari ci togliamo definitivamente questo
dubbio, e facciamo anche qualche bugreport.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Why is "abbreviation" such a long word?

 dubbio, e facciamo anche qualche bugreport.
Volentieri, dimmi come/se posso essere utile; non ho
molta pratica nella cosa :-)
Ciao,
Giuseppe che... e' stato divertente ( speriamo di non prenderci gusto! :o) )
-- 
 abbadabba

 :o) )
;)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
