Newsgroup: it.comp.os.linux.sys
Titolo: ip nei log di postfix

Scusate la banalit�, presumo di avere un client che invia tonnellate di 
spam a causa di un virus. Fortunatamente me ne sono accorto per tempo 
perch� un mio script mi ha avvertito di un volume anomalo nella coda.
 
Premesso di non essere un openrelay, il from dai log viene spoofato a 
from=<>, quindi un modo per risalire all'account compromesso potrebbe 
essere ovviamente vedere l'ip sorgente. Ma con mio immenso stupore mi 
sono accorto di non avere questa informazione nei log (non ci avevo mai 
fatto caso).
 
Qualche anima pia mi da qualche dritta su che parametro passare a 
postifix affinch� nei log ci sia anche l'ip che ha scatenato l'evento? 
mi basterebbe anche un 192.168.pippo.pluto come ogni log di questa terra :�|
Oppure devo passare la mattinata di domani con tcpdump -ni eth0 port 25 ?
 
Grazie ancora!

 fatto caso).
 
Impossibile, se la mail � stata iniettata via (E)SMTP.
(a meno di syslog che butta righe in giro, ovviamente).
 

 postifix affinchè nei log ci sia anche l'ip che ha scatenato l'evento?
 
Postfix vede e provvede e se c'è un IP allora dovresti vederlo.
Se non lo vedi probabilmente devi aguzzare meglio la vista perchè potresti 
avere altri indizi (tipo che la mail è arrivata tramite trasporto locale)
 

 avere altri indizi (tipo che la mail è arrivata tramite trasporto locale)
 
 
La situazione è proprio questa. Un client compromesso e proveniente da 
rete privata invia spam passando lecitamente dal mailserver. Unico 
"illecito" è lo spoofing del campo from che appare vuoto (altrimenti 
sarei risalito all'account).
In questo caso, a meno di tcpdump, non ho nulla che mi faccia risalire 
al client privato compromesso.
 
A questo punto mi domando se io possa dire a postfix che "se sei 
autenticato come 
pi...@pluto.it
 il campro from non può essere null'altro 
di quello". O perlomeno non possa essere vuoto.

, relay=none, delay=641, 
delays=641/0/0/0.04, dsn=4.4.1, status=deferred (delivery temporarily 
suspended: connect to 
mx1.investment.com
[10.42.23.11]:25: Connection 
timed out)
 
 
 
diciamo che qui fortunatamente non è andato a buon fine il recapito.


Stau guardando la cosa sbagliata
 
postfix/pickup[13743]: 0124681D0F: uid=51 from=<> orig_id=126F981FD1
 
Questo ti dice che la mail è stata iniettata localmente (pickup) e
generata dall'UID 51, con envelope sender nullo, come conseguenzialmente
alla mail con Queue-ID "126F981FD1".
 
In altre parole, quello che stai guardando è un bounce generato dalla
mancata consegna di un altro messaggio.
 
Greppa i tuoi log per "126F981FD1:" e troverai la reale origine dei tuoi
problemi.

 di quello". O perlomeno non possa essere vuoto.
 
Yes: reject_authenticated_sender_login_mismatch e smtpd_sender_login_maps


In effetti sono riuscito a trovare la causa. Un geniaccio ha creato una 
casella te...@dominio.ext con password test.
 
 
ho quindi aggiunto questa direttiva:
 
smtpd_sender_login_maps = mysql:/etc/postfix/
mysql_virtual_mailbox_maps.cf
 
 
(non c'era, stava solo virtual_mailbox_maps)
 
 
e quindi
 
smtpd_sender_restrictions =
         reject_sender_login_mismatch
         reject_authenticated_sender_login_mismatch
 
 
ed in effetti non posso più inviare 
pi...@pluto.it
 da un account seppur 
autenticato 
topo...@minnie.com
 
 
 
 
 
Avete controindicazioni? A parte girare per tutta l'azienda a 
rettificare i MUA che inviano tutti dal primo account?