Newsgroup: it.comp.os.linux.sys
Titolo: postfix: reject senza auth

Può sembrare una banalità, ma avendo smesso di usare postfix da anni, non ho la minima idea di come si possa fare.
 
Singolo server di posta che fa sia delivery in locale per una manciata di caselle, sia da server smtp per le suddette.
 
Attualmente ho:
 
smtpd_recipient_restrictions =
   permit_mynetworks,
   permit_sasl_authenticated,
   reject_unauth_destination,
   ...
 
questo fa in modo che tutte le destinazioni, tranne quelle locali, debbano essere soggette ad autenticazione. Mi sta benissimo, il problema è che sto avendo problemi di ricezione spam verso le caselle del server perchè qualche pirla invia tramite il server stesso, quindi evitando l'autenticazione (permit_mynetworks)
 
Se inverto le righe:
 
smtpd_recipient_restrictions =
   permit_sasl_authenticated,
   reject_unauth_destination,
   permit_mynetworks,
   ...
 
spacco la ricezione proveniente da server remoti, i quali giocoforza non possono essere autenticati.
 
Come posso ovviare a ciò?

 spacco la ricezione proveniente da server remoti, i quali giocoforza non possono essere autenticati.
 
Sorry, ma non vedo perchč...
 
 

Forse una volta ogni tanto riesco a essere utile. Nel mio (vecchio) 
postfix ho messo
 
smtpd_sender_login_maps = mysql:/etc/postfix/
mysql_check_sender.cf
 
smtpd_sasl_auth_enable = yes
smtpd_sender_restrictions = reject_sender_login_mismatch
 

 Sorry, ma non vedo perchï¿½...
 
Se il tuo server scrive una mail verso il mio server, lo fa senza autenticazione smtp, ovviamente.
 
Se io indico a postfix di rifiutare TUTTO ciò che non è autenticato, automaticamente blocco la ricezione da parte del suo server.
 

 smtpd_sender_restrictions = reject_sender_login_mismatch
 
Scusa ma non vedo in che modo possa aiutarmi


Se.
Ma non è affatto quello che la tua configurazione dice a postfix:
 
smtpd_recipient_restrictions =
   permit_sasl_authenticated,
   reject_unauth_destination,
   permit_mynetworks,
   ...
 
 
traducendo:
 
- accetta qualsiasi mail autenticata
- rigetta se la destinazione non è locale
- accetta qualsiasi cosa arrivi da reti trustate
 
 
Chi viene impattato in questo caso sono esclusivamente coloro i quali
venivano autorizzati al *relay* senza autenticazione, in quanto inclusi
in mynetworks: poichè ora l'accettazione di tali mail avviene dopo il
rigetto delle destinazioni non-locali, di fatto non son autorizzati a nulla.
 
 
Ma per chi scrive alle tue stesse mailbox non cambia assolutamente nulla...
 
 

    permit_mynetworks,
 
Scusami, ho sbagliato a scrivere, me ne sono accorto solo ora.
Vorrei togliere il permit_mynetworks per i suddetti motivi. Se lo faccio, nessuno mi scrive.
 
In sostanza ho un problema di spam dove dei pirloni scrivono a caselle gestite dal server, usando per l'invio lo stesso server, e non so come evitare ciò.

 Vorrei togliere il permit_mynetworks per i suddetti motivi. Se lo faccio, nessuno mi scrive.
 
No. Rileggi quanto scritto sopra.
 
 
permit_mynetworks autorizza al *relay non autenticato* (o, meglio,
autenticato sulla base dell'IP sorgente), ma non ha nulla a che fare con
la posta diretta a te.
 
 
 

 Scusa ma non vedo in che modo possa aiutarmi
 
No sono io che devo scusarmi e non ho capito una cippa... Se leggo 
fischi per fiaschi vuol dire che ho bisogno di ferie :-)

 la posta diretta a te.
 
Perdonami, mancano pochi giorni alle ferie, ed il mio cervello, già fuso normalmente, ora è del tutto spappolato.
 
Ricominciamo da capo.
 
Io ho un server con 10 caselle @miodominio.tld
Dei coglioni russi si stan collegando al server e stanno spammando a più non posso inviando verso @miodominio.tld
Questo tipo di invio non è soggetto ad autenticazione, visto che la destinazione è una delle caselle locali


Ok, quindi ricevi del normalissimo spam. E lo fermi con i "soliti"
filtri antispam... [1]
L'autenticazione e/o mynetworks non c'entran nulla.
 
Ma al di là di questo, quel che ribadisco (rileggi il thread) è che la
posizione (o, quanto a quello, anche l'assenza) di permit_mynetworks e/o
permit_sasl_authenticated non hanno alcun effetto sul delivery a
destinationi locali, diversamente da quanto da te affermato...
 
 
 
 
[1] A meno che non ci sia qualcosa nella tua infrastruttura che non stai
dettagliando. Tipo: il server in questione è un tier2, i record MX
puntano al tier1 e 'sti russi lo stan bypassando per consegnare
direttamente qui. Che può essere; ma non lo dici...
 

 direttamente qui. Che può essere; ma non lo dici...
 
No, lo stesso server fa di tutto: MX, delivery locale ed SMTP.