Newsgroup: it.comp.os.linux.sys
Titolo: ANTIRELAY - giri e raggiri - HELP

.
viene bloccata.
Ora io vorrei capire se si può, e come si può fare, l'implementazione
di queste due regole base del buon antirelay:
1) SE l'utente è chiunqueALLORA il rcp to può essere solo uno utente
contenuto nel mysql ove si appoggia postfix
2) SE l'utente contenuto nel mysql ove si appoggia postfix ALLORA il
rcp to può essere chiunque
Esemplifico:
SE from: any ALLORA rcp to: 
pi...@miodom.it
 O 
pl...@miodom.it
SE from: 
pi...@miodom.it
 O 
pl...@miodom.it
 ALLORA rcp to: any
Ovviamente in questa fase di test, per semplificarmi le cose (e
onestamente perchè non so dove sbattere la testa) sto usando un file
hash nel check_sender_access, tuttavia sarebbe più "carino" usare una
chiamata mysql.
Accetto a orecchie tese cazziate, sgridate, insulti, ma sopra tutto
utili correzzioni.
Vi ringrazio in anticipo.
Mnklnkr

 la mail viene spedita tranquillamente.
Tu devi fare autenticazione con smtp-auth.
Non puoi basarti sul from.
Una volta chiarito questo, il resto dovrebbe essere in discesa.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 
pl...@miodom.it
 OK
Questa non è la soluzone, questo è il problema...
Non mettere *mai* nulla che ritorni un OK prima di
reject_unauth_destination altrimenti l'effetto è proprio quello che
vedi: diventi un open-relay quando qualcuno di esterno incorre nell'OK...
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFF+qho8THo01J+SBERArRqAJ0V0OPQ4NPQY6f12jPxswM1ZzLlTACfUaO/
nsjZXDuCeckLWKRVMONo7rQ=
=A4aC
-----END PGP SIGNATURE-----

            |roberto poggi   
rpo...@softhome.net
Ciao,
 ti ringrazio del tuo consiglio, e so che facendo così mi risolverei
tutti i problemi, tuttavia ho più di mille utenti, alcuni dei quali
sparsi per il mondo e girovaghi, ed è troppo lungo far un deploy di
una nuova configurazione di outlook con l'autenticazione a tutti.
Però, ripeto, se potessi lo risolverei anche io così.

 Perň, ripeto, se potessi lo risolverei anche io cosě.
Beh, spero che sia chiaro che una configurazione come open-relay č
tutt'altro che un buon modo di esser sicuri di riuscire a consegnare la
posta *dopo* averla presa in carico...
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFF+q1N8THo01J+SBERAsl+AKCCVWaGr7Yp00gqsDJDhECZbvLDZwCgxjYv
tAOc/AGUYLom/rHNqhIRsV8=
=dilX
-----END PGP SIGNATURE-----

 
Anche a me i clienti hanno rotto le scatole perň l'alternativa č ritrovarsi 
in n liste di blocco
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Nel futuro ognuno sara' famoso per quindici minuti.
		-- Andy Warhol

 una nuova configurazione di outlook con l'autenticazione a tutti.
Bene. Sei un open relay.
Arrivederci a presto su it.news.net-abuse, allora.
E non sperare di uscire da eventuali black list se non passi i test.


 -----END PGP SIGNATURE-----
Quindi mi vorresti dire che va bene il fatto di usare un file hash
così come lo avevo compilato, ma la direttiva va scritta invece così:
smtpd_sender_restrictions = reject_unknown_sender_domain,
check_sender_access hash:/etc/postfix/
accesso_from
Giusto?

            |roberto poggi   
rpo...@softhome.net
Forse mi esprimo male io Roberto, ma non è questo il discorso che
stavo facendo.
Volevo solo dire che se esiste un modo di far rispettare le due regole
principali del relay utilizzando una combianzione di direttive basate
su file hash (o regexp) la preferisco di molto, al dover avvisare
mille persone circa di mettere lo user e la password.
Se NON esiste questa possibilità attraverso al configurazione di
postfix, allora ovviamente avviserò le mille persone.

 Giusto?
Lo crederei, se solamente qui sopra (nel resto del thread) non fossi
riuscito a confondermi le idee su quello che vorresti ottenere.
Quindi, prima di proseguire, potresti cortesemente spiegare cosa vuoi
ottenere?
Perchè mi pare di capire che il tuo obiettivo è esattamente quello di
essere un open-relay...
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFF+rB58THo01J+SBERAmlrAJ9X7KI8y0Y1UWqyacDZ3S1aAbB8ewCfcM4t
N4Lwp7VBVtI6BytemyF182c=
=Ji6w
-----END PGP SIGNATURE-----



Resettiamo tutto, e andiamo per gradi (fai finta di parlare con
menomato mentale...e vedrai che ti trovi bene con me):
a) IO avevo scritto che nel mio file 
main.cf
 la direttiva
smtpd_sender_restrictions era così formata
smtpd_sender_restrictions = check_sender_access hash:/etc/postfix/
accesso_from, reject_unknown_sender_domain
b) TU mi hai consigliato di non mettere *mai* nulla che ritorni un OK
prima di reject_unauth_destination
c) IO perciò ho capito che devo invertire l'ordine dei parametri per
presentare prima la negazione [reject_unknown_sender_domain ], e poi
il file db [check_sender_access hash:/etc/postfix/accesso_from]
Evidentemente sbaglio IO.
Per chiariti meglio cosa volgio, ti dico che vorrei capire se si può,
e come si può fare, l'implementazione
di queste due regole base del buon antirelay:
1) SE l'utente è chiunque ALLORA il rcpt to può essere solo uno
utente
contenuto nel mysql ove si appoggia postfix
2) SE l'utente contenuto nel mysql ove si appoggia postfix ALLORA il
rcpt to può essere chiunque
Grazie per la tua pazienza, e scusa per la mia ignoranza, ma stò
sostituendo il Linux Administrator finchè non ne riusciamo a trovare
uno nuovo da assumere (skillalto), e in genere io mi occupo solo di
implementazioni spinte di firewall, switch e di tutto il mondo
windows.
Sorry.

 
Aggiungo una riga di chiarificazione per monkalnakor: uno dei test da 
passare viene giusto fatto con postmaster@tuodominio come mittente e quindi 
quel test non lo passeresti mai
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
- Questo e' il mio appartamento.  Ti piace?  E' arredato in stile invernale.
- E com'e' d'estate?
- Con le finestre aperte.
		-- Judd Hirsh

 rcpt to può essere chiunque
pop-before-smtp
ciao ...
-- 
#include <stdio.h>
int main(void){char c[]={10,65,110,116,111,110,105,111,32,98,97,114,98,111,110,
101,32,60,104,105,110,100,101,109,105,116,64,116,105,115,99,97,108,105,110,101,
116,46,105,116,62,10,10,0};printf("%s",c);return 0;}

 mille persone circa di mettere lo user e la password.
Sai quanto mi ci vuole a presentarmi con un from del tuo dominio?
Sai quanti spam-script lo fanno gia' in automatico?
Sai quante spam-bot cercano di continuo open realay?
Sai quanti tuoi colleghi poi vengono a lamentarsi che i loro utenti
non riescono ad inviare posta al dominio xyz una volta entrati nelle
varie black list?
Scusa se sono brutale, ma non sai nemmeno quotare, non hai la minima
idea di come gestire un server di posta e hai un migliaio di utenti
su diecine di domini diversi sparsi per il mondo? Ma non ne avevamo
abbastanza, di casini con lo spam, senza avere sysadmin della mutua
sul mercato?


 
occhio a non prenderti responsabilità non tue: una volta che i clienti si 
incazzano vanno a prendere chi ha fatto la configurazione, indipendentemente 
dal fatto che sia il suo lavoro oppure no
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Io ho un amico cosi' pigro, cosi' pigro, ma cosi' pigro, che ha sposato
una donna incinta.
		-- Gino Bramieri

 rcpt to può essere chiunque
...questo invece non lo è...
La configurazione che descrivi implica che basta che io sappia il
dominio (o uno dei domini) gestiti da quella macchina (e non ci vuole
molto), e poi inizi a tentare di inviare mail con mittenti come info@,
admin@, postmaster@, ecc. (che hanno tutti altissima probabilità di
esistere) e posso usare la tua macchina per inviare posta a chiunque.
Appunto, un open relay.
Ora: posto che questa è una confgurazione realizzabile, realizzarla
significa volersi veramente male.
Se lo farai, quello che accadrà è che in capo ad al massimo due
settimane uno delle migliaia di BOT di spammer che battono la rete a
tappeto si accorgerà di questo comportamento.
Il server in questione, quindi, inizierà a veicolare enormi quantità di
spam, fino ad averne le code intasate, con le ovvie conseguenze di
prestazioni terribili.
Se avete contratti di connettività a traffico vi arriverà una bolletta
assai salata.
Infine, il server verrà rilevato per quello che è (un server abusabile
ed abusato) e bloccato dalle liste (locali e/o pubbliche) di mezza
internet, e mezza internet non accetterà più posta da voi.
Insomma, fidati: non è una grande idea...
Quindi, affrontiamo il discorso partendo dalle fondamenta.
Hai dei client remoti: come puoi fargli inviare posta attraverso il tuo
server?
Prima di tutto è bene capire che un mailserver (ma qualsiasi oggetto
informatico) per poter consentire qualcosa a qualcuno deve poterlo
identificare sulla base di qualcosa di non riproducibile da altri non
autorizzati.
I metodi sono:
1) Dove sta l'utente, ovvero sulla base dell'IP: se hai solo IP noti (e
quindi di conseguenza statici) da cui vedrai arrivare questi utenti,
puoi usare questo criterio per consentirgli il relay.
2) Qualcosa che l'utente *sa*, ovvero username e password, e conseguente
utilizzo di SMTP-AUTH o POP-before-SMTP (bleach)
3) Qualcosa che l'utente *ha*, ovvero una autenticazione su certificato
digitale (TLS)
Basarsi su una cosa come il MAIL FROM non è accettabile, per la banale
ed evidente ragione che questa è una informazione pubblica e facilmente
riproducibile da chiunque non sia il reale utente...
Il che è una considerazione che non vale solo per SMTP nè solo per
postfix o linux, ma per qualsiasiasi applicazione informatica che debba
garantire l'assenza di abusi...
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFF+riv8THo01J+SBERArLZAKCz0XrRVZVT08fvMcTUDo6ZOHL1lQCggP/Z
Su6jf/HZacA8H4qG5TOW3w0=
=o2uO
-----END PGP SIGNATURE-----

 pop-before-smtp
Dava un discreto grado di sicurezza prima dell'avvento di fastweb.
Ora, con migliaia di macchine nattate, la percentuale di false
autenticazioni non mi sembra piu' accettabile, calcolando anche
la marea di wormettini sparaspam in circolazione.


On 16 Mar, 16:24, roberto <rpoggiNOS...@softhome.net.invalid> wrote:

Sei ottuso oltre che maleducato.
Gonfio di te stesso e ignorante nel comunicare con gli altri.
Se ti fossi dato la pena di leggere i messaggi, avresti visto che stò
sostituendo un Linux Admin in attesa di assumerne un altro, e nel
mentre, cerco una soluzione a quel bel lavoro che ha fatto quel
fenomeno, gonfio e tronfio del proprio sapere, che ha messo in piedi
il sistema di cui parlo, prima che ci accorgessimo del maledetto
lavoro che aveva fatto e lo licenziassimo in tronco con tanto di
denuncia a breve pendente sulle sue spalle.
Non ti voglio dire cosa conosco io, ne quanti anni ho, ne per chi
lavoro, ne che posizione occupo, solo per il piacere di umiliare un
sistemista da quattro soldi come te.
Però ti informo, che è meglio essere ignoranti che maleducati.
E' meglio tentare di risolvere un problema che insultare gli altri.
E' meglio essere gentili che saccenti.
E' meglio essere umili che giudici degli altri.
Se proprio lo vuoi sapere, ne le aziende, ne il mondo in generale ha
bisongo di persone come te.
Se vuoi continuare la discussione in privato sull'educazione, ti
pregherei di non sporcare inutilmente questo spazio e di scrivermi
direttamente a 
monka...@libero.it



Ti ringrazio della tua gentile risposta Skull.
Penso che tu abbia ragione, e mi hai convinto ad utilizzare l'SMTP-
AUTH.
Ora comincerò il deploy a tutti gli utenti.
Fino a qualche mese fa avevo il sistema sotto il controllo di un
firewall che tramite il proprio "smtp relay" si occupava dell'anti-
relay e veniva vietato agli utenti più classici (info, postmaster,
admin, administrator, hostmaster eccc...) di spedire la posta se non
provenissero da determinati IP console che hanno scelto i nostri
clienti stessi.
Il sistema usato era Mdaemon, configurato per bene.
Poi abbiamo avuto un aumento spropositato di clienti, e Mdaemon non
reggeva più il passo, sopratutto per il fatto che non è configurabile
in cluster.
Così in accordo con il nostro Linux Admin abbiamo costruito un cluster
debian, con postfix, amavis, ryzor, pyzor e chi più ne ha più ne
metta.
Purtroppo il buon uomo, ha fatto tutto e prima di risolvere il
problema del relay, si è licenziato passando alla concorrenza e
aprendo qualche falla nel sistema di posta interno.
Ovvia la denuncia, e ovvio il fatto che io, comeresponsabile generale
del network mi sono preso l'impegno di come tamponare al soluzione in
attesa dell'assunzione del nuovo L.A.
Non è facile neanche per me, visto che prima di questo episodio
postfix non l'avevo mai visto ne usato, e perciò oggi stò cercando
aiuto per arrivarne a capo.
Grazie ancora e scusa il disturbo.

 una nuova configurazione di outlook con l'autenticazione a tutti.
Ma su, se proprio non vuoi sbatterti con smtp-auth, almeno un
pop-before-smtp.
-- 
Words are very unnecessary
They can only do harm

 wrote:

Penso che inizierò da lì poi per portarmi sul smtp-auth.
Grazie del consiglio.

 rcpt to può essere chiunque
Questo non è un antirelay, questo vuol dire essere un open relay, a patto
che uno spammer utilizzi come mail from: un indirizzo con uno dei tuoi
domini.
Ribadisco: installare pop-before-smtp e mettere un
check_client_access hash:/var/lib/pop-before-smtp/hosts 
in 
main.cf
 non sarà il massimo della bellezza e della sicurezza, ma ti
evita di entrare alla velcoità della luce in black list.


 Sei ottuso oltre che maleducato.
No, non ci siamo.
Mi sa che ti toccherà risolvere i tuoi problemi da solo.
Addio.


Rimanendo in topic, per quanto riguarda gli open relay:
http://www.abuse.net/relay.html
Questi test che grado di affidabilita' (e sicurezza) danno _realmente_ ?
Che altre verifiche si possono fare per stare tranquilli di non aver 
lasciato buchi nella conf ?
Tnk's

 sostituendo un Linux Admin in attesa di assumerne un altro,
SI CHIAMA UN CONSULENTE CHE NE SAPPIA QUALCOSA.
Oppure, si sia pronti a pagarne le conseguenze.
Se manca il chirurgo, io evito di farmi operare da un inserviente,
anche se pulisce i pavimenti dell'ospedale da quarant'anni, o se e'
un ottimo medico internista, ma che non ha mai preso un bisturi in
mano.
La tua soluzione si chiama smtp-auth, e te l'abbiamo detta parecchi
post fa.
Adieu.


Rizio ha scritto:

Non so se fa le stesse cose, io vado sul server e eseguo
telnet 
relay-test.mail-abuse.org
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Il mio ultimo spettacolo ha avuto talmente tanto successo che la gente
faceva a pugni per uscire.
		-- Walter Fontana

 una nuova configurazione di outlook con l'autenticazione a tutti.
La soluzione si chiama: VPN. Qualcosa devi pur fare, non puoi andare
avanti cosi'.
-- 
Posted via a free Usenet account from 
http://www.teranews.com