Newsgroup: it.comp.os.linux.sys
Titolo: Postfix ogni tanto non si autentica

, relay=
mail.meinserver.de
[XX.YY.ZZ.KK]:25,
delay=163, delays=0.07/0.02/157/6.3, dsn=5.0.0, status=bounced (host
mail.lucabert.de
[62.75.208.62] said: 553 PRH04 - Invalid HELO/EHLO name
(See RFC2821 4.1.1.1) (in reply to MAIL FROM command))
Apr 22 05:07:20 frodo postfix/bounce[13410]: 5AF5871807: sender
non-delivery notification: 9AEC871830
Apr 22 05:07:20 frodo postfix/qmgr[2889]: 5AF5871807: removed
Ora, se vado a vedere la configurazione del Server, vedo che l'errore
codificato PRH04 mi viene mandato se l'HELO/EHLO del mittente non e' un
FQD **E** l'utente non si e' autentificato.
Se il mittente si autentifica, sono accettati tutti gli HELO/EHLO.
Aggiungo subito che, anche configurando la macchina per mandare un EHLO
conforme, non risolverei il problema in quando l'E-Mail verrebbe bloccata
dopo in quanto proveniente da un IP dinamico.
Mi trovo quindi nella stranissima situazione di avere un MTA che nel 97%
dei casi (cifra stimata) funziona bene, ma nel rimanente 3% da' i numeri.
Visto che (legge di Murphy) queste E-Mail con problemi sono proprio quelle
che Nagios spedisce, mi secca non poco non vedermele consegnate.
A questo punto, prima di rimuovere Postfix e sostituirlo con qualcos'altro
(no, sSMTP non mi basta! Ho proprio bisogno di un MTA sulla macchina),
vorrei capire se c'e' qualche speranza di risolvere il problema.
Qualcuno puo' darmi un suggerimento?
Grazie
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 *sempre* quelle di nagios?
Si, finora e' capitato SEMPRE alle E-Mails di Nagios...


 Forse il problema e' nagios allora che manda le mail sbagliate?
Non mi sembra... Le E-Mail sono decisamente corrette, direi...
Oltretutto, la maggior parte viene consegnata senza nessun problema.
Solo, ogni tanto, Postfix decide che non e' il caso di autentificarsi e
quell'E-Mail viene rifiutata.
Idee?


 Idee?
alza il log level di tls
smtp_tls_loglevel = 2

 Luca Bertoncello wrote:


Fatto!
Stiamo a vedere quando succede di nuovo!
Per il momento, grazie!


 Qualcuno puo' darmi un suggerimento?
Passa a Exim!

 >rendere il sistema non utilizzabile ma in modo sottile ?
Se NT puo' installarsi via FTP, e' la tua risposta.
 
Leonardo Serni

, relay=local,
delay=0.1, delays=0.05/0.01/0/0.04, dsn=2.0.0, status=sent
 (delivered to mailbox)
Apr 23 05:05:33 frodo postfix/qmgr[7380]: 83EBD71838: removed
Non mi sembra che dica tanto piu' di prima, oltre alle informazioni di
debug del TLS...
Ho pero' trovato qualcosa sul Server, che NON DEVE essere il problema, ma
potrebbe esserlo...
In pratica, proprio in quell'orario, il Server ha riordinato i DBM che usa
Exim per il RateLimiting.
Ovviamente, in quel periodo, per un paio di secondi, Exim non poteva
gestire il RateLimiting e quindi io l'ho configurato per mandare un "421
temporarily error" all'EHLO.
Ora, da quel che riesco a capire dai logs, la macchina "frodo" (il Server
con IP dinamico, dove e' installato Postfix) ha ricevuto il 421 e da bravo
MTA ha ritentato dopo. Pero' dopo non ha piu' ritenuto necessario spedire
un AUTH...
Idee? Sto seriamente pensando a un Bug (di quelli belli grossi!) di
Postfix...


 
potrebbe essere semplicemente che, dopo un primo tentativo interpretato come
fallito, postfix ritenti senza cifrare (questo è il comportamento di
default) e il tuo exim non lo accetta. in questo caso dovresti forzare
l'uso della cifratura, il come dipende dalla versione di postfix che usi.

 l'uso della cifratura, il come dipende dalla versione di postfix che usi.
Scusa, ma temo di dimenticarmi un po' l'italiano (Ach! L'Alzheimer)...
Cosa intendi tu per "cifratura"? Intendi l'uso di SSL/TLS?
Se intendi questo, il mio Exim accetta sia le connessioni in chiaro che
quelle criptate.
E accetta PLAIN, LOGIN, CRAM-MD5 e NTLM come sistemi di autenticazione.
Sulla macchina "frodo" e' installato Postfix 2.3.3-1 da pacchetto Ubuntu
6.10.
Sai dirmi cosa posso modificare in quella configurazione per forzare
questa cifratura sempre?
Ciao


 
smtp_tls_security_level = encrypt

 smtp_tls_security_level = encrypt
OK! Aggiunto...
Staremo a vedere!
Grazie per l'aiuto!


 connessioni in chiaro che quelle criptate...
E l'hai configurato per accettare AUTH anche su sessioni SMTP in 
chiaro?
Fabio

bio ha scritto:


Beh, ovviamente si!
Non so con Postfix, ma con Exim, non e' che devi configurarlo per
accettare AUTH non in TLS, ma devi semmai configurarlo per NON accettare
AUTH in base a certe condizioni (TLS, non TLS, HELO strani, IP che non ti
piacciono, previsioni del tempo, etc.)...
Ciao


 non ha ancora eseguito un flush del DNS?
Come gia' dissi a Davide, ho tentato, ancora assonnato, di mascherare un
po' gli indirizzi...
meinserver.de
 NON e' il mio Server (il mio e' 
lucabert.de
). Sinceramente
non sapevo neanche che 
meinserver.de
 fosse registrato e, ovviamente, non
ho la piu' pallida idea di come sia il loro Firewall...
Da me le porte 25, 465 e 587 sono ovviamente aperte...
Ciao


 piacciono, previsioni del tempo, etc.)...
La configurazione di default (distribuita con la tarball ufficiale) e 
le configurazioni di default delle principali pacchettizzazioni usano 
${if def:tls_cipher} per verificare se il canale e' cifrato, prima di 
annunciare AUTH. E se non c'e' tls, non viene annunciato AUTH. Quindi
non mi sembra sbagliato dire che "occorre configurarlo per usare AUTH
anche su sessioni in chiaro".
Fabio

bio ha scritto:


Bah, questo proprio non l'ho mai visto...
Sul Server ho installato la versione distribuite da 
exim.org
 e ho appena
verificato anche adesso... Nel file configure.default (che e' quello
installato con make install) la configurazione annuncia sempre l'AUTH
proprio perche' non e' stata vietata in nessuna maniera.
Comunque in ogni caso, cio' che conta e' che il mio Server l'AUTH lo
annuncia sempre e fine del discorso...
Ora ho provato a forzare il TLS su Postfix e, gia' che c'ero, importare la
CertificationAuthority di CACert, tanto per...
Staremo a vedere!


 proprio perche' non e' stata vietata in nessuna maniera.
Sai come funziona la condizione "server_advertise_condition" e come si
espande ${if def:tls_cipher}?
configure.default:
[...]
######################################################################
#                   AUTHENTICATION CONFIGURATION                     #
######################################################################
[...]
# They are set up to offer authentication to the client only if the
# connection is encrypted with TLS, so you also need to add support
# for TLS. See the global configuration options section at the start
# of this file for more about TLS.
[...]
#PLAIN:
#  driver                     = plaintext
#  server_set_id              = $auth2
#  server_prompts             = :
#  server_condition           = Authentication is not yet configured
#  server_advertise_condition = ${if def:tls_cipher }
[...]
#LOGIN:
#  driver                     = plaintext
#  server_set_id              = $auth1
#  server_prompts             = <| Username: | Password:
#  server_condition           = Authentication is not yet configured
#  server_advertise_condition = ${if def:tls_cipher }