Newsgroup: it.comp.os.linux.sys
Titolo: Postfix recipient restriction

Non riesco a far funzionare la seguente configurazione: 
 
smtpd_banner = $myhostname ESMTP
biff = no
 
# appending .domain is the MUA's job.
append_dot_mydomain = no
 
myhostname = 
relay.mydomain.it
 
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
myorigin = /etc/mailname
mydestination = $myhostname, localhost.$mydomain, localhost
local_recipient_maps =
relayhost =
mynetworks = 
127.0.0.0/24
 
172.17.0.0/24
 
172.20.253.0/24
 
smtpd_client_restrictions = permit_mynetworks, reject 
 
smtpd_recipient_restrictions = permit_mynetworks,     	    	    
	 reject_unauth_destination
       recipients_access_maps = hash:/etc/postfix/access
 
smtp_generic_maps = hash:/etc/postfix/generic
smtpd_delay_reject = no
transport_maps = hash:/etc/postfix/transport
relay_domains = hash:/etc/postfix/relay_domains
maximal_queue_lifetime = 1d
bounce_queue_lifetime = 1d
message_size_limit = 20971520 
readme_directory = /usr/share/doc/postfix
html_directory = /usr/share/doc/postfix/html
 
Vorrei configurare recipients_access_maps per poter eseguire dei REJECT 
con messaggio di testo su alcuni indirizzi.
Postfix ascolta sulla 125, il server antispam principale � assp.
 
Con questa configurazione non esegue il reject sugli indirizzi 
configurati nella /etc/postfix/access 
 
Che cosa sbaglio ? 
-- 
Michele
mic...@ml.bounceme.net
 

        recipients_access_maps = hash:/etc/postfix/access
 
Nope.
 
smtpd_recipient_restrictions = permit_mynetworks,     	    	
	 reject_unauth_destination,
         check_something_access hash:/etc/postfix/access
 
Con "something" che dipende da cosa contiene la mappa e da cosa ti
aspetti di matchare.
 
man 5 access
 

 aspetti di matchare.
 
La mappa contiene indirizzi interni: 
 
us...@mydomain.com
    	REJECT    	Please use 
us...@mydomain.com
 
 
Il mio problema é che, postfix ascolta sulla 125 ed é chiamato solo 
dall'antispam, quindi tutte le connessioni sono da 'mynetworks'.
 
-- 
Michele
 

 dall'antispam, quindi tutte le connessioni sono da 'mynetworks'.
 
E allora devi mettere la mappa prima di permit_mynetworks, senn� non
viene chiamata mai...
 
Badando che la mappa contenga solo reiezioni e nessun "OK", o rischi di
fungere da open relay.
 
E posto che avere l'AS che consegna all'MTA da un IP autorizzato al
relay non � il massimo della saggezza; o, almeno, richiede molta
attenzione alle configurazioni dell'AS stesso, pena diventare open relay
(che � la moda del momento...)
 

 relay (che � la moda del momento...)
 
Si, l'AS � ben configurato e non permette relay da indirizzi non 
autorizzati.
 
Grazie, vado avanti con le prove. 
-- 
Michele


Non ne dubito. Ma quel che volevo far notare � che nel caso di un setup
come quello che dipingi, l'autorizzazione all'ingresso in coda deve
avvenire sulla base del dominio di destinazione, non in base all'IP di
provenienza, sicch� di fatto tu stai autorizzando al relay una entit�
(il servizio AS che hai "davanti") che non ne ha alcuna necessit�.
 
Finch� l'AS davanti � configurato a puntino, nessun problema. Appena
qualcuno di fat-fingered (o semplicemente ignorante) sbaglia qualcosa
diventi un open relay.
 
 
E non � che lo dica per soddisfare un prurito: la diffusione di
appliance AS cui si � assistito negli ultimi mesi ha portato ad una
rinascita del "fenomeno open relay", proprio per via di configurazioni
multi-tier in cui il tier1 � implicitamente autorizzato al relay dal
tier2... (decine a settimana, ora come ora...):-\

 con postfix.
 
Attenzione a non generare backscatter se lo fai col server interno.
 
http://en.wikipedia.org/wiki/Backscatter_(email)
 
 
 
 
 

 Attenzione a non generare backscatter se lo fai col server interno.
 
Siete molto gentili ma conosco bene sia il fenomeno delle email backscatter 
sia il problema degli open relay, il file access lo uso solo per fare 
REJECT su alcuni destinatari di posta e solo per un limitato periodo di 
tempo.
 
In caso dovessi andare via dall'azienda, vi prometto di riportare i postfix 
alla configurazione originale, onde evitare interventi maldestri di terzi. 
 
Ora tutto funziona come volevo, ringrazio in particolare skull per l'aiuto.
 
Ciao
-- 
Michele
 

 l'aiuto.
 
HAHA!
"niub inside" non l'avevo notato. Bellissimo.