Newsgroup: it.comp.os.linux.software
Titolo: Consegna posta e firewall.

	Dunque, io uso postfix per la gestione della posta. Ho settato il mail
agent per inviare la posta con l'opzione -f , per poter consegnare
direttamente la posta e non dover cambiare SMTP ogni volta che mi
connetto con un ISP diverso.
	In generale la cosa funziona bene, fino a che non mi sono accorto che
non riuscivo a consegnare la posta ad una mailing list. Esaminando i log
della posta e del firewall ho notato che ci sono connnessioni rifiutate
dall'host che ospita la succitata ml (dall porta 25) verso di me.
	A questo punto mi e' sorto il dubbio che per consegnare posta
(direttamente intendo, senza passare per l'smtp di tin o altri) devo
accettare le connesioni dalla porta 25 di chiunque. Con una cosa tipo :
	ipchains -A input -s 0/0 25 -d $my_ip 1024: -j ACCEPT
	E' giusto oppure mi basta lasciar connettere l'host che mi ha dato
problemi e lasciar fuori tutti gli altri ?
	Grazie, Giovanni.
-- 
   |^^^^|
   |    |  Eat my shorts !             * Linux Powered *
   |()()| /                            - Kernel 2.2.14 -

problemi e lasciar fuori tutti gli altri ?
Ne' uno ne' l'altro. Quello che devi fare e` passare da un server SMTP che
abbia un IP statico e un nome pubblico.
Ciao.

 Ciao.
	Ciao, Giovanni.


problemi e lasciar fuori tutti gli altri ?
No, la porta 25 remota la devi lasciar collegare, devi bloccare semmai
le connessioni alla porta 25 LOCALE. Cioè (sperando di non dire cagate
troppo grosse) una cosa di questo tipo:
ipchains -A input -s ! 
127.0.0.1/24
 -d 
127.0.0.1/24
 25 -j REJECT
ipchains -A input -s 
0.0.0.0/0
 -d $my_ip/32 25 -j REJECT
ovvero: (1) rifiuta tutti i dati in ingresso per la porta 25 del
localhost, a meno che non provengano dal localhost stesso.
(2) rifiuta qualunque altro tipo di collegamento alla porta 25 del mio
ip "pubblico" (ovvero tentativi di connessione che provengono
"dall'esterno"), qualunque sia la provenienza.
Almeno se il pranzo di oggi non si è dimostrato troppo pesante...
-- 
Crononauta               | togli 'sse' dall'indirizzo  | 
==========               | per rispondermi in e-mail   | 
ICQ UIN: 4005815
IDAnet: 
http://adcserver1.biodip.unimi.it/ida/index.html
GP Legends: 
http://www.multiplayer.it/driving/index.html

abbia un IP statico e un nome pubblico.
E' una porcata per chi usa più connessioni: se definisco (es.) come
smtp 
mail.libero.it
, quando mi collego con tiscali non posso spedire
la posta, perché 
mail.libero.it
 non accetta connessioni per chi
proviene dal dominio tiscali (e mi sembra anche giusto).
Dovrei ogni volta riconfigurare postfix, a quel punto tanto vale usare
wincaz!
La cosa migliore è lasciare che postfix contatti direttamente il
server di destinazione per lo smistamento alla mailbox indicata; e
farsi accettare come dominio di spedizione mediante una canonizzazione
in "sender_canonical". Alternativamente si può usare l'opzione -f di
sendmail, però come mi avevano fatto rilevare, questo ha il grosso
problema che lascia la canonizzazione al buon cuore degli utenti...
abbastanza inaccettabile in un'ottica di sicurezza.
In questo modo posso spedire la posta a chiunque (perché al
destinatario io mi presento come 
ulib...@libero.it
), e senza badare
all'account che sto usando, perché ovviamente verso il localhost ho
sempre accesso a prescindere dall'ip che mi assegna il provider.


server di destinazione per lo smistamento alla mailbox indicata;
No, la cosa migliore e' avere un dominio qualificato. Se non ce l'hai, la
SECONDA cosa migliore e' utilizzare qualcuno che ce l'ha. Qualunque altro
sistema non ti da' la garanzia di funzionare sempre. E, quel ch'e' peggio,
non ti avverte quando non funziona.
Ciao.

connesioni solo dai server SMTP a cui sono abbonato (tin, etc).
A me pare di aver capito bene, e la mia risposta resta sempre quella.
Poi fai come credi, la posta e' tua.
Ciao.

non ti avverte quando non funziona.
Puoi avere le tue ragioni, ma se devo riconfigurare tutto ogni volta che
mi collego con libero o tiscali o clubnet, allora uso Wincaz e Outmerd...
il vantaggio di linux dove sta?
-- 
Crononauta               | togli 'sse' da ulissebarra | 
==========               | per rispondermi in  e-mail | 
ICQ UIN: 4005815                                          
IDAnet: 
http://adcserver1.biodip.unimi.it/ida/index.htm
GP Legends: 
http://www.multiplayer.it/driving/

il vantaggio di linux dove sta?
Esempio, io ho quattro file di configurazione di leafnode identici,
cambiano solo i server news, e leafnode "switcha" automaticamente il
file giusto a seconda del provider con cui mi connetto, cosi' con
i server ai quali una determinata connessione non potrebbe accedere
non ci prova nemmeno e non perde tempo. Il fiewall idem, si setta
i dns, pop3 smtp eccetera automaticamente. Non e' difficile dai :-)
-- 
Ciao, Mario.
http://members.xoom.it/mccmario/

 troppo grosse) una cosa di questo tipo:
	Si', si' su questo sono d'accordo. Il dubbio era se potevo restringere
il campo delle porte 25 da cui accettare connessioni. Questo perche'
fino ad ieri accettavo connessioni solo dai ISP a cui ero abbonato (tin,
wind, etc) e non avevo avuto problemi. Poi ne ho avuto uno, e mi sono
chiesto se era un caso (ovvero bastava aggiungere quell'ip ai vari
ACCEPT) oppure no, ed era bene accettare tutte le connesioni da una
porta 25 verso una mia porta 'alta'.



Nessuno parlava di leafnode, io parlavo di postfix.
Anche perché con leafnode basta mettere i server in elenco:
server = 
news.server1.it
server = 
news.server2.it
server = 
news.server3.com
e via dicendo, poi lui si collega a quello che riesce...
Postfix è più complicato, perché a ogni connessione dovresti
"commutare" il 
main.cf
 in modo che aggiorni l'smtp esterno di
riferimento, e poi anche dare il segnale di reload.
Ma quel che mi fa incazzare è che ormai siamo in mano a dei mentecatti,
gli smtp server dei provider funzionano DI MERDA, e allora io mi domando
perché devo dipendere da un branco di pezzenti per spedire la mia posta
quando posso farne a meno e arrangiarmi da solo.
Adesso venitemi a dire che siete più tranquilli se la vostra posta è
affidata a un postfix che si "finge" 
tin.it
, oppure a 
mail.tin.it
configurato come vediamo...
In termini di rischio di non riuscire a spedire, non c'è paragone!


il vantaggio di linux dove sta?
Ma fammi capire, configurare che cosa? e perche'? Con POP3 o IMAP puoi
ritirare la posta da tutti gli account che vuoi, su qualunque ISP,
indipendentemente da quale collegamento stai usando. Con lo stesso server
SMTP dell'ISP che stai usando puoi spedire a chi vuoi. Che bisogno c'e` di
riconfigurare "tutto"? O, se preferisci, che bisogno c'e` di cambiare
collegamento ogni due minuti, anche se hai account di posta presso diversi
fornitori?
E se proprio ti serve, non e` poi cosi` complicato costruirsi un sistemino
che te lo faccia in automatico. O ci sara` magari un MTA che ti semplifica
anche la cosa.
Col diffondersi dell'autenticazione SMTP, poi, probabilmente il problema
diventera` anche piu` semplice da risolvere.
Ciao.
P.S. .... e poi, io tutto sto bisogno di avere piu` collegamenti ad
Internet francamente non lo capisco molto: mi da l'idea di quello che,
siccome piove in casa, scoperchia il tetto. Grazie, ma a me basta un buco
solo (in qualunque senso vogliate intendere la frase).

riferimento, e poi anche dare il segnale di reload.
Non conosco postfix, quindi ti credo, leafnode era solo un esempio.
Io ho (semplificando) quattro connessioni disponibili. Se mi connetto
ad esempio con libero, leafnode, il firewall, wwwoffle e quantaltro si
adeguano ad una configurazione stabilita in base al provider in uso.
Alla successiva connessione, se il provider e' rimasto quello della
configurazione precedente, tutto resta invariato. Ma se invece il
provider e' diverso il tutto si riaggiusta, ad esempio con uno stop,
start e quindi riavvio di wwwoffle con i nuovi dns, leafnode che cambia
file di configurazione, firewall che si adegua ai nuovi ip eccetera, ma
pero' il tutto *solo* se necessario. Si sente smacchinare qualche 
secondo e amen. Ripeto, non conosco postfix, ma una cosa del genere
non e' applicabile ? 


non e' applicabile ? 
Può darsi che lo sia, ma perché complicarsi la vita quando esiste
un'alternativa efficacissima?
Che sia il mio postfix "presentandosi" come 
libero.it
, oppure il vero
l'smtp di libero a spedire la posta, cosa cambia?
-- 
Crononauta               | togli 'sse' dall'indirizzo  | 
==========               | per rispondermi in e-mail   | 
ICQ UIN: 4005815


Internet francamente non lo capisco molto: 
Perché se le connessioni fanno indiscriminatamente cagare, uno cerca
di usare quella che funziona meglio in quel momento, e poiché non è
sempre la stessa, si fa di necessità virtù.
Vedo che ti colleghi con tin: vogliamo parlare di quanto funziona bene
il newsserver di tin, per esempio?
Sembra che i newsserver facciano a gara a chi si inchioda di più, un
poveraccio che trova 
news.libero.it
 bloccato o inaccessibile, o trova
sempre occupato, cosa deve fare? Io risolvo agilmente con altre
connessioni, se non va libero provo tiscali, se non va tiscali provo
tin, se non va tin provo kataweb... insomma prima o poi una che va la
trovo, e secondo te io dovrei ogni volta riconfigurare TUTTO?
Io sfrutto linux e i servizi che mette a disposizione, sul mio sistema
ho tutti i servizi che servono e lo metto in culo ai provider e alle
loro configurazioni di merda. 


trovo, e secondo te io dovrei ogni volta riconfigurare TUTTO?
Secondo me, quando non va il collegamento, dovresti ringraziare il Signore
e farti un giro, leggere un libro, andare al cinema, vedere gente
"vera".... Se non si e' capito, il tono della mia osservazione era questo:
ne abbiamo fin troppa di Internet in casa, gia' con i collegamenti cosi'
come sono (che poi, a me tin non funziona neanche cosi' male); auguriamoci
che restino cosi' e che nessuno si sogni mai di realizzare "larghe bande" e
quant'altro.
Ciao.

come sono
Questi sono fatti tuoi, e se permetti, il discorso esula da una
questione tecnica. Personalmente chiedo che una cosa, quando la uso,
funzioni bene. Punto e fine, poi quanto e quando la uso sono fatti
miei che non devono interessare altri, e ad ogni modo non
cambierebbero l'aspetto tecnico della questione.
Se a te fa piacere un newsserver che spesso si impalla o è
irraggiungibile, perché ti consente di leggerti un libro, è una
questione personale che non mi interessa, per me è semplicemente un
newsserver che funziona male.


 
Non serve cambiare il 
main.cf
, c'e' l'apposito comando 'postconf' che con
l'opzione '-e' (mi pare, non ce l'ho sotto mano) modifica solo le voci che
ti interessano di 
main.cf
.
Ad esempio 'postconf -e relayhost=<smtp server del provider>' fa quello
che cerchi tu.
Se vuoi anche l'aggiornamento immediato ti fai uno script con quanto sopra
e 'postfix reload'.
LG
-- 
**************************************************************************
Leandro Gelasi
V Year Computer Science Engineering at Siena University
email : 
gela...@lucy.ing.unisi.it
Gilles Villeneuve will live forever
**************************************************************************

wind, etc) e non avevo avuto problemi. 
Per la posta in arrivo la porta 25 remota non c'entra NIENTE, lo
scambio di dati funziona cosě, a quanto so io: il tuo sistema si
collega alla porta 110 del pop server remoto, e richiede la posta.
Questa viene trasferita tramite il protocollo pop3, dalla porta 110
remota a una del temp range (>1024) locale; il programma che si occupa
di questo č fetchmail.
Fetchmail, perň, puň solo "interrogare" un pop server, non puň
smistare la posta in locale. Perciň, si fa "passare" la posta dal pop
remoto, e la consegna all'MDA locale, che di solito č procmail. Alcuni
ti diranno che invece la cosa migliore č consegnarla a postfix, farla
smistare agli utenti da lui, e *poi* filtrarla con procmail, perché
altrimenti si puň perdere la posta.
Ma in ogni modo, questo avviene a livello di localhost, l'eventuale
porta 25 cui viene consegnata la posta a postfix č da localhost a
localhost, quindi tutto ciň che avviene al di fuori di 127.0.0.1 non
ci interessa.
In ogni modo, nel processo di _ricezione_ posta, la porta 25 *remota*
non c'entra nulla.
(spero di non aver detto troppe boiate).


č follia.
In realta' e' una cosa molto piu' semplice. Se tu aggiungi un account,
quantomeno devi modificare alcune cosette tipo aggiungere le password,
l'username, poi devi modificare il file di leafnode se vuoi aggiungere
un server, gli script di connessione, chap-secret eccetera... Io idem,
in piu' devo solamente aggiungere 5 o 6 righe allo script di firewall.
Sto meditando, piuttosto, ad un "provider.conf" globale per tutto :-)


 e ad ogni modo non cambierebbero l'aspetto tecnico della questione.
... che e` che se vuoi avere la certezza che la posta sia recapitata (ed
essere avvertito se non lo e`) devi rivolgerti ad un SMTP con dominio
registrato (com'e` che mi sembra di averlo gia` detto?).
Ma davvero credi che basti cosi` poco? Una canonizzatina all'envelope
address, e poi?.... ah, gia`!, il giochino della porta 25..... ma fammi
mettere a posto anche l'HELO, va! Non abbiamo dimenticato niente, no?
E invece hai dimenticato un IP grande come una casa. E se io, server SMTP,
decido di rifiutarti il collegamento semplicemente perche' non sei chi dici
di essere? Sarebbe legittimo, in fondo, no? Chi e` piu` che apre la porta a
qualunque sconosciuto? (e` ormai dagli anni '30 che non usa piu` tenere la
porta aperta e la chiave nella serratura, neanche piu` nelle campagne della
Bassa.)
Questo solo per dire la prima cosa che e` venuta in mente a me, che non
sono certo un esperto: non dubito che ci sarebbero anche altri sistemi.
Per esempio (me n'e` giusto venuto in mente un altro) lo sapevi che alcune
mailing list non accettano connessioni dai server che sono in certe liste
di "cattivi"? E se uno decidesse di inserire in queste liste l'IP che stai
usando, perche' e` stato utilizzato in passato da uno spammatore?
Cheddico? Se uno decidesse di metterci tutti gli IP utente di Libero (sai
come si dice? prevenire e` meglio che curare)?
Ripeto, la posta e` tua, facci quello che vuoi. Ma se poi ti tornano
indietro dei messaggi (o, peggio, se non ti arrivano a destinazione, senza
neanche tornarti indietro), non venire qui a parlare di "casi".
I problemi tecnici dei server, poi, si risolvono nel solito modo in cui si
risolvono i disservizi di chiunque offre un qualunque servizio: protestando
(al limite, andandosene) con i responsabili. Sai quanto gliene frega a loro
se tu, continuando a pagare l'abbonamento, ti recapiti la posta da solo
(tanto meglio!).
Ciao.

il vantaggio di linux dove sta?
Usa MasqMail e sarai felice, semplice. 
sendmail -qo wind -> usa l'smtp di wind cambiando anche il from: 
sendmail -qo lib  -> usa l'smpt di libero (come sopra)
ecc. ecc. 
-- 
Renato "Lay-up" Salzano - 
http://members.xoom.it/hitman_work/
 
e-posta: sonicblast (at) 
inwind.it
 / Xena:TWP fan
Powered by Debian 2.2 with Helix Gnome on a K6-II box
-- Webdesigner & sysadmin di 
http://www.italservicesnc.it
 --

 Ciao.


come si dice? prevenire e` meglio che curare)?
Cheddico? e se uno (molti) usasse il sistema DUL? (dial up line) ovvero,
non ti prendo nemmeno in nota, se arrivi da un IP dichiarato assegnato
ad una connessione telefonica e non ad un server fisso?
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

 (spero di non aver detto troppe boiate).
	Mi sa che diciamo le stesse cose. Mi spiego. Io stoppavo le
connessioni dalla porta 25 di un ip diverso da quello di
smtp.tin.it
, perche' mi rivolgevo solo a lui per le
consegne. Adesso che pero' uso postfix ho avuto il problema
che ha originato il post. Adesso ho settato il firewall per
accettare connesioni da un porta 25 verso un mia alta
(>1024).
	Mi chiedevo solo se questa era l'unica soluzione, oppure
potevo accettare connesioni di questo tipo solo da un
ristretto 'gruppo' di ip.
	Tutto qua.


cosa funzioni,
Non le puoi dare perche' non ci sono.
Ciao.

loro non piace (posta in realy, spam, ecc.).
Io continuo a non capire che problema ti poni: è impossibile che io
non riceva notizia se una spedizione non è andata a buon fine.
I casi sono evidentemente 2: 
1) il server di destinazione si limita a verificare il dominio: allora
prenderà per buono il "
libero.it
" che il mio postfix ha detto di
essere, e verrà abilitato a trasmettere posta.
2) viceversa, il controllo avviene sugli ip: semplicemente il mio
postfix *non* verrà abilitato alla trasmissione in quanto (a
prescinere da chi dice di essere) il server destinatario rileva un
tentativo di connessione sulla porta 25 da parte di un computer non
abilitato. Io riceverò come errore "relay not allowed".
E' lo stesso errore che ricevi se provi a usare "me" (quando sono
online) come smtp server, poiché abilito come ip solo 127.0.0.1, tutti
quelli appartenenti alla rete "esterna" ricevono come errore relay not
allowed.
Insomma, o il relay è ammesso oppure no, non è possibile che permetta
il relay ma poi non consegni la posta! Cioè è possibile, ma è un
errore di configurazione del server destinatario, non una "sicurezza",
perché se perde una mail accettata per il relay, ne può perdere una
qualunque a prescindere dalla provenienza!
E ti dirò, io finora non ho avuto mai problemi di spedizione, con
questo sistema. Dovessi cominciare ad avere problemi, ci penserò. Ma
finché la gente mi risponde, ho sufficienti motivi per credere che la
mia posta la riceve!


Dovessi cominciare ad avere problemi,
Questo ci fornira' la massima.
Ciao.

anche la cosa.
MasqMail, MasqMail ... anche se non e' un vero MTA a tutti gli effetti.


 ad una connessione telefonica e non ad un server fisso?
	Conosci qualcuno che lo fa ? Non e' una provocazione, e'
solo che in questi giorni ne ho sentito parlare piu' di una
volta, ma non ho mai 'toccato con mano'. Se ne conosci uno
vorrei provare a consegnargli una mail. Se non e' possibile
(come temo sarebbe), mi sa che dovro' rifugiarmi in qualche
script per cambiare SMTP :(


 Ciao.
	Grazie per le risposte, Giovanni.


	Conosci qualcuno che lo fa ? Non e' una provocazione, e'
Non e' facile avere una lista, uno che dovrebbe farlo e' spin, un altro
e' 
vene.dave.it
, da quel che so.
Non credo i grandi nazionali, all'estero sembra piu' diffuso, in
inghilterra principalmente, sembra.
www.mailforyou.com
, ad esempio, lo mette anche nella dichiarazione sul
metodo usato per la privacy degli utenti:
http://www.mailforyou.com/privacyp.htm


	Conosci qualcuno che lo fa ? Non e' una provocazione, e'
Dimenticavo: se vuoi conoscere alcune delle armi pesanti che si usano
nella lotta allo spam, prova a fare un salto qui:
http://mail-abuse.org


accesso, se sono sulla rete di libero.
D'altra parte, e' anche vero che il tuo SMTP server potrebbe essere
smtp.myserver.whoknows configurato ovunque, e tu potresti da dentro
/etc/ppp/ip-up[.local] vedere quale server va usato basandosi sulla
variabile $LOCALIP, e dare un colpo di
sed -e "s/^smtp.myserver.*/smtp.server.whoknows $MYSERVER/"
ad /etc/hosts...
Leonardo malvagio
-- 
".signature": bad command or file name


con postconf...
-- 
Vuoi configurare velocemente internet, postfix, fetchmail, procmail,
leafnode, firewall, dns, wwwoffle,  junkbuster, mutt, slrn ed altro?
Visita 
http://mrshark.sourceforge.net
 oppure  
http://mrshark.cjb.net
e scarica il "Quick&Easy Configuration Howto",  piu' i files citati.

 con postconf...
	Ho risolto, grazie. Ho messo uno script in ip-up.local che
a seconda dell'ISP a cui mi connetto lancia
	postconf -e "relayhost = [smtp.attuale]"
	postfix reload
	Questo solo se l'isp attuale e' diverso da quello della
volta prima. Tutto pare andare bene.
	Ciao, Giovanni.
