Newsgroup: it.comp.os.linux.debian
Titolo: Re: Postfix + SASL

 così mi attrezzo per le modifiche del caso..
Mi intrometto in xpost . Risulta ? 
x-post&Fup inna

 Non ti seguo, cosa vuoi dire?
agli effetti antispamm sembra un cambio di strategia mica da niente, se 
non ho frainteso.

 tutto come si doveva, boh!
postconf -A
che dice ? C'e' il supporto come client ?
e cmq intanto aggiungerei la specifica del meccanismo di autenticazione 
da utilizzare
smtp_sasl_type = cyrus
e modificherei la seguente:
smtp_sasl_security_options = noanonymous

 Idee o suggerimenti? Aumentare il debugging?
Hai installato   libsas12-modules? 

 newsgroups, chissà che non trovi qualche hint.
Su 
relay.poste.it
 (che uso come smarthost) l'autenticazione avviene via
SSL sulla porta 465, non via SSL.
Alessio


Cosa dice il log della sessione? 

 Idee o suggerimenti? Aumentare il debugging?
Postfix si lamenta perche` 
out.virgilio.it
 gli risponde "strano".
Infatti:
mizio@haziel:~$ telnet 
out.virgilio.it
 25
Trying 62.211.72.20...
Connected to 
rm.virgilio.it
.
Escape character is '^]'.
220 
vsmtp21.tin.it
 ESMTP Service (7.2.060.1) ready
ehlo 
tizio.it
250-vsmtp21.tin.it
250-DSN
250-8BITMIME
250-PIPELINING
250-HELP
250-AUTH=LOGIN
250-AUTH LOGIN CRAM-MD5 DIGEST-MD5 PLAIN
La seconda "auth" e` li per "compatibilita`" con client "broken".
Questo, fa casino con client che invece funzionano (gh). Postfix, prende
a default, in considerazione l'ultima "proposta" di autenticazione, e
questo, oltre alla presenza dell'uguale, *forse* e` a causa dei tuoi
problemi.
Hai a disposizione la direttiva smtp_sasl_mechanism_filter che
*potrebbe* fare al caso tuo.
Prova un:
smtp_sasl_mechanism_filter = plain, login 
e vedi se risolve.
Ciao :)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
        A bleeding heart can be hell on the carpeting.

 *potrebbe* fare al caso tuo.
Ma visto che sono mona, ti ho appena indicato una direttiva che e`
presente in postfix 2.2 (e in sarge c'e` 2.1).
Ti rimane solo smtp_sasl_security_options. Prova qualche combinazione, e
vedi se riesci a "forzare" un tipo di auth uguale da ambo parte. :(


 trovare qualcun altro che con Linux abbia avuto lo stesso problema,
dai un'occhiatina qui...
http://www.oclug.on.ca/archives/oclug/2005-October/047794.html
Semmai prova a loggare una sessione di postfix con tcpdump
Andrea B. 

 vedi se riesci a "forzare" un tipo di auth uguale da ambo parte. :(
 
Io ho un dubbio proprio relativo a quel messaggio di errore 
warning: 62.211.72.20[62.211.72.20] offered AUTH option multiple times
che è generato da smtp_sasl_proto.o
Ora credo che il problema nasca non da outllok ma da quel cazzo di server che 
offre due liste di meccanismi diversi.
Si può risolvere così. Una patchettina al volo da leccarsi le orecchie casomai 
da adattare alla versione sua.
Nano buon lavoro :)
--- src/smtp/smtp_sasl_proto.c.auth	
+++ /src/smtp/smtp_sasl_proto.c
@@ -61,6 +61,7 @@
 
 #include <msg.h>
 #include <mymalloc.h>
+#include <stringops.h>
 
 /* Global library. */
 
@@ -77,21 +78,23 @@
 
 void    smtp_sasl_helo_auth(SMTP_STATE *state, const char *words)
 {
-
+    char *my_name = "smtp_sasl_helo_auth";
+    char *cp;
     /*
      * XXX If the server offers a null list of authentication mechanisms,
      * then pretend that the server doesn't support SASL authentication.
+     *
+     * XXX Some servers offer AUTH multiple times, with different lists of
+     * methods. We could try to be clever and compute unions of those lists,
+     * but simple concatenation may do the job.
      */
     if (state->sasl_mechanism_list) {
 	if (strcasecmp(state->sasl_mechanism_list, words) == 0)
 	    return;
+	cp = concatenate(state->sasl_mechanism_list, " ", words, (char *) 0);
 	myfree(state->sasl_mechanism_list);
-	msg_warn("%s offered AUTH option multiple times",
-		 state->session->namaddr);
-	state->sasl_mechanism_list = 0;
-	state->features &= ~SMTP_FEATURE_AUTH;
-    }
-    if (strlen(words) > 0) {
+	state->sasl_mechanism_list = cp;
+    } else if (strlen(words) > 0) {
 	state->sasl_mechanism_list = mystrdup(words);
 	state->features |= SMTP_FEATURE_AUTH;
     } else {

 offre due liste di meccanismi diversi.
Precisoche mi sono espresso da bestia, anzi in modo errato: vero che uno è 
generato per la compatibilità vecchi outllok e l'altro no, della serie opzione 
broken_sasl_auth_clients = yes,  ma le due righe di auth riportano meccanismi 
diversi. In pratica se il server fosse settato con un mech_list contenente solo 
login e plain o fosse forzabile (giustamate solo dalla rel 2.2 di postfix in 
poi) lato client il meccanismo con l'opzione smtp_sasl_mechanism_filter = 
plain, login
il problema non sussisterebbe. Così invece si vede chiaramente dal codice che 
il gioco non può funzionare. Da cui le tre soluzioni:
- aggiornare postfix --> smtp_sasl_mechanism_filter 
- patchare postfix

 casomai da adattare alla versione sua.
E` una soluzione un po` drastica. :) Se c'e` una soluzione meno invasiva
(che non te la scordi al prossimo update... e poi non va una mazza...
:)) probabilmente e` meglio.
Ho un dubbio anche sul tipo di soluzione. Il problema, al di la` del
warning, e` che client e server non si mettono daccordo sul metodo da
usare (il nano dovrebbe aggiungere il pezzo di log che manda la mail in
deferred, quel waring non e` la parte in causa), e vedrai che sara`
tipo: "SASL authentication failure: blabla".
Nel 2.2 c'e` un opzione che sembra nata per questo, ma IMHO, dovrebbe
riuscire "forzando" il metodo con smtp_sasl_security_options, provando
in serie:
smtp_sasl_security_options =
smtp_sasl_security_options = noanonymous
smtp_sasl_security_options = noplaintext
smtp_sasl_security_options = noanonymous, noplaintext
E vedere che succede.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
True love comes and goes, but Herpes is forever.

 E vedere che succede.
credo niente con questi  perchè nel codice che vedo io del smtp-sasl-proto gli 
unici filtri che vengono controllati preventivamenti sono quelli specificati 
dalla variabile smtp_sasl_mech, ovvero specificati nelle assegnazioni di 
smtp_sasl_mechanism_filter.
La soluzione del 2.2 che anch'io ieri gli avevo suggerito senza effetti (non 
ricordavo della versione 2.2) sarebbe la strada più semplice. E' che gallina 
vecchia e buon brodo mica sempre van via pari ... ma voi debianisti siete mica 
d'accordo che io sappia :)

 d'accordo che io sappia :)
Ohibò. In backports c'è la 2.2, male che vada...
Una pinnata e via...
PS 2 mizio: ma ciao! ;-)

 che io sappia :)
Yawn?
;)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
HELO. My $name is 
sendmail.cf
. Prepare to vi.

 PS 2 mizio: ma ciao! ;-)
^__^
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------


 Quindi forse è la soluzione più semplice.
già, quella di aggiornare è sempre la più semplice. 
cmq fra tre anni funzionerà di certo anche la stable ;)

, relay=62.211.72.20[62.211.72.20], delay=120, status=deferred (lost connection with 62.211.72.20[62.211.72.20] while sending end of data -- message may be sent more than once)
Pier, nota che questo errore, portrebbe essere causato da un disservizio
di quel server (che e` 
mail.tin.it
, 
out.virgilio.it
 e` solo un alias), e
nota che quel server *NON* pretende smtp-auth only. Lo uso
quotidianamente, sull'adsl casalinga. Guarda:
mizio@gate:~$ telnet 
mail.tin.it
 25
Trying 62.211.72.20...
Connected to 
mail.tin.it
.
Escape character is '^]'.
220 
vsmtp21.tin.it
 ESMTP Service (7.2.060.1) ready
helo mizio
250 
vsmtp21.tin.it
mail from: <mizio@<indirizzovalido>>
250 MAIL FROM:<mizio@<indirizzovalido>> OK
rcpt to: <mizio@<indirizzovalido>>
250 RCPT TO:<<indirizzovalido>> OK
data
354 Start mail input; end with <CRLF>.<CRLF>
this is a test message.
.
250 <43D8347A00907A97> Mail accepted
Messaggio correttamente ricevuto. IMHO, stai sbattendo la testa contro
qualcosa che ti ha portato fuori strada. 
mail.tin.it
 NON pretende
smtp-auth. Quel messaggio d'errore (quello che genera il deferred),
tipicamente, si presenta in occasione di problemi di connettivita` (da
uno dei due lati).
HTH.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
A good system can't have a weak command language.


Già, prova a presentarti con ehlo ...
Andrea B. 

 ;)
Il nostro Poeta e' sempre lui caro Tanno :-)
<aol>
PS: ciaoooo!! :D
</aol>
-- 
                    FORZA VECCHIO CUORE BIANCOROSSO!
                   1905 -> 2005... la storia continua
                ---=== Powered by Debian GNU/Linux ===---
                     (registered Linux user #297134)

</aol>
Ma ciao! :)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Paranoia is a survival asset.

 Già, prova a presentarti con ehlo ...
Gia` lo feci, ma e` irrilevante. Se supporta _anche_ smtp-auth (lo
supporta? lo stanno sperimentando?) e` altro paio di maniche. La tesi e`
"mi comunicano che il mio server supporta *solo* smtp-auth e devo
cambiare conf". Non pare essere cosi`. Aggiungo che, per una modifica
del genere (smtp-auth only) mi aspetterei una comunicazione *personale*
e *ufficiale* da $isp, non un "me ne accorgo perche` ha smesso di
funzionare".
Almeno, per quanto 
tin.it
 sia discutibile, /rompere/ i server del 30/40%
delle adsl d'italia, ma fa pensare che avremmo qualche avvisaglia e
feedback in piu`... (ci sarebbero da riconfigurare la totalita` dei
client di posta...) :)
mail.tin.it
 NON e` smtp-auth only. Il problema di Pier non e` legato a
questo[1].
Personalmente, non ho tempo di investigare se il server in questione
supporta pienamente _anche_ smtp-auth e in che modo, e con che livello
di compatibilita`, e ufficialmente o meno. Per altro, avendo un adsl con
loro non mi interessa particolarmente.
Per cui non azzardo ipotesi in merito. Semmai diventasse un costraint
(ma, onesto, mi sorprenderebbe), allora sarei "obbligato" a pormi il
problema. :)
[1]
In questo sasl e` facile da debuggare: quando sbaglia, si lamenta che
auth e` fallita. Da Pier si lamenta che va in timeout in fase di invio
di "data", quindi ben dopo sasl-auth, mail from e rcpt to.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------


 Io dico magari, ma ne dubito a questo punto.
Mah, direi anche io. Ma non succedera` per lo stesso motivo che e` un
macello far cambiare a tanti utenti, magari poco alfabetizzati
informaticamente, impostazioni del client, e so quanto sono reticenti a
queste cose.
Poi, piacerebbe anche a me, che scrivere work che si autenticano sul
relay server e` gia` meno banale, eppero` la vedo dura, ecco. :)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Wasting time is an important part of life.

 relay server e` gia` meno banale, eppero` la vedo dura, ecco. :)
worm, volevo poi dire worm. Freud mi odia. :=)


 di "data", quindi ben dopo sasl-auth, mail from e rcpt to.
Si avevo notato il timeout in data, ma magari accetta i mail from e rcpt to 
e poi blocca la sessione...

 ora la stanchezza di fine giornata mi ha ucciso :-/
da quanto ho letto sul MdI-ng stan mettendo un sacco di servers su Exchange. 
Che sia li il problema ?

 per l'interessamento !
Figurati, ormai vogliamo sapere chi è l'assassino :)