Toon posts:

postfix [connection refused]

Pagina: 1
Acties:

Verwijderd

Topicstarter
Hallo,

Ik ben in het bezit van een postfix mailserver in combinatie met een cyrus imapd server. Authenticated smtp is ook mogelijk (cyrus saslauthd). Spamassassin en clamav worden via amavisd-new ingezet als contentfilter.

Ontvangen en filteren van inkomende mail gaat prima. Verzenden van mail dat bestemd is voor de lokale useraccounts werkt ook picobello. Ook als dit via authenticated smtp gaat, Zodra de mail echter bestemd is voor een extern domein komt die in de deferred queue met als melding: no route to host of connection refused. Je zou dus zeggen dns-probleem of routeringsprobleem.

Als ik dit wil beoordelen door bv. dig -t mx hotmail.com te doen krijg ik een geldige respons. DNS werkt dus zoals het zou moeten. Als ik de mailserver van bv. hotmail.com via netcat benader (nc mx1.hotmail.com 25) en handmatig een mail verstuur wordt deze gewoon goed bezorgt. Er zijn geen firewallregels ingesteld en als ik hem met nmap (nmap -sS -v -v -O -sV 127.0.0.1 en het externe ip-adres) controleer of poort 25 ook openstaat, dan is dit het geval. Postfix draait niet chrooted en maakt dus gebruik van de nameservers uit /etc/resolv.conf. Tijdelijk uitschakelen van de contentfilter werkte ook niet...

postconf -n geeft de volgende output:

code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
alias_database = hash:/etc/mail/aliases
alias_maps = hash:/etc/mail/aliases
biff = no
broken_sasl_auth_clients = yes
command_directory = /usr/sbin
config_directory = /etc/postfix
content_filter = smtp-amavis:[127.0.0.1]:10024
daemon_directory = /usr/lib/postfix
debug_peer_level = 2
default_destination_concurrency_limit = 2
disable_dns_lookups = yes
empty_address_recipient = MAILER-DAEMON
home_mailbox = .maildir/
html_directory = no
inet_interfaces = <extern ipadres>, localhost
local_destination_concurrency_limit = 2
mail_owner = postfix
mailbox_transport = cyrus
mailq_path = /usr/bin/mailq
manpage_directory = /usr/share/man
mydestination = $myhostname, localhost.$mydomain, localhost, mysql:/etc/postfix/mysql-mydestination.cf
mydomain = blablabla.nl
myhostname = mail.blablabla.nl
mynetworks = 127.0.0.0/8
newaliases_path = /usr/bin/newaliases
queue_directory = /var/spool/postfix
queue_minfree = 120000000
readme_directory = /usr/share/doc/postfix-2.1.5-r2/readme
sample_directory = /etc/postfix
sender_canonical_maps = mysql:/etc/postfix/mysql-canonical.cf
sendmail_path = /usr/sbin/sendmail
setgid_group = postdrop
smtpd_banner = Sendmail 8.13.5
smtpd_helo_required = yes
smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination
smtpd_sasl_auth_enable = yes
smtpd_sasl_local_domain =
smtpd_sasl_security_options = noanonymous
unknown_local_recipient_reject_code = 550
virtual_alias_maps = mysql:/etc/postfix/mysql-virtual.cf


met de vermelding dat ik het externe ip en de hostnames even heb aangepast :)
ik heb in master.cf de smtp service al -v logging gegeven en debugging in main.cf leveren beide niets op. Iemand nog frisse vernieuwende ideeën? Wellicht de moeite van het vermelden waard dat dit uiteraard weer eens een: ik ontsta spontaan, terwijl ik het altijd al goed heb gedaan fout is...

Verwijderd

Heb je iets qua logs?

Misschien staat er in de logs wat verder kan helpen.

  • smesjz
  • Registratie: Juli 2002
  • Niet online
disable_dns_lookups (default: no)

Disable DNS lookups in the Postfix SMTP and LMTP clients. When disabled, hosts are looked up with the getaddrinfo() system library routine which normally also looks in /etc/hosts.

DNS lookups are enabled by default.
Dan vraag je toch om problemen als je die uitzet?

Ow ja, die smtpd_banner veranderen in Sendmail is beetje zinloos. Als je 'help' of 'quit' typt zie je al meteen of je met een Postfix server aan het praten bent of niet ;)

Verwijderd

Topicstarter
Verwijderd schreef op dinsdag 30 januari 2007 @ 11:21:
Heb je iets qua logs?

Misschien staat er in de logs wat verder kan helpen.
ik zal zo de logs met verbose meldingen wel even posten. Ik zie niet zo 1,2,3 wat bijzonders...

Verwijderd

Topicstarter
smesjz schreef op dinsdag 30 januari 2007 @ 12:06:
[...]


Dan vraag je toch om problemen als je die uitzet?

Ow ja, die smtpd_banner veranderen in Sendmail is beetje zinloos. Als je 'help' of 'quit' typt zie je al meteen of je met een Postfix server aan het praten bent of niet ;)
Heb je een punt, heb het destijds voor de performance uitgezet, zal het wel aanzetten. Toch denk ik niet dat dat gerelateerd is aan het probleem. Banner wijzigen in Sendmail vind ik wel zinvol. Ben het met je eens dat er andere fingerprinting-technieken zijn, maar het zet sommige aanvallers in ieder geval wel op het verkeerde been.

  • smesjz
  • Registratie: Juli 2002
  • Niet online
Verwijderd schreef op woensdag 31 januari 2007 @ 20:16:
[...]


Heb je een punt, heb het destijds voor de performance uitgezet, zal het wel aanzetten. Toch denk ik niet dat dat gerelateerd is aan het probleem. Banner wijzigen in Sendmail vind ik wel zinvol. Ben het met je eens dat er andere fingerprinting-technieken zijn, maar het zet sommige aanvallers in ieder geval wel op het verkeerde been.
DNS lookups uitzetten voor performance? Die kosten juist weinig moeite. Als je echt performance wil verbeteren, mount je je partitie met noatime bijv en moet je niet zulke halfgare maatregelen nemen.

Post maar gewoon maillogs, wij bepalen wel of het zinvol is of niet ;) Want nu zijn we nog steeds steek verder gekomen... (op die postconf log na). Logs na het aanzetten van de -v switch natuurlijk

Verwijderd

Topicstarter
Hmmm,

DNS-lookups was inderdaad het probleem.
Erg apart, aangezien dit nooit problemen heeft opgeleverd.

  • smesjz
  • Registratie: Juli 2002
  • Niet online
Verwijderd schreef op donderdag 01 februari 2007 @ 11:01:
Hmmm,

DNS-lookups was inderdaad het probleem.
Erg apart, aangezien dit nooit problemen heeft opgeleverd.
En graag gedaan.
Als je die DNS-lookups uitschakelt heeft je SMTPD er geen last van. D.w.z. voor het ontvangen van de mail dan. De SMTP client van Postfix die mail naar andere mailservers doorstuurt (als het om niet-lokale mail gaat) kan geen DNS lookups meer doen en dus ook geen MX records opvragen.

Dus tenzij die Postfix machine alleen maar mail ontvangt voor domeinen waar ie de final destination (mydestination, virtual_domain_maps e.d.) voor is, kan je die DNS lookups gewoon uitschakelen.

Maar je kan mij niet wijsmaken dat het opeens niet meer werkte, zonder dat je iets in main.cf hebt veranderd terwijl je daarvoor wel mail naar 'buiten' kon sturen.
Pagina: 1