Postfix luistert extern niet op :25, intern wel?

[r0b]

Hai,

Ik loop inmiddels al een week met het volgende probleem:
Ik installeer en configureer een Postfix / Dovecot installatie onder CentOS 5.2 in een Virtuozzo virtualized installatie, m.b.v. deze pagina. Deze instructies zijn vrij standaard (en lijken direct van howtoforge.com's "perfect server setup" af te komen.)

In ieder geval. Na het installeren van postfix / dovecot lijkt alles prima te draaien, máár ... poort 25 blijkt alleen lokaal te bereiken. Extern krijg ik een timeout.

Lokaal:

[root@server ~]# telnet localhost 25
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
220 xs4some.org ESMTP Postfix
ehlo localhost
250-xs4some.org
250-PIPELINING
250-SIZE 10240000
250-VRFY
250-ETRN
250-STARTTLS
250-AUTH PLAIN LOGIN
250-AUTH=PLAIN LOGIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
quit
221 2.0.0 Bye
Connection closed by foreign host.
[root@server ~]#

Draaiende processen op :25

[root@server ~]# lsof -i tcp:25
COMMAND   PID    USER   FD   TYPE   DEVICE SIZE NODE NAME
master  16259    root   11u  IPv4 16496918       TCP *:smtp (LISTEN)
smtpd   19570 postfix    6u  IPv4 16496918       TCP *:smtp (LISTEN)
[root@server ~]#

inet_interfaces in main.cf staat ook gewoon op "all":

[root@server ~]# cat /etc/postfix/main.cf | grep inet_interfaces
[..]
inet_interfaces = all
[..]
[root@server ~]#

in master.cf staat hij ook open voor alles (dit zou de oorzaak wezen volgens deze forum post, maar helaas.)

master.cf:

# ==========================================================================
# service type  private unpriv  chroot  wakeup  maxproc command + args
#               (yes)   (yes)   (yes)   (never) (100)
# ==========================================================================
smtp      inet  n       -       n       -       -       smtpd

Ik heb m'n main.cf, master.cf en ifconfig output maar even online gezet, ook al is het een zo goed als schone installatie: http://xs4some.org/got/

Ik heb de container al meerdere malen gerestored naar beginstate, dus het lijkt toch echt iets in de postfix configuratie zelf te zijn. iptables is ook helemaal leeg:

[root@server ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
[root@server ~]#

In het kort:
- master.cf lijkt mij prima
- main.cf ook
- /var/log/maillog geeft geen enkele melding zodra ik vanaf buiten verbinding maak, intern maakt hij er notitie van
- iptables leeg
- inet_interfaces = all
- master.cf smtp staat open voor iedereen

Wie heeft hier enig idee? Tips zijn welkom

[ Voor 20% gewijzigd door r0b op 14-12-2008 13:58 ]

[r0b]

D'oh. Dat heb je natuurlijk altijd; iets na het posten kom je achter een workaround..

Als ik in master.cf "submission" gebruik (587) dan werkt het wel.

# ==========================================================================
# service type  private unpriv  chroot  wakeup  maxproc command + args
#               (yes)   (yes)   (yes)   (never) (100)
# ==========================================================================
#587      inet  n       -       n       -       -       smtpd
25      inet    n       -       n       -       -       smtpd
submission inet n       -       n       -       -       smtpd
  -o smtpd_enforce_tls=yes
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject

Nu is het alleen nog de vraag waarom :25 niet werkt ... het zal toch niet zo zijn dat m'n VPS provider port 25 blokt?

[ Voor 20% gewijzigd door r0b op 14-12-2008 14:15 ]

[mymind*]

Bijna alle providers blokken volgens mij inderdaad poort 25.
Zie bijvoorbeeld: nieuws: Adsl-providers sluiten 'spampoort' 25

[ Voor 43% gewijzigd door mymind* op 14-12-2008 14:15 ]

[r0b]

mymind* schreef op zondag 14 december 2008 @ 14:14:
Bijna alle providers blokken volgens mij inderdaad poort 25.
Zie bijvoorbeeld: nieuws: Adsl-providers sluiten 'spampoort' 25

Hij staat niet op een thuisverbinding.. het gaat om een VPS-host

[ Voor 7% gewijzigd door r0b op 14-12-2008 14:17 ]

[mymind*]

Dan heb ik niets gezegd Ik ging er even vanuit, my bad....

[r0b]

mymind* schreef op zondag 14 december 2008 @ 14:17:
Dan heb ik niets gezegd Ik ging er even vanuit, my bad....

No worries

Maf in ieder geval .. ik heb maar een ticket ingediend of hij per ongeluk dicht staat, anders zou ik het ook niet meer weten.

[FlorisB]

Bij je VPS Power Panel heb je een firewall configuratie, volgensmij staat die standaard aan. Gewoon even naar je host op poort 4643 vanuit je browser gaan en kijken

[r0b]

FlorisB schreef op zondag 14 december 2008 @ 14:29:
Bij je VPS Power Panel heb je een firewall configuratie, volgensmij staat die standaard aan. Gewoon even naar je host op poort 4643 vanuit je browser gaan en kijken

Die interfaced direct met iptables meen ik, en die staat inderdaad uit.
Inschakelen met "accept any" verhelpt het ook niet.

gertvdijk schreef op zondag 14 december 2008 @ 14:32:
ADSL providers als KPN/Hetnet/Planet/etc blokkeren ook uitgaand poort 25! Dit is ter voorkoming van (spam)botnets die op pc's zonder medeweten van de gebruiker op open relays gaat spammen.
Daarom ben je tegenwoordig bijna genoodzaakt om ook op SMTPS (465) je mailserver te laten draaien.

Ik zit in Finland, dus van die praktijken heb ik gelukkig geen last.
Andere mailservers zijn prima op poort 25 te bereiken, plus ik kan er op m'n werk ook niet bij (andere laptop, geen consumentenlijn, etc etc)

587 en 465 (smtps) werken nu inderdaad wel, alleen 25 loopt nog te bokken. Van mijn kant én iptables / powerpanel is er geen blokkade, dus ik heb maar een ticket ingediend of ze daar na kunnen kijken of ze iets blocken ... zou haast wel moeten.

[ Voor 61% gewijzigd door r0b op 14-12-2008 14:36 ]

[gertvdijk]

ADSL providers als KPN/Hetnet/Planet/etc blokkeren ook uitgaand poort 25! Dit is ter voorkoming van (spam)botnets die op pc's zonder medeweten van de gebruiker op open relays gaat spammen.
Daarom ben je tegenwoordig bijna genoodzaakt om ook op SMTPS (465) je mailserver te laten draaien.

edit: oh, ok.
En doe eens een

netstat -ntlp

code:

tcp        0      0 79.170.89.xxx:25        0.0.0.0:*               LISTEN     11744/exim4
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN     11744/exim4

Kan je dan bijvoorbeeld krijgen voor Exim.
Heb je toevallig ook SSH toegang tot een 'server' om vandaaruit te kunnen testen? Want het is ook goed mogelijk dat je VPS provider een filter heeft draaien die connecties op poort 25 vanaf dynamische/consumentenISP IP ranges blockt.

[ Voor 112% gewijzigd door gertvdijk op 14-12-2008 14:43 ]

[r0b]

[root@server ~]# netstat -ntlp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address               Foreign Address             State       PID/Program name
tcp        0      0 0.0.0.0:587                 0.0.0.0:*                   LISTEN      9396/master
tcp        0      0 0.0.0.0:465                 0.0.0.0:*                   LISTEN      9396/master
tcp        0      0 0.0.0.0:25                  0.0.0.0:*                   LISTEN      9396/master
tcp        0      0 :::110                      :::*                        LISTEN      15986/dovecot
tcp        0      0 :::143                      :::*                        LISTEN      15986/dovecot
tcp        0      0 :::80                       :::*                        LISTEN      11469/httpd
tcp        0      0 :::22                       :::*                        LISTEN      13767/sshd
tcp        0      0 :::443                      :::*                        LISTEN      11469/httpd
tcp        0      0 :::993                      :::*                        LISTEN      15986/dovecot
tcp        0      0 :::995                      :::*                        LISTEN      15986/dovecot
[root@server ~]#

:587 en :465 werken prima, :25 blijft bokken

Vanaf een andere server (shared IP):

[e-mail] [~]# telnet xs4some.org 25
Trying 94.100.27.36...

edit:

Ha! Vanaf nóg een andere server met rDNS IP lijkt het wel te werken.

[ Voor 8% gewijzigd door r0b op 14-12-2008 14:50 ]

[gertvdijk]

server in Rdam:

# telnet 94.100.27.36 25
Trying 94.100.27.36...
Connected to 94.100.27.36.
Escape character is '^]'.
220 xs4some.org ESMTP Postfix
quit
221 2.0.0 Bye
Connection closed by foreign host.

mijn internetverbinding thuis:

$ telnet 94.100.27.36 25
Trying 94.100.27.36...
Connected to 94.100.27.36.
Escape character is '^]'.
220 xs4some.org ESMTP Postfix
quit
221 2.0.0 Bye
Connection closed by foreign host.

server in Adam:

telnet 94.100.27.36 25
Trying 94.100.27.36...
Connected to 94.100.27.36.
Escape character is '^]'.
220 xs4some.org ESMTP Postfix
quit
221 2.0.0 Bye
Connection closed by foreign host.

dus.

[ Voor 54% gewijzigd door gertvdijk op 14-12-2008 14:52 ]

[r0b]

gertvdijk schreef op zondag 14 december 2008 @ 14:49:

# telnet 94.100.27.36 25
Trying 94.100.27.36...
Connected to 94.100.27.36.
Escape character is '^]'.
220 xs4some.org ESMTP Postfix
quit
221 2.0.0 Bye
Connection closed by foreign host.

dus.

Inderdaad, ik heb het net vanaf nog een andere server gedaan en dat lijkt prima te gaan.

Heb je toevallig meer info over dat filter? "virtuozzo smtp filter dynamic" geeft me niet echt veel info

[ Voor 6% gewijzigd door r0b op 14-12-2008 14:53 ]

[gertvdijk]

r0b schreef op zondag 14 december 2008 @ 14:51:
Heb je toevallig meer info over dat filter?

Nee, maar ik zie dan Spamassassin daar ook scores op geeft als je mail stuurt vanaf een niet-datacenter-IP. Dus ik zou eens kijken naar hoe ze het daar hebben geïmplementeerd.

Het is niet iets van Virtuozzo denk ik, maar gewoon de firewall van de ISP (VPS aanbieder). Die heeft een tabelletje met IPs die verboden zijn verbinding te maken op poort 25.

r0b schreef op zondag 14 december 2008 @ 14:55:
Maar ik verstuur juist wél via een 'datacenter-IP'. Inkomend :25 accepteert hij alleen niet vanaf een 'niet-datacenter-IP'.

Dan is die config daar goed brak. Dat betekent dat je die VPS niet kan inzetten als mailserver zo...

[ Voor 46% gewijzigd door gertvdijk op 14-12-2008 14:57 ]

[r0b]

gertvdijk schreef op zondag 14 december 2008 @ 14:53:
[...]

Nee, maar ik zie dan Spamassassin daar ook scores op geeft als je mail stuurt vanaf een niet-datacenter-IP. Dus ik zou eens kijken naar hoe ze het daar hebben geïmplementeerd.

Maar ik verstuur juist wél via een 'datacenter-IP'. Inkomend :25 accepteert hij alleen niet vanaf een 'niet-datacenter-IP'.
Maar ik zal eens rond gaan snuffelen. Bedankt in ieder geval

Het is niet iets van Virtuozzo denk ik, maar gewoon de firewall van de ISP (VPS aanbieder). Die heeft een tabelletje met IPs die verboden zijn verbinding te maken op poort 25.

Hmm, daar heb je een punt.

gertvdijk schreef op zondag 14 december 2008 @ 14:53:
Dan is die config daar goed brak. Dat betekent dat je die VPS niet kan inzetten als mailserver zo...

Lijkt mij een soort system-level dnsbl te zijn .. dynamic IP > hup de iptables blocklist in, ipv service-level waar je het normaal zou regelen (ter bescherming van onwetende klanten die alles open laten staan wellicht?)
Nuja, de meeste mail zal hij wel kunnen accepteren (want: 'geldig' IP), maar een ideale situatie is het niet..

[ Voor 46% gewijzigd door r0b op 14-12-2008 15:02 ]

[gertvdijk]

Wat ik me ook nog bedacht is dat er mogelijk een soort greylisting filter actief is op de firewall van je ISP. Een echte mailserver probeert het namelijk nog een paar keer af te leveren vanuit zijn queue en een spambot probeert dat doorgaans 1x.
Een soort knocking dus.
edit: maar dat is dus niet van toepassing.

Eriky schreef op zondag 14 december 2008 @ 15:03:
Even nog als toevoeging: ik heb een server waarop ik op poort 8025 ook smtp draai zodat klanten via die poort (met SMTP authenticatie natuurlijk) kunnen emailen.

Waarom die poort? Er zijn standaard poorten voor.

Eriky schreef op zondag 14 december 2008 @ 15:03:
Je kunt ook zorgen dat versturen van mail alleen via een beveiligde verbinding gedaan kan worden, dan wijk je ook vanzelf al uit naar een andere poort namelijk.

Wat is bij jou een beveiligde verbinding? Authenticatie neem ik aan? Dan kan je prima instellen dat wanneer de destination ongelijk aan destination-domein van de server auth verplicht is en anders het toegelaten wordt. SMTP auth kan prima op alleen poort 25, afgezien van de blokkades van ISPs.

Eriky schreef op zondag 14 december 2008 @ 15:03:
De opmerking van gert hierboven is ook iets waarnaar je kunt kijken. Postfix heeft ook greylisting addons, die een ip de eerste keer blokkeren en later pas toelaten. Een beetje een gekunstelde manier om spam tegen te gaan, omdat spammers zich er ook gewoon aan aanpassen naar verloop van tijd.

Ja, maar ik kwam al gelijk met de eerste telnet poging binnen vanaf drie locaties... Dus dat was een beetje loze opmerking bedenk ik me nu.

[ Voor 86% gewijzigd door gertvdijk op 14-12-2008 15:10 ]

[Eriky]

Even nog als toevoeging: ik heb een server waarop ik op poort 8025 ook smtp draai zodat klanten via die poort (met SMTP authenticatie natuurlijk) kunnen emailen. Poort 25 wordt op de gekste plaatsen geblokkeerd namelijk, maar vooral bij internet providers voor consumenten. Je kunt ook zorgen dat versturen van mail alleen via een beveiligde verbinding gedaan kan worden, dan wijk je ook vanzelf al uit naar een andere poort namelijk.

De opmerking van gert hierboven is ook iets waarnaar je kunt kijken. Postfix heeft ook greylisting addons, die een ip de eerste keer blokkeren en later pas toelaten. Een beetje een gekunstelde manier om spam tegen te gaan, omdat spammers zich er ook gewoon aan aanpassen naar verloop van tijd.

[ Voor 28% gewijzigd door Eriky op 14-12-2008 15:07 ]

[Verwijderd]

r0b schreef op zondag 14 december 2008 @ 13:40:
In ieder geval. Na het installeren van postfix / dovecot lijkt alles prima te draaien, máár ... poort 25 blijkt alleen lokaal te bereiken. Extern krijg ik een timeout.

Ik denk dat je toch echt de oorzaak moet zoeken in: firewall settings of router access control lists.

[r0b]

Verwijderd schreef op zondag 14 december 2008 @ 16:35:
[...]


Ik denk dat je toch echt de oorzaak moet zoeken in: firewall settings of router access control lists.

Kom er net achter dat het een 'bekende' warez-host is/was, waardoor ook nog eens de hele /24 sinds 09/12 op de spamhaus list staat: http://www.spamhaus.org/sbl/sbl.lasso?query=SBL70243

* r0b gaat weer een nieuwe host zoeken...

[ Voor 5% gewijzigd door r0b op 14-12-2008 19:56 ]

[Wolfboy]

Eriky schreef op zondag 14 december 2008 @ 15:03:
[...] Je kunt ook zorgen dat versturen van mail alleen via een beveiligde verbinding gedaan kan worden, dan wijk je ook vanzelf al uit naar een andere poort namelijk.

Niet perse hoor, met SSL krijg je inderdaad een andere poort, maar met TLS gaat het gewoon nogsteeds over poort 25 en is het _wel_ veilig.

Maargoed... ik zou ook proberen gewoon een andere VPS te zoeken, het kan tijden duren voor de problemen opgelost zijn als je eenmaal op zo'n blacklist staat.

[gertvdijk]

r0b schreef op zondag 14 december 2008 @ 19:56:
Kom er net achter dat het een 'bekende' warez-host is/was, waardoor ook nog eens de hele /24 sinds 09/12 op de spamhaus list staat: http://www.spamhaus.org/sbl/sbl.lasso?query=SBL70243

Dat is k*t, inderdaad. Wel stom dat men dan een heel groot subnet dan gelijk in de BL gooit...

r0b schreef op zondag 14 december 2008 @ 19:56:
* gertvdijk gaat weer een nieuwe host zoeken...

Tip: neem een Xen VPS en geen Virtuozzo. Xen is Sneller (I/O load afscherming tussen VPS'en is er bij Virtuozzo simpelweg niet), geen last van mokkende MySQL die het dynamische gealloceerde geheugen niet trekt, geen brak controlpanel, waarschijnlijk betere OS images (die Debian Etch image bij Virtuozzo is écht brak), grotere kans op nieuwere kernel... etc.

[ Voor 4% gewijzigd door gertvdijk op 14-12-2008 22:58 ]