Postfix controle op eigen domein

[Pim.]

Na Google komt GoT

Misschien zie ik weer iets simpels over het hoofd maar ik kom er even niet uit.

Ik heb een Linux Debian server draaien met postfix voor de mailafhandeling. Ik krijg de laatste tijd veel spam die zogenaamd vanaf mijn mailadres gestuurd wordt. Op zich niet raar aangezien ik al 13 jaar het zelfde adres heb en dat ook zo wil houden

Mijn vraag, hoe laat ik postfix controleren of een mail van de afzender [e-mail] ook verstuurd is vanaf dat domein (of mijn server IP of localhost). M.a.w, een mail van *ldekkers.nl mag niet van een andere server komen als localhost.

Mijn google zoektermen:

check_sender_access
check server from own domain
enz

[Keiichi]

Gebruik je toevallig procmail voor uiteindelijke delivery?

Daarin is het zover ik het weet wat makkelijker om dergelijke check in te bouwen al dan niet met externe scripts

[Speedener]

Wellicht helpt het ook om SPF in te stellen en je mailserver/spamfilter dat te laten controleren voor elke inkomende mail. Wikipedia: Sender Policy Framework

Edit: Op debian is het met 'postfix-policyd-spf-perl' echt cookie om te voor elkaar te krijgen

[ Voor 18% gewijzigd door Speedener op 25-11-2011 10:03 ]

[Pim.]

Keiichi schreef op vrijdag 25 november 2011 @ 09:30:
Gebruik je toevallig procmail voor uiteindelijke delivery?

Daarin is het zover ik het weet wat makkelijker om dergelijke check in te bouwen al dan niet met externe scripts

Nope, courier-imap en qpopper

[AndriesLouw]

SPF gebruiken en niet vergeten die records ook voor je domein in te stellen. Zo weet iedere andere server ook meteen dat ze dat als spam moeten zien.

Edit: Ik zie dat je voor je domein nog geen SPF-records ingesteld heb, en wil je toch wel aanraden dat echt te doen. Niemand weet namelijk op dit moment welke servers mail uit jouw "naam" mogen verzenden.

Een simpele oplossing zou bijvoorbeeld al zijn (TXT-record op de @):
v=spf1 a mx ~all

Hiermee laat je alle servers die niet een IP hebben hetzelfde als je A-record, en niet een IP-hebben waarnaar in je MX-records verwezen wordt, soft-failen. Dat betekend dat mail van die partijen als niet betrouwbaar gezien moet worden. Je kunt ook van de ~all een -all maken, dan wordt de mail geweigerd (fail) i.p.v. soft-fail.

Volgens mij ondersteunen alle mail transfer agent's (MTA) SPF fail out of the box, en worden voor soft-fails soms spampunten toegekend door tussenliggende spamfilters. Sowieso worden er dan vaak notities van gemaakt in de headers, je zou dus van huidige binnenkomende mails de headers kunnen bekijken om te zien of je MTA SPF geïmplementeerd heeft.

[ Voor 76% gewijzigd door AndriesLouw op 25-11-2011 21:40 ]

[mtak]

Zoals je al zei, met check_sender_access:
/etc/postfix/main.cf:

code:

mynetworks = 127.0.0.0/8 [::1]/128 10.100.0.11/32 10.100.2.11/32 [2001:470:d04x::11]/128 [2001:470:d04x:4::11]/128
smtpd_sender_restrictions = permit_mynetworks, check_sender_access hash:/etc/postfix/sender_access, permit

/etc/postfix/sender_access:

code:

ldekkers.nl       REJECT  custom message

De smtpd_sender_restrictions werkt op basis van first match, dus als je alle hosts die mail voor je domein moeten kunnen versturen in mynetworks zet, dan worden die wél toegelaten, en andere hosts worden geblocked met de custom message.

[d1ng]

Ander idee is om sasl auth aan te zetten en dan 'reject_sender_login_mismatch' op te nemen in de smtpd_sender_restrictions.
bv.:
smtpd_sender_restrictions = permit_mynetworks, reject_sender_login_mismatch, permit_sasl_authenticated

[Jaccoh]

Buitenom het goed instellen van postfix met allerlei strict envelope checking kun je ook dit doen:

http://www.howtoforge.com/amavisd_postfix_debian_ubuntu (oid)

Het belangrijkste van wat jij wil is over SPF:

Wikipedia: Sender Policy Framework

Iets wat amavisd-new voor je doet. Zie howto.

[ Voor 38% gewijzigd door Jaccoh op 12-12-2011 21:46 ]