[Postfix] amavis stuurt geen mail bij virus...

[Verwijderd]

Ik ben bezig met een Debian server waar postfix op staat. Nu zou ik graag de virusmails eruit halen dus:
apt-get install amavis-postfix
installatie verloopt perfect, geen errors
dan voeg ik volgende toe in /etc/postfix/main.cf

code:

content_filter = vscan:[127.0.0.1]:10025

in /etc/postfix/master.cf

code:

vscan            unix  -  n  n  -  10  pipe user=vscan argv=/usr/sbin/amavis ${sender} ${recipient}
localhost:10025  inet  n  -  n  -  -   smtpd -o content_filter=

Als ik een virusmail stuur zie ik dit in syslog:

code:

Nov 12 03:21:43 duke postfix/nqmgr[28108]: 2E5A95B785: from=<[e-mail]>, size=1147, nrcpt=1 (queue active)
Nov 12 03:21:43 duke postfix/nqmgr[28108]: 834B05B810: from=<[e-mail]>, size=1066, nrcpt=1 (queue active)
Nov 12 03:21:44 duke postfix/nqmgr[28108]: 834B05B810: to=<[e-mail]>, relay=none, delay=15156, status=deferred (unknown mail transport error)

De mail wordt gewoon deleted en er wordt geen bericht gestuurd naar de afzender of naar de postmaster.

Heeft iemand ooit met de combinatie Postfix / Amavis gewerkt?

[arikkert]

die oplossing ken ik niet in postfix. maar misschien is een workaround : gebruik procmail als local delivery agent en doe daar de filtering in.

[Verwijderd]

arikkert schreef op 12 november 2002 @ 21:06:
die oplossing ken ik niet in postfix. maar misschien is een workaround : gebruik procmail als local delivery agent en doe daar de filtering in.

Hoe bedoel je?

[MikeN]

Ik heb bijna hetzelfde gedraaid (overigens naar exiscan gestapt vanwege performance) maar volgens mij had ik nooit

code:

content_filter = vscan:[127.0.0.1]:10025

in m'n main staan maar

code:

content_filter = vscan

Nu weet ik niet of dat uitmaakt. Maar goed. Wat zeggen je amavis logs?

[Verwijderd]

MikeN schreef op 12 november 2002 @ 21:44:
Ik heb bijna hetzelfde gedraaid (overigens naar exiscan gestapt vanwege performance) maar volgens mij had ik nooit

code:

content_filter = vscan:[127.0.0.1]:10025

in m'n main staan maar

code:

content_filter = vscan

Nu weet ik niet of dat uitmaakt. Maar goed. Wat zeggen je amavis logs?

code:

amavis\\[.*\]: Checking:
amavis\\[.*\]: spam_scan: No
amavis\\[.*\]: spam_scan: don't waste time on SA
amavis\\[.*\]: fwd via smtp:
amavis\\[.*\]: mail checking ended: DELIVERED
amavis\\[.*\]: SMTP-in
amavis\\[.*\]: cached
amavis\\[.*\]: warning:

[Kees]

niet echt veel dus

verder; probeer de amavis logging op te schroeven (/etc/amavis* staat de config).
Het werkt hier perfect, maar ik heb daarvoor wel eerst diep in de code moeten duiken om een paar bugs eruit te vissen.

Maar goed:

code:

content_filter = vscan:

moet werken, LET OP die ":" moet er wel zijn
verder is het dan een kwestie van je logs doorbladeren en zien waar het fout gaat (bij elke exit code staat bijv ook de regel in de code waar hij eruit vliegt, daar kun je dan mooi ff kijken)

[Verwijderd]

Wat draai je uberhaupt als virusscanner erbij?
Aan amavis alleen heb je namelijk niks en ik weet bijvoorbeeld van Gecad RAV, dat deze tegenwoordig niet meer zomaar werkt binnen een shell, omdat deze dan altijd dezelfde exit-code teruggeeft. (Gedaan, omdat men tegenwoordig een eigen mail-scanner heeft en men deze anders nooit zou kwijtraken omdat anders toch iedereen alternatieven als amavis+de normale scanner zou gebruiken.

[Verwijderd]

Moet je niet in je main.cf localhost bij mynetworks zetten?

code:

mynetworks = <je.ip.adres>/28, 127.0.0.0/8

[Verwijderd]

Verwijderd schreef op 12 november 2002 @ 23:59:
Moet je niet in je main.cf localhost bij mynetworks zetten?

code:

mynetworks = <je.ip.adres>/28, 127.0.0.0/8

Dat sowieso, omdat alle mail die binnenkomt via 127.0.0.1 gescand wordt en weer teruggegeven wordt aan postfix.

Maar de foutmelding is niet echt consistent met bovenstaande feit

[hbokh]

Niet direct een oplossing voor jou specifieke probleem, maar gisteravond had ik Postfix + Anomy Sanitizer vrij rap aan de praat. Daarna een beetje met "EICAR.COM" spelen
Link (HOWTO) hier:
http://advosys.ca/papers/postfix-filtering.html

[Verwijderd]

Verwijderd schreef op 12 November 2002 @ 23:33:
Wat draai je uberhaupt als virusscanner erbij?
Aan amavis alleen heb je namelijk niks en ik weet bijvoorbeeld van Gecad RAV, dat deze tegenwoordig niet meer zomaar werkt binnen een shell, omdat deze dan altijd dezelfde exit-code teruggeeft. (Gedaan, omdat men tegenwoordig een eigen mail-scanner heeft en men deze anders nooit zou kwijtraken omdat anders toch iedereen alternatieven als amavis+de normale scanner zou gebruiken.

Het is de enigste virusscanner die momenteel geinstalleerd staat, zodus...
Als er iemand een betere mailscanner weet, mij ook goed

[Verwijderd]

Ik weet niet hoor maar hier draait Amavis (+McAfee) en Postfix onder FreeBSD zonder problemen ... Er zijn al verscheidene BugBear mails onderschept en je krijgt netjes een emailtje dat ie er een heeft gevonden, van wie met de hele ratteplan erbij, verder krijgt Root/Postmaster een mailtje dat mail zus en zo besmet met blabla virus en aan de kant gezet is in /var/amavis/nogwat.

Het enige wat ik gedaan is de Howto op Amavis.org volgen ... no problemo ... misschien een nootje, tegenwoordig adviseren ze Amavisd te gebruiken ipv Amavis-perl ... het nadeel voor mij van Amavisd is dat ie blijkbaar eerder gestart moet worden ( ) dan Postfix, helaas in mijn geval wordt postfix dus als de sendmail equivalent in rc.conf gestart en da's dus voordat de scripts in /usr/local/etc/rc.d worden gedraaid ... anyway Amavis-perl werkt ook

Voor de volledigheid, ik heb dit in

code:

main.cf
content_filter = vscan:

master.cf
vscan            unix  -  n  n  -  10  pipe user=vscan argv=/usr/sbin/amavis ${sender}${recipient}
localhost:10025  inet  n  -  n  -  -   smtpd -o content_filter=

Ik hoop dat dit wat oplevert?

[ Voor 0% gewijzigd door Verwijderd op 13-11-2002 14:07 . Reden: Taalkundig verbetert ]

[Verwijderd]

Verwijderd schreef op 13 november 2002 @ 12:33:
[...]


Het is de enigste virusscanner die momenteel geinstalleerd staat, zodus...
Als er iemand een betere mailscanner weet, mij ook goed

Ehmm... je hebt dus alleen Amavis draaien? En GEEN backend virusscanner? dan zal het niet gaan werken. Amavis is alleen een tussenlaag tussen je MTA, en je virusscanner. Je moet dus wel een gewone virusscanner installen. Amavis krijgt dan het mailtje van je MTA, doet was decoding en uitpak werk, geeft opdracht aan je losse virusscanner om de directory waar de ontlede mail staat na te kijken.
vindt je virusscanner een virus, dan geeft deze een foutcode af, die amavis vervolgens opvangt en waarmee die dus mailtjes gaat sturen.
Ik heb hier amavis met exim draaien en F-prot (op Debian Stable server), werkt als een zonnetje. Heb alleen amavis vanaf source gebouwd.

[Verwijderd]

Verwijderd schreef op 13 November 2002 @ 13:50:
[...]


Ehmm... je hebt dus alleen Amavis draaien? En GEEN backend virusscanner? dan zal het niet gaan werken. Amavis is alleen een tussenlaag tussen je MTA, en je virusscanner. Je moet dus wel een gewone virusscanner installen. Amavis krijgt dan het mailtje van je MTA, doet was decoding en uitpak werk, geeft opdracht aan je losse virusscanner om de directory waar de ontlede mail staat na te kijken.
vindt je virusscanner een virus, dan geeft deze een foutcode af, die amavis vervolgens opvangt en waarmee die dus mailtjes gaat sturen.
Ik heb hier amavis met exim draaien en F-prot (op Debian Stable server), werkt als een zonnetje. Heb alleen amavis vanaf source gebouwd.

code:

# FRISK F-Prot
$fprot = "";

# FRISK F-Prot Daemon
$fprotd = "";

Wat heb je daar dan ingevuld?

[Verwijderd]

/usr/local/bin/f-prot (en das een symlink naar /usr/local/f-prot/f-prot), precies zoals staat aangegeven in de f-prot user-manual. Als je amavis vanaf source bouwt, dan hoef je niets te veranderen, dan vindt ie automatisch je virusscanner (En kan je nog meer leuke dingen instellen aan amavis.)

[Verwijderd]

Momenteel krijg ik dit:

code:

Nov 13 16:10:46 duke postfix/smtpd[27816]: connect from excalibur.skynet.be[195.238.3.90]
Nov 13 16:10:47 duke postfix/smtpd[27816]: 130145B815: client=excalibur.skynet.be[195.238.3.90]
Nov 13 16:10:47 duke postfix/cleanup[27818]: 130145B815: message-id=<[e-mail]>
Nov 13 16:10:47 duke postfix/nqmgr[27766]: 130145B815: from=<[e-mail]>, size=1745, nrcpt=1 (queue active)
Nov 13 16:10:47 duke postfix/smtpd[27816]: disconnect from excalibur.skynet.be[195.238.3.90]
Nov 13 16:10:47 duke amavis[26082]: AM.CL /var/lib/amavis/amavis-XXL7zdMk: <[e-mail]> -> <[e-mail]>
Nov 13 16:10:47 duke amavis[26082]: Checking: <[e-mail]> -> <[e-mail]>
Nov 13 16:10:47 duke amavis[26082]: body hash: f55b6b025b6220b6cc6f1fc12aee57bd
Nov 13 16:10:47 duke amavis[26082]: Extracting mime components
Nov 13 16:10:47 duke amavis[26082]: decode_parts: part-00001, part-00002, part-00003
Nov 13 16:10:47 duke amavis[26082]: Level: 1, parts: 3
Nov 13 16:10:47 duke amavis[26082]: Archive nesting depth: 0
Nov 13 16:10:47 duke amavis[26082]: File-type of part-00001: ASCII text
Nov 13 16:10:47 duke amavis[26082]: part-00001 is atomic
Nov 13 16:10:47 duke amavis[26082]: File-type of part-00002: ASCII text
Nov 13 16:10:47 duke amavis[26082]: part-00002 is atomic
Nov 13 16:10:47 duke amavis[26082]: File-type of part-00003: ASCII text, with no line terminators
Nov 13 16:10:47 duke amavis[26082]: part-00003 is atomic
Nov 13 16:10:47 duke amavis[26082]: prolong_timer after decoding: remaining time = 180 s
Nov 13 16:10:47 duke amavis[26082]: Using /usr/bin/f-prot
Nov 13 16:10:47 duke amavis[26082]: Virus scanner failure: /usr/bin/f-prot (error code: 255)
Nov 13 16:10:47 duke amavis[26082]: prolong_timer after virus_scan: remaining time = 180 s
Nov 13 16:10:47 duke amavis[26082]: virus_scan FAILED, retry: All virus scanners failed! at /usr/sbin/amavisd line 982, <GEN3> line 73.
Nov 13 16:10:47 duke amavis[26082]: prolong_timer after virus_scan: remaining time = 180 s
Nov 13 16:10:47 duke amavis[26082]: mail processing failed, RETRY/TEMPFAIL
Nov 13 16:10:47 duke amavis[26082]: rmdir_recursively: /var/lib/amavis/amavis-XXL7zdMk, excl=
Nov 13 16:10:47 duke amavis[26082]: rmdir_recursively: /var/lib/amavis/amavis-XXL7zdMk/parts, excl=0
Nov 13 16:10:47 duke amavis[26082]: TIMING [total 328 ms] - got data: 3 (1%), mkdir parts: 23 (7%), body hash: 14 (4%), mime parse: 64 (19%), get-file-type: 164 (50%), unpacker: 28 (9%), get-file-type: 8 (2%), unpacker: 1 (0%), get-file-type: 8 (2%), unpacker: 1 (0%), parts: 0 (0%), AV-scan: 7 (2%), unlink-3-files: 2 (1%), rmdir: 0 (0%), unlink-1-files: 0 (0%), rmdir: 0 (0%), rundown: 8 (3%)
Nov 13 16:10:47 duke postfix/pipe[27819]: 130145B815: to=<[e-mail]>, relay=vscan, delay=0, status=deferred (temporary failure)

[Verwijderd]

Heb ik ook gehad ja, zorg dat f-prot executable en readable voor iedereen is

[Verwijderd]

Ok, het werkt zoals het moet
Bedankt voor de hulp allemaal!

[Verwijderd]

Sorry dat ik deze topic naar omhoog schop, maar ik heb opnieuw een probleempje met amavis, nu in combinatie met postfix en mysql. Als ik een mail stuur met amavis ertussen dan zie ik in de logs:

code:

Jan  3 17:09:27 serverke postfix/pipe[32363]: AFA7F141DD: to=<[e-mail]>, relay=vscan, delay=0, status=deferred (temporary failure)

Iemand een idee wat er fout loopt?

[ Voor 3% gewijzigd door Verwijderd op 03-01-2003 17:13 ]

[Verwijderd]

[rml]-=[ Nieuw in NOS? Eerst dit lezen! GEEN HELPDESK! ]=-[/rml]
a: dit is offtopic want dit heeft niets te maken met de topicstart
b: NOS is geen helpdesk zoals in bovenstaande topic is te lezen.
Dus zoek eerst zelf eens ipv voor ieder probleempje maar direct een topic te openen.

Op slot.