[Qmail] Selectief Relay kwestie

Pagina: 1
Acties:

  • TweakBoy
  • Registratie: Augustus 2001
  • Laatst online: 10:13
Gegroet Tweakers, Deamons }) en henken (8>,

Ik draai Qmail als mailserver programma op RH 7.2 met Plesk Sytem Administrator, nu is het probleem dat ik wordt lastig gevallen door spammers die lastig doen. (tja welk spammer nou niet). Nu kon ik op de Plesk fora niet echt veel nuttigs vinden wat je gelijk kon toepassen zonder iets extra te hoeven installeren.

Na lang gezocht hebben en te hebben gevonden:

http://www.lifewithqmail.org/lwq.html#relaying
http://www.palomine.net/qmail/selectiverelay.html
http://www.unixpimps.org/software/qregex/ (een patch voor qmail)

heb ik diverse trucs toegepast, o.a. in inetd.conf editen en alleen smtp connecties te accepteren van local host, maar dat gaat niet op omdat ik ook mail moet ontvangen voor de websites die ook op die server draaien.

Quote uit lifewithqmail:
An MTA accepts a message via SMTP that doesn't appear to be either for a local address or from a local sender
Qmail staat ingesteld op CLOSED relay, dus alleen mail verwerken voor domeinen eigen server. Dat zit goed. Alleen zit ik nog met het probleem van: Hoe zorg ik ervoor dat de smtp service alleen connectie accepteerd voor het verzenden van mail naar buitentoe?

Dat heb ik als volgt opgelost in een configuratie voor Xinetd (/etc/xinetd.d/smtp_psa):
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
service smtp
{
        socket_type     = stream
        protocol        = tcp
        wait            = no
        disable         = no
        user            = root
        instances       = UNLIMITED
 
# accepteer alleen connecties die van oorsprong uit localhost komen
# dus een connectie die van intern netwerk komt of van buiten het
# Netwerk is verboden
# ik twijfel nog alleen op de naam "localhost" die mag ook 127.0.0.0.1/32
# zijn, /32 omdat het alleen 127.0.0.1 mag zijn
 only_from = localhost
 
        server          = /usr/local/psa/qmail/bin/tcp-env
        server_args     = /usr/local/psa/qmail/bin/relaylock 
/usr/local/psa/qmail/bin/qmail-smtpd 
/usr/local/psa/qmail/bin/smtp_auth 
/usr/local/psa/qmail/bin/true 
/usr/local/psa/qmail/bin/cmd5checkpw 
/usr/local/psa/qmail/bin/true
}


het laat alleen locale users de smtp service gebruiken, maar sluit tegelijk de buitenstaande connecties af die ik wel wil waarvan ik mail moet van ontvangen.

mijn vraag kort samengevat:

is er een programma waar mee ik selectief kan relayen? d.w.z. alleen locale systeemusers mogen smtp gebruiken om post te verzenden en ook tegelijk post te kunnen ontvangen

bijvoorbaat dank _/-\o_

ik heb tcpserver en tcp-wrappers nog niet uitgeprobeerd, aangezien ik de documentatie maar magertjes vind en niet begrijp -> tcpserver heeft denk ik dezelfde effect als xinetd?

---


  • _JGC_
  • Registratie: Juli 2000
  • Nu online
Als jij alleen relaying toestaat voor localhost, zal mail naar buiten gewoon mogelijk zijn vanaf de webserver.
Over tcpserver: het is een (x)inetd vervanging. Persoonlijk heb ik liever tcpserver dan (x)inetd. Voordeel van tcpserver vind ik dat je CDB databasebestanden op kunt geven om een connectie te relayen of te refusen.

Als je alleen uitgaande mail wilt: nog simpeler is gewoon in je firewall poort 25 dicht te zetten.

  • TweakBoy
  • Registratie: Augustus 2001
  • Laatst online: 10:13
_JGC_ schreef op 17 January 2003 @ 22:45:
Als jij alleen relaying toestaat voor localhost, zal mail naar buiten gewoon mogelijk zijn vanaf de webserver.
Over tcpserver: het is een (x)inetd vervanging. Persoonlijk heb ik liever tcpserver dan (x)inetd. Voordeel van tcpserver vind ik dat je CDB databasebestanden op kunt geven om een connectie te relayen of te refusen.

Als je alleen uitgaande mail wilt: nog simpeler is gewoon in je firewall poort 25 dicht te zetten.
dat is hem juist, ik wil ook nog mail kunnen ontvangen :)
maar ik wil nu selectief relay doen opdat mail die op de server wordt gemaakt wel echt van iemand op die server is.

als een spammer gewoon connectie maakt met de server via telnet op poort 25 dan wordt dat ook "vanuit" locale systeem gestuurd.

maar als ik dus poort 25 alleen voor locale connecties toesta kan ik geen mail ontvangen :(, daar wil ik dus een vervangend programma voor :9

---


  • _JGC_
  • Registratie: Juli 2000
  • Nu online
Ik zou dat ding persoonlijk lekker volgens LWQ installeren met daemontools en tcpserver, zo moeilijk is dat nou ook alweer niet.
evt ook nog rblsmtpd erbij tegen blacklisted servers, etc :)

  • TweakBoy
  • Registratie: Augustus 2001
  • Laatst online: 10:13
_JGC_ schreef op 17 January 2003 @ 22:53:
Ik zou dat ding persoonlijk lekker volgens LWQ installeren met daemontools en tcpserver, zo moeilijk is dat nou ook alweer niet.
evt ook nog rblsmtpd erbij tegen blacklisted servers, etc :)
rblsmtpd is dus al geactiveerd en draait mee met qmail :).... maar toch bedankt...

wat ik nu gewoon tegenaanloop is een servicecontract met plesk zelf, ik mag dus niet zelf even software installeren wat plesk niet standaard ondersteund.

waar verschilt Qmail dan van Sendmail? Sendmail heeft wel een goede relay mogelijkheid en accepteerd ook standaard alleen mailtjes van lokale users (voor verzenden, uitgaande post)

---


  • _JGC_
  • Registratie: Juli 2000
  • Nu online
Qmail ondersteunt het ook gewoon via enerzijds /var/qmail/control/rcpthosts (neemt alle mail voor die domeinen aan die daar in staan) en anderzijds via RELAYCLIENT environment variabelen.
zoek eens wat verder met google over relaylock, volgens mij is die daar voor.

BTW: ik maak uit dit xinetd ding op dat qmail als root draait??? Lekkere jonges daar bij Plesk.... Als je de diverse howto's erop naleest zie je dat tegen DOS aanvallen een limit ingesteld wordt op geheugen wat qmail mag gebruiken... ja, daar heeft root geen last van he :P

  • terrapin
  • Registratie: Februari 2002
  • Niet online
qmail (niet Qmail:) ) is standaard geen open relay, net als elk ander enigzins normaal mail programma. Dit houdt in dat qmail alleen mail ontvangt voor hosts die in rcpthosts staan, en alleen hosts die in locals staan worden als 'lokaal' behandeld.
qmail accepteert alleen maar mail om te verzenden vanaf hosts die expliciet toestemming hebben om te relayen. Default is dit alleen localhost.

Kortom, de situatie die jij wilt bereiken, is er al bij default, tenzij jij dat heel erg expliciet hebt aangepast... (Of ik snap niet wat jij voor iets raars wilt ;))

The higher that the monkey can climb, The more he shows his tail


  • TweakBoy
  • Registratie: Augustus 2001
  • Laatst online: 10:13
terrapin schreef op 17 januari 2003 @ 23:24:
qmail (niet Qmail:) ) is standaard geen open relay, net als elk ander enigzins normaal mail programma. Dit houdt in dat qmail alleen mail ontvangt voor hosts die in rcpthosts staan, en alleen hosts die in locals staan worden als 'lokaal' behandeld.
qmail accepteert alleen maar mail om te verzenden vanaf hosts die expliciet toestemming hebben om te relayen. Default is dit alleen localhost.

Kortom, de situatie die jij wilt bereiken, is er al bij default, tenzij jij dat heel erg expliciet hebt aangepast... (Of ik snap niet wat jij voor iets raars wilt ;))
je zegt het al: localhost...
een spammer die via telnet hostnaam.nl 25 inlogd (jah, daar zijn zat perl scriptjes voor) is dan ook via localhost, dat probeer ik nu uit te sluiten....

---


Verwijderd

Wanneer jouw mailservers gebruikt worden voor spam:

Ja: smtp_after_pop (http://www.lifewithqmail.org/ldap/#SMTP%20after%20POP)
Ja: smtp_auth (http://www.lifewithqmail.org/ldap/#SMTP%20AUTH)
Ja: relay-ctrl

En: RBL's gebruiken wanneer je spam ontvangt.. verschillende methodes voor.. staat ook o.a. op LWQ.. maar daar gaat 't hier niet om zo te zien.

Goed lezen en het lukt je :)

  • jant
  • Registratie: Juli 2000
  • Niet online
TweakBoy schreef op 18 January 2003 @ 00:46:
[...]


je zegt het al: localhost...
een spammer die via telnet hostnaam.nl 25 inlogd (jah, daar zijn zat perl scriptjes voor) is dan ook via localhost, dat probeer ik nu uit te sluiten....
Onzin. Het feit dat je telnet naar poort 25 wil nog niet zeggen dat de telnet afkomstig is van de localhost.

In je eerste posting stel je dat je lastig gevallen wordt door spammers. Wat bedoel je daarmee? Kloppen ze aan en proberen ze een spamrun te doen, die niet lukt. Of lukt het wel.

Indien het eerste het geval is. Maak je niet druk. Dat gebeurt op elke host welke een smtp daemon draait.

Indien het tweede het geval is, dan is qmail niet goed geconfigureerd. Fix dat en je bent van je probleem af.

Zelf heb ik niet bijster veel ervaring met qmail, ik prefereer postfix. Ik heb een aantal postfix machines draaien en deze worden elke nacht wel een keer lastig gevallen door spammers. M.a.w. men probeert een spamrun te doen op die machine. Dat lukt niet. Ze krijgen een error 5xx; einde verhaal.

Een album per dag; een selectie: https://open.spotify.com/playlist/6s3nNLl8pJpCwLR3LPligA?si=dddc51153b2a49e8


  • _JGC_
  • Registratie: Juli 2000
  • Nu online
TweakBoy schreef op 18 januari 2003 @ 00:46:
[...]


je zegt het al: localhost...
een spammer die via telnet hostnaam.nl 25 inlogd (jah, daar zijn zat perl scriptjes voor) is dan ook via localhost, dat probeer ik nu uit te sluiten....
wat denk je wat een telnet sessie naar poort 25 doet? die gaat echt niet eerst in die bak inloggen, vervolgens vanaf localhost connectie maken met de mailserver. Die maakt rechtstreeks contact met de server, qmail zal zien dat ie niet vebronden is met 127.0.0.1 en als het "rcpt to:"-domein niet in rcpthosts staat zal ie gewoon zeggen "55x relaying denied, that domain is not listed in my rcpthosts"

  • terrapin
  • Registratie: Februari 2002
  • Niet online
telnet op port 25 is gewoon precies hetzelfde wat een normale smtp client doet.

Echt waar, qmail doet nu precies wat jij wilt.
qmail is default geen open relay...

(postfix ook niet, maar qmail is beter ;) )

The higher that the monkey can climb, The more he shows his tail


  • jant
  • Registratie: Juli 2000
  • Niet online
terrapin schreef op 18 januari 2003 @ 14:28:
(postfix ook niet, maar qmail is beter ;) )
Verklaar u nader!?!

Een album per dag; een selectie: https://open.spotify.com/playlist/6s3nNLl8pJpCwLR3LPligA?si=dddc51153b2a49e8


  • _JGC_
  • Registratie: Juli 2000
  • Nu online
Als we dan toch verder gaan over qmail en postfix:
terrapin: heb je wel eens met beide gewerkt? Ik heb zowel met Sendmail als met qmail gewerkt, over postfix kan ik maar 1 ding zeggen: aangezien het met dezelfde gedachten als qmail is geschreven zal het wel net zo goed of zelfs beter zijn dan qmail. (Wietse schopt nogal tegen dingen van Dan aan, dus zal ie dat zeker beter doen in postfix).

  • terrapin
  • Registratie: Februari 2002
  • Niet online
Geen enkele exploit.. ooit... (net als djbdns)
Simpel te configureren (alhoewel sommige mensen postfix of zelfs sendmail simpeler vinden.. arme zielen)
geen exploits, dus geen updates.. (al sinds '99 als ik me niet vergis versie 1.03)

Maar lees het allemaal maar na op: http://cr.yp.to/qmail.html

The higher that the monkey can climb, The more he shows his tail


  • _JGC_
  • Registratie: Juli 2000
  • Nu online
Geen exploits zijn onzin. Er is een bekende DoS attack op qmail, waar je als je het goed doet geen last van hebt. Gisteren zag ik echter hier op GoT iemand die van z'n hostingprovider een setup afgeleverd kreeg die liep onder root zonder softlimit/ulimit. Die DoS hield in dat je bepaalde headers stuurde naar qmail-smtpd die ervoor zorgden dat ie alle beschikbare geheugen opvrat. Aangezien tcpserver onder een softlimit draait normaal gezien zou dat qmail process dan afsterven en heb je er geen last van, maar als qmail draait onder root account...

Verder is qmail zelf nogal kaal, net zoals djbdns overigens. Je moet alles er zelf in patchen om dezelfde functionaliteit als Bind en postfix/sendmail te krijgen. Garandeert Dan dat al die patches ook exploit free zijn?

Verder is postfix ook niet moeilijk in te stellen. Sendmail mag je eerst een studie naar doen idd.

  • terrapin
  • Registratie: Februari 2002
  • Niet online
_JGC_ schreef op 18 januari 2003 @ 23:04:
Als we dan toch verder gaan over qmail en postfix:
terrapin: heb je wel eens met beide gewerkt? Ik heb zowel met Sendmail als met qmail gewerkt, over postfix kan ik maar 1 ding zeggen: aangezien het met dezelfde gedachten als qmail is geschreven zal het wel net zo goed of zelfs beter zijn dan qmail. (Wietse schopt nogal tegen dingen van Dan aan, dus zal ie dat zeker beter doen in postfix).
Ja, ik heb met allebei (beperkte) ervaring.. Zelfs ooit nog met sendmail, dat was pas bagger...

Ik heb laatst nog een tijdje postfix gedraaid ivm. een libc probleem.. In mijn ervaring werken ze allebei zeer goed, alleen vind ik qmail iets simpeler (maar dat zal wel ervaring zijn, en ook aangezien ik toch al daemontools e.d. gebruik), en heb ik meer vertrouwen in de veiligheid..

Dan schopt ook tegen Wietse aan.. misschien nog wel vele malen harder.. :)

http://cr.yp.to/maildisasters/postfix.html
http://cr.yp.to/qmail/venema.html

The higher that the monkey can climb, The more he shows his tail


  • terrapin
  • Registratie: Februari 2002
  • Niet online
_JGC_ schreef op 18 January 2003 @ 23:12:
Geen exploits zijn onzin. Er is een bekende DoS attack op qmail, waar je als je het goed doet geen last van hebt. Gisteren zag ik echter hier op GoT iemand die van z'n hostingprovider een setup afgeleverd kreeg die liep onder root zonder softlimit/ulimit. Die DoS hield in dat je bepaalde headers stuurde naar qmail-smtpd die ervoor zorgden dat ie alle beschikbare geheugen opvrat. Aangezien tcpserver onder een softlimit draait normaal gezien zou dat qmail process dan afsterven en heb je er geen last van, maar als qmail draait onder root account...
Ja, maar dat vind ik niet direct een fout in qmail. Dat is vooral een fout van bijv. inetd. Dat geldt voor alle andere mailservers, behalve die servers die dergelijke dingen zelf gaan implementeren, wat ze weer kwetsbaar maakt voor bugs daarin (postfix vroeger).
Verder is qmail zelf nogal kaal, net zoals djbdns overigens. Je moet alles er zelf in patchen om dezelfde functionaliteit als Bind en postfix/sendmail te krijgen. Garandeert Dan dat al die patches ook exploit free zijn?
De standaard qmail doet precies wat ik nodig heb, niet meer. Ik wil geen dingen draaien die ik niet nodig heb. Precies hetzelfde geldt voor djbdns..
Verder is postfix ook niet moeilijk in te stellen. Sendmail mag je eerst een studie naar doen idd.
Klopt.

The higher that the monkey can climb, The more he shows his tail


  • jant
  • Registratie: Juli 2000
  • Niet online
terrapin schreef op 18 January 2003 @ 23:19:
[...]

Ja, maar dat vind ik niet direct een fout in qmail. Dat is vooral een fout van bijv. inetd. Dat geldt voor alle andere mailservers, behalve die servers die dergelijke dingen zelf gaan implementeren, wat ze weer kwetsbaar maakt voor bugs daarin (postfix vroeger).
Ik snap je zin niet helemaal.
Postfix maakt niet gebruik van inetd, je doelt op de bugs ?

Een album per dag; een selectie: https://open.spotify.com/playlist/6s3nNLl8pJpCwLR3LPligA?si=dddc51153b2a49e8


  • terrapin
  • Registratie: Februari 2002
  • Niet online
Ik doel hierop:
http://cr.yp.to/qmail/venema.html
Postfix hanteert intern code om 'exhaustion' te beperken. Volgens bepaalde andere personen is dat een taak van een systeem als inetd of tcpserver. In die code zat een bug waardoor ook postfix kwetsbaar was voor dit soort aanvallen.

The higher that the monkey can climb, The more he shows his tail

Pagina: 1