Am 15.05.2018 um 21:39 schrieb Thomas Krause:
Guten Abend,
ich bin gerade beim Migrieren eines sehr alten Servers.
Beim "neuen" möchte ich die "relay/sasl Nutzer" anders
behandeln als den Mailempfang über das Internet.
Dabei habe ich herausgefunden, dass standardmässig zunächst
die smtpd_relay_restrictions und anschliessend die
smtpd_recipient_restrictions abgearbeitet werden.
Die Reihenfolge in welcher abgearbeitet wird sieht Du in der Tabelle auf
dieser Seite. 'smtpd_recipient_restrictions' kommt dabei vor
'smtpd_relay_restrictions'.
http://www.postfix.org/SMTPD_ACCESS_README.html#lists
Das würde ich gern ändern, dass smtpd_relay_restrictions nur
für relay/sasl-Nutzer (587/465) und smtpd_recipient_restrictions
für eingehende Mails (25). In der master.cf habe ich konfiguriert:
'smtpd_relay_restrictions' dient der Sicherheit, damit Du Deinen Server
nicht unabsichtlich als open relay konfigurierst. Wenn Du Konfiguration
von Port 25 und Port 587 trennen willst, kannst Du einen einfachen Trick
verwenden. Du definierst in der master.cf eigene Variablen, die Du dann
in main.cf benutzt.
# master.cf
submission inet n - n - - smtpd
-o syslog_name=postfix/submission
-o smtpd_tls_security_level=encrypt
-o smtpd_sasl_auth_enable=yes
-o smtpd_recipient_restrictions=$submission_recipient_restrictions
-o smtpd_data_restrictions=$submission_data_restrictions
-o smtpd_relay_restrictions=permit_sasl_authenticated,reject
# main.cf
smtpd_recipient_restrictions =
reject_unauth_destination,
check_client_access cidr:/etc/postfix/access_client.cidr,
check_sender_access btree:/etc/postfix/access_sender,
reject_invalid_helo_hostname,
reject_non_fqdn_helo_hostname,
reject_non_fqdn_sender,
reject_non_fqdn_recipient,
reject_unknown_sender_domain,
reject_unknown_recipient_domain,
reject_unverified_recipient,
check_policy_service unix:private/policyd-spf
submission_recipient_restrictions =
check_client_access cidr:/etc/postfix/submission_access_client.cidr,
check_sender_access btree:/etc/postfix/submission_access_sender,
reject_invalid_helo_hostname,
reject_non_fqdn_sender,
reject_non_fqdn_recipient,
reject_unknown_sender_domain,
reject_unknown_recipient_domain,
reject_authenticated_sender_login_mismatch,
check_policy_service inet:127.0.0.1:10041,
permit_sasl_authenticated
Frage: ist das sinnvoll/sicher, und: verträgt sich das mit postscreen?
Solange Du sicherstellt, dass alle Mail-Clients nicht auf Port 25
(Standard für Postscreen) einliefern sollte Dir Postscreen keine
Probleme machen.
--
Alex JOST
