no way to compare when less than two revisions
Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
Vorhergehende Überarbeitung | |||
— | centos:mail_c7:postfix3_9 [22.07.2019 15:11. ] (aktuell) – Externe Bearbeitung 127.0.0.1 | ||
---|---|---|---|
Zeile 1: | Zeile 1: | ||
+ | ====== Backup-Mailserver mit Postfix 3.x unter CentOS 7 ====== | ||
+ | {{: | ||
+ | Bevor nun die Domains, bei einer längeren " | ||
+ | |||
+ | Wir setzen aus den gerade genannten Gründen einen sog. **„Store-and-Forward“**-Backup-Server ein. Hierbei werden bei Bedarf die eMails vom Backup-Server angenommen und sobald der **eigentlichen MX-Server** wieder verfügbar ist, an diesen zugestellt. | ||
+ | |||
+ | ===== DNS-Einträge ===== | ||
+ | Für unsere Domäne definieren wir die zugehörigen MX-Records und legen hierzu die entsprechenden [[centos: | ||
+ | # dig nausch.org MX | ||
+ | |||
+ | ;; ANSWER SECTION: | ||
+ | | ||
+ | | ||
+ | |||
+ | ===== Backupmailserver definieren ===== | ||
+ | Über die Variable **permit_mx_backup** wird unser Mailserver angewiesen, eMails anzunehmen und weiterzuleiten, | ||
+ | Wir tragen also die IP-Adressen, | ||
+ | # vim / | ||
+ | <code bash>... | ||
+ | |||
+ | # Django : 2019-02-10 - Backup-Mailserver explizit erlauben | ||
+ | # default: permit_mx_backup_networks = | ||
+ | permit_mx_backup_networks = 88.217.171.167/ | ||
+ | </ | ||
+ | |||
+ | ===== Dynamische Empfänger-Adress-Verifizierung ===== | ||
+ | ==== Datenbank anlegen ==== | ||
+ | Ähnlich wie schon bei der Anbindung unseres Postfix-Mailservers an einem [[centos: | ||
+ | |||
+ | Den notwendigen Konfigurationseintrag finden wir bereits in der Hauptkonfigurationsdatei von unserem **Postfix 3.x** unter **CentOS 7.x**. | ||
+ | # grep verify / | ||
+ | |||
+ | | ||
+ | |||
+ | Postfix wird mit Hilfe des Moduls **verify** versuchen, noch während der Annahme der Nachricht von einem fremden Mailserver, beim Backend-System in Erfahrung zu bringen, ob dieses die Nachricht auch abnehmen würde. Ist dies der Fall, reicht der Backup-Mailserver die Nachricht an unseren Mailserver weiter, sobald dieser wieder erreichbar ist. Anderenfalls wird die Annahme der Nachricht verweigert. Damit nun der Mailserver nicht jedes mal nachfragen muss, werden wir ihm hierzu eine kleine Datenbanktabelle zur Verfügung stellen, die auch nach einen Neustart des Servers sofort genutzt werden kann. | ||
+ | |||
+ | Als erstes legen wir nun das entsprechende Verzeichnis an und schenke es dem Nutzer postfix. | ||
+ | # mkdir / | ||
+ | |||
+ | # chown postfix.root / | ||
+ | |||
+ | # chmod 700 / | ||
+ | |||
+ | ==== Datenbank definieren ==== | ||
+ | Als nächstes definieren wir noch die entsprechende Datenbank, bzw. den Ort wo Postfix diese Datenbank abspeichern wird. Hierzu tragen wir in die Konfigurationsdatei // | ||
+ | # vim / | ||
+ | |||
+ | <code bash>... | ||
+ | |||
+ | # Django : 2019-02-10 - Ergebnisse der Adress-Verification cachen | ||
+ | # Kapitel 12.2.2 Dynamische Empfänger-Verifizierung | ||
+ | # Kapitel 9.5.5 envelope Sender überprüfen | ||
+ | # default: address_verify_map = btree: | ||
+ | address_verify_map = btree:/ | ||
+ | </ | ||
+ | |||
+ | ==== Backup-MX definieren ==== | ||
+ | Ferner aktivieren wir noch den in der [[postfix3_4# | ||
+ | # vim / | ||
+ | <code bash>################################################################################ | ||
+ | ## SMTP RECIPIENT RESTRICTIONS | ||
+ | # | ||
+ | # Django : 2019-02-10 - Schutz unserer Empfänger mit Hilfe der Recipient | ||
+ | # Restrictions | ||
+ | # default: smtpd_recipient_restrictions = | ||
+ | smtpd_recipient_restrictions = | ||
+ | # Postmaster, abuse und andere aufgaben- oder funktionsgebundene | ||
+ | # eMail-Adressen (Role-Accounts) whitelisten | ||
+ | | ||
+ | |||
+ | # Black- und Whitelisting | ||
+ | | ||
+ | | ||
+ | | ||
+ | | ||
+ | |||
+ | # Unsere eigenen Nutzer zulassen-/ | ||
+ | # (Kapitel 8.2.2 Relaying erlauben und verbieten) | ||
+ | | ||
+ | | ||
+ | |||
+ | # RBL überprüfen | ||
+ | | ||
+ | | ||
+ | | ||
+ | | ||
+ | |||
+ | # Greylisting via postgrey checken via Unix-Socket | ||
+ | # (Kapitel 9.2.5 postgrey installieren) | ||
+ | # check_policy_service unix: | ||
+ | |||
+ | # Policyd-Weight check over TCP-Connection | ||
+ | # (Kapitel 9.3 policyd-weight installieren) | ||
+ | # check_client_access btree:/ | ||
+ | # check_policy_service inet: | ||
+ | |||
+ | # Dynamische Prüfung auf existente Relay-Empfänger | ||
+ | # (Kapitel 12.2.2 Dynamische Empfänger-Verifizierung) | ||
+ | | ||
+ | |||
+ | # Backupserver (MX) erlauben | ||
+ | | ||
+ | |||
+ | # alles andere an relaying verbieten | ||
+ | # (Kapitel 8.2.2 Relaying erlauben und verbieten) | ||
+ | | ||
+ | |||
+ | # Quota-Status-Policy-Daemon am Dovecot-Backend-System | ||
+ | # Dovecotbuch (ISBN 978-3-95539-74-7) Seite 219 ff. | ||
+ | # (Kapitel 11.11 "Der Quota-Policy-Server für Postfix" | ||
+ | | ||
+ | |||
+ | # Zu guter Letzt alles durchlassen, | ||
+ | # beanstandet wurde | ||
+ | | ||
+ | </ | ||
+ | |||
+ | Zusätzlich aktivieren wir noch den in der Section | ||
+ | | ||
+ | # vim / | ||
+ | < | ||
+ | |||
+ | ################################################################################ | ||
+ | ## SMTP RELAY RESTRICTIONS | ||
+ | # | ||
+ | # Django : 2019-02-10 - Definition, wer über unseren MX relayen darf oder nicht. | ||
+ | # http:// | ||
+ | # default: smtpd_relay_restrictions = permit_mynetworks, | ||
+ | # permit_sasl_authenticated, | ||
+ | # | ||
+ | smtpd_relay_restrictions = | ||
+ | # Unsere eigenen Nutzer zulassen-/ | ||
+ | | ||
+ | | ||
+ | # Backupserver (MX) erlauben | ||
+ | # | ||
+ | # alles andere an relaying verbieten, d.h. mit einem finalen error 550 abweisen | ||
+ | | ||
+ | </ | ||
+ | |||
+ | ==== Adressüberprüfung festlegen ==== | ||
+ | Die Pflege der verify-Datenbank übernimmt dabei Postfix selbst, trägt neue Adressen ein und löscht auch regelmäßig alte Einträge - kurz und gut, der Postfix betreibt also eine Art // | ||
+ | # postconf address_verify_positive_refresh_time | ||
+ | |||
+ | | ||
+ | |||
+ | Nach Ablauf der sieben Tage wird das verify-Modul eine bereits bekannte und positiv gekennzeichnete eMailadresse erneuit beim Zielserver anfragen und die Aktualität des Datensatzes überprüfen. | ||
+ | |||
+ | # postconf address_verify_positive_expire_time | ||
+ | |||
+ | | ||
+ | |||
+ | Erst nach Ablauf von 31 Tagen wird eine bekannte und positive Adresse aus der Datenbank entfernt. Da aber bereits nach 7 Tagen eine Überprüfung der Adresse stattfindet, | ||
+ | |||
+ | # postconf address_verify_negative_refresh_time | ||
+ | |||
+ | | ||
+ | |||
+ | Nach drei Stunden wird das verify-Modul eine noch nicht existente gecachte Empfänger-Adresse beim Zielserver erneut anfragen. | ||
+ | |||
+ | # postconf address_verify_negative_expire_time | ||
+ | |||
+ | | ||
+ | |||
+ | Nicht existierende Empfängeradressen werden maximal drei Tage vorgehalten und dann gelöscht. | ||
+ | |||
+ | # postconf address_verify_sender | ||
+ | |||
+ | | ||
+ | |||
+ | # postconf double_bounce_sender | ||
+ | |||
+ | | ||
+ | |||
+ | Dieser Parameter legt fest, mit welchem // | ||
+ | |||
+ | === Aktivierung === | ||
+ | Zum Aktivieren unserer Konfigurationsänderung führen wir einen **reload** des postfix-Daemons durch. | ||
+ | # systemctl reload postfix.service | ||
+ | |||
+ | Der **Reload** wurde im maillog dokumentiert. Bei Bedarf können wir den Status unseres Postfix-Servers abfragen. | ||
+ | # systemctl status postfix.service | ||
+ | |||
+ | < | ||
+ | <font style=" | ||
+ | | ||
+ | | ||
+ | Process: 27475 ExecStop=/ | ||
+ | Process: 27592 ExecReload=/ | ||
+ | Process: 27492 ExecStart=/ | ||
+ | Process: 27489 ExecStartPre=/ | ||
+ | Process: 27486 ExecStartPre=/ | ||
+ | Main PID: 27566 (master) | ||
+ | | ||
+ | | ||
+ | | ||
+ | | ||
+ | |||
+ | Feb 10 12:47:39 vml000080.dmz.nausch.org systemd[1]: Reloading Postfix Mail Transport Agent. | ||
+ | Feb 10 12:47:39 vml000080.dmz.nausch.org postfix/ | ||
+ | Feb 10 12:47:39 vml000080.dmz.nausch.org systemd[1]: Reloaded Postfix Mail Transport Agent.</ | ||
+ | </ | ||
+ | </ | ||
+ | |||
+ | ==== Logging ==== | ||
+ | Im Maillog werden dann entsprechend positive wie negative Überprüfungen dokumentiert. | ||
+ | |||
+ | # tail -f / | ||
+ | < | ||
+ | Feb 10 12:51:20 vml000080 postfix/ | ||
+ | Feb 10 12:51:06 vml000080 postfix/ | ||
+ | Feb 10 12:51:06 vml000080 postfix/ | ||
+ | Feb 10 12:51:06 vml000080 postfix/ | ||
+ | Feb 10 12:51:06 vml000080 postfix/ | ||
+ | Feb 10 12:51:09 vml000080 postfix/ | ||
+ | Feb 10 12:51:17 vml000080 postfix/ | ||
+ | ... | ||
+ | </ | ||
+ | |||
+ | Das Beispiel zeigt einen erfolgreichen Überprüfungsversuch // **status=deliverable (250 2.1.5 ok)** // ). | ||
+ | |||
+ | Wir im Gegensatz versucht an einen nicht existierenden Empfänger eine Nachricht zuzustellen, | ||
+ | < | ||
+ | Feb 10 12:53:07 vml000080 postfix/ | ||
+ | Feb 10 12:53:37 vml000080 postfix/ | ||
+ | Feb 10 12:53:38 vml000080 postfix/ | ||
+ | Feb 10 12:53:38 vml000080 postfix/ | ||
+ | Feb 10 12:53:38 vml000080 postfix/ | ||
+ | Feb 10 12:53:40 vml000080 postfix/ | ||
+ | Feb 10 12:53:49 vml000080 postfix/ | ||
+ | ... | ||
+ | </ | ||
+ | |||
+ | Werfen wir nun einen Blick in die verify-Datenbank von Postfix können wir für beide Beispiele die entsprechenden Einträge finden. | ||
+ | # postmap -s btree:/ | ||
+ | <code bash> | ||
+ | peer.heinlein@nausch.org 2: | ||
+ | </ | ||
+ | |||
+ | ==== Eintrag in der Datenbank (manuell) löschen ==== | ||
+ | Wollen wir, warum auch immer, einen Eintrag der verify-Datenbank manuell entfernen, greifen wir auch auf den Befehl **postmap** zurück. | ||
+ | # postmap -d peer.heinlein@nausch.org / | ||
+ | |||
+ | ==== nicht existierende Empfänger blocken ==== | ||
+ | Nach den erfolgreichen Testläufen definieren wir nun noch, dass Zustellversuche an nicht existierende Empfänger auf dem eigentlichen Zielsystem auch wirklich mit einem **500er** geblockt werden. Hierzu aktivieren wir den bei der [[postfix3_4# | ||
+ | # vim / | ||
+ | <code bash> | ||
+ | |||
+ | # default: unbekannte Empfänger sollen abgewiesen und nicht mit einem | ||
+ | # temporären Fehler 450 abgewiesen werden. | ||
+ | # default: unknown_local_recipient_reject_code = 550 | ||
+ | # unverified_recipient_reject_code = 450 | ||
+ | unverified_recipient_reject_code = 577 | ||
+ | |||
+ | ... | ||
+ | </ | ||
+ | |||
+ | Anschließend werden die Änderungen wie gewohnt durch einen Reload aktiviert: | ||
+ | # systemctl reload postfix | ||
+ | |||
+ | ====== Links ====== | ||
+ | * **[[centos: | ||
+ | * **[[wiki: | ||
+ | * **[[http:// | ||
+ | |||