OT: Postfix/SSL

[Miroslav Lachman]

Jan Dušátko wrote:
> Ahoj,
> Posilam mirne OT dotaz na tema Postfix a SSL.
> Mam server, vyuzivajici SPF. Při standardnim odesilani se mi odesilatele
> blokuji, protože e-mail není odeslan z domeny uvedene v SPF zaznamu.
> Rad bych nastavil klienty jako jen a pouze SSL komunikace (SMPT/S, neresim v
> tuto chvili POP3/IMAP) s tim, ze bych rad upravil SPF filtr aby e-maily
> prisle přes SSL akceptoval a zaroven spolehlive blokoval ostatni balast.

Nepouzivam SPF, takze neporadim konkretne, ale bude to patrne stejne, 
jako v ostatnich pripadech - staci si v main.cf nakonfigurovat spravne 
smtpd_client_restrictions, smtpd_helo_restrictions, 
smtpd_sender_restrictions, smtpd_recipient_restrictions ...

Tebe bude nejvice zajimat asi smtpd_client_restrictions a 
smtpd_sender_restrictions

Napriklad:

smtpd_sender_restrictions =
         check_sender_access hash:$config_directory/access
         permit_mynetworks,
         permit_sasl_authenticated,
         reject_non_fqdn_sender,
         reject_unknown_sender_domain
         check_policy_service unix:private/policy


a pak je v master.cf override ciste pro sifrovane kanaly:

smtps     inet  n       -       n       -       -       smtpd
   -o smtpd_tls_wrappermode=yes
   -o smtpd_client_restrictions=permit_sasl_authenticated,reject

submission inet n       -       n       -       -       smtpd
   -o smtpd_tls_security_level=encrypt
   -o smtpd_client_restrictions=permit_sasl_authenticated,reject

Nevim, jak presne tam mas implementovane to SPF (kde / co se stara o tu 
kontrolu), ale pointa z toho vyse uvedeneho prikladu je doufam jasna - 
obecne jsou nastavena nejaka kriteria pro odesilatele, nebo klienta, 
nebo prijemce atd., ale v master.cf se pro smtps (tedy sifrovanou 
komunikaci) ten seznam zmeni na to, ze se kontroluje jen to, jestli je 
klient overen loginem a heslem pres SASL a zadna dalsi kriteria uz 
splnovat nemusi.
Stejnou zalezitost si vymyslis i pro ten svuj SPF.

Mirek

PS: sifrovane SMTP lze pouzit dvojiho druhy, smtps (port 465) a 
submission (port 587)