URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 29754
[ Назад ]
Исходное сообщение
"access in sendmail"
Отправлено klim , 12-Май-03 08:55 
народ столкнулся с такой проблемой:
стоит сендмаил 8.12.9 на фре 4.2 и внутри сетки все ходит как положено,но если я отправляю сообщение не из внутренней сетки и если в access нет того адреса куда я отправляю то он режектит почту.
Каждый раз добавлять адрес для того чтобы один раз отправить письмо это гемморно, но на данный момент так и приходится делать.
пробовал добавлять в access такую строчку
user@domain.com     RELAY
такое не работает (адрес ясен перец настоящий), каким способом можно некоторым пользователям разрешить отправлять почту на любые адреса?
Содержание
Сообщения в этом обсуждении
"access in sendmail"
Отправлено klim , 12-Май-03 08:59 
>пробовал добавлять в access такую строчку
>user@domain.com     RELAY
>такое не работает (адрес ясен перец настоящий)
здесь в смысле не адрес получателя а адресс отправителя


"access in sendmail"
Отправлено iiws , 12-Май-03 09:22 
>народ столкнулся с такой проблемой:
>стоит сендмаил 8.12.9 на фре 4.2 и внутри сетки все ходит как
>положено,но если я отправляю сообщение не из внутренней сетки и если
>в access нет того адреса куда я отправляю то он режектит
>почту.
>Каждый раз добавлять адрес для того чтобы один раз отправить письмо это
>гемморно, но на данный момент так и приходится делать.
>пробовал добавлять в access такую строчку
>user@domain.com     RELAY
>такое не работает (адрес ясен перец настоящий), каким способом можно некоторым пользователям
>разрешить отправлять почту на любые адреса?

дык добват ту сетку в access.db и все дела !
localhost.localdomain   RELAY
localhost               RELAY
10.131.2                RELAY
192.168.0               RELAY

будет разрешать ходить из указанных локальных сеток, а если ты хочешь пускать релей снаружных IP, то это отдельная песня и безопасность !
чтобы нормально и безопасно пускать внешние ip на свой релей, нужно прикручивать SMTH AUTH и POP before SMTP , тут нужно ставить дополнительные проги


"access in sendmail"
Отправлено klim , 12-Май-03 09:31 
>дык добват ту сетку в access.db и все дела !
>localhost.localdomain   RELAY
>localhost            
>   RELAY
>10.131.2            
>    RELAY
>192.168.0            
>   RELAY
>
>будет разрешать ходить из указанных локальных сеток, а если ты хочешь пускать
>релей снаружных IP, то это отдельная песня и безопасность !
>чтобы нормально и безопасно пускать внешние ip на свой релей, нужно прикручивать
>SMTH AUTH и POP before SMTP , тут нужно ставить дополнительные
>проги

Дак в том то и дело что, клиенты имеют внешние ip которые раздаются динамически. А безопастность тоже не последний критерий.
Можно конечно и прикрутить smtp_auth но у меня основные почтовые клиенты не поддерживают его.
И если я поставлю например сетку 192.168, то что он будет пускать, всех кто находиться в этой сетке, а у нас (в казахстане), это почти все, что тоже радости не прибавляет.
Может есть вариант написать типа
адрес@пользователя RELAY
но практика показала что это правило не работает, как можно привязаться к почтовому адресу, а не к ip?


"access in sendmail"
Отправлено lavr , 12-Май-03 10:32 
>>дык добват ту сетку в access.db и все дела !
>>localhost.localdomain   RELAY
>>localhost            
>>   RELAY
>>10.131.2            
>>    RELAY
>>192.168.0            
>>   RELAY
>>
>>будет разрешать ходить из указанных локальных сеток, а если ты хочешь пускать
>>релей снаружных IP, то это отдельная песня и безопасность !
>>чтобы нормально и безопасно пускать внешние ip на свой релей, нужно прикручивать
>>SMTH AUTH и POP before SMTP , тут нужно ставить дополнительные
>>проги
>
>Дак в том то и дело что, клиенты имеют внешние ip которые
>раздаются динамически. А безопастность тоже не последний критерий.
>Можно конечно и прикрутить smtp_auth но у меня основные почтовые клиенты не
>поддерживают его.
>И если я поставлю например сетку 192.168, то что он будет пускать,
>всех кто находиться в этой сетке, а у нас (в казахстане),
>это почти все, что тоже радости не прибавляет.
>Может есть вариант написать типа
>адрес@пользователя RELAY
>но практика показала что это правило не работает, как можно привязаться к
>почтовому адресу, а не к ip?

варианты:

- smtp-auth
- pop-before-smtp

"access in sendmail"
Отправлено ref , 12-Май-03 12:55 
>>>дык добват ту сетку в access.db и все дела !
>>>localhost.localdomain   RELAY
>>>localhost            
>>>   RELAY
>>>10.131.2            
>>>    RELAY
>>>192.168.0            
>>>   RELAY
>>>
>>>будет разрешать ходить из указанных локальных сеток, а если ты хочешь пускать
>>>релей снаружных IP, то это отдельная песня и безопасность !
>>>чтобы нормально и безопасно пускать внешние ip на свой релей, нужно прикручивать
>>>SMTH AUTH и POP before SMTP , тут нужно ставить дополнительные
>>>проги

>>
>>Дак в том то и дело что, клиенты имеют внешние ip которые
>>раздаются динамически. А безопастность тоже не последний критерий.
>>Можно конечно и прикрутить smtp_auth но у меня основные почтовые клиенты не
>>поддерживают его.
>>И если я поставлю например сетку 192.168, то что он будет пускать,
>>всех кто находиться в этой сетке, а у нас (в казахстане),
>>это почти все, что тоже радости не прибавляет.
>>Может есть вариант написать типа
>>адрес@пользователя RELAY
>>но практика показала что это правило не работает, как можно привязаться к
>>почтовому адресу, а не к ip?
>
>варианты:
>
>- smtp-auth
>- pop-before-smtp

в m4 пересобрать .cf
FEATURE(`relay_mail_from',`user-alias user-alias')
может поможет?

"access in sendmail"
Отправлено iiws , 12-Май-03 14:17 
>народ столкнулся с такой проблемой:
>стоит сендмаил 8.12.9 на фре 4.2 и внутри сетки все ходит как
>положено,но если я отправляю сообщение не из внутренней сетки и если
>в access нет того адреса куда я отправляю то он режектит
>почту.
>Каждый раз добавлять адрес для того чтобы один раз отправить письмо это
>гемморно, но на данный момент так и приходится делать.
>пробовал добавлять в access такую строчку
>user@domain.com     RELAY
>такое не работает (адрес ясен перец настоящий), каким способом можно некоторым пользователям
>разрешить отправлять почту на любые адреса?

то что правило не работает, нужно разбираться с настройкой sendmail.mc,
но даже если оно заработает , любой спамер подставив в качестве обратного адреса этот ящик, будет спамить через тебя! а оно тебе надо ? самое оптимальное SMTP AUTH  или  POP before SMTP  

"access in sendmail"
Отправлено klim , 12-Май-03 16:00 
>>народ столкнулся с такой проблемой:
>>стоит сендмаил 8.12.9 на фре 4.2 и внутри сетки все ходит как
>>положено,но если я отправляю сообщение не из внутренней сетки и если
>>в access нет того адреса куда я отправляю то он режектит
>>почту.
>>Каждый раз добавлять адрес для того чтобы один раз отправить письмо это
>>гемморно, но на данный момент так и приходится делать.
>>пробовал добавлять в access такую строчку
>>user@domain.com     RELAY
>>такое не работает (адрес ясен перец настоящий), каким способом можно некоторым пользователям
>>разрешить отправлять почту на любые адреса?
>
>то что правило не работает, нужно разбираться с настройкой sendmail.mc,
>но даже если оно заработает , любой спамер подставив в качестве обратного
>адреса этот ящик, будет спамить через тебя! а оно тебе надо
>? самое оптимальное SMTP AUTH  или  POP before SMTP
>

в смысле работает правило, если подставить адрес получателя а не отправителя.
так и получается что нужно каждый раз править access под нужды каждого пользователя (их всего три, но дажен три пользователя это гемморой)
а как работает "pop before smtp"?
и где можно нарыть доки по предмету

"access in sendmail"
Отправлено lavr , 12-Май-03 16:23 
>>>народ столкнулся с такой проблемой:
>>>стоит сендмаил 8.12.9 на фре 4.2 и внутри сетки все ходит как
>>>положено,но если я отправляю сообщение не из внутренней сетки и если
>>>в access нет того адреса куда я отправляю то он режектит
>>>почту.
>>>Каждый раз добавлять адрес для того чтобы один раз отправить письмо это
>>>гемморно, но на данный момент так и приходится делать.
>>>пробовал добавлять в access такую строчку
>>>user@domain.com     RELAY
>>>такое не работает (адрес ясен перец настоящий), каким способом можно некоторым пользователям
>>>разрешить отправлять почту на любые адреса?
>>
>>то что правило не работает, нужно разбираться с настройкой sendmail.mc,
>>но даже если оно заработает , любой спамер подставив в качестве обратного
>>адреса этот ящик, будет спамить через тебя! а оно тебе надо
>>? самое оптимальное SMTP AUTH  или  POP before SMTP
>>
>
>в смысле работает правило, если подставить адрес получателя а не отправителя.
>так и получается что нужно каждый раз править access под нужды каждого
>пользователя (их всего три, но дажен три пользователя это гемморой)
>а как работает "pop before smtp"?
>и где можно нарыть доки по предмету

uw-imap/qpopper - поддержка drac, apop3d, poprelay...
http://www.joreybump.com/code/pmpass/
http://popbsmtp.sourceforge.net/

http://www.sendmail.org/~ca/email/roaming.html#POPB4SMTP

"access in sendmail"
Отправлено klim , 12-Май-03 16:12 
Может я не так описал проблему.
Пример:
есть пользователь котрый заходит dialup'ом на мой сервер и от него пытается отправить сообщение, например прользователь user@mydomain.kz пытается отправить письмо на some@yahoo.com.
Сервер на его попытки отвечает что на адрес some@yahoo.com не может быть отправленно письмо.
Заходим в access ставим some@yahoo.com  RELAY
соответсвенно перестраиваем базы и вообщем делаем все что нужно. После чего этот же пользователь беспрепятственно отправляет почту на этот адрес.
Как сделать чтобы для пользователя user@mydomain.kz сервер не проверял записи access а так верил ему и отсылал?
Запись в access вида user@mydomain.kz неработает, то есть сервер все внешние адреса от него также ищет в access.
Если этот же пользователь отправляет сообщение из моей внутренней сети то запись а access'е похоже просто игнорируется, и письмо благополучно отправляется куда хочется левой ноге этого user'а.
Каким образом можно вылечить эту ситуацию?
заранее спасибо


"access in sendmail"
Отправлено lavr , 12-Май-03 16:58 
>Может я не так описал проблему.
>Пример:
>есть пользователь котрый заходит dialup'ом на мой сервер и от него пытается
>отправить сообщение, например прользователь user@mydomain.kz пытается отправить письмо на some@yahoo.com.
>Сервер на его попытки отвечает что на адрес some@yahoo.com не может быть
>отправленно письмо.
>Заходим в access ставим some@yahoo.com  RELAY
>соответсвенно перестраиваем базы и вообщем делаем все что нужно. После чего этот
>же пользователь беспрепятственно отправляет почту на этот адрес.
>Как сделать чтобы для пользователя user@mydomain.kz сервер не проверял записи access а
>так верил ему и отсылал?
>Запись в access вида user@mydomain.kz неработает, то есть сервер все внешние адреса
>от него также ищет в access.
>Если этот же пользователь отправляет сообщение из моей внутренней сети то запись
>а access'е похоже просто игнорируется, и письмо благополучно отправляется куда хочется
>левой ноге этого user'а.
>Каким образом можно вылечить эту ситуацию?
>заранее спасибо

что-то ты накуролесил:

/etc/mail/relay-domains

в сумме с /etc/mail/access и FEATURE:

relay_entire_domain или relay_hosts_only или ... дают то что нужно

клиент(ip/net/host/domain) которому разрешен релеинг через тебя, может
куда угодно слать почту, например:

unix1.jinr.ru:

[unix1]~ > cat /etc/mail/relay-domains
jinr.dubna.su
jinr.ru
[unix1]~ > cat /etc/mail/access
#
#--lavr, releing for JINR-NET
159.93.16                       RELAY
...
[unix1]~ > grep relay /etc/mail/unix1.mc
FEATURE(relay_hosts_only)
ну или
FEATURE(relay_entire_domain)
[unix1]~ >

проверяем работу и открытость релея с других машин:

[linux4u]~ > nslookup -q=a `hostname --fqdn`
Server:  sunct0.jinr.ru
Address:  159.93.17.130

Name:    linux4u.jinr.ru
Address:  159.93.17.93

[linux4u]~ > telnet unix1.jinr.ru 25
Trying 159.93.17.121...
Connected to unix1.jinr.ru.
Escape character is '^]'.
220 JINR-Net ESMTP Lavr-Antispam-MTA; Non-authorized relaying DENIED.
mail from: tam-tam@gov.ru
250 2.1.0 tam-tam@gov.ru... Sender ok
rcpt to: lalala@sun.com
250 2.1.5 lalala@sun.com... Recipient ok

все работает

rset
250 2.0.0 Reset state
quit
221 2.0.0 unix1.jinr.dubna.su closing connection
Connection closed by foreign host.
[linux4u]~ >

такую же проверку сделать извне, так как в JINR-NET 25/tcp (SMTP порт)
закрыт снаружи во внутрь, сделаем следующее, внесем в access для
ip из верхнего примера REJECT:

[unix1]~ > grep REJECT /etc/mail/access
159.93.17.93                    REJECT
[unix1]~ >

[linux4u]~ > telnet unix1.jinr.ru 25
Trying 159.93.17.121...
Connected to unix1.jinr.ru.
Escape character is '^]'.
220 JINR-Net ESMTP Lavr-Antispam-MTA; Non-authorized relaying DENIED.
mail from: tuk-tuk@gov.ru
550 5.7.1 Access denied

работает

rset
250 2.0.0 Reset state
quit
221 2.0.0 unix1.jinr.dubna.su closing connection
Connection closed by foreign host.
[linux4u]~ >

смотрим как с другой машины из нашей сети, для которой разрешен релеинг:

lavr@mammoth:~> telnet unix1.jinr.ru 25
Trying 159.93.17.121...
Connected to unix1.jinr.ru.
Escape character is '^]'.
220 JINR-Net ESMTP Lavr-Antispam-MTA; Non-authorized relaying DENIED.
mail from: lavr@sun.com
250 2.1.0 lavr@sun.com... Sender ok
rcpt to: spam@mail-abuse.org
250 2.1.5 spam@mail-abuse.org... Recipient ok

работает    

rset
250 2.0.0 Reset state
quit
221 2.0.0 unix1.jinr.dubna.su closing connection
Connection closed by foreign host.
lavr@mammoth:~> nslookup -q=a `hostname`
Server:  sunct0.jinr.ru
Address:  159.93.17.130

Name:    mammoth.jinr.ru
Address:  159.93.17.100

lavr@mammoth:~>

Короче, я не понял ЧТО хочется: релеинг или роуминг(smtp-auth) для работы
с любых ip, или вместо smtp-auth - pop-before-smtp

"access in sendmail"
Отправлено klim , 13-Май-03 08:30 
Хочется что бы имея внешние динамические ip адреса мои почтовые клиенты могли отправлять почту куда угодно без правки access'а, но чтобы при этом могли отправлять только эти клиенты, а другим он режектил(если такое конечно возможно).
"access in sendmail"
Отправлено lavr , 13-Май-03 09:30 
>Хочется что бы имея внешние динамические ip адреса мои почтовые клиенты могли
>отправлять почту куда угодно без правки access'а, но чтобы при этом
>могли отправлять только эти клиенты, а другим он режектил(если такое конечно
>возможно).

если динамические адреса могут быть любые, тогда только smtp-auth
или pop-before-smtp.

прим: если ты будешь вставлять в access строки типа lala@yahoo.com RELAY -
тебя рано или поздно поимеют.

"access in sendmail"
Отправлено klim , 13-Май-03 09:42 
>>Хочется что бы имея внешние динамические ip адреса мои почтовые клиенты могли
>>отправлять почту куда угодно без правки access'а, но чтобы при этом
>>могли отправлять только эти клиенты, а другим он режектил(если такое конечно
>>возможно).
>
>если динамические адреса могут быть любые, тогда только smtp-auth
>или pop-before-smtp.
>
>прим: если ты будешь вставлять в access строки типа lala@yahoo.com RELAY -
>
>тебя рано или поздно поимеют.

Именно поэтому нужен какой то варинт котоый разрешает только моим пользователям слать от меня а остальным режект.
Сам понимаю что так делать нельзя. А моем понимании access нужен только для режекта

"access in sendmail"
Отправлено klim , 13-Май-03 10:15 
нашел на sendmail.org про FEATURE(`relay_mail_from'), там написано что это как раз что мне нужно, то есть он будет пускать только те адреса которые есть в access. По моему это как раз то.


"access in sendmail"
Отправлено iiws , 13-Май-03 11:22 
>нашел на sendmail.org про FEATURE(`relay_mail_from'), там написано что это как раз что
>мне нужно, то есть он будет пускать только те адреса которые
>есть в access. По моему это как раз то.

то то оно то, но как тебе сказал lavr тебя поимеют, если нет  автор-ции достаточно подставить в поле from ящик твоих удаленных юзеров и можно релеить спам через тебя! так что советую крутить SMTP AUTH или pop before smtp как тебе ранее уже говорилось, пора заканчивать этот ветку форума.

"access in sendmail"
Отправлено klim , 13-Май-03 08:37 
2lavr
Все что ты привел так и работает(но только из моей сетки). как с внешнего адреса не смогу проверить. может найдешь минутку?