Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss

sendmail opcja require_rdns

9 views
Skip to first unread message

LFC

unread,
May 6, 2020, 8:20:02 AM5/6/20
to
Zastanawiam sie nad użyciem tej opcji w sendmail.mc, ale mam pewne
wątpliwości.
Pytanie do znających sendmaila - czy nie spowoduje to szkód, bo z tego,
co zdążyłem się zorientować, to nawet niektóre banki i instytucje nie
mają rdns.
I pytanie dodatkowe, bo nie znalazłem w do tej pory prześledzonych howto
i informacjach nt. definowania filtrów:

define(`confMILTER_MACROS_CONNECT', `t, b, j, _, {daemon_name},
{if_name}, {if_addr}')dnl
define(`confMILTER_MACROS_HELO', `s, {tls_version}, {cipher},
{cipher_bits}, {cert_subject}, {cert_issuer}')dnl
define(`confMILTER_MACROS_ENVFROM', `i, {auth_authen}')dnl
define(`confMILTER_MACROS_ENVRCPT', `{greylist}')dnl


Mam tak w sendmail.mc wpisane dawno temu z jakichś howto w odniesieniu
do dwóch pierwszych definicji, gdy uruchamiałem spamassassina, a potem
clamava.
Za chińskiego boga nie mogę znaleźć, co oznaczają te oznaczenia: t, b,
j, _, s, i w tych funkcjach milterów. W dokumentacji sendmaila nie
pisze, w róznych opisach nic o tym też nie piszą.
Zastanowiłem się nad sprawą przy okazji odpalania greylista, bo te
definicje występują w jego howto bez tych wszystkich t,b,s, za to w
MACROS_HELO jest przywoływane na pierwszym miejscu makro {verify},
którego nie wpisałem w definicję filtra.
Greylist i tak działa bardzo dobrze, ale gdy uruchamia filtrowanie to
daje komunikat:
smfi_getsymval failed for {daemon_port}, using default smtp port.
Dziwne bo makro {daemon_port} nie jest wywoływane w żadnej z 4 definicji
conMILTER_MACROS, chyba, ze wynika to z opcji sendmaila "no_default_msa".

Byłoby fajnie zakumać, co to za opcje i jak tego używać, ale w żadnym
zapytaniu wujka google na temat konfiguracji sendmaila i/lub milterów
do niego nie znalazłem takiej informacji.

LFC


Lemat

unread,
May 6, 2020, 9:12:40 AM5/6/20
to
W dniu 06.05.2020 o 14:07, LFC pisze:
> Zastanawiam sie nad użyciem tej opcji w sendmail.mc, ale mam pewne
> wątpliwości.
> Pytanie do znających sendmaila - czy nie spowoduje to szkód, bo z tego,
> co zdążyłem się zorientować, to nawet niektóre banki i instytucje nie
> mają rdns.

Takie info pisałem na swojej stronie jakieś 10 lat temu.
Od tego czasu wiele wody upłynęło i stosuję teraz:

http://www.postfix.org/postconf.5.html#reject_unknown_client_hostname

Bo jak duzi gracze zaczęli odrzucać pocztę z powodu braku revDNS i
niepoprawnego HELO to jakoś wszyscy się nauczyli poprawnie konfigurować
systemy pocztowe :)
--
Pozdrawiam
Lemat

Piotr Lechowicz

unread,
May 6, 2020, 9:41:53 AM5/6/20
to
W dniu 2020-05-06 o 14:07, LFC pisze:
> Zastanawiam sie nad użyciem tej opcji w sendmail.mc, ale mam pewne wątpliwości.
> Pytanie do znających sendmaila - czy nie spowoduje to szkód, bo z tego, co zdążyłem się zorientować, to nawet niektóre banki i instytucje nie mają rdns.

Kwestia gustu i lokalnych warunków.
Ja mam tą opcję i dodatkowo tnę jeszcze wszystkie revDNSy czysto numeryczne i wyglądające na dynamiczne.

> I pytanie dodatkowe, bo nie znalazłem w do tej pory prześledzonych howto i informacjach nt. definowania filtrów:
>
> define(`confMILTER_MACROS_CONNECT', `t, b, j, _, {daemon_name}, {if_name}, {if_addr}')dnl> define(`confMILTER_MACROS_HELO', `s, {tls_version}, {cipher}, {cipher_bits}, {cert_subject}, {cert_issuer}')dnl
> define(`confMILTER_MACROS_ENVFROM', `i, {auth_authen}')dnl
> define(`confMILTER_MACROS_ENVRCPT', `{greylist}')dnl
> >
> Mam tak w sendmail.mc wpisane dawno temu z jakichś howto w odniesieniu do dwóch pierwszych definicji, gdy uruchamiałem spamassassina, a potem clamava.
> Za chińskiego boga nie mogę znaleźć, co oznaczają te oznaczenia: t, b, j, _, s, i w tych funkcjach milterów.

Pojedyncze litery mają to samo znaczenie, co wpisy w nawiasach {} - są to makra.
np:
t=time
d=date
j=official canonical name
_=user@host/zależnie od warunków
s= The sender host's name

> W dokumentacji sendmaila nie pisze, w róznych opisach nic o tym też nie piszą.

Makra sendmaila:
The BAT, 3rd Edition, Section 21.9. Alphabetized sendmail Macros
https://docstore.mik.ua/orelly/other/Sendmail_3rd/1565928393_sendmail3-chp-21-sect-9.html
Pełna specyfikacja definicji makr miltrów:
https://docstore.mik.ua/orelly/other/Sendmail_3rd/1565928393_ch24-94199.html

> Zastanowiłem się nad sprawą przy okazji odpalania greylista, bo te definicje występują w jego howto bez tych wszystkich t,b,s, za to w MACROS_HELO jest przywoływane na pierwszym miejscu makro {verify}, którego nie wpisałem w definicję filtra.
> Greylist i tak działa bardzo dobrze, ale gdy uruchamia filtrowanie to daje komunikat:
> smfi_getsymval failed for {daemon_port}, using default smtp port.
> Dziwne bo makro {daemon_port} nie jest wywoływane w żadnej z 4 definicji
> conMILTER_MACROS, chyba, ze wynika to z opcji sendmaila "no_default_msa".
>
> Byłoby fajnie zakumać, co to za opcje  i jak tego używać, ale w żadnym zapytaniu wujka google na temat konfiguracji sendmaila  i/lub milterów do niego nie znalazłem takiej informacji.

Wszystkie powyższe informacje były w pierwszej dziesiątce wyników
https://www.google.com/search?q=sendmail+confMILTER_MACROS

>
> LFC
>
>

Pozdro

Andrzej A. Filip

unread,
May 6, 2020, 9:50:57 AM5/6/20
to
Lemat <#@lemat.priv.pl> pisze:
A co to było jak serwery zaczęły sprawdzać czy domena w "MAIL FROM:"
ma rekordy DNS :-)

--
Andrzej A. Filip

Lemat

unread,
May 6, 2020, 10:15:30 AM5/6/20
to
W dniu 06.05.2020 o 15:50, Andrzej A. Filip pisze:
> Lemat <#@lemat.priv.pl> pisze:
> A co to było jak serwery zaczęły sprawdzać czy domena w "MAIL FROM:"
> ma rekordy DNS :-)
>

A wyobraź sobie, że duzi gracze na rynku (Cisco, Proofpoint/Cloudmark
etc.) oferujący pudełkowe rozwiązania antyspamowe mają problem z takimi
opcjami?
Takimi opcjami, które ja uważałem za konieczne 15 lat temu.

--
Pozdrawiam
Lemat

LFC

unread,
May 6, 2020, 3:40:02 PM5/6/20
to
W dniu 2020-05-06 o 15:41, Piotr Lechowicz pisze:

>
> Kwestia gustu i lokalnych warunków.
> Ja mam tą opcję i dodatkowo tnę jeszcze wszystkie revDNSy czysto
> numeryczne i wyglądające na dynamiczne.
>

Nie chciałbym, żeby pojawiły się kłopoty z pocztą z niektórych
instytucji i banków, które nie maja rev

>
> Wszystkie powyższe informacje były w pierwszej dziesiątce wyników
> https://www.google.com/search?q=sendmail+confMILTER_MACROS
>

Jakoś przegapiłem, choć byłem na tej stronie, Sendmail 3rd O'rellego,
ale jakoś mi się nie odemknęła właściwa klapka. Tak się zafiksowałem na
tym, że to jakieś opcje, że pominąłem te informacje. O to mi chodziło -
lista makr, choć nie wyjaśnia mi
smfi_getsymval failed for {daemon_port}, using default smtp port,
ale i tak jest nieźle, bo greylist działa OK.
Tak, czy owak dzięki. Jeden problem więcej rozkminiony.
Tak przy okazji, znasz jakąś recepte na samodzielne zmiany hasła przez
userów shellowych poczty, oczywiście oprócz shella.
Kiedyś dawno temu była taka mała aplikacja w formie stronki www
epassword, czy jakoś tak przez którą można było dokonać samodzielnie
zmiany hasła, ale to było jeszcze w czasach wczesnych RedHatów. Używałem
tego, gdy serwer pracował jeszcze na RH 7, ale projekt został porzucony
i na nowszych distro już się nie instalował.

LFC

KIKI

unread,
May 6, 2020, 4:21:28 PM5/6/20
to
Ja od początku odrzucałem brak ptra i błędy w helo. W logach jest
tysiące rejectów tygodniowo i zapewniam, że nie ma tam nic wartościowego.
Usiłują spamować z komórek i kart sim ale to im się nie udaje dzięki tym
mechanizmom.

Piotr Lechowicz

unread,
May 6, 2020, 6:10:13 PM5/6/20
to
W dniu 2020-05-06 o 21:34, LFC pisze:
> Tak przy okazji, znasz jakąś recepte na samodzielne zmiany hasła przez userów shellowych poczty, oczywiście oprócz shella.
> Kiedyś dawno temu była taka mała aplikacja w formie stronki www epassword, czy jakoś tak przez którą można było dokonać samodzielnie zmiany hasła, ale to było jeszcze w czasach wczesnych RedHatów. Używałem tego, gdy serwer pracował jeszcze na RH 7, ale projekt został porzucony i na nowszych distro już się nie instalował.

Via webmail.

W squirrelmail jest do tego dedykowany plugin i działał świetnie do momentu zmiany domyślnego hashowania haseł w Centos 6.4 oraz przejścia z PHP 5.6 na nowsze wersje.
Autor squirrelmail ma aktualnizację na te problemy, ale życzy sobie za nią real $.

Z powyższych powodów (oraz ogólnie aktualności, estetyki i dostępu z mobilek) przeszedłem na RoundCube.
Jestem na etapie szukania dostępnych mechanizmów zmiany haseł w tym systemie, bo mocno mi (userom) tego brakuje.

PL

goo-...@ciach.net

unread,
May 7, 2020, 5:48:23 AM5/7/20
to
W dniu środa, 6 maja 2020 21:40:02 UTC+2 użytkownik LFC napisał:
> W dniu 2020-05-06 o 15:41, Piotr Lechowicz pisze:
>
> >
> > Kwestia gustu i lokalnych warunków.
> > Ja mam tą opcję i dodatkowo tnę jeszcze wszystkie revDNSy czysto
> > numeryczne i wyglądające na dynamiczne.
> >
>
> Nie chciałbym, żeby pojawiły się kłopoty z pocztą z niektórych
> instytucji i banków, które nie maja rev

Trzeba tego pilnować, najlepiej jakimś skryptem i w razie potrzeby reagować. Mam spore doświadczenie z serwerem, gdzie przychodzi mnóstwo maili z poddomen gov.pl i sytuacje, kiedy jest tam problem z revDNS są na porządku dziennym. Czasem ktoś to poprawi szybko, czasem trwa to długo - a poczta musi krążyć. W instytucji publicznej nie bardzo możesz odrzucić maila np. na temat przetargu tylko dlatego, że ktoś miał niedokonfigurowany serwer pocztowy itp. itd.

Andrzej

LFC

unread,
May 7, 2020, 7:00:02 AM5/7/20
to
W dniu 07.05.2020 o 11:48, goo-...@ciach.net pisze:


>>
>> Nie chciałbym, żeby pojawiły się kłopoty z pocztą z niektórych
>> instytucji i banków, które nie maja rev
>
> Trzeba tego pilnować, najlepiej jakimś skryptem i w razie potrzeby reagować. Mam spore doświadczenie z serwerem, gdzie przychodzi mnóstwo maili z poddomen gov.pl i sytuacje, kiedy jest tam problem z revDNS są na porządku dziennym. Czasem ktoś to poprawi szybko, czasem trwa to długo - a poczta musi krążyć. W instytucji publicznej nie bardzo możesz odrzucić maila np. na temat przetargu tylko dlatego, że ktoś miał niedokonfigurowany serwer pocztowy itp. itd.
>
> Andrzej
>

Właśnie dlatego nie dodałem tej opcji bo sprawdziłem pobieżnie
największe banki, w tym ten w kórym firma ma konto i któreś gov i
częściowo wyszła dupa zimna.

LFC

Andrzej A. Filip

unread,
May 7, 2020, 7:54:10 AM5/7/20
to
LFC <lon...@mpwikzdw.com.pl> pisze:
> W dniu 07.05.2020 o 11:48, goo-...@ciach.net pisze:
>
>
>>>
>>> Nie chciałbym, żeby pojawiły się kłopoty z pocztą z niektórych
>>> instytucji i banków, które nie maja rev
>>
>> Trzeba tego pilnować, najlepiej jakimś skryptem i w razie potrzeby
>> reagować. Mam spore doświadczenie z serwerem, gdzie przychodzi
>> mnóstwo maili z poddomen gov.pl i sytuacje, kiedy jest tam problem z
>> revDNS są na porządku dziennym. Czasem ktoś to poprawi szybko,
>> czasem trwa to długo - a poczta musi krążyć. W instytucji publicznej
>> nie bardzo możesz odrzucić maila np. na temat przetargu tylko
>> dlatego, że ktoś miał niedokonfigurowany serwer pocztowy itp. itd.
>
> Właśnie dlatego nie dodałem tej opcji bo sprawdziłem pobieżnie
> największe banki, w tym ten w kórym firma ma konto i któreś gov i
> częściowo wyszła dupa zimna.

Można "statycznie" mapować adres IP na kraj (bez zapytań internetowych).
Można to połączyć w "revDNS wymagany o ile kraj jest spoza listy".
Najprościej będzie to zrobić w miltrze najlepiej takim jak MIMEDefang
(filtr oparty na skrypcie perl-a).

W samym sendmail.cf też się da się to zrobić ale będzie wymagać małego
rzeźbienia. AFAIR kiedyś co takiego promowałem w oparciu o mapowanie
adres_IP->kraj na podstawie zapytań DNS.

--
Andrzej A. Filip

goo-...@ciach.net

unread,
May 7, 2020, 8:15:58 AM5/7/20
to
No nie całkiem - możesz tą regułą dawać odpowiedź nie 5xx a 4xx i jak zobaczysz w logach taką sytuację, to możesz np. dopisać takie IP do hosts.

Ale żeby to sprawnie działało, to trzeba to sobie oskryptować, żeby to automat sprawdzał logi i pokazywał tylko to, co może być ciekawe.

Andrzej

KIKI

unread,
May 7, 2020, 10:09:11 AM5/7/20
to
Na polspam.pl jest whitelista z adresami gov.ppl, bankami i takimi tam
co na pewno nie spamują.

0 new messages