Warum ist der Benutzername zwingend der Mailuser/adresse?

[mexx81]

Hallo zusammen,

ich betreibe meinen NAS als vollwertigen MTA und wundere mich des öfteren, warum die Mailadresse stets der Benutzername sein muss. Sprich, lege ich einen Benutzer mit den Loginnamen "toni" an ist die Mailadresse immer nur "toni@%registrierte_domains%". Wie realisiere ich es, dass "toni" auch andere Mailadressen zum Versand und Empfang nutzen kann?

Zusätzlich interessiert mich, wie ich Benutzer an Domains binde? Wenn ich 3 registrierte Domains habe. "aaa.de", "bbb.de", "ccc.de" könnte mein User "toni" alle drei Domains für Mailempfang und Mailversand nutzen. Von Haus aus!! Das finde ich schon gefährlich. Kann man das irgendwie verhindern?

Vielen Dank,
mexx

 

[Frogman]

...Wie realisiere ich es, dass "toni" auch andere Mailadressen zum Versand und Empfang nutzen kann?

Stichwort 'Alias'.

 

[mexx81]

Aliase ermöglichen den Empfang einer Mail an den User, aber nicht den Versand. Verknüpfe ich einen Alias mit dem User kann ich in keinen Client die Mailadresse "Alias"@%registrierte_domains% hinzufügen.

 

[Frogman]

Eben das tue ich und es erlaubt sehr wohl den Versand.

 

[mexx81]

Okay, dann hab ich ein Problem. Hier mal meine Testkonfiguration.

Ich habe einen User Namens "zeus".



Er hat sein zeus@%registrierte_domains% und zuästzlich den Alias "hades"@%registrierte_domains%.



Wenn ich hades@%registrierte_domains% verwenden möchte, hier am Beispiel des MailPlus WebClients....



Erhalte ich im Maillog auch die Meldung...

NOQUEUE: reject: RCPT from xxx.de[%IP%]: 553 5.7.1 <hades@%registrierte_domains%>: Sender address rejected: not owned by user zeus; from=<hades@%registrierte_domains%> to=<email@invalid.com> proto=ESMTP helo=<xxx>

Was mache ich falsch?

 

[Frogman]

Da ich DSM 6 nicht nutze und dementsprechend auch nicht den MailPlus inkl. Client, kann ich dazu nichts sagen. Bei mir läuft der Mailserver unter DSM5.2 und erlaubt mit eben jenen Alias-Einträgen bei jedem Client die Auswahl aller Namen.

 

[mexx81]

Hast Du im MailServer unter SMTP die Funktion "Absender-name und Login-Name müssen identisch sein" aktiviert oder deaktiviert?

 

[TheGardner]

Hat er deaktiviert! Das ist auch Dein Problem! Musste ausschalten!

 

[mexx81]

Wenn ich diese Funktion deaktiviere, kann der User "zeus" Mails mit einen Alias senden, die es nicht gibt. Dann ist zwar der Versand per hades@...de möglich, aber auch hades111111@...de und die gibt es nicht.
Zweitens können dann Authentifizierte User Mails senden, die ihnen nicht gehören. Der User "zeus" kann Mails senden, die ihm nicht gehören. Die Aliaskonfiguration verhairatet nicht den User mit einer E-Mailadresse. Es bleibt nur ein Alias für die Zustellung.

 

[TheGardner]

Ja, das kann sein! Ich gehe aber (bei mir) davon aus, dass keiner "sonne Shaise" macht ;-)

 

[mexx81]

Ist defintiv so. Deaktiviert man diese Absender-Name = Login-Name kann jeder Authentifizierte DSM User JEDE beliebige Mailadresse zum senden verwenden. Unbekannte und auch bekannte und sich damit als einen anderen User ausgeben. Man sollte zwar seinen Usern vertrauen können, aber in kleinen Betrieben mit 4 Mitarbeitern möchte ich schon sicherstellen, dass der Lehrling nicht Mails mit der E-Mail Adresse des Chefs verschicken kann.

 

[TheGardner]

Dann würde ich jetzt mal noch auf Frogmans Antwort warten! Der issn Schlitzohr und hat wahrscheinlich noch das eine oder andere Ass im Ärmel, wie man diese Probleme evt. noch umschiffen kann!

 

[rednag]

Mag sein, daß man sich seiner User sicher ist, aber ich betrachte das als schon gefährlich. Es kann doch nicht sein, eMails von einer dem User nicht gehörenden Adresse zu versenden.

 

[mexx81]

Kann ich denn die login_map einfach editieren? Es gibt eine login_map.db, die ich natürlich nicht per vi editieren kann.

 

[mexx81]

Ich meine ein Stück weitergekommen zu sein. Der Schalter, dass Username = Mail ist, ist in der main.cf vom Postfix der Schalter reject_authenticated_sender_login_mismatch. Das ansich ist aber nicht mein Problem. Mein Problem ist, der Inhalt der login_map welche durch den Schalter smtpd_sender_login_maps in der main.cf auf die Datei login_map verweist. Da finde ich eine sehr einfache Konfiguration, welcher User welche Mailadresse hat.

So könnte das aussehen:

# envelope sender           owners (SASL login names)
john@example.com            john@example.com
helpdesk@example.com        john@example.com, mary@example.com
postmaster                  admin@example.com
@example.net                barney, fred, john@example.com, mary@example.com

So sieht sie aber aus:

USER1 USER1
USER2 USER2
USER3 USER3

Somit hat USER1 das Recht auf user1@alledomains.de. Das ist gleich zwei mal schlecht. 1. Möchte ich gar nicht, dass jeder User mit jeder registrierten Domain senden darf und 2. soll ein User auch mit einen anderen Namen senden dürfen ohne gleich mit jeden Namen senden zu dürfen. Also passe ich die login_map wie folgt an.

USER1 USER1
USER2 USER2
USER3 USER3
HADES USER3

Schicke die Konfiguration per /volume1/@appstore/MailPlus-Server/sbin/postmap login_map in die login_map.db und starte den Postfix über den Paketmanager neu.

LEIDER ist nach restart des MailPlus-Server die login_map wieder die alte und meine Änderungen sind weg.

Habe ich einen Fehler gemacht? Bin ich überhaupt richtig an dieser Stelle? Es gab doch mal einen Ordner mit einer Reihe von Autostart Skripten in der Syno. Wo liegt der noch mal?

 

[jahlives]

das Problem mit den SASL Maps ist wenn du dann doch User hast die in allen Namen versenden können sollen z.B. wenn User ihre externen Mailadressen via DS zum zuständigen Mailserver geben können sollen. Dann wird diese SASL-Login Liste sehr schnell sehr komplex. Ein Stück weit muss man als Mailserverbetreiber seinen Usern schon vertrauen können. Im Streitfall findet man anhand der Logs resp des Quellcodes der Mail den Loginaccount schnell raus und kann diesem User dann auf die Finger klopfen. Erst mit aktuellen Versionen von Postfix >= 2.11 kann man diese SASL-Sender-Maps so langsam brauchen
Absender aus deinen Domains, welche nicht existieren, kannst du mittels einer smtpd_sender_restrictions killen (reject_unlisted_sender)

 

[mexx81]

Danke für Hilfe jahlives. Das heißt aber nun, dass ich um mein Ziel zu erreichen nur den Weg gehen kann die "Absendername = Loginname" Funktion zu deaktivieren und mit dem Risiko leben, dass Anwender sich als einen anderen User ausgeben. Ich könnte maximal per reject_unlisted_sender einen eventuellen Betrug eindämmen, das nur bekannte Absendernamen genutzt werden können und keine erfundenen?!

 

[jahlives]

solange du pro SASL-Login nicht viele Absender hast geht es schon mittels Loginmap. Du musst einfach wirklich alle definieren. Erst mit Postfix 2.11 gibt es z.B. http://www.postfix.org/postconf.5.html#reject_known_sender_login_mismatch Dann wird die Loginprüfung nur bei bestimmten Absenderadressen gemacht, welche du dann in der Map definierst, Ohne zu gucken würde ich aber behaupten, dass Syno nicht diese 2.11-er oder neuer am Start hat
Ja der reject_unlisted_sender hilft nur gegen erfundene Absender. Den "Missbrauch" bestehender Absender kannst du damit nicht verhindern

 

[mexx81]

Das heißt aber, dass ich mit der Bearbeitung der login_map schon richtig lag? Wieso wird resetet sie sich aber nach postfix reboot wieder?

 

[jahlives]

weil Synology diese scheinbar beim Start gemäss der Konfig im DSM neu schreibt. Mal probiert eine zusätzliche Lookupliste zu definieren? Postfix kann pro Konfigvariable durchaus mehrere Lookuplisten haben. "First match, first serve"