Archiv:Zusaetzliche Ports fuer Postfix - Versionsgeschichte

Tommes: Tommes verschob die Seite Zusaetzliche Ports fuer Postfix nach Archiv:Zusaetzliche Ports fuer Postfix

2025-03-15T07:16:41Z

Tommes verschob die Seite Zusaetzliche Ports fuer Postfix nach Archiv:Zusaetzliche Ports fuer Postfix

← Nächstältere Version	Version vom 15. März 2025, 07:16 Uhr
(kein Unterschied)

imported>Raymond: /* Kofiguration */ typo

2014-10-28T12:33:55Z

Kofiguration: typo

← Nächstältere Version		Version vom 28. Oktober 2014, 12:33 Uhr
Zeile 3:		Zeile 3:
	Die Verarbeitung einer eingehenden E-Mail ohne jegliche externen Filter dauert einen Sekundenbruchteil. Wenn jedoch noch ein Spamfilter involviert ist, dann steigt die Verarbeitungszeit auf 2 bis 3 Sekunden!		Die Verarbeitung einer eingehenden E-Mail ohne jegliche externen Filter dauert einen Sekundenbruchteil. Wenn jedoch noch ein Spamfilter involviert ist, dann steigt die Verarbeitungszeit auf 2 bis 3 Sekunden!
	Die Lösung dieses Dilemas ist ein zusätzlicher Port auf dem der SMTP Server lauscht. Dieser ist ziemlich schnell eingerichtet		Die Lösung dieses Dilemas ist ein zusätzlicher Port auf dem der SMTP Server lauscht. Dieser ist ziemlich schnell eingerichtet
	=== ~~Kofiguration~~ ===		=== Konfiguration ===
	Die verantwortliche Datei für die Konfiguration ist '''/usr/syno/mailstation/etc/master.cf'''		Die verantwortliche Datei für die Konfiguration ist '''/usr/syno/mailstation/etc/master.cf'''

imported>Raymond: /* Zusätzlicher Port für Postfix */ typo

2014-10-28T12:10:30Z

Zusätzlicher Port für Postfix: typo

← Nächstältere Version		Version vom 28. Oktober 2014, 12:10 Uhr
Zeile 1:		Zeile 1:
	== Zusätzlicher Port für Postfix ==		== Zusätzlicher Port für Postfix ==
	Per Default läuft ein SMTP Server auf Port 25. Wenn nur ein Port verwendet wird, dann hat das einen entscheidenden Nachteil: Sowohl E-Mails, die direkt an die DS geschickt werden, als auch E-Mails von lokalen Benutzern, die diese via die DS versenden, landen auf dem gleichen Port. Problematisch wird es dann, wenn auf dem Server eine Antispam-Software wie z.B. [http://spamassassin.apache.org/ Spamassassin] auf dem Port läuft. E-Mails die externe User an die DS schicken, sollen ja nach Spam gescannt werden. Bei E-Mails von lokalen Benutzern ist das jedoch unnötig und erzeugt nur sinnlos Last auf der DS.<br />		Per Default läuft ein SMTP Server auf Port 25. Wenn nur ein Port verwendet wird, dann hat das einen entscheidenden Nachteil: Sowohl E-Mails, die direkt an die DS geschickt werden, als auch E-Mails von lokalen Benutzern, die diese via die DS versenden, landen auf dem gleichen Port. Problematisch wird es dann, wenn auf dem Server eine Antispam-Software wie z.B. [http://spamassassin.apache.org/ Spamassassin] auf dem Port läuft. E-Mails die externe User an die DS schicken, sollen ja nach Spam gescannt werden. Bei E-Mails von lokalen Benutzern ist das jedoch unnötig und erzeugt nur sinnlos Last auf der DS.<br />
	Die Verarbeitung einer eingehenden ~~Email~~ ohne jegliche externen Filter dauert einen Sekundenbruchteil. Wenn jedoch noch ein Spamfilter involviert ist, dann steigt die Verarbeitungszeit auf 2 bis 3 Sekunden!		Die Verarbeitung einer eingehenden E-Mail ohne jegliche externen Filter dauert einen Sekundenbruchteil. Wenn jedoch noch ein Spamfilter involviert ist, dann steigt die Verarbeitungszeit auf 2 bis 3 Sekunden!
	Die Lösung dieses Dilemas ist ein zusätzlicher Port auf dem der SMTP Server lauscht. Dieser ist ziemlich schnell eingerichtet		Die Lösung dieses Dilemas ist ein zusätzlicher Port auf dem der SMTP Server lauscht. Dieser ist ziemlich schnell eingerichtet
	=== Kofiguration ===		=== Kofiguration ===

imported>Jahlives am 10. Januar 2011 um 22:25 Uhr

2011-01-10T22:25:14Z

@@ Zeile 16: / Zeile 16: @@
 Das '''-o''' steht für Override d.h. jeder Dienst wird erstmal mit den Optionen aus '''main.cf''' eingerichtet. Der Admin kann dann die gewünschten Optionen mittels '''-o''' so überschreiben wie es für den entsprechenden Dienst sein soll. <br />
 Im obigen Beispiel habe ich Spamassassin in die Postfix Zustellkette eingebaut. Wer mehr dazu wissen möchte kann mal in unser [[Externe_Accounts_abrufen#SpamAssassin_installieren_und_einrichten|Wiki]] schauen
 ==== Beliebiger Port ====
 <pre>

imported>Jahlives: /* Sicherheit */

2010-09-12T12:25:59Z

Sicherheit

← Nächstältere Version		Version vom 12. September 2010, 12:25 Uhr
Zeile 80:		Zeile 80:
	-o smtpd_recipient_restrictions=reject_unknown_recipient_domain,permit_sasl_authenticated,reject		-o smtpd_recipient_restrictions=reject_unknown_recipient_domain,permit_sasl_authenticated,reject
	</pre>		</pre>
			[[Category:Mailstation]]
			[[Category:Postfix]]

imported>Jahlives: /* Vorteile */

2010-04-16T22:52:31Z

Vorteile

← Nächstältere Version		Version vom 16. April 2010, 22:52 Uhr
Zeile 30:		Zeile 30:
	Obige Anweisung lässt Postfix auf Port 587 auf jeder erreichbaren IP lauschen (z.B. auch 127.0.0.1)		Obige Anweisung lässt Postfix auf Port 587 auf jeder erreichbaren IP lauschen (z.B. auch 127.0.0.1)

	=== ~~Vorteile~~ ===		=== Sicherheit ===
	Wenn man mindestens 2 Ports verwendet hat man einen entscheidenden Vorteil gegenüber nur einem Port: Man kann die smtpd-Restriktionen für interne und externe User unterschiedlich steuern.		Wenn man mindestens 2 Ports verwendet hat man einen entscheidenden Vorteil gegenüber nur einem Port: Man kann die smtpd-Restriktionen für interne und externe User unterschiedlich steuern.
	Ich habe bei mir 3 Ports für den Postfix. Einmal Port 25 (der default Port), der via '''main.cf''' seine smtpd_restrictions erhält, welche so ausschauen		Ich habe bei mir 3 Ports für den Postfix. Einmal Port 25 (der default Port), der via '''main.cf''' seine smtpd_restrictions erhält, welche so ausschauen
Zeile 52:		Zeile 52:
	permit		permit
	</pre>		</pre>
	Diese erlauben nur den Zugriff von Clients mit E-Mails, die auf der DS ihre Endstation haben. Über diesen Port können keine E-Mails nach extern verschickt werden. Zusätzlich sitzt spamassassin auf diesem Port und scannt alle E-Mails (konfiguriert in '''master.cf''')		Diese erlauben nur den Zugriff von Clients mit E-Mails, die auf der DS ihre Endstation haben. Über diesen Port können keine E-Mails nach extern verschickt werden. Zusätzlich sitzt spamassassin auf diesem Port und scannt alle E-Mails (konfiguriert in '''master.cf'''). Ausserdem sind "Bremsen" für Clients eingebaut, die immer wieder Fehler produzieren. Bei 4 oder mehr smtp Fehlern wird die Verbindung vom Server geschlossen, ausserdem muss der Client nach 2 und mehr Fehlern jeweils 2 Sekunden warten, ehe der Server wieder eine Kommando vom Client entgegennimmt. Das bremst Spammer ziemlich gut aus ;-)
			<pre>
			192.168.100.102:25 inet n - n - - smtpd
			-o receive_override_option=no_header_body_checks
			-o content_filter=spamfilter:dummy
			-o smtpd_soft_error_limit=1
			-o smtpd_hard_error_limit=3
			-o smtpd_error_sleep_time=2
			</pre>
	Dann verwende ich Port 2525 nur im LAN für Clients, die sich nicht sauber bei einem SMTP Server authentifizieren können (z.B. Statusmails vom Router). Auf diesem Port läuft kein spamassassin und die Restrictions kommen aus '''master.cf'''		Dann verwende ich Port 2525 nur im LAN für Clients, die sich nicht sauber bei einem SMTP Server authentifizieren können (z.B. Statusmails vom Router). Auf diesem Port läuft kein spamassassin und die Restrictions kommen aus '''master.cf'''
	<pre>		<pre>

imported>Jahlives: /* SMTP Submission Port 587 */

2010-04-16T22:44:02Z

SMTP Submission Port 587

← Nächstältere Version		Version vom 16. April 2010, 22:44 Uhr
Zeile 27:		Zeile 27:
	submission inet n - n - - smtpd		submission inet n - n - - smtpd
	-o receive_override_options=no_header_body_checks		-o receive_override_options=no_header_body_checks
	~~-o smtpd_etrn_restrictions=reject~~
	~~-o smtpd_sasl_type=dovecot~~
	~~-o smtpd_sasl_path=private/auth~~
	~~-o smtpd_sasl_auth_enable=yes~~
	~~-o smtpd_reject_unlisted_sender=yes~~
	~~-o smtpd_recipient_restrictions=permit_mynetworks,permit_sasl_authenticated,reject~~
	</pre>		</pre>
	Obige Anweisung lässt Postfix auf Port 587 auf jeder erreichbaren IP lauschen (z.B. auch 127.0.0.1)		Obige Anweisung lässt Postfix auf Port 587 auf jeder erreichbaren IP lauschen (z.B. auch 127.0.0.1)

imported>Jahlives: /* Beliebiger Port */

2010-04-16T22:43:48Z

Beliebiger Port

← Nächstältere Version		Version vom 16. April 2010, 22:43 Uhr
Zeile 20:		Zeile 20:
	192.168.1.99:2525 inet n - n - - smtpd		192.168.1.99:2525 inet n - n - - smtpd
	-o receive_override_options=no_header_body_checks		-o receive_override_options=no_header_body_checks
	~~-o smtpd_etrn_restrictions=reject~~
	~~-o smtpd_sasl_type=dovecot~~
	~~-o smtpd_sasl_path=private/auth~~
	~~-o smtpd_sasl_auth_enable=yes~~
	~~-o smtpd_reject_unlisted_sender=yes~~
	~~-o smtpd_recipient_restrictions=permit_mynetworks,reject~~
	</pre>		</pre>
	Obige Anweisung erstellt einen smtp-Daemon auf Port 2525 mit den gegebenen Optionen. Wichtig ist dabei v.a., dass 1. SASL Auth aktiviert wird und 2. die recipient_restrictions korrekt gesetzt sind (sonst kann man über diesen Port beliebig relayen). Diese prüfen beim RCPT TO Kommando ob der sendende Client aus mynetworks (IP-Adress Bereich, zu konfigurieren in main.cf) kommt oder der User an Dovecot authentifiziert werden konnte. In diesen beiden Fällen wird die Email in jedem Fall akzeptiert und weitergeschickt resp lokal zugestellt. Ansonsten kriegt der Sender einen REJECT vorgesetzt.		Obige Anweisung erstellt einen smtp-Daemon auf Port 2525 mit den gegebenen Optionen. Wichtig ist dabei v.a., dass 1. SASL Auth aktiviert wird und 2. die recipient_restrictions korrekt gesetzt sind (sonst kann man über diesen Port beliebig relayen). Diese prüfen beim RCPT TO Kommando ob der sendende Client aus mynetworks (IP-Adress Bereich, zu konfigurieren in main.cf) kommt oder der User an Dovecot authentifiziert werden konnte. In diesen beiden Fällen wird die Email in jedem Fall akzeptiert und weitergeschickt resp lokal zugestellt. Ansonsten kriegt der Sender einen REJECT vorgesetzt.

imported>Jahlives: /* Kofiguration */

2010-04-16T22:43:12Z

Kofiguration

← Nächstältere Version		Version vom 16. April 2010, 22:43 Uhr
Zeile 17:		Zeile 17:
	Im obigen Beispiel habe ich Spamassassin in die Postfix Zustellkette eingebaut. Wer mehr dazu wissen möchte kann mal in unser [[Externe_Accounts_abrufen#SpamAssassin_installieren_und_einrichten\|Wiki]] schauen		Im obigen Beispiel habe ich Spamassassin in die Postfix Zustellkette eingebaut. Wer mehr dazu wissen möchte kann mal in unser [[Externe_Accounts_abrufen#SpamAssassin_installieren_und_einrichten\|Wiki]] schauen
	==== Beliebiger Port ====		==== Beliebiger Port ====
	<~~code~~>		<pre>
	192.168.1.99:2525 inet n - n - - smtpd		192.168.1.99:2525 inet n - n - - smtpd
	-o receive_override_options=no_header_body_checks		-o receive_override_options=no_header_body_checks
Zeile 26:		Zeile 26:
	-o smtpd_reject_unlisted_sender=yes		-o smtpd_reject_unlisted_sender=yes
	-o smtpd_recipient_restrictions=permit_mynetworks,reject		-o smtpd_recipient_restrictions=permit_mynetworks,reject
	</~~code~~>		</pre>
	Obige Anweisung erstellt einen smtp-Daemon auf Port 2525 mit den gegebenen Optionen. Wichtig ist dabei v.a., dass 1. SASL Auth aktiviert wird und 2. die recipient_restrictions korrekt gesetzt sind (sonst kann man über diesen Port beliebig relayen). Diese prüfen beim RCPT TO Kommando ob der sendende Client aus mynetworks (IP-Adress Bereich, zu konfigurieren in main.cf) kommt oder der User an Dovecot authentifiziert werden konnte. In diesen beiden Fällen wird die Email in jedem Fall akzeptiert und weitergeschickt resp lokal zugestellt. Ansonsten kriegt der Sender einen REJECT vorgesetzt.		Obige Anweisung erstellt einen smtp-Daemon auf Port 2525 mit den gegebenen Optionen. Wichtig ist dabei v.a., dass 1. SASL Auth aktiviert wird und 2. die recipient_restrictions korrekt gesetzt sind (sonst kann man über diesen Port beliebig relayen). Diese prüfen beim RCPT TO Kommando ob der sendende Client aus mynetworks (IP-Adress Bereich, zu konfigurieren in main.cf) kommt oder der User an Dovecot authentifiziert werden konnte. In diesen beiden Fällen wird die Email in jedem Fall akzeptiert und weitergeschickt resp lokal zugestellt. Ansonsten kriegt der Sender einen REJECT vorgesetzt.

	==== SMTP Submission Port 587 ====		==== SMTP Submission Port 587 ====
	<~~code~~>		<pre>
	submission inet n - n - - smtpd		submission inet n - n - - smtpd
	-o receive_override_options=no_header_body_checks		-o receive_override_options=no_header_body_checks
Zeile 39:		Zeile 39:
	-o smtpd_reject_unlisted_sender=yes		-o smtpd_reject_unlisted_sender=yes
	-o smtpd_recipient_restrictions=permit_mynetworks,permit_sasl_authenticated,reject		-o smtpd_recipient_restrictions=permit_mynetworks,permit_sasl_authenticated,reject
	</~~code~~>		</pre>
	Obige Anweisung lässt Postfix auf Port 587 auf jeder erreichbaren IP lauschen (z.B. auch 127.0.0.1)		Obige Anweisung lässt Postfix auf Port 587 auf jeder erreichbaren IP lauschen (z.B. auch 127.0.0.1)

	=== Vorteile ===		=== Vorteile ===
	Wenn man mindestens 2 Ports verwendet hat man einen entscheidenden Vorteil gegenüber nur einem Port: Man kann die smtpd-Restriktionen für interne und externe User unterschiedlich steuern.		Wenn man mindestens 2 Ports verwendet hat man einen entscheidenden Vorteil gegenüber nur einem Port: Man kann die smtpd-Restriktionen für interne und externe User unterschiedlich steuern.

imported>Jahlives: Die Seite wurde neu angelegt: „== Zusätzlicher Port für Postfix == Per Default läuft ein SMTP Server auf Port 25. Wenn nur ein Port verwendet wird, dann hat das einen entscheidenden Nachteil…“

2010-04-16T22:41:50Z

Die Seite wurde neu angelegt: „== Zusätzlicher Port für Postfix == Per Default läuft ein SMTP Server auf Port 25. Wenn nur ein Port verwendet wird, dann hat das einen entscheidenden Nachteil…“

Neue Seite

== Zusätzlicher Port für Postfix ==
Per Default läuft ein SMTP Server auf Port 25. Wenn nur ein Port verwendet wird, dann hat das einen entscheidenden Nachteil: Sowohl E-Mails, die direkt an die DS geschickt werden, als auch E-Mails von lokalen Benutzern, die diese via die DS versenden, landen auf dem gleichen Port. Problematisch wird es dann, wenn auf dem Server eine Antispam-Software wie z.B. [http://spamassassin.apache.org/ Spamassassin] auf dem Port läuft. E-Mails die externe User an die DS schicken, sollen ja nach Spam gescannt werden. Bei E-Mails von lokalen Benutzern ist das jedoch unnötig und erzeugt nur sinnlos Last auf der DS.<br />
Die Verarbeitung einer eingehenden Email ohne jegliche externen Filter dauert einen Sekundenbruchteil. Wenn jedoch noch ein Spamfilter involviert ist, dann steigt die Verarbeitungszeit auf 2 bis 3 Sekunden!
Die Lösung dieses Dilemas ist ein zusätzlicher Port auf dem der SMTP Server lauscht. Dieser ist ziemlich schnell eingerichtet
=== Kofiguration ===
Die verantwortliche Datei für die Konfiguration ist '''/usr/syno/mailstation/etc/master.cf'''

Wichtig ist bei Änderungen folgendes:
<pre>
192.168.1.99:25 inet n - n - - smtpd
-o content_filter=spamfilter:dummy
</pre>
* Eine Konfiguration eines Dienstes hat in der ersten Zeile '''immer''' TABs als Trennzeichen.
* Weitere Zeilen, die zu einem Dienst gehören, müssen '''immer''' mit einem Leerzeichen eingeleitet werden.
* Innerhalb einer weiteren Zeile muss man aber '''Leerzeichen''' als Trenner benutzen
Das '''-o''' steht für Override d.h. jeder Dienst wird erstmal mit den Optionen aus '''main.cf''' eingerichtet. Der Admin kann dann die gewünschten Optionen mittels '''-o''' so überschreiben wie es für den entsprechenden Dienst sein soll. <br />
Im obigen Beispiel habe ich Spamassassin in die Postfix Zustellkette eingebaut. Wer mehr dazu wissen möchte kann mal in unser [[Externe_Accounts_abrufen#SpamAssassin_installieren_und_einrichten|Wiki]] schauen
==== Beliebiger Port ====
<code>
192.168.1.99:2525 inet n - n - - smtpd
-o receive_override_options=no_header_body_checks
-o smtpd_etrn_restrictions=reject
-o smtpd_sasl_type=dovecot
-o smtpd_sasl_path=private/auth
-o smtpd_sasl_auth_enable=yes
-o smtpd_reject_unlisted_sender=yes
-o smtpd_recipient_restrictions=permit_mynetworks,reject
</code>
Obige Anweisung erstellt einen smtp-Daemon auf Port 2525 mit den gegebenen Optionen. Wichtig ist dabei v.a., dass 1. SASL Auth aktiviert wird und 2. die recipient_restrictions korrekt gesetzt sind (sonst kann man über diesen Port beliebig relayen). Diese prüfen beim **RCPT TO** Kommando ob der sendende Client aus mynetworks (IP-Adress Bereich, zu konfigurieren in main.cf) kommt oder der User an Dovecot authentifiziert werden konnte. In diesen beiden Fällen wird die Email in jedem Fall akzeptiert und weitergeschickt resp lokal zugestellt. Ansonsten kriegt der Sender einen REJECT vorgesetzt.

==== SMTP Submission Port 587 ====
<code>
submission inet n - n - - smtpd
-o receive_override_options=no_header_body_checks
-o smtpd_etrn_restrictions=reject
-o smtpd_sasl_type=dovecot
-o smtpd_sasl_path=private/auth
-o smtpd_sasl_auth_enable=yes
-o smtpd_reject_unlisted_sender=yes
-o smtpd_recipient_restrictions=permit_mynetworks,permit_sasl_authenticated,reject
</code>
Obige Anweisung lässt Postfix auf Port 587 auf jeder erreichbaren IP lauschen (z.B. auch 127.0.0.1)
=== Vorteile ===
Wenn man mindestens 2 Ports verwendet hat man einen entscheidenden Vorteil gegenüber nur einem Port: Man kann die smtpd-Restriktionen für interne und externe User unterschiedlich steuern.
Ich habe bei mir 3 Ports für den Postfix. Einmal Port 25 (der default Port), der via '''main.cf''' seine smtpd_restrictions erhält, welche so ausschauen
<pre>
smtpd_delay_reject = yes

smtpd_helo_required = yes

smtpd_client_restrictions =
permit_mynetworks,
reject_rbl_client,
reject_rhsbl_client

smtpd_sender_restrictions =
reject_unknown_address,
reject_unknown_sender_domain

smtpd_recipient_restrictions =
reject_unauth_destination,
reject_unknown_recipient_domain,
permit
</pre>
Diese erlauben nur den Zugriff von Clients mit E-Mails, die auf der DS ihre Endstation haben. Über diesen Port können keine E-Mails nach extern verschickt werden. Zusätzlich sitzt spamassassin auf diesem Port und scannt alle E-Mails (konfiguriert in '''master.cf''')

Dann verwende ich Port 2525 nur im LAN für Clients, die sich nicht sauber bei einem SMTP Server authentifizieren können (z.B. Statusmails vom Router). Auf diesem Port läuft kein spamassassin und die Restrictions kommen aus '''master.cf'''
<pre>
192.168.100.102:2525 inet n - n - - smtpd
-o smtpd_sender_restrictions=reject_unknown_address,reject_unknown_sender_domain
-o smtpd_recipient_restrictions=reject_unknown_recipient_domain,permit_mynetworks,reject
</pre>
Zusätzlich leite ich diesen Port am Router nicht weiter.

Dann noch Port 587 (submission) für Mails nach extern, welche von authorisierten Usern kommen (ich verwende für die Authentifikation den dovecot, das ist per default nicht so). Auch dieser Port hat keinen Spamfilter
<pre>
submission inet n - n - - smtpd
-o smtpd_etrn_restrictions=reject
-o smtpd_sasl_type=dovecot
-o smtpd_sasl_path=private/auth
-o smtpd_sasl_auth_enable=yes
-o smtpd_reject_unlisted_sender=yes
-o smtpd_sender_restrictions=reject_unknown_address,reject_unknown_sender_domain
-o smtpd_recipient_restrictions=reject_unknown_recipient_domain,permit_sasl_authenticated,reject
</pre>