web-dev-qa-db-ja.com

一部の仮想ユーザーの接尾辞拒否リレー

私はPostfixをMTAとリレーとして使用しています。リモートシステムから電子メールを送信したいユーザーは認証を行い、PostfixはそれをDovecotに渡します。これはうまく機能します。しかし、POPまたはIMAPへのアクセスを制限せずに、SMTP +認証を使用できるユーザーを制限するにはどうすればよいですか？

私にとって、ブロックがDovecotのSASL認証にあるか、Postfixがテーブルでそれを検索するかは問題ではありません。

SMTPにはPostfix2.9.6を使用し、POP、IMAP、SASLにはDovecot2.0.19を使用します。仮想ユーザーはMySQL5.5.40に保存されます。

root@mx1:~# postconf -n
alias_database = hash:/etc/aliases
alias_maps = hash:/etc/aliases
append_dot_mydomain = no
biff = no
config_directory = /etc/postfix
home_mailbox = Maildir/
inet_interfaces = all
mailbox_size_limit = 0
message_size_limit = 51200000
mydestination = localhost, mx1.mydomain.tld
myhostname = virtmx.mydomain.tld
mynetworks = /etc/postfix/mynetworks
myorigin = /etc/mailname
policy-spf_time_limit = 3600s
readme_directory = no
recipient_delimiter = +
relay_domains = proxy:mysql:/etc/postfix/mysql_relay_domains_maps.cf
setgid_group = vmail
smtp_tls_mandatory_ciphers = medium
smtp_tls_mandatory_protocols = !SSLv2,!SSLv3
smtp_tls_note_starttls_offer = yes
smtp_tls_protocols = !SSLv2,!SSLv3
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_banner = $myhostname ESMTP $mail_name
smtpd_client_restrictions = permit_mynetworks, permit_sasl_authenticated
smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_non_fqdn_hostname, reject_non_fqdn_sender, reject_non_fqdn_recipient, reject_unauth_destination, reject_unauth_pipelining, check_policy_service unix:private/policy-spf, reject_rbl_client zen.spamhaus.org, reject_rhsbl_reverse_client dbl.spamhaus.org, reject_rhsbl_helo dbl.spamhaus.org, reject_rhsbl_sender dbl.spamhaus.org
smtpd_sasl_auth_enable = yes
smtpd_sasl_authenticated_header = yes
smtpd_sasl_local_domain = $myhostname
smtpd_sasl_path = private/auth
smtpd_sasl_security_options = noanonymous
smtpd_sasl_tls_security_options = $smtpd_sasl_security_options
smtpd_sasl_type = dovecot
smtpd_sender_restrictions = reject_unknown_sender_domain
smtpd_tls_auth_only = yes
smtpd_tls_cert_file = /etc/postfix/mydomain.tld-virtmx.pem
smtpd_tls_key_file = /etc/postfix/mydomain.tld-virtmx.key
smtpd_tls_loglevel = 1
smtpd_tls_mandatory_protocols = !SSLv2,!SSLv3
smtpd_tls_protocols = !SSLv2,!SSLv3
smtpd_tls_received_header = yes
smtpd_tls_security_level = may
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtpd_use_tls = yes
tls_medium_cipherlist = AES128+EECDH:AES128+EDH
transport_maps = proxy:mysql:/etc/postfix/mysql_transports_maps.cf
virtual_alias_maps = proxy:mysql:/etc/postfix/mysql_virtual_alias_maps.cf
virtual_gid_maps = static:88
virtual_mailbox_base = /srv/mailbox
virtual_mailbox_domains = proxy:mysql:/etc/postfix/mysql_virtual_domains_maps.cf
virtual_mailbox_maps = proxy:mysql:/etc/postfix/mysql_virtual_mailbox_maps.cf
virtual_minimum_uid = 999
virtual_transport = virtual
virtual_uid_maps = proxy:mysql:/etc/postfix/mysql_virtual_uid_maps.cf

役立つ場合は、次のSQLクエリを使用します。

mysql_mynetworks.cf
query = SELECT address FROM mailnetworks WHERE address='%s' and active='Y'

mysql_relay_domains_maps.cf
query = SELECT domain FROM maildomains WHERE domain='%s' AND backupmx = 1 AND active = 1

mysql_sender_maps.cf
query = SELECT address FROM mailsender WHERE username='%s'

mysql_transports_maps.cf
query = SELECT transport FROM maildomains WHERE domain='%s' AND transport != '' AND active=1

mysql_virtual_alias_maps.cf
query = SELECT goto FROM mailaliases AS a LEFT JOIN maildomains AS dom ON dom.domain=a.domain WHERE address='%s' AND dom.active=1 and a.active=1

mysql_virtual_domains_maps.cf
query = SELECT domain FROM maildomains WHERE domain='%s' AND backupmx='0' AND active=1

mysql_virtual_mailbox_maps.cf
query = SELECT maildir FROM mailboxes AS box LEFT JOIN maildomains AS dom ON dom.domain=box.domain WHERE username='%s' AND dom.active=1 AND box.active=1

mysql_virtual_uid_maps.cf
query = SELECT uid FROM mailboxes AS box LEFT JOIN maildomains AS dom ON box.domain=dom.domain WHERE username='%s' AND box.active=1 and dom.active=1
mysqlpostfixdovecotsaslsmtp-auth
6
Simon Fredriksson

この機能はPostfixバージョン2.11で利用可能でした。

check_sasl_accessパラメーターを使用して、SASLユーザー名に基づいて制限を適用できます。もちろん、permit_sasl_authenticatedの上に置く必要があります。完全なドキュメントについては、 man 5 postconf を参照してください。

Postfix SASL Howto から取得した構成例

# main.cf
smtpd_relay_restrictions = 
    ..., 
    check_sasl_access hash:/etc/postfix/sasl_blacklist,
    permit_sasl_authenticated,
    ...

そして

# sasl_blacklist
# Use this when smtpd_sasl_local_domain is empty.
username   REJECT
# Use this when smtpd_sasl_local_domain=example.com.
[email protected] REJECT
6
masegaloeh

接尾辞<2.11のいくつかの回避策

著者が提案reject_sender_login_mismatchとcheck_sender_accessの組み合わせが必要であること。

  • パラメータ reject_sender_login_mismatch 送信者が許可されたユーザー名で定義されていない場合、拒否されます。 mysql_sender_maps.cfですでにこれに対するクエリを持っているようです。

  • パラメータcheck_sender_accessは、送信者に基づいて電子メールを拒否します。

だから、あなたは次のようなものが必要です

smtpd_sender_login_maps = mysql:/etc/postfix/mysql_sender_maps.cf
smtpd_relay_restriction = ...
    ...
    reject_sender_login_mismatch
    check_sender_access hash:/etc/postfix/sasl_reject
    ...

そして

#sasl_reject
[email protected]   REJECT

代替 軽量を使用しています postfwd SASLユーザー名に対して何らかの制限を実行します。 sasl_usernameパラメータを使用して、この動作を制御できます。詳細については、これを参照してください postfwdのドキュメントページ 。

3
masegaloeh