question postfix+amavis+clamav+spamassassin

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : question postfix+amavis+clamav+spamassassin

tchouvince

Bonjour, j'aurais aimé savoir si il était possible de donner une directive quelque part pour que amavis et spamassassin n'analysent pas les mails provenant d'adresse en @mondomaine.com

Merci d'avance

Publicité

toniotonio

oui mais c'est un peu compliqué.
mais surtout c'est totalement a deconseiller car forger son mailfrom est a la porté de n'importe qui. (c'est d'ailleurs pour cela que tu ne trouve pas cete option dans la conf d'amavisd)

mieux vaut reflechir a des connections differentes avec authentification sur le serveur par lesquelles le filtrage serait limité voire desactivé.

---------------
Messagerie dédiée, Relais Mail Antispam/Antivirus, Infogérance 24/7: http://www.eole-its.com

tchouvince

Oui je sais bien que c'est très facile de se faire passer pour n'importe qui.

Mais on m'impose ça.
Donc si tu pouvait un peu me guider ça serait très sympa de ta part

toniotonio

mais quels sont les imperatifs ?
qu'est ce qui justifie de faire ceci ?

bon apres ca les regarde mais bon...

donc on est bien d'accord qu'il s'agit de ton domaine, celui qui est géré par le serveur de mail en question c'est ca ?

suivant la config il y a plus simple et secure pour faire ceci

decris un peu la configuration:
postconf -n
master.Cf

---------------
Messagerie dédiée, Relais Mail Antispam/Antivirus, Infogérance 24/7: http://www.eole-its.com

tchouvince

En fait ils veulent pas savoir le pourquoi du comment
Un mail en interne est passer en spam et ça fait toute une histoire.

Enfin bref...

postconf -n

Code :

postconf -n
alias_database = hash:/etc/aliases
alias_maps = hash:/etc/aliases
append_dot_mydomain = yes
biff = no
config_directory = /etc/postfix
content_filter = smtp-amavis:[127.0.0.1]:10024
delay_warning_time = 4h
home_mailbox = Maildir/
inet_interfaces = all
mailbox_command =
mailbox_size_limit = 0
message_size_limit = 20480000
mydestination = monserveur.mondomaine.fr, localhost
mydomain = mondomaine.fr
myhostname = monserveur.mondomaine.fr
mynetworks = 83.144.147.145/28, 127.0.0.0/8
myorigin = /etc/mailname
receive_override_options = no_address_mappings
recipient_delimiter = +
relayhost =
smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
transport_maps = hash:/etc/postfix/transport_maps
virtual_alias_maps = mysql:/etc/postfix/mysql_virtual_alias_maps.cf
virtual_gid_maps = static:1001
virtual_mailbox_base = /var/mail/vhosts
virtual_mailbox_domains = mysql:/etc/postfix/mysql_virtual_domains_maps.cf
virtual_mailbox_maps = mysql:/etc/postfix/mysql_virtual_mailbox_maps.cf
virtual_minimum_uid = 1001
virtual_transport = virtual
virtual_uid_maps = static:1001

Master.cf

Code :

smtp inet n - n - - smtpd
#submission inet n - - - - smtpd
# -o smtpd_etrn_restrictions=reject
#628 inet n - - - - qmqpd
pickup fifo n - - 60 1 pickup
cleanup unix n - n - 0 cleanup
qmgr fifo n - - 300 1 qmgr
#qmgr fifo n - - 300 1 oqmgr
rewrite unix - - n - - trivial-rewrite
bounce unix - - - - 0 bounce
defer unix - - - - 0 bounce
trace unix - - - - 0 bounce
verify unix - - - - 1 verify
flush unix n - - 1000? 0 flush
proxymap unix - - n - - proxymap
smtp unix - - - - - smtp
relay unix - - - - - smtp
# -o smtp_helo_timeout=5 -o smtp_connect_timeout=5
showq unix n - - - - showq
error unix - - - - - error
local unix - n n - - local
virtual unix - n n - - virtual
lmtp unix - - n - - lmtp
anvil unix - - n - 1 anvil
#
# Interfaces to non-Postfix software. Be sure to examine the manual
# pages of the non-Postfix software to find out what options it wants.
#
# maildrop. See the Postfix MAILDROP_README file for details.
#
maildrop unix - n n - - pipe
flags=DRhu user=vmail argv=/usr/local/bin/maildrop -d ${recipient}
uucp unix - n n - - pipe
flags=Fqhu user=uucp argv=uux -r -n -z -a$sender - $nexthop!rmail ($recipient)
ifmail unix - n n - - pipe
flags=F user=ftn argv=/usr/lib/ifmail/ifmail -r $nexthop ($recipient)
bsmtp unix - n n - - pipe
flags=Fq. user=bsmtp argv=/usr/lib/bsmtp/bsmtp -d -t$nexthop -f$sender $recipient
scalemail-backend unix - n n - 2 pipe
flags=R user=scalemail argv=/usr/lib/scalemail/bin/scalemail-store ${nexthop} ${user} ${extension}
# only used by postfix-tls
#tlsmgr fifo - - n 300 1 tlsmgr
#smtps inet n - n - - smtpd -o smtpd_tls_wrappermode=yes -o smtpd_sasl_auth_enable=yes
#587 inet n - n - - smtpd -o smtpd_enforce_tls=yes -o smtpd_sasl_auth_enable=yes
#BL 6.9.2005 :
smtp-amavis unix - - n - 2 smtp
-o smtp_data_done_timeout=1200
-o smtp_send_xforward_command=yes
-o disable_dns_lookups=yes
127.0.0.1:10025 inet n - n - - smtpd
-o content_filter=
-o local_recipient_maps=
-o relay_recipient_maps=
-o smtpd_restriction_classes=
-o smtpd_client_restrictions=
-o smtpd_helo_restrictions=
-o smtpd_sender_restrictions=
-o smtpd_recipient_restrictions=permit_mynetworks,reject
-o mynetworks=127.0.0.0/8
-o strict_rfc821_envelopes=yes
-o smtpd_error_sleep_time=0
-o smtpd_soft_error_limit=1001
-o smtpd_hard_error_limit=1000
-o receive_override_options=no_header_body_checks,no_unknown_recipient_checks

toniotonio

l'authentification des clients ne se fait que par 83.144.147.145/28 ?

si tu avais une Auth SASL tu pourrais faire un truc qui tienne bien la route.

tu pourrais aussi faire une instance smtp sur un autre port innacessible depuis l'exterieur du lan (le 587 par ex) et desactiver le filtrage sur celui ci.

mais cela demanderait de reparametrer les clients sur le nouveau port.

sinon la solution quick and dirty sur le mailfrom:

dans le main.cf:

tu enleves l'appel a amavisd (content_filter = smtp-amavis:[127.0.0.1]:10024) puis tu ajoutes:

Code :

smtpd_sender_restrictions =
check_sender_access hash:/etc/postfix/amavis-bypass

/etc/postfix/amavis-bypass

Code :

toto@tondomaine.com FILTER smtp-amavis:[127.0.0.1]:10026

/etc/amavisd.conf:

Code :

$inet_socket_port = [10024,10026];
$interface_policy{'10026'} = 'BYPASS-SENDER';
$policy_bank{'BYPASS-SENDER'} = {
bypass_spam_checks_maps => [1], # don't spam-check this mail
bypass_banned_checks_maps => [1], # don't banned-check this mail
bypass_header_checks_maps => [1], # don't header-check this mail
};

mais c'est a mon avis un veritable sabotage de la securité.

Message édité par toniotonio le 05-09-2007 à 14:27:52

---------------
Messagerie dédiée, Relais Mail Antispam/Antivirus, Infogérance 24/7: http://www.eole-its.com

toniotonio

si c'est juste des mails internes qui sont classés a tort comme spam, il vaut mieux revoir ta conf car il existe de multiples parametres dans amavsid/SA pour eviter cela.

encore une fois utiliser le truc du dessus c'est un scandale a mon avis.

---------------
Messagerie dédiée, Relais Mail Antispam/Antivirus, Infogérance 24/7: http://www.eole-its.com

tchouvince

Oui c'est clair que c'est du sabotage!
Surtout que c'est un peu mon truc la sécurité.

Le SASL ça fait 6 mois que j'en parle

Merci beaucoup en tout cas

toniotonio

c'est pour ca que cela meriterait plutot de revoir la conf d'amavisd/sa .
par exemple le trusted et internal networks sont til bien parametrés ?

c'eest ce genre de chose qui fait baisser le score sur les mails interne, d'une maniere "normale" et securisée.

---------------
Messagerie dédiée, Relais Mail Antispam/Antivirus, Infogérance 24/7: http://www.eole-its.com

nasr_eddin

n'aurait il pas été plus simple dans un cas comme celui-ci de mettre dans spamassassin le domaine de la société en whitelist (liste blanche)?

Publicité

toniotonio

comme on peut forger un mailfrom (l'adresse expeditrice) et que c'est d'ailleurs tres souvent employés par les spammeurs, cela reviendrait à rendre inutile le systeme de filtrage

Message cité 1 fois
Message édité par toniotonio le 14-09-2007 à 09:53:46

---------------
Messagerie dédiée, Relais Mail Antispam/Antivirus, Infogérance 24/7: http://www.eole-its.com

nasr_eddin

c'est vrai! bon pour ma part c'est ce que j'ai fait sur mon serveur et je n'ai eu en plusieurs années que 2 ou 3 spam qui se sont fait passer comme provenant de mon domaine!
Je sais pas si en entreprise ça arrive plus souvent. j'imagine que oui!
Mais comme on demande à tchouvince de le faire je me suis dis que ce serait plus simple et rapide que de modifier amavisd.conf

toniotonio

cela dit cela revient au meme que le truc que j'ai ecrit plus haut, et que je deconseille fortement, meme si a la limite celui d'en haut permet de cibler le sender qui aura droit a ce whitelistage.

il existe d'autres maniere de faire cela correctment dans amavisd, sans prendre de risques sur la securité.

l'ideal etant bien sur de coupler cela a une authentification SASL et une verification du mailfrom associé.

Message cité 1 fois

---------------
Messagerie dédiée, Relais Mail Antispam/Antivirus, Infogérance 24/7: http://www.eole-its.com

nasr_eddin

toniotonio a écrit :

l'ideal etant bien sur de coupler cela a une authentification SASL et une verification du mailfrom associé.

A ce propos je suis en train de refaire complètement ma config de mon serveur mail et j'ai justement utilisé l'authentification SASL
Donc quand j'envoie un mail j'ai une ligne dans mon header qui correspond à ça:

Citation :

(Authenticated sender: moi@mon.domaine)

comment je devrais faire pour créer une règle dans spamassassin pour vérifier qu'un mail provenant de mon domaine provient d'une personne authentifiée? Et attribuer un score en fonction de cette vérification?
Parce que si un mail prétend provenir de mon domaine mais que l'emetteur est pas authentifié c'est que c'est nécessairement un spam et inversement! Enfin si j'ai bien compris le principe

Message cité 1 fois

Pims

toniotonio a écrit :

comme on peut forger un mailfrom (l'adresse expeditrice) et que c'est d'ailleurs tres souvent employés par les spammeurs, cela reviendrait à rendre inutile le systeme de filtrage

En même temps un relais SMTP se doit de refuser un mail arrivant de *@mondomaine.com depuis l'exterieur.
(enfin si c'est possible avec l'architecture)

Message cité 1 fois

---------------
Life is like a box of chocolate you never know what you gonna get.

toniotonio

nasr_eddin a écrit :

Citation :

(Authenticated sender: moi@mon.domaine)

le moyen le plus simple, la plus fiable et qui permet en plus d'economiser des ressources, est de bypasser le filtrage pour les users authentifiés SASL

mais tu peux bien sur ajouter une regle dans SA pour juste baisser le score en fonction du header.
j'en ai pas sous la main et j'avoue que les expressions regulieres c'est pas mon truc !

je prefere largement traiter cela en bypass par les policy bank

Message cité 1 fois
Message édité par toniotonio le 14-09-2007 à 11:10:09

---------------
Messagerie dédiée, Relais Mail Antispam/Antivirus, Infogérance 24/7: http://www.eole-its.com

toniotonio

Pims a écrit :

En même temps un relais SMTP se doit de refuser un mail arrivant de *@mondomaine.com depuis l'exterieur.
(enfin si c'est possible avec l'architecture)

oui mais en pratique c'est rare.
car il existe des relais qui sont de veritables relais pour de multiples domaines, les uilisateurs etant validés par l'auth SASL. (cas de certain FAI, des hebergeurs, etc, etc)
maintenir une liste de domaines autorisés pour eux seraient un enfer

Message édité par toniotonio le 14-09-2007 à 11:09:44

---------------
Messagerie dédiée, Relais Mail Antispam/Antivirus, Infogérance 24/7: http://www.eole-its.com

Pims

Oui suivant l'architecture, j'imagine que ça peut devenir compliqué.
Mais peut être qu'avec la sienne il peut le faire?

Par contre j'ai pas compris, tes mails internes sont passés à l'antispam également?

nasr_eddin

toniotonio a écrit :

le moyen le plus simple, la plus fiable et qui permet en plus d'economiser des ressources, est de bypasser le filtrage pour les users authentifiés SASL

je prefere largement traiter cela en bypass par les policy bank

je connaissais pas cette méthode! je vais me documenter ça à l'air pas mal!
merci pour ces infos :jap:

nasr_eddin

bon alors j'ai rajouté ça au master.cf de postfix

Citation :

submission inet n - - - - smtpd
-o smtpd_enforce_tls=yes
-o smtpd_sasl_auth_enable=yes
-o smtpd_client_restrictions=permit_sasl_authenticated,reject
-o content_filter=smtp-amavis:[127.0.0.1]:10026
smtps inet n - n - - smtpd
-o smtpd_tls_wrappermode=yes
-o smtpd_sasl_auth_enable=yes
-o smtpd_client_restrictions=permit_sasl_authenticated,reject
-o content_filter=smtp-amavis:[127.0.0.1]:10026

et ça dans amavisd.conf

Citation :

$inet_socket_port = [10024, 10026]; # default listenting socket
$interface_policy{'10026'} = 'SASLBYPASS';

$policy_bank{'SASLBYPASS'} = { # mail from submission and smtps ports
bypass_spam_checks_maps => [1], # don't spam-check this mail
bypass_banned_checks_maps => [1], # don't banned-check this mail
bypass_header_checks_maps => [1], # don't header-check this mail
};

ça ne lance plus d'analyse antispam sur les mails de mon domaine, le contrôle antivirus fonctionne tout de même et les mails provenant de domaines externes sont toujours analysé! Donc à priori c'est bon!

C'est bien de ça dont tu parlais toniotonio concernant les bypass via policy bank?

Message édité par nasr_eddin le 14-09-2007 à 17:33:57

toniotonio

oui c'est exactement ca

juste 2 precisions:

sur les version recentes de postfix les noms de certains parametres ont changé meme si les anciens sont toujours valides (pour l'instant) mais il serait prudent de commencer des maintenant a utiliser ces nouvelles appellations:

Code :

submission inet n - - - - smtpd
-o smtpd_tls_security_level=encrypt
-o smtpd_sasl_auth_enable=yes
-o smtpd_etrn_restrictions=reject
-o content_filter=smtp-amavis:[127.0.0.1]:10026
-o smtpd_client_restrictions=permit_sasl_authenticated,reject

de plus le port smtps est considéré desormais comme obsolete, il vaut mieux ne plus l'utiliser (c'est le port 587 submission qui le remplace officiellement)

---------------
Messagerie dédiée, Relais Mail Antispam/Antivirus, Infogérance 24/7: http://www.eole-its.com

nasr_eddin

merci beaucoup pour ces précisions!

Publicité

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

question postfix+amavis+clamav+spamassassin

Sujets relatifs
Postfix/Amavis mail sortant	Postfix: Réécriture des champs From/To
Problème avec Postfix - 554 5.7.1 Relay access denied	configurer une boite aux lettres virtuelles dans PostFix
installation de postfix impossible???	Postfix et uw_imap [resolu]
CLAMAV - Tous les mails en erreur	question raid0 dmraid/mdadm ?
Erreur avec Postfix et courier-imap
Plus de sujets relatifs à : question postfix+amavis+clamav+spamassassin

Page générée en 0.133 secondes