Dotaz: SPAMHAUS.org - proc me tam porad vklada?

[Tomas3]

Ahoj,

rád bych se zeptal, zda-li mi nekdo poradite, jak se vyvarovat tomu, aby mou IP furt ukladali jako spamovou na web spamhaus.org (seznam tuto databazi vyuziva a dalsi spolecnosti), nemam open relay server, poradite mi prosim nekdo jak nastavit napr. postfix tak, aby se odesilala posta napr. jen kdyz zadam SMTP server mail.domena.cz posta.domena.eu,... ? Je mozne, ze to nejak nacte mou IP a pak to nekomu ze site posila spamy na nejake cizi schranky ... Nevim jak se vyvarovat tomu, aby to lidem ze site neodesilalo SPAM, pokud maji neco v pocitaci nainstalovaneho. Chci jen at funguje posta z outlooku tak jak ji mam (overuje se pomoci mysql). Diky za pripadnou radu ...

Odpovědi

[Petr Šobáň]

Správně si nastavit SMTP (postfix).

Povolit uživatelům posílání pouze přes ten můj smtp a tam kontrolovat správy na spam.

Je možné že vaši uživatelé používají svůj SMTP který potom když jsou za natem tak na veřejnost vystupuje pod vaší IP a pak je ta vaše IP zablokovaná.

Prostě z místní sítě zablokovat port 25 a nechat ho otevřen pouze na váě SMTP server - prostě aby uživatelé nemohly používat vlastní SMTP z kterého můžou rozesílat spam.

[Zdeněk Štěpánek]

Zdravim

Predpokladam ze jses neco jako mini-mikro ISP (klidne pro 5 kompu v baraku). Vim o dvou resenich. Na brane zakazat port 25 ve FORWARD a povolit jen z IP adresy smtp serveru. Pripadne zakazat FORWARD portu 25 uplne, pokud je SMTP na localhostu.

Pak jsme jeste slisel o dobrym triku. Potrebujes k tomu 2 IP adresy. Jednu nechas jak je a na druhou povesis jen SMTP server. Lidi co budou odesilat bordel pujdou kvuli maskarade pres prvni IP a ta brzy pujde na spamlist, at si tam vklidu je. Maily z tvyho serveru budou odchazet s druhou IP a ta na spamlistu nebude.

Zdenek

[Tomas3]

Asi by bylo lepsi to zakazat, pouzivam Shorewall, takze presne nevim jak to zakazat. Urcite bych chtel, at z vnitrni site nemuze nikdo odesilat postu pres port 25, at se da pres port 25 odesilat jen SMTP servery, ktere budou mit nazev napr. mail.domena.cz mail.domena.eu ... Nebo napr. nebude jen IP ale bude napr. jen mail.neco (aby to poznalo, ze mail.nejakadomena.cz bude stejne jen na mem IP co je ve spamlistu). Mam postfix s courier imap, mam nainstalovan i spamassassin, ale nevim jak to propojit, nekdo ma maildrop, ale to mi nejak moc nechce fungovat, protoze to nemuzu nainstalovat, protoze se maildrop hada s courierem, takze bud maildrop nebo courier, ale tak rad ybch se jeste zeptal, jestli se da spamassassin nejak nastavit primo do postfixu. Diky za pripadnou odpoved

[Zdeněk Štěpánek]

SpamAssasin se do postfixu nastavit da, ale jak, to ti nereknu.

S nejakym shorewalem nemam zadnou zkusenost, pisu si firewall sam primo pomoci iptables prikazu. Tady jde jen o postfix, napis jestli ho mas na stejnym stroji jako firewall nebo na jinym stroji uvnitr site, kdyztak ti poslu pravidlo do iptables.

[Tomas3]

Mam to na stejnem stroji (jede mi tam vsechno, ftp, posta, web, DNS, squid). Ted si uvedomuju, ze na ostatnich PC to klidne muze byt zakazane, ale rad, bych povolil to, aby se dalo i z jineho pocitace prihlasovat na SMTP i kdyz neni dany mail server na mem stroji (teda domena). Napr. kdyz ma jedna osoba v outlooku nastavenou postu napr. na pipni. Tak at mu to nebloknu. Takze bych tam zadal jen napr. 3 IP, mou IP stroje a dalsi mailove servery, ktere chci povolit. Muzes mi prosim jen vysvetlit jak by to teda slo udelat, kdyz mi posles pravidlo do iptables, z lokalni site to bude resene jak? Co kdyz zada nekdo do nejakeho sveho programku verejnou IP stroje, tak preci nepomuze to, ze bude nejake pravidlo, preci bych do toho pravidla musel zadat presne nazvy domen pro mail servery napr. mail.neco.cz mail.neco.de,.... ne? Preci se adresa stejne preklada na IP adresu, takze by klidne cloveku na jinem PC bylo jedno co je tam nastaveno za domenu, stacilo by mu zadat IP adresu serveru a pravidlo by ho pustilo, nebo se pletu? Nejsem tak obeznamen s iptables,... proto takove mozna hloupe zmatene otazky

[Zdeněk Štěpánek]

Ve firewallu pracujes pouze s IP adresama.

iptables -A FORWARD -p tcp --dport 25 -j DROP

Tohle ti komplet zakaze pruchozi pozadavky na port 25, tedy na SMTP. Podle me to staci.

Mam pocit ze se ti pletou pojmy. SMTP se pouziva pro odesilani posty a pro vymenu mezi MTA (postfix). Pokud se nejakej klient bude chtit prihlasit do sva schranky treba na atlasu tak pujde bud pres pop3 (port 110) nebo IMAP (port 143). To zustane nedotceno.

Ovsem pokud by nekdoi chtel postu odesilat treba pres smtp.atlas.cz tak to nepujde, to je zakazany. Osobne bych to nedoporucil. Kazdej ISP prece taky nechava odesilat postu jen pres svuj server, ani polovicni openrelay uz neni v mode.

Pokud by jsi to mermomoci chtel, pouzij PRED vyse uvedenym prikazem toto:

iptables -A FORWARD -o wlan0 -s 10.193.123.1 -p tcp --dport 25 -j ACCEPT

Tak snad te to uz spamsmejdu zbavi.

A propo, nejlepsi reseni je nemit zavirovany pocitace.

Zdenek

[Tomas3]

Diky, zitra to zkusim, vim, ze iptables pouziva jen IP, ale nejak nemuzu pochopit tu vec se SMTP servery. Pokud zadam to pravidlo, ktere mi radis, preci kdyz jsem v lokalni siti a zakazu tam port 25, nemuzu preci pouzivat ani mail.domena.cz z lokalni site, protoze mi to vlastne zadava verejnou IP, ktera nejde pres venek, ale zastavi se na brane a nejde do internetu a pak zase zpatky do serveru, ne? Teda snad chapes co tim chci rici. Tomas

[Petr Šobáň]

Nechápu asi si pleteš pojmy.

SMTP nech běžet pouze na svém stroji a ten na internet přes port 25 může (používá INPUT, OUTPUT) jiné PC nemají na internet co používat port 25. (Na tvůj se dostanou používá se zase INPUT, OUTPUT).

Jinak převod IP na název se používá DNS a to povolené je a ty stroje ostatní mají mět v kolonce SMTP server uveden tvůj stroj potom odeslání přes tebe funguje - jiné smtp jsou zakázané.

[Tomas3]

Jasne, ja na lokalni siti pouzivam IP 172.22.1.1 (to je brana a hlavni server na kterem jsou dve sitovky - 1 LAN sit a druha WAN). Z okolnich pocitacu chci, at maji jen vybrane PC pristup na port 25 z jinych IP nez mam branu (tudiz verejnou IP), to bych si nastavil do pravidel. V pravidlech tedy mam nastavit IP vnitrni site pocitacu, kterym chci povolit i jine servery nez mam ty, ktere jsou na serveru a venkovni verejne IP? Pokud nenastavim ostatnim PC v siti povoleni jinych mail serveru, dostanou se lide z tech okolnich PC na muj mail server, je to tak? Uz se do toho zacinam zamotavat, tak si jdu odpocinout a treba rano si to prectu a zjistim, ze jsem uplne vymatlany a resim tady kraviny ;o)

[Petr Šobáň]

Pokud tvůj SMTP server má IP 172.22.1.1 tak si v pravidlech INPUT nastavíš které tvé PC můžou na port 25 a které ne. (Taktéž si musíš nastavit tvůj SMTP z kterých IP může prijímat maily)

[pantera]

nastaveni Shorewallu: v konfiguracnim souboru rules si nastav

DROP     loc     fw      tcp     25

timto zakazes pristup vsem z lokalni site na port 25 (za predpokladu, ze v interfaces mas loc definovanou jako zonu pro lokalni sit) pokud to nastavis primo pres iptables, poprvnim restartu o to nastaveni prijdes - shorewall to vzdy nastavuje znova pri spusteni....

[Tomas3]

Udelal jsem ACCEPT loc:172.22.1.5,..... fw tcp 25 - takze jsem to povolil jen nekterym ... Funguje mi to, takze snad jsem neco nezkazil ;o) Ale i tak nechapu, proc se to do toho spamhausu pridava, openrelay server nemam a pochybuju, zeby nekdo ze site rozesilal SPAM, kdyz v siti na pocitacich nejsou ani zadne jine PC pripojene, podle me jde spise o nejake viry, ktere to rozesilaji pres outlook ... Zkusim nejak jeste do postfixu vpravit amavis a uvidime ... Diky zatim za rady

[R]

Ked tam mas nejaky web, tak skontroluj skripty na vselijake diery. Spammeri vedia vselico najst a zneuzit...

[Tomas3]

Ahoj, scripty mam sve, overovani formularu podle kodu z obrazku,... sleduju i logy, spameri se snazi hledat, ale server je odmita, takze pres webove stranky problem neni ... Zkousel jsem jestli nemam open relay pres webove stranky na abuse.org a proslo to v pohode. Takze spise se muze stat, ze nekdo ma nejaky vir ve svem PC a rozesila to SPAM na jine PC.

[Dejf]

Zdravím,

reším podobný problém s tím rozdílem, že mám firewall zvlášť na stroji a SMTP zvlášť na jiném stroji. Obojí běží na Debianu - potřeboval bych radu, jak nastavit, aby klienti v síti mohli používat pouze moje SMTP a jak na SMTP nainstalovat SpamAssassin.

Díky

David

[pantera]

Na firewallu povol port 25 pouze pro stroj, na kterém ti běží SMTP - tím pádem ho budou nuceni používat. Co se SA týče - osvědčil se mi systém Postfix+Amavis+Spamassassin+ClamAV - to už hledej tady na diskuzi - probíralo se to tu cca 100x a jistě tu je nějaký pěkný návod :) Pokud něco nebude fungovat podle návodu, ozvi se...

[Zdeněk Štěpánek]

Psal jsem to o par prispevku vejs....

SMTP server je na 10.193.123.1, tak si tam dej svoji IP.

wlan0 je externi sitovka na firewallu.

#zablokovani urcitych portu #smtp - 25 iptables -A FORWARD -i wlan0 -d 10.193.123.1 -p tcp --dport 25 -j ACCEPT iptables -A FORWARD -o wlan0 -s 10.193.123.1 -p tcp --dport 25 -j ACCEPT iptables -A FORWARD -p tcp --dport 25 -j DROP

[Dejfyt]

Diky, jen by mne zajimalo, co si mam predstavit pod pojmem externi sitovka na firewallu - tim mas na mysli rozhrani WAN nebo LAN?

[Dejfyt]

Ještě jeden dotaz - potřeboval bych z dropování provozu na portu 25 na firewallu udělat výjimku a povolit port 25 na určité IP (SMTP servery mimo vnitřní síť) - mám v sítí dvě poměrně velké společnosti a ti odmítají přenastavovat SMTP na všech PC na můj. Zkoušel jsem použít pravidlo, které jsi psal pár příspěvků zpět, ale to nepomohlo. Jsem zkutečně začátečník, tak bych prosil o pomoc.

Díky David

[Petr Šobáň]

No tak před pravidlo drop dej pravidlo co to povolí.

Nebo si ten port přesměruj na svůj SMTP a pak je jedno co tam mají zákazníci.

Více viz: www.netfilter.org

NAT-HOWTO CZ

povolení

iptables -A FORWARD -p tcp -s IP_Toho_zákazníka --dport 25 -i eth0 \
        -j ACCEPT

nebo presmerovani na svůj

## Změň cílové adresy SMTP na 5.6.7.8.
iptables -t nat -A PREROUTING -p tcp --dport 25 -i eth0 \
        -j DNAT --to 5.6.7.8

[Dejfyt]

Tak nevím, to přesměrování se mi nepodařilo rozeběhnout.

[Zdeněk Štěpánek]

Ehm... externi znamena venku a interni uvnitr, nebo mam jeste zavolat na pomoc publikum?

[Dejfyt]

Díky,

ptal jsem se možná blbě, ale pojem "externí síťovka" jsem slyšel poprvé za tři roky správcovství sítě. A jelikož NEJSEM lunixák, tak se radši ujistim.