[Q]mail server의 relay기능을 막는 방법
안녕하세요. 우선 읽어주셔서 감사합니다.
메일서버 관련 질문입니다.
구성은 다음과 같습니다.
postfix+courier-imap+mysql+maildrop+cyrus-sasl+spamassassin
smtp(port 25) + imaps + smtps로 구성해서, mail 받는것은 25번 smtp로 받아들이고, client에서 읽어보는건 imaps, 보낼때는 smtps로 하려고 합니다.
다 잘 되는데, smtp를 이용한 메일 송신에서 relay기능이 가능한것을 확인했습니다.
즉, 다른 메일 계정에서도 이 smtp server를 경유해서 메일 전송이 가능합니다.
제가 이해하기로는 postfix의 smtp기능에 cyrus-sasl2로 인증을 하고, 인증정보는 mysql로 query하는 식으로 해서, smtp를 경유한 메일 발송을 막는 것으로 알고 있습니다.(주로 postfix.org의 여러 문서들을 참조했습니다.)
그런데, telnet으로 25번에 접속해봐도 ehlo message에 auth관련 부분이 출력되지 않으며, 실제 메일 전송시에도 무인증모드로 발송이 되고 있습니다.
여쭤보고 싶은 부분은 다음과 같습니다.
1. smtp port의 발송기능을 제한하기 위해 sasl2인증을 하도록 한 것인지요?
2. client(mail 계정 소유자)는 smtps를 경유해서 메일 발송을 하면 되는 것인지요?
3. 상기대로 제가 이해한 것이 맞다면, postfix의 smtp기능과 cyrus-sasl2을 붙이는 것은 어떻게 하면 될지요?
telnet접속으로 확인해봐서는 postfix smtp와 cyrus-sasl2간에 정합이 이루어지지 않은것으로 보이며, sasl2 layer와 mysql간의 문제는 아니지 않나 싶습니다.
그밖에, smtp(25) port가 relay기능을 하지 않도록, 혹은 그 port를 경유해서는 메일 발송(relay포함)이 아예 안되게 하기 위해서는 어떻게 하면 좋을지요?
두서없는 질문 끝까지 읽어주셔서 감사합니다.
그럼 좋은 저녁시간되세요~
| 첨부 | 파일 크기 |
|---|---|
 smtp.GIF | 26.92 KB |
http://www.postfix.org/SASL_README.html#
http://www.postfix.org/SASL_README.html#server_sasl
전 아래 정도로 해놓고 씁니다 (spf 패치를 개인적으로 해놓고 쓰는지라 )
smtpd_sasl_auth_enable = yes smtpd_sasl2_auth_enable = yes smtpd_sasl_security_options = noanonymous broken_sasl_auth_clients = yes smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination, reject_spf_invalid_sender, reject_unknown_recipient_domain, reject_unlisted_sender smtpd_use_tls = yes # uncomment to prevent people from passing their passwords in the clear! #smtpd_tls_auth_only = yes smtpd_tls_key_file = /etc/postfix/ssl/newreq.pem smtpd_tls_cert_file = /etc/postfix/ssl/newcert.pem smtpd_tls_CAfile = /etc/postfix/ssl/cacert.pem smtpd_tls_loglevel = 3 smtpd_tls_received_header = yes smtpd_tls_session_cache_timeout = 3600s tls_random_source = dev:/dev/urandom오랫동안 꿈을 그리는 사람은 그 꿈을 닮아간다...
http://mytears.org ~(~_~)~
나 한줄기 바람처럼..
헉, 올리자마자 이렇게 빠른 답변을 받다니...감격^^;감사합니다.
헉, 올리자마자 이렇게 빠른 답변을 받다니...감격^^;
감사합니다.
알려주신 url의 내용은 적용한 상태입니다.
postfix나 cyrus도 각각 sasl, mysql등 몇가지 조건 기준으로 reinstall해보고 했지만, 상황은 마찬가지였습니다.
아, 참 제가 깜박하고 환경을 말씀드리지 않았군요.
FreeBSD 6-stable#4입니다.
도움주셔서 감사합니다.
그럼 좋은하루되세요~
--------------------------------------------------------------------------------
＼(´∇`)ノ ＼(´∇`)ノ ＼(´∇`)ノ ＼(´∇`)ノ
def ed():neTdiVeR in range(thEeArTh)
흠 전 젠투라... 빌드 옵션이라던가 상세한 건 알지 못하고 --;;
흠 전 젠투라... 빌드 옵션이라던가 상세한 건 알지 못하고 --;;
대략 저런 USE 플래그를 사용해 빌드했습니다...
postfix + cyrus-sasl + clam-assassion + f-prot + dovecot 조합으로 사용중이고... smtps 대신 smtp over tls 를 쓰고 있구요...
중요한건 sasl 과 관련된 옵션이 켜져 있었어야 하고... 아래 설정이 들어가야 하는 걸 겁니다...
smtpd_recipient_restrictions = permit_sasl_authenticated,아 그리고 relay_domain 에 들어가 있는 경우라면 인증없이 그냥 메일이 보내질겁니다...
오랫동안 꿈을 그리는 사람은 그 꿈을 닮아간다...
http://mytears.org ~(~_~)~
나 한줄기 바람처럼..
핫. 친절한 답변 감사합니다. :D 역시 태영님!!!@.@;;us
핫. 친절한 답변 감사합니다. :D
역시 태영님!!!@.@;;
use flag를 봤을때는 해당하는 option들은 다 맞게 build한것 같습니다.
ldd로 확인해서도 sasl, sql등이 확인되었습니다.
저도 build option쪽이 혹 문제가 아닐지 의심을 갖고 있긴 합니다.
main.cf에 온갖 configuration을 해넣어도 당최 auth가 안잡히니 그게 희한할 따름입니다.
말씀하신 permit_sasl...부분도 확인했습니다.
이것참 난감하군요...
잘 돌고는 있지만, 언제 또 spam relay로 악용될까 몰라 전전긍긍하고 있습니다.
일단 test좀더 하다가 daemon을 아예 죽여놓고 퇴근해야 할것 같습니다.
아이고, 바쁜 시간 내주셔서 정말 감사합니다.
관련 conf file을 attach해볼래니, 당장은 putty로밖에 접속을 못해서, 나중에 *.cf등을 올려놓겠습니다.
그럼 좋은 저녁시간 되세요~ :D
덧. relay_domain, relay_host는 아예 막아둔 상태입니다.
활성시키면, 타 domain으로의 mail전달 자체가 안되더군요.
좌충우돌하고 있는데, 정말 설정이 의미하는 바를 온전히 이해하고 있냐하면 그렇지 못한게 가장 큰 이유가 될것 같습니다.
대강의 와꾸는 알겠는데, 몇가지가 아직 혼란스럽습니다. :cry:
--------------------------------------------------------------------------------
＼(´∇`)ノ ＼(´∇`)ノ ＼(´∇`)ノ ＼(´∇`)ノ
def ed():neTdiVeR in range(thEeArTh)
http://www.gentoo.org/doc/en/virt-mail-h
http://www.gentoo.org/doc/en/virt-mail-howto.xml
에잇 젠투를 까세요!! (장난입니다)
postfix 한글 자료가 없다는 것만 제외하면 참 좋은 mta인데 말이죠 (중얼중얼)
오랫동안 꿈을 그리는 사람은 그 꿈을 닮아간다...
http://mytears.org ~(~_~)~
나 한줄기 바람처럼..
헉 또 이렇게 마음써주시다시...감동의 물결 출렁~ :cry: 좀
헉 또 이렇게 마음써주시다시...감동의 물결 출렁~ :cry:
좀전에 집에 도착해서, 씻고 자리에 앉아 테스트를 해봤습니다.
테스트 machine은 bsd와 winbox입니다.
결론부터 말씀드리면, deny를 정상적으로 하는것 같습니다.
앞선 태영님의 post에서 relay_domain에 들어가 있는 경우 인증없이 보내질거란 말씀이 이 현상을 두고 하신 말씀이군요.(그걸 이제서야...ㅠ.ㅠ)
좀더 구체적으로 말씀드리면, FB evolution에서 ssl+인증모드일때만 다른 domain으로 메일이 전송되며, 그 두 옵션을 끄면 deny됩니다.
다른 메일 계정에서 테스트중인 smtp server로 설정해놓고 보내기 역시 안됩니다.
일이 이렇게 된걸 생각해보니, 어제그제 철야로 계속 태영님이 말씀하신 relay_domain내에서 test한것이 되고, 또 howto를 보면 매번 telnet 25시에 auth 관련 정보가 ehlo message로 뜨는것만 봐서 거기에 매몰된것 같습니다. 딱 제가 선택한 방식대로의 howto, 그리고 그에 따른 각종 log message, snapshot등이 없었던게 삽질의 이유라면 이유가 될것 같습니다. 물론 제가 온전히 잘 모른 상태에서 한 일이란게 가장 크겠지만요.ㅎㅎ
도움주신 덕분에 잘 해결되었습니다. 정말 감사합니다.^O^//
간단히 그간의 이력을 말씀드리면, 재미삼아 mail server를 돌려보기로 작정한게 화근이었습니다. 사실 업무용으로나 개인용으로나 다 메일이 있어 굳이 필요없는데, 오로지 제 id를 온전히 가진 계정을 갖고싶었던 거죠.ㅋㅋ
사실 postfix를 선택하게 된것에는 태영님 탓이 크니, 이렇게 도와주시는게 당연한거였습니다. :twisted: (푸퍼퍽...)
MTA를 뭘로 할까 고르다가 태영님의 post를 보고는 exim과 postfix중에 선정.
그때부터 postfix.org howto와의 신나는 삽질여행이 시작된겁니다.ㅋㅋ
일하는 짬짬이 놀이로 하던 일이라 전체 소요시간은 무려 한주 가까이 되는군요. :D
이왕 mail server만드는거 혹시 아는사람들 나눠주기 쉽게 virtual로 가다보니 별의별 삽질들이 다 있었네요.
gentoo로 바꾸라고 하셨죠? 회사에 scrap당할 뻔한 넘에는 gentoo를 돌린답니다. 거기서 gentoo howto를 고대로 따라하니깐 그냥 되더라구요. 켁. 역시 gentoo짱!
그러나 제 main은 FB라서 여기까지 오게된겁니다.
그래도, 요즘은 zope도 돌려보고 메일섭도 돌려보고 하면서 무미건조한 일상을 채워나가고 있는 중입니당...이게 취미...크흐흐흐
그간의 삽질을 정리해서 문서화해두면 좋겠는데, 이거 하도 정신없이 해놔서 정리가 될지 모르겠습니당..ㅋㅋ
그럼, 태영님 하시는 모든일에 행운이 함께하시길 기원하며 이만 줄이겠습니다.
좋은 밤 되세요.
덧. 참, 혹시 win machine에서 돌릴만한 mail client가 좋은게 있을까요? 전 outlook과 thunderbird를 쓰는 중인데, outlook은 pem file(인증서)가 공인기관 발행이 아니라며 일 안한대고, thunderbird는 smtp port가 기본25만 지원해서 465 port로는 해볼래야 해볼수가 없으니, 결국 thunderbird로 받는건(imaps) 된다지만, 보낼수는 없는 반쪽이가 될 공산이 크네요... :D
괜히 imap으로 했낭?^^;
--------------------------------------------------------------------------------
＼(´∇`)ノ ＼(´∇`)ノ ＼(´∇`)ノ ＼(´∇`)ノ
def ed():neTdiVeR in range(thEeArTh)
썬더버드도 smtp 포트를 바꿀 수 있습니다 :D 전 1.0.7 (200
썬더버드도 smtp 포트를 바꿀 수 있습니다 :D 전 1.0.7 (20050923 일자 빌드) 을 사용중인데 첨부한 파일처럼 옵션이 나오거든요 ;)
자자 이제 아름다운 procmail 세상으로 빠져보세요 :)
아래 파일들은 제가 쓰는 procmailrc 파일 입니다 ... 스팸필터용으로 글로벌하게 사용하는 것과 ... 메일링리스트 자동 분류등을 위해 개인적으로 사용하는 ;)
http://mytears.org/procmailrc
http://mytears.org/procmailrc_private
오랫동안 꿈을 그리는 사람은 그 꿈을 닮아간다...
http://mytears.org ~(~_~)~
나 한줄기 바람처럼..
답변이랑 관계없지만...[Q]mail server... 를 전 q
답변이랑 관계없지만...
[Q]mail server... 를 전 qmail server 로 보고...
왜 계속 postfix 얘기가 나오나 했어요. :oops:
제가 항상 qmail 만 써서인지, 그리고 최근엔 또다른 삽질중이어서인지...
무슨 글일까 하고 들어와봤거든요.
__________________________________
나는 세상에서 가장 중요한 사람이다.
끼야아아아악~세상에...thunderbird에서 smtp설정이 있
끼야아아아악~
세상에...
thunderbird에서 smtp설정이 있었던거군요.... :cry:
아무래도 한강가야 할래나 봅니다.
여태 1년 넘게 쓴것 같은데, 계속 들여다본데가 그 계정의 property와 server setting들이었고, 바로 그 밑에 따로 떨어져나와있는 smtp설정을 보지 못했었던겁니다. 이런 황당...
하긴, account setting에 sub-folder가 한 네개정도 되서, smtp는 여태까지 눈에 안띄었던 거군요...
그래도 그렇지, 이제보니 help에도 나오는 얘기를 처음 몇번 삽질해보고는 "thunderbird는 수신전용인가봐. 그럼 rss랑 mailing list, usenet용으로 쓰면 딱이겠네"라는 아주 단순간편무사안일 결론에 도달해서 여태까지 살아온 제가 정말
웃깁니다~ :lol:
태영님 덕분에 정말 많이 배울수있어서 기쁩니다. 정말 감사합니다.
그럼 좋은 하루하루 되세요~~~ :D :D :D
덧. 그러고보니 고니님도 죠류파신거네요?ㅎㅎ. qmail은 쓰지 마세요. 조금있으면 영어에서 q는 사라진답니당~~~
덧2. procmail이라아~ 숙제까지 내주시다니... :cry: 히~ 아잉 죠아~ 재미거리 주셔서 감사합니다.^^;
열심히 공부하겠습니당^O^//
--------------------------------------------------------------------------------
＼(´∇`)ノ ＼(´∇`)ノ ＼(´∇`)ノ ＼(´∇`)ノ
def ed():neTdiVeR in range(thEeArTh)
몇가지 내용입니다.relay_domains 설정은 목적지 주소와
몇가지 내용입니다.
relay_domains 설정은 목적지 주소와 관련이 있는 부분입니다.
즉, 받는 사람주소가 relay_domains에 언급된 주소일 경우 relay를 허락하게 되죠. 메뉴얼에도 나와있듯이,
기본적으로는 mydestination으로 설정되죠. 발송과는 크게 관계가 없습니다.
발송시 인증과 관계되는 가장 중요한 부분은
smtpd_recipient_restrictions =
입니다.
설정된 순서가 중요합니다.
만약에
smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination이런식으로 설정되어 있다면
mynetworks 조건을 통과하면, 아래 두줄은 의미가 없어집니다.
즉, mynetworks 조건에 합치되면, 아래 조건과는 상관없이 메일이 보내집니다.
mynetworks에 조건에 부합되지 않으면, sasl 인증이 되었는가하는 것이
검사됩니다. 이런식으로 작동하고 모든 조건이에 부합되지 않으면, 최후에 reject됩니다.
보통 테스트시점에서는 mynetworks에 부합되는 환경일 경우가 많죠.
이 경우, mynetworks에서 permit되어 버리기 때문에 아래 설정들이 전혀
테스트되지 않기 때문에 혼동을 일으키게 되는듯 합니다.
같은 네트워크에서 테스트시, mynetworks값을 변경하여 테스트하면 됩니다.
답변 주셔서 감사합니다.오호 restriction에 그런 뜻이 있
답변 주셔서 감사합니다.
오호 restriction에 그런 뜻이 있었던 거군요.
제 list에선 그게 중간중간 섞여있는부분들이 있었는데, 이참에 정리를 해야겠습니다.
정말 좋은 정보 알려주셔서 감사합니다.
--------------------------------------------------------------------------------
＼(´∇`)ノ ＼(´∇`)ノ ＼(´∇`)ノ ＼(´∇`)ノ
def ed():neTdiVeR in range(thEeArTh)
릴레이기능을 막아놓지 않으면 서버가 죽을 수도 있는지요?
저는 수세리눅스 9.3을 사용하여 쇼핑몰을 운영하고 있습니다.
참고로 저는 아주 초보입니다. 기본적인 리눅스 명령어 정도만 알고 있는 정도이구요, 서버관리해주시는 업체분들도 제가보기에는 많이 알지는 못하는것 같습니다.
메이크샵에서 호스팅을 받다가 1년전에 서버를 장만하여 독립형 쇼핑몰 솔루션을 구입하여 운영중이거든요... 서버사양은 인텔서버보드에 제온듀얼시스템이구요~
그런데 비정기적으로 서버가 죽습니다. 서버관리자가 로그파일을 점검하고 알려준 바로는 하드웨어적인 문제는 아니구요.... 그런데 죽습니다. 결국 제가 여기저기 알아보고 맨페이지 읽어보고 공부하고 있습니다.
메일 릴레이 때문에 서버가 과부하 걸려서 다운될 수도 있다는 말을 들은적이 있어서 postfix.org의 문서도 읽어보고 이곳에서 검색하다가 이 포스트를 발견하게 되어 이렇게 질문을 드리게 되었습니다.
릴레이기능을 막아놓지 않으면 서버가 죽을 수도 있는지요?
오늘이 일요일이라서 서버 리부팅을 시키지 못해서 main.cf파일을 수정해보지 못하는게 안타깝네요~ 내일 리부팅되면 main.cf의 설정값을 바꿔보고 릴레이를 확실하게 막아보도록 시도해 보겠습니다.
조언 부탁드구요~ 좋은하루 되세요~^
Re: 릴레이기능을 막아놓지 않으면 서버가 죽을 수도 있는지요?
우선 main.cf 를 고치신 다음에 리부팅을 할 필요 가 없습니다... 아래 커맨드를 통해 새로운 설정을 불러들일 수 있습니다...
postfix reload그리고 스팸 릴레이는 당해보심 알겠지만 -_-;; cpu 부하가 90% 가까이 차고... 바로바로 발송하기엔 너무나도 엄청난 양이 되다보니... mail que 에 엄청난 양의 임시파일이 생깁니다 -_-;; 그로 인해 파티션이 가득 차서 문제가 생기는 경우 서비스들의 거의 올스탑 될 수 있습니다...
오랫동안 꿈을 그리는 사람은 그 꿈을 닮아간다...
http://mytears.org ~(~_~)~
나 한줄기 바람처럼..
빠른답변에 정말 감사드립니다...~^
태영님 정말 감사합니다. 일단 게시물에 나와있는 것을 참고로 하여 릴레이를 막아보도록 하겠습니다. 하다가 궁금한점은 질문드리겠습니다.
좋은하루 되세요~^
저의 main.cf파일입니다. 메일이 받아지지를 않습니다.
저의 구성은 postfix + imap + sasl + procmail 입니다.
아웃룩에서 받는메일(pop3)는 995번포트로 받구요 보내는것은 25번포트로 보내고 있습니다.
저의 main.cf 파일입니다.
----------------------------------------------------------------------------------
# SOFT BOUNCE
#soft_bounce = no
# LOCAL PATHNAME INFORMATION
queue_directory=/var/spool/postfix
command_directory=/usr/sbin
daemon_directory=/usr/lib/postfix
# QUEUE AND PROCESS OWNERSHIP
mail_owner=postfix
myhostname=domain.co.kr
mydomain=domain.co.kr
# SENDING MAIL
myorigin=$mydomain
# RECEIVING MAIL
inet_interfaces = all
mydestination = $mydomain
local_recipient_maps =
unknown_local_recipient_reject_code=550
mynetworks_style = host
mynetworks = xxx.111.xxx.555/28, 127.0.0.0/8
relay_domains = $mydestination
alias_maps=hash:/etc/aliases
# DELIVERY TO MAILBOX
alias_database=hash:/etc/aliases
mail_spool_directory = /var/spool/mail
mailbox_command = /usr/bin/procmail -a "$EXTENSION"
# JUNK MAIL CONTROLS
header_checks=regexp:/etc/postfix/header_checks
smtpd_banner=$myhostname ESMTP $mail_name
debug_peer_level=2
debugger_command=PATH=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/bin xxgdb $daemon_directory/$process_name $process_id & sleep 5
sendmail_path=/usr/sbin/sendmail
newaliases_path=/usr/bin/newaliases
mailq_path=/usr/bin/mailq
setgid_group=maildrop
html_directory=/usr/share/doc/packages/postfix/html
manpage_directory=/usr/share/man
sample_directory=/usr/share/doc/packages/postfix/samples
readme_directory=/usr/share/doc/packages/postfix/README_FILES
mailbox_size_limit=0
message_size_limit=10240000
virtual_alias_maps = hash:/etc/postfix/virtual
virtual_alias_domains = domain2.co.kr
# 여기서 부터는 SMTP 인증 세팅
smtpd_sasl_auth_enable = yes
# 익명 접속 불가
smtpd_sasl_security_options = noanonymous
# MS Internet Explorer 5 버전의 비 표준 SASL 인증 호환
broken_sasl_auth_clients = yes
#
smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination, reject_spf_invalid_sender, reject_unknown_recipient_domain
# root 쪽에 기록 메일을 보낼 항목
notify_classes = delay, policy, protocol, resource, software
--------------------------------------------------------------------------------
릴레이를 막아보기 위해서 나름대로 한다고 했는데 메일이 받아지지를 않습니다. 보내는 것은 잘 되고 있구요~ 왜 메일이 받아지지 않는지 이해를 못하겠습니다.
smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination, reject_spf_invalid_sender, reject_unknown_recipient_domain
이부분은 태영님의 설정을 그대로 넣어봤는데요 reject_spf_invalid_sender, reject_unknown_recipient_domain 부분은 왜 들어가는지 이해를 못하고 있습니다. 그부분이 메일이 받아지지 않는데 영향을 주는지 알려주시면 좋겠습니다.
저의 main.cf의 내용을 잘 살펴보시고 지적좀 꼼꼼히 해주시면 감사하겠습니다.
저도 smtp(port 25) + imaps + smtps로 구성해서, mail 받는것은 25번 smtp로 받아들이고, client에서 읽어보는건 imaps, 보낼때는 smtps로 하려고 합니다. 그리고 서버의 다운에 영향을 계속 줘왔던 릴레이를 막고 싶습니다.
그럼 좋은하루 되세요~^^^
댓글 달기