Outlaw BLOG – Linux, sieci, cisco, administracja zdalna (…)

Jeśli jesteś posiadaczem neostrady to możliwe, że dziś rano właśnie takie pytanie sobie zadałeś kiedy nie mogłeś wysłać poczty. Oczywiście powodem było zablokowanie porty 25 przez Telekomunikację Polską. Akcja TP była nagłaśniana już od wakacji. Tą akcje TP przeprowadziła w współpracy z największymi portalami udostępniającymi usługi pocztowe, dzięki czemu każdy użytkownik otrzymał stosowną wiadomość że od 1 grudnia będzie musiał sobie zmienić porty smtp w programie pocztowym. Oczywiście całe zamieszanie tyczy się użytkowników korzystających z programów pocztowych, bo dostęp do poczty przez www oczywiście się nie zmienił.

Działanie ma ograniczyć ilość spamu wychodzącego z sieci Telekomunikacji, a konkretniej od użytkowników posiadających neostradę, przy DSL i innych usługach porty 25 nie został zablokowany. Dość biadolenia i jeśli ktoś ma nadal problem to niech w opcjach programu pocztowego dla konkretnego konta w opcji serwerów zmieni port SMTP z 25 na 587. Oczywiście pod warunkiem że wasz provider poczty udostępnia go! Może, że niektórzy admini zaspali i czas ich obudzić. Dla tych co posiadają na serwerach postfixa wystarczyłoby dodać do pliku master.cf linie:
submission inet n - n - - smtpd

Oczywiście żeby zadbać o bezpieczeństwo i o to żebyśmy my z naszego serwera nie wysyłali spamu warto dodać kilka opcji proponowanych przez Lemat’a.

submission inet n - n - - smtpd
# -o smtpd_tls_security_level=encrypt
-o smtpd_sasl_auth_enable=yes
-o milter_macro_daemon_name=ORIGINATING
-o smtpd_client_restrictions=
-o smtpd_helo_restrictions=
-o smtpd_sender_restrictions=reject_sender_login_mismatch,permit
-o receive_override_options=no_header_body_checks,no_address_mappings
-o smtpd_sender_restrictions=permit_sasl_authenticated,reject
-o smtpd_recipient_restrictions=reject_non_fqdn_recipient,reject_unknown_recipient_domain,permit_sasl_authenticated,reject

objaśnienia opcji:

smtpd_sasl_auth_enable=yes
to na wypadek, jakby ktoś nie miał

milter_macro_daemon_name
to jest standardowa opcja

smtpd_client_restrictions i smtpd_helo_restrictions
tu wyczyściliśmy wszelkie filtry antyspamowe, które nie będą nam potrzebne

smtpd_sender_restrictions=reject_sender_login_mismatch,permit
czyścimy filtry antyspamowe, zostawiając tylko filtr na podszywanie się userów pod siebie

receive_override_options=no_header_body_checks,no_address_mappings
ta opcja występuje u mnie przy zwykłym „smtp” więc rozszerzam ją o no_header_body_checks, ci którzy nie mają przy „smtp” powinni ją dodać przy „submission” z tą jedną opcją.

smtpd_sender_restrictions i smtpd_recipient_restrictions
te łańcuchy dają OK tylko i wyłącznie zalogowanym klientom – i to jest najważniejsze w całej tej szopce.

smtpd_tls_security_level
w powyższym przykładzie zakomentowane – warto wygenerować sobie certyfikaty aby połączenie było szyfrowane – ale nie jest to konieczne. Nie mniej jednak zalecam.

Warto przy okazji wprowadzania zmian zmusić użytkowników do korzystania z protokołu, jeśli oczywiście mamy posfixa skonfigurowane do jego obsługi. Jeśli nie postaram się w chwili wolnej to przybliżyć.