Проблема с почтой((

[estade]

Hello Уважаемые
Очень прошу Вашей помощи..
За последнее время ip сервака стал попадать в блэклисты всякие..приходят в ответ на отправленные письма что не может письмо доставлено ибо не прошел проверку на спам...начал смотреть что да как...в очереди по команде mailq | grep 'MAILER'
постоянно висят MAILER DAEMON их очень много, причем в maillog по этим id вот такое примерно написано

Код: Выделить всё

cat /var/log/maillog | grep 2DCD56576
Jun 18 13:28:35 relay postfix/cleanup[16247]: 2DCD56576: message-id=<20080618072835.2DCD56576@relay.mydom.ru>
Jun 18 13:28:35 relay postfix/bounce[17737]: 0A4876574: sender non-delivery notification: 2DCD56576
Jun 18 13:28:35 relay postfix/qmgr[27179]: 2DCD56576: from=<>, size=6892, nrcpt=1 (queue active)
Jun 18 13:28:35 relay postfix/smtp[17665]: 2DCD56576: to=<a.peele@accentlab.com>, relay=mail-fwd.g14.rapidsite.net[128.121.85.2]:25, delay=0.57, delays=0.01/0/0.56/0, dsn=4.0.0, status=deferred (host mail-fwd.g14.rapidsite.net[128.121.85.2] refused to talk to me: 554 dropsmtpd - Your mail is being dropped as spam.)

Я в администрировании postfix'a вообще не в зуб ногой, тока начал постигать азы, сервак остался от другого админа...объясните плиз в какую сторону копать, какие конфиги если надо выложу...в инете искал ничего путного не нашел

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[estade]

выкладываю main.cf

Код: Выделить всё

default_privs = nobody
mynetworks = 127.0.0.0/8
alias_maps = hash:/etc/mail/aliases
alias_database = hash:/etc/mail/aliases
mail_spool_directory = /var/mail
smtpd_banner = $myhostname ESMTP

maps_rbl_reject_code = 554

smtpd_recipient_restrictions =
 permit_sasl_authenticated,
 permit_mynetworks,
 reject_unauth_destination


smtpd_etrn_restrictions = reject

smtpd_reject_unlisted_sender = yes

disable_vrfy_command = yes

strict_rfc821_envelopes = yes

show_user_unknown_table_name = no

smtpd_helo_required = yes

smtp_always_send_ehlo = yes

smtpd_hard_error_limit = 8

smtpd_timeout = 120s

smtp_helo_timeout = 60s

smtp_mail_timeout = 60s

message_size_limit = 20971520

transport_maps = mysql:/etc/postfix/sql/transport.cf

virtual_mailbox_base = /var/mail/virtual

virtual_mailbox_maps = mysql:/etc/postfix/sql/users.cf

virtual_alias_maps = mysql:/etc/postfix/sql/aliases.cf

virtual_uid_maps = mysql:/etc/postfix/sql/uids.cf
virtual_gid_maps = mysql:/etc/postfix/sql/gids.cf

relay_domains = $transport_maps 87.240.20.12

local_recipient_maps = $virtual_mailbox_maps $virtual_maps $transport_maps

smtpd_sasl_auth_enable = yes
smtp_sasl_security_options = noanonymous
broken_sasl_auth_clients = yes

sendmail_path = /usr/local/sbin/sendmail
html_directory = /usr/local/www/postfix
setgid_group = maildrop
command_directory = /usr/sbin
manpage_directory = /usr/man
daemon_directory = /usr/libexec/postfix
newaliases_path = /usr/bin/newaliases
mailq_path = /usr/bin/mailq
queue_directory = /var/spool/postfix
mail_owner = postfix
readme_directory = /usr/share/doc/postfix
sample_directory = /etc/postfix
content_filter=smtp-amavis:[127.0.0.1]:10024

master.cf

Код: Выделить всё

smtp      inet  n       -       n       -       -       smtpd

pickup    fifo  n       -       n       60      1       pickup
cleanup   unix  n       -       n       -       0       cleanup
qmgr      fifo  n       -       n       300     1       qmgr
tlsmgr    unix  -       -       n       1000?   1       tlsmgr
rewrite   unix  -       -       n       -       -       trivial-rewrite
bounce    unix  -       -       n       -       0       bounce
defer     unix  -       -       n       -       0       bounce
trace     unix  -       -       n       -       0       bounce
verify    unix  -       -       n       -       1       verify
flush     unix  n       -       n       1000?   0       flush
proxymap  unix  -       -       n       -       -       proxymap
smtp      unix  -       -       n       -       -       smtp
relay     unix  -       -       n       -       -       smtp
	-o fallback_relay=
showq     unix  n       -       n       -       -       showq
error     unix  -       -       n       -       -       error
retry     unix  -       -       n       -       -       error
discard   unix  -       -       n       -       -       discard
local     unix  -       n       n       -       -       local
virtual   unix  -       n       n       -       -       virtual
lmtp      unix  -       -       n       -       -       lmtp
anvil     unix  -       -       n       -       1       anvil
scache	  unix	-	-	n	-	1	scache
smtp-amavis unix - - n - 4 smtp
    -o smtp_data_done_timeout=1200
    -o smtp_send_xforward_command=yes
    -o disable_dns_lookups=yes

127.0.0.1:10025 inet n - n - - smtpd
    -o content_filter=
# -o relay_recipient_map=
    -o smtpd_restriction_classes=
    -o smtpd_client_restrictions=
    -o smtpd_helo_restrictions=
    -o smtpd_sender_restrictions=
    -o smtpd_recipient_restrictions=permit_mynetworks,reject
# -o smtpd_recipient_restrictions=permit_mynetworks,reject_maps_rbl,reject
    -o mynetwork=127.0.0.0/8
    -o strict_rfc821_envelopes=yes
    -o smtpd_error_sleep_time=0
    -o smtpd_soft_error_limit=1001
    -o smtpd_hard_errror_limit=1000

[dikens3]

За последнее время ip сервака стал попадать в блэклисты всякие

Вопрос: Внешний IP-Адрес один и для выхода в инет и для почтового сервера?

---
Причину блокировки твоего IP-Адреса ищи, как правило это рассылка спама инфицированными компьютерами в твоей сети, которые рекомендую просканировать антивирусом.

[princeps]

Скорее всего поможет закрытие фаерволом подключений на 25-й порт наружу.

[estade]

Заранее огромное спасибо за советы!!! (Новичек я в этом деле еще, да еще и на чужом серваке)

Вопрос: Внешний IP-Адрес один и для выхода в инет и для почтового сервера?

ip один и для инета и для почты...все что нужно закрыто фаером, работает тока почта и прокся, все ненужные порты закрыты...

Скорее всего поможет закрытие фаерволом подключений на 25-й порт наружу.

закрыть 25 порт наружу??...т.е закрыть все входящие на этот порт из инета на сервак..??чтобы не могли извне локалки подключаться к к почтовику...

Причину блокировки твоего IP-Адреса ищи, как правило это рассылка спама инфицированными компьютерами в твоей сети, которые рекомендую просканировать антивирусом.

об этом я тоже подумал...но количество отбило все желание...компов около 400...если причина окажется действительно в этом буду решать потихоньку

У меня под конец рабочего дня возникло предположение..насколько я правильно понял из лога почтовика, мой почтовик сам отправляет майлы на адреса, возможно ли что spamassasin или почтарь генерирует ответные месаги на хосты спамерские))типо вежливый блин..."ваше мыло было дропнуто за спам" и из за этого такое количество MAILER'ов в очереди и попадаю сам как спамер.(Если что говорю не так, извините за бред..конец рабочего дня )

[tango]

я бы в ваш конфиг рекомендовала добавить еще и это:

Код: Выделить всё

smtpd_client_restrictions = 
	permit_mynetworks,
	permit_sasl_authenticated,
	check_client_access hash:/usr/local/etc/postfix/access_client,
	check_client_access regexp:/usr/local/etc/postfix/access_client.pcre,
	reject_rbl_client cbl.abuseat.org,
	reject_rbl_client opm.blitzed.org,
	reject_rbl_client spamsources.fabel.dk,
	reject_rbl_client dul.ru,
	reject_rbl_client dnsbl.sorbs.net,
	reject_rhsbl_client blackhole.securitysage.com,
	reject_rhsbl_client rhsbl.sorbs.net,
	reject_rhsbl_sender blackhole.securitysage.com,
	reject_rhsbl_sender rhsbl.sorbs.net,
	reject_unknown_client
 	permit

###
smtpd_helo_restrictions =
	permit_mynetworks,
	permit_sasl_authenticated,
	check_helo_access hash:/usr/local/etc/postfix/access_helo, 
   check_helo_access regexp:/usr/local/etc/postfix/helo_regexp,
            check_helo_access regexp:/usr/local/etc/postfix/access_client.pcre,
	reject_non_fqdn_hostname, 
	reject_unknown_hostname, 
	reject_invalid_hostname, 
	permit		

###
smtpd_sender_restrictions = 
	permit_mynetworks,
	permit_sasl_authenticated,
	check_sender_access hash:/usr/local/etc/postfix/access_sender, 
	reject_non_fqdn_sender,
	reject_unknown_sender_domain,
	reject_unverified_sender,
	permit

###
smtpd_recipient_restrictions = 
	permit_mynetworks,
	permit_sasl_authenticated, 
	check_recipient_access hash:/usr/local/etc/postfix/access_recipient,
	reject_unauth_destination,
	reject_unauth_pipelining,
	reject_non_fqdn_recipient, 
	reject_unknown_recipient_domain, 
	reject_unlisted_recipient,
	permit

###
smtpd_data_restrictions = 
	permit_mynetworks,
	reject_unauth_pipelining,
	permit

Это кусок конфига с моего сервера.
Подредактируй под себя.

[princeps]

закрыть 25 порт наружу??...т.е закрыть все входящие на этот порт из инета на сервак..??чтобы не могли извне локалки подключаться к к почтовику...

Нет, закрыть все исходящие из твоей сети наружу по 25 порту. Кроме ip почтового сервера, конечно. Если скажешь, какой у тебя фаервол на шлюзе, подскажут, как это правильно сделать.

но количество отбило все желание...

В этом сезоне модно использовать корпоративные версии антивирусов с централизованным управлением и средствами установки.

адреса, возможно ли что spamassasin или почтарь генерирует ответные месаги на хосты спамерские))типо вежливый блин..."ваше мыло было дропнуто за спам" и из за этого такое количество MAILER'ов в очереди и попадаю сам как спамер

Нормальный сервер должен слать отлупы на случай, если по замочит не-спамерское письмо. Чтоб админ на удаленном сервере был в курсе, почему с него на тебя почта не идет и смог что-то предпринять. Да и к тому же есть сервера, которые отправляют нереальное количество писем в единицу времени - gmail какой-нибудь. Что ж их теперь, спамерами считать? Как я понимаю, публичные блэк-листы основаны на спамтрэпах всяких, и рассчитаны в основном против ботов, так что закрой 25-й порт и не морочь себе голову
PS Может быть в полезные скрипты написать о необходимости закрытия 25-го порта в случае, если сервер переносится внутрь сети? Вопросы такие регулярно возникают.

[estade]

Если скажешь, какой у тебя фаервол на шлюзе, подскажут, как это правильно сделать.

фаер ..ipfw
но соответствующее правило по поводу 25 порта уже прописано.

[estade]

я бы в ваш конфиг рекомендовала добавить еще и это:

Код: Выделить всё

smtpd_client_restrictions = 
	permit_mynetworks,
	permit_sasl_authenticated,
	check_client_access hash:/usr/local/etc/postfix/access_client,
	check_client_access regexp:/usr/local/etc/postfix/access_client.pcre,
	reject_rbl_client cbl.abuseat.org,
	reject_rbl_client opm.blitzed.org,
	reject_rbl_client spamsources.fabel.dk,
	reject_rbl_client dul.ru,
	reject_rbl_client dnsbl.sorbs.net,
	reject_rhsbl_client blackhole.securitysage.com,
	reject_rhsbl_client rhsbl.sorbs.net,
	reject_rhsbl_sender blackhole.securitysage.com,
	reject_rhsbl_sender rhsbl.sorbs.net,
	reject_unknown_client
 	permit

###
smtpd_helo_restrictions =
	permit_mynetworks,
	permit_sasl_authenticated,
	check_helo_access hash:/usr/local/etc/postfix/access_helo, 
   check_helo_access regexp:/usr/local/etc/postfix/helo_regexp,
            check_helo_access regexp:/usr/local/etc/postfix/access_client.pcre,
	reject_non_fqdn_hostname, 
	reject_unknown_hostname, 
	reject_invalid_hostname, 
	permit		

###
smtpd_sender_restrictions = 
	permit_mynetworks,
	permit_sasl_authenticated,
	check_sender_access hash:/usr/local/etc/postfix/access_sender, 
	reject_non_fqdn_sender,
	reject_unknown_sender_domain,
	reject_unverified_sender,
	permit

###
smtpd_recipient_restrictions = 
	permit_mynetworks,
	permit_sasl_authenticated, 
	check_recipient_access hash:/usr/local/etc/postfix/access_recipient,
	reject_unauth_destination,
	reject_unauth_pipelining,
	reject_non_fqdn_recipient, 
	reject_unknown_recipient_domain, 
	reject_unlisted_recipient,
	permit

###
smtpd_data_restrictions = 
	permit_mynetworks,
	reject_unauth_pipelining,
	permit

Это кусок конфига с моего сервера.
Подредактируй под себя.

Спасибо...обязательно переделаю под себя и добавлю...