Запрет отправки писем с вложениями

[$Alchemist]

Postfix
Несколько доменов, один из которых локальный.
Нужно запретить пользователям отправлять в мир письма с вложениями.
Для локального домена эту возможность нужно оставить.
В идеале хочется сделать запрет с исключениями для избранных.
Кто-нть с таким сталкивался?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[$Alchemist]

Ok. Немного перефразирую:
можно ли на отправку и получение задать разные message_size_limit?
и реально ли сделать разные лимиты для разных пользователей?

[Laa]

Мне кажется, что ответов мало, потому что postfix.
На exim это все просто делается.

[$Alchemist]

Так, а если поднять второй почтовик (смартхост для первого) на exim, что тогда можно придумать?

[skeletor]

В postfix'e это делается кажись через классы. Создаёте новый класс и указывает размеры писем для этого класса.

[$Alchemist]

можно по-подробнее про указание размеров?

[atrium]

Поищите здесь:

http://www.postfix.ru/viewforum.php?f=1

[$Alchemist]

Искал, ничего не нашел, зарегистрироваться не удалось - капча у них не отображается...

[Alex_hha]

можно ли на отправку и получение задать разные message_size_limit?

нет, это глобальный параметр, ну равзе что запускать два экземпляра postfix

[atrium]

Для Exim

Код: Выделить всё

# Ограничения применяемые после ипользования команды 'RCPT TO'
#
acl_check_rcpt:


    # Задаёт переменные для организации разделения размера сообщения для локальной сети
    # и интернета
    #
    warn set acl_c0 = unlocal

    warn domains=+local_domains
   set acl_c0= local

Код: Выделить всё

# Ограничения на команду 'DATA'
#
acl_check_data:


    # Ограничение размера сообщения для локальной сети. Размер сообщения задаётся
    # макросом 'MSL_INTRANET' в главном конфиге
    #
    deny message = "Size message limit for lan MSL_INTRANET"
   condition = ${if and { \
      { \
      eq{$acl_c0}{local} \
      } \
      { \
      >{$message_size}{MSL_INTRANET} \
      } \
        }} 


    # Ограничения размера сообщения для интернета. Размер сообщния
    # задаётся макросом 'MSL_INTERNET' в главном конфиге
    #
    deny message = "Size message limit for internet MSL_INTERNET"
   condition = ${if and { \
      { \
      eq{$acl_c0}{unlocal} \
      } \
      { \
      >{$message_size}{MSL_INTERNET} \
      } \
        }}

[$Alchemist]

Спасибо, буду переходить на Эксим.

[LimpTeaM]

http://www.postfix.org/RESTRICTION_CLASS_README.html
так попробуйте, но это только предположение
UPD: помойму не то... по соображением многих в гугле это можно произвести с помощью какого-нить дополнительного транспорта.

[Alex_hha]

можно ли на отправку и получение задать разные message_size_limit?

можно

Код: Выделить всё

/etc/postfix/master.cf
192.168.127.1:smtp inet n - - - 100 smtpd
   -o message_size_limit=10000000

xxx.xxx.xxx.xxx:smtp inet n - - - 100 smtpd
   -o message_size_limit=5000000

где xxx.xxx.xxx.xxx - внешний ip для приема почты из мира

и реально ли сделать разные лимиты для разных пользователей?

реально, но хлопотно. Разбить людей на несколько групп и в зависимости от группы маршрутизировать на конкретный экземпляр postfix со своим ограничением на размер письма.

[$Alchemist]

Код: Выделить всё

xxx.xxx.xxx.xxx:smtp inet n - - - 100 smtpd
   -o message_size_limit=5000000

где xxx.xxx.xxx.xxx - внешний ip для приема почты из мира

Так точно будет принимать из мира?
У меня на этом серваке один сетевой интерфейс с локальным ip.

[Alex_hha]

Так точно будет принимать из мира?
У меня на этом серваке один сетевой интерфейс с локальным ip.

а как на него вообще почта из мира попадает?

[$Alchemist]

цивилизованным способом: циска на него 25 порт пробрасывает

[Alex_hha]

цивилизованным способом: циска на него 25 порт пробрасывает

спорное утверждение, ну да ладно. Ну тогда только разносить на разные порты

[$Alchemist]

Для Exim

# Ограничения применяемые после ипользования команды 'RCPT TO'
#
acl_check_rcpt:
...

Спасибо, примерно так и сделал:

Код: Выделить всё

...
hostlist        full_mail = 192.168.0.10:192.168.1.15
...
message_size_limit = 20M
MSL_INTRANET = 20M
MSL_INTERNET = 1M
...
warn set acl_c0 = unlocal
warn domains=+local_domains
set acl_c0 = local
...
# Ограничение размера сообщения для локальной сети.
deny    message = "Message size limit for LAN = MSL_INTRANET"
        hosts = +relay_from_hosts
        condition = ${if and {{eq{$acl_c0}{local}}{>{$message_size}{MSL_INTRANET}}}}

# Ограничения размера сообщения для интернета, с исключением избранных.
deny    message = "Message size limit for Internet = MSL_INTERNET"
        hosts =  !+full_mail : +relay_from_hosts
        condition = ${if and {{eq{$acl_c0}{unlocal}}{>{$message_size}{MSL_INTERNET}}}}
...

Но у хитрожопых юзверей осталась одна лазейка - многотомные архивы.
Хотелось бы прикрутить блокировку по вложениям с содержанием *part*.
Пошел курить маны и гуглить...
Но если кто-то знает как это сделать - буду только рад

ЗЫ: количество адресов исключений большим получается, как бы в отдельный файл вынести?

[$Alchemist]

Не самое правильное решение, но в 99% случаях эффективное:

Код: Выделить всё

###################
acl_check_mime:
####################
deny message   = Blacklisted file extension detected ($mime_filename)
     condition = ${if match {${lc:$mime_filename}}{\N(\.exe|\.pif|\.bat|\.scr|\.lnk|\.com|\.vbs|\.cpl)$\N}{1}{0}}

deny message   = This type of archive is blocked!
     condition = ${if match {${lc:$mime_filename}}{\N(\.part01.rar|\.part01.zip)$\N}{1}{0}}
     hosts     = !+full_mail : +relay_from_hosts
accept

Остался вопрос с вынесением в файл членов full_mail

[Alex_hha]

и реально ли сделать разные лимиты для разных пользователей?

можно с помощью apolicy примерно так

acl foo recipient foo@domain.com
acl bar recipient bar@domain.com

acl 10mb size 10240000
acl 20mb size 20480000

action deny_max_10mb REJECT This user can not receive more than 10mb
action deny_max_20mb REJECT This user can not receive more than 20mb

access foo 10mb deny_max_10mb
access bar 20mb deny_max_20mb

Насчет вырезания вложений - http://wiki.sys-adm.org.ua/mail/postfix-faq.php первый вопрос

[$Alchemist]

Да я уже на Эксим перешел...

[$Alchemist]

И обратно уже успел

2 Alex_hha:
Спасибо, apolicy то, что надо!

Код: Выделить всё

# cat /etc/apolicy/policy.conf

acl local_domains sender @domain1.ru
acl local_domains sender @domain2.ru

acl privileged_users sender admin@domain1.ru
acl privileged_users sender office@domain1.ru

acl 1mb size 1024000

action deny_max_1mb REJECT Sorry, but You can't sent more than 1mb

access local_domains !privileged_users 1mb deny_max_1mb

[Alex_hha]

You are welcome