[SOLVED] Postfix Zugriff auf Proxmox integerierte LDAP-Benutzerabfrage

[SPINNER IT]

Grüß Euch,

ich nutze Proxmox Mail Gateway 6.4-4.

Mir ist bewusst, dass es schon ettliche Posts gibt zwecks Postfix und "Reject bei Unbekanntem Empfänger", aber alles ist nicht so recht das, was ich mir vorstelle.
(Ich möchte nicht am Exchange-Server die SPAM-Filterfunktionalität aktivieren, nur um eine Sendererkennung durchführen zu können und ich möchte innerhalb von Proxmox auch keinen Filter nutzen, über den dann bei unbekannten Empfänger eine Antwort per Mail erfolgt [Backscatter].)
Ich möchte gerne eine "550 Message rejected" Meldung.

Wenn ich über Postfix eine LDAP-Prüfung gegen das AD mache, bekomme ich im Ergebnis nicht alle Emailadressen, es fehlen immer Diverse.
Daher würde ich gerne die in Proxmox integrierte LDAP-Benutzerabfrage mit dem Attribut "mail" verwenden, das Ergebnis dieser Abfrage scheint vollständig zu sein.

Meine Frage wäre, welches Format diese Ergebnisdatei von Proxmox hat und ob ich auf diese Datei(en) unter "/var/lib/pmg/ldapdb_Postfachabfrage_AD/" per Postfix zugreifen kann?
Da diese LDAP-Abfrage nur stündlich läuft, würde ich somit bei einer DoS-Attacke auch nicht den AD-Server lahmlegen.

ich hoffe, ich konnte mein Anliegen halbwegs verständlich vermitteln und bedanke mich schon Mal ganz ehrzliche für Eure Unterstützung.

Beste Grüße
Stefan

 

[Stoiko Ivanov]

Ich würde wirklich vorschlagen PMGs recipient verification zu nutzen (ist eigentlich das feature von postfix):
- es ist robust
- es cached die Resultate und ist performant
- es überprüft was es überprüfen soll (kann ich eine mail an diese Adresse zustellen)

Ich bin mir Sicher, dass sich exchange so konfigurieren lassen kann, dass es korrekt auf die RCPT TO commands antwortet (es sollte einige threads hier im forum geben, die sich damit befassen)
und postfix lässt sich dazu bewegen die verification Anfragen an einem anderen port (oder auch IP+port) zu stellen:
http://www.postfix.org/ADDRESS_VERIFICATION_README.html#probe_routing

In PMG müsste dies über das templateing system eingebunden werden.
https://pmg.proxmox.com/pmg-docs/pmg-admin-guide.html#pmgconfig_template_engine

Ich hoffe das hilft!

 

[SPINNER IT]

Danke für Deine Antwort Stoiko.

Ich suche schon seit Wochen nach einer brauchbaren Lösung, aber alles was ich gefunden habe setzt immer voraus, dass die Antispam-Funktionalität vom Exchange aktiviert werden muss.
Ich habe mir eindrlinglich sagen lassen, dass ich diese Antispam-Funktionalität meiden soll und das versuche ich eben aktuell.
Aber anders scheint es sich bedauerlicher Weise tatsächlich nicht realisieren zu lassen.
Oder hast Du einen konkreten Post, wo beschrieben wird, dass es trotzdem geht?
Mittlerweile stolpere ich nur noch über Posts, die ich irgendwann schon mal in der Hand hatte.
Besten Dank.

Herzliche Grüße
Stefan

 

[tom]

In einer alten Doku gibts eine Anleitung für Exchange.

https://www.proxmox.com/en/downloads/item/proxmox-mail-gateway-deployment-guide

Seite 22

 

[SPINNER IT]

In einer alten Doku gibts eine Anleitung für Exchange.

https://www.proxmox.com/en/downloads/item/proxmox-mail-gateway-deployment-guide

Seite 22

Danke Tom. Leider muss ich da auch wieder die Antispam-Funktionalität vom Exchange aktivieren/nutzen, was ich ja vermeiden will.

Beste Grüße
Stefan

 

[Stoiko Ivanov]

Kenne mich zwar mit Exchange nicht aus - allerdings wirkt die Erklärung unter:

https://www.msxfaq.de/exchange/e2013/e2013recipientfilter.htm

so als würde das Setting nur die recipient verification aufdrehen?

 

[SPINNER IT]

Kenne mich zwar mit Exchange nicht aus - allerdings wirkt die Erklärung unter:

https://www.msxfaq.de/exchange/e2013/e2013recipientfilter.htm

so als würde das Setting nur die recipient verification aufdrehen?

Danke für Deinen Einsatz Stoiko, ich stimme Dir zu, das lässt sich so verstehen.
In dieser Erklärung geht der Frank Carius aber auch auf eines der Hauptprobleme ein:

Although the Recipient Filter agent is available on Mailbox servers, you shouldn't configure it. When recipient filtering on a Mailbox server detects one invalid or blocked recipient in a message that contains other valid recipients, the message is rejected.
Quelle: https://technet.microsoft.com/en-us/library/bb125187(v=exchg.150).aspx

Sprich: ein falscher Empfänger in einer Mail mit mehreren Empfängern und die gesamte Email wird abgelehnt.

Wie arbeitet denn PMG an dieser Stelle, Stoiko?
Übergibt PMG die Email zur Empfängerprüfung für jeden Empfänger einzeln an den Exchange-Server,
oder wird die Email 1 zu 1 mit allen Empfängern an den Exchange weitergereicht zur Überprüfung, sodass eben genanntes Problem eintreten kann?

 

[tom]

Sprich: ein falscher Empfänger in einer Mail mit mehreren Empfängern und die gesamte Email wird abgelehnt.

Das sollte so nicht sein, wenn doch wär das ein Bug vom Exchange. Was sagt denn der MS Support dazu?

In unserem eigenen Setup funktioniert so ein Case problemlos (Postfix/Dovecot email server).

 

[SPINNER IT]

Das sollte so nicht sein, wenn doch wär das ein Bug vom Exchange. Was sagt denn der MS Support dazu?

In unserem eigenen Setup funktioniert so ein Case problemlos (Postfix/Dovecot email server).

Das ist tatsächlich nicht nur bei uns der Fall, dass ist bei MS auch bekannt, ließt sich so auch aus dem Link von Stoiko:

https://www.msxfaq.de/exchange/e2013/e2013recipientfilter.htm

Das Problem tritt demnach beim Exchange-Frontend auf, das Backend kann wohl korrekt damit umgehen, weshalb man wohl den Mail-Flow oder zumindest die Empfängerprüfung an den Port 2525 (Backend-SMTP-Port) richten muss.

Unter andererm deswegen ist es halt mein Anliegen, den Exchange irgendwie aussen vor zu lassen, einfach nur nervig sowas.

 

[SPINNER IT]

Grüß Euch,

kurzes Update...
wir sind dann jetzt den unliebsamen Weg über die Umkonfiguration vom Exchange gemacht.
Die ersten Tücken hatten sich dann schnell aufgetan, da müssen wir halt noch optimieren, aber gut.
Wir haben noch ein Paar Probleme, dass die Empfängerprüfung sich je nach Absender unterschiedlich verhält, aber das würde ich dann in einem anderen Post einstellen.
Ich beende diesen Post als gelöst und danke Euch ganz herzlich für die Unterstützung.

Beste Grüße
Stefan