[SOLVED] wie relaying über pmg

[ZZ9]

Obwohl ich unter
smtpd_relay_restrictions = permit_sasl_authenticated
(oder auch bei bei smtpd_recipien_restrictions)

eingefügt habe und beim Versuch etwas zu schicken "Authenticatioin successfull" (beim Client, z.B. swaks) erscheint.
kommt dann aber immer noch "relay access denied"

Wenn ich die Authentifizierung mal weglasse und die per IP erlaube, geht es.
Aber sobald ich Auth benutze, kann ich noch nicht mal an die eigene Domain (über port 26) einliefern.

Ich bin ja eher ein exim-fan, daher muss ich doch mal hier fragen.
Es sieht ja fast so aus, als ob "permit_sasl_authenticated" gerade genau das Gegenteil macht, was es vespricht.

 

[Stoiko Ivanov]

wie ist das authentication backend konfiguriert?
(postfix muss ja wissen gegen was es die Passwörter abgleichen soll)
siehe http://www.postfix.org/SASL_README.html

Ich hoffe das hilft!

 

[ZZ9]

Postfix schaut schon in der richtigen sasdldb2 nach.,
"Authentication was successfull" auf clientseite und "ehlo=1 auth=1 mail=1 rcpt=0/1 quit=1 commands=4/5" auf Serverseite. ("auth=1" nur, wenn ich das richtige PW angebe.)
Wie gesagt, sobald ich das richtie PW angeben, nimmt er gar keine Mails mehr an, auch nicht an die eigene Domain.

 

[Stoiko Ivanov]

bitte mal die logs und die config wie sie jetzt am pmg liegt posten - da sollten wir ein paar hinweise bekommen wo es hakt

 

[ZZ9]

mail.info: 554 5.7.1 <vuser@otherdomain>: Relay access denied; from=<user@mydomain> to=<vtest@otherdomain> proto=ESMTP helo=<.....
mail.info: mx postfix/smtpd[16998]: NOQUEUE: reject: RCPT from xx@xxx.dd 554 ...: ehlo=1 auth=1 mail=1 rcpt=0/1 quit=1 commands=4/5
config siehe Anhang.

 

[Stoiko Ivanov]

nachdem für die SMTP-AUTH ja das main.cf und master.cf template angepasst werden müssen müssten wir die auch sehen um uns ein bild zu machen...

in der pmgconfig.txt ist nur 127.0.0.1 und die IP vom PMG in den mynetworks - da muss bei den ACLs sichergestellt werden, dass zumindest die AUTH von überall geht, und das authenticated clients senden dürfen (recht weit vorne in der liste).

Ich hoffe das hilft!

 

[ZZ9]

Also die einzige Änderung, die ich bisher an der /etc/postfix/main.cf gemacht habe (ausserhalb der GUI) war

< smtpd_sasl_type = cyrus
< smtpd_sasl_path = private/auth
< smtpd_tls_auth_only = yes
< smtpd_sasl_auth_enable = yes
<
< smtpd_relay_restrictions =
< permit_sasl_authenticated
< permit_mynetworks
< reject_unauth_destination

Laut postfix-manual muss man ja:
# Relay control (Postfix 2.10 and later): local clients and
# authenticated clients may specify any destination domain.
smtpd_relay_restrictions = permit_mynetworks,
permit_sasl_authenticated,
reject_unauth_destination

Dann müsste doch Folgendes reichen?

smtpd_relay_restrictions = permit_sasl_authenticated permit_mynetworks reject_unauth_destination
smtpd_restriction_classes =
smtpd_sasl_auth_enable = yes
smtpd_sasl_authenticated_header = no
smtpd_sasl_exceptions_networks =
smtpd_sasl_local_domain =
smtpd_sasl_path = private/auth
smtpd_sasl_response_limit = 12288
smtpd_sasl_security_options = noanonymous
smtpd_sasl_service = smtp
smtpd_sasl_tls_security_options = $smtpd_sasl_security_options
smtpd_sasl_type = cyrus

Was müsste man denn noch ändern wenn "permit_sasl_authenticated" nicht ausreicht?

 

[Stoiko Ivanov]

smtpd_relay_restrictions = permit_sasl_authenticated permit_mynetworks reject_unauth_destination

da fehlen soweit ich sehe kommas ',' zwischen den einzelnen permits.
Da ohnehin nur localhost in mynetworks steht - vl. mal versuchen dieses vorne dranzuschreiben, wie in der Anleitung beschrieben.

Nur um sicherzugehen, dass es klar ist - Änderungen an der postfix config in PMG müssen über das templating system gemacht werden:
https://pmg.proxmox.com/pmg-docs/pmg-admin-guide.html#pmgconfig_template_engine

 

[ZZ9]

da fehlen soweit ich sehe kommas ',' zwischen den einzelnen permits.
Da ohnehin nur localhost in mynetworks steht - vl. mal versuchen dieses vorne dranzuschreiben, wie in der Anleitung beschrieben.

Nur um sicherzugehen, dass es klar ist - Änderungen an der postfix config in PMG müssen über das templating system gemacht werden:
https://pmg.proxmox.com/pmg-docs/pmg-admin-guide.html#pmgconfig_template_engine

Thanks!
Aber die Kommata hatte ich auch schon korrigiert, leider ohne Wirkung.
(bzw PMG setzt sie auch nicht)
Ich ändere im Moment nur die /etc/posttfix.conf und starte den Postfix jeweils neu.
ich will erstmal sehen, was überhaupt gemacht werden muss, damit Postfix mails relayed.
Dass PMG die config bei nächste Gelegenheit überschreibt, ist ok.
Stehen die Parameter vorne, ändert sich auch nichts.

 

[Stoiko Ivanov]

Wenn ich mir die default pmg postfix config ansehe - werden 3 ACLs gesetzt:

smtpd_recipient_restrictions
smtpd_sender_restrictions
smtpd_helo_restrictions

dort müsste jeweils das permit_sasl_authenticated hinzugefügt werden.

allerdings soll ja auch über den internen port versendet werden - dieser smtpd prozess wird in der /etc/postfix/master.cf noch zusätzlich konfiguriert (es werden uA genau diese restrictions überschrieben)
-> die config muss in der /etc/postfix/master.cf passieren
(und smtpd_recipient_restrictions muss ausgeweitet werden)

Ich hoffe das erklärt es.

btw. vl. auch den internen port auf 587 ändern wenn es nur authentifizierten access geben soll

 

[ZZ9]

Wenn ich mir die default pmg postfix config ansehe - werden 3 ACLs gesetzt:

smtpd_recipient_restrictions
smtpd_sender_restrictions
smtpd_helo_restrictions

dort müsste jeweils das permit_sasl_authenticated hinzugefügt werden.

allerdings soll ja auch über den internen port versendet werden - dieser smtpd prozess wird in der /etc/postfix/master.cf noch zusätzlich konfiguriert (es werden uA genau diese restrictions überschrieben)
-> die config muss in der /etc/postfix/master.cf passieren
(und smtpd_recipient_restrictions muss ausgeweitet werden)

Ich hoffe das erklärt es.

btw. vl. auch den internen port auf 587 ändern wenn es nur authentifizierten access geben soll

Ich hatte es schon in allen smtpd*restrictions eingetragen.
An die Master wollte ich noch nicht ran. Ok, ich werde sehen.
Vielen Dank.

 

[ZZ9]

Ich hatte es schon in allen smtpd*restrictions eingetragen.
An die Master wollte ich noch nicht ran. Ok, ich werde sehen.
Vielen Dank.

master.cf und schon geht es ... Facepalm.

 

[Stoiko Ivanov]

sehr fein!
bitte den Thread als 'SOLVED' markieren - das hilft anderen mit ähnlichen Fragen.

Danke!