Postfix blockt user

[coltseavers]

Hallo zusammen,
ich betreibe nen Debian Squeeze Server mit Postfix MTA und Dovecot MDA.

Bei einem einzigen User habe ich nun schon mehrfach das Problem gehabt, dass er keine Mails einliefern kann.
Begründung: IP geblockt von zenhaus (RBL).

Was mich dabei aber sehr wundert ist, dass ich bei den smtp_recipient_restrictions authentifizierte User durchlasse, BEVOR die RBL-Tests durchgeführt werden.

Siehe Konfig:

Code: Select all

smtpd_recipient_restrictions = 
#Postmaster und Abuse in jedem Fall annehmen
	check_recipient_access hash:/etc/postfix/whitelisting
#Prüfen mit internen, billigen Mitteln Formalkriterien
	reject_non_fqdn_sender,
#	reject_non_fqdn_recipient,
#Prüfen mit externen, teuren Mitteln ob Domains existieren
	reject_unknown_sender_domain,
#	reject_unknown_recipient_domain,
#Eigene Nutzer mit Verschlüsselung durchlassen
	permit_sasl_authenticated,
	permit_tls_clientcerts,
	permit_mynetworks,
#Greylisting durchführen
	check_policy_service inet:127.0.0.1:60000,
#Realtime Blackhole Lists
	reject_rbl_client zen.spamhaus.org,
	reject_rbl_client b.barracudacentral.org
	reject_rbl_client cbl.abuseat.org,
	reject_rbl_client bl.tiopan.com,
	reject_rbl_client bl.spameatingmonkey.net,
	reject_rbl_client bl.mailspike.net,
	reject_rbl_client bl.spamcop.net,
#Missbrauch als OpenRelay unterbinden
	reject_unauth_destination,
#implizite Standardeinstellung zum Ende
	permit

Wie kann das sein, dass der User beim Versenden von Mails durch die Blacklistprüfung fällt, die er eigentlich gar nicht durchlaufen soll?
Irgendwie checke ich das gerade nicht.

Kann jmd helfen?

Vielen Dank vorab!

[Joe User]

Ich würde die Restrictions so setzen:

Code: Select all

smtpd_client_restrictions =
    sleep 1,
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unknown_reverse_client_hostname,
    reject_unauth_pipelining,
    permit
smtpd_data_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unauth_pipelining,
    permit
smtpd_helo_required = yes
smtpd_helo_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_invalid_helo_hostname,
    reject_non_fqdn_helo_hostname,
    reject_unauth_pipelining,
    permit
smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_non_fqdn_recipient,
    reject_unknown_recipient_domain,
    reject_unauth_destination,
    check_recipient_access hash:/etc/postfix/whitelisting,
    reject_unauth_pipelining,
    check_policy_service inet:127.0.0.1:60000,
    reject_rbl_client zen.spamhaus.org,
    reject_rbl_client b.barracudacentral.org,
    reject_rbl_client cbl.abuseat.org,
    reject_rbl_client bl.tiopan.com,
    reject_rbl_client bl.spameatingmonkey.net,
    reject_rbl_client bl.mailspike.net,
    reject_rbl_client bl.spamcop.net,
    permit
smtpd_sasl_auth_enable = yes
smtpd_sasl_authenticated_header = yes
smtpd_sasl_path = private/auth
smtpd_sasl_type = dovecot
smtpd_sender_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_non_fqdn_sender,
    reject_unknown_sender_domain,
    reject_unauth_pipelining,
    permit

[coltseavers]

Vielen Dank für die schnelle Antwort.
Ich würde aber gerne verstehen, an welcher Stelle meiner Konfiguration der Fehler ist, also was ich an meiner Konfig mindestens verändern müsste, damit der Fehler behoben wird.
Denn ich möchte auf dem Produktivsystem nicht einfach eine komplett andere Konfig einfach so einsetzen.

Deine Lösung überdenke ich dann mal in Ruhe.

[Joe User]

Das kann nur passieren, wenn der Nutzer sich eben nicht Authentifiziert und sich somit wie ein anderer Mailserver bis zum RBL-Check durchgearbeitet hat und dort auf Grund seiner gelisteten IP geblockt wird.

Wie sehen denn Deine anderen Restrictions aus?

[coltseavers]

Das kann nur passieren, wenn der Nutzer sich eben nicht Authentifiziert und sich somit wie ein anderer Mailserver bis zum RBL-Check durchgearbeitet hat und dort auf Grund seiner gelisteten IP geblockt wird.

Korrekt!
Beim User waren für den Postausgangsserver keine Zugangsdaten eingegeben.
Hätte mir auch mal eher einfallen können.

Problem gelöst - vielen Dank!