Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- tachtler:postfix_centos_7_-_srs_einsetzen [2016/11/10 09:27] – klaus
+++ tachtler:postfix_centos_7_-_srs_einsetzen [2017/05/03 09:53] (aktuell) – [/etc/sysconfig/postsrsd] klaus
@@ Zeile 1: / Zeile 1: @@
 ====== Postfix CentOS 7 - SRS einsetzen ======
-[[[[http://www.openspf.org/SRS|{{:tachtler:index:openspf-48x48.png }}]] **[[http://www.openspf.org/|SPF]] kann Probleme bei der E-Mail Umleitungen z.B. bei Web-Formularen verursachen.** [[http://www.openspf.org/SRS|SRS (Sender Rewriting Scheme)]] ist eine Möglichkeit, dies zu beheben.
+[[[[http://www.openspf.org/SRS|{{:tachtler:index:openspf-48x48.png }}]] **[[http://www.openspf.org/|SPF]] kann Probleme bei der E-Mail Umleitungen z.B. bei Web-Formularen verursachen.** [[http://www.openspf.org/SRS|SRS (Sender Rewriting Scheme)]] ist eine Möglichkeit, eine E-Mail so umzuschreiben, dass das [[http://www.openspf.org/|SPF]] (Sender Policy Framework) auch mit E-Mail-Umleitungen funktioniert.
 [[http://www.openspf.org/SRS|SRS (Sender Rewriting Scheme)]] ist eine einfache Möglichkeit bei der Weiterleitung von E-Mails durch den MTA, die E-Mail-Adresse des Absenders im **Envelop** umzuschreiben und anzupassen bzw. zu erweitern. Das ursprüngliche Konzept wurde im Entwurf, welcher unter nachfolgendem externen Link einsehbar ist [[http://www.openspf.org/svn/project/specs/drafts/draft-mengwong-sender-rewrite-01.txt| draft-mengwong-sender-rewrite]] veröffentlicht und weiter in nachfolgender Spezifikation, ebenfalls in nachfolgendem externen Link einsehbar [[http://www.libsrs2.org/srs/srs.pdf|The Sender Rewriting Scheme]] spezifiziert.
-Das Sender Rewriting Scheme (kurz [[http://www.openspf.org/SRS|SRS]]) ist eine Methode, um den Absender (genauer: den Envelope Sender) einer E-Mail so umzuschreiben, dass Sender Policy Framework ([[http://www.openspf.org/|SPF]]) auch mit Mail-Umleitung funktioniert.
+Das Sender Rewriting Scheme (kurz [[http://www.openspf.org/SRS|SRS]]) ist eine Methode, um den Absender (genauer: den **Envelope Sender**) einer E-Mail so umzuschreiben, dass das Sender Policy Framework ([[http://www.openspf.org/|SPF]]) auch mit E-Mail-Umleitungen funktioniert.
-Bei einer Mail-Umleitung werden nicht nur die Absenderdaten im Header unverändert gelassen, sondern auch der im SMTP vorgesehene Envelope Sender, der mit [[http://www.openspf.org/|SPF]] überprüft wird. In so einem Fall ist der weiterleitende Mailserver möglicherweise nicht im Sinne von [[http://www.openspf.org/|SPF]] berechtigt, die Mail zu versenden.
+Bei einer E-Mail-Umleitung werden nicht nur den Absender im **Header** unverändert gelassen, sondern auch der im SMTP vorgesehene **Envelope Sender**, der mit [[http://www.openspf.org/|SPF]] überprüft wird. In so einem Fall ist der weiterleitende E-Mail-Server möglicherweise nicht im Sinne von [[http://www.openspf.org/|SPF]] berechtigt, die E-Mail zu versenden.
-Wird als Lösung jedoch der Envelope Sender einfach umgeschrieben, kann es passieren, dass Fehlermeldungen nicht mehr ankommen.
+Wird als Lösung jedoch der **Envelope Sender** einfach umgeschrieben, kann es passieren, dass Fehlermeldungen nicht mehr ankommen.
 **__Beispiel:__**
-''a@d1.example'' schreibt an ''b@d2.example''; ''b@d2.example'' wird an ''c@d3.example'' weitergeleitet. Der Mailserver von ''d2.example'' ist nicht berechtigt, Mail von ''d1.example'' zu versenden, also ist die Mail aus Sicht von ''d3.example'' ungültig. Würde der Mailserver von ''d2.example'' die Adresse ''b@d2.example'' als Absender nehmen, könnte ''d3.example'' den ursprünglichen Absender ''a@d1.example'' nicht informieren, wenn ein Fehler bei der Zustellung stattfände, denn ''d3.example'' würde die Fehlernachricht an ''b@d2.example'' versenden, was wieder weitergeleitet und wieder fehlschlagen würde.
+''a@d1.example'' schreibt eine E-Mail an ''b@d2.example''; die E-Mail an ''b@d2.example'' wird jedoch an ''c@d3.example'' weitergeleitet. Der E-Mail-Server von ''d2.example'' ist nicht berechtigt die E-Mail von ''d1.example'' zu versenden, also ist die E-Mail aus Sicht von ''d3.example'' ungültig. Würde der E-Mail-Server von ''d2.example'' die Adresse ''b@d2.example'' als Absender nehmen, könnte ''d3.example'' den ursprünglichen Absender ''a@d1.example'' nicht informieren, wenn ein Fehler bei der Zustellung stattfände, denn ''d3.example'' würde die Fehlernachricht an ''b@d2.example'' versenden, was wieder weitergeleitet würde und damit wieder fehlschlagen würde.
-[[http://www.openspf.org/SRS|SRS]] löst das Problem dadurch, dass der ursprüngliche Absender im neuen Absender kodiert wird, im obigen Beispiel z.B. in der Form ''a#d1.example-b@d2.example''.
+[[http://www.openspf.org/SRS|SRS]] löst das Problem dadurch, dass der **ursprüngliche Absender** **__im__ neuen Absender** kodiert wird, im obigen Beispiel z.B. in der Form ''a#d1.example-b@d2.example''.
-Da das aber dazu führt, dass man Mails mit gefälschtem Absender über [[http://www.openspf.org/SRS|SRS]] einschmuggeln könnte, ist in der [[http://www.openspf.org/SRS|SRS]]-Adresse ein zusätzlicher kryptographischer Hash vorgesehen, der die Adresse sichert. Eine vollständige [[http://www.openspf.org/SRS|SRS]]-Adresse hat die Form.
+Da das aber dazu führen könnte, dass man E-Mails mit gefälschtem Absender über [[http://www.openspf.org/SRS|SRS]] versenden könnte, ist in der [[http://www.openspf.org/SRS|SRS]]-Adresse ein zusätzlicher kryptographischer **Hash** vorgesehen, der die Adresse sichert. Eine vollständige [[http://www.openspf.org/SRS|SRS]]-Adresse hat die Form.
 <code>
@@ Zeile 25: / Zeile 25: @@
 wobei **''HHH''** für den //Hash// und **''TT''** für einen //Zeitstempel// steht.
-Aus Sicht eines Mailversenders ist [[http://www.openspf.org/SRS|SRS]] eine unbefriedigende Lösung, da er zwar mit SPF bestimmen kann, welche Server mit der eigenen Absenderadresse senden dürfen, er aber darauf angewiesen ist, dass alle weiterleitenden Mailserver [[http://www.openspf.org/SRS|SRS]] implementieren, damit die Mail sicher zugestellt wird, was außerhalb seines Einflussbereiches liegt.
+:!: **HINWEIS** - Aus Sicht des Versenders einer E-Mail kann [[http://www.openspf.org/SRS|SRS]] eine unbefriedigende Lösung sein, da er zwar mit [[http://www.openspf.org/|SPF]] bestimmen kann, welche E-Mail-Server mit eigenen Absenderadressen versenden dürfen, er aber darauf angewiesen ist, dass alle weiterleitenden E-Mail-Server [[http://www.openspf.org/SRS|SRS]] implementieren, damit die E-Mail sicher zugestellt wird, was jedoch letztendlich außerhalb seines Einflussbereiches liegt.
 * **//Quelle: [[https://de.wikipedia.org/wiki/Sender_Rewriting_Scheme|Wikipedia: Sender Rewriting Scheme]]//**
@@ Zeile 63: / Zeile 63: @@
 <code>
 # yum install postsrsd
+Loaded plugins: changelog, priorities
+packages excluded due to repository priority protections
+Resolving Dependencies
+--> Running transaction check
+---> Package postsrsd.x86_64 0:1.2-1.el7.centos will be installed
+--> Finished Dependency Resolution
+Changes in packages about to be updated:
+Dependencies Resolved
+================================================================================
+ Package       Arch        Version                Repository               Size
+================================================================================
+Installing:
+ postsrsd      x86_64      1.2-1.el7.centos       mailserver.guru-os       23 k
+Transaction Summary
+================================================================================
+Install  1 Package
+Total download size: 23 k
+Installed size: 45 k
+Is this ok [y/d/N]: y
+Downloading packages:
+postsrsd-1.2-1.el7.centos.x86_64.rpm                       |  23 kB   00:00
+Running transaction check
+Running transaction test
+Transaction test succeeded
+Running transaction
+  Installing : postsrsd-1.2-1.el7.centos.x86_64                             1/1
+  Verifying  : postsrsd-1.2-1.el7.centos.x86_64                             1/1
+Installed:
+  postsrsd.x86_64 0:1.2-1.el7.centos
+Complete!
 </code>
@@ Zeile 68: / Zeile 106: @@
 <code>
 # rpm -qil postsrsd
+Name        : postsrsd
+Version     : 1.2
+Release     : 1.el7.centos
+Architecture: x86_64
+Install Date: Thu 10 Nov 2016 09:51:19 AM CET
+Group       : System Environment/Daemons
+Size        : 46260
+License     : GPL
+Signature   : RSA/SHA1, Wed 03 Dec 2014 01:04:43 PM CET, Key ID 60ecfb9e8195aea0
+Source RPM  : postsrsd-1.2-1.el7.centos.src.rpm
+Build Date  : Wed 03 Dec 2014 01:04:33 PM CET
+Build Host  : vml000200.dmz.nausch.org
+Relocations : (not relocatable)
+Packager    : Django <django@mailserver.guru>
+URL         : https://github.com/roehling/postsrsd/archive/1.2.tar.gz
+Summary     : PostSRSd provides the Sender Rewriting Scheme (SRS) via TCP-based lookup tables for Postfix.
+Description :
+PostSRSd provides the Sender Rewriting Scheme (SRS) via TCP-based
+lookup tables for Postfix. SRS is needed if your mail server acts
+as forwarder.
+/etc/sysconfig/postsrsd
+/usr/lib/systemd/system/postsrsd.service
+/usr/sbin/postsrsd
+/usr/share/doc/postsrsd-1.2
+/usr/share/doc/postsrsd-1.2/README.md
+/usr/share/doc/postsrsd-1.2/main.cf.ex
+/var/lib/postsrsd
+</code>
+===== Konfiguration: SRS =====
+==== /etc/sysconfig/postsrsd ====
+Standardmäßig wird nach der Installation von [[https://github.com/roehling/postsrsd|SRS]] - **''postsrsd''** in nachfolgendem Verzeichnis mit nachfolgendem Namen die Konfigurationsdatei für den [[https://github.com/roehling/postsrsd|SRS]] - **''postsrsd''** hinterlegt:
+  * **''/etc/sysconfig/postsrsd''**
+Nachfolgende Änderungen sind an der Konfigurationsdatei ''/etc/sysconfig/postsrsd'' durchzuführen:
+(**Komplette Konfigurationsdatei**)
+<code bash>
+# Default settings for postsrsd
+# Local domain name.
+# Addresses are rewritten to originate from this domain. The default value
+# is taken from `postconf -h mydomain` and probably okay.
+#
+# Tachtler
+# default: #SRS_DOMAIN=example.com
+SRS_DOMAIN=tachtler.net
+# Exclude additional domains.
+# You may list domains which shall not be subjected to address rewriting.
+# If a domain name starts with a dot, it matches all subdomains, but not
+# the domain itself. Separate multiple domains by space or comma.
+#
+# Tachtler
+#SRS_EXCLUDE_DOMAINS=.example.com,example.org
+SRS_EXCLUDE_DOMAINS=.edmz.tachtler.net,.idmz.tachtler.net,.intra.tachtler.net,dmarc.tachtler.net,dmarcreports.tachtler.net
+# Secret key to sign rewritten addresses.
+# When postsrsd is installed for the first time, a random secret is generated
+# and stored in /etc/postsrsd.secret. For most installations, that's just fine.
+#
+SRS_SECRET=/etc/postsrsd.secret
+# Local ports for TCP list.
+# These ports are used to bind the TCP list for postfix. If you change
+# these, you have to modify the postfix settings accordingly. The ports
+# are bound to the loopback interface, and should never be exposed on
+# the internet.
+#
+SRS_FORWARD_PORT=10001
+SRS_REVERSE_PORT=10002
+# Drop root privileges and run as another user after initialization.
+# This is highly recommended as postsrsd handles untrusted input.
+#
+RUN_AS=nobody
+# Jail daemon in chroot environment
+CHROOT=/var/lib/postsrsd
+</code>
+**__Nachfolgende Änderungen sollten vorgenommen werden:__**
+  * <code bash>SRS_DOMAIN=tachtler.net</code>
+Definition der **Domain** für die [[http://www.openspf.org/SRS|SRS (Sender Rewriting Scheme)]] zur Anwendung kommen soll.
+  * <code>SRS_EXCLUDE_DOMAINS=.edmz.tachtler.net,.idmz.tachtler.net,.intra.tachtler.net,dmarc.tachtler.net,dmarcreports.tachtler.net</code>
+Definition der **Domain** und **Sub-Domain** die vom [[http://www.openspf.org/SRS|SRS (Sender Rewriting Scheme)]] zur Anwendung ausgeschlossen werden sollen. Das können z.B. alle internen und weitere besondere Domains und Sub-Domains sein.
+===== Konfiguration: Postfix =====
+==== /etc/postfix/main.cf ====
+Hier die Änderungen an der Konfigurationsdatei **''/etc/postfix/main.cf''**
+(**Nur relevanter Ausschnitt**):
+<code ini>
+...
+# ADDRESS REWRITING
+#
+# The ADDRESS_REWRITING_README document gives information about
+# address masquerading or other forms of address rewriting including
+# username->Firstname.Lastname mapping.
+# Tachtler - new - Das Postfix Buch - Seite 116-119.
+# without SRS: recipient_canonical_maps = btree:/etc/postfix/recipient_canonical_maps
+recipient_canonical_maps = btree:/etc/postfix/recipient_canonical_maps,
+                           tcp:127.0.0.1:10002
+# Tachtler - new -
+# default: recipient_canonical_classes = envelope_recipient, header_recipient
+recipient_canonical_classes = envelope_recipient
+# without SRS: sender_canonical_maps = btree:/etc/postfix/sender_canonical_maps
+sender_canonical_maps = btree:/etc/postfix/sender_canonical_maps,
+                        tcp:127.0.0.1:10001
+# Tachtler - new -
+# default: sender_canonical_classes = envelope_sender, header_sender
+sender_canonical_classes = envelope_sender
+...
+</code>
+**__Nachfolgende Änderungen sollten vorgenommen werden:__**
+  * <code ini>recipient_canonical_maps = btree:/etc/postfix/recipient_canonical_maps,
+                           tcp:127.0.0.1:10002</code>
+Angabe der **TCP** ''lookup table'', über die der Empfänger umgeschrieben werden soll.
+  * <code ini>recipient_canonical_classes = envelope_recipient</code>
+Welche Klassen sind der Adresszuordnung von ''recipient_canonical_maps'' unterworfen. Standardmäßig wird die Adresszuordnung von ''recipient_canonical_maps'' auf **Envelop**-Empfängeradressen und auf **Header**-Empfängeradressen angewendet.
+  * <code ini>sender_canonical_maps = btree:/etc/postfix/sender_canonical_maps,
+                        tcp:127.0.0.1:10001</code>
+Angabe der **TCP** ''lookup table'', über die der Sender umgeschrieben werden soll.
+  * <code ini>sender_canonical_classes = envelope_sender</code>
+Welche Klassen sind der Adresszuordnung von ''sender_canonical_maps'' unterworfen. Standardmäßig wird die Adresszuordnung von ''sender_canonical_maps'' auf **Envelop**-Absenderadressen und auf **Header**-Absenderadressen angewendet.
+===== Erster Start/Neustart =====
+==== SRS Dienst/Daemon-Start einrichten ====
+Um den [[http://www.openspf.org/SRS|SRS (Sender Rewriting Scheme)]] der als Dienst/Deamon als Hintergrundprozess läuft, auch nach einem Neustart des Servers zur Verfügung zu haben, soll der Dienst/Daemon mit dem Server mit gestartet werden, was mit nachfolgendem Befehl realisiert werden kann:
+<code>
+# systemctl enable postsrsd
+Created symlink from /etc/systemd/system/multi-user.target.wants/postsrsd.service to /usr/lib/systemd/system/postsrsd.service.
+</code>
+Eine Überprüfung, ob beim Neustart des Server der ''postsrsd''-Dienst/Deamon wirklich mit gestartet wird, kann mit nachfolgendem Befehl erfolgen und sollte eine Anzeige, wie ebenfalls nachfolgend dargestellt ausgeben:
+<code>
+# systemctl list-unit-files --type=service | grep -e postsrsd
+postsrsd.service                            enabled
+</code>
+bzw.
+<code>
+# systemctl is-enabled postsrsd
+enabled
+</code>
+==== Erster Start SRS ====
+Um den [[http://www.openspf.org/SRS|SRS (Sender Rewriting Scheme)]] zu starten kann nachfolgender Befehl angewandt werden:
+<code>
+# systemctl start postsrsd
+</code>
+Eine Überprüfung ob der Start des [[http://www.openspf.org/SRS|SRS (Sender Rewriting Scheme)]] erfolgreich war kann mit nachfolgendem Befehl durchgeführt werden, welcher eine Ausgabe in etwa wie nachfolgende erzeugen sollte:
+<code>
+# systemctl status postsrsd
+● postsrsd.service - PostSRSd Daemon
+   Loaded: loaded (/usr/lib/systemd/system/postsrsd.service; enabled; vendor preset: disabled)
+   Active: active (running) since Thu 2016-11-10 10:36:03 CET; 5s ago
+ Main PID: 2241 (postsrsd)
+   CGroup: /system.slice/postsrsd.service
+           └─2241 /usr/sbin/postsrsd -f10001 -r10002 -dtachtler.net -s/etc/po...
+Nov 10 10:36:03 server60.idmz.tachtler.net systemd[1]: Started PostSRSd Daemon.
+Nov 10 10:36:03 server60.idmz.tachtler.net systemd[1]: Starting PostSRSd Daem...
+Hint: Some lines were ellipsized, use -l to show in full
+</code>
+bzw. mit nachfolgendem Befehl, ob der Dienst/Daemon in der Prozessliste erscheint:
+<code>
+# ps aux | grep postsrsd
+nobody    2241  0.0  0.0   6452   712 ?        Ss   10:36   0:00 /usr/sbin/postsrsd -f10001 -r10002
+-dtachtler.net -s/etc/postsrsd.secret -unobody -c/var/lib/postsrsd -X
+root      2264  0.0  0.0 112648   932 pts/0    S+   10:36   0:00 grep --color=auto postsrsd
+</code>
+==== Neustart Postfix ====
+Um den [[http://www.postfix.org/|Postfix]] **neu** zu starten kann nachfolgender Befehl angewandt werden:
+<code>
+# systemctl restart postfix
+</code>
+Eine Überprüfung ob der Neustart des [[http://www.postfix.org/|Postfix]] erfolgreich war kann mit nachfolgendem Befehl durchgeführt werden, welcher eine Ausgabe in etwa wie nachfolgende erzeugen sollte:
+<code>
+# systemctl status postfix
+● postfix.service - Postfix Mail Transport Agent
+   Loaded: loaded (/usr/lib/systemd/system/postfix.service; enabled; vendor preset: disabled)
+   Active: active (running) since Thu 2016-11-10 10:39:08 CET; 4s ago
+  Process: 2648 ExecStop=/usr/sbin/postfix stop (code=exited, status=0/SUCCESS)
+  Process: 2666 ExecStart=/usr/sbin/postfix start (code=exited, status=0/SUCCESS)
+  Process: 2663 ExecStartPre=/usr/libexec/postfix/chroot-update (code=exited, status=0/SUCCESS)
+  Process: 2660 ExecStartPre=/usr/libexec/postfix/aliasesdb (code=exited, status=0/SUCCESS)
+ Main PID: 2738 (master)
+   CGroup: /system.slice/postfix.service
+           ├─2738 /usr/libexec/postfix/master -w
+           ├─2739 pickup -l -t unix -u -o content_filter=lmtp:[192.168.0.70]:10024 -o lmtp_use_tls=yes
+           └─2740 qmgr -l -t unix -u
+Nov 10 10:39:07 server60.idmz.tachtler.net systemd[1]: Starting Postfix Mail Transport Agent...
+Nov 10 10:39:08 server60.idmz.tachtler.net postfix/master[2738]: daemon started -- version 2.11.8,
+configuration /etc/postfix
+Nov 10 10:39:08 server60.idmz.tachtler.net systemd[1]: Started Postfix Mail Transport Agent.
+</code>
+===== Überprüfungen =====
+Nachfolgende soll überprüft werden, ob die Umschreibungen auch tatsächlich durchgeführt werden.
+==== /var/log/maillog ====
+Nachfolgende Zeile sollte in der LOG-Datei ''/var/log/maillog'' erscheinen, solbald eine Umschreibung durchgeführt wird:
+(**Nur relevanter Ausschnitt**):
+<code>
+...
+Nov 10 10:53:52 server60 postsrsd[4658]: srs_forward: <nick.kerchen@mnet-online.de> rewritten as
+<SRS0+yx42=Y1=mnet-online.de=nick.kerchen@tachtler.net>
+</code>
+Wird ein **bounce** vom Zielsystem der Nachricht durchgeführt,  kann das **relayende System** den eigentlichen Absender informieren, da vom [[http://www.openspf.org/SRS|SRS (Sender Rewriting Scheme)]] Dienst/Deamon die Zieladresse wieder ermitteln und zurück umgeschrieben werden kann (''srs_reverse'').
+(**Nur relevanter Ausschnitt**):
+<code>
+...
+Nov 10 10:55:35 server60 postsrsd[6883]: srs_reverse: <SRS0+yx42=Y1=mnet-online.de=nick.kerchen@tachtler.net>
+rewritten as <nick.kerchen@mnet-online.de>
+...
+...
+Nov 10 10:56:12 server60 postfix/smtp[6883]: 8413383: to=<nick.kerche@mnet-online.de>, orig_to=
+<SRS0+yx42=Y1=mnet-online.de=nick.kerchen@tachtler.net>, relay=mail-out.m-online.net[212.18.0.9]:25,
+delay=0.75, delays=0.06/0/0.41/0.29, dsn=2.0.0, status=sent (250 Requested mail action okay, completed:
+id=0Btr1f-2Y2H7s3AB3-012SFG)
+...
+</code>
+==== E-Mail-Header ====
+Auch im **Header** der zugestellten E-Mail wird beim Empfänger die Umschreibung auch im **Return-Path** hinterlegt:
+(**Nur relevanter Ausschnitt**):
+<code>
+...
+Return-Path: <SRS0+yx42=Y1=mnet-online.de=nick.kerchen@tachtler.net>
+...
 </code>
-FIXME