SMTP/Auth

[Rüdiger Kupper]

Okay, ich mache ein Ticket draus.


-------- Weitergeleitete Nachricht --------
Betreff: 	Re: SMTP/Auth
Datum: 	Mon, 4 Jun 2018 08:38:31 +0200
Von: 	Jens Baumgärtner <bau@kg-fds.de>
Antwort an: 	bau@kg-fds.de
Organisation: 	Kepler-Gymnasium Freudenstadt
An: 	Ruediger DrKupper <kup@kg-fds.de>




Hallo Rüdiger,

genau so stelle ich mir das vor.
Wir müssen auf dem paedml halt einen Mail-User
einrichten, dessen Username/Passwort der Client-Postfix
gegenüber dem paedml-Postfix zur Authentifizierung benutzt.
Das wären dann die Config-Parameter:

smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options =

Im Passwort-Hash /etc/postfix/sasl_passwd steht dann der zu
verwendende User:

paedml.kg-fds.de	username:password


(Datei sichern mit
chown root.root /etc/postfix/sasl_passwd
chmod 600 root.root /etc/postfix/sasl_passwd
)

(Hash muss mit

postmap /etc/postfix/sasl_passwd

erzeugt/aktualisiert werden)


Grüße

Jens Baumgärtner, StD, AL
Kepler-Gymnasium Freudenstadt
- Netzwerkbetreuung -
Ludwig-Jahn-Straße 54
72250 Freudenstadt
Tel. 07441/86059-600
FAX: 07441/86059-666

Am 04.06.2018 um 08:38 schrieb Ruediger DrKupper:
>
>>
>> Hallo Rüdiger,
>>
>> aktuell (leider ist die Config immernoch nicht fertig, da ich gestern
>> nochmals eine Rolle rückwärts machen musste, da ich über OpenVPN
>> keine Mails nach außen schicken konnte) ist über den Config-Parameter
>>
>> mynetworks = 10.16.112.0/23 10.32.0.0/12 172.16.34.0/24 127.0.0.1 
>>
>> der Zugang von allen unseren Netzen möglich.
>> Wenn alles läuft, dann nehme ich die beiden SuS-Netze raus:
>>
>>
>> mynetworks = 10.16.112.0/23 127.0.0.1 
>>
>> Clients haben dann über
>>
>> smtpd_client_restrictions =  permit_sasl_authenticated, permit_mynetworks check_client_access hash:/etc/postfix/client_checks, reject
>>
>> Zugang, das heißt, ich kann einzelne Clients in die Hash-Datei reinschreiben, dort
>> steht z.B. belwue.de damit wir überhaupt Mails empfangen können.
>>
>> Alle anderen müssen per sasl authentifiziert sein.
>> Heißt für die Clients: Wir brauchen einen User auf dem paedml, dessen
>> Passwort wir in die /etc/postfix/main.cf integrieren müssen, damit der dann
>> auf dem paedml Mails versenden darf. Auf den Clients müssen wir den
>> postfix außerdem abdichten, so dass dort nur noch der root-Benutzer
>> mails versenden darf und nicht jeder.
>>
>>
>>
>> Grüße
>>
>> Jens Baumgärtner, StD, AL
>> Kepler-Gymnasium Freudenstadt
>> - Netzwerkbetreuung -
>> Ludwig-Jahn-Straße 54
>> 72250 Freudenstadt
>> Tel. 07441/86059-600
>> FAX: 07441/86059-666
>>
>> Am 03.06.2018 um 17:38 schrieb Kepler:
>>> Das einzige, was meines Wissens von den Schülerrechmern Mails verschickt, ist der SMART-Daemon. Das ist ganz praktisch, weil wir dann sofort erfahrwn, wenn irgendwo die Festplatte defekt ist. Dringend notwendig ist es aber nicht.
>>> Kann man bestimmte Absenderadressen freischalten, oder nur IPs ?
>>>
>>> On Fri, 1 Jun 2018 16:41:05 +0200, Jens Baumgaertner wrote:
>>>> Hallo Rüdiger,
>>>>
>>>> ich weiß nicht, ob meine Mail von 15 Uhr überhaupt bei dir angekommen ist.
>>>> Da hatte ich auf jeden Fall etwas zu viel an der Postfix-Konfiguration
>>>> gemacht, so dass unser Server danach sich einfach nicht mehr zuständig
>>>> gefühlt hatte für alle Mails der Domain kg-fds.de
>>>>
>>>> Jetzt habe ich es aber glaube ich kapiert:
>>>> Aktuell kann man von allen Clients im Netz Mails senden, sobald man 
>>>> sich authentifiziert hat. Die Rechner im 10.16.112.0/23 dürfen immer
>>>> senden, dort stehen die Server. Der BELWUE-SMTP muss natürlich auch
>>>> senden können, der steht deshalb in der Datei /etc/postfix/client_checks
>>>> die mit postmap gehashed wurde. Alle anderen Clients werden geblockt.
>>>>
>>>> Wir empfangen also ab sofort keine Mails mehr von unseren Clients
>>>> im Schülernetz. Falls dies notwendig sein sollte, so müssten wir
>>>> einen MailUser einrichten, über den die Clients dann Mails
>>>> versenden können.
>>>>
>>>> Der ltsp6 ist ausschließlich im Schülernetz eingebunden, den habe
>>>> ich in die client_checks reingeschrieben, der darf also.
>>>>
>>>>
>>>> Grüße
>>>>
>>>> Jens
>>>>
>>>>
>>>>
>>>
>>
>>
>