Gandi.net Groups

Nous avons tous assez souvent des problèmes de serveur SMTP.
Les serveurs SMTP des fai n'autorisent pour la plus part que des accès
non authentifiés depuis leur réseau.
Quand on change de réseau il faut donc changer le serveur smtp.
Je souhaite donc monter un serveur smtp sur mon hébergement.
Pour éviter tout problème de relais, ce serveur sera paramétré pour
n'accepter que des connexions authentifiées.
Je ne ferai pas pointer mes mx vers lui et je garderai des redirections
vers des bal de FAI.
Il n'acceptera donc aucun message de l'extérieur.
Je ne sais si je suis clair ...
Qu'en pensez-vous et quel serveur pouvez vous me conseiller (quelques
dizaines de messages par jour uniquement ...).

francis enguiale a écrit :

Nous avons tous assez souvent des problèmes de serveur SMTP.
Les serveurs SMTP des fai n'autorisent pour la plus part que des accès
non authentifiés depuis leur réseau.
Quand on change de réseau il faut donc changer le serveur smtp.
Je souhaite donc monter un serveur smtp sur mon hébergement.
Pour éviter tout problème de relais, ce serveur sera paramétré pour
n'accepter que des connexions authentifiées.
Je ne ferai pas pointer mes mx vers lui et je garderai des redirections
vers des bal de FAI.
Il n'acceptera donc aucun message de l'extérieur.
Je ne sais si je suis clair ...

Bonjour,

L'idée est bonne je pense. Cependant pour éviter le SPAM, je te 
conseille de bien verouiller toutes les connexions entrantes sur ton 
SMTP. Car même si tu utilises des connexions authentifiées pour envoyer 
des mails, ton serveur sera quand même configuré pour recevoir les mails 
a destination de la machine elle même. Donc les spammers pourraient 
quand même pourrir les comptes locaux de la machine (Postmaster , root 
and co) même si a priori ca devrait représenter un traffic restreint.

Mais autant être prévoyant au cas ou tu déciderais un jour de faire un 
vrai SMTP entrant.

Donc sois bien attentif à bien verouiller ton SMTP en mode entrant. Il y 
a plusieurs solutions pour cela plus ou moins bourrines :

- Tout blacklister en entrée excepté les connexions autorisées bien sur.
- Fermer le port 25 entrant ...

Qu'en pensez-vous et quel serveur pouvez vous me conseiller (quelques
dizaines de messages par jour uniquement ...).

Un postfix fera très bien l'affaire pour ca. Simple à configurer et 
efficace.

Cordialement,
Olivier BONHOMME

Le 10 jan 2008 à 11:09 CET, Olivier BONHOMME a écrit :

Bonjour,

L'idée est bonne je pense. Cependant pour éviter le SPAM, je te 
conseille de bien verouiller toutes les connexions entrantes sur ton 
SMTP. Car même si tu utilises des connexions authentifiées pour
envoyer 
des mails, ton serveur sera quand même configuré pour recevoir les
mails 
a destination de la machine elle même. Donc les spammers pourraient 
quand même pourrir les comptes locaux de la machine (Postmaster ,
root 
and co) même si a priori ca devrait représenter un traffic
restreint.

Mais autant être prévoyant au cas ou tu déciderais un jour de faire
un 
vrai SMTP entrant.

Donc sois bien attentif à bien verouiller ton SMTP en mode entrant.
Il y 
a plusieurs solutions pour cela plus ou moins bourrines :

- Tout blacklister en entrée excepté les connexions autorisées bien
sur.
- Fermer le port 25 entrant ...

Qu'en pensez-vous et quel serveur pouvez vous me conseiller (quelques
dizaines de messages par jour uniquement ...).

Un postfix fera très bien l'affaire pour ca. Simple à configurer et 
efficace.

Cordialement,
Olivier BONHOMME

Merci pour ces conseils.
Pour ce qui est des spams, je prévois de n'autoriser en entrée que les
sessions authentifiées.
Donc sans login/pwd, impossible d'envoyer des messages à ce serveur.
Comme il ne servira qu'en sortie, il ne sera pas MX d'un domaine.
Je vais regarder de plus prêt les fonctionnalités de postfix au plus
vite.

Le 10 jan 2008 à 22:21 CET, francis enguiale a écrit :

Donc sans login/pwd, impossible d'envoyer des messages à ce serveur.
Comme il ne servira qu'en sortie, il ne sera pas MX d'un domaine.

Attention... il me semble que certains serveurs destinataires vont au
moins vérifier que le domaine existe et que le nom de la machine est
bien "FQDN" (Fully Qualified Domain Name). Postfix lui même peut-être
configuré de cette manière, d'après ce que j'ai pu lire ici et là.
Il y a donc des risques de voir certains mails purement et simplement
rejetés sans autre forme de procès, amha

sedme a écrit :

Attention... il me semble que certains serveurs destinataires vont au
moins vérifier que le domaine existe et que le nom de la machine est
bien "FQDN" (Fully Qualified Domain Name). Postfix lui même peut-être
configuré de cette manière, d'après ce que j'ai pu lire ici et là.
Il y a donc des risques de voir certains mails purement et simplement
rejetés sans autre forme de procès, amha

Oui, c'est même la conf par défaut dans Postfix (sur Debian en tout 
cas). Et c'est pas plus mal (mis à part que vous recevrez les mais de la 
SNCF 10h après leurs envoi ;) ).

Je dois avoir un tutoriel sur Postfix + Dovecot + DSPAM sur un de mes 
disques, je le posterais dès que possible.

\o/ Jonathan
  Gandi.Net

Salut,

La doc sur les restrictions d'accès est ici :
http://www.postfix.org/uce.html
au final, ça donne quelquechose comme ceci : 

smtpd_delay_reject = yes
smtpd_helo_required = yes
smtpd_helo_restrictions =
        permit_mynetworks,
        warn_if_reject,
        reject_non_fqdn_hostname,
        reject_invalid_hostname,
        permit

smtpd_sender_restrictions =
        permit_mynetworks,
        reject_non_fqdn_sender,
        reject_unknown_sender_domain,
        permit

smtpd_recipient_restrictions =
        reject_unauth_pipelining,
        reject_non_fqdn_recipient,
        reject_unknown_recipient_domain,
        permit_mynetworks,
        reject_unauth_destination,
        check_policy_service inet:127.0.0.1:60000

smtpd_client_restrictions =
        permit_mynetworks,
        check_client_access hash:/etc/postfix/reject_access_map,
        permit

Pour info, le check_policy_service, c'est postgrey
(postgrey.schweikert.ch).
Ensuite, tu peux tester ta config en utilisant ce service :
www.abuse.net/relay.html

Bons tests !

Romain


On Jan, 12 2008 18:25 CET, Jonathan (Gandi) wrote:

sedme a écrit :

Attention... il me semble que certains serveurs destinataires vont au
moins vérifier que le domaine existe et que le nom de la machine est
bien "FQDN" (Fully Qualified Domain Name). Postfix lui même
peut-être
configuré de cette manière, d'après ce que j'ai pu lire ici et
là.
Il y a donc des risques de voir certains mails purement et simplement
rejetés sans autre forme de procès, amha

Oui, c'est même la conf par défaut dans Postfix (sur Debian en tout 
cas). Et c'est pas plus mal (mis à part que vous recevrez les mais de
la 
SNCF 10h après leurs envoi ;) ).

Je dois avoir un tutoriel sur Postfix + Dovecot + DSPAM sur un de mes 
disques, je le posterais dès que possible.