Dovecot (+exim) bash скрипт до авторизации

Что значит «до авторизации»? А кто у клиента тогда спросит $user? Ты собрался на bash-портянках реализовывать все возможные варианты IMAP авторизации, SSL и STARTTLS, просто чтобы выполнить свою странную задачу и дальше отдать данные уже сервису imap-login Dovecot’a?

Звучит как проблема XY.

fail2ban + geoip database

это не «до», это «в процессе»

Нет, я хочу чтоб довекот спросил $user, но ДО его родной проверки передал скрипту. Если такого пользователя нет (или страна не та), то чтоб довекот даже не успел отвечать клиенту, что логин/пароль нет тот…

довекот спросил $user

Это называется процессом аутентификации (а точне, на этом этапе, идентификации). Это уже не «ДО».

Как вариант можно посмотреть в сторону технологий предков: TCP Wrappers. Почитать о том что это и зачем можно тут: https://developer.ibm.com/articles/au-tcpwrapper/

Есть некоторые сомнения в том, что конкретно тебе это подойдет.

Спасибо, буду разбираться… Надеялся, что можно просто как в exim’е ACL’ку сделать вида deny condition = ${run{/usr/bin/sh /etc/exim4/spam.sh $sender_helo_name}} delay = 5s log_message = REJECT: ANTISPAMER-3M

она у меня отлично отрабатывает на проверку

Или даже iptables/nftables, до того, как соединение будет установлено

• https://wiki.nftables.org/wiki-nftables/index.php/GeoIP_matching
• https://superuser.com/questions/996526/ubuntu-iptables-allow-only-allow-1-country

После авторизации по простому можно и в dovecot, тут есть post-auth hook (https://doc.dovecot.org/2.3/admin_manual/post_login_scripting/).

Там всё просто: зашел Вася в свой аккаует с натовского IP – сразу в бан его и смена пароля в базе.

Перед авторизацией тоже можно, но у тебя не будет $user, а только IP и тут задача сводится к методу определения RU/не-RU (разные geoip базы, разные онлайн сервисы и т.п.). На IP же нигде не написано, что он RU.

Однако оба способа не подходят по описанные тобой условия задачи. В твоем случае только метод вырезания гланд через пятую точку в виде tcpwrapper’ов.

RE:Перед авторизацией тоже можно, но у тебя не будет $user, а только IP…

Вот, мне бы и IP достаточно было бы. Дальше можно и со своей базой сверить, и, если новый - курлом в ipinfo.io спросить (там на выходе json прилетает со всеми нужными данными =)))

Подскажите, никак не догоню… RE: Перед авторизацией тоже можно, но у тебя не будет $user, а только IP и тут задача сводится к методу определения RU/не-RU (разные geoip базы, разные онлайн сервисы и т.п.). На IP же нигде не написано, что он RU.

…скрипт вызываться должен service pop3 {} и service pop3 {} , или уже внутри service auth {} ?

Какой скрипт? Если речь о запрете ru/не-ru, то это вобще где-то в nftables как показали выше. Dovecot тут будет уже ни при чём.

Вот Вам ссылочка: https://suip.biz/ru/ Отсюда и пляшите

Нет, скрипты я накалякаю =) Вы просто написали, что «Перед авторизацией тоже можно, но у тебя не будет $user, а только IP…»

А я как раз не могу понять, где у него это самое «перед» Вроде в теории должно быть в service pop3 {} и service pop3 {} устанавливаться соединение с $IP, а service auth {} - это уже проверка $USER’а

с ipinfo.io можно curl’ом json получать… там все это есть. Довольно быстро и удобно