вопрос.
как заставить postfix требовать аутентификацию если sender - из моих доменов.
а то получается ситуация.
1. релей (независимо от sender)требует аутентификации.
2. письма с любым действительным адресом (reject_unverified_sender проходит проверку) на мои домены - проходят без аутентификации - что логично для доставки со сторонних почтовиков. (там целый забор из антиспамерских правил на smtpd_recipient_restrictions)
3. самое главное. - если sender из моего домена и recipient тоже то письмо отправляется так же без аутентификации.
получается что я могу удаленно отправлять письма с одного внутреннего ящика на другой без какой либо аутентификации.
и это работает с любого интерфейса.
т.е. потенциально любой злоумышленник пройдя через проверку smtpd_recipient_restrictions может отправлять письма по внутренней почте.
тоже самое с внутренними пользователями - smtpd не требует аутентификации при отправке внутренней почты на внутренние домены.
желаемое для писем с recipient из моих доменов
1. чтобы постфикс требовал аутентификации если sender из моих доменов.
2. чтобы постфикс пропускал без аутентификации если sender внешний (пройдя антиспам фильтры конечно)
как это достичь?
если нужны конфиги - то они банальны , но могу выложить...
main.cf
#разные параметры
smtpd_banner = $myhostname ESMTP $mail_name (OpenBSD 4.2) $mydomain
delay_warning_time = 4h
header_checks = regexp:/etc/postfix/header_checks
mime_header_checks = regexp:/etc/postfix/mime_header_checks
#virtual_alias_domains needs to be unset
virtual_alias_domains =
virtual_mailbox_domains = mysql:/etc/postfix/virtual/mysql-virtual-mailbox-domains.cf
virtual_mailbox_maps = mysql:/etc/postfix/virtual/mysql-virtual-mailbox-maps.cf
virtual_alias_maps = mysql:/etc/postfix/virtual/mysql-virtual-alias-maps.cf, mysql:/etc/postfix/virtual/mysql-virtual-email2email.cf
virtual_uid_maps = static:5000
virtual_gid_maps = static:5000
virtual_transport = dovecot
dovecot_destination_recipient_limit = 1
# TLS parameters
smtpd_tls_cert_file=/etc/postfix/ssl/dovecot.crt
smtpd_tls_key_file=/etc/postfix/ssl/dovecot.key
smtpd_use_tls=yes
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtp_tls_policy_maps=hash:/etc/postfix/tls_policy
smtp_tls_security_level = may
smtp_tls_CAfile =/etc/ssl/certs/equifax.pem
smtp_use_tls = yes
tls_random_source = dev:/dev/urandom
#основные настройки
myhostname = mail.мойдомен.ру
myorigin = /etc/mailname
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
relayhost =
mynetworks = 127.0.0.0/8, 192.168.0.0/24
message_size_limit = 0
mailbox_size_limit = 0
mailbox_command = procmail -a "$EXTENSION"
recipient_delimiter = +
inet_interfaces = all
#SASL config
smtp_sender_dependent_authentication = yes
sender_dependent_relayhost_maps = hash:/etc/postfix/sender_relay
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
smtp_sasl_tls_security_options = noanonymous
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
#smtpd настрйока
strict_rfc821_envelopes = yes
disable_vrfy_command = yes
smtpd_helo_required = yes
smtpd_etrn_restrictions =
permit_mynetworks,
reject
smtpd_client_restrictions =
smtpd_helo_restrictions =
smtpd_sender_restrictions =
smtpd_recipient_restrictions =
# permit_mynetworks,
permit_sasl_authenticated,
reject_unauth_destination,
reject_unauth_pipelining,
check_client_access hash:/etc/postfix/access_client,
check_client_access pcre:/etc/postfix/access_client.pcre,
# reject_unknown_client_hostname,
check_helo_access hash:/etc/postfix/access_helo,
reject_invalid_helo_hostname,
reject_non_fqdn_helo_hostname,
reject_unknown_helo_hostname,
check_sender_access hash:/etc/postfix/access_sender,
reject_non_fqdn_sender,
reject_unknown_sender_domain,
reject_unverified_sender,
reject_non_fqdn_recipient,
reject_unknown_recipient_domain,
reject_unverified_recipient,
reject_rbl_client cbl.abuseat.org,
reject_rbl_client combined.njabl.org,
reject_rhsbl_sender rhsbl.sorbs.net,
permit
#BCC config
recipient_bcc_maps = hash:/etc/postfix/recipient_bcc_maps
sender_bcc_maps = hash:/etc/postfix/sender_bcc_maps
content_filter = smtp-amavis:[127.0.0.1]:10024
