postscreen crash course

Reszletes leiras a postscreen doksijaban http://www.postfix.org/POSTSCREEN_README.html talalhato, itt egy gyakorlati felhasznalast osztok meg veletek.

!FONTOS! A postscreen nem a sajat klienseid ellen van, akiknek relay-zel.

Eloszor is nem akarjuk, hogy mindenkit farasszon a postscreen, igy megadhatjuk, hogy kiket kimeljunk meg tole, es amint lathato blokkolhatunk is cimeket, ill. cimtartomanyokat is:


postscreen_access_list = permit_mynetworks, cidr:/etc/postfix/postscreen_access.cidr


/etc/postfix/postscreen_access.cidr:

1.2.3.4 permit
10.20.30.0/24 permit
173.230.154.240 reject # myzamana bajkeverok

A kovetkezo trukk azt hasznalja ki, hogy a zombik olyanok, mint a microsoft: nem kulonosebben torodnek az rfc-kkel. Igy amint meglatjak a 220-as bannert, mar sietosen is folytatjak az smtp parbeszedet. Ez ellen ved a greet teszt: a 220-as bannner 2 sorban adja ki, es a ketto kozott egy megadott ideig kesleltetes van, kb. igy:

220-Hello pajti, ne siess mar ugy...

220 ESMTP ....

Ha az smtp kliens nem varja ki, amig a "220 " resz (azaz a vege) is megjon, akkor rfc-t sert, azaz tuti spammer

A konfig reszlet:


postscreen_greet_action = enforce
postscreen_greet_wait = ${stress?2}${stress:4}s
postscreen_greet_banner = Hello pajti, ne siess mar ugy...


Erdemes a stress opciot is figyelni: normalis korulmenyek kozott 2 sec a kesleltetes, de nagy load (="stress") alatt mar 4 sec.

A postscreen tamogatja a feketelistakat, meghozza nagyon intelligens modon. Tudjuk, hogy az rbl-ek hasznalata veszelyes, mert mi van, ha "veletlenul" felkerul ra pl. egy artatlan? Megesik az ilyen (uceprotect, emlekszel ra?). Ezert a feketelistakhoz sulyt is lehet rendelni:


postscreen_dnsbl_action = enforce
postscreen_dnsbl_threshold = 2
postscreen_dnsbl_sites = rbl.aaa.fu*1,rbl.bbb.org*1


A fonti peldaban csak akkor dobja el a kapcsolatot a postscreen, ha a kliens mindket rbl-en rajta van. A postscreen tamogatja a feherlistakat is (negativ suly), igy a baratsagos kuldoket fel lehet ra venni:


postscreen_dnsbl_threshold = 2
postscreen_dnsbl_sites = rbl.aaa.fu*1,rbl.bbb.org*1,whitelist.bribe.me*-1


Ebben az esetben hiaba listazza akar 2 rbl is a baratunkat, mi beengedjuk, mert feherlistan is szerepel. A sulyok okos varialasaval az is elerheto, hogy a feherlista csak 1 rbl-tol mentse meg a kuldot, es ha tenyleg elpofatlanodik, es spammelni kezd, mivel ekkor eleg sok rbl-re felkerul, akkor mar mi is eldobjuk a leveleit.

Az egesz egyutt, a vegen meg 2 kisebb hatekonysagu (=kevesebb spam akad fenn rajta) teszt:


postscreen_access_list = permit_mynetworks, cidr:/etc/postfix/postscreen_access.cidr


postscreen_greet_wait = ${stress?2}${stress:4}s
postscreen_greet_banner = Hello pajti, ne siess mar ugy...
postscreen_dnsbl_threshold = 2
postscreen_dnsbl_sites = rbl.aaa.fu*1,rbl.bbb.org*1

postscreen_dnsbl_action = enforce
postscreen_greet_action = enforce

postscreen_pipelining_enable = yes
postscreen_non_smtp_command_enable = yes

Meg egyeb melyteszteket is tud a postscreen, a tobbiert ld. a doksit. Szoval a postscreen szep, a postscreen jo, mert kis eroforrasigennyel megfog smtp szinten sok spammert. Nyilvan nem mindet, foleg, miota a spammerek egyre inkabb felfedezik a vps-eket, ahonnan smtp szerver kuldi ki a szemetet, igy elfer a postscreen mogott egy tartalomszuro*, amivel jol kiegeszitik egymast.

*: ha meg nincs ilyened, ajanlhatok neked egy tutit :-)