Защита почтового шлюза от спама

На доскональное знание данной темы, не может претендовать, пожалуй ни один спец, из ныне живущих на земле. ;-)
Так поможем друг другу.

Модераторы: Trinity admin`s, Free-lance moderator`s

Аватара пользователя
corvax
free-lance moderator
Сообщения: 877
Зарегистрирован: 06 авг 2004, 17:21
Откуда: Kiev, Ukraine
Контактная информация:

Сообщение corvax » 30 янв 2006, 16:08

Stranger03 писал(а):
corvax писал(а):
DVS писал(а):Согласен, что было бы правильным принимать всю почту,
ню-ню
Что ню-ню? Пойдите объясните директору крупной госконторы, что мол ваш сервер не будет принимать от него почту по некоторым причинам, которые только вы сами понимаете. В лучшем случае вы, как исполнитель, будете посланы НА....

Но, да, все-таки ИМХО...
во-первых, в соседней мессаге я объяснил, что буквально воспринял ваши с автором предыдущей мессаге слова "принимать всю почту" буквально. кто ж знал, что под "всей" и "ото всех" вы понимаете в данном случае не то, что написано, а то, что подразумевалось. но это так, лирика... мне просто надо было вчитаться в текст внимательнее, из контекста можно было понять все

а на счет директора крупной конторы - у меня руководители вменяемые. и если я говорю, что по такой-то причине мы не принимаем почту от тех-то и тех-то, они спрашивают, можно ли сделать исключение. обычно так и происходит. но если исключение сделать нельзя (кривые HELO с диалапных динамических адресов), я объясняю, почему посылаю нах отправителей. и они напрягают руководство той стороны, чтобы оно напрягло админа, чтобы он хотя бы выслушал мою консультацию на тему возможных механизмов выпрямления рук. и неразрешимых ситуаций пока не было...
--
/corvax

Аватара пользователя
corvax
free-lance moderator
Сообщения: 877
Зарегистрирован: 06 авг 2004, 17:21
Откуда: Kiev, Ukraine
Контактная информация:

Сообщение corvax » 30 янв 2006, 16:09

Stranger03 писал(а):
corvax писал(а):но на самом деле под шлюз перед exchange легче заточить exim. у меня есть очень крупная инсталляция такая. exim может либо по smtp проверять у exchange наличие пользователя (как и sendmail), либо с помощью ldap запроса к AD
На опеннет есть ряд статей на тему авторизации с помощью ldap + winbind. А какой почтовик прикручивать - дело вкуса.
во-первых, вы путаете понятия аутентификации и авторизации
во-вторых, речь не идет ни об аутентификации, ни об авторизации. речь идет о проверке существования пользователя, что есть связанные, но все же разные задачи
--
/corvax

Аватара пользователя
Stranger03
Сотрудник Тринити
Сотрудник Тринити
Сообщения: 12979
Зарегистрирован: 14 ноя 2003, 16:25
Откуда: СПб, Екатеринбург
Контактная информация:

Сообщение Stranger03 » 30 янв 2006, 16:25

corvax писал(а):во-первых, вы путаете понятия аутентификации и авторизации
Да нет конечно, все в недосказанностях и криво высказанных мыслях. Порой мысль бежит впереди паровоза и частенько пока пишешь, она уже далеко убегает.
во-вторых, речь не идет ни об аутентификации, ни об авторизации. речь идет о проверке существования пользователя, что есть связанные, но все же разные задачи
Разные то они разные. В принципе проверки существования пользователя на шлюзе вашими способами должно хватить, чтобы как минимум отбросить несуществующих либо удаленных пользователей. Если же хочется почитать подробнее, ммм, ну я уже писал.

Аватара пользователя
corvax
free-lance moderator
Сообщения: 877
Зарегистрирован: 06 авг 2004, 17:21
Откуда: Kiev, Ukraine
Контактная информация:

Сообщение corvax » 30 янв 2006, 16:34

Stranger03 писал(а):
во-вторых, речь не идет ни об аутентификации, ни об авторизации. речь идет о проверке существования пользователя, что есть связанные, но все же разные задачи
Разные то они разные. В принципе проверки существования пользователя на шлюзе вашими способами должно хватить, чтобы как минимум отбросить несуществующих либо удаленных пользователей.
а о чем еще на данном этапе может идти речь?
Stranger03 писал(а):Если же хочется почитать подробнее, ммм, ну я уже писал.
дело не в почитать, а в том, что я, например, не представляю, как "с помощью ldap + winbind" проверить наличие пользователя без его пароля. если вы знаете, я готов выслушать. или под "почитать подробнее" подразумевалось что-то еще?
--
/corvax

Аватара пользователя
Stranger03
Сотрудник Тринити
Сотрудник Тринити
Сообщения: 12979
Зарегистрирован: 14 ноя 2003, 16:25
Откуда: СПб, Екатеринбург
Контактная информация:

Сообщение Stranger03 » 30 янв 2006, 16:48

corvax писал(а):дело не в почитать, а в том, что я, например, не представляю, как "с помощью ldap + winbind" проверить наличие пользователя без его пароля. если вы знаете, я готов выслушать. или под "почитать подробнее" подразумевалось что-то еще?
Вот например:
http://www.opennet.ru/base/net/freebsd_ ... h.txt.html
На этой основе можно сделать не только авторизацию пользователей, но и проверку его существования. Схема например такая:
Для Sendmail - domain.ru - локальный домен. При приеме почты он проверяет существование пользователя с помощью вышенаписанного метода. Далее локальный пользователь перенаправляется в домен domain.local, который является маршрутизируемым для внутреннего Ексченжа. На мой взгляд очень изящная комбинация.

Аватара пользователя
corvax
free-lance moderator
Сообщения: 877
Зарегистрирован: 06 авг 2004, 17:21
Откуда: Kiev, Ukraine
Контактная информация:

Сообщение corvax » 30 янв 2006, 17:02

Stranger03 писал(а):
corvax писал(а):дело не в почитать, а в том, что я, например, не представляю, как "с помощью ldap + winbind" проверить наличие пользователя без его пароля. если вы знаете, я готов выслушать. или под "почитать подробнее" подразумевалось что-то еще?
Вот например:
http://www.opennet.ru/base/net/freebsd_ ... h.txt.html
На этой основе можно сделать не только авторизацию пользователей, но и проверку его существования. Схема например такая:
Для Sendmail - domain.ru - локальный домен. При приеме почты он проверяет существование пользователя с помощью вышенаписанного метода. Далее локальный пользователь перенаправляется в домен domain.local, который является маршрутизируемым для внутреннего Ексченжа. На мой взгляд очень изящная комбинация.
я просмотрел статью по диагонали (к сожалению времени подробно изучать ее нет, а на практике она мне не пригодится, ибо у меня самого эксча нет, все работы были для сторонних клиентов). и где там был механизм проверки существования пользователя, если мы не указываем его пароль. прошу прощения, если что-то просто просмотрел в статье...

опять же, ставить самбу на почтовом шлюзе только для проверки пользователей - это как-то громоздко

p. s. автор статьи тоже называет аутентфикацию авторизацией. забавно. я не осознавал, на сколько это распространено
--
/corvax

Аватара пользователя
Stranger03
Сотрудник Тринити
Сотрудник Тринити
Сообщения: 12979
Зарегистрирован: 14 ноя 2003, 16:25
Откуда: СПб, Екатеринбург
Контактная информация:

Сообщение Stranger03 » 30 янв 2006, 17:18

corvax писал(а):и где там был механизм проверки существования пользователя, если мы не указываем его пароль. прошу прощения, если что-то просто просмотрел в статье...
Да ее действительно по диагонали надо читать и выбирать только то, что необходимо. В принципе как и в большинстве статей на подобную тему я из них беру минимум, потом сам многое доделываю. Эта же статья дает представление о пути решения, но никак не панацея.

Аватара пользователя
Stranger03
Сотрудник Тринити
Сотрудник Тринити
Сообщения: 12979
Зарегистрирован: 14 ноя 2003, 16:25
Откуда: СПб, Екатеринбург
Контактная информация:

Сообщение Stranger03 » 30 янв 2006, 17:28

А вот кстати как-то давненько я поднимал вопрос проверки обратной зоны на опеннет, может интересно:
http://www.opennet.ru/openforum/vsluhfo ... 38726.html

Аватара пользователя
corvax
free-lance moderator
Сообщения: 877
Зарегистрирован: 06 авг 2004, 17:21
Откуда: Kiev, Ukraine
Контактная информация:

Сообщение corvax » 30 янв 2006, 17:40

Stranger03 писал(а):
corvax писал(а):и где там был механизм проверки существования пользователя, если мы не указываем его пароль. прошу прощения, если что-то просто просмотрел в статье...
Да ее действительно по диагонали надо читать и выбирать только то, что необходимо. В принципе как и в большинстве статей на подобную тему я из них беру минимум, потом сам многое доделываю. Эта же статья дает представление о пути решения, но никак не панацея.
вы намеренно уходите от ответа?
--
/corvax

Аватара пользователя
Stranger03
Сотрудник Тринити
Сотрудник Тринити
Сообщения: 12979
Зарегистрирован: 14 ноя 2003, 16:25
Откуда: СПб, Екатеринбург
Контактная информация:

Сообщение Stranger03 » 30 янв 2006, 17:46

corvax писал(а):вы намеренно уходите от ответа?
От какого? Как с помощью этой статьи сделать проверку существования пользователя на Ексч-е?

Аватара пользователя
corvax
free-lance moderator
Сообщения: 877
Зарегистрирован: 06 авг 2004, 17:21
Откуда: Kiev, Ukraine
Контактная информация:

Сообщение corvax » 30 янв 2006, 17:53

Stranger03 писал(а):А вот кстати как-то давненько я поднимал вопрос проверки обратной зоны на опеннет, может интересно:
http://www.opennet.ru/openforum/vsluhfo ... 38726.html
ничего личного... но ничего интересного по ссылке нет

к тому же на том же сайте есть вот это:
http://www.opennet.ru/base/net/antireve ... l.txt.html
что вполне подходит в качестве ответа на ваш вопрос из корня указанного вами треда
--
/corvax

Аватара пользователя
corvax
free-lance moderator
Сообщения: 877
Зарегистрирован: 06 авг 2004, 17:21
Откуда: Kiev, Ukraine
Контактная информация:

Сообщение corvax » 30 янв 2006, 18:09

Stranger03 писал(а):
corvax писал(а):вы намеренно уходите от ответа?
От какого? Как с помощью этой статьи сделать проверку существования пользователя на Ексч-е?
да
ибо я вижу в статье аутентификацию
и не вижу ничего о проверке пользователя без знания его пароля
--
/corvax

Аватара пользователя
Stranger03
Сотрудник Тринити
Сотрудник Тринити
Сообщения: 12979
Зарегистрирован: 14 ноя 2003, 16:25
Откуда: СПб, Екатеринбург
Контактная информация:

Сообщение Stranger03 » 30 янв 2006, 18:12

corvax писал(а):ничего личного... но ничего интересного по ссылке нет
Например правила проверки обратной зоны для сендмыла
http://www.cs.niu.edu/~rickert/cf/hack/require_rdns.m4

Аватара пользователя
corvax
free-lance moderator
Сообщения: 877
Зарегистрирован: 06 авг 2004, 17:21
Откуда: Kiev, Ukraine
Контактная информация:

Сообщение corvax » 30 янв 2006, 18:20

Stranger03 писал(а):
corvax писал(а):ничего личного... но ничего интересного по ссылке нет
Например правила проверки обратной зоны для сендмыла
http://www.cs.niu.edu/~rickert/cf/hack/require_rdns.m4
все это покрывается теми несколькими строками, ссылку на которые я выслал, плюс исключениями в access_db с префиксом Connect и значением OK
--
/corvax

Аватара пользователя
Stranger03
Сотрудник Тринити
Сотрудник Тринити
Сообщения: 12979
Зарегистрирован: 14 ноя 2003, 16:25
Откуда: СПб, Екатеринбург
Контактная информация:

Сообщение Stranger03 » 30 янв 2006, 18:40

Stranger03 писал(а):От какого? Как с помощью этой статьи сделать проверку существования пользователя на Ексч-е?
да
Я эту проверку делал ммм, года три назад. На память не помню точную технологию, помню что часть описания брал из этой статьи. Схема (к слову ее я уже писал) у меня выглядела так:
1. авторизация локальных пользователей на фре проходила через ldap + winbind
2. поскольку мне нужны были тогда только почта для пользователей, для них для всех был отключен шелл и домашний каталог
3. в сендмыле внешний домен был указан как локальный. Тем самым принимая почту сендмыл через ldap + winbind проверял существование пользователя, но
4. далее внешний домен в адресе получателя подменялся на внутренний .local, который и форвардился внутрь в ексченж.
Поскольку я уже не помню всех деталей, а доступ к моим серверам ласковый админ прикрыл, то посмотреть мне уже негде. Сохранились некоторые ссылки на авторизацию, ну и примерная схема в голове, как это делалось года три назад.
Если это не ответ на вопрос, ну чтож, извините за мою...
Последний раз редактировалось Stranger03 30 янв 2006, 18:42, всего редактировалось 1 раз.

Ответить

Вернуться в «Серверы - ПО, Unix подобные системы»

Кто сейчас на конференции

Сейчас этот форум просматривают: нет зарегистрированных пользователей и 22 гостя