Reverzní http proxy rozšířena o funkci SMTP proxy

[4smart.cz]

Reverzní http proxy server 77.93.202.118 (proxy1.4smart.cz) byl dnes rozšířen o funkci SMTP proxy pro příjem pošty z internetu.

SMTP proxy bude přijímat emaily od kohokoli s plně kvalifikovaným doménovým jménem a registrovanou doménou a pouze pro domény, které jsou za proxy serverem schovány. Defaultně je SMTP proxy server zapnut pro všechna stávající nastavení všech uživatelů bez omezení.

Současně předesílám, že SMTP proxy server bude spolehlivě použitelný pouze k příjmu pošty (z internetu do Vašich virtuálních serverů).
Není nakonfigurován pro odesílání pošty do internetu. Pokud bychom jej v budoucnu chtěli pro tento účel použít, mohlo by se stát, že jeden problémový uživatel (SPAMer) znemožní jeho použití všem ostatním uživatelům a to tím, že ho dostane na blacklisty. Důvodem je tedy spolehlivost.

Poštovní server však lze použít k přeposílání pošty mezi Vašimi doménami (pokud někde nemám chybu).
V tomto případě je proxy server také dosažitelný pod adresou 192.168.0.37.

Limit velikosti jednoho emailu je nastaven na 20MB, nikoliv MiB, tj. tedy 20 971 520B

Co udělat pro to, aby uživatel mohl SMTP proxy pro svoji doménu používat k příjmu pošty ?
Především nastavit si u registrátora své domény tzv. MX záznam na adresu proxy1.4smart.cz.
A pak vhodným způsobem nakonfigurovat svůj poštovní server k příjmu pošty ve svém VPS.
Vše ostatní je zařízeno automaticky - konfigurace se reloaduje 3x denně, stejně jako v případě reverzní http proxy (jde o stejnou službu).

Více o reverzní http proxy najdete zde:
http://forum.odorik.cz/viewtopic.php?f=3&t=1688


Podrobnosti o dalším chování SMTP proxy:

1) Co se stane, když je cílový virtuální server uživatele zastaven, jak je nakládáno s příchozím emailem.
Příchozí email je odložen a proxy se jej pokouší doručit Vašemu VPS po dobu 5 dní. Pokusy o doručení jsou postupně zpožďovány - v nejhorším případě jde o intervaly 4000 sekund.

2) Co se stane, když je poštovní server ve virtuálním serveru uživatele nastaven špatně a emaily nepřijímá.
Platí totéž jako v případě prvním.

3) Co se stane, když je SMTP proxy (i rev. http proxy) z technických důvodů nedostupná.
Příchozí pošta z internetu je pak obvykle z důvodu nedosažitelnosti naší proxy pozdržena a poštovní servery se ji naší proxy pokusí předat později, podle svého nastavení.



J.M.

[centrino]

Dobry den,
tato sluzba se mi libi, ale po predchozich zkusenostech (z jinych mist) nevim, jestli ji budu chtit vyuzivat.

Pozor abyste na nekterych spamlistech neskoncili, i kdyz budete maily oficialne jen prijimat.
1) Pokud prijmete mail pro cilovou domenu a server na cili mail odmitne, protoze u nej neexistuje takovy uzivatel, jste povini odeslat NDR zpet odesilateli. Timto se muzete dostat hned na nekolik blacklistu.
2) Podobnym zpusobem funguje i pokud cilovy mailserver bude nejakou dobu nedostupny (vice jak 5dni)

Reseni techto problemu je odmitat maily ihned po prichodu na prvni mailserver zpracovavajici maily pro domenu - coz je proxy1.4smart.cz. Ten ovsem nebude mit sanci tyto informace mit v sobe - musel by si tam primo klient nastavit, ktere mailove adresy jsou funkcni.

Spamlisty:
* SORBS.net (pokud na honeypot prijde mail obsahujici SPAM - staci kdyz je prilozen k NDR zprave)
* BackScatterer.org (pokud na honeypot prijde jakykoliv mail)

Hezky den preje
David Kunes

[xsouku04]

Zdravím, nešlo by to pro nás řešit tím, že povinnost odpovědět na nesmyslný email přeneseme na samotný virtuál?
Při nejhorším si může být povinný doménový koš, který prostě bude brát vše.

Majitel koncového serveru by mohl mít povinnost všechno zpracovat, a pokud to neudělá, jeho maily prostě zahodíme rovnou do "koše", což je myslím snad také korektní.

Nebo se pletu?

[4smart.cz]

Pozor abyste na nekterych spamlistech neskoncili, i kdyz budete maily oficialne jen prijimat.
1) Pokud prijmete mail pro cilovou domenu a server na cili mail odmitne, protoze u nej neexistuje takovy uzivatel, jste povini odeslat NDR zpet odesilateli. Timto se muzete dostat hned na nekolik blacklistu.
2) Podobnym zpusobem funguje i pokud cilovy mailserver bude nejakou dobu nedostupny (vice jak 5dni)

Já bych si dovolil tak trochu nesouhlasit. Automatické oznámení o nedoručitelnosti původnímu odesilateli je ve světě poštovních serverů celkem běžná věc. Automatická zpráva zahrnuje i důvod, proč se zprávu nepodařilo odeslat.
Toto chování je normální, ale také se zneužívá - tomu se říká backscatter. V tomto případě jde o nevyžádanou informaci o nedoručitelnosti fiktivního emailu, nebo emailu původně odeslaného z neexistující emailové adresy (neexistující uživatel).
V průběhu testování přijal proxy1.4smart.cz celkem 7 takových zpráv, kde nebyl uveden odesilatel from = <> (záměrně). Všechny emaily byly určeny pro doménu, kterou obsluhuje naše SMTP proxy. Po analýze jsem zjistil, že klient, který tyto backscattery odeslal je na blacklistech. Proto jsem doplnil konfiguraci postfixu tak, aby ověřovala IP adresu připojovaného klienta na blacklistech a případně tak předešla této situaci. Uvedené přijaté emaily jsem smazal, aby nedošlo ke generování automatické zprávy o nedoručitelnosti.

Vzhledem k nevelkému vytížení poštovního serveru proxy1.4smart.cz a vzhledem k dosavadnímu stavu konfigurace (nejsme open relay a ani relay proxy) zatím nepředpokládám, že nastane to co popisujete.
SMTP proxy budu sledovat za pochodu a případně optimalizovat.

J.M.

[xsouku04]

Jinak centrino mi napsal reakci na můj komentář jako CZ.

Ad tema: pokud zajistite takovou konfiguraci u klientu (coz vam muzou jen slibit) tak to bude OK pro 1) - jejich server pak takovy mail neodmitne a zpracovani je jiz na nem.
Ale pokud bude virtual 5dni down, tak NDR musi odeslat proxy1.4smart.cz a ten pokud prilozi puvodni zpravu (dela se to) tak poputuje na SORBS.net a BackScatterer. Pokud jen odpovi (bez puvodni zpravy), tak pujde jen na druhy jmenovany.

Ono by to snad nemelo vadit, pokud z proxy1.4smart.cz nebude nikdo odesilat maily (ani vy jako poskytovatel). Nejsem si jisty, ale zatim se nekontroluje jestli mail, ktery se snazim odeslat ma dostat spammer, takze prijem posty by ovlivneny byt nemel. Ale porad mi to prijde jako spatne mit server na blacklistu.

[centrino]

Pri provozu ve firme jsme si toto take mysleli, ale na blacklist jsme se takto dostali (dokonce opakovane).
Nerikal jsem, ze NDR je spatne. Jsem rad, ze takova zprava existuje, protoze ulehcuje hledani a odstranovani problemu. Backscatter mi prijde az moc striktni a pri pobytu na blacklistu jsme s timto seznamem nemeli velke problemy. SORBS je ale vice pouzivany a zalistovany server znamena pri dorucovani mailu problemy.

Pokud jste toto resili dekuji.

Nam se oplatilo do dohledu nasadit: https://github.com/egeland/nagios-rbl-c ... eck_rbl.py (pripadne alternativu)

Hezky zbytek dne preje
David