У меня есть сервер postfix / dovecot, работающий внутри контейнера докеров, и я хотел бы заблокировать подключение некоторых IP-адресов к моему SMTP-серверу. У меня в /etc/postfix/main.cf:
smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks,
reject_unauth_destination, reject_unauth_pipelining,
reject_invalid_helo_hostname, reject_non_fqdn_helo_hostname,
reject_unknown_recipient_domain, reject_rbl_client zen.spamhaus.org,
reject_rbl_client bl.spamcop.net
smtpd_client_restrictions = check_client_access hash:/etc/postfix/client_checks,
permit_mynetworks, permit_sasl_authenticated,
reject_unauth_destination, reject_unauth_pipelining
smtpd_sender_restrictions = reject_non_fqdn_sender,
reject_unknown_sender_domain, reject_authenticated_sender_login_mismatch
И в /etc/postfix/client_checks:
# Restrict which clients this system accepts SMTP connection from.
example.com REJECT No spammers
.example.com REJECT No spammers, from your subdomain
aaa.bbb.ccc.ddd REJECT Your IP is spammer
Я также сделал:
$ postmap /etc/postfix/client_checks
И перезагрузил постфикс.
Но в логах все равно попадаю:
Jan 30 10:42:39 mail postfix/smtpd[1443]: connect from unknown[aaa.bbb.ccc.ddd]
Jan 30 10:42:41 mail dovecot: auth: ldap(contact@mydomain.com,::1,<mc2QeU1HQAAAAAAAAAAAAAAAAAAAAAAB>): unknown user (SHA1 of given password: 20eabe)
Jan 30 10:42:44 mail postfix/smtpd[1443]: warning: unknown[aaa.bbb.ccc.ddd]: SASL LOGIN authentication failed: authentication failure
Jan 30 10:42:44 mail dovecot: imap-login: Aborted login (auth failed, 1 attempts in 3 secs): user=<contact@mydomain.com>, method=PLAIN, rip=::1, lip=::1, secured, session=<mc2QeU1HQAAAAAAAAAAAAAAAAAAAAAAB>
Jan 30 10:42:44 mail postfix/smtpd[1443]: disconnect from unknown[aaa.bbb.ccc.ddd]
Как видите, сервер все еще проходит процесс входа в систему, а я бы хотел, чтобы он полностью заблокировал IP.
Что я сделал не так?
обычно разрешается аутентификация для всех хостов, в черных списках или вне их, так как многие черные списки включают диапазоны жилых подсетей.
однако, если вы хотите изменить это, вам необходимо изменить порядок вашей конфигурации разрешения / отклонения
smtpd_recipient_restrictions = permit_mynetworks,
reject_unauth_destination, reject_unauth_pipelining,
reject_invalid_helo_hostname, reject_non_fqdn_helo_hostname,
reject_unknown_recipient_domain, reject_rbl_client zen.spamhaus.org,
reject_rbl_client bl.spamcop.net,
permit_sasl_authenticated
это приведет к нежелательным результатам, вы должны найти время, чтобы точно настроить этот порядок конфигурации для ваших нужд