turn the lights on kicked from server; added to blacklist

Das Szenario ist, das ich einen Backupserver bzw. Backupftp brauche der nur von einer bestimmten IP erreichbar sein soll, sodass man Ihn nicht anderweitig erreichen kann.

Als FTP-Server benutze ich ProFTPD und befinde mich in folgender Datei /etc/proftpd/proftpd.conf.

Nach langem Suchen habe ich die Möglichkeit gefunden, den IP-Bereich mit folgendem Befehl einzudämen:

UseHostsAllowFile            /etc/proftpd/ftpd.allow

Die “Allow”-File soll genauso aufgebaut sein wie die Datei /etc/hosts.allow. Das habe ich danach auch so umgesetzt, jedoch funktionierte leider nicht und ich erhielt immer wieder folgende Fehlermeldung:

Starting ftp server: proftpd – Fatal: unknown configuration directive ‘UseHostsAllowFile’ on line 38 of ‘/etc/proftpd/proftpd.conf’

Letztendlich googelte ich weiter und fand folgenden Befehl:

<Limit LOGIN>
Order allow,deny
Allow from 128.44.25.,128.44.26.,myhost.mydomain.edu,.trusted-domain.org
Allow from 10.2.0.0/22
Deny from all
</Limit>

Diesen Befehl angepasst und siehe da, der FTP-Server funktioniert so wie gewünscht.

Ich habe gerade auf meinem Server Postgrey installiert. Postgrey macht, wie der Name vielleicht von verrät, Greylisting für Postfix.

Bisher hatte ich immer weniger gute Erfahrungen mit diesem Verfahren gegen Spam gehabt. Nun probiere ich es mal wieder aus. Es gibt leider immer wieder Server, die unsauber installiert sind und deshalb in die Falle von Greylisting tappen.

Die Installation ist unter Debian recht einfach:

apt-get install postgrey

Dann in der Datei /etc/postfix/main.cf folgendes im Bereich smtpd_recipient_restrictions einbauen.

Dies könnte ein Beispiel sein (Achtung, meine Config! Nicht blind kopieren):

smtpd_recipient_restrictions = permit_mynetworks,
        permit_sasl_authenticated,
        reject_unknown_recipient_domain,
        reject_unauth_destination,
        reject_invalid_hostname,
        reject_non_fqdn_hostname,
        reject_non_fqdn_recipient,
        reject_unknown_client,
        check_policy_service inet:127.0.0.1:12525,
        check_policy_service inet:127.0.0.1:60000,
        permit

In meinem Fall wird zuerst mit policyd-weight (Port 12525) geprüft, ob die Mail in einer RBL-Liste enthalten ist und dann wird das Greylisting durchgeführt.

/etc/init.d/postfix restart

Ja, man könnte das auch mit postfix reload erreichen. Ich mag es halt anders lieber.

Dieser Artikel stammt ursprünglich von schimana.net.