Irritationen mit den Restrictions

[toml at thlu.de]

Hallo Klaus

Am 26.11.2017 um 12:01 schrieb Klaus Tachtler:
> https://dokuwiki.tachtler.net/doku.php?id=tachtler:postfix_centos_7#restrictionsgrundlagen 
>
>
> Evtl. hilft Dir das weiter.

Ja, das war der Schlüssel, der das Schloss endlich geknackt hat. Ich 
habe mir gestern in dem systemd-Container ein Telnet-taugliches 
Postfix-Szenario gebaut und stundenlang mit dem Restrictions getestet, 
wann welche Einstellung welche Auswirkung hat. Dabei habe ich mich auf 
diese 3 konzentriert:
- smtpd_sender_restrictions
- smtpd_relay_restrictions
- smtpd_recipient_restrictions

...mit denen ich schließlich jeweils konkrete und für mich 
reproduzierbare Beschränkungen durchsetzen konnte. Jetzt bin ich nur an 
einem Punkt angekommen und hinterfrage, ob ich zum Hosenträger auch noch 
den Gürtel vorsehe und darüber hinaus noch empfehle, die Hose zur 
Sicherheit auf jeden Fall auch noch mit beiden Händen festzuhalten. Mein 
Problem ist nun, eine sinnvolle Übertragung der vorhandenen 
Möglichkeiten auf die eigenen Gegebenheiten zu finden.
Fakt ist, ich habe hier kein professionelles Firmen-Netzwerk mit 
professionellen Ansprüchen,  sondern nur ein familiäres Netz und den 
Ehrgeiz, ein wenig Distanz zu den typischen  ISP-Daten-Kraken aufrecht 
zu halten. Der eigene Mailserver soll eine Anhäufung von längerwährend 
gespeicherten Daten im Internet verhindern und deshalb regelmäßig die 
ISP-Postfächer vollständig leeren. Der Mailserver ist auch nicht direkt 
vom Web zu erreichen, sondern von aussen nur via OpenVPN, also immer 
noch lan-intern. Im Router sind keine Ports zum Mailserver ge'forward'ed.

In meiner Test-Umgebung waren diese Einstellungen jetzt erfolgreich:
smtpd_sender_restrictions =
     check_sender_access texthash:/etc/postfix/rules/check_sender_filter
     reject

smtpd_relay_restrictions =
     permit_mynetworks
     reject_unauth_destination

smtpd_recipient_restrictions =
     permit_mynetworks
     reject_non_fqdn_sender
     reject_non_fqdn_recipient
     reject

Für eine Absender-Prüfung in den Sender-Restrictions habe ich 
tatsächlich alle unsere Absender in so einer hash:table hinterlegt. Wer 
da nicht mit einem permit drinsteht, kann nicht senden und fliegt raus. 
Da wir ja nur 'ne handvoll Leute sind, zwar jeder mit mehreren Adressen, 
funktioniert das prima. Das gleiche Schema hat auch bei den 
Relay-Restrictions funktioniert.... aber das schien mir dann wirklich 
doppelgemoppel und ich habs wieder entfernt. Mein Problem ist, dass ich 
letztlich die Sinnhaftigkeit meiner Restrictions nicht wirklich erklären 
kann. Ich kann nur erklären, was ich gemacht habe und feststellen: es 
funktioniert, es schadet nicht.... aber nicht alles, was funktioniert 
und keinen schaden anrichtet muss zwangsläufig auch sinnvoll sein. Mir 
ist schon klar, dass man diese Restrictions nutzen kann, aber man muss 
sie nicht nutzen, es geht auch ohne. Ich weiss halt nicht einzuschätzen, 
was für so eine kleine (unsere) Anwendung/Installation tatsächlich 
sinnvoll ist und was nicht.

Ich würde mich freuen, wenn mir vielleicht jemand 'nen Schubs in die 
richtige Richtung geben könnte.

vg, Thomas