Xinux Wiki - Letzte Änderungen [de]

Postfix Tabellen Kompakt

2026-06-06T17:50:48Z

Die Seite wurde neu angelegt: „= Postfix Lookup Tables Workshop = Dieser Workshop behandelt die wichtigsten Postfix Lookup Tables. Alle Konfigurationsänderungen werden mit '''postconf -e'''…“

Neue Seite

= Postfix Lookup Tables Workshop =
Dieser Workshop behandelt die wichtigsten Postfix Lookup Tables. Alle Konfigurationsänderungen werden mit '''postconf -e''' vorgenommen.

== alias ==
* Leitet lokale Empfänger auf andere Adressen um
* Wird für Systembenutzer und lokale Weiterleitungen genutzt
* Änderungen erfordern '''newaliases''' zur Aktualisierung der Datenbank

=== Syntax ===
;Einfache Weiterleitung:
empfaenger: ziel
;Weiterleitung an mehrere Empfänger:
empfaenger: ziel1, ziel2
;Weiterleitung an externe Adresse:
empfaenger: user@extern.de
;Weiterleitung in Datei:
empfaenger: /var/mail/archiv
;Weiterleitung an Programm:
empfaenger: |/usr/local/bin/skript.sh

=== Beispiel ===
;Datei bearbeiten:
* vi /etc/aliases
<pre>
root: leroy@it2XX.int
postmaster: root
abuse: root
support: leroy@it2XX.int, martha@it2XX.int
</pre>
;Datenbank aktualisieren:
* newaliases

=== Konfiguration ===
;In main.cf eintragen:
* postconf -e "alias_maps = hash:/etc/aliases"
* postconf -e "alias_database = hash:/etc/aliases"

=== Postfix neu laden ===
* postfix reload

== canonical ==
* Schreibt Absender- und Empfängeradressen um (beide Richtungen)
* Wird für einheitliche Absenderadressen genutzt
* Betrifft sowohl eingehende als auch ausgehende Mails

=== Syntax ===
;Benutzer umschreiben:
altername neuer@it2XX.int
;Domain umschreiben:
@altedomain.int @it2XX.int

=== Beispiel ===
;Datei erstellen:
* vi /etc/postfix/canonical
<pre>
leroy leroy@it2XX.int
martha martha@it2XX.int
@old.it2XX.int @it2XX.int
</pre>
;Datenbank aktualisieren:
* postmap /etc/postfix/canonical

=== Konfiguration ===
* postconf -e "canonical_maps = hash:/etc/postfix/canonical"

=== Postfix neu laden ===
* postfix reload

== sender_canonical ==
* Schreibt ausschließlich Absenderadressen um
* Wird genutzt um interne Benutzernamen nach außen zu verschönern
* Betrifft nur den Envelope-Sender und den From-Header

=== Syntax ===
;Lokalen Benutzer umschreiben:
lokaler_user anzeigename@it2XX.int
;Domain umschreiben:
@intern.int @it2XX.int

=== Beispiel ===
;Datei erstellen:
* vi /etc/postfix/sender_canonical
<pre>
leroy leroy.meyer@it2XX.int
martha martha.schmidt@it2XX.int
</pre>
;Datenbank aktualisieren:
* postmap /etc/postfix/sender_canonical

=== Konfiguration ===
* postconf -e "sender_canonical_maps = hash:/etc/postfix/sender_canonical"

=== Postfix neu laden ===
* postfix reload

== recipient_canonical ==
* Schreibt ausschließlich Empfängeradressen um
* Wird genutzt um eingehende Adressen auf lokale Postfächer zu mappen
* Betrifft nur den Envelope-Recipient

=== Syntax ===
;Adresse umschreiben:
extern@it2XX.int intern@it2XX.int
;Domain umschreiben:
@altedomain.int @it2XX.int

=== Beispiel ===
;Datei erstellen:
* vi /etc/postfix/recipient_canonical
<pre>
l.meyer@it2XX.int leroy@it2XX.int
m.schmidt@it2XX.int martha@it2XX.int
</pre>
;Datenbank aktualisieren:
* postmap /etc/postfix/recipient_canonical

=== Konfiguration ===
* postconf -e "recipient_canonical_maps = hash:/etc/postfix/recipient_canonical"

=== Postfix neu laden ===
* postfix reload

== virtual (Virtuelle Alias-Tabelle) ==
* Ordnet E-Mail-Adressen virtuellen Mailboxen oder anderen Adressen zu
* Wird für virtuelle Domains genutzt
* Ermöglicht die Trennung von Mail-Adressen und Systembenutzern
* it2XX.int darf '''nicht''' in mydestination stehen

=== Syntax ===
;Adresse weiterleiten:
fiktive@it2XX.int real@it2XX.int
;Catch-All:
@it2XX.int real@it2XX.int

=== Beispiel ===
;Datei erstellen:
* vi /etc/postfix/virtual
<pre>
technik@it2XX.int leroy@it2XX.int
vertrieb@it2XX.int martha@it2XX.int
@it2XX.int martha@it2XX.int
</pre>
;Datenbank aktualisieren:
* postmap /etc/postfix/virtual

=== Konfiguration ===
* postconf -e "virtual_alias_maps = hash:/etc/postfix/virtual"

=== Postfix neu laden ===
* postfix reload

== virtual_mailbox (Virtuelle Mailbox-Zustellung) ==
* Stellt Mails direkt in Maildir-Verzeichnisse zu
* Kein lokaler Systembenutzer erforderlich
* Erfordert einen dedizierten vmail-Benutzer

=== Systembenutzer anlegen ===
* groupadd -g 5000 vmail
* useradd -u 5000 -g 5000 -d /var/mail vmail

=== Beispiel ===
;Datei erstellen:
* vi /etc/postfix/virtual_mailbox_maps
<pre>
leroy@it2XX.int leroy/
martha@it2XX.int martha/
</pre>
;Datenbank aktualisieren:
* postmap /etc/postfix/virtual_mailbox_maps

=== Verzeichnisse anlegen ===
* mkdir -p /var/mail/leroy/
* mkdir -p /var/mail/martha/
* chown -R vmail:vmail /var/mail/

=== Konfiguration ===
;!!!'''Wichtig'''!!! it2XX.int darf '''nicht''' in mydestination stehen:
* postconf -e "mydestination = mail.it2XX.int, localhost"
* postconf -e "virtual_mailbox_domains = it2XX.int"
* postconf -e "virtual_mailbox_base = /var/mail"
* postconf -e "virtual_mailbox_maps = hash:/etc/postfix/virtual_mailbox_maps"
* postconf -e "virtual_uid_maps = static:5000"
* postconf -e "virtual_gid_maps = static:5000"

=== Postfix neu starten ===
* systemctl restart postfix

== transport ==
* Steuert über welchen Transportweg eine Mail zugestellt wird
* Überschreibt das Standard-Routing von Postfix
* Nützlich für Split-Delivery oder Relay an bestimmte Server

=== Syntax ===
;Domain über bestimmten Transport:
domain.int smtp:[mailserver.domain.int]
;Domain lokal zustellen:
domain.int local:
;Domain verwerfen:
domain.int discard:

=== Beispiel ===
;Datei erstellen:
* vi /etc/postfix/transport
<pre>
it2XX.int smtp:[10.88.2XX.1]
extern.int smtp:[mail.extern.int]:587
wegwerf.int discard:
</pre>
;Datenbank aktualisieren:
* postmap /etc/postfix/transport

=== Konfiguration ===
* postconf -e "transport_maps = hash:/etc/postfix/transport"

=== Postfix neu laden ===
* postfix reload

== relay_domains ==
* Definiert für welche Domains Postfix als Relay agiert
* Postfix nimmt Mails für diese Domains an und leitet sie weiter
* Ohne Eintrag hier werden fremde Domains abgewiesen

=== Syntax ===
;Domain als Relay eintragen:
relay_domains = domain1.int, domain2.int
;Oder aus Datei (für viele Domains):
relay_domains = hash:/etc/postfix/relay_domains

=== Beispiel: Direkt in main.cf ===
* postconf -e "relay_domains = it2XX.int, partner.int"

=== Beispiel: Aus Datei ===
;Datei erstellen:
* vi /etc/postfix/relay_domains
<pre>
it2XX.int OK
partner.int OK
</pre>
;Datenbank aktualisieren:
* postmap /etc/postfix/relay_domains
;Konfiguration:
* postconf -e "relay_domains = hash:/etc/postfix/relay_domains"

=== Postfix neu laden ===
* postfix reload

== virtusertable ==
* Historisches Sendmail-Konzept, in Postfix als virtual_alias_maps umgesetzt
* Mappt virtuelle Benutzer auf reale Empfänger
* Funktioniert identisch zur virtual Alias-Tabelle

=== Hinweis ===
;In Postfix wird virtusertable als virtual_alias_maps konfiguriert:
* vi /etc/postfix/virtusertable
<pre>
info@it2XX.int leroy@it2XX.int
sales@it2XX.int martha@it2XX.int
@it2XX.int leroy@it2XX.int
</pre>
;Datenbank aktualisieren:
* postmap /etc/postfix/virtusertable

=== Konfiguration ===
* postconf -e "virtual_alias_maps = hash:/etc/postfix/virtusertable"

=== Postfix neu laden ===
* postfix reload

== smtpd_sender_restrictions ==
* Regelt welche Absender Mails einliefern dürfen
* Prüfung erfolgt beim MAIL FROM im SMTP-Dialog
* Regeln werden der Reihe nach abgearbeitet

=== Wichtige Restriktionen ===
{| class="wikitable"
|-
! Restriktion !! Beschreibung
|-
| permit_mynetworks || Eigene Netzwerke erlauben
|-
| permit_sasl_authenticated || Authentifizierte Benutzer erlauben
|-
| reject_unknown_sender_domain || Absender-Domain muss im DNS existieren
|-
| reject_non_fqdn_sender || Absender muss FQDN haben
|-
| reject || Alles weitere ablehnen
|}

=== Konfiguration ===
* postconf -e "smtpd_sender_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unknown_sender_domain, reject_non_fqdn_sender"

=== Postfix neu laden ===
* postfix reload

== smtpd_recipient_restrictions ==
* Regelt welche Empfänger akzeptiert werden
* Prüfung erfolgt beim RCPT TO im SMTP-Dialog
* Wichtigste Stelle zur Spam- und Relay-Kontrolle

=== Wichtige Restriktionen ===
{| class="wikitable"
|-
! Restriktion !! Beschreibung
|-
| permit_mynetworks || Eigene Netzwerke erlauben
|-
| permit_sasl_authenticated || Authentifizierte Benutzer erlauben
|-
| reject_unauth_destination || Open Relay verhindern (Pflicht!)
|-
| reject_unknown_recipient_domain || Empfänger-Domain muss im DNS existieren
|-
| reject_non_fqdn_recipient || Empfänger muss FQDN haben
|-
| check_policy_service || Externe Policy-Prüfung (z.B. SPF)
|}

=== Konfiguration ===
* postconf -e "smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination, reject_unknown_recipient_domain"

=== Postfix neu laden ===
* postfix reload

== header_checks ==
* Prüft und manipuliert Mail-Header per regulärem Ausdruck
* Kann Header hinzufügen, ersetzen, ablehnen oder verwerfen
* Wird nach der Annahme der Mail ausgeführt

=== Syntax ===
;Aktionen:
/REGEXP/ AKTION
;Aktionen: REJECT, DISCARD, WARN, HOLD, PREPEND, REPLACE, IGNORE

=== Beispiel ===
;Datei erstellen:
* vi /etc/postfix/header_checks
<pre>
/^Subject:.*SPAM.*/ DISCARD
/^X-Mailer: BadMailer.*/ REJECT Unerwünschter Mailer
/^From:.*@spamdomain\.int/ REJECT Absender gesperrt
</pre>
;'''Kein postmap''' – header_checks verwendet regexp, keine hash-Tabelle

=== Konfiguration ===
* postconf -e "header_checks = regexp:/etc/postfix/header_checks"

=== Postfix neu laden ===
* postfix reload

== body_checks ==
* Prüft den Mail-Body per regulärem Ausdruck
* Gleiche Syntax wie header_checks
* Vorsicht: Kann bei großen Mails die Performance beeinträchtigen

=== Beispiel ===
;Datei erstellen:
* vi /etc/postfix/body_checks
<pre>
/viagra/i DISCARD
/http:\/\/spamdomain\.int/ REJECT Spam-Link erkannt
/\bkasino\b/i WARN Verdächtiger Inhalt
</pre>
;'''Kein postmap''' – body_checks verwendet regexp

=== Konfiguration ===
* postconf -e "body_checks = regexp:/etc/postfix/body_checks"

=== Postfix neu laden ===
* postfix reload

== Übersicht: postmap vs. newaliases vs. regexp ==
{| class="wikitable"
|-
! Tabelle !! Befehl nach Änderung !! Format
|-
| alias || newaliases || text
|-
| canonical || postmap || hash
|-
| sender_canonical || postmap || hash
|-
| recipient_canonical || postmap || hash
|-
| virtual || postmap || hash
|-
| virtual_mailbox_maps || postmap || hash
|-
| transport || postmap || hash
|-
| relay_domains || postmap || hash
|-
| virtusertable || postmap || hash
|-
| header_checks || – (kein postmap) || regexp
|-
| body_checks || – (kein postmap) || regexp
|}

Mailserver Workshop Tabellen

2026-06-06T17:50:32Z

Spam Erkennung und spamassassin oder rspamd

2026-06-06T13:13:42Z

Auf dem Mailgateway

Rspamd 5105

2026-06-06T13:13:14Z

Thomas.will verschob die Seite Rspamd 5105 nach Rspamd Mailgateway

Neue Seite

=Der Plan=
{{#drawio:mail-gw-plan}}
=Rspamd=
*[[Einführung in Rspamd – Funktionsweise eines modernen Spamfilters auf einem MAILGATEWAY]]
=Mail Gateway Techniken=
*[[Mail Gateway Techniken]]
=Die Umsetzung=
*[[Postfix Mailgateway rspamd]]

Spam Erkennung und spamassassin oder rspamd

2026-06-06T13:12:56Z

Rspamd Mailserver

2026-06-06T13:12:19Z

Die Seite wurde neu angelegt: „*Einführung in Rspamd – Funktionsweise eines modernen Spamfilters *Rspamd Einrichten“

Neue Seite

*[[Einführung in Rspamd – Funktionsweise eines modernen Spamfilters]]
*[[Rspamd Einrichten]]

Spam Erkennung und spamassassin oder rspamd

2026-06-06T13:12:12Z

Auf dem Mailserver

Rspamd 5105

2026-06-06T13:08:29Z

Mailserver Workshop Tabellen

2026-06-06T12:13:35Z

Postfix relay domains

2026-06-06T12:10:21Z

Mail Gateway Techniken

2026-06-06T10:52:55Z

Die Seite wurde neu angelegt: „=SPF-Check (Sender Policy Framework)= *SPF legt fest welche Mailserver berechtigt sind Mails für eine Domain zu versenden. *Der Empfänger prüft beim Eingang…“

Neue Seite

=SPF-Check (Sender Policy Framework)=
*SPF legt fest welche Mailserver berechtigt sind Mails für eine Domain zu versenden.
*Der Empfänger prüft beim Eingang ob der sendende Server in der SPF-Liste der Absenderdomain steht.
*Ist der Server nicht berechtigt schlägt der SPF-Check fehl.
*SPF schützt vor Absender-Fälschung (Spoofing).

Beispiel DNS-Eintrag:
it2XX.int. IN TXT "v=spf1 mx a:mail-gw.it2XX.int ~all"

=DKIM-Validierung (DomainKeys Identified Mail)=
*DKIM signiert ausgehende Mails kryptografisch mit einem privaten Schlüssel.
*Der Empfänger prüft die Signatur anhand des öffentlichen Schlüssels im DNS.
*Wurde die Mail unterwegs verändert schlägt die Prüfung fehl.
*DKIM schützt vor Manipulation und beweist die Herkunft der Mail.

Beispiel DNS-Eintrag:
mail._domainkey.it2XX.int. IN TXT "v=DKIM1; k=rsa; p=MIIBIjAN..."

=DMARC-Policy=
*DMARC verbindet SPF und DKIM und legt fest was bei Fehlschlag passiert.
*Der Domaininhaber definiert eine Policy: none, quarantine oder reject.
*DMARC ermöglicht außerdem Reporting – der Empfänger schickt Berichte zurück.
*DMARC schützt vor Phishing und gibt dem Domaininhaber Kontrolle über seine Domain.

Beispiel DNS-Eintrag:
_dmarc.it2XX.int. IN TXT "v=DMARC1; p=none; rua=mailto:postmaster@it2XX.int"

=Spam-Erkennung=
*Rspamd analysiert den Inhalt jeder Mail anhand heuristischer Regeln.
*Typische Spam-Merkmale sind bestimmte Wörter, Phrasen, Formatierungen oder fehlende Header.
*Der GTUBE-String ist ein standardisierter Teststring um Spam-Erkennung zu prüfen.
*Jede Regel gibt Punkte – der Gesamtscore entscheidet über die Aktion.

GTUBE-Teststring:
XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X

=URL-Analyse=
*Rspamd prüft alle Links in einer Mail gegen bekannte Blacklists.
*Schädliche, phishing-verdächtige oder irreführende URLs erhöhen den Score.
*Auch verkürzte URLs oder Weiterleitungen werden analysiert.

=RBL-Abfragen (Real-Time Blackhole Lists)=
*RBLs sind öffentliche Datenbanken mit bekannten Spam-IPs und -Domains.
*Rspamd fragt diese Listen in Echtzeit ab wenn eine Mail eingeht.
*Ist die Absender-IP auf einer RBL gelistet erhöht sich der Score deutlich.
*Bekannte RBLs sind z.B. Spamhaus, SORBS oder Barracuda.

=Attachment-Prüfung (ClamAV)=
*ClamAV ist ein Open-Source Virenscanner.
*Rspamd übergibt jeden Anhang an ClamAV zur Prüfung.
*Erkennt ClamAV einen Virus wird das Symbol CLAM_VIRUS gesetzt und die Mail abgelehnt.
*Der EICAR-String ist ein standardisierter Teststring um Virenscanner zu prüfen.

EICAR-Teststring:
X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

Einführung in Rspamd – Funktionsweise eines modernen Spamfilters auf einem MAILGATEWAY

2026-06-06T10:50:50Z

Wie Rspamd eine Mail bewertet

Rspamd 5105

2026-06-06T10:47:52Z

Datei:Mail-gw-plan.drawio.png

2026-06-06T10:46:40Z

Thomas.will lud Datei:Mail-gw-plan.drawio.png hoch

Neue Seite

Rspamd 5105

2026-06-06T10:44:34Z

Schulung

Einführung in Rspamd – Funktionsweise eines modernen Spamfilters auf einem MAILGATEWAY

2026-06-06T10:41:00Z

Die Seite wurde neu angelegt: „==Was ist Rspamd== *Rspamd ist ein moderner Spam- und Malware-Filter für E-Mail-Systeme. *Er analysiert jede eingehende E-Mail und berechnet einen Score, der…“

Neue Seite

==Was ist Rspamd==
*Rspamd ist ein moderner Spam- und Malware-Filter für E-Mail-Systeme.
*Er analysiert jede eingehende E-Mail und berechnet einen Score, der bestimmt ob eine Nachricht legitim (HAM) oder unerwünscht (SPAM) ist.
*Rspamd ist der Nachfolger von SpamAssassin und arbeitet wesentlich schneller und präziser.

==Position im Mailsystem==
;Ablauf einer E-Mail in unserem Lab:
*Internet → Postfix (mail-gw) → Rspamd → Postfix (mail-gw) → Postfix (mail) → Dovecot → Benutzer

*Postfix auf dem Gateway nimmt die Mail an.
*Rspamd bewertet die Mail und liefert ein Ergebnis zurück.
*Postfix entscheidet anhand dieser Bewertung ob die Mail weitergeleitet oder abgelehnt wird.

==Wie Rspamd eine Mail bewertet==
Rspamd nutzt viele unterschiedliche Module um eine E-Mail zu beurteilen. Jeder Check gibt Punkte (positiv = Spam, negativ = Ham). Der Gesamtscore entscheidet über die Aktion.

Typische Bewertungsmechanismen:
*SPF-Check (Sender Policy Framework)
*DKIM-Validierung (digitale Signatur)
*DMARC-Policy
*URL-Analyse (schädliche Links)
*Text- und Musteranalyse
*RBL-Abfragen (Real-Time Blackhole Lists)
*Attachment-Prüfung (ClamAV)

==Score und Aktionen==
;Aktionsdefinition auf dem Gateway:
*Score < 6 → Ham (weiterleiten an mail.it2XX.int)
*Score 6–15 → Suspect (Header setzen, trotzdem weiterleiten)
*Score > 15 → Reject (ablehnen – Absender bekommt einen Bounce)

;Wichtig:
Auf dem Gateway gibt es kein Junk-Verschieben. Rspamd hat keinen Zugriff auf Dovecot. Eine Mail wird entweder weitergeleitet oder abgelehnt.

==Wie Rspamd mit Postfix kommuniziert==
Rspamd läuft als Milter. Postfix stellt für jede Mail Fragen:

*„Ist die Mail vertrauenswürdig?"
*„Soll ich sie weiterleiten oder ablehnen?"

Rspamd antwortet mit Score, Aktion und Symbolen (z.B. GTUBE, CLAM_VIRUS, R_SPF_FAIL).

==Symbole ansehen==
;So sieht man warum eine Mail abgelehnt wurde:
*rspamc symbols < mail.eml

Rspamd 5105

2026-06-06T10:40:52Z

Schulung

Einführung in Rspamd – Funktionsweise eines modernen Spamfilters

2026-06-06T10:38:50Z

Position im Mailsystem

Postfix Mailgateway

2026-06-06T10:33:41Z

Postfix Mailgateway rspamd

2026-06-06T10:32:52Z

Postfix Mailgateway spamassasin/amavis

2026-06-05T13:26:45Z

Amavis konfigurieren

← Nächstältere Version		Version vom 6. Juni 2026, 17:50 Uhr
Zeile 11:		Zeile 11:
	*[[postfix header_checks]]		*[[postfix header_checks]]
	*[[postfix body_checks]]		*[[postfix body_checks]]
		+	*[[Postfix Tabellen Kompakt]]

@@ Zeile 1: / Zeile 1: @@
 =Auf dem Mailgateway=
 *[[Rspamd Mailgateway]]
 =Auf dem Mailserver=
 *[[Rspamd Mailserver]]

@@ Zeile 1: / Zeile 1: @@
 =Auf dem Mailgateway=
 *[[Rspamd 5105|Rspamd]]
 =Auf dem Mailserver=
 *[[Rspamd Mailserver]]

← Nächstältere Version		Version vom 6. Juni 2026, 13:12 Uhr
(5 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1:		Zeile 1:
−	*[[Spamassassin]]	+	=Auf dem Mailgateway=
	*[[Rspamd 5105\|Rspamd]]		*[[Rspamd 5105\|Rspamd]]
		+	=Auf dem Mailserver=
		+	*[[Rspamd Mailserver]]

← Nächstältere Version		Version vom 6. Juni 2026, 13:08 Uhr
Zeile 7:		Zeile 7:
	=Die Umsetzung=		=Die Umsetzung=
	*[[Postfix Mailgateway rspamd]]		*[[Postfix Mailgateway rspamd]]
−	~~<!---~~
−	*[[Einführung in Rspamd – Funktionsweise eines modernen Spamfilters]]
−	*[[Rspamd Einrichten]]
−	~~--->~~

@@ Zeile 3: / Zeile 3: @@
 *[[postfix transport]]
 *[[postfix relay_domains]]
 *[[postfix canonical]]
 *[[postfix sender_canonical]]

← Nächstältere Version		Version vom 6. Juni 2026, 12:10 Uhr
Zeile 26:		Zeile 26:
	;Konfiguration aktivieren:		;Konfiguration aktivieren:
	*postfix reload		*postfix reload
		+
		+	== Backscatter-Spam ==
		+	* Unerwünschtes Nebenprodukt von Spam-Wellen mit gefälschten Absenderadressen
		+	* Ablauf: Ein Spammer verschickt Mails mit gefälschtem Absender (z. B. opfer@example.com) → Postfix nimmt die Mail an → stellt fest, dass der Empfänger nicht existiert → schickt eine Unzustellbarkeits-Benachrichtigung (NDR/Bounce) zurück → das Bounce geht an den gefälschten Absender
		+	* Das Opfer erhält massenhaft Fehlermeldungen für Mails, die es nie verschickt hat
		+	* Der eigene Mailserver landet dadurch auf Blacklists
		+
		+	=== Warum relay_domains besonders anfällig ist ===
		+	* Postfix arbeitet bei Relay-Mails in zwei Phasen:
		+	;Phase 1 – SMTP-Session: Mail wird angenommen, kein Empfänger-Check
		+	;Phase 2 – Queue-Verarbeitung: Weiterleitung schlägt fehl → Bounce an den (gefälschten) Absender
		+	* Ohne relay_recipient_maps akzeptiert Postfix in Phase 1 jede beliebige Empfängeradresse der Relay-Domain – auch nicht existierende
		+
		+	=== Lösung: relay_recipient_maps ===
		+	* Der Empfänger-Check findet bereits in Phase 1 (SMTP-Session) statt
		+	* Bei unbekannter Adresse antwortet Postfix sofort mit <code>550 User unknown</code> direkt an den sendenden Server
		+	* Es wird keine Bounce-Mail erzeugt – kein Backscatter
		+
		+	;Drei gängige Varianten:
		+
		+	;1. Statische Hash-Tabelle:
		+	* Alle gültigen Adressen werden manuell gepflegt
		+	* Geeignet für kleine Umgebungen und Lab-Setups
		+	<pre>
		+	benutzer1@example.com OK
		+	benutzer2@example.com OK
		+	</pre>
		+	*postmap /etc/postfix/relay_recipients
		+	relay_recipient_maps = hash:/etc/postfix/relay_recipients
		+
		+	;2. LDAP/AD-Abfrage:
		+	* Postfix fragt direkt beim Active Directory oder LDAP-Server nach
		+	* Pflegt sich selbst bei Personaländerungen – empfohlen für Umgebungen mit Exchange
		+	relay_recipient_maps = ldap:/etc/postfix/ldap-relay-recipients.cf
		+
		+	;3. Callout-Verification:
		+	* Postfix fragt den Zielserver (z. B. Exchange) per SMTP, ob die Adresse existiert
		+	* Kein extra Mapping nötig
		+	* Voraussetzung: Der Zielserver muss ungültige Adressen mit 550 ablehnen
		+	smtpd_recipient_restrictions = reject_unverified_recipient
		+
		+	{{Hinweis\|Im Lab-Setup mit wenigen fiktiven Adressen ist die statische Hash-Tabelle ausreichend. In der Praxis mit Exchange oder großen Umgebungen ist die LDAP-Abfrage die wartungsfreundlichste Lösung.}}

@@ Zeile 19: / Zeile 19: @@
 *DKIM-Validierung (digitale Signatur)
 *DMARC-Policy
 *URL-Analyse (schädliche Links)
 *Text- und Musteranalyse

@@ Zeile 3: / Zeile 3: @@
 =Rspamd=
 *[[Einführung in Rspamd – Funktionsweise eines modernen Spamfilters auf einem MAILGATEWAY]]
 =Die Umsetzung=
 *[[Postfix Mailgateway rspamd]]

@@ Zeile 1: / Zeile 1: @@
-=Schulung=
+=Der Plan=
 *[[Einführung in Rspamd – Funktionsweise eines modernen Spamfilters auf einem MAILGATEWAY]]
+=Die Umsetzung=
 <!---
 *[[Einführung in Rspamd – Funktionsweise eines modernen Spamfilters]]
 *[[Rspamd Einrichten]]
 --->

@@ Zeile 6: / Zeile 6: @@
 ==Position im Mailsystem==
 ;Typischer Ablauf einer E-Mail:
-*Internet → Postfix → Rspamd → Postfix → Dovecot → Benutzer
+*Internet → Postfix (mail-gw) → Rspamd → Dovecot → Benutzer
 *Postfix nimmt die Mail an.

← Nächstältere Version		Version vom 6. Juni 2026, 10:33 Uhr
Zeile 1:		Zeile 1:
	*[[Postfix Mailgateway rspamd]]		*[[Postfix Mailgateway rspamd]]
−	*[[Postfix Mailgateway spamassasin/amavis]]

@@ Zeile 110: / Zeile 110: @@
 smtpd_relay_restrictions = permit_mynetworks defer_unauth_destination
 </syntaxhighlight>
 ===Mailrouting===
@@ Zeile 119: / Zeile 122: @@
 * echo "it2XX.int  smtp:[mail.it2XX.int]:25" > /etc/postfix/transport
 * postmap /etc/postfix/transport
-* postfix reload
+* systemctl start postfix
 ==Rspamd und ClamAV==
@@ Zeile 165: / Zeile 168: @@
 ===ClamAV-Anbindung===
 ;Rspamd Antivirus-Modul konfigurieren
 * vi /etc/rspamd/override.d/antivirus.conf
@@ Zeile 202: / Zeile 190: @@
 ;Der Public Key wird später in den DNS eingetragen – daher zuerst hier erzeugen
 * mkdir -p /var/lib/rspamd/dkim
-* rspamadm dkim_keygen -s mail -d it2XX.int -k /var/lib/rspamd/dkim/it2XX.int.mail.key > /var/lib/rspamd/dkim/it2XX.int.mail.pub
+* rspamadm dkim_keygen -s mail -d it2XX.int -k /var/lib/rspamd/dkim/mail.key > /var/lib/rspamd/dkim/mail.pub
 * chown -R _rspamd:_rspamd /var/lib/rspamd/dkim
@@ Zeile 211: / Zeile 199: @@
 domain {
      it2XX.int {
-         path = "/var/lib/rspamd/dkim/it2XX.int.mail.key";
+         path = "/var/lib/rspamd/dkim/mail.key";
          selector = "mail";
+     }
@@ Zeile 220: / Zeile 208: @@
 ;Public Key für den DNS auslesen
-* cat /var/lib/rspamd/dkim/it2XX.int.mail.pub
+* cat /var/lib/rspamd/dkim/mail.pub
 Der Inhalt sieht etwa so aus:
@@ Zeile 266: / Zeile 254: @@
 ;Public Key vom mail-gw auslesen und in die Zonendatei kopieren
 Den folgenden Befehl auf '''mail-gw.it2XX.int''' ausführen und die Ausgabe kopieren:
-* cat /var/lib/rspamd/dkim/it2XX.int.mail.pub
+* cat /var/lib/rspamd/dkim/mail.pub
 ;Den ausgegebenen Eintrag in die Zonendatei eintragen
@@ Zeile 313: / Zeile 301: @@
 ;mynetworks um mail-gw erweitern
-* vi /etc/postfix/main.cf
+*postconf -e "mynetworks = 127.0.0.0/8 10.88.2XX.49/32"
-<syntaxhighlight lang="bash">
+*postconf -e "relayhost = [mail-gw.it2XX.int]:25"
-mynetworks = 127.0.0.0/8 10.88.2XX.49/32
+*postfix reload
 ;Prüfen – von außen darf kein direkter Zugriff mehr möglich sein
@@ Zeile 325: / Zeile 309: @@
 =Test=
 ==Testmail senden==
 ;Einfache Testmail über den Gateway schicken
@@ Zeile 331: / Zeile 322: @@
 ==DKIM prüfen==
 ;DKIM-Header in der Antwort prüfen
-* swaks --to martha@it2XX.int --from test@it2XX.int --server mail-gw.it2XX.int | grep DKIM
+*cat /home/martha/Maildir/new/* | grep -i dkim
 ==Logs==
 ;Postfix und Rspamd live beobachten
 * journalctl -u postfix -f
-* journalctl -u rspamd -f
+* tail -f /var/log/rspamd/rspamd.log
 ==GTUBE Spam-Test==
 ;Standardisierte Spam-Testmail senden
-* swaks --to martha@it2XX.int --server mail-gw.it2XX.int --body "XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X"
+* swaks --to martha@it2XX.int --server mail-gw.it2XX.int --body 'XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X'
 ==EICAR Virus-Test==
 ;Testmail mit EICAR-Anhang durch Rspamd scannen
-* rspamc --ip 1.2.3.4 /tmp/virus.eml
+*curl -o /tmp/eicar.com https://secure.eicar.org/eicar.com
 =Ports und Dienste=

@@ Zeile 57: / Zeile 57: @@
 * apt install postfix
 * no configuration
 ===Konfiguration===
 ;Wichtige Parameter im Überblick
@@ Zeile 73: / Zeile 72: @@
 | <code>smtpd_relay_restrictions</code> || Verhindert Missbrauch als Open Relay
 |}
+;Mailname setzen
 ;Konfigurationsdatei anlegen
 * vi /etc/postfix/main.cf
@@ Zeile 136: / Zeile 136: @@
 ;Den amavis-User zur clamav-Gruppe hinzufügen
 * adduser amavis clamav
 ;ClamAV-Daemon konfigurieren
 * vi /etc/clamav/clamd.conf
@@ Zeile 153: / Zeile 155: @@
 use strict;
 @bypass_virus_checks_maps = (
-   \%bypass_virus_checks, \@bypass_virus_checks_acl, \$bypass_virus_checks_re);
+%bypass_virus_checks, @bypass_virus_checks_acl, $bypass_virus_checks_re);
 @bypass_spam_checks_maps = (
-   \%bypass_spam_checks, \@bypass_spam_checks_acl, \$bypass_spam_checks_re);
+%bypass_spam_checks, @bypass_spam_checks_acl, $bypass_spam_checks_re);
 ;
 </syntaxhighlight>
@@ Zeile 164: / Zeile 166: @@
 ===Einbinden in Postfix===
 ;Postfix übergibt Mails an Amavis und nimmt sie gefiltert zurück
-* vi /etc/postfix/main.cf
+*postconf -e "content_filter = smtp-amavis:[127.0.0.1]:10024"
-<syntaxhighlight lang="bash">
 ;In master.cf den Rückgabe-Transport eintragen
@@ Zeile 176: / Zeile 175: @@
      -o smtp_data_done_timeout=1200
      -o smtp_send_xforward_command=yes
-     -o disable_dns_lookups=yes
+     -o smtp_dns_support_level=disabled
      -o max_use=20
@@ Zeile 297: / Zeile 296: @@
 Zusätzlich kommen SPF, DKIM und DMARC neu dazu.
 Am Ende muss die Zone neu signiert werden (DNSSEC).
 ==MX-Record==