Postfix(8)

2008/11/29(土) 19:18:18
Postfixスレッド その7です。

●リンク
　本家
　http://www.postfix.org/

　Postfix のぺーじ (ドキュメントの日本語訳、MLなど)
　http://www.kobitosan.net/postfix/

過去スレ、関連スレなどは>>2-4あたり
2009/09/10(木) 22:55:36
>>280
あーこの設定は極めてまずいところが有るな
286280
垢版 |
2009/09/10(木) 23:13:16
smtp_mx_session_limit=0(無制限)ですかね？
他のサイトを参考にしたんですが、やはり明示的に上限を決めておいた方がいいのでしょうか。
2009/09/10(木) 23:16:54
そりゃそうでしょ
無制限に接続を受け付けてメモリ不足スワップ発生
スラッシング発生になったほうがよっぽど処理速度が落ちる
よっぽどでかいサイトでもない限り10や20も受け付けときゃ十分だ
SMTPには再送の機構が最初からあるんだから
288280
垢版 |
2009/09/10(木) 23:34:10
ですね。突っ込みどうもでした。
2009/09/10(木) 23:43:19
プロセス使い切るというと、SPAM対策でtarpittingなんてしていると、あっという間に
プロセス使い切っちゃうねい。まあ、ttp://k2net.hakuba.jp/targrey/ のパッチ
当てればいいんだけど、最近のSPAMってtarpittingしていてもいなくても、
あまり差が出てこないような気もするし、もうtarpittingはやめちゃっていいのかも。
2009/09/11(金) 11:19:27
>>289
tarpitしてもプロセス数の増加はせいぜい3倍くらいだったよ。
もちろんパッチ当てたほうがいいと思うけどね。
あとtarpit掛ける時間が現状にマッチしてるかも大事。
大手botnetが時々待ち時間変更してくるからそれが抜けない時間を設定。
今なら90秒くらいか。
2009/09/11(金) 14:47:33
素直に台数増やせば？
んな大量のリクエストてアドレス数も多いと思うけど
担当がこんなのだと、そうでも無いんかな
2009/09/11(金) 18:56:39
291はたぶんバカ
2009/09/11(金) 21:43:31
ばかにされてしまった
postfixを5年ほど10台くらいで運用してるけど、spam受信が100埋まる事無いです
tarpitは90秒ですよねぇ
よっぽどあれなサービスか？とか勘ぐってるんだけど
もしくはその接続はspamじゃないとか
2009/09/11(金) 22:18:54
送信者の方かもな
2009/09/12(土) 01:32:25
>>293
いや、最近Brute force attackみたいに1秒間に1000セッションとか張ってくる
いやーんな感じのがはやっているの。

以前だったら、全然問題無かったけど最近他のスレでも話題になったよ。
2009/09/12(土) 03:11:41
んな接続に耐えられるサービスって少ない様な・・
メールを送るのでは無くて、純粋に攻撃なのでわｗｗ
受け取る必要無いだろうから、ファイアーウォールで弾くのがはやそう
2009/09/12(土) 08:02:33
知りもしないのに291みたいなこと言うから馬鹿扱いされるっていうのが
まだ理解できていないのか、こいつ。
2009/09/12(土) 08:28:41
>>295
>いや、最近Brute force attackみたいに1秒間に1000セッションとか張ってくる
>いやーんな感じのがはやっているの。

IP晒してくれ
2009/09/12(土) 09:03:03
ファイアウォールではじくとか、IP晒すとか言い出すのって、botnetを知らないのかな。
2009/09/12(土) 09:15:56
知ってればそんな考えは出ないだろｗ
2009/09/12(土) 09:20:23
287=291=293=294=296=ただのシッタカか。
2009/09/12(土) 11:11:04
botnetだろうが何だろうがそんな奴はFWで弾くだろ、JK
2009/09/12(土) 12:10:14
>>302
どんな種類のFWで、どのような方法で弾くのか教えてください。
2009/09/12(土) 12:30:23
iptablesのlimitとかconnlimitでいいんじゃね。Linuxしか知らないけど。
2009/09/12(土) 12:34:28
つーか普通にIPアドレス指定して接続拒否させればいいだけじゃ。
2009/09/12(土) 12:49:00
>>303
もうやめとけ。
アホを相手にしても無駄にスレが伸びるだけ。
2009/09/12(土) 13:33:52
ボットネットは判るし、最近のスパムは主にcnやroから来るのも判る
jp以外からの接続は次のMXに任せればいーがね
つか、そうやってるぞ

あ、291,293,296 ね
他は別の人です
2009/09/12(土) 14:55:32
>>307
書けば書くほど自分の知識と経験の無さを宣伝している
事に何故気がつかない？

もう少し色々と経験して自分の頭で考えた方が良いよ。
2009/09/12(土) 15:59:11
>>304-305
DDoSのなにが大変なのかお勉強して出直してくること。
2009/09/12(土) 16:00:06
>>307
1行目の時点でお前が何もわかっていないということはわかる。
2009/09/12(土) 18:49:15
Postfixのお話しましょう
312307
垢版 |
2009/09/12(土) 20:02:12
>>308 >>310
心配なので具体的に何が違うのか指摘して欲しいです
もしくは最近流行りとやらのDOS的事例を参照するためのヒント
2009/09/12(土) 20:23:00
たしかにsshのはひどいな
2009/09/12(土) 20:43:56
>>313
突然auth関連のログが1.5MBとかになっていて、何事かと思ったら
sshだったりするものねい。かつてに比べて、1回のアタックあたりの
試行回数が増えていて、本当にうざい。一昨日は15000回ぐらいやられてた。
2009/09/12(土) 21:17:30
>313-314
それこそ
>304
>iptablesのlimitとかconnlimitでいいんじゃね。Linuxしか知らないけど。
の出番だろ
2009/09/12(土) 21:24:10
>>312
>>309はちゃんと「DDoS」と書いてくれてるのに、それを勝手にDOSと
書き換えるような不注意さ、調べる気の無さが問題かな。
2009/09/12(土) 22:04:03
知ってればそんな書き間違えはないだろｗ
2009/09/12(土) 23:49:56
http://ja.wikipedia.org/wiki/DoS%E6%94%BB%E6%92%83#DDoS.E6.94.BB.E6.92.83
2009/09/13(日) 00:15:07
http://ja.wikipedia.org/wiki/%E3%83%9C%E3%83%83%E3%83%88%E3%83%8D%E3%83%83%E3%83%88
2009/09/13(日) 02:05:30
バカとか知識不足とか煽るくらいなら書き込まなきゃいいじゃん。
2009/09/13(日) 05:17:56
　　　　　ま　っ　た　り
　　　 　 ∧,,∧　∧,,∧
　　 ∧,,(´-ω-)(-ω-｀)∧,,∧
　　( ´-ω)旦o) (o旦o(ω-｀ )
　　(_　 o[(　 ´-)　(-｀ 　)]o _)
　 └'ー-（_　　 )][( 　　_)ー'┘
　　 　　　'ー'^ー' 　 'ー'^ー'
322307
垢版 |
2009/09/14(月) 00:36:34
まったりしている所を掘り返してごめん
>>316
ごめんなさい。携帯からだったので打つのが面倒でDOSと略しちゃった。
この文意の中だったら意味伝わるかなと。。申し訳ない。
んじゃぁ、結局私が提示した

・必要な通信とあらかた不要な通信を分離してサービスレベルを分ける
・全部取得する必要があるならサーバー台数を増やす

という対処法に間違いは無いで宜しいでしょうか？
必要な通信の定義がサービスによって違うと思いますが、うちではとりあえず
http://www.nic.ad.jp/ja/dns/ap-addr-block.html
ここのIPアドレスとhotmailやgmail等の海外メジャーメールサービスをプライマリMXに。他をセカンダリ以下のMXで受けてます。
2009/09/14(月) 00:45:42
　　　　　ま　っ　た　り
　　　 　 ∧,,∧　∧,,∧
　　 ∧,,(´-ω-)(-ω-｀)∧,,∧
　　( ´-ω)旦o) (o旦o(ω-｀ )
　　(_　 o[(　 ´-)　(-｀ 　)]o _)
　 └'ー-（_　　 )][( 　　_)ー'┘
　　 　　　'ー'^ー' 　 'ー'^ー'
2009/09/14(月) 00:49:00
SPAMmerやbotnetがまじめにMX見ると思ってるのか
2009/09/14(月) 01:07:39
なんで粘着してまで無知な自分が正しいんだと言い張るんだろう?
そんな時間があるのなら、お勉強すればいいのに。
2009/09/14(月) 01:18:17
　　　　　　　　　　　　＿＿＿＿
　　　　　　　　　__,,／　　_, ----｀ヽ　　：.
　　　　　：. 　／　_　　　　　___　　　､＼
　　　　　　 / ／　　　i　　　 　 ＼ 　 ＼＼　：.
　　 　 ：.　,'./ 　 　 　 i　　ヽ:.　 　ヽ:.:..　ヽ.ヽ
　　　　　 ,'/　　　 / .ハ ヽ　ヽ:.:.:.:.　ヽ::..　ヽヽ　：.
　 　 　：. |i .i　i　 .i /　 ヽ ﾄ ､ ＼､:.:.:. ',:.',:.:.lヽ}
　 　 　 　|i .i　l 　:Ｎ＿, -弋　＼弌弋ナ:}:.:}
　　　　：. |i∧ ',　:{　,ｨjモﾄ　＼　 ｲjミﾄｲｲＶ　：.　　な…
　　 　 　 .|　 :ﾒヽ.', `ozＺ} 　 　　 izN｡ﾊ::{　　　　　なんなんですか？
　 　 　 ：. |　 :ヾ_! ゝ　"ﾞﾞ　　　 ' 　｀ﾞ ハ.:',　：.　　　ここ、どこですか？
　　　　　　|　 :.:_ｲ .:.ヽ. 　　(二ﾌ　, ｲ :.:.:!:.ヽ　　　　　どうして私
　　　：.　 / rｨｲ |　:.:.ヽ: ＞r／｀＜ノ .:.::.}ヽ､＼：.　　　よばれたんですか？…
　　　 　 / ∧l;l　!　:.:.:.:/／{二￣ .} ..:..::ﾘ//ハ.:＼
　：.　 ／　.{. ',ヾ､ヽi .:.:.{ ／(^｀　　|.:.:.:./／: : :.}: . ヽ.：.
　　 /　/　 ） ヽ ヾ､ヽ:.ﾊ　ﾔ{　　 ∧／.-‐'": : |:.:.　i ',
　 ./ .,ｲ　.:..}　: :＼ヾレ'ﾊ　∧__ノﾉﾊヾ､　 : : : l:.:.: .ﾊ ',
　 { /｜ .:.:ﾊ　: : :i Ｙ {ヾ｀Ｙヽﾆン'ノ}: : } : : : :/:.:.:/　}:.}
　 Ｖ　| .:.:/:.:|_,ｨ'￣　 ヽ三{　｀ー-ノ : ｲ : : :/:.:i.:{　　リ
　　　 ヽ:.:{､.:.Ｖ　　　　 : : ﾍ　　　　 : : {: : :/:.::∧|
　　　　 ヽ! ）人　　　　: : :人　 　 　 : : : / ＼!　：.
　　　　　　"　 ヽ　: : : : :/イ{　　　　　:.ノ: : : :.＼　：.
　　　　　　　：.　 ＼__／//: :＼______／: : : : : : : ヽ
　　　　　　　　　　　/　//: : :|;|: : : : : : i: : : __: : : : ',
　　　　 　 ：. 　 　 / ､ {;{　　 |;|　　　. : i／. : : : : : :|
327307
垢版 |
2009/09/14(月) 01:30:57
>>324
OpenRelay期待のボットが秒間１０００接続来てるんですか？
そら困るなぁ
突破して欲しい海外サーバーの為の仕込みなので、botがMXを見る事は期待していません。

>>325
ごめんよー。
何故煽られているのか判らないので不安なのよ。
つーても、そろそろスパマーに手の内明かされそうなのでやめよかなと。
2009/09/14(月) 01:41:20
まったり(AAry
2009/09/14(月) 02:04:05
>>327
消えろバカ
2009/09/14(月) 06:56:23
>>327
>>322
>http://www.nic.ad.jp/ja/dns/ap-addr-block.html
>ここのIPアドレスとhotmailやgmail等の海外メジャーメールサービスをプライマリMXに。他をセカンダリ以下のMXで受けてます。

>>327
>突破して欲しい海外サーバーの為の仕込みなので、botがMXを見る事は期待していません。

意味が判らん。
2009/09/14(月) 09:12:39
えむえっくす って何だと思ってるんだろうね

ま いっか
2009/09/14(月) 09:21:00
>つーても、そろそろスパマーに手の内明かされそうなのでやめよかなと。

意味が判らん。
2009/09/14(月) 09:23:48
日本語が不自由なんだな

きっと頭も不自由なんだろうな
2009/09/14(月) 11:54:01
うちにも例のたくさんセッション張ってくるスパムが来てるんだけど
同一IPからの同時接続数制限にひっかかってそれほど問題にはなってない。
なんでそんなに問題になってるの？
2009/09/14(月) 11:55:25
>>322
国内とかメジャーなフリーメールのところはプライマリで受けて
それ以外からはセカンダリから受けるってなんか良いことあるの？
プライマリにばっかり負荷増やしたくないってことなのかな？
2009/09/14(月) 12:35:31
>>334
botnet使ってDDoS的にやってくるものも出てきたから。

最近はbotnetからのspamでも再送してきてgreylistingが無意味になるものも
増えてきているし、対策が本当に面倒。
2009/09/14(月) 13:01:23
　　　　　ま　っ　た　り
　　　 　 ∧,,∧　∧,,∧
　　 ∧,,(´-ω-)(-ω-｀)∧,,∧
　　( ´-ω)旦o) (o旦o(ω-｀ )
　　(_　 o[(　 ´-)　(-｀ 　)]o _)
　 └'ー-（_　　 )][( 　　_)ー'┘
　　 　　　'ー'^ー' 　 'ー'^ー'
2009/09/14(月) 15:40:23
>>336
あー、一般的な話じゃなくって>>275の問題に関して。
例のたくさんセッション張ってくるやつって同一IPからどばどば張ってこない？
それについてはsmtpd_client_connection_count_limitの制限きつくすりゃいいだけでは
と思ったんだけども、それじゃうまくいかない問題なのかなあと。
2009/09/14(月) 19:28:35
>>338
smtpd_client_connection_count_limit でも受け取らないだけで
プロセスは立ち上がってしまうから、DoS 攻撃じみたものだと
上限まで使われてしまうわけだが。

私の環境では iptables の 何とか limit のレベル(L3)で、
落とさないと駄目でした。
2009/09/14(月) 22:08:28
え、ほんと！？
速攻で接続切れるんだから大丈夫じゃない？？
実際、うちとこでは問題出てないんだが。
ちょっと他の人の状況も聞きたいところ。
341307
垢版 |
2009/09/15(火) 00:24:51
spammerもメールを送れないと意味が無いから、件の現象はbotの暴走だと思うんだけどねぇ
結局一次情報元出て来ないし。。

>>335
おえらい 332や333が利点もしくは、意味の無い点を解説してくれるよ！くれるよ！ｗｗ
2009/09/15(火) 00:25:49
キチガイ粘着中
2009/09/15(火) 00:34:54
しったか -> 一撃論破 -> 発狂 -> 粘着のパターンだな。
2009/09/15(火) 00:39:28
>>307
2009/09/15(火) 00:42:53
Unix板もID出るようにならねえかなあ・・・
346307
垢版 |
2009/09/15(火) 00:43:35
ですねぇ
どう見ても一人でした。。
2009/09/15(火) 01:08:52
自分の敵は一人だという被害妄想
348名無しさん＠お腹いっぱい。
垢版 |
2009/09/15(火) 03:33:35
mynetworksをhashで指定したいと思うのですが
キーはIPアドレスとして
値は何でもいいのでしょうか？
意味がないなら値を書かなくてもいいんじゃないかと思うのですが
それだと問題あるのでしょうか？
2009/09/15(火) 07:19:48
問題あるというか、動かないんじゃない？
マニュアルにあるとおり、type:table パターンで書くこと
http://www.postfix-jp.info/trans-2.3/jhtml/DATABASE_README.html

左辺だけしか評価しないから右辺は何かいてもいいよ。
192.168.0.1 OK
とか書くのがわかりやすくていいんじゃないの。
NGとか書いて他の人を混乱させてもいいけどｗ
2009/09/15(火) 10:27:47
127.0.0.1  REJECT
2009/09/15(火) 13:17:44
>>349
ありがとうございました
2009/09/15(火) 13:59:59
smtpdのゾンビが大量に発生してしまうんですが、こういう場合
どうやって対処したらいいんでしょう？
徐々に増えていっちゃうんですが・・・
CentOS5.3＋2.3.3-2.el5です。
2009/09/15(火) 14:28:24
>>352
netstat するとどうなっているの？
2009/09/15(火) 16:11:06
qmailはもう古いらしいからpostfix+dovecot+mysql入れてみたけど
バーチャルドメイン関係の足回りぜんぜん整ってないね
procmail使えないからspamassasin噛ますのも一苦労したよ
qmail+vpopmailに慣れちゃってるからかもしれないけど、いろいろと情報量少ないね
2009/09/15(火) 16:14:59
流儀の違いもあるかもよ。
例えばspamassassinの噛まし方は、今ならspamass-milter使うとか。
qmailじゃこういうこと出来ないでしょ。
2009/09/15(火) 17:36:02
qmailの最新版って2002年くらいだよね
クラックされないか心配なんだけど
2009/09/15(火) 17:36:58
ふむふむふむ
spamass-milterとmilter-manager入れて
smtpd_milters = unix:/var/run/milter-manager/milter-manager.sock　で渡せばいいんですな
明日ちっとやってみます
2009/09/15(火) 17:38:18
qmailは思想がよかったが、実装はいまいちだった。
2009/09/15(火) 18:14:19
>>354
>procmail使えないからspamassasin噛ますのも一苦労したよ

milter に対応する前のバージョンの postfix でも
amavisd + spamd(spamassassin) でいけるはずだが？
2009/09/15(火) 19:57:36
AMaViSのクソっぷりは異常
自分自身では大したことも出来ない癖に、どんだけ？って程にメモリ食い
どうしてもっとClamSMTPのようにシンプルに、spamassassinとclamavを通すだけの
プロキシとして実装しなかったのか？ しかも何故Perl？ 未だに理解出来ん

つか、Milter使う位ならProxSMTP使ってやった方が100倍マシ
Milterなんてsendmail使う時に嫌々使う物であって、自発的に使う物じゃないよ
2009/09/15(火) 20:16:55
spamassassinも糞だから
2009/09/15(火) 20:18:11
spampd があるじゃん。
重いけどね。
2009/09/15(火) 20:20:06
>>360
milterって万一milterが止まってた場合フィルタ動作はskipしてメールだけは通してくれるよね？
content_filterだとsmtpが止まってたらそのまま死亡じゃないの？

milterのメリットだと思ってたけど
フィルタ通さないものが届くのが絶対許されないってケースなのかな
2009/09/15(火) 20:22:12
ここでやれ
http://pc12.2ch.net/test/read.cgi/unix/1124772932/
365352
垢版 |
2009/09/15(火) 22:53:57
>>353
あーそうかnetstatしておけばよかった。
どこかからセッションを連続して張られたときに出るのか、今はゾンビが居ないんで
次に出たときにnetstatして確認してみます。
冷静に考えればそうだよね。パニくっててましたｗ
2009/09/15(火) 23:26:21
qmgrって何て読むんですか？クムグル？
2009/09/15(火) 23:38:13
queue managerとしか読めん
2009/09/15(火) 23:57:17
FQDNって何て読むんですか？
2009/09/16(水) 00:11:30
ふくどん
370307
垢版 |
2009/09/16(水) 02:42:54
milter_default_action=accept ですね。
あと、content_filter だと、一旦queueに入っちゃった様な気がする
たいした違いは無いけど、気分的に嫌だｗ
2009/09/16(水) 10:01:46
>>363
確かにcontent_filterだとspamd死んでたらエラーになりそう。

>>362
spampdの重さはspamdが重いのと同義じゃねえの？
2009/09/16(水) 10:05:29
>>358
qmailは思想も実装も良かったと思うよ。
ただそれで完成としてしまい、その後の実情に合わせた修正を全くしなかった。
そのためまともに使うにはパッチや周辺ツールと組み合わせないといけなくなった。
その全体でみたセキュリティや性能はどうなのってことだよね。
2009/09/16(水) 10:16:17
qmailの話はqmailスレで。
2009/09/16(水) 13:23:14
qmailスレってまだ生きてるの？
2009/09/16(水) 16:04:13
サーバ全体で .forward の利用を停止したいときは
forward_path = /dev/null でOK？
376375
垢版 |
2009/09/16(水) 16:21:14
ごめん解決した。
/dev/null だと動くけど「warning: file /dev/null is not a regular file」って
怒られる。

適当にディレクトリ作って、
forward_path = /var/spool/postfix/forward/$user
って感じで運用した方が安心できそうだ。
2009/09/16(水) 16:52:24
forward_path = (空)
でいいんじゃね？ 試してないけど。
2009/09/16(水) 17:19:53
>>355
spamass-milter、clamav-milter、milter-greylist 入れてみた
まだいろいろ試してみないとわからないけど、一発でばっちり動いたよ
milterいいね。
問題が出なければたぶんこれ使い続けると思う
thanxでした
379375
垢版 |
2009/09/16(水) 18:56:23
>>377
レスありがとう。
空でも大丈夫だった。空が一番だね。

目から鱗でした。
2009/09/17(木) 18:21:06
milterネタでてるので便乗で。

http://milter-manager.sourceforge.net/index.html.ja
このソフト便利そうなんだが、誰か使ってるヒトいる？

Ruby/GLib2ってのを入れる必要があるとかで、ちょっと躊躇してるんだが・・・
2009/09/17(木) 18:26:40
いろいろいじってみたけどmilterやっぱダメでした
Postfixでspamass-milter使う場合は、-mオプションを付けて起動しないとエラーになる(どうもPostfixの仕様らしい)
spamass-milter[27170]: SpamAssassin: st_optionneg[-1230103632]: 0x3d does not fulfill action requirements 0x13

つまり[**SPAM**]とかsubjectを変更して振り分けすることはできないってことっすな
あくまで簡易的にしか使えないね
それともぼくの解釈がおかしい?
2009/09/17(木) 19:04:19
そんなことなかった
-mなしでも動きました
おさわがせでした
2009/09/18(金) 02:56:41
原因はなんだったの
2009/09/18(金) 13:27:37
　　　　　ま　っ　た　り
　　　 　 ∧,,∧　∧,,∧
　　 ∧,,(´-ω-)(-ω-｀)∧,,∧
　　( ´-ω)旦o) (o旦o(ω-｀ )
　　(_　 o[(　 ´-)　(-｀ 　)]o _)
　 └'ー-（_　　 )][( 　　_)ー'┘
　　 　　　'ー'^ー' 　 'ー'^ー'
新着レスの表示
レスを投稿する

5ちゃんねるの広告が気に入らない場合は、こちらをクリックしてください。
ニューススポーツなんでも実況