Postfix (korrekte einstellungen)

[scheuce]

Hi Leute

Habe soviel gutes von Postfix gehört, das ich mich entschlossen habe, diesen in meinem internen Netzwerk mal kennen zulernen. Um außerdem auch mal hinter den Kulissen eines E-Mailservers schauen zu können.

Benötige deswegen erstmal nur ein paar Informationen. Ich möchte mich langsam rantasten.

Ich habe folgendes Netz. 192.168.1.0 erich.dsp

1. Rechner:
eth0, 192.168.1.1 debian
eth1, 192.168.1.100 debian (Verbindung per DSL zum Internet über netcologne.de)

Auf diesen Rechner habe ich Postfix installiert.
Folgende Variablen sind gesetzt.

mydestination = debian.erich.esp localhost.erich.esp localhost
mydomain = erich.esp
myhostname = debian.erich.esp
relayhost = smtp.netcologne.de
relay_domains = $mydestination

Bin mir leider nicht sicher, ob die Variable „relay_host“ korrekt ist. Denn wenn ich E-Mail’s an Benutzer innerhalb meines Netzes („erich.esp“) verschicke sollen die „nur“ über meinen E-Mailserver gehen. Wenn es aber E-Mail’s sind, die auch nach draußen gehen sollen (also nicht „erich.esp“) dann sollen die von meinem E-Mailserver nach dem E-Mailserver meines Providers „smtp.netcologne.de“ weitergeleitet werden.

Welche Variablen sind noch wichtig für die korrekte Weiterleitung per E-Mail?

In „.fetchmailrc“ habe ich folgenden Eintrag:

poll pop3.netcologne.de protocol pop3 user XXXXXXXXX@netcologne.de pass XXXXXXX is localeruser

2.Rechner
eth0 192.168.1.3 winxp1 (geht über „debian“ per NAT ins Internet)
gateway 192.168.1.100

3.Rechner
eth0 192.168.1.4 suse82 (geht über „debian“ per NAT ins Internet)
gateway 192.168.1.100

Was muss auf diesem Rechner eingerichtet werden und was muss dort in der Datei .“fetchmailrc“ eingetragen werden?
Ist das richtig, das ich hier kein „Postfix“ installieren muss?

Hoffe das meine Angaben ausreichend sind. Im voraus vielen Dank für Eure Hilfe

Erich Scheuch

[Bert]

Auf Deinem Gateway ist das Netz nicht ordentlich eingestellt. Du kannst nicht 2 Interfaces im selbern Netz haben. Das es wahrscheinlich doch geht, liegt daran, das du eth0 für das interne Netz nimmst und dieses Interface wahrscheinlich dann in der Routingtable zuerst auftaucht.. Wenn Du über eth1 nur das DSL betreibst, brauchst Du diesem gar keine IP zuweisen.

Das mit dem relay_host sieht auf den ersten Blick gesund aus, fraglich ist aber, ob der Relay das relaying ohne Anmeldung zuläßt (wird in der Regel nicht so gemacht, da solche Hosts gerne von Spammern verwendet werden). In der Regel erwarten die Relays eine Anmeldung. Beliebt ist hierfür smtp_auth. Kein Problem, Postfix kann das. Was die Angaben von my_hostname angeht: ist das per DNS auflösbar? Bin mir nicht sicher, ob das Postfix erwartet.

Noch eine Anmerkung: stelle sicher, das Du nicht ein offenes Relay wirst... also am besten den smtp Port auf dem ppp0 Interface sperren, wenn Du keinen ZUgriff von Außen brauchst. Man kann auch Postfix beigringen nur auf eth0 und loopback zu lauschen....

Wieso willst Du auf dem 3. Rechner fetchmail einrichten? Lass die User dort doch auf ihre Postfächer auf dem Rechner 1. zugreifen.

[scheuce]

Hallo Bert
erstmal danke für die schnelle Antwort.
Ich wusste doch, dass ich ein paar Informationen ausgelassen habe.

Mit den 2 Interfaces habe ich damals gedacht, das dies unbedingt für die Sicherheit nötig wäre. eth1 ist direkt mit dem DSL-Modem verbunden, während eth0 über den Hup mit den anderen Rechnern verbunden ist. So das nur der „Rechner1“ eine direkte Verbindung zum Internet hat
Habe aber den Eintrag für die eth1 jetzt rausgenommen und auf den Rechner 2 und 3 das Gateway auf 192.168.1.1 gesetzt.

Zu den offenen Relay:
Am Rechner 1 habe ich per "Iptables" eine Firewall eingerichtet.
Erstmal alles per Policys gesperrt.
Und dann nur den Zugang auf die entsprechenden Ports (Web, FTP, SSH, SMTP usw.) erlaubt, wenn aus meinen Netz 192.168.1.0 darauf zugegriffen wird.

Wäre natürlich interessant zu wissen welche Angriffe auf meinem Rechner (mit dem ich eine direkte Verbindung zum Internet habe) möglich sind.

Zu den Vermerk mit der DNS-Auflösung. Diese ist in der „hosts“ eingetragen

[Bert]

Du kannst Dich zur Sicherheit ja mal von außen scannen lassen. Es gibt Webseiten, die sowas anbieten. Einfach auf einen Link clicken, und die scannen die IP von der die Anfrage kommt. Mit der Suche hier im Forum solltes Du entsprechende Adressen finden. Oder Du vertraust einem von uns hier