Problema con Postfix, restricciones, SASL y suplantación de identidad

[MSc. Ing. Nestor Alonso Torres]

Hola a todos:

Tengo el siguiente problema con Postfix: En estos días le he estado
pasando la mano a las configs, para subir el nivel de seguridad, y hasta
ahora lo más que he logrado es esto:

1-. En mi PC estoy simulando el server, tengo un postfix que tiene
aplicado el tutorial de la wiki de Gutl para SASL, que funciona
perfectamente. Además tengo aplicadas las medidas contra la suplantación
de identidad que recomendó Lázaro. Aunque sé que esto último me va a
traer problemas con los dominios virtuales, en principio funciona bien.

2-. En mi servidor tengo las restricciones nacionales e internacionales
como recomienda Ulises en un HOWTO que envió a la lista hace tiempo ya,
y que funciona muy bien.

Ahora: No logro hacer una configuración que tenga todo junto, o sea,
restricciones nacionales/internacionales, SASL y no se pueda suplantar
la identidad del sender.

Pongo acá el main.cf más simple (la de la PC):

###########################################################################
#
# BANNER DE BIENVENIDA Y CONFIGURACIONES GENERALES
#
###########################################################################

smtpd_banner = $myhostname ESMTP $mail_name DPTCH (Debian/GNU)

# appending .domain is the MUA's job.
append_dot_mydomain = no

# Debug
debug_peer_level = 4
debug_peer_list = 10.0.0.20

###########################################################################
#
# CONFIGURACION DE SASL
#
###########################################################################

smtp_sasl_auth_enable = no
smtpd_helo_required = yes
smtpd_sasl_auth_enable = yes
smtpd_sasl_authenticated_header = yes
smtpd_sasl_security_options = noanonymous
broken_sasl_auth_clients = yes
disable_vrfy_command = yes

###########################################################################
#
# EVITAR SUPLANTACION DE IDENTIDAD AL ENVIAR
#
###########################################################################

smtpd_sender_login_maps = pcre:${config_directory}/sender_login.pcre

###########################################################################
#
# FILTROS Y REGLAS
#
###########################################################################

smtpd_sender_restrictions = check_sender_access
hash:/etc/postfix/usuarios_intl
check_recipient_access
hash:/etc/postfix/_regla_filtro_nac
permit_sasl_authenticated
reject

smtpd_recipient_restrictions = check_recipient_access
hash:/etc/postfix/usuarios_intl_rx
check_sender_access
hash:/etc/postfix/_regla_filtro_nac
reject_sender_login_mismatch
permit_sasl_authenticated
reject
#### Fin config

En usuarios_intl_rx y usuarios_intl lo que tengo dentro es

chicho-***@public.gmane.org OK
paco-***@public.gmane.org OK

Chicho y Paco tienen salida internacional

En _regla_filtro_nac lo que hay es
cu OK

El problema es evidente, como no hay un REJECT en ningún lado, todo el
mundo llega a permit_sasl_authenticated y "pa'llá". Solo que no se me
ocurre la solución. En el que tengo funcionando bien lo que pasa es que
como no tiene permit_sasl_authenticated, lo que no es OK se rechaza al
final.

¿Alguna sugerencia o config que ya funcione?

Agradecido de antemano,

nat

[Jenny Cabrera Varona]

Tengo algo por aca pero con "virtual" y usando mysql como backend, es la
implementacion que uso hace varios años con "postfixadmin" si te interesa
darle un vistazo puedo compartir contigo esa parte de mi main.cf, teniendo
en cuenta lo que te digo anteriormente, en mi caso SASL mira dentro de las
tablas del postfixadmin para determinar el user & pass tambien uso
restricciones de acceso a dominios en mi implementacion ...

Salu2

[lazaro]

Post by Jenny Cabrera Varona
restricciones de acceso a dominios en mi implementacion .

la patada a la lata en el caso de los dominos es esa. Restricciones de
dominio, porque no seria bueno tener que replicar en el servidor de
arriba los mismos usuarios que tiene el servidor de abajo.

[MSc. Ing. Nestor Alonso Torres]

Post by lazaro

Post by Jenny Cabrera Varona
restricciones de acceso a dominios en mi implementacion .

la patada a la lata en el caso de los dominos es esa. Restricciones de
dominio, porque no seria bueno tener que replicar en el servidor de
arriba los mismos usuarios que tiene el servidor de abajo.

Parece que logré lo que necesitaba utilizando clases. El usuario por
defecto tiene acceso nacional, y las listas solamente incluyen a los
usuarios con salida internacional.

Pienso probarla hoy por la tarde, después de las 4:30pm. Si funciona,
posteo la configuración para que entre los interesados la destripemos ;)

Saludos fraternales,

nat

[MSc. Ing. Nestor Alonso Torres]

Como lo prometido es deuda, aquí van mis configs, con aclaraciones. Esto
no es un tutorial para principiantes, es una configuración de ejemplo
para que los que ya conocen Postfix mejoren o ajusten las suyas.

Detalles de la configuración:

1-. Server de un nodo, con usuarios locales y varios subdominios
2-. Recibe todo el correo entrante de una cuenta multipop, con
fetchmail. El correo saliente se entrega al server del ISP, de manera
que es una config tipo smarthost
3-. Los usuarios son del sistema, y se crean con un script que les pone
como shell /bin/false, entre otras cuestiones. Todos los usuarios
*tienen que autenticarse*, al igual que las pasarelas con SMTP AUTH. El
TLS está soportado, pero es opcional.
4-. Todos los usuarios tienen, por defecto, salida nacional. Los
usuarios que se pongan en _usuarios_tx pueden enviar internacional, y
los que se pongan en _usuarios_rx pueden recibir internacional. Todos
los usuarios de los subdominios son nacionales, a menos que se incluyan
en estos dos listados.
5-. Deben existir, aunque estén vacios, los ficheros siguientes:

/etc/postfix/_copy_recipient_maps
/etc/postfix/_copy_sender_maps
/etc/postfix/_usuarios_rx
/etc/postfix/_usuarios_tx
/etc/postfix/_virtual_domains
/etc/postfix/_sender_login.pcre

El _ delante es una marca para saber que ahí se debe puede meter la
mano.

6-. RECUERDEN hacer postmap nombredelfichero a todo lo que empiece con
_, excepto _sender_login.pcre (aunque no pasa nada si lo hacen).

Solamente pido que los comentarios y vulnerabilidades que se encuentren
a esta configuración sean públicos, para mejorarla y tener un ejemplo
para guiarnos todos.

/////////////////// /etc/postfix/main.cf ///////////////////

###########################################################################
#
# BANNER DE BIENVENIDA Y CONFIGURACIONES GENERALES
#
###########################################################################

smtpd_banner = $myhostname ESMTP $mail_name MIENTIDAD (Debian/GNU)
biff = no

# appending .domain is the MUA's job.
append_dot_mydomain = no

readme_directory = no

# Debug
debug_peer_level = 4
debug_peer_list = $mynetworks

###########################################################################
#
# PARAMETROS DE SEGURIDAD GENERAL Y TLS
#
###########################################################################

smtp_use_tls = yes
#smtpd_tls_auth_only = yes
smtp_tls_note_starttls_offer = yes
smtpd_use_tls = yes
smtpd_tls_key_file = /etc/ssl/post.pem
smtpd_tls_cert_file = /etc/ssl/post.pem
smtpd_tls_CAfile = /etc/ssl/post.pem
smtpd_tls_loglevel = 3
smtpd_tls_received_header = yes
smtpd_tls_session_cache_timeout = 3600s
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
tls_random_source = dev:/dev/urandom


###########################################################################
#
# PARAMETROS DEL BUZON, LOS MENSAJES Y LA COLA
#
###########################################################################

# Limite del tamanho del mensaje
message_size_limit = 2097152
# Limite del tamanno del buzon
mailbox_size_limit = 20971520
# Cantidad maxima de destinatarios para un mensaje
smtpd_recipient_limit = 50
# Tiempo maximo de vida en la cola
maximal_queue_lifetime = 3d
# Enviar alertas sobre correo demorado
delay_warning_time = 4h
smtpd_error_sleep_time = 1s
# Limite de entrega simultanea a un mismo usuario local
local_destination_concurrency_limit = 5
bounce_queue_lifetime = 3d

###########################################################################
#
# CONFIGURACION DE RED
#
###########################################################################

# Interfaces de red donde escuchar
inet_interfaces = all
# Protocolo ipv4 o ipv6
inet_protocols = ipv4
mynetworks_style = host
mynetworks = 127.0.0.0/8

###########################################################################
#
# CONFIGURACIONES DE DOMINIO
#
###########################################################################

myhostname = mail.midominio.cu
mydomain = midominio.cu
myorigin = /etc/mailname
mydestination = midominio.cu, mail.midominio.cu, localhost.midominio.cu,
localhost
masquerade_domain = midominio.cu
disable_dns_lookup = yes

###########################################################################
#
# CONFIGURACIONES DE ALIAS
#
###########################################################################

alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases

###########################################################################
#
# CONFIGURACION DE RELAY (SMARTHOST)
#
###########################################################################

relayhost = [IP DEL SERVER DE MI ISP]

###########################################################################
#
# CONFIGURACION DE SMTP
#
###########################################################################

smtp_mx_address_limit = 0
smtp_connect_timeout = 30
smtp_helo_timeout = 60s
smtp_rcpt_timeout = 240s
smtp_quit_timeout = 240s
smtp_rset_timeout = 20s
smtp_skip_4xx_greeting = yes
smtp_skip_5xx_greeting = yes

###########################################################################
#
# CONFIGURACION DE SASL (AUTENTICACION SMTP)
#
###########################################################################

smtp_sasl_auth_enable = no
smtpd_helo_required = yes
smtpd_sasl_auth_enable = yes
smtpd_sasl_authenticated_header = yes
smtpd_sasl_security_options = noanonymous
broken_sasl_auth_clients = yes
disable_vrfy_command = yes

# Demorar el rechazo de los clientes no autenticados hasta el RCPT TO
smtpd_delay_reject = yes

###########################################################################
#
# CONFIGURACION DEL MDA
#
###########################################################################

mailbox_command = procmail -a "$EXTENSION"
mailbox_size_limit = 0
recipient_delimiter = +

###########################################################################
#
# DOMINIOS VIRTUALES
#
###########################################################################

virtual_alias_domains = subdominio1.midominio.cu
subdominio2.subdominio.cu
virtual_alias_maps = hash:/etc/postfix/_virtual_domains

###########################################################################
#
# EVITAR SUPLANTACION DE IDENTIDAD AL ENVIAR
#
###########################################################################

smtpd_sender_login_maps = pcre:/etc/postfix/_sender_login.pcre

###########################################################################
#
# COPIAS DE CORREOS RECIBIDOS Y ENVIADOS
#
###########################################################################

sender_bcc_maps = hash:/etc/postfix/_copy_sender_maps
recipient_bcc_maps = hash:/etc/postfix/_copy_recipient_maps

###########################################################################
#
# FILTROS Y REGLAS
#
###########################################################################

# Filtrado de adjuntos:
mime_header_checks = pcre:/etc/postfix/_filtro_adjuntos

smtpd_restriction_classes = internac_tx
internac_rx

internac_tx = check_recipient_access
regexp:/etc/postfix/_filtro_internac
permit_sasl_authenticated
reject

internac_rx = check_sender_access regexp:/etc/postfix/_filtro_internac
permit

smtpd_sender_restrictions = check_recipient_access
hash:/etc/postfix/_usuarios_rx
check_sender_access regexp:/etc/postfix/_filtro_nac
permit_sasl_authenticated
reject

smtpd_recipient_restrictions = reject_sender_login_mismatch
check_sender_access hash:/etc/postfix/_usuarios_tx
check_recipient_access regexp:/etc/postfix/_filtro_nac
permit_sasl_authenticated
reject

/////////////////// FIN main.cf ///////////////////

/////////////////// /etc/postfix/sasl/smtpd.conf ///////////////

pwcheck_method: saslauthd
mech_list: plain login

/////////////////// FIN smtpd.conf ///////////////

/////////////////// /etc/postfix/sasl/_filtro_adjuntos ///////////////

/filename=\".*\.(rar|rar\?=|tar.gz|tar.gz\?=|bz2|bz2\?=|kgb|kgb\?=|zip|
zip\?=|7z|7z\?=)\"$/ OK
/filename=.*\.(rar|rar\?=|tar.gz|tar.gz\?=|bz2|bz2\?=|kgb|kgb\?=|zip|zip
\?=|7z|7z\?=)$/ OK
/filename=\".*\.(xls|xls\?=|rtf|rtf\?|doc|docx|doc\?=|docx\?=|mdb|mdb
\?=|pdf|pdf\?=|rpm|rpm\?=|deb|deb\?=|odt|odt\?=|ods|ods\?=|asc|dat\?=|
dat|eml\?=|eml)\"$/ OK
/filename=.*\.(xls|xls\?=|rtf|rtf\?|doc|doc\?=|docx|docx\?=|mdb|mdb\?=|
pdf|pdf\?=|rpm|rpm\?=|deb|deb\?=|odt|odt\?=|ods|ods\?=|asc|dat\?=|dat|
eml\?=|eml)$/ OK
/filename=.*\.(txt|txt\?=|snp|snp
\?=|[0-9][0-9][0-9]|[0-9][0-9][0-9]\?=)$/ OK
/filename=\".*\.(txt|txt\?=|snp|snp
\?=|[0-9][0-9][0-9]|[0-9][0-9][0-9]\?=)\"$/ OK
/filename=.*\.*/ REJECT Tipo de adjunto no permitido, por favor comprima
el archivo antes de enviarlo

/////////////////// FIN _filtro_adjuntos ///////////////

/////////////////// /etc/postfix/sasl/_filtro_internac ///////////////
/^\@/ REJECT 550 El formato de la direccion no
es valido.
/[!%\@].*\@/ REJECT 550 Este servidor desaprueba las
sintaxis raras.
/////////////////// FIN _filtro_internac ///////////////

/////////////////// /etc/postfix/sasl/_filtro_nac ///////////////
/\@*\.cu$/ RELAY
/^\@/ REJECT 550 El formato de la direccion no
es valido.
/[!%\@].*\@/ REJECT 550 Este servidor desaprueba las
sintaxis raras.
/\@*/ REJECT Esta cuenta no puede enviar ni
recibir correo internacional.
/////////////////// _filtro_nac ///////////////

/////////////////// /etc/postfix/_sender_login.pcre ///////////////
/^(.*)@midominio\.cu$/ $1
/^(.*)@subdominio1\.midominio\.cu$/ subdominio1
/^(.*)@subdominio2\.midominio\.cu$/ subdominio2
/////////////////// _sender_login.pcre ///////////////

/////////////////// /etc/postfix/_usuarios_rx ///////////////
usuarioconentradainternacional1-***@public.gmane.org internac_rx
usuarioconentradainternacional2-***@public.gmane.org internac_rx
/////////////////// FIN _usuarios_rx ///////////////

/////////////////// /etc/postfix/_usuarios_tx ///////////////
usuarioconsalidainternacional1-***@public.gmane.org internac_tx
usuarioconsalidainternacional2-***@public.gmane.org internac_tx
/////////////////// FIN _usuarios_tx ///////////////

/////////////////// /etc/postfix/_virtual_domains ///////////////
@subdominio1.midominio.cu subdominio1
@subdominio2.midominio.cu subdominio2
/////////////////// FIN _virtual_domains ///////////////

Mi recomendación es que sigan el tutorial de SASL de la wiki, y luego
apliquen todo lo demás, una funcionalidad a la vez hasta que lo tengan
todo funcionando. TLS es especialmente enredado para configurar, pero
para eso recomiendo dejarlo para el final, y seguir cualquiera de los
tutoriales para este tema que hay en Internet.

Si alguien necesita los cambios que hay que hacer en los postixs
"hijos", se los envío aparte.

Saludos fraternales,

nat

[Jenny Cabrera Varona]

Post by MSc. Ing. Nestor Alonso Torres
/////////////////// /etc/postfix/sasl/_filtro_internac ///////////////
/////////////////// FIN _filtro_internac ///////////////

para que pinche al quilo solo te falto añadir esto en el fichero
(_filtro_internac) ...

/\@*/ RELAY

quedaria asi:

////////////////////etc/postfix/sasl/_filtro_internac ///////////////
/\@*/ RELAY
/^\@/ REJECT 550 El formato de la direccion no es valido.
/[!%\@].*\@/ REJECT 550 Este servidor desaprueba las sintaxis raras.
/////////////////// FIN _filtro_internac ///////////////

Salu2
--
=======================================
Jenny Cabrera Varona
Administrador de Red
[Nodo Geominera Camagüey]
OS: [GNU/Linux]&[BSD/UNIX]
Teléfono: (53) (32) 27-21-08
JID: jcvgnunix-7q2ajrq8sR9uNONTmH5n4/***@public.gmane.org
E-Mail: jcvgnunix-***@public.gmane.org
========================================
, ,
/( )`
\ \___ / |
/- _ `-/ '
(/\/ \ \ /\
/ / | ` \
O O ) / |
`-^--'`< '
(_.) _ ) /
`.___/` /
`-----' /
<----. __ / __ \
<----|====O)))==) \) /====
<----' `--' `.__,' \
| |
\ / /\
______( (_ / \______/
,' ,-----' |
`--{__________)

______
| ____| __ ___ ___
| |__ | '__/ _ \/ _ \
| __|| | | __/ __/
| | | | | | |
|_| |_| \___|\___|
____ _____ _____
| _ \ / ____| __ \
| |_) | (___ | | | |
| _< \___ \| | | |
| |_) |____) | |__| |
| | | |
|____/|_____/|_____/

[Manuel Mely]

Post by MSc. Ing. Nestor Alonso Torres
Como lo prometido es deuda, aquí van mis configs, con aclaraciones. Esto
no es un tutorial para principiantes, es una configuración de ejemplo
para que los que ya conocen Postfix mejoren o ajusten las suyas.
1-. Server de un nodo, con usuarios locales y varios subdominios
2-. Recibe todo el correo entrante de una cuenta multipop, con
fetchmail. El correo saliente se entrega al server del ISP, de manera
que es una config tipo smarthost
3-. Los usuarios son del sistema, y se crean con un script que les pone
como shell /bin/false, entre otras cuestiones. Todos los usuarios
*tienen que autenticarse*, al igual que las pasarelas con SMTP AUTH. El
TLS está soportado, pero es opcional.

Otra variante además de SMTP AUTH para el caso de servidores que actúan
de gateways de correo
pudiera ser SPF ó igual se pudieran utilizar las dos para reforzar aún
más. Existen algunas implementaciones "policy daemons" de SPF en postfix.

Saludos.

[sandy.napoles-axXpo1U+ihVi1alTbh+]

hola lista desde anoche cuando el servidor postfix va a entregar mediante
un transport a uno de mis subdominios da el siguiente error

timeout exceeded (in reply to end of DATA command)

Alguna idea?

PD: Se le llega bien por telnet,ping, etc.......sin embargo otro detalle
es que si entras con un cliente web, entonces los correos si salen, es
decir si lo envio por otro cliente se quedan en la cola del postfix con
ese error

[lazaro]

Post by sandy.napoles-axXpo1U+ihVi1alTbh+
hola lista desde anoche cuando el servidor postfix va a entregar mediante
un transport a uno de mis subdominios da el siguiente error
timeout exceeded (in reply to end of DATA command)
Alguna idea?
PD: Se le llega bien por telnet,ping, etc.......sin embargo otro detalle
es que si entras con un cliente web, entonces los correos si salen, es
decir si lo envio por otro cliente se quedan en la cola del postfix con
ese error

Que hay de tu parametro reject_unauth_pipelining?

[sandy.napoles-axXpo1U+ihVi1alTbh+]

he limpiado la cola pero sigue igual, en cuanto a
(reject_unauth_pipelining), no lo tengo defindo en mi configuracion.

[lazaro]

Post by sandy.napoles-axXpo1U+ihVi1alTbh+
hola lista desde anoche cuando el servidor postfix va a entregar mediante
un transport a uno de mis subdominios da el siguiente error
timeout exceeded (in reply to end of DATA command)
Alguna idea?
PD: Se le llega bien por telnet,ping, etc.......sin embargo otro detalle
es que si entras con un cliente web, entonces los correos si salen, es
decir si lo envio por otro cliente se quedan en la cola del postfix con
ese error

tambien puede ser un correo grande trabado en la cola; suelen dar palos
como ese

[Juan Carlos]

Post by sandy.napoles-axXpo1U+ihVi1alTbh+
hola lista desde anoche cuando el servidor postfix va a entregar mediante
un transport a uno de mis subdominios da el siguiente error
timeout exceeded (in reply to end of DATA command)
Alguna idea?
PD: Se le llega bien por telnet,ping, etc.......sin embargo otro detalle
es que si entras con un cliente web, entonces los correos si salen, es
decir si lo envio por otro cliente se quedan en la cola del postfix con
ese error
______________________________________________________________________
Lista de correos del Grupo de Usuarios de Tecnologías Libres de Cuba.
https://listas.jovenclub.cu/cgi-bin/mailman/listinfo/gutl-l

probastes ejecutando el comando que te dije postfix flush hazlo y dime
si la cola empieza a bajar!

salu2
--
Juan Carlos Hernández Gallardo
Administrador de Redes
Dirección Provincial de Finanzas y Precios
Nodo, Ciego de Ávila
Email: jchernandez-***@public.gmane.org
Telf: [phone]

------------ próxima parte ------------
Se ha borrado un adjunto en formato HTML...
URL: <http://listas.jovenclub.cu/pipermail/gutl-l/attachments/20111011/096b85b0/attachment.htm>

[sandy.napoles-axXpo1U+ihVi1alTbh+]

nada gerente, corri el comando y no disminuye

[Juan Carlos]

Post by sandy.napoles-axXpo1U+ihVi1alTbh+
nada gerente, corri el comando y no disminuye
______________________________________________________________________
Lista de correos del Grupo de Usuarios de Tecnologías Libres de Cuba.
https://listas.jovenclub.cu/cgi-bin/mailman/listinfo/gutl-l

uhm... esta extraño eso no tendras como te comente el otro día problema
en la linea?
--
Juan Carlos Hernández Gallardo
Administrador de Redes
Dirección Provincial de Finanzas y Precios
Nodo, Ciego de Ávila
Email: jchernandez-***@public.gmane.org
Telf: [phone]

------------ próxima parte ------------
Se ha borrado un adjunto en formato HTML...
URL: <http://listas.jovenclub.cu/pipermail/gutl-l/attachments/20111011/4b83e78b/attachment.htm>

[sandy.napoles-axXpo1U+ihVi1alTbh+]

lo gracioso del casoes que si ese mismo correo lo envias por web entonces
sale, pero si lo envias a otra direccion sale tambien sin problema, solo
ocurre el error al enviarlo a ese dominio se quedan en cola

[Juan Carlos]

Post by sandy.napoles-axXpo1U+ihVi1alTbh+
lo gracioso del casoes que si ese mismo correo lo envias por web entonces
sale, pero si lo envias a otra direccion sale tambien sin problema, solo
ocurre el error al enviarlo a ese dominio se quedan en cola
______________________________________________________________________
Lista de correos del Grupo de Usuarios de Tecnologías Libres de Cuba.
https://listas.jovenclub.cu/cgi-bin/mailman/listinfo/gutl-l

dame mas datos envia un mensaje a ese domain y fijate en los logs del
postfix haber q' pasa en ese momento :-\
--
Juan Carlos Hernández Gallardo
Administrador de Redes
Dirección Provincial de Finanzas y Precios
Nodo, Ciego de Ávila
Email: jchernandez-***@public.gmane.org
Telf: [phone]

------------ próxima parte ------------
Se ha borrado un adjunto en formato HTML...
URL: <http://listas.jovenclub.cu/pipermail/gutl-l/attachments/20111011/61db380d/attachment.htm>

[lazaro]

Post by MSc. Ing. Nestor Alonso Torres
Tengo el siguiente problema con Postfix: En estos días le he estado
pasando la mano a las configs, para subir el nivel de seguridad, y hasta
1-. En mi PC estoy simulando el server, tengo un postfix que tiene
aplicado el tutorial de la wiki de Gutl para SASL, que funciona
perfectamente. Además tengo aplicadas las medidas contra la suplantación
de identidad que recomendó Lázaro. Aunque sé que esto último me va a
traer problemas con los dominios virtuales, en principio funciona bien.
2-. En mi servidor tengo las restricciones nacionales e internacionales
como recomienda Ulises en un HOWTO que envió a la lista hace tiempo ya,
y que funciona muy bien.
Ahora: No logro hacer una configuración que tenga todo junto, o sea,
restricciones nacionales/internacionales, SASL y no se pueda suplantar
la identidad del sender.
###########################################################################
#
# BANNER DE BIENVENIDA Y CONFIGURACIONES GENERALES
#
###########################################################################
smtpd_banner = $myhostname ESMTP $mail_name DPTCH (Debian/GNU)
# appending .domain is the MUA's job.
append_dot_mydomain = no
# Debug
debug_peer_level = 4
debug_peer_list = 10.0.0.20
###########################################################################
#
# CONFIGURACION DE SASL
#
###########################################################################
smtp_sasl_auth_enable = no
smtpd_helo_required = yes
smtpd_sasl_auth_enable = yes
smtpd_sasl_authenticated_header = yes
smtpd_sasl_security_options = noanonymous
broken_sasl_auth_clients = yes
disable_vrfy_command = yes
###########################################################################
#
# EVITAR SUPLANTACION DE IDENTIDAD AL ENVIAR
#
###########################################################################
smtpd_sender_login_maps = pcre:${config_directory}/sender_login.pcre
###########################################################################
#
# FILTROS Y REGLAS
#
###########################################################################
smtpd_sender_restrictions = check_sender_access
hash:/etc/postfix/usuarios_intl
check_recipient_access
hash:/etc/postfix/_regla_filtro_nac
permit_sasl_authenticated
reject
smtpd_recipient_restrictions = check_recipient_access
hash:/etc/postfix/usuarios_intl_rx
check_sender_access
hash:/etc/postfix/_regla_filtro_nac
reject_sender_login_mismatch
permit_sasl_authenticated
reject
#### Fin config
En usuarios_intl_rx y usuarios_intl lo que tengo dentro es
Chicho y Paco tienen salida internacional
En _regla_filtro_nac lo que hay es
cu OK
El problema es evidente, como no hay un REJECT en ningún lado, todo el
mundo llega a permit_sasl_authenticated y "pa'llá". Solo que no se me
ocurre la solución. En el que tengo funcionando bien lo que pasa es que
como no tiene permit_sasl_authenticated, lo que no es OK se rechaza al
final.
¿Alguna sugerencia o config que ya funcione?
Agradecido de antemano,
nat
______________________________________________________________________
Lista de correos del Grupo de Usuarios de Tecnologías Libres de Cuba.
https://listas.jovenclub.cu/cgi-bin/mailman/listinfo/gutl-l

Hay una cosa muy curiosa nat:. y es que poner permit_sasl_authenticated
no es una restriccion que ermita salir los correos asi y ya. Si omites
permit mynetwork y arrancas, el log te dira tres opciones para poner al
final de las restricciones. Una de ellas es reject_unauth_destination
con eso dices que el que no este autenticado que no puede pasar, es una
especie de permit flexible.