Куда даёт постоянные запросы postfix?

03.11.2014 08:08 · отредактировано #399627

У меня каждые 20 мин идут такие сообщения и логи от этого раздуваются

text

Nov  2 09:36:17 bear postfix/smtp[5476]: connect to example.com[93.184.216.119]:25: Connection timed out
Nov  2 09:36:17 bear postfix/smtp[5475]: CC8131C0F51: to=<you@example.com>, relay=none, delay=259115, delays=259085/0.23/30/0, dsn=4.4.1, status=def$
Nov  2 09:36:17 bear postfix/smtp[5476]: 81D841C0F43: to=<you@example.com>, relay=none, delay=259173, delays=259143/0.23/30/0, dsn=4.4.1, status=def$
Nov  2 09:36:17 bear postfix/smtp[5477]: connect to example.com[93.184.216.119]:25: Connection timed out
Nov  2 09:36:17 bear postfix/smtp[5477]: 3AFBA1C0F48: to=<you@example.com>, relay=none, delay=261924, delays=261893/0.34/30/0, dsn=4.4.1, status=def$
Nov  2 09:36:17 bear postfix/smtp[5478]: connect to example.com[93.184.216.119]:25: Connection timed out
Nov  2 09:36:17 bear postfix/smtp[5478]: 67D2F1C0F42: to=<you@example.com>, relay=none, delay=261007, delays=260976/0.46/30/0, dsn=4.4.1, status=def$

Я такого адреса вообще не знаю. А ещё идут такие сообщения

text

 2 09:15:47 bear postfix/qmgr[1368]: A79D81C0E77: from=<fail2ban@example.com>, size=407, nrcpt=1 (queue active)
Nov  2 09:15:47 bear postfix/qmgr[1368]: 5CAC71C00CC: from=<fail2ban@example.com>, size=394, nrcpt=1 (queue active)
Nov  2 09:15:47 bear postfix/qmgr[1368]: 5A3891C0F49: from=<fail2ban@example.com>, size=394, nrcpt=1 (queue active)

А fail2ban хоть и был у меня но я его давно снёс

03.11.2014 09:36 #399630

Я по этому адресу нарыл https://www.virustotal.com/en/ip-address/93.184.216.119/information/
Получается что и в Линукс тоже вирусы появились?

03.11.2014 16:05 #399649

По моему это файл2бан, смотрите внимательно.

03.11.2014 16:43 #399653

kerogaz, :) нет. Просто IP в спаме засветился.

04.11.2014 10:20 · отредактировано #399709

Wolfenberg написал:
kerogaz, :) нет. Просто IP в спаме засветился.

так ведь fail2ban я удалил :) Кроме того это не только у меня и что характерно тоже на CentOS http://www.webhostingtalk.com/showthread.php?t=1303136 да и Убунта тоже этим страдает http://forum.ubuntuusers.de/topic/postfix-versendet-e-mails-an-komische-adresse/ (немец пишет, что как только он поставил Postfix сразу же повалили сообщения :...connect to example.com[93.184.216.119]:25: Connection timed out .значит дело всё же наверное в Postfix/. И подобных сообщений в инете море и никто не может ответить почему

04.11.2014 11:53 #399713

kerogaz написал:
[quote=Wolfenberg]kerogaz, :) нет. Просто IP в спаме засветился.

так ведь fail2ban я удалил :) Кроме того это не только у меня и что характерно тоже на CentOS http://www.webhostingtalk.com/showthread.php?t=1303136 да и Убунта тоже этим страдает http://forum.ubuntuusers.de/topic/postfix-versendet-e-mails-an-komische-adresse/ значит дело всё же наверное в Postfix/. И подобных сообщений в инете море и никто не может ответить почему[/quote]

А я бы для начала посмотрел бы содержание файлика /etc/aliases. Может там почта (системная) руту перенаправляется на указанные адреса. Это первое. Ну а далее напустил бы grep на все каталоги */etc. Пусть поищет в конфигурациях данные адреса.

Второе - вполне возможно, что постфикс пытается отправить квитанцию о получении/прочтении почты по этому левому адресу. Вот прислал какой-то ухарь письмо на наш адрес, а в поле Replay-to: стоит этот самый you@example.com. И заказал квитанцию о получении. Наш постфикс и отрабатывает запрос, пытается послать эту квитанцию на несуществующий домен. И не может, ставит её в очередь и надолго. Так что, имеем вполне штатную работу нашего почтового сервера.

04.11.2014 11:55 · отредактировано #399714

Cruiser78 написал:
[quote=kerogaz][quote=Wolfenberg]kerogaz, :) нет. Просто IP в спаме засветился.

так ведь fail2ban я удалил :) Кроме того это не только у меня и что характерно тоже на CentOS http://www.webhostingtalk.com/showthread.php?t=1303136 да и Убунта тоже этим страдает http://forum.ubuntuusers.de/topic/postfix-versendet-e-mails-an-komische-adresse/ значит дело всё же наверное в Postfix/. И подобных сообщений в инете море и никто не может ответить почему[/quote]

А я бы для начала посмотрел бы содержание файлика /etc/aliases. Может там почта (системная) руту перенаправляется на указанные адреса. Это первое. Ну а далее напустил бы grep на все каталоги */etc. Пусть поищет в конфигурациях данные адреса.

Второе - вполне возможно, что постфикс пытается отправить квитанцию о получении/прочтении почты по этому левому адресу. Вот прислал какой-то ухарь письмо на наш адрес, а в поле Replay-to: стоит этот самый you@example.com. И заказал квитанцию о получении. Наш постфикс и отрабатывает запрос, пытается послать эту квитанцию на несуществующий домен. И не может, ставит её в очередь и надолго. Так что, имеем вполне штатную работу нашего почтового сервера.[/quote]

Немец во второй ссылке пишет, что как только он поставил Postfix сразу же повалили сообщения :...connect to example.com[93.184.216.119]:25: Connection timed out .значит дело всё же наверное в Postfix/

04.11.2014 12:00 #399715

Вот алиасы

Показать

# Basic system aliases -- these MUST be present.
mailer-daemon: postmaster
postmaster: root

# General redirections for pseudo accounts.
bin: root
daemon: root
adm: root
lp: root
sync: root
shutdown: root
halt: root
mail: root
news: root
uucp: root
operator: root
games: root
gopher: root
ftp: root
nobody: root
radiusd: root
nut: root
dbus: root
vcsa: root
canna: root
wnn: root
rpm: root
nscd: root
pcap: root
apache: root
webalizer: root
dovecot: root
fax: root
quagga: root
radvd: root
pvm: root
amanda: root
privoxy: root
ident: root
named: root
xfs: root
gdm: root
mailnull: root
postgres: root
sshd: root
smmsp: root
postfix: root
netdump: root
ldap: root
squid: root
ntp: root
mysql: root
desktop: root
rpcuser: root
rpc: root
nfsnobody: root

ingres: root
system: root
toor: root
manager: root
dumper: root
abuse: root

newsadm: news
newsadmin: news
usenet: news
ftpadm: ftp
ftpadmin: ftp
ftp-adm: ftp
ftp-admin: ftp
www: webmaster
webmaster: root
noc: root
security: root
hostmaster: root
info: postmaster
marketing: postmaster
sales: postmaster
support: postmaster

# trap decode to catch security attacks
decode: root

# Person who should get root's mail
#root: marc

04.11.2014 12:02 #399716

kerogaz написал:

Немец во второй ссылке пишет немец пишет, что как только он поставил Postfix сразу же повалили сообщения :...connect to example.com[93.184.216.119]:25: Connection timed out .значит дело всё же наверное в Postfix/

Значит надо искать - где же в конфигах записан адрес you@example.com. grep нам в помощь. Постфикс сам по себе ничего не будет отправлять. И, судя по логу - идет явная отработка очереди, наверняка в mailq эта запись есть. Надо посмотреть, с какого хоста образовалась эта запись. Очередь почистить...

04.11.2014 12:03 #399717

Cruiser78 написал:
[quote=kerogaz]
Немец во второй ссылке пишет немец пишет, что как только он поставил Postfix сразу же повалили сообщения :...connect to example.com[93.184.216.119]:25: Connection timed out .значит дело всё же наверное в Postfix/

Значит надо искать - где же в конфигах записан адрес you@example.com. grep нам в помощь. Постфикс сам по себе ничего не будет отправлять. И, судя по логу - идет явная отработка очереди, наверняка в mailq эта запись есть. Надо посмотреть, с какого хоста образовалась эта запись. Очередь почистить...[/quote]
Может поставить Касперского для линукса?

04.11.2014 12:05 #399718

kerogaz написал:
Вот алиасы

Мой опыт - все рутовые и постмастерные письма переалисовывать на себя, любимого. На явно заданный почтовый адрес. Ну и на своем административном почтовом клиенте фильтры настроены, которые почту по нужным папочкам раскладывают. И я всегда в курсе, что же на компьютере каком (линуксовом) происходит.

04.11.2014 12:12 · отредактировано #399719

kerogaz написал:

Может поставить Касперского для линукса?

Поставить можно, но в этом вопросе он не поможет. Тем более - я показал вполне штатный механизм возникновения почты на examle.com. При чем здесь антивирус.
Ну и по поводу касперского. Зачем он, когда есть свободный clamav? Это первый вопрос.
А второй - что за манера пересылать исполняемые файлы почтой? Мой почтовый сервер такие вложения тривиально отрезает. От слова напрочь. То есть письмо получателю дойдет, но без потенциально опасного вложения. Ибо нефиг. И юзерам за 5 лет работы этого сервера ни разу не потребовалось получать по почте исполняемые вложения. Документы, картинки - ради Бога, но исполняемый код - это не есть штатная работа почтовой системы. Это мы блокируем на самом входе.

И последнее - вполне возможно, что postfix отправляет какую-то нотификацию своему админу, который не удосужился указать свой адрес и оставил (в закомментированном виде) дефолтный you@example.com. У немчика-то этот адрес на немецом языке локализован...

04.11.2014 12:12 · отредактировано #399720

Показать

grep -rn you@example.com /home
/home/bear/fail2ban/jail.conf.rpmnew:99: sendmail-whois[name=SSH, dest=you@example.com, sender=fail2ban@example.com, sendername="Fail2Ban"]
/home/bear/fail2ban/jail.conf.rpmnew:127: sendmail-whois[name=ProFTPD, dest=you@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:137: sendmail-whois[name=GSSFTPd, dest=you@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:183: sendmail-whois[name=sasl, dest=you@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:203: sendmail-whois[name=SSH, dest=you@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:322: sendmail[name=Postfix, dest=you@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:373:action = sendmail-whois[name=VSFTPD, dest=you@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:385: sendmail-whois[name=VSFTPD, dest=you@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:398: sendmail-buffered[name=BadBots, lines=5, dest=you@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:410: sendmail[name=Postfix, dest=you@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:448: sendmail-whois[name=openwebmail, dest=you@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:502: sendmail-whois[name="SSH,IPFW", dest=you@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:522:# sendmail-whois[name=Named, dest=you@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:533: sendmail-whois[name=Named, dest=you@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:553: sendmail-whois[name=Asterisk, dest=you@example.com, sender=fail2ban@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:581: sendmail-whois[name=Asterisk, dest=you@example.com, sender=fail2ban@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:593: sendmail-whois[name=Asterisk, dest=you@example.com, sender=fail2ban@example.com]
/home/bear/fail2ban/jail.conf.rpmnew:762: sendmail-whois[name=SSH, dest=you@example.com, sender=fail2ban@example.com, sendername="Fail2Ban"]
/home/bear/fail2ban/jail.conf.rpmnew:774: sendmail-whois[name=Nagios, dest=you@example.com, sender=fail2ban@example.com, sendername="Fail2Ban"]
/home/bear/fail2ban/jail.conf:77:# sendmail-whois[name=ProFTPD, dest=you@example.com]
/home/bear/fail2ban/jail.conf:89:# sendmail-whois[name=sasl, dest=you@example.com]
/home/bear/fail2ban/jail.conf:110:# sendmail-whois[name=SSH, dest=you@example.com]
/home/bear/fail2ban/jail.conf:178:# sendmail[name=Postfix, dest=you@example.com]
/home/bear/fail2ban/jail.conf:189:action = sendmail-whois[name=VSFTPD, dest=you@example.com]
/home/bear/fail2ban/jail.conf:201: sendmail-whois[name=VSFTPD, dest=you@example.com]
/home/bear/fail2ban/jail.conf:214: sendmail-buffered[name=BadBots, lines=5, dest=you@example.com]
/home/bear/fail2ban/jail.conf:226: sendmail[name=Postfix, dest=you@example.com]
/home/bear/fail2ban/jail.conf:300: sendmail-whois[name="SSH,IPFW", dest=you@example.com]
/home/bear/fail2ban/jail.conf:334:# sendmail-whois[name=Named, dest=you@example.com]
/home/bear/fail2ban/jail.conf:345: sendmail-whois[name=Named, dest=you@example.com]
/home/bear/fail2ban/jail.conf:356: sendmail-whois[name=Asterisk, dest=you@example.com, sender=fail2ban@example.com]
/home/bear/fail2ban/jail.conf:365: sendmail-whois[name=Asterisk, dest=you@example.com, sender=fail2ban@example.com]

Только в /home сколько найдено Но у меня хоть стоял fail2ban а у немца его не было а всё равно postfix ломился на example.com

04.11.2014 13:25 #399735

Поищи строку через команду:

grep -r -n 'you@example.com' /

Это сто процентов твой fail2ban.

04.11.2014 14:02 · отредактировано #399741

AlfaStriker написал:
Поищи строку через команду:
grep -r -n 'you@example.com' /

Это сто процентов твой fail2ban.

Да у меня чего-то вообще в корне не ищется. Я вхожу по ssh, может поэтому

text

grep  -r -n 'you@example.com' /
grep: /proc/sysrq-trigger: Ошибка ввода/вывода

text

grep -rn you@example.com /
grep: /proc/sysrq-trigger: Ошибка ввода/вывода

Да и потом я изменил порт SSH и после чего удалил fail2ban. Остался только твёрдый осадок на дне :) Судя по логам fail2ban только отбивал флуд, который выдавал Postfix

04.11.2014 14:39 #399745

Ты из под рута ищешь?
Конечно я не правильно тебе команду дал, лучше искать в каталоге /etc

grep -r -n 'you@example.com' /etc

04.11.2014 14:42 #399746

AlfaStriker написал:
Ты из под рута ищешь?
Конечно я не правильно тебе команду дал, лучше искать в каталоге /etc
grep -r -n 'you@example.com' /etc

Из под рута. В /etc/ чисто

04.11.2014 14:44 #399747

Я помню, у тебя была прописана отправка отчета fail2ban на адрес - you@example.com

04.11.2014 14:44 #399748

А команда mailq что говорит:

mailq

04.11.2014 14:45 #399749

Я вычистил из home остатки fail2ban. Всё равно

text

Nov  4 13:46:21 bear postfix/qmgr[1365]: 5A3891C0F49: from=<fail2ban@example.com>, size=394, nrcpt=1 (queue active)
Nov  4 13:46:21 bear postfix/qmgr[1365]: 35A2D1C0262: from=<>, size=2218, nrcpt=1 (queue active)
Nov  4 13:46:21 bear postfix/qmgr[1365]: 95A451C04C7: from=<>, size=2231, nrcpt=1 (queue active)
Nov  4 13:46:51 bear postfix/smtp[1614]: connect to example.com[93.184.216.119]:25: Connection timed out
Nov  4 13:46:51 bear postfix/smtp[1615]: connect to example.com[93.184.216.119]:25: Connection timed out
Nov  4 13:46:51 bear postfix/smtp[1614]: 5A3891C0F49: to=<you@example.com>, relay=none, delay=427113, delays=427083/0.23/30/0, dsn=4.4.1, status=def$
Nov  4 13:46:51 bear postfix/smtp[1615]: 35A2D1C0262: to=<fail2ban@example.com>, relay=none, delay=599, delays=569/0.23/30/0, dsn=4.4.1, status=defe$
Nov  4 13:46:51 bear postfix/smtp[1616]: connect to example.com[93.184.216.119]:25: Connection timed out
Nov  4 13:46:51 bear postfix/smtp[1616]: 95A451C04C7: to=<fail2ban@example.com>, relay=none, delay=600, delays=569/0.34/30/0, dsn=4.4.1, status=defe$