AUTH के बाद पोस्टफ़िक्स कनेक्शन खो गया

12

अपने मेलर्स पर लॉग को देखते हुए, मैंने निम्नलिखित जैसे संदेश देखे हैं:

Nov 29 12:09:38 mta postfix/smtpd[8362]: connect from unknown[183.13.165.14]
Nov 29 12:09:39 mta postfix/smtpd[8362]: lost connection after AUTH from unknown[183.13.165.14]
Nov 29 12:09:39 mta postfix/smtpd[8362]: disconnect from unknown[183.13.165.14]
Nov 29 12:09:39 mta postfix/smtpd[8409]: connect from unknown[183.13.165.14]
Nov 29 12:09:40 mta postfix/smtpd[8409]: lost connection after AUTH from unknown[183.13.165.14]
Nov 29 12:09:40 mta postfix/smtpd[8409]: disconnect from unknown[183.13.165.14]

इन मामलों में कोई SASL विफलताएं नहीं हैं। एसएएसएल विफलताओं को अन्य समय पर लॉग किया जाता है, लेकिन कभी भी साथ नहीं lost connection after AUTH।

यहाँ क्या हो रहा है, और क्या मुझे इसके बारे में कुछ भी करना चाहिए?
ये एमएक्स नहीं हैं, और पहले से ही smtpd_client_connection_rate_limitसेट हैं।

संभवतः संबंधित:
AUTH की घोषणा से पहले सिस्टम को या तो SMTPS या STARTTLS की आवश्यकता होती है।

postfix

— 84104
स्रोत

क्या आप पोस्टफ़िक्स के डिबग स्तर को बढ़ा सकते हैं?

— खालिद

मैं कर सकता हूं, लेकिन यह लॉग फ़ाइलों को काफी अधिक दर से बढ़ाएगा, और ये घटनाएं छिटपुट हैं। इस बढ़ी हुई लॉगिंग से क्या मदद मिलेगी?

— 84104

1

इसलिए, आपको इसे थोड़े समय के लिए बढ़ाने की आवश्यकता है और जब आप इस त्रुटि को प्राप्त करने की अपेक्षा करते हैं। यह उम्मीद है कि इस त्रुटि का मतलब क्या है पर अधिक संकेत देता है।

— खालिद

9

यह चीन का एक बॉटनेट है जो आपके बॉक्स से जुड़कर स्पैम को पहुंचाने की कोशिश कर रहा है। लेकिन यह जानने के लिए कि क्या करना है, यह जानने के लिए बॉट बहुत बेवकूफ है। बॉट सिर्फ मेल वितरित करना बंद कर देता है और फिर अगले शिकार पर हमला करने के लिए डिस्कनेक्ट करता है।

चिंता की कोई बात नहीं।

— mailq
स्रोत

3

पर्याप्त नजदीक। ऐसा लगता है कि यह स्क्रिप्ट का कुछ प्रकार है जो AUTH जारी करता है और प्राप्त करने के बाद अशुद्ध रूप से बाहर निकलता है 503 5.5.1 Error: authentication not enabled। एनसीएटी के साथ दोहराने में सक्षम था। हालांकि यह तब तक कोशिश करता रहता है जब तक कि यह दर सीमा से परे न हो जाए। शायद यह उपयोगकर्ता नाम / पासवर्ड जोड़े को बल देने की कोशिश कर रहा है? किसी भी तरह से, बहुत बेवकूफ भी चिंता करते हैं।

— 84104

2

एक परीक्षण के रूप में, मुझे केवल अपने लॉग में यह रेखा मिलती है और कभी भी थिसिबर्ड और किसी ज्ञात खाते के लिए अमान्य पासवर्ड का उपयोग करके एसएएसएल विफलताओं को नहीं देखा जाता है। चूंकि प्रमाणित मेल हमेशा पोस्टफिक्स से होकर गुजरता है, अतः सही उत्तर है, यदि संभव हो तो पोस्ट किए गए असफल 2 स्क्रिप्ट का उपयोग करने के लिए ब्रूट फोर्स के प्रयासों की संख्या न्यूनतम रखने के लिए। ब्रूट फोर्स पासवर्ड प्रयास आपके बॉक्स को एक खुले रिले में बदलने से बचने के लिए पूरी तरह से चिंतित होने के लिए कुछ हैं - खासकर अगर यह आपके लॉग में एकमात्र पंक्ति है।

— क्यूबिकलसॉफ्ट

लॉग ऐसे दिखते हैं जैसे वह एक दूसरे को प्राप्त कर रहा है, जो किसी को सर्वर को मजबूर करने की कोशिश कर सकता है, जिसे चिंता करने के लिए कुछ है। मैं विफलता 2 का उपयोग करने की सलाह देता हूं, कम से कम। यह पूरी तरह से एक क्रूर बल समस्या को हल नहीं करेगा, लेकिन यह इसे काफी हद तक कम कर देगा।

— गंभीर

21

मेरी लॉग फाइलें भर रही थीं, और इन जर्म्स से कनेक्शन की अनुमति देना भी सीपीयू की बर्बादी है। मैंने एक fail2banनियम बनाया ।

Jul 11 02:35:08 mail postfix/smtpd[16299]: lost connection after AUTH from unknown[196.12.178.73]

की सामग्री /etc/fail2ban/jail.conf

[postfix]
# Ban for 10 minutes if it fails 6 times within 10 minutes
enabled  = true
port     = smtp,ssmtp
filter   = postfix
logpath  = /var/log/mail.log
maxretry = 6
bantime  = 600
findtime = 600

की सामग्री /etc/fail2ban/filter.d/postfix.conf

# Fail2Ban configuration file
#
# Author: Cyril Jaquier
#
# $Revision$
#

[Definition]

# Option:  failregex
# Notes.:  regex to match the password failures messages in the logfile. The
#          host must be matched by a group named "host". The tag "<HOST>" can
#          be used for standard IP/hostname matching and is only an alias for
#          (?:::f{4,6}:)?(?P<host>[\w\-.^_]+)
# Values:  TEXT
#

# Jul 11 02:35:08 mail postfix/smtpd[16299]: lost connection after AUTH from unknown[196.12.178.73]

failregex = lost connection after AUTH from unknown\[<HOST>\]

# Option:  ignoreregex
# Notes.:  regex to ignore. If this regex matches, the line is ignored.
# Values:  TEXT
#
ignoreregex =

— the7erm
स्रोत

2

इससे मेरा दिन बच गया। मैंने निम्नलिखित नियम जोड़ा failregex = ^%(__prefix_line)slost connection after AUTH from \S+\[<HOST>\].$:। मेरे पास कुछ ही मिनटों में ऐसे सैकड़ों कनेक्शन प्रयास थे। मुझे इसके बारे में कुछ करना था।

— चमिके

यह थोड़ा अधिक सामान्य है:failregex = lost connection after AUTH from (.*)\[<HOST>\]

— क्यूबिकलसॉफ्ट

@chmike: अंत से पहले डॉट $को हटाया जाना चाहिए। रेगेक्स में इसके साथ यहां काम नहीं किया।

— cweiske

3

में smtpd_recipient_restrictionsसिर्फ सेट reject_unknown_client_hostnameइस तरह:

smtpd_recipient_restrictions = reject_unknown_client_hostname

और इसके परिणामस्वरूप ग्राहकों को खारिज कर दिया जाएगा और अज्ञात मेजबान नामों के साथ आवारा या गूंगा ज़ोंबी बॉट्स। जब आप सेट करते हैं तो आप इस तरह दिखेंगे:

postfix/smtpd[11111]: NOQUEUE: reject: RCPT from unknown[183.13.165.14]: 450 4.7.1 Client host rejected: cannot find your hostname, [183.13.165.14]

— श्रीमान
स्रोत

इस (बहुत पुराने) प्रश्न के लिए पहले से ही एक स्वीकृत उत्तर है।

— BE77Y

1

अज्ञात होस्टनाम / समस्या नहीं थी। lost connection after AUTHथा है।

— 84104

1

उनका मुद्दा है "यहां क्या हो रहा है, और क्या मुझे इसके बारे में कुछ करना चाहिए?" और यह पूरी तरह से मान्य उत्तर है।

— अकार्बनिक

2

मुझे यकीन नहीं है कि अगर इसके बारे में बहुत चिंतित होना है, तो मूल रूप से एक क्लाइंट / 'कोई' कनेक्ट हो रहा है, ऑटोह जारी कर रहा है और अपने हिसाब से डिस्कनेक्ट कर रहा है। यह एक मेल क्लाइंट से सर्वर क्षमताओं की जांच करने का प्रयास हो सकता है - या डेमॉन के मामले का प्रयास।

जब तक आपके पास पर्याप्त सुरक्षा है, यह दुनिया से दरवाजे पर सिर्फ एक और दस्तक है।

— पतली बर्फ
स्रोत

भले ही वह लगातार 3 या 4 बार हो?

— एलेक्सिस विल्के