การเชื่อมต่อ Postfix หายไปหลังจาก AUTH

12

เมื่อดูที่บันทึกในเมลเซิร์ฟเวอร์ของฉันฉันพบข้อความดังต่อไปนี้:

Nov 29 12:09:38 mta postfix/smtpd[8362]: connect from unknown[183.13.165.14]
Nov 29 12:09:39 mta postfix/smtpd[8362]: lost connection after AUTH from unknown[183.13.165.14]
Nov 29 12:09:39 mta postfix/smtpd[8362]: disconnect from unknown[183.13.165.14]
Nov 29 12:09:39 mta postfix/smtpd[8409]: connect from unknown[183.13.165.14]
Nov 29 12:09:40 mta postfix/smtpd[8409]: lost connection after AUTH from unknown[183.13.165.14]
Nov 29 12:09:40 mta postfix/smtpd[8409]: disconnect from unknown[183.13.165.14]

ไม่มีความล้มเหลวของ SASL ในกรณีเหล่านี้ มีความล้มเหลว SASL จะถูกบันทึกไว้ในเวลาอื่น ๆ มี lost connection after AUTHแต่ไม่เคยมี

เกิดอะไรขึ้นที่นี่และฉันควรทำอะไรเกี่ยวกับเรื่องนี้?
สิ่งเหล่านี้ไม่ใช่ MX และได้smtpd_client_connection_rate_limitตั้งค่าไว้แล้ว

อาจเกี่ยวข้องกับ:
ระบบต้องการ SMTPS หรือ STARTTLS ก่อนที่จะมีการประกาศ AUTH

postfix

— 84104
แหล่งที่มา

คุณสามารถเพิ่มระดับการดีบักของ postfix ได้หรือไม่

— เลด

ฉันทำได้ แต่นั่นจะทำให้ล็อกไฟล์เติบโตในอัตราที่สูงกว่ามากและเหตุการณ์เหล่านี้เป็นระยะ ๆ การบันทึกที่เพิ่มขึ้นนี้จะช่วยอะไรให้แก้ความกำกวม?

— 84104

1

ดังนั้นคุณต้องเพิ่มมันในช่วงเวลาสั้น ๆ และเมื่อคุณคาดว่าจะได้รับข้อผิดพลาดนี้ หวังว่าจะให้คำแนะนำเพิ่มเติมเกี่ยวกับข้อผิดพลาดนี้

— เลด

9

นี่คือบ็อตเน็ตจากประเทศจีนที่เชื่อมต่อกับกล่องของคุณพยายามส่งสแปม แต่บอทนั้นโง่เกินกว่าจะรู้ว่าต้องทำอย่างไรเมื่อถูกบอกให้พิสูจน์ตัวตน บอทเพียงแค่หยุดส่งจดหมายและยกเลิกการเชื่อมต่อเพื่อโจมตีเหยื่อรายต่อไป

ไม่มีอะไรต้องกังวลอย่างแน่นอน

— mailq
แหล่งที่มา

3

ใกล้พอ ดูเหมือนว่ามันเป็นสคริปต์บางประเภทที่ออก AUTH และออก503 5.5.1 Error: authentication not enabledอย่างไม่สะอาดหลังจากได้รับ ก็สามารถที่จะทำซ้ำกับ ncat แม้ว่ามันจะพยายามต่อไปเรื่อย ๆ จนกว่าจะถึงขีด จำกัด อัตราที่อยู่เหนือฉัน บางทีอาจเป็นการพยายามบังคับคู่ชื่อผู้ใช้ / รหัสผ่าน ไม่ว่าจะด้วยวิธีใดโง่เกินไปก็กังวลเช่นกัน

— 84104

2

ในการทดสอบฉันได้รับบรรทัดนี้ในบันทึกของฉันและไม่เคยเห็นความล้มเหลวของ SASL เพียงแค่ใช้ Thunderbird และรหัสผ่านที่ไม่ถูกต้องสำหรับบัญชีที่รู้จัก เนื่องจากเมลที่ผ่านการตรวจสอบความถูกต้องจะส่งผ่าน Postfix ไม่ จำกัด คำตอบที่ถูกต้องคือถ้าเป็นไปได้ในการใช้สคริปต์ fail2ban ที่โพสต์เพื่อรักษาจำนวนการบังคับเดรัจฉานให้น้อยที่สุด ความพยายามในการใช้รหัสผ่านที่ดุร้ายเป็นสิ่งที่ต้องคำนึงถึงอย่างยิ่งเพื่อหลีกเลี่ยงการเปลี่ยนกล่องของคุณให้เป็นรีเลย์แบบเปิดโดยเฉพาะอย่างยิ่งถ้านี่เป็นเพียงบรรทัดเดียวในบันทึก

— CubicleSoft

บันทึกดูเหมือนว่าเขาจะได้รับหนึ่งวินาทีซึ่งอาจเป็นใครบางคนพยายามที่จะเดรัจฉานบังคับเซิร์ฟเวอร์ซึ่งเป็นสิ่งที่ต้องกังวลเกี่ยวกับ ฉันแนะนำให้ใช้ fail2ban อย่างน้อยที่สุด มันจะไม่แก้ปัญหาเรื่องกำลังดุร้ายอย่างสมบูรณ์ แต่มันจะช่วยลดได้อย่างมาก

— Severun

21

ล็อกไฟล์ของฉันกำลังถูกเติมเต็มและมันเป็นเรื่องเสียของ cpu ที่ยอมให้มีการเชื่อมต่อจาก jerks เหล่านี้ ฉันสร้างfail2banกฎ

Jul 11 02:35:08 mail postfix/smtpd[16299]: lost connection after AUTH from unknown[196.12.178.73]

เนื้อหาของ /etc/fail2ban/jail.conf

[postfix]
# Ban for 10 minutes if it fails 6 times within 10 minutes
enabled  = true
port     = smtp,ssmtp
filter   = postfix
logpath  = /var/log/mail.log
maxretry = 6
bantime  = 600
findtime = 600

เนื้อหาของ /etc/fail2ban/filter.d/postfix.conf

# Fail2Ban configuration file
#
# Author: Cyril Jaquier
#
# $Revision$
#

[Definition]

# Option:  failregex
# Notes.:  regex to match the password failures messages in the logfile. The
#          host must be matched by a group named "host". The tag "<HOST>" can
#          be used for standard IP/hostname matching and is only an alias for
#          (?:::f{4,6}:)?(?P<host>[\w\-.^_]+)
# Values:  TEXT
#

# Jul 11 02:35:08 mail postfix/smtpd[16299]: lost connection after AUTH from unknown[196.12.178.73]

failregex = lost connection after AUTH from unknown\[<HOST>\]

# Option:  ignoreregex
# Notes.:  regex to ignore. If this regex matches, the line is ignored.
# Values:  TEXT
#
ignoreregex =

— the7erm
แหล่งที่มา

2

สิ่งนี้ช่วยชีวิตฉันไว้ ฉันเพิ่มกฎต่อไปนี้: failregex = ^%(__prefix_line)slost connection after AUTH from \S+\[<HOST>\].$. ฉันพยายามเชื่อมต่อหลายร้อยครั้งในเวลาไม่กี่นาที ฉันต้องทำอะไรบางอย่างเกี่ยวกับเรื่องนี้

— chmike

นี่เป็นเรื่องทั่วไปอีกเล็กน้อย:failregex = lost connection after AUTH from (.*)\[<HOST>\]

— CubicleSoft

@chmike: จุดก่อนที่จะสิ้นสุด$จะต้องถูกลบออก ไม่ได้ทำงานที่นี่กับมันใน regex

— cweiske

3

ในการsmtpd_recipient_restrictionsตั้งค่าreject_unknown_client_hostnameเช่นนี้:

smtpd_recipient_restrictions = reject_unknown_client_hostname

และสิ่งนี้จะส่งผลให้ปฏิเสธไคลเอนต์และบ็อตหลงทางหรือดัมเบิลซอมบี้ด้วยชื่อโฮสต์ที่ไม่รู้จัก บันทึกของคุณจะมีลักษณะเช่นนี้เมื่อตั้งค่า:

postfix/smtpd[11111]: NOQUEUE: reject: RCPT from unknown[183.13.165.14]: 450 4.7.1 Client host rejected: cannot find your hostname, [183.13.165.14]

— มร.
แหล่งที่มา

มีคำตอบที่ยอมรับแล้วสำหรับคำถาม (เก่ามาก) นี้

— BE77Y

1

ชื่อโฮสต์ที่ไม่รู้จักคือ / ไม่ใช่ปัญหา lost connection after AUTHเป็น / คือ

— 84104

1

ปัญหาของพวกเขาคือ "เกิดอะไรขึ้นที่นี่และฉันควรทำอะไรกับเรื่องนี้" และนี่คือคำตอบที่ถูกต้องสมบูรณ์

— อนินทรีย์

2

ฉันไม่แน่ใจว่ามีอะไรที่น่าเป็นห่วงมากมายโดยทั่วไปลูกค้า / 'ใครบางคน' กำลังเชื่อมต่อกันออก AUTH และตัดการเชื่อมต่อด้วยตนเอง อาจเป็นความพยายามในการโพรบความสามารถของเซิร์ฟเวอร์จากไคลเอนต์อีเมล - หรือความพยายามที่จะกรณี daemon

ตราบใดที่คุณมีระบบรักษาความปลอดภัยที่เพียงพอมันก็เป็นเพียงแค่การกระแทกประตูจากโลกใบนี้

— thinice
แหล่งที่มา

แม้ว่ามันจะเกิดขึ้น 3 หรือ 4 ครั้งในแถว?

— Alexis Wilke