Звщита Postfix

Зарезать на внешке этот домен, если он там не ожидается.

тоесть? как в постфиксе разделить внешний и внутренний интерфейсы?

ВыБирай на свой вкус:

reject_unauthenticated_sender_login_mismatch,
reject_authenticated_sender_login_mismatch,
reject_sender_login_mismatch

Суть- если не аутифицировался, то письму отлуп. Касается также узеров прошедших аутификацию, но впихивающие письмо от другого узера.

Повесить на внутренний и внешний интерфейсы разные smtpd с разным набором настроек. Делается через master.cf

Актуально, если из вне ожидаются клиенты, которым нужна пересылка на другие домены через почтарь. В противном случае на внешке проще всего не включать аутентификацию вовсе и тем самым блочить всех.

Странно как то. У меня все три правила прописаны. Никого не блочит, ни снаружи или изнутри. А вот попытки подставить чужого сендера в сообщении рубятся на корню.

trancefer А можно чуть подробнее сказать как сделать 2 независимых процесса на 2 различных интерфейса?

smtp inet n - n - - smtpd smtp_bind_address=внутренний айпи

smtp inet n - n - - smtpd smtp_bind_address=внешний айпи

Я правильно понял?

читаем http://www.postfix.org/SMTPD_POLICY_README.html

Это ок в вашем случае, но если например, из вне к вам никто из почтовых клиентов пользователей подключаться не должен, то в этом случае, просто во вне не отдавать возможность аутентификации. И тогда сможете получать из вне почту для своих доменов, но все попытки пройти аутентификацию будут сразу отбиваться (точнее говоря аутентификация даже не будет анонсироваться в смтп-диалоге).

Не совсем

public_ip:smtp            inet  n       -       n       -       -       smtpd
  -o public_option1
  -o public_option2

internal_ip:smtp            inet  n       -       n       -       -       smtpd
  -o internal_option1
  -o internal_option2

После '-o' указываете специфичные опции которые перетирают настройки в main.cf, в main.cf оставляете только общие для всех.

Это пример для 25 порта, сабмиссия не учитывается, но настраивается аналогично.

Как минимум херовое решение, т.к. нужен отдельный Policy-сервер. Если уж так хочется фильтровать во внешнем процессе, проще прикрутить какой-нить sendmail-milter вместо policy-сервера.

Автор не предполагал полного запрета аутификации снаружи. Его волнует подмена отправителя в письме. Поэтому я предложил простое решение.

Огромнейшее всем спасибо!!!!!!!!!!!!

Други, а еще такой вопрос, по хожу пьесы:

В мастере можно один и тот же рестрикшн разбить на строки?

Если у меня будет записано так:

- o smtpd_restrictions_client=blabla1

- o smtpd_restrictions_client=blabla3

- o smtpd_restrictions_client=blabla2

У меня будут все blabla отрабатывать?

пренеси его в main и сможешь писать строчками типа так:

smtpd_recipient_restrictions = reject_unknown_recipient_domain reject_non_fqdn_recipient reject_unlisted_recipient check_client_access ${cidr}trusted-clients check_policy_service inet:127.0.0.1:7777 permit_mynetworks permit_sasl_authenticated reject_unauth_destination check_policy_service inet:127.0.0.1:2525

парсер - лох

Там было, что каждая запись с новой строки