Apple の脅威の通知と金銭目当てのスパイウェアへの対策について

しばらく返答が寄せられていないようです。 再度ディスカッションを開始するには、新たに質問してください。

OP25B対策について(postfixの設定)

Mac OS X 10.6 Serverに於けるOP25Bの対策についてお力をお貸し願えませんでしょうか。


当方、自宅のMacminiServerにてMailサーバー他を運用しております。

いままで、TEPCOひかり+@niftyを使用しておりましたが残念な事に来年の9月で

このサービスが終了してしまうにあたり現在各プロバイダーが様々な移行プラン・・・

所謂「割引プラン」を用意しております。

しかし、現在でも非常に満足出来る回線スピードを得ておりますのでこのままサービス終了まで使い続けるつもりでした。

ただ、割引が適用されるとかなりお得なものでいずれは変更しなければならないのであるならば「思い立ったが吉日!」

と言うことで今月末にKDDIギガ得プラン@niftyへ変更する事となりました。


プロバイダーが同じなので面倒な事は少ない・・・と言ってもルーターの設定等面倒ですが^_^;・・・

一番の問題は今までTEPCOプランでは使われていなかった「OP25B」が今回のプランでは使われてしまう事なのです。

インターネットで色々と調べ、他の場所で使用しているマシン「10.4server」にてOP25B対策を施した結果うまく動作するようになりました(回線、プロバイダーは全く違いますが)。


そして今回、自宅サーバーにて「予習」をと思い10.6serverの「postfix」を開けてみました。

開けてみたところなんと編集せねばならない「main.cf」「master.cf」に10.4serverには存在していなかったバリエーションが存在しているでは有りませんか!


「main.cf」「main.cf.default」「master.cf」「master.cf.default」「master.cf.orig」


この五つがありました。


一応自分で各ファイルの中身を比較、考察してみたところ「.cf」以降に何も無いシンプルなファイルに

GUI上で設定したものが反映、記述されておりましたので恐らくはこの「main.cf」「master.cf」を編集するのが正解だと思ってはいるのですが今ひとつ自信が持てないもので諸先輩方のアドバイスを頂ければを思い書かせて頂きました。


なお、OP25B対策については以下を参照いたしました

(リンクフリーな事を確認してリンクを張りましたが何か問題が有りましたらご指摘下さい)


「OP25B対策(Outbound Port 25 Blocking対策)」


http://www.aconus.com/~oyaji/mail2/op25b.htm


「Vine Linux で自宅サーバー」

http://vine.1-max.net/postfix-OP25B.html


こちらはリンクフリーが確認出来ないためサイトの名前だけ記しておきます。


「愛ゆえにプログラムは美しい」


宜しくお願いいたします。

Mac mini, Mac OS X (10.6.2), MacMini Server 2.53GHz

投稿日 2010/02/07 10:32

返信
返信: 15

2010/02/07 13:19 はに への返信

はにさま


早速のアドバイスありがとう御座います。

はに様の仰る「インターネット環境でメールサーバを動かそうというなら,それくらいの勉強をしてからにしてください。」と言うのは恐らく「これくらいの事も判らずサーバーを動かすな。皆に迷惑がかかる」と言うような事だと思います。


仰る通り確かにメールサーバの設定を誤ると踏み台にされたりスパムの温床となる事は十分に承知しております。

ですので、自分なりにOS Xサーバーの参考書を手に入れ、そこに書いてある「最後にオープンリレーをチェックする事」と言う部分にある「オープンリレーチェックサイト」にて、メールサーバの設定を見直すたびにチェックをしており、恐らく今まで皆様にご迷惑をおかけした事は(自前のメールサーバに関して)無い事と思っております。


と言うことを前提として再度お伺いしてみたいのですが・・・・

「10.4、10.6共通して存在している」。また「中身を調べてみるとサーバ管理ソフト上のGUIで設定したものが反映されている」。

故にこの共通しているファイルを編集すればいいとほぼ確信しているのですが間違い有りませんでしょうか?


これでも尚「引っ込め!」と仰るならば・・・仕方が無いですね。

2010/02/07 13:59 tousuke への返信

10.4サーバと同じですよ。/etc/postfix/master.cfの13行目あたり、submission〜の行の頭の#を削除するだけです。.defaultの方はPostfixの基本設定なので編集してはいけません。


で、ゲートウェイのTCP587を双方向開くこと(SMTP AUTHを使っているならTCP113も)と、お使いのメールアプリケーションのポートの設定変更、SSL設定も忘れずに。


追記)Postfixの再起動も忘れずに。

2010/02/07 18:48 M3CSL への返信

M3CSLさま


アドバイスありがとうございます。

ただ今「/etc/postfix/master.cf」を開いて13行目確認しました。

頭に付いている「#」・・・コメントアウトって言うんでしょうか、要するに現状実行しないように処理されているので

「#submission inet n - n - - smtpd」から#を取り去ってsubmissionを実行出来る用にすると言う事ですね。

ありがとうございました!


ついでと言っては申し訳有りませんがもう少し知識をお分け頂けますか?




# =========================================================

# service type private unpriv chroot wakeup maxproc command + args

# (yes) (yes) (yes) (never) (100)

# =========================================================

smtp inet n - n - - smtpd

submission inet n - n - - smtpd

-o smtpd_etrn_restrictions=reject

-o smtpd_client_restrictions=permit_sasl_authenticated,reject

私なりに勉強したところ上記のように#を取ると同時に下二行を追記する事となっておりました。

しかし、10.4には下から二行目は既に記述されていたため最下行のみ追加しました。

そして10.6ですが上記二行共に記述が見当たりません。

と言うことはこの二行を追加すると理解して良いのでしょうか?

それともM3CSL様の仰る通りたった一つの作業「#を取る」だけで良いのでしょうか?

本来ならまずご教授頂きました「#削除」だけを実施し検証をする。

次に上記二行を追加その次はその他を追記する・・・と言うように検証を続けていくのが筋と言うものです。

しかしながら環境が新しくなるのが今月末なのでまだ実機で検証が出来ない状態なのでイメトレ、予習をしておきたいと思った次第です。

もしもよろしければもう少しだけご教授頂けると幸いであります。

宜しくお願いいたします。

2010/02/07 19:09 tousuke への返信

失礼しました。セキュリティのことを失念していました。


単にその下の行、# -o smtpd_tls_security_level=encryptをコメントアウトして、「encrypt」を「may」にすればいいと思います。私も実際にSnow Leopard Serverを使用しているわけではないので、実際それで万全かどうかは正直分かりません。

2010/02/07 21:41 M3CSL への返信

M3CSLさま



ご返信ありがとうございます。

早速ご指摘の件について勉強しましたところ「TLS(トランスポート層セキュリティ)暗号化」について書かれている事が判りました。

デフォルトではPostfix SMTPサーバのTLSは無効になっている・・・「#」=コメントアウトされているのでこれを外せばPostfix SMTPサーバのTLSが有効となる。また、デフォルトでは「smtpd_tls_security_level=encrypt」となっている為TLSの使用を「強制」する設定となっている。

ここで「encrypt」を「may」にすることで強制ではなく「Postfix SMTPサーバはSMTPクライアントにSTARTTLSサポートを案内する」設定に変更出来ると言う事ですね!!


ありがとうございました!

おかげさまで良く理解出来ました!

良い機会ですのでもっと勉強する事にします。


私の疑問に対し的確にご指導頂いた事に加えて「もっと勉強しよう」という気持ちにさせて頂いた事に感謝いたします。本当にありがとうございました。

2010/02/07 23:58 xy への返信

xyさま


アドバイスありがとうございます。


貴殿のアドバイスについて全て検証した訳では有りませんのでハッキリとは言えないのですが、サーバ管理=GUIで設定出来るものとそうで無いものとが有るようです。

今回の「OP25B」に関して25番の代わりにサブミッションポートの代表である587番を使う場合に・・・


「サーバ管理/メール/設定/一般/SMTPを許可にチェック/送信メールのリレー時に経由するホストにチェック・・[example.com]:587・・と記述/リレー時の認証で使用 [ユーザ名]&[パスワード]←ispアカウントとispパスを記述」

と言うように設定をすると「postfix/main.cf」に反映されます。


しかし「サブミッションポート」を使用出来るようにするGUIが用意されていないようです。

ですから「postfix/master.cf」の中にある「#submission inet n - n - - smtpd」から#を取り去る作業を手動で行わねばならないと思われます。


先程10.4serverのGUIと較べていたところ10.4には「リレー時の認証で使用 [ユーザ名]&[パスワード]」の欄が有りませんでした。

10.6になりGUIで出来る事が多く・・・楽に設定出来るようになったようですがまだまだ完璧ではないようです。


xyさま、また何かお気づきの事が有りましたらアドバイスをお願いいたします。

この度はありがとうございました。

2010/02/08 18:26 tousuke への返信

tousuke による書き込み:


しかし「サブミッションポート」を使用出来るようにするGUIが用意されていないようです。

ですから「postfix/master.cf」の中にある「#submission inet n - n - - smtpd」から#を取り去る作業を手動で行わねばならないと思われます。

テストで稼働しているSnow Leopard Serverを見たところ、私のところでは、master.cfでsubmisshionのところがコメントアウトされています。

メールサーバの設定で、SSLを有効にすると、コメントが外れるのでは?

2010/11/08 19:45 tousuke への返信

ちなみにOCNの動的IPを使用していますが自宅サーバーからは一切拒絶されてしまうのでOCNのsmtpサーバをリレーすることにより送受信できました。

参考までにmain.cf・master.cfともインストール時のままでも動作しました。

ただしSSLはOCNに依存しますので自宅サーバーではオフにしなければならないようです。

メールサーバ構成でサイトに「$mydomain」を設定しても私のところでは反映されなかったので、サーバ管理からメール>サイトを表示させて「+」で$mydomainを追加することで対応しました。


ユーザがアップロードしたファイル

すでに問題がなければ単なる蛇足ですが書き込みさせていただきました。

2010/11/14 20:27 heeroyui01jp への返信

heeroyui01jpさん


横から失礼します。


私もこのトピ主さんと同じような問題で悩んでるところにheeroyui01jpさんの書き込みを拝見させて頂きました。実は私もOCNを使用していまして、heeroyui01jさんが仰っている方法と同じように設定してみました。しかし以下の部分がよく分からず、もしお手数でなければ教えて頂きたいと思いまして書き込みさせて頂きました。


heeroyui01jp による書き込み:


メールサーバ構成でサイトに「$mydomain」を設定しても私のところでは反映されなかったので、サーバ管理からメール>サイトを表示させて「+」で$mydomainを追加することで対応しました。

一応heeroyui01jpさんが添付して下さっている画像通りに設定をしてみたものの、やはりサブミッションポートの設定がGUIではどうしようもないような気がしているのですが、heeroyui01jpさんは「main.cf・master.cfともインストール時のまま」とのことで、上記の引用部分をクリアしたらmain.cf・master.cfともインストール時のままで触らなくてもいいのかなぁ〜?と考えています。残念ながらこの引用部分にあたるところがどこか分からず、申し訳ございませんがお手数でなければご教授頂けませんでしょうか?

2010/11/15 15:34 よっしー への返信

よっしー様へ


説明不足ですみませんでした。(例:ホスト名 test.com ネームサーバ ns.test.comとします。)

まず、サーバー上で複数アドレスを使用する際は「web>設定>モジュールの(userdir_module)」にチェックが入っていることを確認して下さい。

なぜデフォルトで外してあるのかわかりませんが、このモジュールが無いと設定してある各ユーザーのweb・mail領域が公開されません。

ワークグループマネージャでユーザーのメールサーバ名がns.test.comになっていることを確認してください。


main.cfを開き次の行が追加されているかをチェックしてみて下さい。

em

relayhost = smtp.xxx.ocn.ne.jp

smtpd_use_tls = no

smtpd_enforce_tls = no

smtpd_helo_required = yes

smtpd_helo_restrictions = reject_invalid_helo_hostname

reject_non_fqdn_helo_hostname

header_checks = pcre:/etc/postfix/custom_header_checks

content_filter = smtp-amavis:[127.0.0.1]:10024

mydomain =test.com

myhostname =ns.test.com


サーバ管理を起動し、 メールの概要から「メールサービスを構成」を実行すると5工程目に「メールサービス:メールの保管」が表示されます。

ここで$mydomainを何度追加しても私のところでは反映されなかったので、サーバ管理>メール>設定>詳細>ホスト>サーバのドメインをローカルホストのエイリアスとして取り込むにチェックを入れ「+」で$mydomainを追加する。するとここのウィンドウでは非表示になりますが設定されるようです。


なおかつサーバ管理のファイアウォール停止した状態でテストをしてみて下さい。

2010/11/15 21:00 heeroyui01jp への返信

heeroyui01jpさん


早速のお返事ありがとうございます。しかも詳細に書いて頂きとても感謝しています。


しかしやはり送信時にエラーが返って来ます。heeroyui01jpさんが仰って頂いてる通りにすべてなっているのですがね...。本来のトピ主さんと同様にサブミッションポートのを解放するようにmaster.cfもいじってみましたがダメでした。


said: 555 5.5.4

Unsupported option: AUTH=<> (in reply to RCPT TO command)


上記のようなエラーメッセージなんでがもう少し勉強してみます。お力を貸して頂いたのにすみませんでした...。

2010/11/18 22:37 heeroyui01jp への返信

heeroyui01jpさん


自己解決しました!


そもそもOCNのリレーサーバのアドレスが自分で間違っていました...😝 お騒がせしてすみませんでした。このトピ主さんの書き込みを上からず〜っと読んで、リンク先の記事もすべて読み、自分の知識不足を補おうと勉強したんですが、本日OCNのサポートセンターに電話し「動的IPを使用している自宅メールサーバでメールの送信が出来ないのでOCNのリレーサーバのアドレスを教えて下さい」と聞いたところ、あっさり「ご自分のメールアドレスの@マークより後ろのドメイン名をそのまま使用して下さい。ポートは25番でSSLは使用しません」との回答が...。今までメーラーで設定していた送信サーバのアドレス(smtp.xxx.ocn.ne.jp)をずっと使用しており、またheeroyui01jpさんと同じ設定をしてダメなのはやっぱりトピ主さんのように587ポートを使用しないとダメなのか?と思い「master.cf」などを書き換えたりもしましたが、ファイルの書き換えも必要なく、ただ単にリレーサーバが違ったと言うだけの超単純なものでした...。


それにしても「OCN リレーサーバ」などで検索して出て来たいろんな掲示板やサイトで沢山の人が「自宅サーバで送信出来ない」などの書き込みを読んで相当敷居が高いように思ってたんですが、なんともあっさり片付いてしまい、少々拍子抜けです。もっともそれらの書き込みはかなり以前のものでそれ以後OCNが変わったのかもしれませんが、少なくともSnow LeopardサーバでOCNを利用している分に関してはGUIだけでメールの送受信可能と言うことが分かりました!


いろいろお世話になりました。

OP25B対策について(postfixの設定)

Apple サポートコミュニティへようこそ
Apple ユーザ同士でお使いの製品について助け合うフォーラムです。Apple ID を使ってご参加ください。