Zobrazit příspěvky

Tato sekce Vám umožňuje zobrazit všechny příspěvky tohoto uživatele. Prosím uvědomte si, že můžete vidět příspěvky pouze z oblastí Vám přístupných.


Příspěvky - _mbily

Stran: 1 [2] 3
16
Vývoj / Re:Odesílá php mail() přímo cílovému SMTP?
« kdy: 02. 01. 2022, 21:08:23 »
Pane mikeshznovu, možná máte nějaké důvody, proč věc chcete řešit tak, jak jste uvedl v prvním příspěvku. Ale spíš se domnívám, že neznáte všechny souvislosti týkající se mailového provozu. Zkusím napsat, jak a proč bych podobnou věc řešil já. Kolegové vás stejným směrem v rámci debaty jak vidím tlačí, já to zkusím shrnout a snad tomu dát nějaký zastřešující nadhled.

Vycházím z této situace: Mám linuxový či obecně unixový stroj (k případnému řešení na Windows se nevyjadřuji). Na tom linuxu běží webová aplikace psaná v php, je potřeba z ní odesílat maily. S použitím phpmaileru, budiž. K tomu serveru mám plný (rootovský) přístup. Není to školní či hobby úloha, budeme uvažovat produkční nasazení, ať už to slovo znamená cokoliv.

Phpmailer nastavím tak, aby maily odesílal na smtp server s adresou 127.0.0.1, port 25, bez autentizace. Tedy nějaké smtp službě běžící na tom serveru s webovou aplikací. Z pohledu té aplikace jde o jednoduché, přímočaré řešení. Aplikace mail předala smtp protokolem někam dál, a o další existenci a způsobu doručování toho mailu se nestará, nechce starat ani zajímat.

Na tom vašem serveru nechť je instalován postfix (nebo exim či sendmail). Budiž nastaven tak, aby naslouchal pouze na loopbacku 127.0.0.1, čili není potřeba řešit o něco složitější nastavení kvůli tomu, aby server nemohl být zneužíván třetí stranou k šíření spamu (open relay). Na veřejném rozhraní maily tedy nepřijímá, ale odesílat je v režimu smtp klienta dokáže.

To co vidím jako zásadní je, že od tohoto okamžiku dokážete na úrovni php aplikace mail rychle předat nějakému poštovnímu serveru. A nemusíte řešit situace kdy cílový či nějaký zprostředkující smtp server maily dočasně z jakéhokoliv důvodu nepřijímá, nebo stav kdy došlo někde "na cestě" ke ztrátě ip konektivity. Váš lokální postfix drží mail u sebe ve frontě a sám podniká opakované pokusy o doručení.

Aby ten mail byl protistranou úspěšně přijat a nebyl protějším smtp serverem považován za spam, tak k tomu je potřeba splnit celou řadu dalších požadavků a použít technologie, jejichž zkratkami tu raději ani nebudu pohazovat. Jen takové zahřívací dotazy: generujete maily včetně správně sestaveného řádku Message-Id:? Máte správné MIME hlavičky počínaje MIME-Version:? (phpmailer znám jen z rychlíku, možná se o to stará sám)

Abyste těmi poštovními technologiemi neztrácel zbytečně mnoho úsilí a času, tak kvůli tomu jednotliví ISP provozují skutečné poštovní servery. Do vašeho lokálního postfixu stačí doplnit pár dalších řádek (adresa takového serveru plus autentizační údaje). Server Vašeho ISP pak je ochoten Váš mail převzít a sám už zařídí vše potřebné, např. DKIM podpisy. Nu a pak ten mail odešle na cestu směrem k příjemci. Samozřejmě obdobně můžete místo Vašeho ISP využít i servery gmailu či seznamu.

Nezmínil jsem otázku zpráv o nedoručitelnosti. Adresa příjemce může být chybná, nebo zanikla atp. Zprávy o nedoručení nebudete schopen přijímat smtp serverem na Vašem webovém stroji, protože on zprávy ze světa vůbec nedokáže přijmout. Je potřeba mít celkové nastavení takové, aby nedoručenky končily ve vašem mailboxu u ISP.


17
Server / Re:Mail u sebe doma
« kdy: 06. 12. 2021, 21:30:20 »
To ovšem znamená, že e-maily odmítáte tak, že se o tom odesílatel může dozvědět.

Můžu odmítat různým způsobem. Na správně nastaveném serveru odesilatele se o tom uživatel dozví v (dejme tomu) obou dvou možných situacích. Buď mail odmítnu ve fázi navázaného smtp spojení. Tím se o problému odesílající server, jeho postmaster i odesilatel mohou dozvědět prakticky v reálném čase. Pokud bych vůbec nedovolil navázat smtp spojení, tak by totéž mělo nastat po cca 3-5 dnech. Tj. za dobu, po kterou mail u odesilatele stál ve frontě a byly činěny pokusy ho odeslat, navázat smtp spojení s protistranou.

Samozřejmě záleží na tom, zda na odesílajícím serveru se na chybové události nějak reaguje, jak je v případě postfixu nastaveno notify_classes, zda ty nedoručenky vůbec někdo čte apod.

Pro ilustraci, k celkovému počtu 12500 mailů přijímaných za včerejší neděli jednou z "mých" přijímacích bran (a připuštěných až k rozhodnutí spam/ham) je potřeba připočíst dalších zhruba 31000 mailů zamítnutých na nižší úrovni postfixem právě kvůli problémům s PTR záznamem. Jsem ale lidumil a zamítám je s kódem 4xx.  Takže ve skutečnosti jich je znatelně méně, započítávají se zde i opakované pokusy. (Lze jistě diskutovat, zda v této situaci odmítat s kódem 4xx je lepší nebo horší než s 5xx)


18
Server / Re:Mail u sebe doma
« kdy: 06. 12. 2021, 20:33:35 »

Oba dva jste napsali jenom o tom, kolik omezíte spamu, ale nenapsali jste, kolik omezíte regulérní pošty.

V dlouhodobém průměru nula nula nic.

Snad takový správce umí ve svém mailboxu najít příslušnou nedoručenku. A zeptat se (z jiné mailové adresy), jaký s ním asi tak mám problém. Na to samozřejmě reaguju a slušně odepíšu. No a on je buď schopen problém odstranit, nebo své regulérní maily společně s ostatními členy rodiny či jiného gangu bude muset posílat od různých seznamů, gmailů a jim podobných. Nevidím v tom problém.

19
Server / Re:Mail u sebe doma
« kdy: 06. 12. 2021, 19:48:43 »
Zřejmě patřím k do tábora oněch "usilovných bojovníků se spamem". Pro mne je nastavení A/AAAA/PTR záznamů prvním krokem k rozpoznání toho, zda to správce dotyčného stroje myslí s provozováním poštovního serveru vážně. Něco jako prokázání základní úrovně kvalifikace. Kdo tímto testem neprojde, s tím se nebavím. Může se mu to nelíbit, může s tím i nesouhlasit, ale to je asi tak všechno. U serveru se správně nastavenými DNS záznamy je naděje, že mne nebude zahlcovat tunami spamu a phishingu generovanými nějakými breberkami. A na filtraci tohoto spamu nebudu muset obětovat příliš mnoho výkonu mého serveru.

20
Software / Re:Čím zpracovávat přijímané DMARC reporty?
« kdy: 05. 11. 2021, 20:09:45 »
Děkuji za vaše reakce.

O službě marcian jsem už věděl. Vypadá zajímavě. Ale stále bych byl raději za in-house řešení.

A co si od zpracování reportů slibuji? Se spamujícím Číňanem z mé podvržené domény toho moc neudělám. Ale aspoň se to dozvím lepší cestou, než ze zpráv o nedoručení mailů. Mám pocit, číselně nepodložený, že oproti době před dejme tomu pěti lety výskyt tohoto zneužívání adres dost poklesl. Asi to souvisí s důslednějším nasazováním SPF kontrol.

Zajímavější je pro mne jiná věc. Pracuji v technicky zaměřené svobodomyslné akademické instituci. Řada zaměstnanců i studentů je schopna odesílat maily (ve smyslu DMARC podvržené) třeba ze svého soukromého hostingového serveru, z domácího počítače přes smtp server providera nebo třeba ze smtp serveru jiné instituce, kde mají další pracovně-právní vztah. Ne každý příjemce řeší SPF. O podobných aktivistech jsme se proto dozvídali poměrně zřídka kdy, a spíše náhodně. Po zavedení DMARC a zpracováním reportů máme šanci toto zjišťovat o něco spolehlivěji. Ostatně, když už DMARC zavedeme, tak považuji za slušnost a řekněme i profesní čest, abychom DMARC reporty jak sami odesílali, tak i přijímali a vyhodnocovali. Vede nás k tomu i snaha o kybernetickou bezpečnost či alespoň zajišťování  nějakého základního pořádku v e-mailových službách. A v neposlední řadě se na nás vztahuje nedávno vydaná "mailová vyhláška" NÚKIBu (ale DMARC reporty se v ní neřeší).

21
Software / Čím zpracovávat přijímané DMARC reporty?
« kdy: 01. 11. 2021, 22:43:56 »
Zvolna se přibližuje okamžik, kdy pro zkvalitnění e-mailového prostředí budu moci publikovat DMARC politiku. V té souvislosti mne zajímá, jakým rozumným open source nástrojem lze provádět hromadné zpracování přijímaných DMARC reportů, jejich analýzu, sumarizaci a případně vizualizaci. Jedná se o nasazení v organizaci, kde jsou denně odesílány nízké desítky tisíc mailů (žádný spam, newslettery, PR apod.). Nemám představu o budoucích počtech přijímaných reportů.

Po debatě s Googlem mi připadá, že vhodným nástrojem by mohl být projekt parsedmarc a na něj navázané další nástroje. Doporučíte mi někdo tuto cestu nebo nasměrujete jinam? Jaké jsou vaše zkušenosti? Děkuji.

22
Server / Re:Odchozí pošta padá do spamu
« kdy: 25. 10. 2021, 22:57:53 »
Chapu, ale jak se ma clovek ktery vam chce posilat postu dozvedet ze toto vyzadujete? Mate to treba nekde zverejne?

Číst logy. V nich lze vyčenichat okamžik (smtp příkaz), který se protistraně nelíbil. Sledovat velikost fronty (dohledový systém) a jaké maily (od koho, kam) tam zůstávají viset. Vyhodnocovat logy některým z mnoha udělátorů, ty každodenní přehledy alespoň rychle prolistovat. Oko se časem vycvičí reagovat na anomálie. No a dobrou zpětnou vazbu poskytují i telefonáty a tickety od uživatelů :-).

Dále je dobré sledovat (opět dohledový systém) třeba platnost certifikátů serverů a výskyt vlastních adres na majoritních blo/acklistech. Mít na příjmu i vysílání nasazeny ratelimity, třeba i jen v podobě prostého postfwd. A nad nimi opět dohled.

V poslední době se bavím sledováním používaných verzí TLS protokolu. Je až neuvěřitelné, jak i někteří významní provozovatelé zamrzli v čase. Zdravím adminy smtp-out serverů gmmr?.c?n?r?m.cz.

23
Server / Re:Jak co nejjednodušeji udělat záložní MX server?
« kdy: 12. 10. 2021, 21:25:55 »
To je zajímavá úvaha, ale pokud jsou dané servery „koncové“, jak zajistím integritu e-mailových schránek? Vždyť budu mít půlku pošty na jednom a druhou půlku na druhém... Nebo mi něco uniká?
Přijatá zkontrolovaná pošta se doručí/uloží do mailboxů na třetím stroji. A na něm poběží i imapd, webmailová aplikace a podobné věci. Jen s tímto serverem komunikují koncoví uživatelé. V případě většího počtu uživatelů a důležitosti pošty může být i to rozdělení aplikací na dvě množiny pro admina celkem příjemné. Nemáte na serveru širokou paletu aplikací, lépe se ladí výkon jednotlivých strojů, sw upgrade může být méně bolestivý.

24
Server / Re:Jak co nejjednodušeji udělat záložní MX server?
« kdy: 11. 10. 2021, 22:19:23 »
Pokud vám z nějakých analýz vyšla potřeba mít MX server zálohovaný, zvažte i méně typický scénář. Dva servery se shodnou MX prioritou, ve shodné konfiguraci. Krom jiného tím i vzniká prostor pro snazší nasazení nějaké konfigurační automatizace (ansible apod.). No a díky shodným MX prioritám se ham i spam provoz tak nějak přirozeně rozloží mezi oba servery a různé statistické nástroje antispamu budou stále přibližně stejně naučeny na aktuální mailový provoz. Považuji to za lepší, než aby záložní server v případě nějakého výpadku převzal provoz bez naučeného antispamu, nebo naučeného jen na spam.

25
Sítě / Re:Cisco Catalyst WS-C3560CPD-8PT-S - problém s POE
« kdy: 18. 09. 2021, 17:20:23 »
Vizte datasheet s jednotlivými modely té řady. https://www.cisco.com/c/en/us/products/collateral/switches/catalyst-2960-c-series-switches/data_sheet_c78-639705.html

Prostě je to již postarší malý switch s možností napájet 1-2 telefony nebo jeden access point.

26
Sítě / Re:Cisco Catalyst WS-C3560CPD-8PT-S - problém s POE
« kdy: 18. 09. 2021, 16:49:30 »
Hm, máte pravdu, a já se omlouvám. Většina modelů z té řady dává sice 124W, ale tenhle konkrétní CPD je na tom hůř.

27
Sítě / Re:Cisco Catalyst WS-C3560CPD-8PT-S - problém s POE
« kdy: 18. 09. 2021, 13:34:06 »
Tuhle krabičku jsem nikdy v ruce nedržel. Ale podle dokumentace by měla mít celkový PoE budget 124W. Takže je něco špatně. Prolezl bych show environment, show power, zajímal se o hlášky v logu během startupu. Mohla by tam být nějaká stopa.

28
Server / Re:Ubuntu server - ansible - vault password
« kdy: 05. 08. 2021, 21:52:11 »
Citace
vault_password_file

V souboru, na nějž  se odkazujete direktivou vault_password_file, je jen jediný řádek, a v něm je zapsáno to heslo. Žádné další mašličky, dvojtečky, rovnítka a podobné ozdoby.

Dále doporučuji Vaší pozornosti https://stackoverflow.com/questions/51771994/how-do-i-use-an-encrypted-variable-ansible-ssh-pass-in-an-ini-file, včetně věty "It seems also, that the function AnsibleVaultEncryptedUnicode, which decrypts the value, is called only from the YAML parser"

No a nebo můžete ten problém zkusit řešit úplně jinak. Znáte program ssh-agent?

29
Server / Re:Záchrana dat z úložiště se SunOS
« kdy: 31. 05. 2021, 23:17:47 »
SMF neboli Service Management Facility je cosi na způsob systemd. Hledejte/googlujte svc, svcadm, svcs. Vizte též https://wiki.openindiana.org/oi/rsync+daemon+service+on+OpenIndiana

30
Software / Re:Dohledový systém
« kdy: 08. 01. 2021, 16:26:08 »
 Rovněž provozuji Icingu2 bez Directoru. Stejné důvody jako uvádí kolega, není nad to mít konfiguraci hezky v souborech. Icinga je pěkný nástroj v  moderním kabátku. Sympatická je možnost doinstalovat různá rozšíření (mapičky pro šéfy, grafická znázornění závislostí apod.). Samotné monitorovací jádro ve srovnání s nagiosem ale považuji za poněkud tupé. Tam, kde nagios při podezření na problém pro jistotu ověří i host status dotyčného prvku (a tuším i nadřízeného), tam icinga dál nerušeně jede svým pravidelným rytmem kontrol služeb a hostů. Při dohledování sítových prvků nechcete dostat 20 zpráv o výpadku třeba telefonů, ale jedinou zprávu o výpadku switche, na který jsou připojeny. V icinze mi nezbylo než postupně zapnout tři různé nestandardní volby, kterými se tento problém jakž takž obejde, byť za cenu určitých kompromisů. Autor či autoři tento problém nějak nechtějí chápat a v debatním fóru na výtky většinou reagují tím, že topologicky vzdálenější prvky je třeba testovat méně často.

Pokud na něco stačí nagios, tak bych ho s klidným svědomím nasadil i dnes.

Stran: 1 [2] 3