Hoe u het doorsturen van uitgaande e-mails op basis van IP-adres in Zimbra kunt beperken.

Om te beperken welke systemen niet-geauthenticeerde uitgaande e-mail via een Zimbra MTA kunnen verzenden, stelt u zimbraMtaMyNetworkshet attribuut van die server in op een korte whitelist van vertrouwde IP-adressen of CIDR-netwerken. Houd loopback in de lijst, behoud alle bestaande vertrouwde hosts die nog steeds relay nodig hebben en verwijder brede bereiken die u niet langer vertrouwt. Herlaad vervolgens Postfix en test zowel een goedgekeurde als een niet-goedgekeurde bron.

Deze instelling bepaalt welke vertrouwde SMTP-clients berichten kunnen doorsturen zonder SMTP-authenticatie. Het blokkeert niet alle uitgaande berichten van een geauthenticeerde Zimbra-gebruiker en stelt ook niet de volgende-hop-mailserver in. Als u authenticatie wilt vereisen voor roaming-mailclients of specifieke gebruikersaccounts wilt beperken, gebruik dan de juiste authenticatie- of mailbeleidsinstellingen.

Wat regelt de IP-whitelist?

De MTA van Zimbra maakt gebruik van Postfix. In Postfix wordt een client waarvan het bronadres overeenkomt, mynetworksals vertrouwd beschouwd voor doorsturen. Zimbra stelt deze lijst beschikbaar via zimbraMtaMyNetworks. Een host op de lijst kan e-mail voor externe bestemmingen verzenden zonder authenticatie, waardoor elke vermelding een betekenisvolle vertrouwensbeslissing is.

Verwar de whitelist niet met de relayhost zimbraMtaRelayHost. De whitelist bepaalt welke SMTP-clients via deze MTA mogen doorsturen. Een relayhost is de upstream-server waarnaar de MTA niet-lokale berichten doorstuurt, bijvoorbeeld wanneer een netwerkprovider een smarthost vereist. Het wijzigen van de ene heeft geen invloed op de andere.

De pagina's van het Zimbra Tech Center beschrijven dit attribuut en de bijbehorende commando's, maar sommige informatie is gemarkeerd als 'in ontwikkeling' of archiefdocumentatie. Controleer het gedrag aan de hand van uw geïnstalleerde Zimbra-release en implementatieontwerp voordat u wijzigingen aanbrengt. De onderstaande voorbeelden gebruiken de Zimbra-opdrachtregeltools als zimbraserviceaccount, conform de MTA-richtlijnen van Zimbra.

Voordat u de instelling wijzigt

• Identificeer de MTA-host die SMTP-verzoeken ontvangt van de systemen die u wilt toestaan. Bepaal in een omgeving met meerdere MTA's welke MTA's deze verbindingen afhandelen en plan de wijziging op elke relevante server.
• Zoek het vaste bron-IP-adres dat de MTA daadwerkelijk ziet. Als de applicatie zich achter NAT bevindt, gebruik dan het openbare uitgaande adres, niet het privé-LAN-adres. Als het IP-adres regelmatig verandert, moet een whitelist met alleen IP-adressen voortdurend worden bijgewerkt.
• Noteer het huidige Zimbra-attribuut en de effectieve Postfix-waarde. Vervang een bestaande lijst niet door alleen het nieuwe adres voordat u hebt gecontroleerd welke services afhankelijk zijn van de huidige vermeldingen.
• Plan een onderhoudsvenster of wijzigingsvenster in dat geschikt is voor uw postbezorgservice en bewaar een back-up van de exacte oorspronkelijke waarde.

Gebruik een CIDR-bereik voor één host, zoals /32voor een IPv4-adres. Bijvoorbeeld, 198.51.100.25/32vertegenwoordigt één IPv4-host; dit adres is alleen ter documentatie, dient als voorbeeld en mag niet als echt serveradres worden gebruikt. Een breder bereik, zoals , /24vertrouwt elk adres in dat subnet. Voeg geen openbare netwerken of grote providerbereiken toe alleen om een ​​test te laten slagen.

Hoe stel ik de whitelist voor Zimbra-relays in?

1. Controleer de geconfigureerde en effectieve waarden.

Meld u aan bij de MTA-host en schakel over naar het Zimbra-serviceaccount. Vervang dit mta.example.comdoor de exacte servernaam die door de installatieopdracht wordt geretourneerd zmhostname.

su - zimbra
zmhostname
zmprov gs mta.example.com zimbraMtaMyNetworks
postconf mynetworks

De eerste query leest de waarde die is opgeslagen voor het Zimbra-serverobject; postconfdeze toont de effectieve Postfix-instelling. Sla beide uitvoerwaarden op. Als het LDAP-attribuut niet is ingesteld, gebruikt Postfix mogelijk een standaardwaarde. Ga er dus niet van uit dat een lege query betekent dat er geen vertrouwde netwerken zijn. Controleer de effectieve waarde en het configuratiegedrag van uw versie voordat u verdergaat.

2. Stel de kortst mogelijke complete lijst samen.

Maak een lijst met loopback plus elke bron die daadwerkelijk een niet-geauthenticeerde relay nodig heeft. Voor een server die alleen relay van localhost en één vaste applicatiehost mag accepteren, zou de lijst er als volgt uitzien:

127.0.0.0/8 198.51.100.25/32

Vervang het voorbeeldadres door het daadwerkelijke adres dat zichtbaar is voor de MTA. Voeg de benodigde lokale interfaces van de server of extra vertrouwde services pas toe nadat u hebt bevestigd dat ze nodig zijn. Vermijd het gebruik van een breed kantoorsubnet als er slechts één server vertrouwd moet worden; beperk dit waar mogelijk tot een hostvermelding.

3. Stel de waarde in op de juiste MTA.

Gebruik dit zmprov msom het attribuut op serverniveau in te stellen. Deze opdracht vervangt de waarde, dus neem elke vermelding op die u wilt behouden, inclusief loopback:

zmprov ms mta.example.com zimbraMtaMyNetworks '127.0.0.0/8 198.51.100.25/32'

Voor meerdere IP-adressen plaatst u de volledige goedgekeurde lijst tussen aanhalingstekens, gescheiden door spaties. Voer een voorbeeldopdracht niet ongewijzigd uit. Als uw configuratie afhankelijk is van een globale waarde, server-level overrides, IPv6, meerdere MTA's of versiespecifiek gedrag, controleer dan hoe overerving en gegenereerde Postfix-configuratie werken in die implementatie voordat u het attribuut instelt.

4. Herlaad Postfix en controleer de actieve instelling.

Nadat u de Zimbra-configuratie hebt gewijzigd, herlaadt u Postfix als het Zimbra-serviceaccount en vraagt ​​u vervolgens de effectieve waarde opnieuw op:

postfix reload
postconf mynetworks
zmprov gs mta.example.com zimbraMtaMyNetworks

De uitvoer moet overeenkomen met de door u ingestelde whitelist, inclusief loopback. Als Postfix een onjuist netwerk meldt of als de waarden verschillen, stop dan en los dat configuratieprobleem op voordat u de e-mailstroom test. CIDR-vermeldingen moeten de juiste netwerkgrens gebruiken; gebruik voor één host het hostadres met /32, in plaats van een netwerkmasker dat naburige hosts omvat.

Hoe controleer ik of de beperking werkt?

Test vanuit een gecontroleerd, geautoriseerd systeem met hetzelfde netwerkpad en dezelfde SMTP-listener als de daadwerkelijke applicatie. Verstuur een bericht naar een mailbox die u beheert buiten de Zimbra-domeinen. Controleer of de goedgekeurde host het bericht kan verzenden en of de MTA-logboeken een succesvolle acceptatie of aflevering weergeven. Zimbra MTA-activiteit wordt doorgaans gelogd /var/log/zimbra.log; controleer de relevante tijdstempel en het bron-IP-adres in plaats van alleen af ​​te gaan op het succesbericht van een e-mailclient.

Test vervolgens vanaf een host die niet op de whitelist staat en niet is geauthenticeerd. Het verwachte resultaat is een relay denial wanneer er geprobeerd wordt naar een niet-lokale ontvanger te verzenden. Controleer het MTA-logboek op de geweigerde verbinding en het bronadres dat door Postfix is ​​waargenomen. Een niet-geauthenticeerde client kan mogelijk nog steeds naar lokale Zimbra-ontvangers verzenden; dat is normale e-mailontvangst en bewijst niet dat deze uitgaande e-mail kan doorsturen.

Test ook alle legitieme applicaties die op de oude lijst stonden. Een mislukte applicatie-inzending betekent meestal dat het verkeerde bronadres op de whitelist stond, dat een oude vertrouwde afhankelijkheid is verwijderd of dat de applicatie SMTP-authenticatie vereist. Als clients tussen netwerken wisselen of hun uitgaande IP-adres niet stabiel is, is SMTP-authenticatie via TLS over het algemeen gemakkelijker te beheren dan het herhaaldelijk wijzigen van een IP-whitelist.

Hoe u een eerdere versie kunt terugdraaien of problemen kunt oplossen

Als goedgekeurde applicaties niet meer verzenden, herstel dan de exact opgeslagen waarde in plaats van een geschat subnet toe te voegen. Pas dit toe met zmprov ms, herlaad Postfix en bevestig de effectieve waarde met postconf mynetworks. Controleer of een load balancer, NAT gateway, container host of uitgaande proxy het bronadres wijzigt voordat het de MTA bereikt.

Een Relay access deniedreactie kan ook betekenen dat de client niet is geauthenticeerd en dat het bron-IP-adres niet in de lijst met vertrouwde apparaten staat. Configureer voor normale e-mailgebruikers SMTP-verzending met authenticatie in plaats van alle gebruikersnetwerken aan de lijst toe te voegen zimbraMtaMyNetworks. Brede whitelists creëren een groter onbevoegd relay-oppervlak en kunnen de server kwetsbaar maken voor misbruik als een vertrouwd netwerk onbeheerde apparaten bevat.

Als de MTA-waarde correct lijkt, maar het gedrag niet verandert, controleer dan of u de server die de verbinding accepteerde hebt bewerkt, of het herladen is gelukt en of geen andere Postfix-instantie of netwerkapparaat SMTP afhandelt. Bewerk Zimbra-gegenereerde Postfix-bestanden niet rechtstreeks als permanente oplossing; configuratiebeheer kan deze opnieuw genereren. Raadpleeg de Zimbra-beheerdocumentatie of het ondersteuningskanaal voor releasespecifieke procedures wanneer de LDAP-waarde en de runtimeconfiguratie niet overeenkomen.

Hoe een succesvol resultaat eruitziet

• postconf mynetworksToont alleen loopback-adressen en de beoogde vertrouwde bronadressen of netwerken.
• De goedgekeurde, niet-geauthenticeerde applicatie kan berichten verzenden naar een externe testmailbox.
• Een niet-geauthenticeerde, niet-goedgekeurde host ontvangt een relay denial voor een externe ontvanger.
• Geverifieerde gebruikers en inkomende lokale e-mail blijven naar behoren functioneren.
• De vastgelegde terugdraaiwaarde en de lijst met afhankelijke services worden bewaard voor toekomstige wijzigingen.

Deze methode beperkt niet-geauthenticeerde relays op basis van het bron-IP-adres. Het vervangt geen SMTP-authenticatie, TLS, snelheidsbeperkingen, accountbeveiliging of monitoring, en kan geen onderscheid maken tussen individuele applicaties die hetzelfde openbare NAT-adres delen. Gebruik het als één gerichte controle en controleer de whitelist telkens wanneer netwerkuitgaand verkeer of MTA-rollen veranderen.

Bronnen

• Zimbra Tech Center: ZimbraMtaMyNetworks
• Zimbra Tech Center: Zimbra MTA
• Zimbra Tech Center: Problemen met de e-mailstroom identificeren en oplossen
• Postfix-handleiding: mynetworks