메일 서버의 로그를 보면 다음과 같은 메시지가 나타났습니다.
Nov 29 12:09:38 mta postfix/smtpd[8362]: connect from unknown[183.13.165.14]
Nov 29 12:09:39 mta postfix/smtpd[8362]: lost connection after AUTH from unknown[183.13.165.14]
Nov 29 12:09:39 mta postfix/smtpd[8362]: disconnect from unknown[183.13.165.14]
Nov 29 12:09:39 mta postfix/smtpd[8409]: connect from unknown[183.13.165.14]
Nov 29 12:09:40 mta postfix/smtpd[8409]: lost connection after AUTH from unknown[183.13.165.14]
Nov 29 12:09:40 mta postfix/smtpd[8409]: disconnect from unknown[183.13.165.14]
이 경우 SASL 실패가 없습니다. SASL 실패는 다른 시간에 기록되지만 결코로 기록되지 않습니다 lost connection after AUTH.
여기서 무슨 일이 일어나고 있으며 그것에 대해 어떻게해야합니까?
이들은 MX가 아니며 이미 smtpd_client_connection_rate_limit설정되어 있습니다.
관련 :
AUTH가 발표되기 전에 시스템에 SMTPS 또는 STARTTLS가 필요합니다.
답변
스팸을 전달하려는 상자에 연결하는 중국의 봇넷입니다. 그러나 봇은 자신을 인증하라는 지시를받을 때해야 할 일을 알기에는 너무 어리 석습니다. 봇은 메일 전송을 중단하고 다음 피해자를 공격하기 위해 연결을 끊습니다.
걱정할 것은 없습니다.
답변
내 로그 파일이 가득 차서이 바보들과의 연결을 허용하는 CPU 낭비입니다. fail2ban규칙을 만들었습니다 .
Jul 11 02:35:08 mail postfix/smtpd[16299]: lost connection after AUTH from unknown[196.12.178.73]
내용 /etc/fail2ban/jail.conf
[postfix]
# Ban for 10 minutes if it fails 6 times within 10 minutes
enabled = true
port = smtp,ssmtp
filter = postfix
logpath = /var/log/mail.log
maxretry = 6
bantime = 600
findtime = 600
내용 /etc/fail2ban/filter.d/postfix.conf
# Fail2Ban configuration file
#
# Author: Cyril Jaquier
#
# $Revision$
#
[Definition]
# Option: failregex
# Notes.: regex to match the password failures messages in the logfile. The
# host must be matched by a group named "host". The tag "<HOST>" can
# be used for standard IP/hostname matching and is only an alias for
# (?:::f{4,6}:)?(?P<host>[\w\-.^_]+)
# Values: TEXT
#
# Jul 11 02:35:08 mail postfix/smtpd[16299]: lost connection after AUTH from unknown[196.12.178.73]
failregex = lost connection after AUTH from unknown\[<HOST>\]
# Option: ignoreregex
# Notes.: regex to ignore. If this regex matches, the line is ignored.
# Values: TEXT
#
ignoreregex =
답변
다음 과 같이 smtpd_recipient_restrictions설정 reject_unknown_client_hostname하십시오.
smtpd_recipient_restrictions = reject_unknown_client_hostname
이로 인해 클라이언트가 거부되고 알 수없는 호스트 이름으로 좀비 봇이나 멍청한 좀비 봇이 거부됩니다. 설정하면 로그는 다음과 같습니다.
postfix/smtpd[11111]: NOQUEUE: reject: RCPT from unknown[183.13.165.14]: 450 4.7.1 Client host rejected: cannot find your hostname, [183.13.165.14]
답변
걱정해야 할 것이 많지 않은지 확실하지 않습니다. 기본적으로 클라이언트 / ‘누군가’가 연결하고 AUTH를 발행하고 자체 계약에 따라 연결을 끊습니다. 메일 클라이언트에서 서버 기능을 조사하려는 시도이거나 데몬을 케이스하려는 시도 일 수 있습니다.
충분한 보안이 유지되는 한 세상에서 또 다른 문을 두드리는 것입니다.