Domanda
Come si utilizza la query di accettazione LDAP per convalidare il mittente dei messaggi inoltrati?
AVVERTENZA: è possibile eseguire una query di accettazione LDAP solo sull'indirizzo della busta 'mail from' se il messaggio arriva su un listener pubblico. Il listener privato non consente l'utilizzo delle query di accettazione LDAP. La query di accettazione LDAP viene applicata solo alle connessioni in entrata. Per questo motivo, il comportamento di connessione dei criteri del flusso di posta NON deve essere impostato su Inoltro affinché questa impostazione funzioni.
Di seguito sono riportati i passi necessari per impostare la convalida del mittente della query di accettazione LDAP:
- Per consentire o negare ai mittenti interni l'inoltro su Internet, a seconda dell'esistenza del loro indirizzo di posta nel protocollo LDAP, il listener privato dovrà essere sostituito con un listener pubblico. In questo esempio il nuovo listener pubblico sarà denominato "Outbound_Sender_Validation".
- Creare un nuovo profilo del server LDAP e impostare una query di accettazione LDAP per questo profilo. Per ottenere la query di accettazione LDAP per convalidare l'indirizzo del mittente della posta per la busta, è necessario sostituire {a} con {f} nella stringa di query. Ulteriori informazioni su come configurare e utilizzare LDAP sono disponibili nella Guida dell'utente avanzata.
Esempio.: (mail={a}) => (mail={f})
- Abilitare la query di accettazione LDAP configurata sul listener "Outbound_Sender_Validation".
- Andare a "Mail Policies > Recipient Access Table(RAT)" (Policy di posta > Tabella di accesso destinatari (RAT) e passare al nuovo listener pubblico, "Outbound_Sender_Validation" (Convalida mittente in uscita). Per consentire l'inoltro, impostare "Tutti gli altri destinatari" su Accetto e assicurarsi che questa sia l'unica voce nella RAT.
- Andare alla "Panoramica HAT" e passare al listener "Outbound_Sender_Validation". In questo caso, è necessario un solo gruppo di mittenti. Per evitare il rischio di un inoltro della posta aperto, è consigliabile impostare questo gruppo di mittenti in modo che corrisponda solo agli indirizzi IP degli MTA a cui è consentito l'inoltro.
- È importante che il comportamento di connessione dei criteri del flusso di posta assegnati NON sia impostato su Inoltra, in quanto altrimenti l'utilizzo della query di accettazione LDAP verrebbe disabilitato.
- Per assicurarsi che nessun altro MTA possa connettersi tramite "Outbound_Sender_Validation", impostare il criterio del gruppo di mittenti predefinito "ALL" su BLOCKED.
Elementi Visualizzati Nei Registri
AVVERTENZA: in base a questa impostazione, il rifiuto non viene eseguito prima della ricezione dell'indirizzo destinatario della busta. Ciò è dovuto al fatto che la query di accettazione LDAP originariamente era destinata al destinatario e non alla convalida del mittente. Questo appare anche nei log di posta, dove il rifiuto LDAP è indicato sulla stessa riga di log dell'indirizzo del destinatario:
Wed Feb 18 16:16:19 2009 Info: New SMTP ICID 2643 interface Management
(10.0.0.100) address 10.0.0.200 reverse dns host unknown verified no
Wed Feb 18 16:16:19 2009 Info: ICID 2643 ACCEPT SG RELAY_HOSTS match 10.0.0.200
rfc1918
Wed Feb 18 16:16:32 2009 Info: Start MID 2554 ICID 2643
Wed Feb 18 16:16:32 2009 Info: MID 2554 ICID 2643
From: <do_not_exist@example.test>
Wed Feb 18 16:16:39 2009 Info: MID 2554 ICID 2643 To: <good_user@example.com>
Rejected by LDAPACCEPT
Wed Feb 18 16:17:14 2009 Info: ICID 2643 close
Se si esamina questa voce del log, si potrebbe ritenere che l'indirizzo rifiutato sia 'good_user@example.com' anche se in realtà è 'do_not_exist@example.test' ad essere rifiutato.
Feedback