☰

Angriff aus China auf Mailserver

tag-icon • tag-icon email iptables postfix
Angriff aus China auf Mailserver

Wie kann man derartige Angriffe auf den Mailserver am besten vermeiden?

Mar 22 21:47:46 mail dovecot: imap-login: Disconnected (auth failed, 1 attempts in 9 secs): user=<andree_fontaine@mydomain>, method=PLAIN, rip=60.173.149.237, lip=172.16.16.1, TLS, session=<Ds/cmwpoCwA8rZXt> Mar 22 21:47:52 mail dovecot: imap-login: Disconnected (auth failed, 1 attempts in 9 secs): user=<camilla_blanc@mydomain>, method=PLAIN, rip=61.185.139.72, lip=172.16.16.1, TLS, session=<dsk9nApoggA9uYtI> Mar 22 21:53:41 mail dovecot: imap-login: Disconnected (auth failed, 1 attempts in 11 secs): user=<emerick_christianne@mydomain>, method=PLAIN, rip=122.117.63.83, lip=172.16.16.1, TLS: Disconnected, session=<eUvvsApoFAB6dT9T>

diese IP-Adressen nachreißen=kommen aus China

dies ist ein Fragment von /etc/postfix/main.cf:

myhostname = mail.mydomain
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = mail, localhost.localdomain, localhost<br>
relayhost =
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128 192.168.0.0/24 172.16.16.0/24
mailbox_size_limit = 0

Ich habe versucht, das Problem zu lösen, indem ich die IP-Adresse erfasst und sie den IP-Tabellenregeln hinzugefügt habe, aber der Einbruch geht mit neuen IP-Adressen weiter, alle aus China

cat /var/log/syslog |grep 'Disconnected (auth failed' |awk -F'=' '{print $4}' |sed 's/.\{5\}$//' |sort -u |awk '{print "$IPTABLES -I INPUT -s " $0 "/16 -j DROP"}'

Die Ausgabe dieses Befehls sieht folgendermaßen aus

$IPTABLES -I INPUT -s 111.75.167.157/16 -j DROP
$IPTABLES -I INPUT -s 112.101.220.75/16 -j DROP
$IPTABLES -I INPUT -s 112.16.214.182/16 -j DROP
$IPTABLES -I INPUT -s 112.26.82.52/16 -j DROP
$IPTABLES -I INPUT -s 114.104.158.172/16 -j DROP
$IPTABLES -I INPUT -s 116.248.41.190/16 -j DROP
$IPTABLES -I INPUT -s 116.248.41.55/16 -j DROP
$IPTABLES -I INPUT -s 117.35.207.102/16 -j DROP
$IPTABLES -I INPUT -s 118.112.180.237/16 -j DROP

Antwort1

Sie können Ihren Rechner vom Internet trennen und damit die Angriffe stoppen. Allerdings werden dadurch auch die eingehenden E-Mails gestoppt.

Ich schlage vor, dass Sie fail2ban verwenden, um diese Bots zu sperren, anstatt es selbst manuell zu versuchen. Neuere Versionen von fail2ban enthalten bereits Postfix- und Dovecot-Jails, die standardmäßig deaktiviert sind. Sie müssen sie also nur aktivieren. Beispielsweise in einer Datei, die von folgendem Code eingebunden wurde /etc/fail2ban/jail.d/:

[postfix]
enabled = true

[dovecot]
enabled = true

verwandte Informationen