☰

ataque desde China al servidor de correo

tag-icon • tag-icon email iptables postfix
ataque desde China al servidor de correo

¿Cuál es la mejor manera de evitar este tipo de ataques al servidor de correo?

Mar 22 21:47:46 mail dovecot: imap-login: Disconnected (auth failed, 1 attempts in 9 secs): user=<andree_fontaine@mydomain>, method=PLAIN, rip=60.173.149.237, lip=172.16.16.1, TLS, session=<Ds/cmwpoCwA8rZXt> Mar 22 21:47:52 mail dovecot: imap-login: Disconnected (auth failed, 1 attempts in 9 secs): user=<camilla_blanc@mydomain>, method=PLAIN, rip=61.185.139.72, lip=172.16.16.1, TLS, session=<dsk9nApoggA9uYtI> Mar 22 21:53:41 mail dovecot: imap-login: Disconnected (auth failed, 1 attempts in 11 secs): user=<emerick_christianne@mydomain>, method=PLAIN, rip=122.117.63.83, lip=172.16.16.1, TLS: Disconnected, session=<eUvvsApoFAB6dT9T>

esas direcciones IP despuésrasgar =son de china

este es un fragmento de /etc/postfix/main.cf:

myhostname = mail.mydomain
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = mail, localhost.localdomain, localhost<br>
relayhost =
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128 192.168.0.0/24 172.16.16.0/24
mailbox_size_limit = 0

He intentado solucionar el problema capturando la dirección ip y agregándola a las reglas de las tablas de ip, pero la intrusión continúa con nuevas direcciones ip, todas de China.

cat /var/log/syslog |grep 'Disconnected (auth failed' |awk -F'=' '{print $4}' |sed 's/.\{5\}$//' |sort -u |awk '{print "$IPTABLES -I INPUT -s " $0 "/16 -j DROP"}'

la salida de este comando es así

$IPTABLES -I INPUT -s 111.75.167.157/16 -j DROP
$IPTABLES -I INPUT -s 112.101.220.75/16 -j DROP
$IPTABLES -I INPUT -s 112.16.214.182/16 -j DROP
$IPTABLES -I INPUT -s 112.26.82.52/16 -j DROP
$IPTABLES -I INPUT -s 114.104.158.172/16 -j DROP
$IPTABLES -I INPUT -s 116.248.41.190/16 -j DROP
$IPTABLES -I INPUT -s 116.248.41.55/16 -j DROP
$IPTABLES -I INPUT -s 117.35.207.102/16 -j DROP
$IPTABLES -I INPUT -s 118.112.180.237/16 -j DROP

Respuesta1

Puede desconectar su máquina de Internet y eso detendrá los ataques. Pero también evitará que llegue el correo.

Le sugiero que utilice fail2ban para prohibir estos bots, en lugar de intentar hacerlo usted mismo manualmente. Las versiones recientes de fail2ban ya contienen cárceles postfix y dovecot, que están deshabilitadas de forma predeterminada, por lo que todo lo que necesitas hacer es habilitarlas. Por ejemplo, en un archivo incluido de /etc/fail2ban/jail.d/:

[postfix]
enabled = true

[dovecot]
enabled = true

información relacionada