in firewall regel IPs blocken ? plesk_saslauthd failed mail authentication attempt for user 'info' (password len=9)

S

shopuser

Member
Ich habe einen Nonstop diese atacken:


Aug 14 07:13:39 server plesk_saslauthd[2529904]: failed mail authentication attempt for user 'info' (password len=9)
Aug 14 07:13:39 server postfix/smtpd[2529839]: warning: unknown[213.154.2.42]: SASL LOGIN authentication failed: authentication failure
Aug 14 07:13:40 server postfix/smtpd[2529839]: lost connection after AUTH from unknown[213.154.2.42]
Aug 14 07:13:40 server postfix/smtpd[2529839]: disconnect from unknown[213.154.2.42] ehlo=1 auth=0/1 commands=1/2


fail2ban fängt all diese ips ab und blockiert, diese aber was sind das hier für Login Versuche ?
Warum steht: "failed mail authentication attempt for user 'info' (password len=9)" hiesse das der user "info" existiertr ? ist aber nicht so
Alle meine Mailadressen haben einen Alias also bei der mailadresse info@domain.com ist der login nicht info@domain.com sondern er446tg@domain.com

wie kann ich die Logins blocken ? woher kommen diese ? webmail ist auch ausgeschaltet


In der Firewall habe ich eine Regel auf Plesk für SSH, FTP, IMAP-Server (für E-Mail-Empfang) nur mit dem Subnetz von meinem Heim-Internet und meinem lokalen Mobilfunkanbieter, Ich kann meine Mails, SSH, FTP nur von diesem Subnetz-IP-Bereich empfangen

kann ich auch solch eine Regel für plesk_saslauthd anlegen ? wenn ja wie ?

wenn ich für die Regel für SMTP-Server (für E-Mail-Versand) mit Subnetz von meinem Heim-Internet anlege kann ich keine Mails von externen Servern empfangen.
was aber eigentlich unlogisch ist denn es steht ja "für E-Mail-Versand"
 
Das sind Versuche, möglichst Zugangsdaten automatisiert zu erraten mit dem Ziel, deinen Mailserver zum versenden SPAM zu missbrauchen. Woher kommen die? Nun, ganz normales "Grundrauschen" im Internet; quasi Tagesgeschäft.

Du kannst sicherlich den Zugriff für Dienste wie SSH, FTP, IMAP auf deine genutzten Subnetzte einschränken. Du musst halt nur daran denken, dass es im Fall der Fälle diese Einschränkung gibt.

Bei SMTP wird es etwas schwierig, sofern du noch erfolgreich E-Mails empfangen und versenden möchtest ;).
Code: 
root@where-the-miracle-happens:~# cat /var/log/syslog.1|grep failed\ mail\ authentication|wc -l
424
 
Last edited:
GwenDragon said:
Ein Filter/Jail für Fail2ban sollte sowas sperren können.
github.com

fail2ban/config/filter.d/postfix.conf at master · fail2ban/fail2ban

Daemon to ban hosts that cause multiple authentication errors - fail2ban/fail2ban
github.com github.com

Brauchst du weiter Hilfe beim Editieren des Jails, der Erstellung des Filters und der Fail2ban-Konfiguration?
Click to expand...
Danke aber der funktioniert prima jedoch "sammeln" sich innerhalb eines tages ca 500 IPs a Zeitraum u. Zeitintervall is auf 9000 eigestellt
 
shopuser said:
anke aber der funktioniert prima
Click to expand...
Also der Filter funktioniert? Wo ist dann das Problem?
shopuser said:
jedoch "sammeln" sich innerhalb eines tages ca 500 IPs a Zeitraum u. Zeitintervall is auf 9000 eigestellt
Click to expand...
Ja, die IPs werden doch geblockt mit Fail2Ban über iptables, oder.
500 IPs am Tag sind doch gar nix. Stört das deinen Server, strürzt der ab?

Was funktioniert denn deiner Ansicht nach da nicht korrekt?
 
Was ist denn dein Problem damit? Die Plesk / Fail2ban mitgelieferte Jail recidive hätte wahrscheinlich den selben Effekt. Fakt ist, du wirst diese Anmeldeversuche nicht effizient unterbinden können, ohne andere Dienste massiv einzuschränken. Wähle sichere Passworte und stelle nur die Dienste bereit, die auch notwendig sind.
 
GwenDragon said:
Also der Filter funktioniert? Wo ist dann das Problem?

Ja, die IPs werden doch geblockt mit Fail2Ban über iptables, oder.
500 IPs am Tag sind doch gar nix. Stört das deinen Server, strürzt der ab?

Was funktioniert denn deiner Ansicht nach da nicht korrekt?
Click to expand...
das funktioniert ja auch prima server stützt nicht ab, es nervt mich nur und ich dachte ich kann es so machen wie bei SSH, FTP, Plesk Login das ich generell nur die "Guten" IPs reinlasse. Das hat sehr viel gebracht früher gab es da noch viel mehr Scanversuche.


Thorsten said:
Was ist denn dein Problem damit? Die Plesk / Fail2ban mitgelieferte Jail recidive hätte wahrscheinlich den selben Effekt. Fakt ist, du wirst diese Anmeldeversuche nicht effizient unterbinden können, ohne andere Dienste massiv einzuschränken. Wähle sichere Passworte und stelle nur die Dienste bereit, die auch notwendig sind.
Click to expand...

Die Passwörter sind ja sicher und die usernamen die die ausprobieren gibt es nicht.
 
shopuser said:
das ich generell nur die "Guten" IPs reinlasse
Click to expand...
Was sin denn gute IPs? Ach so, nur aus deinem LAN.
Das Problem ist aber, dass dein SMTP-Server nicht die lokale IP sieht sondern deine öffentliche IPv4/IPv6.
Und die lokalen Sender-IPs sind ja auch bei anderen vielleicht vorhanden. Da du garantiert keine festen IP-Adressräume für deinen Internetzugang (Client-.Seite) gebucht hast, kannst du auch keine Allowlist in Postfix anlegen.
 
Last edited:
shopuser said:
es nervt mich nur
Click to expand...
Die IPs werden doch geblockt nach so und so viel Versuchen, so wie du es im Jail eingestellt hast.
Aber was nervt denn da?
Irgendwie verstehe ich nicht, was du erreichen willst. Erklär bitte genauer.
 
Last edited:
GwenDragon said:
Was sin denn gute IPs? Ach so, nur aus deinem LAN.
Das Problem ist aber, dass dein SMTP-Server nicht die lokale IP sieht sondern deine öffentliche IPv4/IPv6.
Und die lokalen Sender-IPs sind ja auch bei anderen vielleicht vorhanden. Da du garantiert keine festen IP-Adressräume für deinen Internetzugang (Client-.Seite) gebucht hast, kannst du auch keine Allowlist in Postfix anlegen.
Click to expand...
Mit Gute meine ich die IP Range von meinem DSL Anbieter IPV4, und von meinem Mobilfunk (für den Notfall) , die IPs sind dynamisch deshalb die IP Range.
Das auch andere aus der IP Rang Zugang haben könnten ist mir klar, aber das ist noch nicht passiert,
es sind immer wechselnde IPs aus CN,BR,RU,KR, US, FR auch viel VPN
 
Das nützt dir aber solange in Bezug auf SMTP nichts, solange du noch alle potentiell an und von deinem System gesendeten verarbeiten möchtest.

Es ist meiner Erfahrung nach ein Irrglaube, dass man auch nur ansatzweise sämtlichen bösen Traffic weg filtern könnte. Zumindest nicht, ohne dabei auch legitimen Netzwerkverkehr negativ zu beeinflussen.
 
shopuser said:
jedoch "sammeln" sich innerhalb eines tages ca 500 IPs
Click to expand...
Oh man...so viele Zugriffsversuche am Tag? Auf gut besuchten Systemen hast du 500 oder mehr Versuche pro Sekunde...und solche Maschinen laufen dabei nicht mal warm ;)

Solange deine Maschine nicht irgendwie rumzickt, kannst du dich einfach zurücklehnen und das schöne Sommerwetter genießen.
 
shopuser said:
Mit Gute meine ich die IP Range von meinem DSL Anbieter IPV4, und von meinem Mobilfunk (für den Notfall) , die IPs sind dynamisch deshalb die IP Range.
Click to expand...
Dann setze doch in fail2ban global die Ranges per ignoreip.
www.fail2ban.org

GitHub - fail2ban/fail2ban: Daemon to ban hosts that cause multiple authentication errors

Daemon to ban hosts that cause multiple authentication errors - fail2ban/fail2ban
www.fail2ban.org www.fail2ban.org
Das wirkt aber auf alle Jails.

/EDIT:
Meinetwegen auch nur für den Jail* des postfix dann so:
fail2ban-client set <JAIL_NAME> addignoreip <IP_Address>
* wirkt aber nur bis zum Neustart des fail2ban.
 
Last edited:
You must log in or register to reply here.
Back
Top