qmail: IP nach fehlgeschlagenem RCPT TO blocken?

[mkr]

Hallo!

Ich wurde um Hilfe gebeten, nach einem Server mit Plesk und qmail zu schauen, der aktuell eine sehr hohe Load (über 20) hat. Da ich sonst kein Plesk und nur Postfix verwende, bin ich am Ende mit meinem Latein.

Folgendes Problem: Ein Spammer probiert alle möglichen User von einigen Domains durch. Da die User in einer MySQL-DB stehen, gibt das einen sehr hohen Load (MySQL ist schon getunt und läuft den Umständen entsprechend optimal).

IPs zu blocken bringt leider nichts, nach ein paar Sekunden geht das Ganze von einer anderen IP aus weiter. Scheint ein Botnet zu sein...

Kann ich qmail so einrichten, dass nach zB. 10 ungültigen RCPT TO Kommandos Anfragen von einer IP für eine Stunde nicht mehr beantwortet werden?

Danke für Eure Hilfe!

 

[LinuxAdmin]

Schau Dir mal folgendes an:
http://www.redhat.com/docs/manuals/linux/RHL-8.0-Manual/ref-guide/s1-tcpwrappers-xinetd.html
Da der xinetd mit TCPwrappers zusammenarbeitet könntest Du Dir ein Script basteln, dass die entsprechenden IPs in /etc/hosts.deny reinschreibt...

 

[mkr]

qmail läuft über inetd, habe ich jetzt gerade entdeckt. (Dachte eigentlich, dass heutzutage "vollwertige" Dienste direkt am Interface laufen...)

Mit einem Script könnte ich es auch über iptables lösen. Aber wie kann ich qmail dazu bringen, nach fehlgeschlagenen RCPT TO ein Script mit der IP als Parameter aufzurufen?

 

[Huschi]

einem Server mit Plesk und qmail
...
Da die User in einer MySQL-DB stehen, gibt das einen sehr hohen Load

Der std.-Plesk-Qmail schaut rein gar nichts in der MySQL nach.

Und selbst wenn, kannst Du die Max-Connection-Anzahl einfach im xinetd runter drehen.

huschi.

 

[mkr]

Der std.-Plesk-Qmail schaut rein gar nichts in der MySQL nach.

Hm, irgendwie habe ich mich da in die Irre führen lassen. Der MySQL-Server hatte eben eine hohe Auslastung, genau wie Qmail.

Heute lies sich das Problem lösen: Jemand hat RAM aufgerüstet (von 1 auf 4GB). Das BIOS hatte einen Bug, so dass das System ca. um den Faktor 100 langsamer war.

Der Spammer probiert immer noch Adressen durch, aber das ist kein Problem mehr für den Server (Load weit unter 1).

Habe mich durch den Spammer total in die Irre führen lassen, da ich vom RAM-Upgrade nichts wusste (ist wie gesagt nicht mein Server).

Auf jeden Fall vielen Dank für die Hilfe und sorry dass ich so blöde Fragen gestellt habe. Die hätten sich wahrscheinlich auch mit Google lösen lassen, aber ich war durch das Problem so im Stress...