Discussion:
sendmail Problem: 550 5.7.1 ... Relaying denied. Proper authentication required.
(zu alt für eine Antwort)
Christian Völker
2004-12-08 19:40:09 UTC
Permalink
Hallo,

dies ist mein erstes Posting auf dieser Liste. Ich habe vorher
nach passenden Threads gesucht aber nichts gefunden. Folgende
Situation:

- Ich habe mir einen Virtual Server gemietet mit Debian Woody drauf.

- Ich moechte MTA hauptsaechlich als Backend fuer Webanwendungen
nutzen, habe also keine weiter gehenden Ansprueche daran, er
soll einfach moeglichst bald laufen und kein open relay sein.
Deshalb moechte ich moeglichst den vorinstallierten sendmail
weiter nutzen und nicht auf den mir an sich sympathischeren
postfix umsteigen.

- Meine Debian Erfahrung ist sehr endlich. Zu Hause habe ich
MacOS X, also ein BSD basiertes System. Das CLI jagt mir
keine Angst ein. Die einzige sendmail Konfiguration, die
ich bisher jemals vorgenommen habe bestand in einem Ein-
zeiler mit einem Smarthost Eintrag. D.h. ich weiss um die
Existenz von m4 und Co., muss aber jedes mal Doku lesen,
wenn ich es brauche. Insgesamt sind mailserver nicht mein
Spezialgebiet.

- Der Server akzeptiert Verbindungsaufnahmen von aussen auf
Port 25. Fuer die Maschine existiert ein DNS-Eintrag samt
MX-record. Ein reverse Eintrag zur Aufloesung der IP ist
noch nicht vorhanden. Er wuerde extra Geld kosten, das ich
erst spaeter investieren will. Ausserdem sollen mehrere
Domains auf den Server und ich bin mir noch nicht klar,
auf welche ich den reverse Eintrag zeigen lassen will.

- Wenn ich mich per ssh einlogge und auf der Konsole mail
aufrufe, um mir selbst eine Mail zu schicken, dann er-
halte ich eine Antwort vom MAILER-DAEMON mit dem Subject
"Returned mail: see transcript for details". Darin heisst
DATA
<<< 550 5.7.1 <***@gmx.net>...
Relaying denied. Proper authentication required.
550 5.1.1 ***@gmx.net... User unknown
<<< 503 5.0.0 Need RCPT (recipient)

Damit kann ich nicht wirklich etwas anfangen. Ich habe
trotz ausgiebiger Suche sowohl in der lokalen Doku als
auch auf www.sendmail.org und den dort verlinkten Infos
nirgends ein Verzeichnis der Error Codes von sendmail
und ihrer Bedeutung gefunden. Dass er den User nicht
kennt sollte ihm an sich egal sein. Hauptsache er sucht
sich den MX-record zu gmx.net und versucht, die mail
dorthin auszuliefern. Ob er das tut, weiss ich nicht.
Mit tcpdump habe ich jetzt noch nicht rumgespielt.

- Wenn ich von aussen ran gehe und per telnet mit dem MTA
spreche bekomme ich ebenfalls 550 5.7.1. Jedoch ist es
dann der Nutzer auf der entfernten Maschine, den er
nicht identifizieren kann. Ich habe dort noch keine
weiteren User angelegt aber es existiert natuerlich
root, den ich adressiere.

- In der sendmail.mc sind bei den Zeilen wie Domain
Variablen angegeben, deren Inhalt ich noch nicht
ueberprueft habe. sendmailconfig erzaehlt mir, dass
die Datei trusted-users leer ist (stimmt auch). Es
gibt aber keine Fehlermeldung deshalb aus. Was in
diese Datei reingehoert, bzw. in welchem Format,
das konnte ich bisher auch nirgends heraus finden.
In den Mailer-Zeilen steht local und smtp drin
und er antwortet ja auf Port 25 (Version ist 8.12).
Von daher sollte das korrekt sein.

Meine Fragen sind jetzt:

Wo soll ich weiter bohren, bei der Datei trusted-users
oder bei dem reverse Eintrag im DNS (ich habe nirgends
gefunden, dass dieser erforderlich sei. Allein mein
allgemeines Verstaendnis vom Ablauf der smtp-Kommunika-
tion laesst mich das vermuten)?

Wo finde ich brauchbare Doku mit einem Schnelleinstieg?
Das Konfigurationssystem schein mehrfach geaendert worden
zu sein und die Doku auf sendmail.org scheint mir nicht
zu meiner Version zu passen. Auch der Direkteinstieg ueber
die Fehlercodes fehlt mir sehr.

Kann ich mit der default sendmail.cf arbeiten oder fehlt
mir da noch etwas?

Danke, Christian
--
Haeufig gestellte Fragen und Antworten (FAQ):
http://www.de.debian.org/debian-user-german-FAQ/

Zum AUSTRAGEN schicken Sie eine Mail an debian-user-german-***@lists.debian.org
mit dem Subject "unsubscribe". Probleme? Mail an ***@lists.debian.org (engl)
Rainer Bendig aka Ny
2004-12-08 19:50:08 UTC
Permalink
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Hi Christian Völker, *,
Post by Christian Völker
- Ich moechte MTA hauptsaechlich als Backend fuer Webanwendungen
nutzen, habe also keine weiter gehenden Ansprueche daran, er
soll einfach moeglichst bald laufen und kein open relay sein.
Deshalb moechte ich moeglichst den vorinstallierten sendmail
weiter nutzen und nicht auf den mir an sich sympathischeren
postfix umsteigen.
Was heisst Backend? Nur senden und postfix@ abuse@ webmaster@ und die
Adresse von der aus du sendest als moegliche weiterleitung auf eine
Bestehende Adresse?

Wenn du intern nur verschickst ist der einfachste Weg einfach smtp via
iptables von aussen (eth0) zu erlauben und intern (lo) zu erlauben.
Dann musst du nicht endlich an der sendmail Konfiguration
rumhantieren.
Post by Christian Völker
DATA
Relaying denied. Proper authentication required.
<<< 503 5.0.0 Need RCPT (recipient)
du versucht als nicht privilegierter (authentifizierter) Anwender Mail
zu schicken, die dir Sendmail natuerlich verweigert.
Post by Christian Völker
die Datei trusted-users leer ist (stimmt auch). Es
Das wuerde AFAIK auch darauf hindeuten
- --
- ---------------------------------------------------------------------
Rainer 'Ny' Bendig | http://UnresolvedIssue.org | GPG-Key: 0xCC7EA575
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.5 (GNU/Linux)

iD8DBQFBt1mKtpAZoWtAN98RAuOcAJwM1v9RALpul8DhSZaS9w3ZiYxeTwCeLAkN
jnAGy1fjISpsjZPKFogggIk=
=d59d
-----END PGP SIGNATURE-----
--
Haeufig gestellte Fragen und Antworten (FAQ):
http://www.de.debian.org/debian-user-german-FAQ/

Zum AUSTRAGEN schicken Sie eine Mail an debian-user-german-***@lists.debian.org
mit dem Subject "unsubscribe". Probleme? Mail an ***@lists.debian.org (engl)
Christian Schmidt
2004-12-08 20:50:11 UTC
Permalink
Hallo Rainer,
Post by Rainer Bendig aka Ny
Wenn du intern nur verschickst ist der einfachste Weg einfach smtp via
iptables von aussen (eth0) zu erlauben und intern (lo) zu erlauben.
Dein erstes "erlauben" soll wohl eher ein "verbieten" sein, oder?

Den Ansatz halte ich aber fuer verkehrt: Wenn man einen Dienst nur
"nach innen hin" anbieten will, ist es einfacherer und sicherer,
dafuer zu sorgen, dass er auch nur nach innen angeboten wird.

Im konkreten Fall bedeutet das, den MTA so zu konfigurieren, dass er
nur auf 127.0.0.1 lauscht.

Wie das mit sendmail funktioniert, kann ich nicht sagen - ich wuerde
sendmail auch durch exim ersetzen: Die exim.conf ist im Gegensatz zur
sendmail.cf (und IMO auch zur sendmail.mc) durchaus
"menschenlesbar"... ;-)

Gruss,
Christian Schmidt
--
Das Alter, das man haben möchte, verdirbt das Alter, das man hat.
-- Paul von Heyse
Peter Wiersig
2004-12-08 20:20:08 UTC
Permalink
Post by Christian Völker
- Wenn ich mich per ssh einlogge und auf der Konsole mail
aufrufe, um mir selbst eine Mail zu schicken, dann er-
halte ich eine Antwort vom MAILER-DAEMON mit dem Subject
"Returned mail: see transcript for details". Darin heisst
DATA
Relaying denied. Proper authentication required.
<<< 503 5.0.0 Need RCPT (recipient)
Damit kann ich nicht wirklich etwas anfangen.
Du versuchst, per smtp nach 127.0.0.1 eine Mail mit externen
Empfaenger loszuwerden. Schau mal in /var/log/mail/mail.log nach,
welche Remote-IP versuchte, die Mail loszuwerden.

Diese IP-Adresse musst du im sendmail bekannt machen, damit diese
Mails loswerden darf. (Oder die Submit-Methode von smtp auf
sendmail-exec umstellen)
Post by Christian Völker
Wo finde ich brauchbare Doku mit einem Schnelleinstieg?
/usr/share/doc/sendmail, nachdem du das Paket "sendmail-doc"
nachinstalliert hast. Fuer den ersten Blick wuerde ich vor dieser
Installation erstmal /usr/share/doc/sendmail/Debian-specific.gz
und die darin verwiesene
/usr/share/doc/sendmail/sendmail/README.Debian.gz lesen.
--
Have fun,
Peter
--
Haeufig gestellte Fragen und Antworten (FAQ):
http://www.de.debian.org/debian-user-german-FAQ/

Zum AUSTRAGEN schicken Sie eine Mail an debian-user-german-***@lists.debian.org
mit dem Subject "unsubscribe". Probleme? Mail an ***@lists.debian.org (engl)
Sebastian Niehaus
2004-12-09 19:30:16 UTC
Permalink
[...]
Post by Peter Wiersig
Post by Christian Völker
DATA
Relaying denied. Proper authentication required.
<<< 503 5.0.0 Need RCPT (recipient)
Damit kann ich nicht wirklich etwas anfangen.
Du versuchst, per smtp nach 127.0.0.1 eine Mail mit externen
Empfaenger loszuwerden. Schau mal in /var/log/mail/mail.log nach,
welche Remote-IP versuchte, die Mail loszuwerden.
Diese IP-Adresse musst du im sendmail bekannt machen, damit diese
Mails loswerden darf.
/etc/mail/access oder so, dann "hash"?
--
Haeufig gestellte Fragen und Antworten (FAQ):
http://www.de.debian.org/debian-user-german-FAQ/

Zum AUSTRAGEN schicken Sie eine Mail an debian-user-german-***@lists.debian.org
mit dem Subject "unsubscribe". Probleme? Mail an ***@lists.debian.org (engl)
Peter Wiersig
2004-12-10 13:10:12 UTC
Permalink
Post by Sebastian Niehaus
Post by Peter Wiersig
Diese IP-Adresse musst du im sendmail bekannt machen, damit
diese Mails loswerden darf.
/etc/mail/access oder so, dann "hash"?
So wie ich die /etc/mail/submit.cf verstehe muesste die Tabelle in
/etc/mail/relay-domains stehen.

Wenn du kannst ist natuerlich eine Konfiguration per SMTP-Auth
oder durch TLS authentifiziertes SMTP zu bevorzugen.
--
Peter
--
Haeufig gestellte Fragen und Antworten (FAQ):
http://www.de.debian.org/debian-user-german-FAQ/

Zum AUSTRAGEN schicken Sie eine Mail an debian-user-german-***@lists.debian.org
mit dem Subject "unsubscribe". Probleme? Mail an ***@lists.debian.org (engl)
Christian Schmidt
2004-12-08 20:50:12 UTC
Permalink
Hallo Christian,
Post by Christian Völker
- Ich habe mir einen Virtual Server gemietet mit Debian Woody drauf.
Gute Wahl. ;-)
Post by Christian Völker
- Ich moechte MTA hauptsaechlich als Backend fuer Webanwendungen
nutzen, habe also keine weiter gehenden Ansprueche daran, er
soll einfach moeglichst bald laufen und kein open relay sein.
Nimm exim - das ist quasi der "Standard-MTA" eines Debian-Systems.
Post by Christian Völker
Deshalb moechte ich moeglichst den vorinstallierten sendmail
weiter nutzen und nicht auf den mir an sich sympathischeren
postfix umsteigen.
Schau Dich mal ein wenig im Umfeld von exim um. ;-)
Post by Christian Völker
- Meine Debian Erfahrung ist sehr endlich. Zu Hause habe ich
MacOS X, also ein BSD basiertes System.
...welches Postfixan Bord hat.
Post by Christian Völker
Das CLI jagt mir
keine Angst ein. Die einzige sendmail Konfiguration, die
ich bisher jemals vorgenommen habe bestand in einem Ein-
zeiler mit einem Smarthost Eintrag. D.h. ich weiss um die
Existenz von m4 und Co., muss aber jedes mal Doku lesen,
wenn ich es brauche. Insgesamt sind mailserver nicht mein
Spezialgebiet.
Ein Grund mehr, einen MTA einzusetzen, der sich vergleichsweise
einfach aufsetzen laesst - so wie exim.
Die exim-Grundkonfiguration nimmt Dir zu einem Gutteil debconf ab.
Wenn Du diese Grundkonfiguration dann noch um ein paar Kleinigkeiten
erweiterst, bekommst Du die Kiste mit IMO relativ wenig Aufwand schon
ziemlich "dicht".
Post by Christian Völker
- Der Server akzeptiert Verbindungsaufnahmen von aussen auf
Port 25. Fuer die Maschine existiert ein DNS-Eintrag samt
MX-record. Ein reverse Eintrag zur Aufloesung der IP ist
noch nicht vorhanden. Er wuerde extra Geld kosten, das ich
erst spaeter investieren will. Ausserdem sollen mehrere
Domains auf den Server und ich bin mir noch nicht klar,
auf welche ich den reverse Eintrag zeigen lassen will.
Wenn Du einen oeffentlich erreichbaren Mailserver betreiben moechtest,
solltest Du Dir tunlichst das entsprechende KnowHow anlesen -
schlimmstenfalls muessen sonst andere unter den Fehlern leiden, die
Dir evtl. unterlaufen.

Gruss,
Christian Schmidt
--
Traurigkeit ist Stille, ist Tod. Heiterkeit ist Regsamkeit, Bewegung,
Leben.
-- Marie von Ebner-Eschenbach
Sebastian Niehaus
2004-12-09 19:00:22 UTC
Permalink
Christian Völker <***@gmx.net> writes:


[...]
Insgesamt sind mailserver nicht mein Spezialgebiet.
Das wäre für mich schon ein guter Grund, Sendmail nicht zu benutzen.


[...]
- Wenn ich mich per ssh einlogge und auf der Konsole mail
aufrufe, um mir selbst eine Mail zu schicken,
genauer Aufruf?
dann erhalte ich eine Antwort vom MAILER-DAEMON mit dem Subject
"Returned mail: see transcript for details". Darin heisst es dann
DATA
Relaying denied. Proper authentication required.
<<< 503 5.0.0 Need RCPT (recipient)
Was genau steht in den Log-Dateien?

[...]
- Wenn ich von aussen ran gehe und per telnet mit dem MTA
spreche bekomme ich ebenfalls 550 5.7.1.
Es wäre eine gute Idee, die telnet-Session zu posten.
Jedoch ist es dann der Nutzer auf der entfernten Maschine, den er
nicht identifizieren kann. Ich habe dort noch keine weiteren User
angelegt aber es existiert natuerlich root, den ich adressiere.
[...]
Wo soll ich weiter bohren, bei der Datei trusted-users
oder bei dem reverse Eintrag im DNS (ich habe nirgends
gefunden, dass dieser erforderlich sei. Allein mein
allgemeines Verstaendnis vom Ablauf der smtp-Kommunika-
tion laesst mich das vermuten)?
Nein, erstmal in den Logs sehen. Und ja, ich würde Sendmail gegen
Postfix austauschen.



Sebastian
--
Haeufig gestellte Fragen und Antworten (FAQ):
http://www.de.debian.org/debian-user-german-FAQ/

Zum AUSTRAGEN schicken Sie eine Mail an debian-user-german-***@lists.debian.org
mit dem Subject "unsubscribe". Probleme? Mail an ***@lists.debian.org (engl)
Loading...