[postfix-es] para evitar conexiones multiples ?

[Simon J Mudd]

gcanales en manquehue.net (Guillermo Canales) writes:

> > Es una versión bastante antiguo.  Recomendaría que actualices al menos
> > al último 1.1.
> supongo que es este: postfix-1.1.13-2.src.rpm

Si usas RedHat, sí valdría.

> > Para modificar el número de conexiones de ENTRADA (servidor smtp) con
> > una modificación de master.cf y la fila que habla de smtpd, realizando
> > el mismo proceso.
> 
> Osea, 
> defecto:
> smtp    inet    n       -       n       -       -       smtpd
> nuevo:
> smtp    inet    n       -       n       -       100   smtpd
> 
> De todos modos no se si será imprudente duplicar este parametro, pero entre 
> tanto spam que llega siempre hay 5, 10 o a veces más conexiones establecidas.

Duplicar este parámetro no va a ayudar, simplemente vas a utilizar más
recursos.
Lo que podrías hacer es lo siguiente: modificar smtpd_error_sleep_time
a un valor muy alto. Si este host solo conecta con un proceso a la vez
lo dejas "colgado" más tiempo y "ataca" más despacio.

Aún así creo que para este tipo de problema es mejor algo como
iptables/ipfw o lo que sea a nivel ip (el firewall), más si la ip es
fija.

> El ataque trata de copar las 50 conexiones que postfix tiene predeterminadas. 
> Una vez establecidas las 50 conexiones, de que manera se comienza a comportar 
> postfix ? tiene alguna "cola" esperando por ejemplo la conexion 51, 52 , 53 o 
> simplemente se cierra y cuando haya disponibilidad recibe la primera conexion 
> que llegue ?.

Cuando Postfix ya ha consumido más procesos que el límite master no
arranca más y la conexión será rechazada.

> > > Estoy tratando de evitar este ataque de la manera correcta ?
> >
> > Depende un poco del tipo de ataque que tienes.
> Denegación de servicio

Pues usa iptables o su equivalente para no ver el problema. Puedes
limitarlo exclusivamente a "conexiones" desde su ip hacía tu puerto 25.

Simon
-
Para ENVIAR mensajes a esta lista tienes que estar SUSCRITO a ella.
.
Envía la linea "unsubscribe postfix-es" en el cuerpo de un mensaje
a majordomo en WL0.org para quitarte de la lista.