Sécurité

ccnet

Vous vous êtes lancé dans quelque chose qui vous dépasse techniquement. De ce fait vous êtes exposé à un risque professionnel important. Votre client vous fait confiance. Il pense probablement que vous maitrisez la situation. Si il lui arrive un problème un peu important il se retournera contre vous. Et dans ce cas précis il n'aura pas complètement tort. Une autre solution est de lui faire accepter formellement (avenant au contrat) les risques encourus. Vous seriez déchargé en cas de sinistre.
Vous le prenez comme de la méchanceté, mais vous faites erreur. J'ai aussi l'habitude d'assister mes clients dans l'établissement de contrats de service avec des tiers, des hébergeurs, des prestataires pour ce qui concerne la sécurité. Ces questions correspondent à des problématiques très réelles susceptibles d'être lourdes de conséquences.

mryou

Je veux autoriser le DNS pour mes machines LAN, comment faire ?
J'utilise du Linux en adressage IP statique.

Merci.

chris4916

C'est quoi ta question exactement ?

autoriser les machines du LAN à faire des requêtes DNS ? Sur quel serveur ?

mryou

J'ai un serveur LAMP où j’envoie des mails avec postfix, dans ma variable "relayhost" je mets le smtp de 1&1 il met donne un message d'erreur (ca fonctionné avant de mettre le pfsense).
J'ai donc pensé au DNS … Pour le DNS je peux mettre google par exemple.

ccnet

Les messages d'erreur de Postfix sont assez explicites. Quel message d'erreur ?

chris4916

@mryou:

J'ai un serveur LAMP où j’envoie des mails avec postfix, dans ma variable "relayhost" je mets le smtp de 1&1 il met donne un message d'erreur (ca fonctionné avant de mettre le pfsense).
J'ai donc pensé au DNS … Pour le DNS je peux mettre google par exemple.

L'introduction de pfSense au milieu d'un lien smtp "local postfix => 1&1" n'a pas d'impact (si les règles de FW le permettent) sauf si tu installes sur pfSense un package smtp. (NB: j'ai essayé un jour le package smtp de pfSense sans succès).

Comme le dit ccnet "c'est quoi le message d'erreur ?" ::)

mryou

J'ai mis l'erreur en pj.
Si c'est le DNS, je peux mettre cela dans le fichier host (je n'ai pas besoin de connexion internet donc le DNS est utile uniquement pour le relay SMTP).

erreurpostfix.PNG_thumb

jdh

Name service error ? Host not found ?

Si on déduit pas que le dns ne fonctionne pas, c'est grave.

On vérifie la résolution dns (dig ou host), la config dns (/etc/resolv.conf), la règle firewall correspondante.
Enfin la base ..

A défaut, pour éviter la résolution dns :
relayhost = [212.227.15.168] (ou .184)

NB : compte tenu du nom de relais, je suppose que les envois de mails sont authentifiés et donc utilisent le port submission (587), ce qui nécessite SASL …

mryou

J'ai mis un serveur DNS google dans le fichier /etc/resolv.conf.

J'ai ajouté 2 règles pour tester (pj).
J'ai le même message d'erreur pourtant le DNS semble fonctionner (ping google.fr).

Merci.

regle_smtp.PNG_thumb

postfixerreur.PNG_thumb

chris4916

Mettre une IP "en dur" n'est envisageable qu'à titre de debug ou de test car le changement d'IP des MX ou des MTA est assez courant.
en terme de DNS, il faut que tu définisses ta stratégie:

=> soit les machines en interne font directement des requêtes sur des DNS publiques
=> soit ces machines s'appuient sur un DNS interne qui fait le relai et éventuellement le cache), c'est ce que fait DNS forwarder ou Resolver.

Les règles de FW sont à ajuster en conséquence.

Il faut également t'assurer que tu fais bien le test de résolution depuis ton serveur SMTP. Dans ce que tu décris, je ne sais pas si c'est vraiment le cas.

mryou

Le DNS fonctionne sur mon serveur WEB (lorsque je ping google.fr c'est ok), par contre au niveau du log des mails j'ai toujours la même erreur.
Postfix est bien sur mon serveur WEB …
J'autorise bien le SMTP (25) et DNS pourtant

postfixerreur.PNG_thumb

regle_lan.PNG_thumb

chris4916

Petit point de détail… auquel je n'avais pas fait attention sur la première copie d'écran :-[

AAAA... c'est IPV6 ;)

mryou

Je veux que postfix envoi des mails.

chris4916

@mryou:

Je veux que postfix envoi des mails.

Certes mais à priori, tu as un problème (potentiellement) entre IPV4 et IPV6.
En interne, ton postfix est configuré pour utiliser IPV6 et cherche à résoudre une adresse en IPV6, ce qui ne fonctionne probablement pas.

mryou

J'avais désactivé ipv6 sur mon pfsense, peut-être c'est ca ?

chris4916

@mryou:

J'avais désactivé ipv6 sur mon pfsense, peut-être c'est ca ?

Si postfix parle IPV6 mais que au milieu ça s'interrompt sans qu'une passerelle fasse la traduction, effectivement ça ne fonctionne pas ;)
C'est un point qui a été évoqué au tout début de ce fil ;)

mryou

Dans mon fichier de configuration eth, tout est en ipv4.
Comment je peux faire ?

chris4916

@mryou:

Dans mon fichier de configuration eth, tout est en ipv4.
Comment je peux faire ?

Qu'as-tu dans les inet_protocols de main.cf ?

(NB: ce n'est pas un problème pfSense ;))

mryou

Ca fonctionnait avant sans pfsense !
J'ai all dans inet_protocols

mryou

Ca fonctionne fallait que je redémarre avec cette commande :
/etc/init.d/postfix restart

Car j'avais cette erreur :
warning: /var/spool/postfix/etc/resolv.conf and /etc/resolv.conf differ

Merci à toi:)