Dovecot über IMAP und POP3 erreichbar - trotz Firewall und Deaktivierung in der Konfig

Frederic · Aug 11th 2015

Hallo,
ich habe folgendes Problem und hoffe es kann mir jemand erklären wo mein Fehler liegt.
Ich habe ISPConfig 3 installiert und eingerichtet. Funktioniert soweit auch tadellos. Um den Mailempfang abzusichern habe ich dovecot dazu angewiesen nur auf imapS und pop3S zu reagieren.

Zusätzlich habe ich nur die entsprechenden Ports in der Firewall freigegeben. Das Kuriose ist jedoch: Verbindungen via Pop3 und IMAP sind weiterhin über die unsicheren Ports möglich. (Im mail.log steht zwar "..session=TLS...", ich habe Thunderbird jedoch so konfiguriert, dass dieser die Verbindung ohne Verschlüsselung aufbaut.)

Hier noch weitere Infos:
Auszug aus mail.log (Thunderbird auf Port 110 eingestellt):

Code

Aug 11 08:07:53 srv01 dovecot: imap-login: Login: user=<pop3@domain.de>, method=PLAIN, rip=91.xxx.xxx.xxx, lip=46.xxx.xxx.xxx, mpid=2869, TLS, session=<yd4y7AIdegBbIvUG>
Aug 11 08:07:54 srv01 dovecot: imap(pop3@domain.de): Disconnected: Logged out in=8 out=401

aktuelle iptables Konfig:

Code

# Generated by iptables-save v1.4.21 on Fri Aug 7 21:27:17 2015
*nat
:PREROUTING ACCEPT [438:35571]
:POSTROUTING ACCEPT [574:38519]
:OUTPUT ACCEPT [574:38519]
COMMIT
# Completed on Fri Aug 7 21:27:17 2015
# Generated by iptables-save v1.4.21 on Fri Aug 7 21:27:17 2015
*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [95:17556]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp --dport 8080 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp --dport 25 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp --dport 993 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp --dport 995 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp --dport 465 -j ACCEPT
-A INPUT -p udp -m conntrack --ctstate NEW -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp --dport 53 -j ACCEPT
COMMIT
# Completed on Fri Aug 7 21:27:17 2015
# Generated by iptables-save v1.4.21 on Fri Aug 7 21:27:17 2015
*mangle
:PREROUTING ACCEPT [16364:8042314]
:INPUT ACCEPT [16364:8042314]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [11609:3383285]
:POSTROUTING ACCEPT [11609:3383285]
COMMIT
# Completed on Fri Aug 7 21:27:17 2015

Display More

Auszug aus /etc/dovecot/dovecot.conf:

Code

root@srv01:~# cat /etc/dovecot/dovecot.conf
listen = *,[::]
protocols = imaps pop3s
auth_mechanisms = plain login
disable_plaintext_auth = no
log_timestamp = "%Y-%m-%d %H:%M:%S "
mail_privileged_group = vmail
postmaster_address = postmaster@srv01.domain.de
ssl_cert = </etc/postfix/smtpd.cert
ssl_key = </etc/postfix/smtpd.key
ssl_ca = </etc/postfix/smtpd-cabundle.pem
ssl_protocols = !SSLv2 !SSLv3...

Display More

Aktuelle netstat Ausgabe:

Code

root@srv01:~# netstat -tulpen | grep dovecot
tcp 0 0 0.0.0.0:993 0.0.0.0:* LISTEN 0 1563988 2720/dovecot
tcp 0 0 0.0.0.0:995 0.0.0.0:* LISTEN 0 1563956 2720/dovecot
tcp6 0 0 :::993 :::* LISTEN 0 1563989 2720/dovecot
tcp6 0 0 :::995 :::* LISTEN 0 1563957 2720/dovecot

Vom Client via telnet aufgebaute Verbindung:

Code

Frederics-MacBook-Air:~ frederic$ telnet domain.de 110
Trying 46.xxx.xxx.xxx...
Connected to domain.de.
Escape character is '^]'.
+OK Dovecot (Ubuntu) ready.

Ich kann mir leider nicht erklären warum die Verbindung auf Port 110 überhaupt möglich ist, geschweige denn Dovecot sogar antwortet. *confused*

Über Hilfe würde ich mich sehr freuen!

Liebe Grüße und Danke
Frederic

sdellenb · Aug 11th 2015

Also ich kenn mich ja mit iptables nicht soo gut aus (ich hab CentOS 7 und firewalld), aber müsste da nicht irgendwo ganz unten noch ne DROP rule drin sein, um die restlichen Pakete zu verwerfen?

Was läuft denn auf Port 110?

Code

netstat -tulpen | grep :100

redhell · Aug 11th 2015

Meines wissens wird doch die TLS Verbindung über 110 aufgebaut und dann mit STARTTLS verschlüsselt.

Also müsstest du, wenn du versuchst dich ohne vorheriges STARTTLS einzuloggen, rejected werden.

Frederic · Aug 11th 2015

Hallo,
also die iptables Regeln müssten so ok sein, da die Default Regel auf DROP steht.

Code

*filter
:INPUT DROP [0:0]

Hmm... Thunderbird ist definitiv auf "umverschlüsselt" gestellt. D. h. eig. dürfte er auch keine StartTLS Verbindung aufbauen.
Aber selbst wenn... eig. dürfte doch einfach gar keine Verbindung zustande kommen, da ja auf Port 110 weder etwas lauscht, noch via iptables geöffnet ist?!

Wie ich bereits vermutet habe ;):

Code

root@srv01:~# netstat -tulpen | grep 110
root@srv01:~#

Hier noch einmal die ges. Ausgabe von netstat:

Code

root@srv01:~# netstat -tulpen
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State User Inode PID/Program name
tcp 0 0 0.0.0.0:993 0.0.0.0:* LISTEN 0 1582510 510/dovecot
tcp 0 0 0.0.0.0:995 0.0.0.0:* LISTEN 0 1582490 510/dovecot
tcp 0 0 127.0.0.1:10024 0.0.0.0:* LISTEN 113 1582894 657/amavisd-new (ma
tcp 0 0 127.0.0.1:10025 0.0.0.0:* LISTEN 0 1585048 1667/master
tcp 0 0 127.0.0.1:10026 0.0.0.0:* LISTEN 113 1582895 657/amavisd-new (ma
tcp 0 0 0.0.0.0:3306 0.0.0.0:* LISTEN 111 1582887 589/mysqld
tcp 0 0 127.0.0.1:10027 0.0.0.0:* LISTEN 0 1585054 1667/master
tcp 0 0 0.0.0.0:587 0.0.0.0:* LISTEN 0 1584907 1667/master
tcp 0 0 127.0.0.1:11211 0.0.0.0:* LISTEN 115 1584650 1559/memcached
tcp 0 0 0.0.0.0:8080 0.0.0.0:* LISTEN 0 1585418 1867/apache2
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 0 1585410 1867/apache2
tcp 0 0 0.0.0.0:8081 0.0.0.0:* LISTEN 0 1585414 1867/apache2
tcp 0 0 0.0.0.0:465 0.0.0.0:* LISTEN 0 1584917 1667/master
tcp 0 0 0.0.0.0:21 0.0.0.0:* LISTEN 0 1585103 1691/pure-ftpd (SER
tcp 0 0 xx.xx.xxx.xxx:53 0.0.0.0:* LISTEN 104 1582439 548/named
tcp 0 0 127.0.0.2:53 0.0.0.0:* LISTEN 104 1582429 548/named
tcp 0 0 127.0.0.1:53 0.0.0.0:* LISTEN 104 1582425 548/named
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 0 1582344 513/sshd
tcp 0 0 0.0.0.0:25 0.0.0.0:* LISTEN 0 1584900 1667/master
tcp 0 0 127.0.0.1:953 0.0.0.0:* LISTEN 104 1582624 548/named
tcp 0 0 0.0.0.0:443 0.0.0.0:* LISTEN 0 1585412 1867/apache2
tcp6 0 0 :::993 :::* LISTEN 0 1582511 510/dovecot
tcp6 0 0 :::995 :::* LISTEN 0 1582491 510/dovecot
tcp6 0 0 :::587 :::* LISTEN 0 1584911 1667/master
tcp6 0 0 :::465 :::* LISTEN 0 1584918 1667/master
tcp6 0 0 :::21 :::* LISTEN 0 1585104 1691/pure-ftpd (SER
tcp6 0 0 :::53 :::* LISTEN 104 1582416 548/named
tcp6 0 0 :::22 :::* LISTEN 0 1582380 513/sshd
tcp6 0 0 :::25 :::* LISTEN 0 1584902 1667/master
udp 0 0 xx.xx.xxx.xxx:53 0.0.0.0:* 104 1582432 548/named
udp 0 0 127.0.0.2:53 0.0.0.0:* 104 1582426 548/named
udp 0 0 127.0.0.1:53 0.0.0.0:* 104 1582421 548/named
udp 0 0 127.0.0.1:11211 0.0.0.0:* 115 1584651 1559/memcached
udp6 0 0 :::53 :::* 104 1582413 548/named

Display More

Danke für die Antworten!

LG
Frederic

sdellenb · Aug 12th 2015

Quote

Aber selbst wenn... eig. dürfte doch einfach gar keine Verbindung zustande kommen, da ja auf Port 110 weder etwas lauscht, noch via iptables geöffnet ist?!

Hm, die einzige Erklärung, die ich dafür hätte, ist dass du nicht bei dem Server landest, den du ansprechen möchtest.

Geben ifconfig auf dem Server und ping -a von ausserhalb die identische IP an?
Zeigt der telnet auf Port 80 im Webserver log was an?

Vielleicht ist auch ein x-inetd am laufen, der dynamisch Ports in Beschlag nimmt (keine Ahnung, ist schon ein paar Jahrzehnte her, seit ich das letzte mal damit zu tun hatte

Frederic · Aug 12th 2015

Hey,
telnet auf Port 80 erzeugt Einträge im Apache Log und ifconfig sowie ping -a sind identisch.
Hmm... x-inetd hätte ich aber nicht wissentlich konfiguriert und kann es mir eig. nicht vorstellen. Wie kann ich denn herausfinden ob da was lauscht? Finde weder in top noch in netstat etwas mit einer passenden Bez. und bis jetzt ist xinted auch noch Neuland für mich

LG und Danke

Frederic

killerbees19 · Aug 12th 2015

Was passiert eigentlich, wenn Du mit Telnet auf den Port zugreifen willst? Von Deinem PC aus natürlich:

Code

telnet <HOST-ODER-IP-VOM-SERVER> 110

Schau während des Verbindungsversuches am Server einmal, was sich wirklich abspielt:

Code

tcpdump -n -l -i eth0 src host <DEINE-IP-ADRESSE-VOM-INTERNETANSCHLUSS> and dst port not 22

Oder nimm Wireshark auf Deinem PC. Ich würde ja fast vermuten, dass er sich nicht an die Vorgabe hält und von selbst den TLS-Port benutzt. Oder was auch immer.

MfG Christian

Frederic · Aug 12th 2015

Hey,
das nenne ich mal sehr interessant... und sehr verwirrend zugleich.

Hier die Ausgabe von Telnet:

Code

Frederics-MacBook-Air:~ frederic$ telnet <ip.des.servers> 110
Trying <ip.des.servers>...
Connected to srv01.domain.de.
Escape character is '^]'.
+OK Dovecot (Ubuntu) ready.

Gleichzeitig im anderen Terminal lief tcpdump mit:

Code

root@srv01:/tmp# tcpdump -n -l -i venet0:0 src host <meine.lokale.ip> and dst port not 22
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on venet0:0, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes
19:04:56.740925 IP <meine.lokale.ip>.40401 > <ip.des.servers>.993: Flags [.], ack 4020367428, win 12266, options [nop,nop,TS val 7406257 ecr 347637245], length 0
19:04:56.743336 IP <meine.lokale.ip>.40401 > <ip.des.servers>.993: Flags [P.], seq 0:85, ack 1, win 12266, options [nop,nop,TS val 7406257 ecr 347637245], length 85
19:04:56.815266 IP <meine.lokale.ip>.40401 > <ip.des.servers>.993: Flags [.], ack 422, win 12266, options [nop,nop,TS val 7406265 ecr 347637285], length 0
19:04:57.055851 IP <meine.lokale.ip>.40401 > <ip.des.servers>.993: Flags [P.], seq 85:138, ack 422, win 12266, options [nop,nop,TS val 7406288 ecr 347637285], length 53
19:04:57.092945 IP <meine.lokale.ip>.40401 > <ip.des.servers>.993: Flags [.], ack 491, win 12266, options [nop,nop,TS val 7406292 ecr 347637597], length 0
19:04:57.097268 IP <meine.lokale.ip>.40401 > <ip.des.servers>.993: Flags [P.], seq 138:207, ack 491, win 12266, options [nop,nop,TS val 7406292 ecr 347637597], length 69
19:04:57.140890 IP <meine.lokale.ip>.40401 > <ip.des.servers>.993: Flags [P.], seq 207:292, ack 992, win 12266, options [nop,nop,TS val 7406297 ecr 347637638], length 85
19:04:57.215269 IP <meine.lokale.ip>.40401 > <ip.des.servers>.993: Flags [.], ack 1221, win 12266, options [nop,nop,TS val 7406305 ecr 347637682], length 0
19:04:57.303443 IP <meine.lokale.ip>.40401 > <ip.des.servers>.993: Flags [P.], seq 292:505, ack 1221, win 12266, options [nop,nop,TS val 7406312 ecr 347637682], length 213
19:04:57.346542 IP <meine.lokale.ip>.40401 > <ip.des.servers>.993: Flags [.], ack 2661, win 12262, options [nop,nop,TS val 7406318 ecr 347637845], length 0
19:04:57.348349 IP <meine.lokale.ip>.40401 > <ip.des.servers>.993: Flags [.], ack 2831, win 12260, options [nop,nop,TS val 7406318 ecr 347637845], length 0
19:05:00.943626 IP <meine.lokale.ip>.37930 > <ip.des.servers>.995: Flags [S], seq 3432686133, win 65535, options [mss 1452,nop,wscale 5,nop,nop,TS val 1003373306 ecr 0,sackOK,eol], length 0
19:05:00.980397 IP <meine.lokale.ip>.37930 > <ip.des.servers>.995: Flags [.], ack 3339367556, win 4140, options [nop,nop,TS val 1003373342 ecr 347641484], length 0
19:05:00.989813 IP <meine.lokale.ip>.37930 > <ip.des.servers>.995: Flags [P.], seq 0:517, ack 1, win 4140, options [nop,nop,TS val 1003373342 ecr 347641484], length 517
19:05:01.057291 IP <meine.lokale.ip>.37930 > <ip.des.servers>.995: Flags [.], ack 2881, win 4051, options [nop,nop,TS val 1003373414 ecr 347641550], length 0
19:05:01.059778 IP <meine.lokale.ip>.37930 > <ip.des.servers>.995: Flags [.], ack 3598, win 4073, options [nop,nop,TS val 1003373416 ecr 347641551], length 0
19:05:01.067758 IP <meine.lokale.ip>.37930 > <ip.des.servers>.995: Flags [P.], seq 517:675, ack 3598, win 4096, options [nop,nop,TS val 1003373420 ecr 347641551], length 158
19:05:01.107776 IP <meine.lokale.ip>.37930 > <ip.des.servers>.995: Flags [.], ack 3824, win 4088, options [nop,nop,TS val 1003373461 ecr 347641612], length 0
19:05:01.143120 IP <meine.lokale.ip>.37930 > <ip.des.servers>.995: Flags [.], ack 3882, win 4094, options [nop,nop,TS val 1003373495 ecr 347641649], length 0

Display More

Das irritiert mich nun wirklich... erst wird Port 993 und dann Port 995 genutzt? Wieso kommt die Anfrage für POP auf dem IMAP Port zustande? (Ganz davon abgesehen warum überhaupt die Verbindung auf einem andern Port als dem angegebenen zustande kommt!?)

Hier die Ausgabe von tcpdump wenn ich das Konto via Thunderbird... angeblich via Port 110... abrufe:

Code

root@srv01:/tmp# tcpdump -n -l -i venet0:0 src host <meine.lokale.ip> and dst port not 22
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on venet0:0, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes
19:01:08.891859 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [.], ack 1418589266, win 4140, options [nop,nop,TS val 1003143111 ecr 347409397], length 0
19:01:08.903511 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [P.], seq 0:517, ack 1, win 4140, options [nop,nop,TS val 1003143111 ecr 347409397], length 517
19:01:08.965279 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [.], ack 2881, win 4051, options [nop,nop,TS val 1003143183 ecr 347409458], length 0
19:01:08.968115 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [.], ack 3598, win 4073, options [nop,nop,TS val 1003143186 ecr 347409459], length 0
19:01:08.977884 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [P.], seq 517:675, ack 3598, win 4096, options [nop,nop,TS val 1003143191 ecr 347409459], length 158
19:01:09.017675 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [.], ack 3824, win 4088, options [nop,nop,TS val 1003143232 ecr 347409521], length 0
19:01:09.053473 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [.], ack 3882, win 4094, options [nop,nop,TS val 1003143267 ecr 347409558], length 0
19:01:09.059507 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [P.], seq 675:710, ack 3882, win 4096, options [nop,nop,TS val 1003143271 ecr 347409558], length 35
19:01:09.098463 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [.], ack 4000, win 4092, options [nop,nop,TS val 1003143308 ecr 347409600], length 0
19:01:09.098593 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [P.], seq 710:751, ack 4000, win 4096, options [nop,nop,TS val 1003143308 ecr 347409600], length 41
19:01:09.135500 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [.], ack 4033, win 4094, options [nop,nop,TS val 1003143346 ecr 347409640], length 0
19:01:09.137571 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [P.], seq 751:822, ack 4033, win 4096, options [nop,nop,TS val 1003143346 ecr 347409640], length 71
19:01:09.181920 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [.], ack 4078, win 4094, options [nop,nop,TS val 1003143391 ecr 347409688], length 0
19:01:09.184633 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [P.], seq 822:857, ack 4078, win 4096, options [nop,nop,TS val 1003143391 ecr 347409688], length 35
19:01:09.221086 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [.], ack 4119, win 4094, options [nop,nop,TS val 1003143428 ecr 347409726], length 0
19:01:09.223850 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [P.], seq 857:892, ack 4119, win 4096, options [nop,nop,TS val 1003143430 ecr 347409726], length 35
19:01:09.260271 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [.], ack 4184, win 4093, options [nop,nop,TS val 1003143467 ecr 347409765], length 0
19:01:09.262584 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [P.], seq 892:927, ack 4184, win 4096, options [nop,nop,TS val 1003143467 ecr 347409765], length 35
19:01:09.299953 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [.], ack 4261, win 4093, options [nop,nop,TS val 1003143505 ecr 347409804], length 0
19:01:09.301563 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [P.], seq 927:962, ack 4261, win 4096, options [nop,nop,TS val 1003143508 ecr 347409804], length 35
19:01:09.340728 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [.], ack 4308, win 4094, options [nop,nop,TS val 1003143545 ecr 347409843], length 0
19:01:09.341370 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [.], ack 4340, win 4093, options [nop,nop,TS val 1003143545 ecr 347409843], length 0
19:01:09.345063 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [P.], seq 962:993, ack 4340, win 4096, options [nop,nop,TS val 1003143545 ecr 347409843], length 31
19:01:09.347207 IP <meine.lokale.ip>.61255 > <ip.des.servers>.995: Flags [F.], seq 993, ack 4340, win 4096, options [nop,nop,TS val 1003143545 ecr 347409843], length 0

Display More

Hier kommt direkt die Verbindung auf Port 995 zustande.

Ich hoffe das Hilft weiter... ich bin dadurch gerade noch mehr verwirrt als ich's vorher war.

Danke für die Unterstützung. Muss echt mal loswerden, dass das hier eine klasse Community ist.

LG
Frederic

Users Online