# Attaques postfix non bannies **URL:** \ **Category:** Support Debian\ **Created:** [Février 27, 2021, 9:17 UTC](https://www.debian-fr.org/t/attaques-postfix-non-bannies/84094 "2021-02-27T09:17:14Z")\ **Posts on this page:** 4\ **Page:** 1
**Author:** ![kmchen](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/k/3d9bf3/32.png) [@kmchen](https://www.debian-fr.org/u/kmchen)\ **Post date:** [Février 27, 2021, 9:17 UTC](https://www.debian-fr.org/t/attaques-postfix-non-bannies/84094/1 "2021-02-27T09:17:14Z")
Bonjour, Je remarque des attaques postfix dans les logs qui perturbent les services WEB d’un serveur Debian 9 et ne sont pas bannies par fail2ban: ```auto Feb 27 00:00:04 ks307144 postfix/postscreen[26029]: CONNECT from [77.247.110.113]:64676 to [ip.du.serv.eur]:25 Feb 27 00:00:04 ks307144 postfix/postscreen[26029]: PREGREET 14 after 0.05 from [77.247.110.113]:64676: EHLO ylmf-pc\r\n Feb 27 00:00:04 ks307144 postfix/postscreen[26029]: DISCONNECT [77.247.110.113]:64676 Feb 27 00:00:04 ks307144 postfix/postscreen[26029]: CONNECT from [77.247.110.113]:59444 to [ip.du.serv.eur]:25 Feb 27 00:00:04 ks307144 postfix/postscreen[26029]: PREGREET 14 after 0.05 from [77.247.110.113]:59444: EHLO ylmf-pc\r\n Feb 27 00:00:04 ks307144 postfix/postscreen[26029]: DISCONNECT [77.247.110.113]:59444 Feb 27 00:00:04 ks307144 systemd[1]: man-db.service: Succeeded. Feb 27 00:00:04 ks307144 systemd[1]: Started Daily man-db regeneration. Feb 27 00:00:06 ks307144 postfix/postscreen[26029]: CONNECT from [77.247.110.113]:61228 to [ip.du.serv.eur]:25 Feb 27 00:00:06 ks307144 postfix/postscreen[26029]: PREGREET 14 after 0.05 from ... Feb 27 07:37:05 ks307144 postfix/postscreen[26029]: CONNECT from [77.247.110.113]:52036 to [ip.du.serv.eur]:25 Feb 27 07:37:05 ks307144 postfix/postscreen[26029]: PREGREET 14 after 0.04 from [77.247.110.113]:52036: EHLO ylmf-pc\r\n Feb 27 07:37:05 ks307144 postfix/postscreen[26029]: DISCONNECT [77.247.110.113]:52036 Feb 27 07:37:06 ks307144 postfix/postscreen[26029]: CONNECT from [77.247.110.113]:55323 to [ip.du.serv.eur]:25 Feb 27 07:37:06 ks307144 postfix/postscreen[26029]: PREGREET 14 after 0.05 from [77.247.110.113]:55323: EHLO ylmf-pc\r\n Feb 27 07:37:06 ks307144 postfix/postscreen[26029]: DISCONNECT [77.247.110.113]:55323 Feb 27 07:37:06 ks307144 postfix/postscreen[26029]: CONNECT from [77.247.110.113]:56835 to [ip.du.serv.eur]:25 Feb 27 07:37:06 ks307144 postfix/postscreen[26029]: PREGREET 14 after 0.05 from [77.247.110.113]:56835: EHLO ylmf-pc\r\n Feb 27 07:37:06 ks307144 postfix/postscreen[26029]: DISCONNECT [77.247.110.113]:56835 Feb 27 07:37:06 ks307144 postfix/postscreen[26029]: CONNECT from [77.247.110.113]:54462 to [ip.du.serv.eur]:25 ``` Mais cette IP qui se connecte/déconnecte pendant 7 heures sans réussir à envoyer aucun message ne semble pas bannie par fail2ban à 9h52 malgré 2 jails postfix: ```auto $ sudo fail2ban-client status Status |- Number of jail: 16 `- Jail list: apache-badbots, apache-botsearch, apache-fakegooglebot, apache-nohome, apache-noscript, apache-overflows, dovecot, dovecot-pop3imap, joomla-login-errors, mysqld-auth, pam-generic, postfix, postfix-sasl, pureftpd, recidive, sshd ``` Quelqu’un sait-il s’il y a une jail fail2ban qui bannirait ce type d’attaque ? ---
**Author:** ![anon90668717](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/3e96dc/32.png) [@anon90668717](https://www.debian-fr.org/u/anon90668717)\ **Post date:** [Février 27, 2021, 10:06 UTC](https://www.debian-fr.org/t/attaques-postfix-non-bannies/84094/2 "2021-02-27T10:06:26Z")
je te conseille de chroot tes services critiques ---
**Author:** ![Clochette](https://www.debian-fr.org/user_avatar/www.debian-fr.org/clochette/32/8757_2.png) [@Clochette](https://www.debian-fr.org/u/Clochette)\ **Post date:** [Février 27, 2021, 10:45 UTC](https://www.debian-fr.org/t/attaques-postfix-non-bannies/84094/3 "2021-02-27T10:45:08Z")
As-tu configurer Postfix pour ne répondre qu’au IP voulu ? J’ai pas regarder de fond en combles cet article : [https://www.milbako.com/postfix-securite-et-confidentialite-guide-de-renforcement/](https://www.milbako.com/postfix-securite-et-confidentialite-guide-de-renforcement/) Mais il y a pléthore d’article expliquant comment on protège Postfix … par défaut la jail de postfix ne surveille que les authentifications donc inutile face à ce que tu rencontre. Ton serveur ne devais pas être accessible depuis l’extérieur ou permettre le relais … après Postscreen je ne pratique pas donc bon … mis à part vérifier sa configuration je ne saurai trop te conseillé. Cet article aborde l’aspect Postcreen lié à Fail2ban : > **[Use Fail2ban and Postfix Postscreen to Fight Cutwail Botnet - creative chaos](https://b4d.sablun.org/blog/2018-10-25-use-fail2ban-and-postfix-postscreen-to-fight-cutwail-botnet/)** > > Intro My /var/log/mail.log: > Oct 25 12:26:54 sablun postfix/postscreen\[20895\]: PREGREET 14 after 0.23 from \[187.60.214.100\]:53007: EHLO ylmf-pc\\r\\n Oct 25 … Je ne vois d’ailleurs aucune jail Postcreen … c’est sans doute lié 😇 > [@anon90668717](#): > > je te conseille de chroot tes services critiques En quoi un chroot protègera plus le service Postfix, je me le demande … ---
**Author:** ![kmchen](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/k/3d9bf3/32.png) [@kmchen](https://www.debian-fr.org/u/kmchen)\ **Post date:** [Février 27, 2021, 3:24 UTC](https://www.debian-fr.org/t/attaques-postfix-non-bannies/84094/4 "2021-02-27T15:24:33Z")
Merci pour vos messages. J’ai eu la flemme de vérifier toute la conf postfix, j’ai abandonné à la ligne relay\_domains = mysql:/etc/postfix/mysql-virtual\_relaydomains.cf Sais pas comment relire cette base mysql ni ajouter mes domaines autorisés. Mais j’ai vérifié que mon serveur n’est pas open relay avec [https://mxtoolbox.com/diagnostic.aspx](https://mxtoolbox.com/diagnostic.aspx) Par contre j’ai introduit la jail postscreen indiquée. Je pense qu’il ne devrait plus y avoir ce type d’attaque maintenant.