AUTH後にPostfix接続が失われました

メールサーバーのログを確認すると、次のようなメッセージが表示されています。

Nov 29 12:09:38 mta postfix/smtpd[8362]: connect from unknown[183.13.165.14]
Nov 29 12:09:39 mta postfix/smtpd[8362]: lost connection after AUTH from unknown[183.13.165.14]
Nov 29 12:09:39 mta postfix/smtpd[8362]: disconnect from unknown[183.13.165.14]
Nov 29 12:09:39 mta postfix/smtpd[8409]: connect from unknown[183.13.165.14]
Nov 29 12:09:40 mta postfix/smtpd[8409]: lost connection after AUTH from unknown[183.13.165.14]
Nov 29 12:09:40 mta postfix/smtpd[8409]: disconnect from unknown[183.13.165.14]

これらの場合、SASL障害はありません。SASLの失敗がログに記録されることもありますが、では記録されませんlost connection after AUTH。

ここで何が起こっていますか、それについて何かする必要がありますか？
これらはMXではなく、すでにsmtpd_client_connection_rate_limit設定されています。

おそらく関連：
システムは、AUTHがアナウンスされる前にSMTPSまたはSTARTTLSのいずれかを必要とします。

これは、スパムを配信しようとするボックスに接続している中国のボットネットです。しかし、ボットは愚かすぎて、自分自身を認証するように指示されたときに何をすべきかを知ることができません。ボットはメールの配信を停止し、次の被害者を攻撃するために切断します。

まったく心配する必要はありません。

ログファイルがいっぱいになり、これらのジャークからの接続を許可することさえcpuの無駄です。fail2banルールを作成しました。

Jul 11 02:35:08 mail postfix/smtpd[16299]: lost connection after AUTH from unknown[196.12.178.73]

の内容 /etc/fail2ban/jail.conf

[postfix]
# Ban for 10 minutes if it fails 6 times within 10 minutes
enabled  = true
port     = smtp,ssmtp
filter   = postfix
logpath  = /var/log/mail.log
maxretry = 6
bantime  = 600
findtime = 600

の内容 /etc/fail2ban/filter.d/postfix.conf

# Fail2Ban configuration file
#
# Author: Cyril Jaquier
#
# $Revision$
#

[Definition]

# Option:  failregex
# Notes.:  regex to match the password failures messages in the logfile. The
#          host must be matched by a group named "host". The tag "<HOST>" can
#          be used for standard IP/hostname matching and is only an alias for
#          (?:::f{4,6}:)?(?P<host>[\w\-.^_]+)
# Values:  TEXT
#

# Jul 11 02:35:08 mail postfix/smtpd[16299]: lost connection after AUTH from unknown[196.12.178.73]

failregex = lost connection after AUTH from unknown\[<HOST>\]

# Option:  ignoreregex
# Notes.:  regex to ignore. If this regex matches, the line is ignored.
# Values:  TEXT
#
ignoreregex = 

でsmtpd_recipient_restrictionsちょうどセットreject_unknown_client_hostname、このように：

smtpd_recipient_restrictions = reject_unknown_client_hostname

これにより、クライアントが拒否され、ホスト名が不明なゾンビボットが迷子になったり、ばかになったりします。設定すると、ログは次のようになります。

postfix/smtpd[11111]: NOQUEUE: reject: RCPT from unknown[183.13.165.14]: 450 4.7.1 Client host rejected: cannot find your hostname, [183.13.165.14]

心配すべきことがたくさんあるかどうかはわかりませんが、基本的にはクライアント/「誰か」が接続し、AUTHを発行し、自分で切断しています。これは、メールクライアントからサーバー機能を調査する試み、またはデーモンを実行する試みである可能性があります。

あなたが十分なセキュリティを備えている限り、それは世界からのドアのもう一つのノックです。