Почему 3 подписи DKIM?

Question

[maximice]

Всем доброго времени суток.
Заметил что у меня письма подписываются тремя подписями, что не есть хорошо. Не могу понять как оставить всего одну.
opendkim.conf

AutoRestart             Yes
AutoRestartRate         10/1h
Umask                   002
Syslog                  yes
SyslogSuccess           Yes
LogWhy                  Yes
Canonicalization        relaxed/simple
ExternalIgnoreList      refile:/etc/opendkim/TrustedHosts
InternalHosts           refile:/etc/opendkim/TrustedHosts
KeyTable                refile:/etc/opendkim/KeyTable
SigningTable            refile:/etc/opendkim/SigningTable
Mode                    sv
PidFile                 /var/run/opendkim/opendkim.pid
SignatureAlgorithm      rsa-sha256
UserID                  opendkim:opendkim
Socket                  inet:8891@localhost

postfix master.cf

smtp      inet  n       -       n       -       -       smtpd
    -o content_filter=spamassassin
    

submission     inet  n       -       n       -       -       smtpd
    -o content_filter=spamassassin
    -o smtpd_tls_security_level=may
    -o smtpd_sasl_auth_enable=yes
    -o smtpd_sasl_type=dovecot
    -o smtpd_sasl_path=/var/spool/postfix/private/auth
    -o smtpd_sasl_security_options=noanonymous
    -o smtpd_sasl_local_domain=$myhostname

smtps      inet n - n - - smtpd
    -o syslog_name=postfix/smtps
    -o smtpd_tls_wrappermode=yes
    -o smtpd_sasl_auth_enable=yes
    -o smtpd_client_restrictions=permit_sasl_authenticated,reject

dovecot    unix  -       n       n       -        -       pipe
    flags=DRhu user=vmail:vmail argv=/usr/libexec/dovecot/deliver -d ${recipient}

scan unix - - n - 16 smtp
     -o smtp_send_xforward_command=yes
     -o smtp_enforce_tls=no

127.0.0.1:10026 inet n - n - 16 smtpd
      -o content_filter=
      -o receive_override_options=no_unknown_recipient_checks,no_header_body_checks
      -o smtpd_helo_restrictions=
      -o smtpd_client_restrictions=
      -o smtpd_sender_restrictions=
      -o smtpd_recipient_restrictions=permit_mynetworks,reject
      -o mynetworks_style=host
      -o smtpd_authorized_xforward_hosts=127.0.0.0/8

spamassassin      unix  -       n       n       -       -       pipe
            flags=R user=spamd argv=/usr/bin/spamc -u spamd -e /usr/sbin/sendmail -oi -f $sender $recipient

postfix main.cf

smtpd_milters = inet:127.0.0.1:8891
receive_override_options = no_address_mappings
non_smtpd_milters = $smtpd_milters
milter_default_action = accept
milter_protocol = 2
content_filter = scan:[127.0.0.1]:10025

transport_maps = hash:/etc/postfix/transport_maps

Answer 1

[akelsey]

Попробуй временно закомментировать эти строки:

submission     inet  n       -       n       -       -       smtpd
    -o content_filter=spamassassin
    -o smtpd_tls_security_level=may
    -o smtpd_sasl_auth_enable=yes
    -o smtpd_sasl_type=dovecot
    -o smtpd_sasl_path=/var/spool/postfix/private/auth
    -o smtpd_sasl_security_options=noanonymous
    -o smtpd_sasl_local_domain=$myhostname

smtps      inet n - n - - smtpd
    -o syslog_name=postfix/smtps
    -o smtpd_tls_wrappermode=yes
    -o smtpd_sasl_auth_enable=yes
    -o smtpd_client_restrictions=permit_sasl_authenticated,reject

Хотя вряд ли это поможет, только отвалятся порты - по какой-то причине он у тебя 3 раза прогоняет через мильтер, возможно антивирус возвращается на smtpd ещё раз, но вроде по конфигам не видно.

Upd,
Похоже антивирь, да, поправь так:
===
127.0.0.1:10026 inet n - n - 16 smtpd
-o content_filter=
-o receive_override_options=no_unknown_recipient_checks,no_header_body_checks,no_milters
===
Что бы он при возврате на smtpd не применял Milters.

Comments

[maximice]

Стало чуток лучше. Вместо трех теперь две. Как понять откуда еще одна?

[akelsey]

maximice, кто-то еще раз заворачивает письма на smtpd, и прогоняет через мильтер. Нужно искать кто -)

[akelsey]

maximice, могу только предположить если ты уверен что в днс публичный ключ опубликован 100% верно, что нужно тоже проверить, то проблема в рспамд демоне, который добавляет что-то в заголовки уже подписанного письма. (Временно выключи, проверь)

[maximice]

akelsey, Изменил на

non_smtpd_milters = inet:localhost:8891
smtpd_milters = inet:localhost:8892

Стала одна подпись. Однако валидатор выдает что подпись не валидная. Что еще проверить можно?

[akelsey]

maximice, меня смущает строка h=Date:From:To:Subject:From - почему твой OpenDKIM указывает from дважды.

[maximice]

akelsey,

systemctl status rspamd
Unit rspamd.service could not be found.

[maximice]

akelsey, Нашел в конфиге , исправил.
Была строка
#OversignHeaders From
Ее закоментил
теперь поле такое:
h= Signed Headers: Date:From:To:Subject

Ситуацию это не изменило. Подпись не валидная.

[akelsey]

maximice, тогда сравнивай открытый ключ побайтово то что тебе нагенерил на машине и то что опубликовал в DNS.

[maximice]

akelsey, Проверил, сравнялка выдала "Тексты одинаковые! В текстах отсутствуют различающиеся фрагменты."

[akelsey]

maximice,

spamassassin unix - n n - - pipe
flags=R user=spamd argv=/usr/bin/spamc -u spamd -e /usr/sbin/sendmail -oi -f $sender $recipient

попробуй вырубить спамассасина. т.к. видно что дким все подписывает - кто то портит либо контент, либо хидеры уже после подписи.

[maximice]

akelsey, Без него не подписывает

This message does not contain a DKIM Signature

[maximice]

akelsey, А почему может тест не проходить?

opendkim-testkey -d domain.ru -s mail -k domain.private -vvv
opendkim-testkey: using default configfile /etc/opendkim.conf
opendkim-testkey: key loaded from domain.private
opendkim-testkey: checking key 'mail._domainkey.domain.ru'
opendkim-testkey: 'mail._domainkey.domain.ru' record not found

[akelsey]

maximice, внутри своего днс нет с такой же зоной domain.ru? Split DNS?

[maximice]

akelsey, Есть соответственная txt -запись для dkim. Своего это какого? Все записи делались в настройках dns регистратора. На Centos ничего такого не прописывалось, кроме ключей для DKIM.

[akelsey]

maximice, ясно, тогда нет, ну значит по какой-то причине твой днс сервер на который ходит Centos до сих пор не обновил и не закэшировал DNS запись с твоим ключем, о чем тебе и говорит ошибка, что записи с селектором "mail" в домене domain.ru не найдено.

[maximice]

akelsey, Странно. Тот же проверяльщик гугла по запросу дает ответ.

[akelsey]

maximice,
смотри содержимое:

ExternalIgnoreList      refile:/etc/opendkim/TrustedHosts
InternalHosts           refile:/etc/opendkim/TrustedHosts
KeyTable                refile:/etc/opendkim/KeyTable
SigningTable            refile:/etc/opendkim/SigningTable

этих файлов и правил, каким ключем какой селектор подписывается.

[maximice]

akelsey, Да вроде все четко настраивал:
KeyTable

mail._domainkey.domain.ru domain.ru:mail:/etc/opendkim/domain.private

TrustedHosts

127.0.0.1
localhost
::1
*.domain.ru

SigningTable

*@domain.ru mail._domainkey.domain.ru

[akelsey]

maximice, да вроде всё ок...
Остается наверное дебажить как то, отправлять письмо себе, выдергивать заголовки - и декриптить, делать checksum - сравнивать где фейлы скриптами.

[maximice]

akelsey, Сложнааа )

[maximice]

akelsey, На данный момент, тест opendkim проходит, dig получает txt запись. Однако подпись все еще не валидная. Что ему еще не нравится, не ясно.

DKIM Signature

Message contains this DKIM Signature:
DKIM-Filter: OpenDKIM Filter v2.11.0 mail.domain.ru 2DA525000060E
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=domain.ru;
	s=mail; t=1600...2;
	bh=iIAE+TXr/b+s....iePVJ7qyNzAU=;
	h=Date:From:To:Subject;
	b=bm6kzt....inmk=


Signature Information:
v= Version:         1
a= Algorithm:       rsa-sha256
c= Method:          relaxed/simple
d= Domain:          domain.ru
s= Selector:        mail
q= Protocol:        
bh=                 iIAE+TXr/b+s....PVJ7qyNzAU=
h= Signed Headers:  Date:From:To:Subject
b= Data:            ....
Public Key DNS Lookup

Building DNS Query for mail._domainkey.domain.ru
Retrieved this publickey from DNS: v=DKIM1;k=rsa;p=MIGf...IDAQAB
Validating Signature

result = fail
Details: bad RSA signature

[maximice]

akelsey, Разобрался таки. В DNS запись была не верной все же

[akelsey]

maximice, я просил тебя побайтово сравнить, ну слава богу разобрались, поздравляю. Правда в топике ты просил помочь только с 3 подписями, о том что дким не валидная - не было ни слова =)