Voilà l'histoire: je reçois un mail d'avertissement de wanadoo comme quoi je fais du spam. Après inspection des logs, je remarque qu'un intrus a envoyé des mails par mon serveur postfix en utilisant les IP 127.0.0.* (mais pas 127.0.0.1).
 
J'ai activer l'antispoofing dans mon kernel et iptables pourtant. Comment est-ce possible?
 
En attendant, j'ai corrigé ma conf postfix en mettant mynetworks=127.0.0.1 au lieu de 127.0.0.0/8
 
Je trouve cela quand même assez étonnant.  

petite précision niveau firewall pour le serveur smtp: je dois ouvrir en source port 25 et dest port 25 ou source port 25 seulement (config atuelle)?

tu rajoutes une auth avec sasl et basta, le mec qui n'a pas de compte dessus il ira jouer aux billes...

j'ai bien un auth sasl mais si je veux que le serveur puisse envoyer des mails (mail admin) il faut que je mette mynetworks. Maintenant c'est à 127.0.0.1  
Je ne comprends pas pour autant pourquoi le spoof a fonctionné

ah oui effectivement, j'ai pas réfléchie, pour les services locaux c'est autre chose...  
 
tu ferais bien d'ajouter une règle DROP sur les IP de 127.0.0.0/8 venant de l'interface externe, mais j'ai l'impression que tu l'as déjà fait
ou alors carrément droper sur toutes les interfaces le réseau 127.0.0.0/8 et accepter seulement l'IP 127.0.0.1, si tu n'utilises pas d'autre IP de genre... là pour spoofer dessus faudra s'accrocher

enfin quand même, c'est pas normal. Actuellement j'ai en ACCEPT -o lo et -i lo. Je vais restreindre à 127.0.0.1 mais si l'anti-spoofing marche correctement, il n'y a pas besoin.

& la personne n'est pas sur ta machine elle meme ?

je lui ai demande mais il a pas trouve de rootkit ou autre avec chkrootkit

y a que moi sur la machine

tu en es sur ?

c kler

oui (version timide )

va falloir ke tu verifie tes connexions sortantes et voir aussi a propos de ton relay (avec le telnet ki marche po )

ça va être lourd de loguer toutes les connections sortantes
Mais je ne pense pas qu'il y ait eu intrusion mais plutot exploitation de mon serveur postfix qui relayait les 127.0.0.0/8. Ce que je ne comprends pas, c'est que mon serveur accepte une connection de l'extérieur avec 127.0.0.100 comme IP.  

c'est pas une gentoo ton serveur ?

moi je crois plutot ke 127.0.0.100 c pour le FROM

je penche putot pour une erreur (comme 99% des erreurs hein tomate77?) du module qui est entre l'écran et la chaise

huuummm surement, mais bon, il y a klk chose de louche kan meme
 
ps : ca suffit tes allegations douteuses

La fameuse erreur d'interface chaise-clavier...

elle est redoutable

pour préciser, dans mon script iptables, il y a: