メールサーバのヘッダー制限値について

Size: px

Start display at page:

Download "メールサーバのヘッダー制限値について"

れれむらかわ
6 years ago
Views:

1 MTA のヘッダーサイズによる制限値について ENOG46 Meeting 創風システム外山文規

2 今回のお話 Office365 からのメールの一部がメールヘッダーサイズの制限でエラーメールになるらしい受信側としては寛容の精神を発揮するにしても主要な MTA のヘッダーサイズに関する制限ってどうなっているの?

3 Exchange Online に関する BLOG Exchange Online に関するお知らせヘッダーサイズの超過によって Exchange Online からのメール配信に失敗する場合がある

4 内容抜粋 Office 365 (Exchange Online) をご利用のお客様の一部にて Office 365 組織外にメールを送信した際に以下のエラーコードによってメールの送信に失敗するとのお問い合わせをいただいております Headers too large (32768 max)

5 内容抜粋このメッセージヘッダーのサイズについてはインターネット上の相互互換性の基準として認識されております RFC (Request for Comments) では特に制限が設けられておりませんが一般的にメールサーバーでは制限が設けられており一部のメールサーバーでは 32 キロバイトが制限値として設定されています多くのお問い合わせでは 32 キロバイトの制限が設けられた宛先への送信に失敗しています

6 内容抜粋メールのルーティングやメッセージヘッダーサイズはそれぞれご利用の環境によっても異なりますがメールに対するセキュリティ対策の強化やそれに伴うヘッダー情報の追加を考慮した場合上述のエラーが発生した場合にはエラーを返しているサーバーにてヘッダーサイズ上限値について最適な設定値についてご検討頂くことをお勧めいたします

7 一部のメールサーバ sendmail を使用しているメールサーバ Symantec Securtity.cloud が該当する ( 把握した範囲では )

8 Symantec Securtity.cloud では 2017/7/14: 原因 : 最近 o365 のヘッダーに格納される情報に変更が行われたのが原因解決策 : Exchange 側の設定で X-Microsoft-Exchange-Diagnosticsuntrusted のヘッダを削除する設定をする

9 sendmail では Headers too large のエラーは MaxHeadersLength で定義されているバイトサイズを超えた場合に起こる cf に Maximum length of the sum of all headers とありヘッダー部の合計値が対象 MaxHeadersLength のデフォルトは 32k バイト

10 MaxHeadersLength はいつ実装されたか / /03/01 のリリースで追加される New option MaxHeadersLength allows to specify a maximum length of the sum of all headers. This can be used to prevent a denial-of-service attack. 最新版まで 32k は初期値

11 少なくとも MaxHeadersLength のねらいが DOS 攻撃対策とするならば今ならもっと緩い設定でもよいのでは?

12 但し sendmail で Milter を使っている場合は Milter の最大データサイズが 64k であることに注意 Milter も使っている場合は大きなヘッダーが渡ってきたときに Milter 処理がどうなるか確認しておこう

13 sendmail.mc で制限値の変更するには書式 define(`confmax_headers_length, ` Nbytes ')dnl 32k に設定する場合 define(`confmax_headers_length, `32768')dnl

14 メッセージサイズの制限について? 各 MTA にはメッセージサイズ制限がありますがヘッダー部は含まれるのだろうか?

15 ちょっと検証 sendmail で設定を変えてみる MaxMessageSize=10 メッセージサイズ 10 バイト MaxHeadersLength=100 ヘッダーサイズ 100 バイトで 10 バイト未満の本文と 10 バイトのヘッダー情報のメッセージをサーバに送り付けてみる

16 ~]# telnet localhost 25 Trying Connected to localhost. Escape character is '^]'. 220 localhost.localdomain ESMTP Sendmail /8.14.7; Fri, 18 Aug :28: HELO localhost 250 localhost.localdomain Hello localhost [ ], pleased to meet you MAIL FROM: Sender ok RCPT TO: Recipient ok DATA 354 Enter mail, end with "." on a line by itself : 9 ヘッダー部 (10 文字 ) test 本文 (4 文字 ) Message exceeds maximum fixed size (10) QUIT

17 メッセージサイズにヘッダー部は答え含まれる

18 つまりヘッダー部合計で制限する設定がない MTA でも大きなヘッダーサイズのメール対して無防備ではない

19 ではほかの MTA ではほかのMTAでヘッダー部全体のサイズ制限があるか確認 Postfix qmail exim

20 Postfix ヘッダー部 * 全体 * のサイズ制限設定はない message_size_limit でメッセージの一部としてヘッダー部も制限の対象に含まれる header_size_limit デフォルト 100k

21 header_size_limit は? The maximal amount of memory in bytes for storing a message header. If a header is larger, the excess is discarded. The limit is enforced by the cleanup(8) server. メッセージヘッダを格納するメモリのバイト単位の最大量それよりもヘッダが大きい場合超過分は破棄されますこの制限は cleanup(8) サーバによって強制されます header_size_limit (default: )

22 こうゆうこと? 赤い部分からヘッダーサイズが超過していたとすると Return-Path: Received: from localhost (localhost [ ]) by xxx.example.com (Postfix) with ESMTP id XXXXXXXXXXXXXXX for Thu, 17 Aug :53: (JST) Message-Id: From: To: Date: Thu, 17 Aug :53: Subject: =?UTF- XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX==? = MIME-Version: 1.0 Content-Type: text/plain; charset="utf-8" Content-Transfer-Encoding: 8bit X-MIME-Autoconverted: from base64 to 8bit by smtp.sofu.co.jp id v7h4rku

こうゆうこと? こうなるの? Return-Path: <aaa@example.com> Received: from localhost (localhost [127.0.0.1]) by xxx.example.com (Postfix) with ESMTP id XXXXXXXXXXXXXXX for <toyama@sofu.co.jp>; Thu, 17 Aug 2017 13:53:46 +0900 (JST) Message-Id: <201708170453.

23 こうゆうこと? こうなるの? Return-Path: Received: from localhost (localhost [ ]) by xxx.example.com (Postfix) with ESMTP id XXXXXXXXXXXXXXX for Thu, 17 Aug :53: (JST) Message-Id: From: To: Date: Thu, 17 Aug :53: Subject: =?UTF- XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX==? = MIME-Version: 1.0 Content-Type: text/plain; charset="utf-8" Content-Transfer-Encoding: 8bit X-MIME-Autoconverted: from ba 削除される?

24 ちょっと実験 Postfix に header_size_limit=10 と設定して 10 バイトを超えるヘッダー情報がどう処理されるか確認

25 postfix]# telnet localhost 25 Trying ::1... Connected to localhost. Escape character is '^]'. 220 localhost.localdomain ESMTP Postfix HELO localhost 250 localhost.localdomain MAIL FROM: Ok RCPT TO: Ok DATA 354 End data with <CR><LF>.<CR><LF> : : 9A : 9AB : 9ABC : 9ABCD : 9ABCDE : 9ABCDEF : 9ABC DE F test Ok: queued as C1BC5107D70E QUIT Bye Connection closed by foreign host.

26 結果 From Fri Aug 18 17:30: Return-Path: X-Original-To: Delivered-To: : : : : : : : : 9 Date: Fri, 18 Aug :30: (JST) From: toyama@sofu.co.jp Status: R test 1 ヘッダーフィールドごとに 10 バイトに切り詰められるヘッダーフィールド本文が複数行の場合はそれもカウントして切り詰める

27 そもそも smtpd で掛かる制限値でない message_size_limit のように smtpd で使用されず cleanup で使用される制限値

28 Postfix すくなくとも 32k 以上のメールヘッダーのメールが届いても大丈夫

29 qmail ヘッダー部のみ制限設定はない但し databytes の設定があればメッセージの一部としてヘッダー部も制限の対象に含まれる

30 qmail すくなくとも 32k 以上のメールヘッダーのメールが届いても大丈夫

31 exim header_maxsize デフォルト値は 1M 制限を超えると ridiculously long message header received from ~ で 552 エラーになる message_size_limit の設定があればメッセージの一部としてヘッダー部も制限の対象に含まれる header_line_maxsize デフォルト値は 0( 無制限 ) ヘッダー行数による制限

32 exim 32k 以上のメールヘッダーのメールが届いても大丈夫 ( 意図的にデフォルトを変えてなければ )

33 mailop の ML より抜粋 : Checking one set of servers here, out of ~100,000 inbound messages, we saw 14 rejected as "headers too large", the sources were: 1 from Yahoo! 2 from Google 5 from Outlook.com 6 from an Azure host (didn't look like any we wanted)

34 mailop の ML より抜粋 : Sendmail: 32KB Postfix: 100KB Cisco ASA/ESA: 1000 lines Exchange 2016: 256KB Exim: 1MB Google: 1MB qmail: memory

35 ヘッダーサイズの設定どれくらいがよいか今のところ 32k を超えるヘッダーがついてくることは稀今のところ 1M くらいに調整して Headers too large が起きていないかモニターをするヘッダーサイズによる制限の設定がない MTA はあえてメッセージサイズをいじるほどでもないのでは ( よほどメッセージサイズが絞られていない限り )

36 まとめ今のところ sendmail 以外は気にしなくてもよさそう sendmailは32k 以上に緩めてあげるとよいのでは Postfixのheader_size_limitはヘッダー全体の制限値ではない MTAのメッセージサイズ制限はヘッダー部 + 本文の合計 Milterを使っている場合はヘッダーに関する設定値を変更する場合は注意

MUA (Mail User Agent) MTA (Mail Transfer Agent) DNS (Domain Name System) DNS MUA MTA MTA MUA MB mailbox MB

MUA (Mail User Agent) MTA (Mail Transfer Agent) DNS (Domain Name System) DNS MUA MTA MTA MUA MB mailbox MB »» SMTP MAIL FROM: 250 sender ok RCPT TO: 250 recipient