SMTPDの制限
postfix制限の構成に関するアドバイスを少し探しています。スパムと不正アクセスの再試行を適切に拒否するバランスの取れた構成を探しています。
最近、私はいくつかのドキュメントを読んで、他の人の経験から学ぼうとしていますが、制限が発生すると少し混乱します。現在、permit_sasl_authenticatedを最初の制限として設定する必要があるため、認証されたユーザーは、デスクトップ電子メールクライアントアプリケーションから電子メールを送信するときにスパムブロックリストと一致しません。このような制限を解除すると、MS Outlookなどのデスクトップ電子メールクライアントアプリケーションを介して電子メールを送信し、ADSLまたは動的IPの背後でネットに接続されているユーザーは、通常、スパムとして検出されます。
他の構成、チュートリアル、ドキュメントを読んでいるときに、その問題に悩まされていないように見えるので、何かを見逃したのではないかと思います。私だけだと思います。
また、各制限ステートメントで適切なスパムリストをチェックしているかどうかも疑問に思っています。
mynetworks_style = Host smtpd_client_restrictions = permit_sasl_authenticated、 reject_rbl_client sbl.spamhaus.org、 reject_r_ 、reject_rbl_client zen.spamhaus.org 、reject_rbl_client bl.spamcop.net 、check_client_access regexp：/ etc/postfix/client_restrictions smtpd = require_unauth_pipelining smtpd_end_of_data_restrictions = smtpd_etrn_restrictions = smtpd_helo_restrictions = access .___。] permit_my /postfix/helo_access, permit_sasl_authenticated, warn_if_rejectreject_non_fqdn_hostname, reject_invalid_hostname, permit [.____。 permit_sasl_authenticated、 reject_unauth_pipelining、 permit_mynetworks、 reject_non_fqdn_recipient、 warn_if_rejectreject_unknown_sender_domain、 cipient_domain、 reject_unauth_destination、 warn_if_reject react_unknown_helo_hostname、 check_policy_service inet：127.0.0.1：10023、 check_policy_service unix：private/policy-s_ permit smtpd_relay_restrictions = permit_mynetworks、 permit_sasl_authenticated、 defer_unauth_destination smt smtpd_sender_restrictions = permit_sasl_authenticated、 permit_mynetworks、 warn_if_reject申し立て拒否_non_fqdn_sender、 .____。]
私が直面した問題の1つはbl.sorbs.net一部のMicrosoftIPをスパムとして検出します。
どんな種類のヒントやアドバイスも大歓迎です。
どうもありがとう！
permit_sasl_authenticated usersを最初または2番目に配置することは、ほとんどの場合、サーバーを介して中継できるユーザーを制限する正しい方法です。適切な認証済みSMTPを実行することが単純または現実的でない可能性があるシステムでは、適切なmynetworks設定を行うこともお勧めします。通常、これはWebサーバーがメールサーバーを介して中継できるようにするためのものであり、他の同様の状況です。 smtpd_recipient_restrictionsに制限を設定し、smtpd_helo_restrictionsを使用して無効なホスト名を拒否すると同時に、smtpd_client restrictions正規表現テーブルを除いてcheck_client_accessを削除することもできます。
複数のsmtpd_*スタンザで同じ制限を繰り返すことにはまったく意味がありません。これらのオプションはすべて、最初のSMTP会話の一部であり、異なる部分です（クライアントは接続、HELOは挨拶、送信者はメールFROM ：、リレーと受信者はRCPT TO ：、データはメッセージ、データの終わりメッセージの終わりです）後でそれらを再度繰り返すことはサイクルの無駄です。
ブラックリストに関しては、2つの選択肢があります。1つは現在と同じように行うこと、そしてpostfixにBL応答に基づいてメッセージを受け入れるか拒否するかを決定させ、誤検知が多すぎるメッセージを削除することです。次に、グレイリストのようなものを設定し、多くのファイアを拒否してボットを忘れ（多くは再試行しない）、spamassassinに通過するメールがスパムかどうかを判断させることができます（これらのルールはブラックリストを含める）。 spamassassinの良いところは、調整できることです。メールが完全に拒否されることはありません。ただし、時間と注意が必要です。それはまたあなたのサーバーがもっと一生懸命働くことを意味します。