Сделать постфикс, отклонить входящую почту, подделанную как от моего собственного домена

Могу ли я добавить элемент конфигурации быстрого постфикса, который бы отклонял входящую электронную почту FROM mydomain и не проходил аутентификацию?

Не так быстро, но вы можете реализовать простую политику SMTPd и выбрать sender а также sasl_username и проверьте, приходит ли первый из вашего домена, а второй существует и также из вашего домена, если да, верните DUNNO, иначе, REJECT, Таким образом вы гарантируете, что для любой входящей почты, если она от ваших пользователей, она должна быть аутентифицирована SASL.

Чтобы быть очень конкретным, это мой постфиксный conf:

Есть несколько дополнительных предметов, которые вы можете добавить в свой smtpd_recipient_restrictions Политика, чтобы попытаться остановить спам и в то же время улучшить вашу безопасность:

smtpd_sender_restrictions =
    permit_mynetworks
    reject_unknown_sender_domain
    reject_sender_login_mismatch
    reject_unauth_pipelining
    reject_non_fqdn_sender
    permit

Что означает, что каждый может быть найден на странице параметров конфигурации Postfix.

Есть несколько дополнительных элементов, которые вы можете включить, чтобы остановить спам:

• SPF является одним из них, но я согласен с тем, что блокирование любого несоответствующего теста довольно тяжело, учитывая, что некоторые плохо реализованные почтовые списки отправляют электронные письма с оригинальным адресом отправителя со своих серверов, поэтому они терпят неудачу.

• DKIM также очень мощный (проверьте OpenDKIM).

• SpamAssassin может быть очень полезным в этом случае. Он не будет блокировать почту, но будет добавлен заголовок спама и, следовательно, будет классифицирован так.

• Вы не предоставили сообщение Postfix об одной из этих поддельных попыток, но вы можете проверить, исходят ли они с одного и того же IP-адреса или хотя бы с конкретного адреса CIDR, и поместить их в черный список с помощью smtpd_client_restrictions параметр.

• То же самое может быть применено к HELO/EHLO сообщение и может быть помещено в smtpd_helo_restrictions,

Как видите, есть много способов, может быть, вы сможете найти их комбинацию, которая подходит для вашего случая, и остановить все поддельные попытки.

Я нашел один способ ее решить, хотя мне любопытно, есть ли у кого-то более прямой / простой ответ.

Я использовал reject_sender_login_mismatch установка так, чтобы, если postfix мог найти сопоставление от адреса "FROM" к имени пользователя, он требует, чтобы это имя пользователя было аутентифицировано.

Затем задача состоит в том, чтобы создать карту, которая обрабатывает все адреса @mydomain, но которая правильно позволяет локальным пользователям отправлять почту для своего адреса.

На моей конкретной конфигурации я использую

virtual_alias_maps = sqlite:/etc/postfix/db-public-alias.cf pcre:/etc/postfix/db-public-alias-regex.cf

сопоставить адреса с реальными пользователями.

Я добавил другую адресную базу pcre:/etc/postfix/db-sender-logins-fallback.cf который имеет регулярное выражение из всех моих доменов для моего основного пользователя. Итак, теперь в сочетании:

smtpd_sender_login_maps = sqlite:/etc/postfix/db-public-alias.cf pcre:/etc/postfix/db-public-alias-regex.cf pcre:/etc/postfix/db-sender-logins-fallback.cf
smtpd_sender_restrictions = reject_unknown_sender_domain, reject_sender_login_mismatch

каждый псевдоним может быть отправлен только от пользователя, которому он направлен, а все остальные адреса в моих доменах могут быть отправлены только из моей основной учетной записи пользователя, и поэтому любой спамер пытается отправить FROM: мой домен не будет выполнен, потому что они не зарегистрированы во как я.

Хотя это хорошее улучшение в настройке моей почты (локальные пользователи больше не могут выдавать себя за другого), оно может быть слишком сложным для людей с очень продвинутыми настройками учетных записей пользователей. Мне все еще интересно, есть ли способ просто сказать "для этих доменов в FROM: пользователь должен войти в систему".

Мой раздел аутентификации conf. Работает хорошо:

smtpd_sender_restrictions =
 reject_non_fqdn_sender
 reject_sender_login_mismatch
 reject_unknown_sender_domain
 reject_unauth_pipelining
 reject_non_fqdn_sender
 reject_unlisted_sender
 reject_unverified_sender
 permit_sasl_authenticated
 reject_unknown_reverse_client_hostname
 reject_unknown_client_hostname

smtpd_recipient_restrictions =
 permit_sasl_authenticated
 reject_unauth_destination
 reject_rbl_client            zen.spamhaus.org
 reject_rhsbl_reverse_client  dbl.spamhaus.org
 reject_rhsbl_helo            dbl.spamhaus.org
 reject_rhsbl_sender          dbl.spamhaus.org

smtpd_relay_restrictions =
 permit_sasl_authenticated
 reject_unauth_destination

smtpd_helo_required = yes
smtpd_helo_restrictions =
 permit_sasl_authenticated
 reject_invalid_helo_hostname
 reject_non_fqdn_helo_hostname
 reject_unknown_helo_hostname