Postfix: Permitir mensagens de entrada não autenticadas, mas apenas mensagens de saída autenticadas?

Question

Sou novo no mundo dos servidores de e-mail e tenho trabalhado na configuração do meu próprio via Postfix no Ubuntu 11.10. Até agora, tenho autenticação SASL funcionando em TLS, isso é bom; Estou me preocupando com segurança agora.

Resumindo: desejo que o Postfix aceite todos os e-mails de entrada não autenticados, mas permita apenas mensagens de saída autenticadas. Isso também me faz pensar se eu tenho suporte a STARTTLS e TLS nas portas 465 e 587, ainda preciso escutar na porta 25? Os servidores de email tentarão entregar emails na porta 587 se 25 estiver fechado?

Mas voltando à permissão de entrada não autenticada, mas apenas autenticada, tentei adicionar

-o smtpd_sasl_auth_enable=yes
-o smtpd_client_restrictions=permit_sasl_authenticated,reject

para a linha smtp no meu arquivo master.cf , mas bloqueia os e-mails recebidos não autenticados. Existe uma maneira de permitir somente entrada na porta 25 e deixar as portas 465/587 somente para saída?

Não sei ao certo o que seria bom, mas posso postar o restante da minha configuração, se necessário. Qualquer ajuda é muito apreciada desde que eu sou novo em tudo isso e ainda é confuso. Obrigada!

    

Answer 1

Como você deve entender, aplique opções em master.cf para substituir opções em main.cf por porta.

Para atingir sua meta, você deseja colocar a restrição como smtpd_recipient_restrictions em vez de smtpd_client_restrictions . A chave é para reject_unauth_destination em vez de apenas reject :

mydestination = aardvark.com, acme.com 
smtpd_recipient_restrictions = permit_sasl_authenticated,reject_unauth_destination

Isso impede que um cliente não autenticado envie para qualquer domínio que você não seja responsável. Neste contexto, os domínios pelos quais você é responsável são mais do que apenas mydestination . Consulte reject_unauth_destination no manual.

    

Answer 2

Eu tenho procurado por horas para resolver isso e sua resposta é bem acirrada.

Para mais informações, isso também funciona ao usar o Plesk / CentOS (minha situação). Especialmente ao usar o Plesk, o valor permit_mynetworks também é adicionado à variável smtpd_recipient_restrictions por padrão, permitindo que todos os domínios do Plesk enviem e-mails SMTP sem autenticação.

Veja: link

Também adicionado ao main.cf por motivos de segurança (para qualquer pessoa interessada;

smtpd_client_connection_count_limit = 20
smtpd_sasl_authenticated_header = yes
maximal_queue_lifetime = 1d