基本的なセキュリティ設定
高度なセキュリティ対策を見る前に、基本的な設定が正しいことを確認する必要があります。これには、Postfixサーバーへのアクセス制限も含まれます。ファイル /etc/postfix/main.cf その場合、以下の行を追加または調整する必要がある：
inet_interfaces = ループバック・オンリー マイネットワーク = 127.0.0.0/8 [::1]/128
これらの設定は、ローカルホストへのアクセスを制限し、サーバーがオープンリレーとして悪用されるのを防ぎます。オープンリレーは、スパマーが迷惑メールを送信するために使用することができ、サーバーの評判を著しく損なう可能性があります。そのため、この基本的な保護を実行することは非常に重要です。
TLS暗号化を有効にする
電子メール通信の機密性を確保するためには、TLS（トランスポート・レイヤー・セキュリティ）の使用が不可欠です。以下の行を メインCF-ファイル：
smtpd_tls_cert_file = /etc/ssl/certs/ssl-cert-snakeoil.pem smtpd_tls_key_file = /etc/ssl/private/ssl-cert-snakeoil.key smtpd_tls_security_level = may smtp_tls_security_level = may
これらの設定により、送受信接続でTLSが有効になります。有効なSSL証明書、理想的には信頼できる認証局（CA）からの証明書を使用していることを確認してください。TLSを正しく実装することで、送信中のメールの傍受や改ざんを防ぐことができます。TLS設定の詳細については、公式の[Postfix documentation](https://www.postfix.org/TLS_README.html)を参照してください。
SASL認証を設定する
Simple Authentication and Security Layer (SASL)はセキュリティの追加レイヤーを提供する。以下の行を メインCF を加えた：
smtpd_sasl_type = dovecot smtpd_sasl_path = private/auth smtpd_sasl_auth_enable = yes smtpd_sasl_security_options = noanonymous smtpd_sasl_local_domain = $myhostname
この設定は、SASLプロバイダとしてDovecotを使用していることを前提としています。別のプロバイダを使用している場合は、適宜設定を調整してください。SASL 認証を使用すると、許可されていないユーザーがサーバー経由でメールを送信するのを防ぐことができ、セキュリティが大幅に向上します。
サービス拒否攻撃からの保護
サーバーを過負荷から守るために、接続制限を設定することができます。以下の行を メインCF を加えた：
smtpd_client_connection_rate_limit = 50 smtpd_client_message_rate_limit = 100 アンビルレート時間単位 = 60s
これらの設定は、クライアントが1分間に送信できる接続数とメッセージ数を制限します。これを制限することで、大量のリクエストやスパムメールによってサーバーが過負荷になるのを防ぐことができます。これは、メールサーバーの可用性を確保するための重要なステップです。
HELO/EHLO制限の導入
多くのスパム送信者は、無効または改ざんされたHELO/EHLOホスト名を使用しています。このような接続は、以下の設定でブロックできます：
smtpd_helo_required = yes smtpd_helo_restrictions = permit_mynetworks、 reject_invalid_helo_hostname、 reject_non_fqdn_helo_hostname
これらのルールは、有効なHELO/EHLOホスト名を必要とし、無効または完全修飾ドメイン名でない接続を拒否する。これにより、スパマーは正しいHELO/EHLO情報を提供しなければならないため、偽のメールを送信することが難しくなる。
送信機制限の導入
サーバーの悪用を防ぐため、送信者に制限を設けることができます：
smtpd_sender_restrictions=次のようになります。 permit_mynetworks、 reject_non_fqdn_sender、 reject_unknown_sender_domain、 reject_unauth_pipelining
これらのルールは、不完全に修飾された送信者アドレスや不明な送信者ドメインからのメールを拒否します。これにより、お客様のサーバーがスパムやフィッシングに使用される可能性が低くなると同時に、受信するメールの全体的な品質が向上します。
受信者の制限を設定する
送信者の制限と同様に、受信者のルールも定義できます：
smtpd_recipient_restrictions=。 permit_mynetworks、 reject_unauth_destination、 reject_non_fqdn_recipient、 reject_unknown_recipient_domain
これらの設定により、お客様のサーバーが不正な宛先のリレーとして悪用されたり、無効な受信者アドレスへのメールが拒否されたりすることを防ぎます。これにより、サーバーのセキュリティがさらに強化され、同時にメール通信の完全性が保証されます。
グレイリストの導入
Greylistingはスパムを減らす効果的な方法です。まずPostgreyパッケージをインストールする：
sudo apt install postgrey
次に、以下の行を メインCF を加えた：
smtpd_recipient_restrictions＝受信者制限 ...(既存の設定) チェック_ポリシー_サービス unix:private/postgrey
この設定では、まず受信メールをPostgreyサービスに転送し、不明な送信者に対して一時的な拒否を発生させます。正当なメールを送信するメールサーバーは、遅延後に配信を再試行し、多くの場合一度しか送信を試みないスパム送信者を効果的に排除します。
SPFチェックを有効にする
Sender Policy Framework (SPF) は、電子メールのなりすましを防ぐのに役立ちます。まず、必要なパッケージをインストールしてください：
sudo apt install postfix-policyd-spf-python
次に、以下の行を メインCF を加えた：
policyd-spf_time_limit = 3600s smtpd_recipient_restrictions=受信者制限 ...(既存の設定) チェック_ポリシー_サービス unix:private/policyd-spf
この設定により、受信メールのSPFチェックが有効になります。SPFは、メールが指定されたドメインの認証済みサーバーから送信されたかどうかをチェックし、なりすましを防止してメールコミュニケーションの信頼性を高めるのに役立ちます。
DKIM署名の実装
DomainKeys Identified Mail (DKIM) は、送信メールにデジタル署名を追加します。まずOpenDKIMをインストールする：
sudo apt install opendkim opendkim-tools
次にOpenDKIMを設定し、以下の行を メインCF を加えた：
milter_protocol = 2 milter_default_action = accept smtpd_milters = unix:/var/run/opendkim/opendkim.sock 非 smtpd_milters = unix:/var/run/opendkim/opendkim.sock
これらの設定は、送信メールのDKIM署名を有効にします。DKIMは、電子メールが気付かれずに変更されていないことを保証し、メッセージの信頼性を強化することにより、セキュリティを向上させます。
DMARCガイドラインの設定
Domain-based Message Authentication, Reporting and Conformance (DMARC)はSPFとDKIMに基づいています。あなたのドメインにDMARC DNSエントリーを追加し、OpenDMARCをインストールしてください：
sudo apt install opendmarc
OpenDMARCを設定し、次の行を メインCF を加えた：
smtpd_milters = ...(既存の設定), inet:localhost:8893
この設定は、受信メールのDMARCチェックを有効にします。DMARCを使用すると、ドメイン所有者は、受信サーバーが失敗したSPFまたはDKIMチェックを処理する方法に関するポリシーを設定し、電子メール認証に関する詳細なレポートを提供することができます。
定期的なアップデートとモニタリング
セキュリティは継続的なプロセスです。定期的にPostfixをアップデートしてください：
sudo apt update sudo apt upgrade
また、Postfixのログに不審な動きがないか監視してください：
tail -f /var/log/mail.log
定期的なアップデートにより、既知のセキュリティギャップを解消し、メールサーバーの安定性を向上させます。ログの継続的な監視により、異常なアクティビティを早期に認識し、迅速に対応することができます。
その他の安全対策
基本的なセキュリティ対策と高度なセキュリティ対策に加えて、Postfixサーバーのセキュリティをさらに向上させるための追加手順があります：
ファイアウォールの設定
ファイアウォールがメールサーバーに必要なポートだけを開いていることを確認してください。一般的には、ポート25（SMTP）、ポート587（サブミッション）、ポート993（SSL経由のIMAP）です。以下のようなツールを使用してください。 ユーエフ 或いは IPテーブルを使用して、これらのポートへのアクセスを制御し、不要な接続をブロックする。
侵入検知システム（IDS）
以下のような侵入検知システムを導入する。 フェイルツーバンログインに何度も失敗したことを検出し、疑わしい動作を示すIPアドレスを自動的にブロックします。これにより、メールサーバーへのブルートフォースアタックのリスクを低減します。
バックアップと復元
設定ファイルや重要なデータのバックアップを定期的に行いましょう。セキュリティインシデントが発生した場合でも、迅速に復旧し、サービスの中断を最小限に抑えることができます。バックアップは安全な場所に保管し、バックアップデータの完全性を定期的に確認します。
ユーザーと権利の管理
ユーザーアカウントは慎重に管理し、必要な権限のみを割り当てる。強力なパスワードを使用し、多要素認証（MFA）の実装を検討して、メールサーバーへのアクセスをさらに安全にする。
Postfixメンテナンスのベストプラクティス
Postfixサーバーの継続的なメンテナンスは、セキュリティとパフォーマンスを維持する上で非常に重要です。ベストプラクティスをいくつか紹介します：
- 定期的にコンフィギュレーションをチェックする： 定期的なチェック
メインCFおよびその他の設定ファイルによって、すべてのセキュ リティ対策が正しく実装されていることを確認する。 - ログ分析： メールログを自動的に分析するツールを使用して、異常や潜在的なセキュリティインシデントを迅速に特定します。
- ソフトウェアのアップデート： Postfixだけでなく、Dovecot、OpenDKIM、OpenDMARCなどの依存コンポーネントも定期的にアップデートしてください。
- モニタリングとアラート 異常なアクティビティやエラーメッセージを通知する監視システムを導入する。
Postfixの設定でよくあるエラーを避ける
セキュリティを最大化するためにPostfixを設定する場合、避けるべき一般的な間違いがあります：
- オープンリレー： を設定して、サーバーがオープンリレーとして設定されていないことを確認してください。
インターフェイスそしてマイネットワーク-設定を正しく行う。 - 無効な TLS 証明書： TLS暗号化を効果的に利用するために、常に有効で最新のSSL証明書を使用してください。
- 認証がない： サーバーの悪用を防ぐため、SASL認証を有効にしてください。
- レート制限が不十分： サービス拒否攻撃を防ぐために、適切な接続制限を設定する。
- SPF/DKIM/DMARCが見つからない： 包括的な電子メール認証方法を導入し、電子メールの完全性と真正性を確保する。
概要
Postfixのセキュリティを最大限に高めるには、綿密な計画と定期的なメンテナンスが必要です。この記事で説明する対策を実行することで、メールサーバーのセキュリティを大幅に向上させることができます。セキュリティは継続的なプロセスであることを忘れないでください。新たな脅威やベストプラクティスについて常に最新情報を入手し、Postfixサーバーを保護しましょう。利用可能なリソースやコミュニティを活用して、常に最先端の技術を身につけましょう。
さらに詳しい情報や手順については、公式の[Postfix documentation](https://www.postfix.org/documentation.html)や、メールセキュリティの分野で信頼できる情報源をご覧ください。
