Postfix-inställningar - Allt du behöver veta

Den rätta Postfix-inställningar bestämmer säkerheten och funktionaliteten hos din e-postserver. I den här artikeln visar jag dig alla viktiga parametrar, förklarar rekommenderade konfigurationsmetoder och ger dig praktiska exempel för produktiv användning.

Centrala punkter

• main.cf och master.cf är kontrollcentralerna för Postfix-konfigurationen.
• En Smarthost möjliggör säker postutskick via externa leverantörer.
• STARTTLS säkerställer krypterade överföringar - förnuftigt och enkelt att konfigurera.
• Maildir som format ökar tillförlitligheten och kompatibiliteten med IMAP-klienter.
• Korrekt Avsändaradresser och SPF/DKIM ökar leveranshastigheten.

Viktiga konfigurationsfiler och verktyg

Filen /etc/postfix/main.cf bestämmer nästan alla kärnfunktioner i Postfix. Dessutom är master.cf driften av enskilda tjänster, t.ex. smtpd eller pickup. För mer flexibla anpassningar kan kommandoradsverktyget postkonferens - perfekt för ändringar i sista minuten utan en redaktör.

Om du vill fördjupa dig ytterligare hittar du denna installationsguide för Postfix Server en praktisk steg-för-steg-guide. Kombinationen av main.cf och postconf ger struktur och flexibilitet i en och samma lösning.

För större e-postservrar är det också värt att använda ett versionshanteringssystem för konfigurationsfiler. Med system som Git kan du snabbt spåra ändringar och ångra dem om det behövs. Det sparar inte bara tid utan ger också säkerhet när det gäller uppdateringar eller nya funktioner. Observera att känsliga uppgifter som t.ex. lösenord inte lagras i klartext i Git.

Förstå grunderna - viktiga parametrar

En fungerande e-postserver kräver en korrekt grundstruktur. Som ett minimum bör du ställa in följande alternativ korrekt:

• mitthostnamet.ex. mail.dinserver.com
• mitt ursprung: mestadels identisk med $mydomän
• inet_interfaces = allaAccepterar anslutningar från alla gränssnitt
• home_mailbox = Maildir/sorterar e-post till det säkra Maildir-formatet

Dessa inställningar avgör hur din server skickar, tar emot och sparar e-post lokalt. Det glöms ofta bort att mynnätverk måste ställas in på lämpligt sätt så att endast behöriga IP-adresser har relärättigheter. Speciellt i större miljöer eller med flera IPv4- och IPv6-adresser kan den exakta definitionen av betrodda nätverk vara extremt viktig.

För konfigurationer med kapacitet för flera domäner är det också viktigt att virtuella_alias_domäner och virtuella_alias_kartor att konfigurera. Detta gör att flera domäner kan drivas på samma server utan att du behöver en separat instans för varje domän. Huvudkonfigurationen förblir densamma; du definierar bara vilka domäner som ska lösas till vilka lokala systemanvändare eller externa adresser.

Konfigurera Postfix som en smart host

Om du bara vill att din server ska skicka e-post kan du använda ett "send-only"-läge via en smart host. För detta behöver du:

• Ingång relayhost = [smtp.provider.de]:587 i main.cf
• Användarnamn och lösenord via /etc/postfix/sasl_passwd
• Säkra filen med chmod 600 och hashgenerering med postmapp

Kom ihåg: Du behöver TLS och autentisering med smtp_sasl_auth_enable = ja. Detta skyddar din server från missbruk. Det är också mycket hjälpsamt, smtp_sasl_security_options = noanonymous så att SMTP-anslutningen inte är öppen för anonyma autentiseringsförsök.

Om du övervakar utskicket av stora volymer e-postmeddelanden kan det vara en fördel att utöka loggningen i enlighet med detta och använda verktyg som plogsumm att använda. Detta ger dig dagliga rapporter om sändningsvolym, fel och potentiella spamförsök som körs via din smarta host.

Säkra avsändaradresser med sender_canonical_maps

E-postleverantörer som Gmail avvisar e-postmeddelanden utan giltig avsändaradress. Om avsändare_kanoniska_kartor konverterar man lokala systemnamn som "ubuntu" till riktiga avsändaradresser. Detta görs via en mappningsfil, till exempel så här:

webbanvändare [email protected]

Efter varje förändring alltid postmapp och ladda om Postfix. Annars kommer de nya inställningarna inte att träda i kraft. I miljöer med flera projekt eller underdomäner kan det vara bra att strukturera dessa kanoniska kartor mycket fint. Till exempel kan "webuser1" automatiskt mappas till "[email protected]", medan "webuser2" visas som "[email protected]". Detta håller den interna strukturen i ditt system ren och undviker avvisningar från stora leverantörer.

Aktivera SSL- och TLS-kryptering

Dataskydd och tillförlitlighet är nära kopplade till transportkryptering. I den enklaste varianten aktiverar du TLS med :

smtp_tls_security_level = may

För obligatorisk kryptering använder du istället kryptera. Du definierar de tillhörande certifikaten i smtpd_tls_cert_fil och smtpd_tls_key_file. Du kan ta reda på mer om säkring i artikeln Konfigurera Postfix med Perfect Forward Secrecy.

Se till att ditt certifikat är tillförlitligt och inte har gått ut eller är självsignerat. Även om självsignerade certifikat är tillräckliga för testning klassificeras de ofta som osäkra av leverantörer eller mottagande e-postservrar. Med Låt oss kryptera får du gratis och automatiskt förnybara certifikat, vilket sparar dig mycket manuellt arbete och ger en solid grund för krypterade anslutningar.

Du kan också anpassa chiffersviterna för att undvika svaga krypteringsmetoder. Även om detta i vissa fall skapar kompatibilitetsproblem med äldre e-postservrar, är det oftast värt att bara tillåta moderna protokoll som TLS 1.2 och högre.

Postfix och Maildir för tillförlitlig leverans av e-post

Das Maildir-format sparas varje e-postmeddelande som en enskild fil. Detta förhindrar dataförlust och underlättar IMAP-åtkomst via klienter som Thunderbird eller Roundcube. Ange för detta:

home_mailbox = Maildir/

Du måste också skapa katalogen ~/Maildir inledningsvis. Apache, Dovecot och Postfix har arbetat tillsammans med Maildir i flera år utan några problem.

Om du också vill införa kvotregler per e-postkatalog är det värt att ta en titt på konfigurationen av din IMAP-server, t.ex. Dovecot. Där kan du definiera lagringsbegränsningar för enskilda brevlådor så att du kan hålla serverresurserna under kontroll. Tack vare den nära integrationen mellan Maildir och Dovecot kan du definiera varningar för användare om de är på väg att nå gränsen.

Köer, felanalys och loggfiler

Efter varje ändring bör du spara din konfiguration med sudo postfix kontroll kolla. Du kan känna igen fel i filen /var/log/mail.log eller . /var/log/maillog. Verktyget visar öppna meddelanden mailq en.

Loggposter är det bästa verktyget för att identifiera problem som t.ex. felaktiga DNS-poster eller nedkopplingar. Om du upprepade gånger ser meddelanden om "certifikatverifiering misslyckades" kommer den här artikeln att hjälpa dig: Felsökning av TLS-fel med Gmail.

Särskilt i scenarier med en stor mängd e-post kan det vara bra att hålla ett öga på avvisningsmeddelanden. Med postsuper kan du ta bort enskilda meddelanden från kön eller leverera dem på nytt om det har uppstått fel. postkatt kan du ta en titt på innehållet i ett e-postmeddelande som fortfarande står i kö. På så sätt kan du snabbt avgöra om felaktiga rubriker eller avsändaradresser som saknas äventyrar framgången och leveransgraden.

Implementera säkerhetsåtgärder

En välkonfigurerad e-postserver behöver säkerhetsmekanismer på flera nivåer. Vänligen notera följande punkter:

• Ställ in mynnätverk till betrodda IP-intervall (t.ex. 127.0.0.1, ::1)
• Använd säker SMTP-åtkomstdata
• Aktivera TLS med giltiga certifikat
• Konfigurera SPF, DKIM och valfri greylisting

Detta ökar din leveransfrekvens och skyddar dig mot missbruk. Kom ihåg att SPF och DKIM bara fungerar om DNS-posterna är korrekt inställda. För DKIM är det en bra idé att skapa en separat nyckel för varje domän och rotera den automatiskt. Detta förhindrar att en komprometterad nyckel används på lång sikt.

Ytterligare skydd mot skräppost ges genom integrering av RBL-tjänster (real-time blackhole lists) eller DNSBL-tjänster (DNS-based blackhole list). Med motsvarande poster i main.cf kan du blockera inkommande anslutningar från kända spamnätverk innan de ens når din e-postserver.

Utökade inställningsmöjligheter och funktioner

Postfix erbjuder många alternativ för att kartlägga komplexa scenarier. Med rubrik_kontroller och kroppskontroller kan du t.ex. filtrera e-postmeddelanden som innehåller vissa teckensträngar i rubriken eller brödtexten. Detta kan hjälpa till att filtrera bort skräppost eller farliga bilagor innan de når ditt system. För företag som behöver skydda känsliga uppgifter kan det vara bra att helt enkelt blockera vissa filtyper, t.ex. .exe-filer eller skript.

Andra intressanta funktioner inkluderar:

• Postfix Policy-tjänsterHär kan du använda så kallade policy daemons för att i realtid avgöra om ett e-postmeddelande ska accepteras, avvisas eller skickas i en greylisting-loop.
• Begränsning av samtidiga anslutningarUnder höga belastningstoppar kan det vara vettigt att endast tillåta ett visst antal samtidiga SMTP-anslutningar per IP för att förhindra DDOS-liknande attacker.
• Omskrivning av adress: Förutom avsändarens kanoniska kartor finns det också alternativ för mottagarens omskrivningar (recipient_canonical_maps) för att dölja det interna namngivningsschemat för externa avsändare.

Särskilt i stora nätverk eller hos hosters som erbjuder delad webbhosting händer det ofta att många olika applikationer skickar e-post. Här är det viktigt med en strikt separation av avsändaradresser och en tydligt strukturerad mappningsmotor för att säkerställa att varje applikation använder rätt avsändardomän. Felkonfigurationer inom detta område leder ofta till DMARC-fel eller nekade leveranser.

Utöka Postfix med Dovecot, ClamAV & Co.

För inkommande e-post behöver du också en IMAP/POP3-server, t.ex. Dovecot. Antivirus- och spamfilter som Amavis, SpamAssassin eller ClamAV kompletterar installationen. Tillsammans bildar de en komplett mailserver som du även kan hantera via webbmail. Roundcube erbjuder ett enkelt gränssnitt i webbläsaren.

Med dessa komponenter kan du bygga ut din Postfix-server till en komplett mailcentral med allsidig åtkomstkontroll - perfekt för företag och egenföretagare. Med Amavis, till exempel i kombination med SpamAssassin och ClamAV, kan du bestämma skräppostnivån för ett e-postmeddelande samt avvisa virusinfekterade meddelanden. Ett webbgränssnitt rekommenderas för karantänhantering så att administratörer snabbt kan släppa felaktigt sorterade e-postmeddelanden ("falska positiva"). Detta gör det också mycket enklare att övervaka loggar och spamstatistik.

Direkt jämförelse av hostingleverantörer för Postfix

Vill du inte köra din egen server? Vissa leverantörer erbjuder full root-åtkomst med optimerad Postfix-integration. Jämförelsen:

Leverantör	Effekt	Pris	Säkerhet	Rekommendation
webhoster.de	Mycket bra	Gynnsamt	Hög	1 (testvinnare)
Leverantör B	Bra	Medium	Hög	2
Leverantör C	Tillfredsställande	Gynnsamt	Medium	3

Beroende på hur många e-postmeddelanden du räknar med att ta emot per dag och vilka funktioner du vill administrera själv varierar valet av lämplig hoster. Vissa leverantörer erbjuder automatiska DDoS-försvarssystem, vilket är särskilt användbart vid en översvämning av spamförsök. Även supporten spelar en viktig roll: om det skulle uppstå ett fel bör du få hjälp snabbt för att minimera driftstoppet.

Sammanfattning - Min slutliga bedömning

Med rätt Postfix-inställningar kan du uppnå en installation som är både säker och kraftfull. Allt du behöver göra är att strukturera konfigurationsfilerna på ett tydligt sätt, uppmärksamma smart host dispatch och använda kryptering på rätt sätt. Det är lätt att komma igång - förutsatt att du håller dig till de rekommenderade parametrarna och går vidare steg för steg.

Verktyg som mailq, postmap och Postfix loggar gör att du alltid kan hålla reda på problem. Använd befintliga tillägg på ett förnuftigt sätt så att din e-posthantering inte blir en svag punkt utan en stabil grund för din kommunikation. Med lite erfarenhet och konsekvent underhåll kommer du att inse hur robust din installation är och hur väl din egen e-postserver kan integreras i en professionell IT-infrastruktur. Om du dessutom använder moduler som Dovecot, SpamAssassin och ClamAV kan du till och med uppfylla krävande krav i en affärsmiljö och i slutändan få full kontroll över ditt företags e-postflöde.