GoogleメールはDNSのspfレコードをチェックしして送られてくるメールが正当なドメインからのメールかどうかをチェックすることを強化するらしい。まあ、将来的にはpostfixをdmarc対応に改造したほうがいいと思っている。しかし、とりあえずspfレコードを正確にDNSファイルに書き記すことによってGoogleメールを通したい。
正しくspfレコードを書かなければ近い将来Googleメールは外部からの送信メールを拒否するようになるかもしれないので注意が必要である。
１．DNSゾーンファイルへのspfレコードの書き方
内向き外向きとにゾーンファイルを分けている人は外向きゾーンファイルにspfの設定を記載する。
以下は参考までに。
IN MX 10 mail.kozupon.com. kozupon.com. IN TXT "v=spf1 a:mail.kozupon.com ~all" kozupon.com. IN TXT "v=spf1 mx ~all"AレコードでIPアドレスと対応させてる場合は、ホスト名での設定をお勧めします。
２．Googleメールで受信させてspfレコードが有効になるかの確認
自宅サーバーのメアドでメールをGoogleメール宛に送信してみる。それで、そのメールをソース表示する（抜粋）。
Authentication-Results: mx.google.com;
spf=pass (google.com: domain of [email protected] designates 202.231.70.76 as permitted sender)
ここで、「spf=none」になった場合はドメイン認証されてないので注意が必要である。
何時も忘れるので記載しておいた。マイナーアップデート＆セキュリティアップデートとアップグレードの違い。
FreeBSD便利になったものでビルドしなくてもカーネルの更新ができちゃう。
まあ、当然だけど。
しかし、Linuxと両方いじってるのでupdate方法が違うので躊躇してしまう。これ見りゃすぐわかちゃう！
１．OS本体のフルリリース確認
注：ビルドしないOSではunameでのバージョン確認は不可能になる
[root@sub ~]# uname -srm
FreeBSD 13.2-RELEASE-p4 amd64
２．FreeBSDのバージョン確認（カーネル）
[root@sub ~]# freebsd-version
13.2-RELEASE-p5
３．OS本体のバージョン確認（ユーザランド）
[root@sub ~]# freebsd-version -k
13.2-RELEASE-p4
４．FreeBSDのカーネルのバージョンとユーザランドのバージョンをいっぺんに見る
[root@sub ~]# freebsd-version -kur
13.2-RELEASE-p4
13.2-RELEASE-p4
13.2-RELEASE-p5
５．FreeBSDアップデート
[root@sub ~]# freebsd-update fetch
[root@sub ~]# freebsd-update install
このリブートが大事。リブートしないとカーネルのパージョンアップがなされない
[root@sub ~]# reboot
６．pkgバイナリーパッケージアップデート
[root@sub ~]# pkg update
[root@sub ~]# pkg update -f
[root@sub ~]# pkg upgrade
７．FreeBSDアップグレード（リリース）
リリースファイルをゲットする
[root@sub ~]# freebsd-update -r 13.2-RELEASE upgrade
実際にインストールする
[root@sub ~]# freebsd-update install
リブートする
[root@sub ~]# reboot
Postfixのheader_checksの記述は一般的な設定をそのまま書いてあるサイトは多いが、設定値のメタ文字の意味を書いてあるサイトは無に等しい。
そこで自分なりの理解で正規表現メタ文字の説明を書いてみた。ただし見ていただくのはいっこうに構わないが間違っているかもしれないので、ここの説明は自己責任で参考にしてほしい。
以下に自分で設定しているheader_checksの内容を表す。説明がいるメタ文字は下に意味を書いているのでご理解願いたい。
自分事だが昨今、Fromセクションを偽造する輩が多いので個人的に四苦八苦している。
メールの処理方法の推奨は、本来ではしゃくにさわるので「REJECT」拒否にしたいところが「DISCARD」の方がいいだろう。なぜかというと昨今のスパムメールはひつっこいからである。拒否すると相手に知られてしまうので、さらにドメインを色々変えてくる、単に変えるだけでなく偽造もしてくるのでたちが悪い。したがって、受信したように見せかけて無視する「DISCARD」がいいだろう。
以下は、記述内容を全て検証したわけでは無いので悪しからず。
【header_checks】内容
# The contents of “header_checks”
# It refuses with the mailer which the partner is using.
/^X-Mailer:.BLT-TECH_EXEMAIL_1/ REJECT
「.」は何でもいい一文字（何もなくても良い）と「BLT-TECH_EXEMAIL_1」がマッチするという意味（空文字でも良い）。「/」は必ず一行の終わりに入れる（これはメタ文字ではない）。
/^X-Mailer:.*Achi-Kochi Mail/ REJECT
「.*」は0個以上の文字列と「Achi-Kochi Mail」がマッチ（0個以上だから空文字でも良い）。
/^X-Mailer:.*PostMaster General/ REJECT
/^X-Mailer:.*DM Mailer/ REJECT
/^X-Mailer:.*Direct Email/ REJECT
/^X-Mailer:.*Oshirase Mailer/ REJECT
/^X-Mailer:.*IMail/ REJECT
/^X-Mailer:.*Shadow Mail/ REJECT
/^X-Mailer:.*IM200.*/ REJECT
/^X-Mailer:.*Easy DM free/ REJECT
/^X-Mailer:.*Douhou@Mail/ REJECT
/^X-Mailer:.*VolleyMail.net./ REJECT
/^X-Mailer:.*@serwer/ REJECT
/^X-Mailer:.*@yousef / REJECT
/^X-Mailer:.*empiricists./ REJECT
/^X-Mailer:.*SupperMailer/ REJECT
/^X-Mailer:.*AOL/ REJECT
/^X-Mailer:.*Cara Mail/ REJECT
/^X-Mailer:.The Bat!/ REJECT
何でもいい一文字（何もなくても良い）と「The Bat!」を含む文字がマッチする。
/^X-Mailer:.GOOD Mailer.*/ REJECT
何でもいい一文字と「GOOD Mailer」と何でもいいその後の文字列もマッチの対象になる。
# It refuses by a partner’s subject.
/^Subject:.*dear valued customers$/ REJECT
/^Subject:.*norton will$/ REJECT
/^Subject:.*married$/ REJECT
「$」は行の末尾を表す。
/^Subject:.*lose we$/ REJECT
/^Subject:.*Here is that sample$/ REJECT
/^subject:.*!!!$/ REJECT
/^subject:.*?9-9p$/ REJECT
/^subject:.*Payslip for the month$/ REJECT
/^subject:.Tracking Sheet$/ REJECT
/^subject:.*for printing$/ REJECT
/^subject:.*Dec Month Bill$/ REJECT
/^subject:.*Photo from Socorro$/ REJECT
/^subject:.*Postcard$/ REJECT
/^subject:.*UGG$/i REJECT
/^subject:.*【RayBan】$/ REJECT
/^subject:.*Oakley$/ REJECT
/^subject:.*[AMERICAN EXPRESS]$/i REJECT
「i」は大文字、小文字は区別しないでマッチする。
/^subject:.*【AMERICAN EXPRESS】$/i REJECT
# It refuses in a FROM address.
/^From:.*<#.@.*>/ REJECT
「#」が「@」以前にあったらマッチする。
/^From:.*usa.net/ REJECT
「\」はメタ文字にあるので文字の「.」と区別するために「.」以前に記述する。
/^From:.*hongkong.com/ REJECT
/^From:.*china.com/ REJECT
/^From:.*asult-newsletter.com/ REJECT
/^From:.*smtp.u-netsurf.ne.jp/ REJECT
/^From:.*[email protected]/ REJECT
/^From:.*[email protected]/ REJECT
/^From:.*amipara.co.jp/ REJECT
/^From:.*dreamwiz.com/ REJECT
/^From:.*[email protected]/ REJECT
/^From:.*bigfoot.com/ REJECT
/^From:.*canada.com/ REJECT
/^From:.*email.net/ REJECT
/^From:.*wildmail.com/ REJECT
/^From:.*mailcity.com/ REJECT
/^From:.*163.com/ REJECT
/^From:.*hanmail.net/ REJECT
/^From:.*acmemail.net/ REJECT
/^From:.*email.com/ REJECT
/^From:.*earthlink.net/ REJECT
/^From:.*winning.com/ REJECT
/^From:.*legislator.com/ REJECT
/^From:.*xxx.com/ REJECT
/^From:.*umpire.com/ REJECT
/^From:.*2004pharms.com/ REJECT
/^From:.*inkbuys.biz/ REJECT
/^From:.*55555.com/ REJECT
/^From:.*emaga.com/ REJECT
/^From:.*m-bai.com/ REJECT
/^From:.*ugg.com/ REJECT
/^From:.*vsbill.net/ REJECT
/^From:.*bekgdfy.net/ REJECT
/^From:.*ixudnsbxl.cc/ REJECT
/^From:.*internet-census.org/ REJECT
/^From:.*censys-scanner.com/ REJECT
/^From:.*gonganumen.wang/ REJECT
/^From:.*vpass.ne.jp/ REJECT
/^From:.*odzaafh.info/ REJECT
/^From:.*newamazonformail.club/ REJECT
/^From:.*tzhualang.com/ REJECT
/^From:.*aqnnou.co/ REJECT
/^From:.*ngq.com/ REJECT
/^From:.*ksuyzm.org/ REJECT
/^From:.*rzkgfp.com/ REJECT
/^From:.*mailtorakutencard.xyz/ REJECT
/^From:.*kktechno.co.jp/ REJECT
/^From:.*cpvillar.com/ REJECT
/^From:.*viewsnet.jp/ REJECT
/^From:.*aexp.com/ DISCARD
/^From:.*germanint.com/ DISCARD
/^From:.*visa.co.jp/ DISCARD
/^From:.*meijiyasuda.co.jp/ DISCARD
/^From:.*rakuten-card.co.jp/ DISCARD
/^From:.*mobilesuica.com/ DISCARD
/^From:.auone.jp/ DISCARD
/^From:.*aeon.jp/ DISCARD
/^From:.*aeon.co.jp/ DISCARD
/^From:.*usaputi.com/ DISCARD
/^From:.*cc.com/ REJECT
/^From:.*japannetbank.co.jp/ REJECT
/^From:.*mufg.jp/ DISCARD
/^From:.*ts3card.com/ DISCARD
/^From:.*uccard.co.jp/ DISCARD
/^From:.*etc.ne.jp/ DISCARD
/^From:.*americanexpress.com/ DISCARD
/^From:.*aplus.co.jp/ DISCARD
/^From:.*welcome-aexp.jp/ DISCARD
/^From:.*welcome-aexp.net/ DISCARD
/^From:.*saisoncard.co.jp/ DISCARD
/^From:.*iownjyp.cn/ DISCARD
/^From:.*dn.smbc.co.jp/ DISCARD
/^From:.*eki-net.com/ DISCARD
/^From:.*sumiclub.jp/ DISCARD
/^From:.*saya.co.jp/ DISCARD
/^From:.manekifukurou.@.*/ DISCARD
「.@」0個以上の文字とマッチし、「manekifukurou」と、その後の「@」前に0個以上の文字と「@」後に0個以上の文字とマッチする。
/^From:.*manekifukurou.@./ DISCARD
/^From:.*insatsusigoto.@./ DISCARD
/^From:.*ml-eki.@./ DISCARD
/^From:.*eki-.@./ DISCARD
/^From:.*etc-.@.*/ DISCARD
/^From:.*¥.it/ REJECT
/^From:.*¥.*tk/ REJECT
/^From:.*¥.*ru/ REJECT
/^From:.*¥.br/ REJECT
/^From:.*¥.cyou/ REJECT
/^From:.*¥.icu/ REJECT
/^From:.*¥.cn/ REJECT
/^From:.*¥.shop/ REJECT
/^From:.*¥.top/ REJECT
/^From:.*¥.xyz/ REJECT
/^From:.*¥.kr/ REJECT
/^From:.*¥.hk/ REJECT
/^From:.*¥.nz/ REJECT
/^From:.*¥.uk/ REJECT
/^From:.*¥.nl/ REJECT
/^From:.*¥.club/ REJECT
/^From:.*¥.us/ REJECT
/^From:.*¥.monster/ REJECT
/^From:.*¥.cc/ REJECT
/^From:.*¥.io/ REJECT
/^From:.*¥.website/ REJECT
/^From:.*¥.tg/ REJECT
/^Date:.*-0400/ REJECT
/^Date:.*-0500/ REJECT
/^Date:.*-0600/ REJECT
/^Date:.*+0700/ REJECT
/^Date:.*-0900/ REJECT
/^Date:.*+0800/ REJECT
/^Date:.*+0600/ REJECT
/^Date:.*+0500/ REJECT
/^Date:.*+0400/ REJECT
/^Date:.*+0100/ REJECT
/^Date:.*+0200/ REJECT
/^Date:.*+0300/ REJECT
/^Date:.*+0330/ REJECT
/^Date:.*+1300/ REJECT
/^Date:.*+0545/ REJECT
/^Date:.*+0530/ REJECT
/^Return-Path:.*<#.@.*>/ REJECT
最後に、ちなみに「REJECT」は拒否する。「DISCARD」は無視するという意味です。
このネタは以前も採用した記憶があるのだが、すぐ忘れてしまうので再度説明する。
サーバーと言うものは作った後にはデフォルトでroot宛メールが自動的に作られてしまう。
しかし早い話root宛に送られるスクリプトをクーロンから削除すれば良いわけだが、それをしないとメールがroot宛に永遠に送られ続ける。
rootでログインする
メールコマンドを打つ
溜まったメールが表示される
メールが100個ある場合は、
& delete 1-100
& quit
exitで抜けると処理（削除処理も）は保存されないので必ずquitする。
（deleteは、dのみで省略しても良い）
以下は実際にやっていみたところを表した。
[root@sub3 ~]# mail
Mail version 8.1 6/6/93. Type ? for help.
“/var/mail/root”: 19 messages 19 unread
U 1 [email protected] Fri Nov 3 03:02 113/6066 “sub3 daily security run output”
U 2 [email protected] Fri Nov 3 03:02 77/2638 “sub3 daily run output”
U 3 [email protected] Sat Nov 4 03:14 98/5066 “sub3 daily security run output”
U 4 [email protected] Sat Nov 4 03:14 77/2639 “sub3 daily run output”
U 5 [email protected] Sat Nov 4 04:15 28/899 “sub3 weekly run output”
U 6 [email protected] Sun Nov 5 03:02 96/5022 “sub3 daily security run output”
U 7 [email protected] Sun Nov 5 03:02 77/2639 “sub3 daily run output”
U 8 [email protected] Mon Nov 6 03:01 96/5022 “sub3 daily security run output”
U 9 [email protected] Mon Nov 6 03:02 77/2639 “sub3 daily run output”
U 10 [email protected] Tue Nov 7 03:18 98/5066 “sub3 daily security run output”
U 11 [email protected] Tue Nov 7 03:18 77/2639 “sub3 daily run output”
U 12 [email protected] Wed Nov 8 03:02 96/5022 “sub3 daily security run output”
U 13 [email protected] Wed Nov 8 03:02 77/2639 “sub3 daily run output”
U 14 [email protected] Thu Nov 9 03:02 96/5022 “sub3 daily security run output”
U 15 [email protected] Thu Nov 9 03:02 77/2639 “sub3 daily run output”
U 16 [email protected] Fri Nov 10 03:04 107/5412 “sub3 daily security run output”
U 17 [email protected] Fri Nov 10 03:05 77/2642 “sub3 daily run output”
U 18 [email protected] Sat Nov 11 03:02 105/5368 “sub3 daily security run output”
U 19 [email protected] Sat Nov 11 03:02 77/2642 “sub3 daily run output”
& delete 1-19
& quit
[root@sub3 ~]# mail
No mail for root
歯科クリニックを紹介します。新御徒町にある脇野歯科クリニックです。
僕の友人の歯科クリニックです。技術的に優れており抜かない治療を心掛けているそうです。
患者さんにも評判がよく、親しまれています。近くに住まわれてる方で歯科医をお探しの方はいかがでしょうか。
サイトアドレスは以下です。
スカイツリー夜は美しいが昼間はただの電波塔。
今年は紅葉が遅かったみたいです。
近くの公園に行った時に撮ってきました。
色がかわる毎に楽しめる植物はいい感じです。
ただ新緑の季節に比べると紅葉は少々寂しい気分になるのは僕だけでしょうか。
情報自体は今となっては古い事柄が多いですが、承知の上で参考にしていただけると嬉しいです。
今風のデザインに一新して発信することができました。今後ともよろしくおねがいします。
１． 1.1.13の記述
# vi main.cf
省略
# Mail ORBS Check
maps_rbl_domains = relays.ordb.org,
dynablock.wirehub.net,
opm.blitzed.org,
relays.visi.com,
spamcop.net
# Mail SPAM Filter Reject
smtpd_client_restrictions = permit_mynetworks,
reject_maps_rbl,
permit
省略
２． 2.0.19の記述
# vi main.cf
省略
# Mail SPAM Filter Reject
smtpd_client_restrictions = permit_mynetworks,
reject_rbl_client relays.ordb.org,
reject_rbl_client dynablock.wirehub.net,
reject_rbl_client opm.blitzed.org,
reject_rbl_client relays.visi.com,
reject_rbl_client spamcop.net
permit
省略
こんな感じに違う。俺は、1.1.13の記述の方が簡単で良いような気がするが・・・・・。
以上
それも、他のサーバを踏み台にしてHelloパケットとかを送る”ふとどき者！”が・・・・！（爆）
多分、自前サーバを構築して運用してる方々は経験済みかと思う。ところでPostfixは、結構簡単な設定が売りのMTAである。したがって、簡単な設定だけでもかなり堅い壁が作れる。しかし、さらにシビアにセキュリティ設定を行うと奥が深い。あえて、ここではPostfixのセキュリティパラメータ！と命名した。不正中継に関してはPostfixの設定ファイルmain.cfのmynetworksとrelay_domainsで設定できちゃう。 [Postfixの導入！]ですでにPostfixの導入設定は完結している。なにげに、Postfixはさらに細かいセキュリティ設定が出来るように考慮されている。ここでは、セキュリティ設定を中心にmain.cfでのSPAM受信拒否とか怪しいメールの拒否等に関する設定について説明する。
１．HELO(EHLO)ホスト制限（Hello拒否設定）
● 指定の仕方
smtpd_helo_restrictions = [パラメータ],[パラメータ] ・・・・
● 例
smtpd_client_restrictions = check_client_access hash:/etc/postfix/bad_clients,
permit_mynetworks,
reject_rhsbl_client rhsbl.ahbl.org,
reject_rbl_client spamcop.net,
reject_rbl_client dynablock.wirehub.net,
reject_rbl_client opm.blitzed.org,
reject_rbl_client sbl.spamhaus.org,
permit
ハローパケットの受信について、自ネットワークは優先的に許可、bad_clientsファイルに登録されているホスト拒否、ORBL及びSPAMホスト拒否、その他は許可。
２．ホストの接続に関しての拒否（SPAM拒否設定）
● 指定の仕方
smtpd_client_restrictions = [パラメータ],[パラメータ] ・・・・
● 例（あまり設定できるオプションなし）
smtpd_client_restrictions = permit_mynetworks,
check_client_access hash:/etc/postfix/bad_sender,
reject_maps_rbl,
reject_invalid_hostname,
permit
ホストの接続に関して、自ネットワークは優先的に許可、ORBL登録のホスト拒否、無効なホスト名のホスト拒否、その他は接続許可。
３．メール中継の制限（オプションパラメータでの制限をする場合に使う）
● 指定の仕方
smtpd_recipient_restrictions = [パラメータ],[パラメータ] ・・・・
● 例
smtpd_recipient_restrictions = permit_mynetworks,
regexp:/etc/postfix/recipient_checks.reg,
check_client_access hash:/etc/postfix/bad_sender,
reject_maps_rbl,
check_relay_domains
メール中継元に関して、任意のヘッダー情報を持つホストを拒否、自ネットワークは優先的に許可、ORBL登録のホスト拒否、$mydestination, $inet_interfaces, $virtual_maps, $relay_domains それぞれのパラメータ値にリストされたアドレス宛かチェックし許可。
４．MAIL FROMでシステムの受信制限をする
● 指定の仕方
smtpd_sender_restrictions = [パラメータ],[パラメータ] ・・・・
● 例
smtpd_sender_restrictions = reject_non_fqdn_sender,
reject_invalid_hostname,
reject_unknown_sender_domain,
MailFromでの受信制限に関して、送信元のローカルパートがFQDN出なければ拒否、無効なホスト名のホスト拒否、ローカルパートのドメイン名がDNSに登録してなければ拒否。
５．パラメータ詳細
１） パラメータの種類
| パラメータ | 意 味 |
| ※１ regexp: | 正規表現ファイル指定。特定のアドレス宛のメールを拒否及び任意のヘッダ情報を持つメールを拒否。 |
| permit_mynetworks | ローカルネット上のmynetworksで指定するIP Addressのホストを許可する。 |
| permit | パラメータの最後に記述することにより、”それ以外は中継を許可する”ということになる。 |
| reject_unauth_destination | $mydestination, $inet_interfaces, $virtual_maps, $relay_domains それぞれのパラメータ値にリストされたアドレス宛かチェックし、それ以外は拒否する。smtpd_recipient_restrictionsに設定するパラメータ。 |
| permit_mx_backup | DNSの問い合わせに対してのMXレコードのエントリーにあるドメイン宛のメッセージを許可する。 |
| check_relay_domains permit_auth_destination | $mydestination, $inet_interfaces, $virtual_maps, $relay_domains それぞれのパラメータ値にリストされたアドレス宛かチェックし許可する。smtpd_recipient_restrictionsに設定するパラメータ。 |
| reject | パラメータの最後に記述することにより、”それ以外は中継を拒否する”と言うことになる |
| reject_invalid_hostname | 無効（怪しい）なホスト名の場合拒否する。 |
| reject_maps_rbl | $maps_rbl_domains(不正中継ブラックリスト)に登録されているクライアントからのメッセージを拒否する。 |
| reject_non_fqdn_hostname | 正しいFQDNでない HELOホスト名を拒否する。 |
| reject_non_fqdn_recipient | 受信者アドレスが FQDNでないホストを拒否する。 |
| reject_non_fqdn_sender | 送信者アドレスがFQDNでないホストを拒否する。 |
| reject_unauth_popelining | パイプを使用するプログラムから送信されたメールを拒否する。 |
| reject_unknown_client | クライアントのホスト名が不明な場合拒否する（IPから逆引きが出来ないホストの拒否）。 注：これは出来れば設定しない方が良い。サーバの中では逆引きを設定してないサーバが多いからである。 |
| reject_unknown_hostname | DNSのAレコードや MXレコードのエントリーにないホストを拒否する。 |
| reject_unknown_recipient_domain | 受信者のメールアドレスが DNS の Aレコードや MXレコードを持たないホストを拒否する 。 |
| reject_unknown_sender_domain | 送信者のメールアドレスが DNS の Aレコードや MXレコードを持たないホストを拒否する（実在しないドメイン）。 |
| ※２ check_client_access | アクセス制御ファイル指定。接続してくるホストのアクセス制御設定が出来る。 （IPAddress、ドメイン、ホスト名、メールアドレス） |
| ※２ check_helo_access | アクセス制御ファイル指定。HELOパケットの送信元のアクセス制御設定が出来る。 （IPAddress、ドメイン、ホスト名、メールアドレス） |
| ※２ check_recipient_access | アクセス制御ファイル指定。RCPT TOの中継元のアクセス制御設定が出来る。 （IPAddress、ドメイン、ホスト名、メールアドレス） |
| ※２ check_sender_access | アクセス制御ファイル指定。MailFromの送信元のアクセス制御設定が出来る。 （IPAddress、ドメイン、ホスト名、メールアドレス |
２） 使い方
● ※２ のアクセス制御ファイルの設定例
check_client_access hash:/etc/postfix/clients
といった形式で、データベースのタイプとデータベース名を指定する。データベースのレコードフォーマットは、
address action
で、address フィールドにはホスト名、IP Address、ドメイン名、IPネットワークの何れかを指定できる。actionフィールドは、指定された address に対するアクションを指定。
REJECT → 拒否
4xx text → textをメッセージとした一時的なエラー
5xx text → textをメッセージとした永続的なエラー
テキスト形式でデータベースのテーブルファイルを上記の形式で作成したら、postmapコマンドでバイナリーのデータベースファイルを作成。
# postmap /etc/postfix/clients
でdbをこさえて、Postfixに可読に反映させる。尚、postmapでdb作成を行うのはhashが付いた場合のみである。
注：以下のように指定すると、データベースに登録されたホストやドメインはすべて拒否することになるので注意。
smtpd_recipient_restrictions = check_client_access hash:/etc/postfix/clients, reject
３） 受信メールの拒否
Postfixでは、リレーに関する細かい設定が行えるが、これをホスト及びHELO及びMAIL FROM に対しても設定することができる。
① 接続してくるホストを制限
● パラメータ設定例
smtpd_client_restrictions = check_client_access hash:/etc/postfix/bad_clients,
permit_mynetwork,
reject_rhsbl_client rhsbl.ahbl.org,
reject_rbl_client spamcop.net,
reject_rbl_client dynablock.wirehub.net,
reject_rbl_client opm.blitzed.org,
reject_rbl_client sbl.spamhaus.org,
permit
② HELO(EHLO)ホスト制限（Hello拒否設定）
● パラメータ設定例
smtpd_helo_restrictions = reject_unknown_hostname, permit_mynetworks
smtpd_helo_restrictions = check_helo_access hash:/etc/postfix/bad_helo
③ MAIL FROMコマンドのやり取りでメールを制限
● パラメータ設定例
smtpd_sender_restrictions = reject_unknown_sender_domain, permit_mynetworks
smtpd_sender_restrictions = check_sender_access hash:/etc/postfix/bad_sender
６） ヘッダーでブロック
メッセージフィルタを利用してメールを拒否することもできる。Postfix の header_checksパラメータを利用すると、メッセージヘッダーをスキャンし、特定の文字を含むメッセージの配送をブロックすることができる（パラメータオプションは※１ で説明）。
● 確認パラメータ設定例
header_checks = regexp:/etc/postfix/bad_header
のように設定（正規表現テーブルを使用する場合）し以下の要領でファイルを作成する。
pattern action
pattern はヘッダーフィールドでマッチングされる正規表現を記述する。action はパターンにマッチした時のアクションを指定する。アクションには、
REJECT → メッセージを拒否
OK → メッセージを許可
IGNORE → メッセージからヘッダー行を破棄
すべてのヘッダー行に対して指定した条件で実行される。テーブルの例は以下のようになる。大文字小文字は関係なし。
# The contents of “bad_header”（bad_headerの内容）
# It refuses by a partner’s subject. （サブジェクトの文字で受信拒否する）
/^Subject:.*!!!/ REJECT ← Subject: に”!!!” が有る場合はドロップ
/^Subject:.*( \$\$\$|\$\$\$ )/ REJECT ← Subject: に “$$$” が有る場合はドロップ（\とかが入ってるのは倭国語が混在している場合の対策）
/^Subject: more money$/ REJECT
/^Subject:.*I Love You/ REJECT
/^Subject:.*Re: Sample/ REJECT
/^Subject:.*dear valued customers/ REJECT
/^Subject:.*norton will/ REJECT
/^Subject:.*married/ REJECT
/^Subject:.*lose we/ REJECT
/^Subject:.*Here is that sample/ REJECT
/^subject:.*ID MSG?/ REJECT
スパムが、Subjectでブロックされると以下のようなログが出現する。
reject: header Subject: ID MSG:75474 I am Julia, 27 y.o. Russia (dating) from unknown[78.175.207.242]; from=<[email protected]> to=<[email protected]> proto=ESMTP helo=<[78.175.207.242]>: 5.7.1 message content rejected
Oct 5 21:42:48 hiro postfix/smtpd[17292]: disconnect from unknown[78.175.207.242]
# It refuses in a FROM address.（FROMアドレスで受信拒否する）
/^From:.*<#.*@.*>/ REJECT ← fromが何も無いときは拒否する
/^From:.*email.it/ REJECT
/^From:.*lycos.co.kr/ REJECT
/^From:.*.co.kr/ REJECT
/^From: .your friend$/ REJECT
# It refuses with the mailer which the partner is using.（相手のMUAで受信拒否する）
/^X-Mailer: *Achi-Kochi Mail/i REJECT ← 相手のメーラにバルクメーラが使われている場合にドロップ（iは大文字と小文字を区別する）
/^X-Mailer:.*DM Mailer/ REJECT
/^X-Mailer:.*Achi-Kochi Mail/ REJECT
/^X-Mailer:.*PostMaster General/ REJECT
/^X-Mailer:.*Direct Email/ REJECT
/^X-Mailer:.*Oshirase Mailer/ REJECT
/^X-Mailer:.*IMail/ REJECT
/^X-Mailer:.*Cara Mail/ REJECT
/^X-Mailer:.*Achi-Kochi Mail/i REJECT
# It refuses with a return path.（リターンパスで受信拒否する）
/^Reply-To:.*<#.*@.*>/ REJECT ← reply toが何も無いときは拒否する
/^Reply-To:.*@lycos.co.kr/ REJECT
/^Reply-To:.*@gte.net/ REJECT
/^Reply-To:.*yahoo.co.kr/ REJECT
/^Reply-To:.*@email.it/ REJECT
# Iｔ refuses with To.（抹消したはずの自ドメインアカウント宛にspamが来るので拒否する）
/^To:.*[email protected]/ REJECT
７） メールの本文でブロック
body_checks=regexp:/etc/postfix/body_checks
The contents of “body_checks”（body_checksの内容）
# It refuses in the mail text.（メールの本文で受信拒否する）
/^(|[^>].*)remove.exec/ REJECT
/^(|[^>].*)shichifuku.net/ REJECT
/^(|[^>].*)tobutobu.host/ REJECT
/^(|[^>].*)freewebtools/ REJECT
/^(|[^>].*)kyoukono.go.ro/ REJECT
/^(|[^>].*)www.porno/ REJECT
/^(|[^>].*)netian.com/ REJECT
/^(|[^>].*)DMaster / REJECT
/^(|[^>].*)DMaster/ REJECT
# It refuses by the attached file of mail.（添付ファイルで受信拒否する）
/name=.*\.scr/ REJECT
/name=.*\.pif/ REJECT
/name=.*\.com/ REJECT
/name=.*\.dll/ REJECT
/name=.*\.reg/ REJECT
/name=.*\.vbs/ REJECT
/name=.*\.shs/ REJECT
８） IPアドレスでブロック
smtpd_recipient_restrictions=check_client_access hash:/etc/postfix/reject_ip
The contents of “reject_ip”（reject_ipの内容）# The contents of “reject_ip”
xxx.xxx.xxx.xxx REJECT
xxx.xxx.xxx REJECT ← xxx.xxx.xxx.0のネットワークアドレス全て対象
９） あり得ない形式のメールアドレスをブロック
ユーザ名＠ホスト.ドメインと言ったFQDNではないメールアドレスをブロック。
smtpd_recipient_restrictions=regexp:/etc/postfix/recipient_checks.reg
The contents of “recipient_checks.reg”（recipient_checks.reg内容）
# Contents described by the mail answered.
/[@!%].*[@!%]/ 550 Please use user@domain address forms only. ← 返信されるエラーメールに表示される
１０） From 送信者のメールをブロック
smtpd_recipient_restrictions=check_client_access hash:/etc/postfix/reject_sender
The contents of “reject_sender”（reject_senderの内容）
# The contents of “reject_sender”
bitcat.net REJECT
usa.net REJECT
hongkong.com REJECT
china.com REJECT
asult-newsletter.com REJECT
yahoo.co.kr REJECT
amipara.com REJECT
lycos.co.kr REJECT
wanadoo.nl REJECT
.or.kr REJECT
.go.kr REJECT
.ac.kr REJECT
.sh.cn REJECT
.edu.cn REJECT
.com.cn REJECT
.org.cn REJECT
１１） あり得ないドメインからの受信をブロック
smtpd_sender_restrictions=reject_unknown_senmder_domain
１２） From:がFQDNの書式に反した形式をブロック
smtpd_sender_restrictions=reject_non_fqdn_sender
１３） Webサイトのブラックリストデータでブロック（2004年11月現在でサーバが動いているサイト）
注：ブラックリストサイトは雄志で運営しているため、いきなりサーバが停止してたり、サービスを止めてしまっている場合が多い。したがってping等でサーバが稼働してるかあらかじめ確かめること。（サーバが停止してるのにもかかわらず設定してると、ログに沢山エラーを吐くので注意すること。）この指定方法は、すでに無効になった。代わりに、reject_rbl_clientで直接スパムDBサイトを直接指定する形となった。
maps_rbl_domains = relays.ordb.org,
dynablock.wirehub.net,
opm.blitzed.org,
relays.visi.com,
spamcop.net
reject_rhsbl_client rhsbl.ahbl.org,
reject_rbl_client spamcop.net,
reject_rbl_client dynablock.wirehub.net,
reject_rbl_client opm.blitzed.org,
reject_rbl_client relays.visi.com,
reject_rbl_client sbl.spamhaus.or
reject_rbl_client dynablock.wirehub.net,
reject_rbl_client opm.blitzed.org,
reject_rbl_client sbl.spamhaus.org,
reject_rbl_client list.dsbl.org,
reject_rbl_client cn-kr.blackholes.us,
reject_rbl_client brazil.blackholes.us,
reject_rbl_client russia.blackholes.us
実際に上記のORBLサイトのブラックリストが効いたlogを見てみるとこんな感じである。さらに、その下はOPEN PROXYになってる無防備なサーバを踏み台にして不正中継を試みようとしている馬鹿野郎である。まあ、以下のようなlogは頻繁に有る。もう、イヤになるほどである。だから、ORBLサイトには大変にお世話になっている。
| Dec 11 07:45:32 sub postfix/smtpd[14440]: NOQUEUE: reject: RCPT from unknown[222.101.164.186]: 554 Service unavailable; Client host [222.101.164.186] blocked using sbl.spamhaus.org; http://www.spamhaus.org/SBL/sbl.lasso?query=SBL19164; from=<[email protected]> to=<[email protected]> proto=SMTP helo=<none> Dec 11 09:36:56 sub postfix/smtpd[14620]: NOQUEUE: reject: RCPT from unknown[222.101.164.67]: 554 Service unavailable; Client host [222.101.164.67] blocked using sbl.spamhaus.org; http://www.spamhaus.org/SBL/sbl.lasso?query=SBL19164; from=<[email protected]> to=<[email protected]> proto=SMTP helo=<none>Dec 11 18:44:38 sub postfix/smtpd[15407]: NOQUEUE: reject: RCPT from YahooBB219175100065.bbtec.net[219.175.100.65]: 554 Service unavailable; Client host [219.175.100.65] blocked using opm.blitzed.org; Open proxy – see http://opm.blitzed.org/219.175.100.65; from=<[email protected]> to=<[email protected]> proto=SMTP helo=<yahoobb219175100065.bbtec.net> Dec 11 19:31:13 sub postfix/smtpd[15451]: NOQUEUE: reject: RCPT from unknown[222.101.164.67]: 554 Service unavailable; Client host [222.101.164.67] blocked using sbl.spamhaus.org; http://www.spamhaus.org/SBL/sbl.lasso?query=SBL19164; from=<[email protected]> to=<[email protected]> proto=SMTP helo=<none>Oct 9 09:24:58 hiro postfix/smtpd[24769]: connect from unknown[125.71.240.134] Oct 9 09:25:05 hiro postfix/smtpd[24769]: NOQUEUE: reject: RCPT from unknown[125.71.240.134]: 554 5.7.1 Service unavailable; Client host [125.71.240.134] blocked using cn-kr.blackholes.us; Listed by cn-kr.blackholes.us; from=<[email protected]> to=<[email protected]> proto=ESMTP helo=<134.240.71.125.broad.cd.sc.dynamic.163data.com.cn> |
６． 番外編 （procmailを利用して”未承諾広告”をブロックする）
自分の場合、”未承諾広告”のSubjectのSPAMが多いため対策を考えていたが、同じ自鯖仲間の かっちゃん がprocmailでSPAMブロックを行って居ることを教えてもらい、彼のサイトを参考にSPAM対策を行ってみた。
従って、以降にその方法を説明する。
まず俺の場合、AmaViSでメールフィルタをかけているのでPostfixでprocmailとAmaViSの両方を使いたい。したがって、 [AMaViSを使ってウィルスフィルタをかける！]で の４項方法でAmaViSをセットアップしてからprocmailをセットアップした。
procmailは、ソースでもバイナリでも良いので勝手にインストールして欲しい。あえてここではセットアップ方法は紹介しない。/etc/postfixのmain.cfに追加する。
# vi main.cf
省略
mailbox_command = /usr/bin/procmail -m /etc/postfix/procmailrc
省略
次に、/etc/postfixにprocmailrcファイルを作る。
ここで気を付けなければいけないのが、デフォルトメールボックスである。通常、以下の記述で行くと/var/spool/mailディレクトリ配下のユーザのメールボックス宛の設定となる。
しかし、/var/mail配下にユーザのメールボックスを作りたい場合もある。その場合は、procmailrcの先頭に以下のような記述が必要である。
DEFAULT=/var/mail/$LOGNAME
or
DEFAULT=/var/mail/$USER ← procmailのバージョンにより、環境変数がどちらの記述か解らないので注意すること（新しいバージョンは＄LOGNAMEを使ってるようだ）
# vi procmailrc
:0
* ^Subject: \/.*
* ? echo “$MATCH” | nkf -Zme | grep ‘!.*広告.*!’
/dev/null
:0
* ^Subject: \/.*
* ? echo “$MATCH” | nkf -Zme | grep ‘DM@.*広告.*@’
/dev/null
:0
* ^Subject: \/.*
* ? echo “$MATCH” | nkf -Zme | grep ‘未承諾広告※’
/dev/null
:0
* ^Subject: \/.*
* ? echo “$MATCH” | nkf -Zme | grep ‘未承諾広告’
/dev/null
:0
* ^[Ff]rom:.*yahoo.co.kr
/dev/null
このような記述を書き込み保存する。これは、未承諾広告の文字列があった場合、捨てる設定である。
次に、Postfixを再起動する。これで完了！
# postfix reload
コラム：Postfixでは、メールのFROM行のアドレスでSPAMブロックする方法は、2通り有る。
１） main.cfのパラメータ、smtpd_sender_restrictions = check_sender_access hash:/etc/postfix/bad_sender で拒否する方法
bad_senderファイルの内訳：
yahoo.co.kr REJECT
akunin.com REJECT
２） Procmailのprocmail.rcで拒否する方法（正確に言うと無視する）
procmail.rcファイルの内訳：
省略
:0
* ^[Ff]rom:.*yahoo.co.kr
/dev/null
:0
* ^[Ff]rom:.*akunin.com
/dev/null
７．main.cfのサンプル（筆者のです）
Postfixセキュリティコンフィグレーション例（私独自の設定です。注意すること！あくまでもオリジナルです！責任は持ちません）
緑の部分が今回のセキュリティ設定部分。ブルーの部分もコメントしているので、参考にすると便利です（以下の設定は、セキュリティ的にはかなり固いはずです）。しかし、あまり固くしすぎて必要なメールが送受信でき無くならないように注意すること！
① 複数の値やパラメータを入れるときは、「，」もしくは「スペース」で区切る。
② 複数行に値やパラメータが続く場合は、「スペース」を入れる。
| # サンプル① 2006年度版（main.cf） SMTP認証にPOP before SMTPを使用 # Postfixのオーナーのユーザ名定義 mail_owner = postfix# Postfixのオーナーのグループ定義 setgid_group = maildrop# Postfixのセカンドオーナー定義 default_privs = nobody# このサーバの名前（FQDNホスト名を定義） myhostname = sub2.kozupon.com# このネットワークのドメイン名（インターネットドメイン名を定義） mydomain = kozupon.com# 全てのメールの送信ドメイン（ドメイン名無しでメールを送信したとき、fromに付くドメイン名を定義、デフォルトは myorigin = $myhostnameだが、メール鯖が複数台ある時は myorigin = $mydomain の方がよい） myorigin = $mydomain #myorigin = $myhostname# 監視するインターフェースの指定、つまり、どのネットワークインターフェースアドレスからメールを受けるかを設定する inet_interfaces = all# メッセージのアドレスとして認めるホストの定義（配送されるべき、ドメイン名及びホスト名を定義、メールゲートウェイなどの場合を考慮して $mydomain を追加しておくべきかと思う） mydestination = $myhostname, localhost.$mydomain $mydomain# メール中継の制限（中継を許可するIPアドレスもしくはネットワークアドレス、つまり信頼されたネットワークアドレス）。IPアドレスでリレー拒否設定する場合は、ここに追加する。基本的に信頼されたネットワークアドレスを設定する mynetworks_style = subnet ← 本来デフォルトでこの設定になっている。（通常メールサーバとして使用する場合は、この設定にする、これを class の設定にするとオープンリレーになるので注意が必要）mynetworks = 127.0.0.0/8 ← このホストだけを宣言（外部からメール配送を行わない場合は、localhostのみの設定にしておいた方がセキュリティ的にベスト）# DNSでバックアップメール鯖等に設定されている鯖でサブドメインにメール中継をうける場合に設定する。ホスト名及びIPアドレスでなく、ドメイン名で中継を許可したい場合にも記述すると良いだろう # 自分の場合は、外部リレーはドメインで許可している。上記のmynetworks設定の中にIPアドレスを定義してもかまわない relay_domains = $mydestination, onechan-kawaii.com# EXPN/VRFY コマンドを拒否する（telnetによるアカウント漏洩防止） disable_vrfy_command = yes# SMTPで接続したときにPostfix Versionを非表示にする、以下の設定ならバージョンは表示されない smtpd_banner = $myhostname ESMTP $mail_name# smtpd_helo_required パラメータは、SMTP セッションのはじめに HELO (または EHLO) コマンドを要求するかどうかをクライアントに対して決定する。デフォルトでは「no」に設定されており、HELOコマンドの使用を要求しない。HELOコマンドを要求するようにしておくことでブロックできるスパムが有るので「yes」に設定しておいた方がよい。smtpd_helo_required = yes# メールアドレスを間違えて送信したとき、「User unknown」というエラーメールが返って来ることがあるが、Postfixのデフォルトの設定では、自分のドメインに存在しないユーザー宛てにメールが送られてきてもエラーメッセージが返されない。存在しないユーザー宛てのメールがきたとき、一定時間をおいて再送するようになっている。これは、Postfixの設定を誤ったときでも、自分のドメイン宛てに送られてきたメールが拒否されないようにするための安全策になっている。したがって、設定に問題がないことを確認できたら、存在しないユーザー宛てのメールは拒否して、その場でエラーメッセージを返すように設定を変更した方がよい。main.cfの中にあるデフォルトの「unknown_local_recipient_reject_code = 450」→「550」に変更する。「450」というエラーコードはtry again later（一定時間後に再試行）を意味する。一方の「550」はreject mail（メール拒否）を表している。unknown_local_recipient_reject_code = 550# ヘッダチェック（怪しいヘッダ付きメールを拒否する設定） # 指定するファイルに拒否設定を記述。 header_checks = regexp:/etc/postfix/header_checks# メール本文でチェック（怪しい文字列を拒否する） # It blocks in the text of mail body_checks=regexp :/etc/postfix/body_checks# 明示したドメインをFROM行に持たないメールは拒否する smtpd_sender_restriction = reject_non_fqdn_sender, reject_invalid_hostname, reject_unknown_sender_domain, permit# 送信元ホストの制限（SPAMメール拒否設定） # ここでは、ORBSで登録されているホストやSPAM DBに登録されているホストからのメールを拒否する。 smtpd_client_restrictions = permit_mynetworks, reject_rhsbl_client rhsbl.ahbl.org, reject_rbl_client spamcop.net, reject_rbl_client dynablock.wirehub.net, reject_rbl_client opm.blitzed.org, reject_rbl_client relays.visi.com, reject_rbl_client sbl.spamhaus.org, permit # ★メール中継の制限（オプションパラメータでの制限をする場合に使う） # It is transmitting agency and refuses. smtpd_recipient_restrictions = permit_mynetworks, regexp:/etc/postfix/recipient_checks.reg, check_client_access hash:/etc/postfix/bad_sender, check_client_access hash:/etc/postfix/pop-before-smtp, ← pop-before-smtpをしているので、ここにデータベース宣言している。 reject_non_fqdn_recipient, reject_unknown_sender_domain, reject_unauth_destination（注：smtpd_recipient_restrictionは最後にrejectもしくは、reject_unauth_destinationの何れかで終結しなければいけない。）# 中継禁止の有無 # 注：この２行を”no”にすると何でもかんでも中継禁止にしてしまう！気を付けること。 allow_percent_hack = yes ← これは、user%domainをuser@domainに書き換えるか否かの設定 swap_bangpath = yes ← これは、site!userをuser@siteに書き換えるか否かの設定# エイリアスファイルの在処の指定 alias_maps = hash:/etc/postfix/aliases# エイリアスデータベースの在処の指定 alias_database = hash:/etc/postfix/aliases# ユーザメールボックスの在処の指定 mail_spool_directory = /var/spool/mail# デバッグレベルの指定 debug_peer_level = 2# デバッガコマンドパスの指定 debugger_command = PATH=/usr/bin:/usr/X11R6/bin xxgdb $daemon_directory/$process_name $process_id & sleep 5# Postfixメールキューコマンドのパス mailq_path = /usr/libexec/postfix# Postfixメールキューパス queue_directory = /var/spool/postfix# Postfixコマンドディレクトリのパス command_directory = /usr/sbin# デーモンディレクトリのパス daemon_directory = /usr/libexec/postfix# Postfixオンラインマニュアルのパス manpage_directory = /usr/local/man# Postfix設定サンプルファイルのパス sample_directory = /etc/postfix# READMEディレクトリの有無 readme_directory = no# AntiVirus独自の設定 mailbox_command = /usr/sbin/amavis “$SENDER” “$RECIPIENT”# 外部コマンドへのメール配送の制限（メーリングリスト等を立ち上げている場合は必要！）たとえば、fmlで/etc/aliasesにinclude形式で記述するが、そう言う場合にここでincludeを指定する allow_mail_to_commands = alias,forward,include# mailbox受信メッセージMax容量（0に設定した場合は、無制限） mailbox_size_limit = 102400000# １メッセージ当たりのMax容量（Postfixキューファイルサイズの最大サイズ）、Default値は10M 10240000 が設定される。mailbox_size_limitパラメータより小さくなくてはならない message_size_limit = 51200000# メール添付ファイルをmessage_size_limitとは別に定義する場合のMax容量、Default値は、50k 51200 body_checks_size_limit = 204800000# ユーザ名だけでメールを送信したときに、ドメイン名を付加するか否かを設定する、Default値はyes、基本的にPostfixはドメイン名が無いメールはサポートしないのでここを変える必要は無いだろう。 append_at_myorigin = yes |
# サンプル② 2013年度版（main.cf）SMTP認証にCyrusSASL2を使用している。
| queue_directory = /var/spool/postfixcommand_directory = /usr/sbindaemon_directory = /usr/lib/postfixmail_owner = postfixsetgid_group = postdropdefault_privs = nobodymyhostname = hiro.kozupon.combounce_queue_lifetime = 1hmaximal_queue_lifetime = 1hmydomain = kozupon.commyorigin = $mydomaininet_interfaces = allmydestination = $myhostname, localhost.$mydomain $mydomainunknown_local_recipient_reject_code = 550mynetworks_style = submetmynetworks = 127.0.0.0/8relay_domains = $mydestinationalias_maps = hash:/etc/aliasesalias_database = hash:/etc/aliasesheader_checks = regexp:/etc/postfix/header_checkssmtpd_client_restrictions = permit_mynetworks, reject_rbl_client all.rbl.jp, reject_rbl_client bl.spamcop.net, reject_rbl_client blackholes.five-ten-sg.com, reject_rbl_client dnsbl.sorbs.net, reject_rbl_client t1.dnsbl.net.au, reject_rbl_client cbl.abuseat.org, reject_rbl_client list.dsbl.org, permitsmtpd_sasl_auth_enable = yes smtpd_sasl_security_options = noanonymous broken_sasl_auth_clients = yessmtpd_recipient_restrictions = permit_mynetworks, regexp:/etc/postfix/recipient_checks.reg, check_sender_access hash:/etc/postfix/bad_clients, reject_non_fqdn_recipient, permit_auth_destination, permit_sasl_authenticated, reject_unauth_destination, check_policy_service inet:127.0.0.1:60000smtpd_sender_restrictions = reject_non_fqdn_sender, reject_invalid_hostname, reject_unknown_sender_domain, permitmailbox_command = /usr/bin/procmail -m /etc/postfix/procmailrcmail_spool_directory = /var/spool/maildisable_vrfy_command = yessmtpd_helo_required = yesallow_percent_hack = yesswap_bangpath = yessmtpd_banner = $myhostname ESMTP $mail_namedebug_peer_level = 2debugger_command = PATH=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/binxxgdb $daemon_directory/$process_name $process_id & sleep 5sendmail_path = /usr/sbin/sendmailnewaliases_path = /usr/bin/newaliasesmailq_path = /usr/bin/mailqmanpage_directory = /usr/local/mansample_directory = /etc/postfixreadme_directory = noallow_mail_to_commands = alias,forward,includecontent_filter = smtp-amavis:[127.0.0.1]:10024mailbox_size_limit = 102400000message_size_limit = 51200000smtpd_error_sleep_time = 1s ←このパラメータは、リモートホストからのSMTPエラーに応答するとき、見せかけの遅延を挿入するために使用する。smtpd_soft_error_limit = 10 ←このパラメータは、リモートMTAが混乱した場合、そのことを検知するように試みるために使用する。この値に設定された回数のSMTPエラーがリモートMTAによって生成されると、PostfixによってSMTPセッションに強制的な遅延が挿入される。smtpd_hard_error_limit = 20 ←このパラメータは、1つのSMTPセッション中にPostfixによって、許容されるSMTPエラー数の上限を指定する。この数値の限界を超えたときにPostfix SMTPサーバが切断される。 上からの3つの緑のパラメータは、SPAMメールのフラッディング攻撃（電子メールの連打によるオーバーフロー攻撃）を回避する設定として有効である。 |
８．postfixのバージョン確認方法
postfixのバージョン確認方法は以下の要領で行う。
# postconf | grep mail_version
mail_version = 2.2-20040504
９．時としてエラーと間違いやすい紛らわしいコネクションに関する統計情報
Postfixの2.2以降のバージョンで、メール送信後にメールログに出力される統計情報。以下のような統計情報が出力される。
| Jan 5 16:37:06 hiro postfix/anvil[16679]: statistics: max connection rate 1/60s for (smtp:xxx.xxx.xxx.xxx) at Jan 5 16:35:42 Jan 5 16:37:06 hiro postfix/anvil[16679]: statistics: max connection count 1 for (smtp:xxx.xxx.xxx.xxx) at Jan 5 16:35:42 Jan 5 16:37:06 hiro postfix/anvil[16679]: statistics: max cache size 1 at Jan 5 16:35:42 |
これは、以下のようなパラメータをセッティングするための統計情報のようだ。
smtpd_client_connection_count_limit（1つのSMTPクライアントの最大同接続数 デフォルト：50）
smtpd_client_connection_rate_limit（1つのSMTPクライアントの単位時間あたりの最大同接続数 デフォルト：制限なし）
smtpd_client_event_limit_exceptions（接続カウントや接続速度、SMTP要求速度の制限から除外されるクライアントの指定 デフォルト：$mynetwork）
anvil_rate_time_unit（クライアントの接続速度やその他の速度の計算に用いられる単位時間 デフォルト：60s）
このような、パラメータが有ったので、これで上記の統計情報で60sの数値が変化するか試しにmain.cfの中に
anvil_rate_time_unit = 120
みたいに追加してみた。その結果、
| Jan 5 17:22:20 hiro postfix/anvil[16763]: statistics: max connection rate 1/120s for (smtp:xxx.xxx.xxx.xxx) at Jan 5 17:17:28 Jan 5 17:22:20 hiro postfix/anvil[16763]: statistics: max connection count 1 for (smtp:xxx.xxx.xxx.xxx) at Jan 5 17:17:28 Jan 5 17:22:20 hiro postfix/anvil[16763]: statistics: max cache size 1 at Jan 5 17:17:28 |
うんやっぱ変わったね（笑）。
１０．ローカルにヘッダーを偽造してメールを仕掛ける輩の防御
メール鯖にコネクトして、「webmaster」とかなにげに有りそうなアカウント宛へSPAMメールを送ってくる輩の対処。こう言った類は必ず、送信元を偽造する。以下に、そんな場合のmailログを示す。
ターゲットメールサーバ：ns.xxxxxxxx.net
宛先のアカウント：webmaster
SPAM送信者のIPアドレス：210.xxx.xxx.xxx
| Jan 25 10:59:46 ns postfix/smtpd[17871]: connect from unknown[210.xxx.xxx.xxx] ←SPAM送信者のホストアドレス、必ずと言っていいほど逆引きが出来ないホスト（動的IPの場合も有る）。 Jan 25 11:02:44 ns postfix/smtpd[17871]: 2ECCE5BB10: client=unknown[210.xxx.xxx.xxx] Jan 25 11:05:05 ns postfix/cleanup[17878]: 2ECCE5BB10: messageid=<[email protected]> Jan 25 11:05:05 ns postfix/qmgr[17787]: 2ECCE5BB10: from=<[email protected]>, size=366, nrcpt=1 (queue active) Jan 25 11:05:06 ns postfix/smtpd[17882]: connect from localhost[127.0.0.1] Jan 25 11:05:06 ns postfix/smtpd[17882]: 1B6765BD59: client=localhost[127.0.0.1] Jan 25 11:05:06 ns postfix/cleanup[17878]: 1B6765BD59: messageid=<[email protected]> Jan 25 11:05:06 ns postfix/qmgr[17787]: 1B6765BD59: from=<[email protected]>,size=807, nrcpt=1 (queue active) Jan 25 11:05:06 ns postfix/smtpd[17882]: disconnect from localhost[127.0.0.1] Jan 25 11:05:06 ns amavis[15443]: (15443-09) Passed, <[email protected]> -> <[email protected]>, Message-ID: <[email protected]>, Hits: – Jan 25 11:05:06 ns postfix/smtp[17879]: 2ECCE5BB10: to=<[email protected]>, relay=127.0.0.1[127.0.0.1], delay=209, status=sent (250 2.6.0 Ok,id=15443-09, from MTA: 250 Ok: queued as 1B6765BD59) Jan 25 11:05:06 ns postfix/qmgr[17787]: 2ECCE5BB10: removed Jan 25 11:05:06 ns postfix/local[17883]: 1B6765BD59: to=<[email protected]>, orig_to=<[email protected]>, relay=local, delay=0, status=sent (delivered to command: /usr/bin/procmail -m /etc/postfix/procmailrc) Jan 25 11:05:06 ns postfix/cleanup[17878]: A7C425BB10: messageid=<[email protected]> Jan 25 11:05:06 ns postfix/qmgr[17787]: A7C425BB10: from=<[email protected]>, size=933, nrcpt=1 (queue active) Jan 25 11:05:06 ns postfix/local[17883]: 1B6765BD59: to=<[email protected]>, relay=local, delay=0, status=sent (forwarded as A7C425BB10) Jan 25 11:05:06 ns postfix/qmgr[17787]: 1B6765BD59: removed |
このようなログのメールの場合は、宛先と差出人が同一のメールアドレスとして、いわばメールアドレスの偽造をして相手を目くらます。では、このような偽造メールはどのように実現されているかというと、以下のように telnet により簡単に実現されている。
[mity@linux_michan mity]$ telnet ns.xxxxxxxx.net 25
Trying 210.xxx.xxx.xxx…
Connected to ns.xxxxxxxx.net.
Escape character is ‘^]’.
220 ns.xxxxxxxx.net ESMTP Postfix
EHLO localhost
250-ns.xxxxxxxx.net
250-PIPELINING
250-SIZE 51200000
250-ETRN
250-AUTH CRAM-MD5
250-AUTH=CRAM-MD5
250 8BITMIME
MAIL FROM: <[email protected]> ←①
250 Ok
RCPT TO: <[email protected]> ←②
250 Ok
DATA
354 End data with <CR><LF>.<CR><LF>
From: <[email protected]> ←③
To: <[email protected]> ←④
Subject:
TEST Message.
.
250 Ok: queued as 2ECCE5BB10
QUIT
221 Bye
Connection closed by foreign host.
上記のように、ターゲットのメール鯖へ接続してコマンドを打って①～④を同じ[email protected]アカウントにして本文を入力する訳だ。ただし、③④は適当なメールアドレスに偽造可能（これは、よくSpammerがやる手口だ）。
それでは、このようなSPAM対策としてはPostfixのmain.cfでどのような設定をすればベストなのか？
SMTPのコネクトに関する制御は、 smtpd_client_restrictions で行う。したがって、このパラメータで設定する。
smtpd_client_restrictions = reject_unknown_client,
permit_mynetworks,
reject_rhsbl_client rhsbl.ahbl.org,
reject_rbl_client spamcop.net,
reject_rbl_client dynablock.wirehub.net,
reject_rbl_client opm.blitzed.org,
reject_rbl_client sbl.spamhaus.org,
permit
smtpd_client_restrictionsの記述例を書いてみた。まず、 reject_unknown_client を使うとDNSに問い合わせて正当性の有るホストのみが許可されるのでかなり怪しいホストに厳しくなのでSPAMMERをブロックする効果が非常に大きい。これは最近、はやり始めたS25Rの考え方である。厳しくなるのは良いが、単に逆引き出来ないホストは拒否されてしまう。果たして、それは正解なのだろうか？
俺の答えは、「NO」で有る。と言うのも、正引きだけ出来て逆引きできないホストは世の中に沢山あるし、ましてやDynamicDNSで鯖構築している方々の全てが拒否されてしまうことになる。IPアドレスのみでの評価には限界があるので、上記の設定のように SPAM常習鯖のブラックリスト等を設定しておく のがとりあえず推奨だ。さらに、SPAMのブロック効率をあげるには、 Postgrey との併用をお勧めする。
１１．SPAM常習者ブラックリストデータベースサーバが落ちてるときの注意
SPAM常習者ブラックリストデータベースサーバが落ちているとき、そのホストをそのままmain.cfに残しておくと、SPAMでないメールもSPAMとして扱われてしまうので注意が必要だ。
これは、maillogをチェックしてる人には解るが、チェックしない人には気がつかないので何ともたちが悪いかも知れない。それが嫌ならば、SPAM常習者ブラックリストデータベースサーバを設定するのは止めた方がいいかも知れない。以下のような、エラーがmaillogに現れる。
Mar 14 19:26:04 ns postfix/smtpd[8396]: disconnect from unknown[xxx.xxx.xxx.xxx] Mar 14 19:41:21 ns postfix/smtpd[8410]: connect from sprm104c.xxxxxxx.co.jp[xxx.xxx.xxx.xxx] Mar 14 19:41:28 ns postfix/smtpd[8410]: NOQUEUE: reject: RCPT from sprm104c.xxxxxxx.co.jp[xxx.xxx.xxx.xxx]: 554 Service unavailable; Client host [sprm104c.xxxxxxx .co.jp] blocked using blackhole.securitysage.com; from < > to=< > proto=ESMTP helo= Mar 14 19:41:28 ns postfix/smtpd[8410]: disconnect from sprm104c.xxxxxxx.co.jp[xxx.xxx.xxx.xxx]
blackhole.securitysage.comがSPAM常習者ブラックリストデータベースサーバ（何らかの理由でダウンしてる）で 554エラー [このメールエラーなによ！？]で戻ってきた状態。
以上