Пример настройки primary MX для нескольких доменов, с использованием Postfix, clamsmtpd, spamassassin, policyd-weight

В данном примере будет показана рабочая конфигурация Postfix-а (и сопутствующего ПО), который используется в качестве основного MX для нескольких доменов. Кроме доставки почты производится проверка на вирусы и спам. Все ПО установлено из sisyphus20070122. Большинство настроек взяты из статей vvk@ Это первоначальная (но рабочая) конфигурация, требуется тщательная проверка и донастройка.

Postfix

main.cf

# Скроем информацию о наименовании MTA и его версии smtpd_banner = $myhostname ESMTP # По умолчанию relay_domain = $mydestination. В документации написано, что для relay почты для других доменов их нельзя # указывать в mydestination, поэтому вынесем их в отдельный файл relay_domains = $config_directory/relay_domains relay_transport = relay # В документации написано, что этот параметр необходим для primary MX в одном из трех вариантов: список конкретных адресов, домен # или пустое значение. relay_recipient_maps = transport_maps = hash:/etc/postfix/transport # Вырезаем sensitive информацию из заголовка письма header_checks = regexp:/etc/postfix/header_checks # Различные ограничения (man 5 postconf) disable_vrfy_command = yes smtpd_helo_required = yes smtpd_etrn_restrictions = permit_mynetworks,reject smtpd_client_restrictions = permit_mynetworks smtpd_sender_restrictions = reject_unknown_sender_domain smtpd_recipient_restrictions = reject_unknown_recipient_domain, reject_non_fqdn_sender, reject_non_fqdn_recipient, reject_unknown_sender_domain, check_recipient_access pcre:/etc/postfix/recipient_checks.pcre, check_sender_mx_access cidr:/etc/postfix/bogus_mx, check_recipient_mx_access cidr:/etc/postfix/bogus_mx, permit_mynetworks, reject_unauth_destination, check_client_access hash:/etc/postfix/access_permit, check_client_access hash:/etc/postfix/access_deny, check_helo_access hash:/etc/postfix/helo_checks, check_helo_access pcre:/etc/postfix/helo_checks.pcre, reject_invalid_hostname, reject_non_fqdn_hostname, # Используем policyd-weight сервис для комбинированной проверки check_policy_service unix:private/policy, reject_unverified_sender smtpd_data_restrictions = reject_unauth_pipelining,permit

master.cf

# В данной конфигурации используется clamsmtpd, причем в режиме beforequeue
smtp inet n - - - - smtpd -o smtpd_proxy_filter=82.208.44.220:10025 -o smtpd_client_connection_count_limit=30 # Используем policyd-weight для комбинированной "весовой" проверки policy unix - n n - - spawn user=_policyd_weight argv=/usr/bin/perl /usr/sbin/policyd-weight # Взаимодействие со spamassassin без использования внешних shell-скриптов, procmail и прочего spamassassin unix - n n - - pipe user=spamc argv=/usr/bin/spamc -f -U /var/run/spamd/spamd.sock -e /usr/sbin/sendmail -oi -f ${sender} ${recipient} 82.208.44.220:10026 inet n - n - - smtpd -o smtpd_authorized_xforward_hosts=82.208.44.220/32 -o smtpd_client_restrictions= -o smtpd_helo_restrictions= -o smtpd_sender_restrictions= # После проверки письма с помощью clamsmtp отправляем его spamassassin-у -o content_filter=spamassassin -o smtpd_recipient_restrictions=permit_mynetworks,reject -o smtpd_data_restrictions= -o mynetworks=82.208.44.220/32 -o receive_override_options=no_unknown_recipient_checks,no_header_body_checks

bogus_mx

255.255.255.255 550 Domain MX in world broadcast address 0.0.0.0/8 550 Domain MX in block that refer to source hosts on "this" network (RFC 1700) 10.0.0.0/8 550 Domain MX in RFC 1918 private network 127.0.0.0/8 550 Domain MX in loopback network 169.254.0.0/16 550 Domain MX in link local network 172.16.0.0/12 550 Domain MX in RFC 1918 private network 192.0.2.0/24 550 Domain MX in TEST-NET network 192.168.0.0/16 550 Domain MX in RFC 1918 private network 224.0.0.0/4 550 Domain MX in class D multicast network 240.0.0.0/5 550 Domain MX in class E reserved network 248.0.0.0/5 550 Domain MX in reserved network

header_checks

# Вырежем всю лишнюю информацию. В примере закомментированы все строки; их полезно использовать, если Postfix # используется и в качестве MTA для исходящей почты. Злоумышленникам и другим заинтересованным незачем знать внутренние # адреса локальной сети, используемое ПО и прочее. #/^Received:.*82\.208\.44.*/ IGNORE #/^Received:.*127\.0\.0\.1.*/ IGNORE #/^Received:.*192\.168.*/ IGNORE #/^X-AntiVirus:/ IGNORE #/^X-Mailer:/ IGNORE #/^X-Spam.*:/ IGNORE #/^User-Agent:/ IGNORE

helo_checks

82.208.44.220 REJECT Don't use my own IP address in brackets localhost REJECT Localhost is not a valid helo response ipxp.net REJECT You are not ipxp.net ipxp.eu REJECT You are not ipxp.eu ipxp.cz REJECT You are not ipxp.cz

helo_checks.pcre

/^[0-9.]+$/ REJECT Your software is not RFC 2821 compliant: EHLO/HELO must be a domain or an address-literal (IP enclose d in []) - not a naked IP.

recipient_checks.pcre

/^\@/ 550 Invalid address format. /[!%\@].*\@/ 550 This server disallows weird address syntax.

relay_domains

pxp.net ipxp.eu ipxp.cz

transport

ipxp.net relay:82.208.44.205 ipxp.eu relay:82.208.44.205 ipxp.cz relay:82.208.44.205

clamsmtpd

clamsmtpd.conf

OutAddress: 82.208.44.220:10026 Listen: 82.208.44.220:10025 # Для режиме beforequeue Bounce: on

spamassassin

local.cf

# До того, как spamassassin хорошо обучен, нежелательно удалять спам, поэтому будем их просто помечать первое время rewrite_header Subject [* SPAM? *] # Используем систему Bayes и автообучение use_bayes 1 bayes_path /var/spool/spamassassin/bayes bayes_file_mode 0775 bayes_auto_learn 1 # Не используем проверки RBL # Этим у нас будет заниматься policyd-weight. Пока я не решил еще, что лучше. В policyd больше настроек для определения веса, # но при отключении этого в spamassassin не будет более тонкой проверка на спам (возможно, эта проверка бы и дала как раз # те 0.5 score для пометки письма как спам). skip_rbl_checks 1 # Используем данные расширения, как это делает большинство. Но предстоит еще разобраться, что они делают и нужны ли :) use_razor2 1 use_dcc 1 use_pyzor 1 # Говорим spamassassin-у, что DNS у нас доступен. Чтобы не тратил время на проверки dns_available yes # Определяем regexp, определяющий, что почта получена от наших пользователей и понижаем score. Полезно для тех, кто сам спамит :) # Опять же, только в случае использования этого Postfix в качестве MTA для исходящей почты header LOCAL_RCVD Received =~ /.*\(\S+\.ipxp\.net\s+\[.*\]\)/ describe LOCAL_RCVD Received from local machine score LOCAL_RCVD -50 # Некоторые настройки score (требует проверки) score DCC_CHECK 4.000 score SPF_FAIL 10.000 score SPF_HELO_FAIL 10.000 score RAZOR2_CHECK 2.500 score BAYES_99 4.300 score BAYES_95 3.500 score BAYES_80 3.000

v310.cf

# Загружаем данное расширение (по умолчанию у нас оно закомментировано) loadplugin Mail::SpamAssassin::Plugin::DCC # Пока с ним не разобрался loadplugin Mail::SpamAssassin::Plugin::TextCat

/etc/sysconfig/spamd

SPAMDOPTIONS=" --socketpath=/var/run/spamd/spamd.sock -u spamc"
Изменяем владельца каталога /var/spool/spamassassin на spamc для корректной работы.

policid-weight

Настроек по умолчанию вполне достаточно, можно еще вот тут почитать и изменить несколько score.