Debian邮件服务器权限设置

Debian邮件服务器权限设置实操指南

一 基础安全与最小权限原则

• 以最小权限运行服务：MTA（如Postfix）与 MDA/LDA（如Dovecot）分别使用专用系统账户，仅授予完成其功能所必需的目录与文件访问权。
• 采用Maildir格式存放邮件，便于权限隔离与多进程安全访问；避免使用 mbox 的全局锁定带来的权限与并发问题。
• 全程使用非 root账户管理配置，变更前备份关键文件（如：/etc/postfix/、/etc/dovecot/）。

二 系统与服务账户规划

• 常见账户与用途（示例）：
  • Postfix：使用系统账户postfix；队列目录通常归属root:postfix，权限750，仅允许 postfix 组写入。
  • Dovecot：常见为系统账户dovecot（守护进程）与vmail（虚拟邮箱属主）；虚拟邮箱根目录常见归属vmail:vmail，权限755/700（目录/文件）。
  • 系统级 spool：如**/var/spool/postfix归属root:postfix**；传统 mbox 邮箱目录**/var/mail常见归属root:mail**，权限700（仅 root 可写）。
• 上述账户与权限模型有助于实现“进程最小权限”和“用户数据隔离”。

三 目录与文件权限清单

• 下表给出常见路径、推荐属主/组与权限（按“系统默认/常见实践”给出，虚拟域场景请按第三部分调整属主为 vmail）：

• 快速设置示例（本地用户场景）：
  • 队列目录：
    • sudo chown root:postfix /var/spool/postfix
    • sudo chmod 750 /var/spool/postfix
  • 用户邮箱目录：
    • sudo chown username:username /home/username/Maildir
    • sudo chmod 700 /home/username/Maildir
  • 日志文件：
    • sudo chown root:adm /var/log/mail.log
    • sudo chmod 640 /var/log/mail.log
• 以上权限与属主设置可有效降低越权访问与信息泄露风险。

四 Postfix 与 Dovecot 的访问控制

• Postfix 侧（示例要点）：
  • 基本收发域与网络边界：
    • myhostname = mail.example.com
    • mydomain = example.com
    • myorigin = $mydomain
    • inet_interfaces = all
    • inet_protocols = ipv4
    • mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain
    • mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
    • home_mailbox = Maildir/
  • 中继与发送权限（按客户端网段、SASL 用户、黑名单/白名单细化）：
    • smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination
    • 使用 /etc/postfix/access 做客户端/域名黑白名单，执行 postmap 后重载：
      • echo “127.0.0.1 OK” | sudo tee -a /etc/postfix/access
      • echo “example.com OK” | sudo tee -a /etc/postfix/access
      • sudo postmap /etc/postfix/access
      • sudo systemctl reload postfix
• Dovecot 侧（示例要点）：
  • 邮件存储与协议：
    • mail_location = maildir:~/Maildir
    • protocols = imap pop3
  • 认证与权限：
    • auth_mechanisms = plain login
    • 如使用 PAM：确保 /etc/pam.d/dovecot 配置正确，仅授予必要权限
  • 虚拟用户场景：将虚拟邮箱根目录归属vmail:vmail，并按需设置 755/700 目录/文件权限，确保 Dovecot 读取与投递权限匹配
• 以上配置可在“本地用户”与“虚拟用户”两类场景中分别落地，并通过访问控制列表与 SASL 认证实现细粒度权限控制。

五 端口、防火墙与验证

• 防火墙放行常用端口（示例 UFW）：
  • SMTP：25/TCP（MTA 间通信）
  • Submission：587/TCP（客户端提交，建议强制 TLS）
  • POP3：110/TCP；POP3S：995/TCP
  • IMAP：143/TCP；IMAPS：993/TCP
  • 示例：
    • sudo ufw allow 25/tcp
    • sudo ufw allow 587/tcp
    • sudo ufw allow 143/tcp
    • sudo ufw allow 110/tcp
    • sudo ufw allow 993/tcp
    • sudo ufw allow 995/tcp
    • sudo ufw enable
• 验证与排错：
  • 查看日志：sudo tail -f /var/log/mail.log
  • 重载服务：sudo systemctl reload postfix；sudo systemctl reload dovecot
  • 客户端连通性测试（SMTP/Submission、IMAP/POP3）与 STARTTLS 是否生效
• 通过端口最小化暴露与日志持续观测，可快速发现权限或策略导致的投递/认证异常。