ubuntu邮件服务器安全防护 - 问答

Ubuntu邮件服务器安全防护清单

一基础加固与访问控制

二端口与加密配置

端口用途与放行建议
- 25/TCP：SMTP（MTA间通信/入站），服务器对外或对等开放。
- 587/TCP：Submission（客户端提交），建议强制STARTTLS。
- 465/TCP：SMTPS（隐式SSL），如需兼容老旧客户端可开启。
- 143/TCP：IMAP（明文），建议启用STARTTLS。
- 993/TCP：IMAPS（隐式SSL）。
- 110/TCP：POP3（明文），建议启用STARTTLS。
- 995/TCP：POP3S（隐式SSL）。
UFW示例（按需精简）
- sudo ufw default deny incoming
- sudo ufw default allow outgoing
- sudo ufw allow 25,587,465,143,993,110,995/tcp
- 如需仅内网管理：sudo ufw allow from 管理网段 to any port 25,143,110
TLS/SSL配置要点
- 生产环境使用Let’s Encrypt证书（Certbot），自动部署到Postfix/Dovecot。
- 验证示例：openssl s_client -connect yourdomain.com:587 -starttls smtp
- 客户端推荐：SMTP 587/STARTTLS 或 465/SSL；IMAP 993/SSL；POP3 995/SSL。

三反垃圾与身份认证

邮件身份验证
- SPF：在DNS发布发信策略，声明合法发送网段/主机。
- DKIM：用私钥签名邮件头，收件端用DNS公钥验证，提升可信度。
- DMARC：基于SPF/DKIM结果给出处理策略（none/quarantine/reject），降低域名被冒用风险。
反垃圾技术
- SpamAssassin：内容评分与规则过滤，降低垃圾邮件命中率。
- Postgrey：灰名单机制，临时拒收后再接纳合规重试，显著削减垃圾量。
- RBL/DNSBL：对接实时黑名单，拦截已知垃圾源与僵尸网络。

四入侵防御与日志审计

暴力破解防护
- Fail2Ban：监控SMTP/IMAP/POP3认证失败，自动封禁来源IP。
- 示例（/etc/fail2ban/jail.local）：
  - [DEFAULT] bantime = 600；maxretry = 3
  - [postfix] enabled = true；port = smtp,imap,pop3；logpath = /var/log/mail.log
监控与审计
- 集中监控与告警（如Nagios），日志分析与报表（如Logwatch），及时发现异常登录、暴力尝试与投递异常。

五快速实施步骤

更新与加固
- sudo apt update && sudo apt full-upgrade -y
- 禁用root远程登录，配置SSH密钥，设置强密码策略
防火墙与端口
- 启用UFW，仅放行25/587/465/143/993/110/995
证书与加密
- 安装Certbot：sudo apt install certbot python3-certbot-postfix
- 获取并部署证书：sudo certbot --postfix -d yourdomain.com
- 验证：openssl s_client -connect yourdomain.com:587 -starttls smtp
反垃圾与认证
- 安装与启用：SpamAssassin、Postgrey、OpenDKIM
- 配置SPF/DKIM/DMARC的DNS记录
入侵防御
- 安装并启用Fail2Ban，针对postfix jail配置封禁阈值与日志路径
重启与验证
- sudo systemctl restart postfix dovecot fail2ban
- 使用客户端与telnet/OpenSSL测试各端口加密与会话流程，检查日志无异常

0 赞

0 踩