Ubuntu邮件服务器权限设置技巧

Ubuntu邮件服务器权限设置技巧

一 基础安全与最小权限原则

• 使用专用的系统账户运行邮件服务，例如创建vmail用户与组，专用于存放邮箱与访问邮件文件，避免以root运行。
• 目录权限遵循“仅所有者可访问、组内受限、其他禁止”的最小权限：邮箱根目录建议700，邮件文件建议600；配置文件建议640，所属为邮件服务运行用户与组。
• 仅开放必要端口：入站/出站SMTP 25/587，IMAP/POP3 143/110，以及加密端口 IMAPS 993/POP3S 995；使用ufw或iptables限制来源与访问范围。

二 系统用户与虚拟用户的权限模型

• 系统用户模型（mBox 或 Maildir 位于用户家目录）
  • 邮箱目录示例：/var/mail/username 或 /home/username/Maildir；权限建议：目录700、文件600，所有者为相应用户。
  • 示例命令：
    • 创建用户：sudo adduser username
    • 修正权限：sudo chown -R username:username /var/mail/username；sudo chmod -R 700 /var/mail/username
• 虚拟用户模型（集中存放、与系统用户解耦）
  • 创建专用用户与目录：sudo addgroup vmail；sudo adduser --system --group --no-create-home --home /var/mail/vmail vmail
  • 设定邮箱路径与权限：sudo chown -R vmail:vmail /var/mail/vmail；sudo chmod -R 700 /var/mail/vmail
  • 在 Postfix 中使用虚拟域/邮箱映射（/etc/postfix/virtual、virtual_mailbox_domains、virtual_mailbox），完成后执行：sudo postmap /etc/postfix/virtual；sudo postmap /etc/postfix/virtual_mailbox_domains；sudo postmap /etc/postfix/virtual_mailbox；sudo postfix reload。

三 Postfix与Dovecot的权限对接

• SASL 认证通道权限
  • 在 Dovecot 配置 /etc/dovecot/conf.d/10-master.conf 中设置 Postfix SASL 套接字权限：
    • unix_listener /var/spool/postfix/private/auth { mode = 0666; user = postfix; group = postfix; }
  • 该套接字由 Postfix 以 postfix 身份连接 Dovecot 完成认证，权限过宽会带来安全风险，生产环境可改为更严格的权限并结合权限隔离。
• 邮箱投递与访问权限
  • Postfix 投递到 Dovecot（Maildir）：确保投递目录对 vmail 可写（常见为700），Dovecot 读取时对 vmail 可读（文件600）。
  • Dovecot 配置 /etc/dovecot/dovecot.conf：mail_location = maildir:~/Maildir（或虚拟用户路径）；protocols = imap pop3。
• 别名与受限操作
  • 通过 /etc/aliases 管理转发与受限行为，例如将某用户投递到空设备以“只读接收”：username: /dev/null；修改后执行：sudo postmap /etc/aliases；sudo newaliases。

四 防火墙与端口权限

• 使用 UFW 放行邮件端口（示例）：
  • sudo ufw allow 25/tcp；sudo ufw allow 143/tcp；sudo ufw allow 110/tcp
  • sudo ufw allow 587/tcp；sudo ufw allow 993/tcp；sudo ufw allow 995/tcp
  • 建议仅允许受控网段访问管理端口，限制公网暴露面。

五 快速检查与常见陷阱

• 权限核查清单
  • 邮箱根目录（如 /var/mail/vmail 或 /var/mail/username）：ls -ld 应为 drwx------；邮件文件：ls -l 应为 -rw-------。
  • Postfix 配置：ls -l /etc/postfix 关键文件应为 -rw-r-----，属主属组为 postfix（或你的邮件运行账户）。
  • SASL 套接字：ls -l /var/spool/postfix/private/auth 应存在且权限与属主/属组符合 Dovecot 配置。
• 常见陷阱与修正
  • 权限过宽（如 777）：立即收紧为700/600，仅保留必要账户访问。
  • 虚拟用户投递失败：确认 vmail:vmail 对邮箱路径拥有所有权，且 Postfix 的 virtual 映射与 postmap 已生效。
  • 客户端认证失败：检查 Dovecot SASL 套接字权限与属主、Postfix 的 smtpd_sasl_type/smtpd_sasl_path 是否匹配。
  • 明文认证暴露：在生产环境启用 SSL/TLS，并禁用明文端口或限制来源；定期查看日志（/var/log/mail.log、/var/log/syslog）定位权限相关报错。