如何防止Debian邮件服务器被滥用

Debian邮件服务器防滥用实操清单

一 基础加固与访问控制

• 仅开放必要端口并限制来源：建议仅对内网或受控网段开放管理端口，对外仅暴露提交与 IMAP/POP3S。示例 UFW 规则：仅允许 25/TCP(SMTP)、587/TCP(Submission)、993/TCP(IMAPS)、995/TCP(POP3S)；如需明文 IMAP/POP3 可额外开放 143/110，但生产环境优先使用加密端口。最小化暴露面能显著降低被扫描与滥用的风险。
• 强制加密传输：为 Postfix 与 Dovecot 配置 SSL/TLS（可用自签或可信 CA 证书），避免明文认证与明文传输被窃听或劫持。
• 强化系统与应用：保持系统与软件包持续更新（如 apt update && apt upgrade），禁用不必要的服务与端口，遵循最小权限原则，减少攻击面。

二 身份与投递策略限制

• 强制身份认证与发信路径分离：仅允许已认证用户通过 Submission(587) 发信，对外 SMTP(25) 仅用于接收外域来信或转发到内部 MTA。Postfix 关键示例：
  • smtpd_sasl_type = dovecot
  • smtpd_sasl_path = private/auth
  • smtpd_sasl_auth_enable = yes
  • smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination
    这样可阻断未授权主机直接利用你的服务器对外滥发邮件。
• 客户端访问控制：通过 Postfix 的 smtpd_client_restrictions / smtpd_helo_restrictions / smtpd_sender_restrictions 与 /etc/postfix/access 做客户端、HELO/EHLO 标识与发件人黑白名单控制，例如对已知滥用网段或恶意 HELO 主机直接拒绝；变更后执行 postmap /etc/postfix/access && postfix reload。
• 灰名单降低垃圾邮件冲击：部署 Postgrey，在 /etc/default/postgrey 设置延迟（如 -delay=60），并在 Postfix 的 smtpd_recipient_restrictions 中加入策略服务：check_policy_service inet:127.0.0.1:10023，合法服务器会重试并被接受，垃圾发送者多数会放弃。

三 反垃圾与内容过滤

• 内容过滤与评分：部署 SpamAssassin 作为内容过滤引擎，在 Postfix 中设置 content_filter = spamassassin，对入站邮件进行评分与处置（如标 SPAM 或拒收），显著降低垃圾邮件进入用户收件箱的概率。
• 发送者身份校验：为你的域配置 SPF、DKIM、DMARC，在域名 DNS 发布相应记录，并在 MTA/过滤链路启用校验，可大幅减少伪造发件人与钓鱼邮件，同时提升外发邮件的到达率与被信任度。

四 速率限制与资源保护

• 连接与速率限制：在 Postfix 中启用并发、速率与收件人限制（如 smtpd_client_connection_limit、smtpd_client_message_rate_limit、smtpd_recipient_limit），对异常连接洪泛与批量投递进行抑制；对本地或受信网络（如 mynetworks）放宽，对外网严格限制。
• 按用户/域配额：对虚拟或本地用户设置邮箱配额，避免单用户/单域无限制占满磁盘或带宽；Dovecot 支持配额策略，可按用户或域进行限制与告警。
• 使用 Milter 限流插件：通过 milter-limit 等插件对入站/出站邮件数量与频率进行更细粒度控制，缓解资源滥用与 DoS 风险。
• 暴力破解与登录滥用防护：部署 Fail2Ban 监控 SMTP/Submission/IMAP/POP3 日志，自动封禁反复失败的来源 IP，降低凭证猜测与滥用成功率。

五 监控告警与持续运维

• 日志集中与审计：持续监控 /var/log/mail.log 等日志，结合 logwatch/rsyslog-ng/auditd 做异常检测与审计；对发信量、连接峰值、认证失败、灰名单命中、策略拒绝等关键指标设置阈值告警。
• 定期维护与演练：保持 Debian 与邮件组件（Postfix/Dovecot/SpamAssassin/Postgrey）及时更新，定期复核 SPF/DKIM/DMARC 记录与策略效果，检查防火墙与访问控制规则是否过宽或过严，并进行必要的渗透与滥用演练。