Previeni lo spam in Postfix

Questo articolo mostra alcune semplici modifiche alla configurazione che puoi implementare in un'installazione di Postfix sul tuo server di posta per ridurre lo spam.

Abilita elenchi di blackhole in tempo reale

Gli elenchi di blackhole in tempo reale (RBL) sono elenchi di indirizzi IP (Internet Protocol) associati a spammer noti. Questi elenchi sono generalmente gratuiti.

È possibile configurare Postfix per controllare gli indirizzi IP dei messaggi in arrivo rispetto a uno o più RBL. Se c'è una corrispondenza, il tuo server non consente al mittente di trasmettere il messaggio. L'abilitazione degli RBL è un modo semplice per bloccare fino al 50% del tuo traffico di spam.

Si configurano le RBL in smtpd_recipient_restrictions parametro nel file di configurazione principale di Postfix, che di solito si trova in /etc/postfix/main.cf . Il seguente esempio di file di configurazione di Postfix utilizza sei diversi RBL:

   smtpd_recipient_restrictions =
        reject_rbl_client zen.spamhaus.org,
        reject_rbl_client bl.spamcop.net,stop
        reject_rbl_client dnsbl.sorbs.net,
        reject_rbl_client cbl.abuseat.org,
        reject_rbl_client b.barracudacentral.org,
        reject_rbl_client dnsbl-1.uceprotect.net,
        permit

Dopo aver implementato questa configurazione, nei registri di posta vengono visualizzate voci simili all'esempio seguente:

Dec 17 15:58:24 mailserver postfix/smtpd[15573]: NOQUEUE: reject: RCPT from unknown[204.12.225.53]: 554 5.7.1 Service    unavailable; Client host [204.12.225.53] blocked using zen.spamhaus.org; https://www.spamhaus.org/sbl/query/SBLCSS / https://www.spamhaus.org/query/bl?ip=204.12.225.53; from=<[email protected]> to=<[email protected]> proto=ESMTP helo=<hse53.lifeyjingu.com>

Gli RBL vengono in genere utilizzati insieme ad altre tecniche e strumenti di lotta allo spam come Apache® SpamAssasin™. Tuttavia, poiché SpamAssassin può richiedere molto unità di elaborazione centrale (CPU), dimezzare il traffico di spam utilizzando prima gli RBL potrebbe far risparmiare preziose risorse della CPU sul server di posta.

Oltre a includere gli RBL, potresti anche voler aggiungere alcune delle seguenti opzioni di configurazione sotto smtpd_recipient_restrictions parametro nel file di configurazione:

• reject_invalid_hostname :rifiuta la richiesta quando il nome host HELO o EHLO non è corretto. Questa opzione potrebbe impedire a bot mal programmati di inviare spam al tuo server.

• reject_unknown_recipient_domain :rifiuta la richiesta quando Postfix non è la destinazione finale per il dominio del destinatario. Questa opzione può impedire che il tuo server venga utilizzato come inoltro aperto.

• reject_unauth_pipelining :rifiuta la richiesta quando il client invia in anticipo i comandi SMTP (Simple Mail Transfer Protocol) laddove non è consentito. Questa opzione blocca la posta proveniente da software di posta in blocco che utilizza in modo improprio la pipeline dei comandi Extended SMTP (ESMTP) per accelerare le consegne.

• reject_unauth_destination :Questa opzione è simile a reject_unknown_recipient_domain opzione. Tuttavia, con reject_unauth_destination , affinché Postfix accetti il ​​messaggio deve essere soddisfatta una delle seguenti condizioni:

  • Postfix è il mail forwarder per il dominio (come definito nel relay_domains parameter ).
  • Postfix è la destinazione finale del dominio.

Se ci sono IP o reti che non vuoi filtrare dal tuo server di posta, puoi aggiungere il permit_mynetworks opzione in smtpd_recipient_restrictions per inserire nella whitelist questi IP. Dovresti anche assicurarti di definire queste reti in my_networks parametro nel file di configurazione.

Il seguente esempio smtpd_recipient_restrictions parametro nel file di configurazione di Postfix utilizza tutte le opzioni di configurazione precedenti:

   smtpd_recipient_restrictions =
               reject_invalid_hostname,
               reject_unknown_recipient_domain,
               reject_unauth_pipelining,
               permit_mynetworks,
               reject_unauth_destination,
               reject_rbl_client zen.spamhaus.org,
               reject_rbl_client bl.spamcop.net,
               reject_rbl_client dnsbl.sorbs.net,
               reject_rbl_client cbl.abuseat.org,
               reject_rbl_client b.barracudacentral.org,
               reject_rbl_client dnsbl-1.uceprotect.net,
               permit

Nota :Se hai bisogno di parametri di configurazione aggiuntivi in ​​smtpd_recipient_restrictions , puoi aggiungerli in fondo a questo elenco, sopra il permit opzione.