sichere Konfiguration? auf Bounce-Mails verzichten möglich?

[Sven Rautenberg]

Moin!

Aus diesem Grund würde ich mich darüber freuen, wenn mal jemand über die wichtigsten Teile meiner Konfiguration drüberfliegt:

Ist definitiv verbesserungsfähig. Ob auch -würdig, mußt du selbst entscheiden.

relay_domains = $mydestination, mysql:/etc/postfix/mysql-acc/transport

Brauchst du wirklich Relay-Domains?

smtpd_helo_restrictions = reject_invalid_hostname, reject_non_fqdn_hostname
smtpd_recipient_restrictions = reject_unknown_hostname, reject_unknown_sender_domain, reject_non_fqdn_sender, check_relay_domains

Alle Restrictions sollten unter smtpd_recipient_restrictions zusammengelegt werden. Postfix sollte sowieso erst dann prüfen, ob die Bedingungen eingehalten sind, wenn der SMTP-Dialog vor dem Versand der Mailinhalte steht.

Und was die tatsächlichen Restrictions angeht, kannst du noch deutlich kräftiger rangehen. Die Konfig auf selfhtml.org ist beispielsweise (zusammengestückelt aus vielen anderen Konfigurationen, die man bei der Suche nach Spambekämpfung so findet):

smtpd_client_restrictions =
smtpd_helo_restrictions =
smtpd_sender_restrictions =
smtpd_recipient_restrictions =
   permit_mynetworks,
   permit_sasl_authenticated,
   reject_invalid_hostname,
   reject_unknown_hostname,
   reject_non_fqdn_hostname,
   reject_non_fqdn_sender,
   reject_unknown_sender_domain,
   reject_non_fqdn_recipient,
   reject_unauth_destination,
   reject_unauth_pipelining,
   check_helo_access pcre:/etc/postfix/helo_access,
   check_sender_access pcre:/etc/postfix/sender_access,
   check_recipient_access pcre:/etc/postfix/recipient_checks.pcre,
   check_policy_service unix:private/postgrey,
   check_recipient_access hash:/etc/postfix/spamfilter-lookup

Die wichtigste Zeile für dich, um das Bouncen abzustellen, dürfte reject_unauth_destination sein.

Die restlichen Begriffe solltest du alle mal recherchieren (Handbuch, Google) und entscheiden, ob sie für dich von Bedeutung sein könnten. Denn beispielsweise bei

mynetworks = 127.0.0.1

ist ein permit_mynetworks relativ schwachsinnig, ein permit_sasl_authenticated hingegen ist heutzutage überlebensnotwendig, wenn man die Maildienste im Internet anbietet.

- Sven Rautenberg