以mdaemon为例解释邮件服务器的安全设置

现在互联网垃圾信越来越多，如果设置好你的mailserver的安全设置是一个重要的问题。现在以最流行的mdaemon mail server为例，我们来讨论一下mdaemon的安全设置。 
mdaemon的安全设置在setup菜单下面的“security settings”。其中有以下几个选项：
－address suppression（地址抑制）：列出不允许通过你的mailserver发信的地址。如果收到这个列表中的地址发来的邮件，可以选择接受并放到“坏信队列”，或者在smtp的进程中拒绝而从不接收（甚至不储存在你server的临时目录）。这个功能用来控制一些有问题的用户，例如总是恶性发大量邮件。这里支持通配符，例如"*@hotmail.com"和"baduser@"。可以设置所有域和某个域有效。
－ip screening（ip掩蔽）：给你希望允许或者禁止的server指定ip地址。如果不允许连接，从列表的ip地址来的尝试连接将会被拒绝和马上取消。当你的机器具备多个ip地址，在这里设置很方便。支持设置"206.*.*.*"或者"206.101.*.130"。
－host screening（站点掩蔽）：给你希望允许或者禁止的server指定站点（域名）。和ip掩蔽一样，不过这个是让你指定站点名字。支持设置"*.sample.com"或者"sample.*"。
－ip shielding（ip掩护盾）：如果list中指定的域名尝试连接你的服务器，ip地址必须和你在这里的地址匹配。这里有另外一个选项："给合法的本地用户的邮件例外"。例如总是很多用户使用"[e-mail]"或者"[e-mail]"等假的名字来发信给你的时候，你可以在这里设置yahoo.com和hotmail.com的真正ip地址匹配。但是互联网上的站点太多，有时实在设不及，还得和其他方法并用。
－smtp authentication（smtp认证）：当用户发信到mdaemon server，如果没有先认证身份，用几种选项来指示mdaemon的行为。（mdaemon支持从 nt导入已经认证的用户） 
1. authenticated senders are valid regardless of the ip they are using 
已认证的用户免除ip shielding（ip掩护盾）限制，无论使用什么ip都可以。 
2. authenticated users are exempt from the pop before smtp requirement 
如果以下有使用"smtp前先pop"的安全功能，这能使已认证的用户免除这个限制。 
3. authentication is always required when mail is from local accounts 
任何声称来自本地用户的信件都要求先被认证 
4. mail from "postmaster" requires an authenticated session 
从"postmaster"发来的信也需要一个认证的进程。发垃圾信的人和黑客知道有"postmaster"的存在，他们可能通过这个帐号来向你的服务器发邮件。你可以选择这个设置以防止他们这么做。 
5. authentication credentials must match those of the email sender 
认证证书必须和发信人拥有的匹配。这防止本地用户使用本系统其他用户地址发信。 
6. global auth password 
使用通用的auth密码。如果使用了上面”已认证用户可以免除ip限制"，mdaemon给动态nt认证的用户帐号配置必须使用这个通用的密码来代替他们的普通的nt密码。
－pop before smtp（smtp前先pop）：用于每个mdaemon用户先存取他的mailbox，然后才允许通过mdaemon发信，这样就验证了用户有一个合法的用户帐号，允许使用这个email系统。这个是减少非法用户使用你的mail server的最简单方便的方法，就是现在各大isp常用的方法。但是同时要注意要求用户在客户端做相应的设置。
－spam blocker（拒绝垃圾信）：允许指定几个ordb和maps rbl类型的站点，每次当用户要发信到你的server的时候，这些站点都会被检查。如果连接的ip地址是在站点黑名单中，这些信息就会被拒绝或者被做上标记。要注意的是有些站点是被错误地记录进黑名单的。 
如果要查询垃圾信信息和如何使用ordb或者maps rbl来控制和中止垃圾信，可以参考：和。 
这个spam blocker有几个选项： 
1. flag messages from blacklisted sites but go ahead and accept them 
设置这个，mdaemon将不会拒收来自黑名单站点的信件，但是这些信件会被加上一个"x-rbl-warning"的告诫信头。你也可以使用内容过滤功能来搜索有这些信头的信件，而对这些信件做出相应的举动。mdaemon还会给每个用户自动建立一个"垃圾邮件"的imap目录，并生成相应的imap邮件规则，把它发现的有这些"x-rbl-warning"信头的信件放到该目录下。虽然并不一定准确安全，但是这也是一个简单的方便帮助用户快速鉴别垃圾邮件。这样用户只需要不定期的检查这个"垃圾邮件"的目录，确认有些重要的信件没有意外的被放到该目录（有时会发生这种情况）。关于这个，大家可以参考一下的网页，他们就是这样做的。 
2. check "received" headers within smtp collected messages 
检查smtp收到的信件中标记在"received"信头中的ip地址。这个对已经收到的信件的策略用处不大，如果上面已经设置了"smtp之前先pop"，这里就不需要了。 
3. check "received" headers within pop collected messages 
检查domainpop或者multipop收到的信件中标记在"received"信头中的ip地址。 
4. add blacklisted sites to the ip screen(under all domains) 
把黑名单中的站点加到上面的ip screen（ip掩蔽）功能里面（在所有域下面）。这个选项很重要，防止这些站点将来尝试连接你的服务器。自动把黑名单的站点加到ip screen的文件大概是20kb（大概500个项），之后不会自动添加（可以手动）。这样防止ip screen里面的地址太多尔影响了服务器的性能。 
5. 其他几个选项讲的是几种例外情况，和上面的大同小异，这里就不多说了。
在spam blocker hosts页中，你可以手动添加和删除站点列表。
在spam blocker caching页中，你可以设置缓存阻挡垃圾信的查询。这里设置为自动即可。
－relay settings（转发设置）：用来控制mdaemon当你的mailserver收到一封不是本地地址的来信如何处理。 
1. this server does not relay mail for foreign domains 
设置这个选项，mdaemon将拒绝接受from和to都不包含本地用户的信件。就是说，不为外部邮件转信。 
2. refuse to accept mail for unknown local users 
设置这个选项，mdaemon接受给本地未知用户的邮件。 
3. sender's address must be valid if it claims to be from a local domain 
如果信件声称它是来自一个本地domain，这个本地用户必须存在，否则mdaemon将拒绝发送这个信件。 
4. mail sent via authenticated smtp sessions can always be relayed 
通过已认证进程发出的信件总是被转发。 
5. mail can always be relayed through domain gateways 
信件总是能通过域的网关转发，而不管转发控制如何。这个功能默认是禁止的，而且不推荐。
－trusted hosts（信任的站点）：指定对relay settings中的relay规则例外的域名或者ip地址。
－trapit settings（故意延时）：trapitting是指在smtp处理时故意插入延时，来阻碍发送服务器不停地尝试发送。
－reverse lookup（反查询）：mdaemon能查询dns server来检查来信的域名和ip地址的合法性。能用于拒绝可疑的信件或者在信头有一个特别的信头。dns反查数据同样会记录在mdaemon日志文件中。 
1. perform reverse ptr record lookup on inbound smtp connections 
mdaemon会对所有进来的smtp进程执行反标记记录查询。 
2. ... send 501 and shutdown connection if no ptr record match 
如果没有发现ptr记录，发送501错误代码，并中止连接。 
3. perform lookup on helo/ehlo domain 
helo/ehlo是发信客户端用来确认它连接到server的身份。设置这个选项，将对在进程中使用helo/ehlo命令时报告的域名进行反查询。 
4. perform lookup on value passed in the mail command 
设置这个选项，将对在进程中使用mail命令时报告的域名进行反查询。例如你可以在日志中看到"mail from [e-mail]"。这个时候就会对这个域名yahoo.com.cn进行反查询。而这个地址通常是信件的返回路径，也是信件的原始发起地址。但是要注意有时这里被错误的地址代替。 
5. refuse to accept mail if a lookup returns "domain not found" 
如果反查询的结果是"没有找到该域名"，设置这个选项就会拒收该信件，并给予451错误代码（请求的操作被中止），然后该进程会被允许正常执行。 
6. ...send 501 error code (normally sends 451 error code) 
设置这个选项，当出现上面的"没有找到该域名"错误，用501错误代码代替451错误代码。 
7. ...and then shutdown the socket connection 
设置这个选项，当出现上面的"没有找到该域名"错误，中止该连接。 
8. insert "x-lookup-warning" header into suspicious messages 
如果反查询的时候发现是可疑的信件，给信件插入"x-lookup-warning"信头。
综上所述，大家可以看到，现在流行的邮件服务器已经可以使用多种手段来实现邮件安全和垃圾邮件问题。但是现实使用中我们还需要不断参考日志文件随时针对性地做出修改。例如163.com被国外组织认为是垃圾邮件服务器（确实很多垃圾邮件从那里发出），如果使用spam blocker，你就有可能不能收到从163.com发来的邮件。因此，具体情况就要给予具体设置。这个考虑在大家自己，就见仁见智了