Postfix, VPN an e smarthost: eng Queue ass keng Firewall

Mail an der Queue halen, bis d’VPN eropkënnt, ass e Planungsprobleem, an déi üblech Léisung ass Postfix stoppen, main.cf austauschen an en nees starten. Dat funktionéiert, an et ass déi falsch Form, well et zwee Ufuerderunge vermëscht: wéini d’Liwwerung versicht soll ginn, an wéi ee Netzwierkswee et droe kann. Déi zweet ass eng Firewall-Entscheedung, an keng Postfix-Direktiv kann se huelen. Soubal déi zwee getrennt sinn, huet jiddereen eng kleng a testbar Äntwert.

Halt d’Relayzil stabil, blockéier direkt Liwwerung op der Netzwierkgrenz, a loos d’Queue d’Warderei maachen.

Zwee Ufuerderungen, déi d’Leit zu enger verschmëlzen

D’Relay seet Postfix wou d’Mail soll iwwergi ginn; relayhost = [smtp.corp.example]:587 nennt en Host an e Port, an d’Klamere ënnerdrécken d’MX-baséiert Auswiel fir deen nächsten Hop. De Wee seet dem Kernel wou d’Pakete kënne goen. En korrekte relayhost ouni Weebegrenzung léisst Postfix nach ëmmer direkt an d’Internet, wann d’Routingtabell et zoufällech erlaabt, an eng korrekt Firewall mat engem falsche relayhost schéckt d’Mail op déi falsch Plaz. Keng vun deenen zwee implizéiert déi aner.

Transportkaarten, Iwwerschreiwungen pro Ofsender a Reserve-Relaye verdéngen all déiselwecht Liesen. En stabille relayhost ass kee Beweis, datt all konfiguréiert Liwwerungswee en notzt, an en Ëmwee deen d’Relay ëmgeet ass dee selwechte Feeler a besserer Tarnung.

Wat defer_transports tatsächlech mécht

defer_transports hält Messagen fir déi genannte Transporten zeréck, sou datt keen Liwwerungsversuch gemaach gëtt, bis en Queue-Oflaf se beréiert. Et ass eng Planungssteuerung, an e Queue-Flush iwwerschreift se; dat ass den Design an net en Defekt. Notz déi richteg Transportnimm aus master.cf, well en eegene Transport oder en separat genannten Relaytransport net just doduerch ofgedeckt ass, datt säi Programm och SMTP schwätzt. Den normale Widderhuelversuch ass en anere Mechanismus: mat engem fail-closed Wee schloen d’Liwwerungsversich einfach feel an bleiwen an der Queue, ouni datt eng Verzögerungsdirektiv dobäi ass.

Permanent Feeler waarden net héiflech. En schlechten Empfänger oder eng ofgelehnt Authentifikatioun spréngt zréck oder bleift als haart Feeler hänken, amplaz ze sëtzen bis den Tunnel erschéngt, also ass eng Queue voll verzögerter Mail net automatesch eng sécher Queue.

Forcéier de Wee op der Netzwierkschicht

D’Restriktioun gehéiert op d’Grenz vum lokalen Ausgang oder an en isoléierten Netzwierknammraum. Si muss d’real Adressen vum Relay, den Transport an de Port decken, inklusiv IPv6 wann et aktivéiert ass, well eng Regel déi TCP 25 blockéiert näischt fir en Relay op 587 oder 465 mécht. Halt Loopback a lokal Soumissiounsweeër getrennt, sou datt d’Queue selwer weider funktionéiert. D’Politik soll zou bleiwen, wann de Tunnelwee verschwënnt oder ënner engem aneren Interface-Numm erëm erschéngt.

En Evenement wou den Interface eropkënnt beweist net, datt d’Relay duerch en erreechbar ass. Dofir ass en Hook deen de Link kontrolléiert an dann d’Queue leert eng Bequemlechkeet an net eng Garantie: de Link kann sech tëscht der Kontroll an dem Liwwerungsversuch änneren.

Beweist et mat enger harmloser Noriicht

Schéck eng harmlos Noriicht mat der VPN ënnen, an dann kontrolléier postqueue -p fir de Grond vun der Verzögerung an d’Queue-ID. Stell de geplangten Wee erëm hier a frot eng kontrolléiert Queue-Oflaf un, a kuck ob d’Noriicht duerch d’Relay erausgeet an net soss engem. Duerno brich de Wee nach eng Kéier mëtt am Fluch a bestäteg, datt d’Noriicht an d’Queue zréckkënnt. Kuck maximal_queue_lifetime iwwer, ier s du entscheeds wéi laang eng Stéierung däerf daueren, well de Wäert null engem Versuch entsprécht an net enger onbegrenzter Opbewahrung.

Iwwerwaach den Alter vun der Queue an de Plackverbrauch. Eng Politik déi op d’VPN waart gëtt eng Mailstéierung, wann kee mierkt datt d’Queue zënter Freideg wiisst.

Registréier d’Relay, den Transport, d’Firewallregel an d’Liewensdauer zesummen. Déi véier beschreiwen d’Arrangement; jidderee vun hinnen eleng beschreift eng Vermutung.