Postfix, VPN u smarthost: kju mhix firewall

Li żżomm il-posta fil-kju sakemm titla' l-VPN hija problema ta' skedar, u s-soluzzjoni tas-soltu hija li twaqqaf Postfix, tbiddel main.cf u terġa' tibdieh. Dan jaħdem, u din hija l-forma ħażina, għax tħallat żewġ rekwiżiti: meta għandha tiġi ppruvata l-kunsinna, u liema triq tan-netwerk tista' ġġorrha. It-tieni hija deċiżjoni tal-firewall, u l-ebda direttiva ta' Postfix ma tista' tieħuha. Ladarba tinqasam it-tnejn, kull waħda għandha tweġiba żgħira u ttestjabbli.

Żomm id-destinazzjoni tar-relay stabbli, imblokka l-kunsinna diretta fil-fruntiera tan-netwerk, u ħalli l-kju jagħmel l-istennija.

Żewġ rekwiżiti li n-nies jgħaqqdu f'waħda

Ir-relay jgħid lil Postfix fejn għandu jgħaddi l-posta; relayhost = [smtp.corp.example]:587 isemmi host u port, bil-parentesi jrażżnu l-għażla bbażata fuq MX għal dak il-hop li jmiss. It-triq tgħid lill-kernel fejn il-pakketti jistgħu jmorru. relayhost korrett mingħajr restrizzjoni tat-triq xorta jħalli lil Postfix jilħaq l-internet direttament meta t-tabella tar-routing tippermettih, u firewall korrett b'relayhost żbaljat jibgħat il-posta fil-post żbaljat. L-ebda waħda ma timplika lill-oħra.

Il-mapep tat-trasport, is-sostituzzjonijiet għal kull mittent u r-relays ta' riżerva kollha jixirqilhom l-istess qari. relayhost stabbli mhuwiex prova li kull rotta tal-kunsinna konfigurata tużah, u rotta ta' riżerva li tgħaddi minn ħdejn ir-relay hija l-istess falliment b'kamuflaġġ aħjar.

X'jagħmel tassew defer_transports

defer_transports iżżomm il-messaġġi għat-trasports imsemmija, sabiex l-ebda tentattiv ta' kunsinna ma jsir sakemm dawra tal-kju tmisshom. Dan huwa kontroll tal-iskedar, u flush tal-kju jegħlebha; dan huwa d-disinn u mhux difett. Uża l-ismijiet veri tat-trasport minn master.cf, għax trasport personalizzat jew trasport tar-relay imsemmi separatament mhuwiex kopert biss għax il-programm tiegħu jitkellem ukoll SMTP. It-tentattiv mill-ġdid ordinarju huwa mekkaniżmu ieħor: b'triq fail-closed, it-tentattivi tal-kunsinna sempliċement jonqsu u jibqgħu fil-kju, mingħajr ebda direttiva ta' dewmien.

Il-fallimenti permanenti ma jistennewx bil-korteżija. Riċevitur ħażin jew kredenzjali miċħuda jaqbeż lura jew jibqa' mwaħħal bħala żball iebes minflok ma joqgħod sakemm jidher it-tunnel, għalhekk kju mimli posta mdewmna mhuwiex awtomatikament kju sigur.

Infurza t-triq fil-livell tan-netwerk

Ir-restrizzjoni tappartjeni għall-fruntiera tal-ħruġ lokali jew ġewwa spazju tal-ismijiet tan-netwerk iżolat. Trid tkopri l-indirizzi veri tar-relay, it-trasport u l-port, inkluż IPv6 jekk ikun attivat, għax regola li timblokka TCP 25 ma tagħmel xejn għal relay fuq 587 jew 465. Żomm il-loopback u r-rotot tal-issottomettiment lokali separati sabiex il-kju nnifsu jibqa' jaħdem. Il-politika għandha tibqa' magħluqa meta r-rotta tat-tunnel tisparixxi jew terġa' tidher taħt isem ieħor tal-interface.

Avveniment li l-interface titla' mhuwiex prova li r-relay jintlaħaq minnha. Huwa għalhekk li hook li jiċċekkja l-link u mbagħad ifarrag il-kju huwa komodità u mhux garanzija: il-link tista' tinbidel bejn il-verifika u t-tentattiv tal-kunsinna.

Ipprovah b'messaġġ wieħed bla ħsara

Ibgħat messaġġ wieħed bla ħsara b'VPN 'l isfel, imbagħad iċċekkja postqueue -p għar-raġuni tad-dewmien u l-ID tal-kju. Erġa' stabbilixxi t-triq maħsuba u itlob dawra tal-kju kkontrollata, filwaqt li tara jekk il-messaġġ joħroġx mir-relay u mhux minn x'imkien ieħor. Imbagħad erġa' aqta' t-triq f'nofs it-titjira u kkonferma li l-messaġġ jerġa' lura fil-kju. Irrevedi maximal_queue_lifetime qabel ma tiddeċiedi kemm tista' ddum waqfa, għax valur ta' żero jfisser tentattiv wieħed u mhux żamma bla limitu.

Immonitorja l-età tal-kju u l-użu tad-diska. Politika li tistenna l-VPN issir waqfa tal-posta jekk ħadd ma jinduna li l-kju ilu jikber minn il-Ġimgħa.

Irreġistra r-relay, it-trasport, ir-regola tal-firewall u l-għomor flimkien. Dawk l-erbgħa jiddeskrivu l-arranġament; kwalunkwe waħda minnhom waħedha tiddeskrivi konġettura.