Postfix, VPN na smarthost: foleni si firewall

Kushikilia barua kwenye foleni hadi VPN ipande ni tatizo la upangaji, na suluhisho la kawaida ni kusimamisha Postfix, kubadilisha main.cf na kuiwasha tena. Hilo hufanya kazi, na ni umbo lisilofaa, kwa sababu linachanganya mahitaji mawili: lini uwasilishaji ujaribiwe, na njia ipi ya mtandao inaweza kuibeba. La pili ni uamuzi wa firewall, na hakuna maagizo ya Postfix yanayoweza kuufanya. Mara mbili zikitenganishwa, kila moja lina jibu dogo na linalojaribika.

Weka lengo la relay imara, zuia uwasilishaji wa moja kwa moja kwenye mpaka wa mtandao, na acha foleni ifanye kusubiri.

Mahitaji mawili ambayo watu huyachanganya kuwa moja

Relay huambia Postfix wapi pa kukabidhi barua; relayhost = [smtp.corp.example]:587 hutaja mwenyeji na bandari, na mabano huzuia uchaguzi wa MX kwa hop inayofuata. Njia huambia kerneli wapi pakiti zinaweza kwenda. relayhost sahihi bila kizuizi cha njia bado huruhusu Postfix kufikia intaneti moja kwa moja wakati jedwali la njia linaruhusu, na firewall sahihi yenye relayhost isiyo sahihi hutuma barua mahali pasipofaa. Hakuna moja linalohusisha lingine.

Ramani za usafirishaji, mabadiliko kwa kila mtumaji na relay mbadala kila moja inastahili usomaji huo. relayhost imara si uthibitisho kwamba kila njia ya uwasilishaji iliyowekwa inaitumia, na njia mbadala inayopita relay ni hitilafu hiyo hiyo katika ufichaji bora.

defer_transports hufanya nini hasa

defer_transports huzuia ujumbe kwa usafirishaji uliotajwa, hivyo hakuna jaribio la uwasilishaji linalofanywa hadi mzunguko wa foleni uzigusa. Hii ni udhibiti wa upangaji, na kumwaga foleni huipindua; hiyo ni muundo si kasoro. Tumia majina halisi ya usafirishaji kutoka master.cf, kwa sababu usafirishaji maalum au usafirishaji wa relay uliotajwa kando haujumuishwi kwa sababu tu programu yake pia huzungumza SMTP. Jaribio la kawaida la kurudia ni utaratibu mwingine: kwa njia ya fail-closed, majaribio ya uwasilishaji hushindwa tu na kubaki kwenye foleni, bila maagizo yoyote ya ucheleweshaji.

Hitilafu za kudumu hazisubiri kwa adabu. Mpokeaji mbaya au kitambulisho kilichokataliwa huruka nyuma au hukwama kama hitilafu ngumu badala ya kukaa hadi handaki lionekane, hivyo foleni iliyojaa barua zilizocheleweshwa si foleni salama kiotomatiki.

Lazımisha njia kwenye tabaka la mtandao

Kizuizi ni cha mpaka wa matokeo ya ndani au ndani ya nafasi ya majina ya mtandao iliyotengwa. Lazima ifunike anwani halisi za relay, usafirishaji na bandari, ikiwa ni pamoja na IPv6 ikiwa imewezeshwa, kwa sababu kanuni inayozuia TCP 25 haifanyi chochote kwa relay iliyo kwenye 587 au 465. Weka loopback na njia za uwasilishaji wa ndani kando ili foleni yenyewe iendelee kufanya kazi. Sera inapaswa kubaki imefungwa wakati njia ya handaki inapotea au kuonekana tena chini ya jina lingine la kiolesura.

Tukio la kiolesura kupanda halithibitishi kwamba relay inafikiwa kwa njia hiyo. Ndiyo sababu ndoano inayokagua kiungo kisha kumwaga foleni ni urahisi na si uhakika: kiungo kinaweza kubadilika kati ya ukaguzi na jaribio la uwasilishaji.

Thibitisha kwa ujumbe mmoja usio na madhara

Tuma ujumbe mmoja usio na madhara wakati VPN iko chini, kisha kagua postqueue -p kwa sababu ya ucheleweshaji na kitambulisho cha foleni. Rejesha njia iliyokusudiwa na omba mzunguko wa foleni unaodhibitiwa, ukiangalia kama ujumbe unatoka kupitia relay badala ya mahali pengine. Kisha vunja njia tena katikati ya safari na uthibitishe kwamba ujumbe unarudi kwenye foleni. Pitia maximal_queue_lifetime kabla ya kuamua muda gani hitilafu inaweza kudumu, kwa sababu thamani ya sifuri inamaanisha jaribio moja na si utunzaji usio na kikomo.

Fuatilia umri wa foleni na matumizi ya diski. Sera inayosubiri VPN inakuwa hitilafu ya barua ikiwa hakuna anayegundua kwamba foleni imekuwa ikiongezeka tangu Ijumaa.

Rekodi relay, usafirishaji, kanuni ya firewall na maisha kwa pamoja. Hizo nne zinaelezea mpangilio; yoyote kati yao peke yake inaelezea ubashiri.