ubuntu邮件服务器安全防护

Ubuntu邮件服务器安全防护清单

一 基础加固与访问控制

• 系统与软件更新：保持系统与软件包为最新，及时修补漏洞，减少被入侵面。
• 防火墙最小化放行：仅开放必要端口，默认拒绝入站、允许出站。
• 服务最小化：关闭未使用的端口与服务，降低攻击面。
• 强认证与登录安全：禁用root远程登录，使用SSH密钥认证，设置强密码策略与必要的2FA。
• 邮件访问控制：在Postfix中使用基于IP/用户的访问控制与SASL认证，限制非法发信与滥用。

二 端口与加密配置

• 端口用途与放行建议
  • 25/TCP：SMTP（MTA间通信/入站），服务器对外或对等开放。
  • 587/TCP：Submission（客户端提交），建议强制STARTTLS。
  • 465/TCP：SMTPS（隐式SSL），如需兼容老旧客户端可开启。
  • 143/TCP：IMAP（明文），建议启用STARTTLS。
  • 993/TCP：IMAPS（隐式SSL）。
  • 110/TCP：POP3（明文），建议启用STARTTLS。
  • 995/TCP：POP3S（隐式SSL）。
• UFW示例（按需精简）
  • sudo ufw default deny incoming
  • sudo ufw default allow outgoing
  • sudo ufw allow 25,587,465,143,993,110,995/tcp
  • 如需仅内网管理：sudo ufw allow from 管理网段 to any port 25,143,110
• TLS/SSL配置要点
  • 生产环境使用Let’s Encrypt证书（Certbot），自动部署到Postfix/Dovecot。
  • 验证示例：openssl s_client -connect yourdomain.com:587 -starttls smtp
  • 客户端推荐：SMTP 587/STARTTLS 或 465/SSL；IMAP 993/SSL；POP3 995/SSL。

三 反垃圾与身份认证

• 邮件身份验证
  • SPF：在DNS发布发信策略，声明合法发送网段/主机。
  • DKIM：用私钥签名邮件头，收件端用DNS公钥验证，提升可信度。
  • DMARC：基于SPF/DKIM结果给出处理策略（none/quarantine/reject），降低域名被冒用风险。
• 反垃圾技术
  • SpamAssassin：内容评分与规则过滤，降低垃圾邮件命中率。
  • Postgrey：灰名单机制，临时拒收后再接纳合规重试，显著削减垃圾量。
  • RBL/DNSBL：对接实时黑名单，拦截已知垃圾源与僵尸网络。

四 入侵防御与日志审计

• 暴力破解防护
  • Fail2Ban：监控SMTP/IMAP/POP3认证失败，自动封禁来源IP。
  • 示例（/etc/fail2ban/jail.local）：
    • [DEFAULT] bantime = 600；maxretry = 3
    • [postfix] enabled = true；port = smtp,imap,pop3；logpath = /var/log/mail.log
• 监控与审计
  • 集中监控与告警（如Nagios），日志分析与报表（如Logwatch），及时发现异常登录、暴力尝试与投递异常。

五 快速实施步骤

• 更新与加固
  • sudo apt update & & sudo apt full-upgrade -y
  • 禁用root远程登录，配置SSH密钥，设置强密码策略
• 防火墙与端口
  • 启用UFW，仅放行25/587/465/143/993/110/995
• 证书与加密
  • 安装Certbot：sudo apt install certbot python3-certbot-postfix
  • 获取并部署证书：sudo certbot --postfix -d yourdomain.com
  • 验证：openssl s_client -connect yourdomain.com:587 -starttls smtp
• 反垃圾与认证
  • 安装与启用：SpamAssassin、Postgrey、OpenDKIM
  • 配置SPF/DKIM/DMARC的DNS记录
• 入侵防御
  • 安装并启用Fail2Ban，针对postfix jail配置封禁阈值与日志路径
• 重启与验证
  • sudo systemctl restart postfix dovecot fail2ban
  • 使用客户端与telnet/OpenSSL测试各端口加密与会话流程，检查日志无异常

声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！