Postfix反垃圾郵件技術(shù).ppt

1、Postfix反垃圾郵件技術(shù)，中國(guó)反垃圾郵件聯(lián)盟http:/anti- wxy，ChinaUnix系列講座，目錄，Postifx信封過(guò)濾Postfix信頭和信件過(guò)濾應(yīng)用外部過(guò)濾軟件，綜述，垃圾郵件服務(wù)器連接控制內(nèi)容過(guò)濾速率控制SMTP階段的主要防止騷擾手段、IP訪問(wèn)限制RBL訪問(wèn)控制文件形式檢查FQDN名稱檢查RFC 821形式檢查DNS檢查登錄的域逆向查詢， 信息訪問(wèn)控制HELO信息MAIL FROM信息RCPT TO信息內(nèi)容過(guò)濾規(guī)則匹配語(yǔ)法分析、Postifx信封過(guò)濾、信封過(guò)濾、信封過(guò)濾是SMTP會(huì)話信封過(guò)濾默認(rèn)為RCPT TO 這是因?yàn)槟承￤indows上的郵件客戶端不會(huì)處理RCPT T

2、O命令的先前過(guò)濾操作。 可以通過(guò)將smtpd_delay_reject設(shè)置為no立即啟用過(guò)濾器行為。 smtpd_delay_reject還會(huì)影響可用于不同命令的過(guò)濾規(guī)則殘奧參數(shù)。 缺省情況下，可以接受每個(gè)信封過(guò)濾階段支持的所有規(guī)則，但需要RCPT TO命令才能使所有規(guī)則生效。如果將smtpd_delay_reject設(shè)置為no，則可以接受五個(gè)通用規(guī)則殘奧參數(shù)，前一個(gè)子代信封中包含的各信息或連接IP(client )，在SMTP連接時(shí)，得到可由smtpd_client_restrictions限制的連接目的地(helo )。 在發(fā)送EHLO命令時(shí)發(fā)送由smtpd_helo_restrictio

3、ns得到的MAIL FROM命令時(shí)由smtpd_sender_restrictions限制接收者，在發(fā)送RCPT TO命令時(shí)規(guī)則通常放在規(guī)則列表的末尾，使規(guī)則更加明確。 defer會(huì)通知客戶端會(huì)話無(wú)法繼續(xù)，并在以后執(zhí)行SMTP連接請(qǐng)求。 如果服務(wù)器需要DNS檢查，但是沒(méi)有立即得到結(jié)果(因?yàn)镈NS查詢超時(shí))，則通知客戶端稍后進(jìn)行連接。 規(guī)則通常放在規(guī)則列表的末尾，使規(guī)則更加明確。通用約束(2)和reject拒絕此連接請(qǐng)求。 在此階段，連接中斷，有效地減少了垃圾郵件帶寬和處理能力的浪費(fèi)。 規(guī)則通常放在規(guī)則列表的末尾，使規(guī)則更加明確。 默認(rèn)情況下，拒絕操作在與拒絕規(guī)則匹配時(shí)不會(huì)立即斷開(kāi)連接。 可以通

4、過(guò)將smtpd_delay_reject設(shè)置為no立即發(fā)送拒絕狀態(tài)代碼斷開(kāi)連接。 reject_code指定拒絕的返回狀態(tài)代碼(默認(rèn)值為554 )。 共同約束條件(3)和warn_if_reject將以下規(guī)則的拒絕行為更改為警告： 也就是說(shuō)，如果滿足拒絕條件，則向日志文件發(fā)送警告消息(reject_warning )，而不是實(shí)際拒絕(正常)。 在實(shí)際運(yùn)行的郵件服務(wù)器上測(cè)試郵件過(guò)濾規(guī)則時(shí)經(jīng)常使用這種方法。 reject_unauth_pipelining拒絕在Postfix支持指令管線之前發(fā)送SMTP指令管線的客戶機(jī)連接。 指令管線是一些郵件用戶為了快速發(fā)送郵件而采用的技術(shù)。 訪問(wèn)數(shù)據(jù)庫(kù)。 訪問(wèn)

5、數(shù)據(jù)庫(kù)是Postfix用于確定拒絕或接收郵件的數(shù)據(jù)庫(kù)。 通過(guò)訪問(wèn)數(shù)據(jù)庫(kù)，您可以拒絕或接收特定的主機(jī)名、域名、網(wǎng)絡(luò)地址和電子郵件地址。 通常，訪問(wèn)數(shù)據(jù)庫(kù)是使用postmap命令從文本文件輸入的db或dbm格式的散列文件。 當(dāng)樣式表達(dá)式操作與樣式表達(dá)式匹配時(shí)，數(shù)據(jù)庫(kù)的格式將觸發(fā)相應(yīng)的操作。 忽略數(shù)據(jù)庫(kù)中的空行和以“#”開(kāi)頭的行。 以空格開(kāi)頭的行繼續(xù)前一行。 userdomain.tld使用特定郵件地址domain.tld與特定郵件的域相匹配的格式來(lái)表示數(shù)據(jù)庫(kù)中的郵件地址、非正則表達(dá)式以及郵件地址。 用戶匹配的所有本地部分(郵件用戶名)都沒(méi)有用戶的郵件地址匹配郵件地址。 此值()由smtpd_nul

6、l_access_lookup_key指定。中的組合圖層性質(zhì)變更選項(xiàng)。 訪問(wèn)數(shù)據(jù)庫(kù)中的主機(jī)名和地址、非正則表達(dá)式以表示主機(jī)名和地址時(shí)，domain.tld的格式與特定消息的域相匹配。 如果在parent _ domain _ matches _ subdomain s中指定了smtpd_access_maps (默認(rèn))，則該域的子域也將匹配。 否則，必須使用. doamin.tld格式(注意前面的內(nèi)容)分別匹配子域。 net.work.addr.ess net.work.addr net.work網(wǎng)絡(luò)匹配網(wǎng)絡(luò)地址。 注意：不支持CIDR (無(wú)網(wǎng)絡(luò)地址、網(wǎng)絡(luò)/網(wǎng)絡(luò)掩碼格式)。訪問(wèn)數(shù)據(jù)庫(kù)中的操作和

7、訪問(wèn)數(shù)據(jù)庫(kù)時(shí)，45NN text拒絕消息，支持?jǐn)?shù)字拒絕狀態(tài)代碼和返回消息的操作REJECT text拒絕消息，拒絕狀態(tài)好的，我接受這封郵件。 數(shù)字和OK一樣，接受這個(gè)郵件。 DUNNO跳過(guò)該規(guī)則，繼續(xù)處理下一個(gè)規(guī)則。 以訪問(wèn)數(shù)據(jù)庫(kù)中的某個(gè)操作。 HOLD text將消息排入hold隊(duì)列，并在郵件日志中記錄可選消息或公用消息。 hold隊(duì)列中的消息可以通過(guò)postcat命令顯示，也可以通過(guò)postsuper刪除或發(fā)送。 DISCARD text在成功接收郵件后不會(huì)發(fā)送，而是靜靜地丟棄郵件，并在郵件日志中記錄可選郵件或通用郵件。 過(guò)濾器傳輸： nexthop將此消息發(fā)送到郵件過(guò)濾器進(jìn)行處理。 UC

8、E規(guī)則應(yīng)用UCE規(guī)則(如permit、reject_unauth_destination )以及在smtpd_restriction_classes中定義的規(guī)則類。連接IP過(guò)濾器、Postfix在接收到客戶端側(cè)的SMTP連接請(qǐng)求時(shí)，可以進(jìn)行過(guò)濾器檢查。 默認(rèn)情況下，允許任何客戶端連接。 可以使用Postfix的smtpd_client_restrictions命令指定此階段的過(guò)濾規(guī)則。 此階段可用的過(guò)濾器規(guī)則包括通用規(guī)則以及reject _ unknown _ client permit _ my networks reject _ rbl _ client domain.TLD reject

9、 _ RH SBS。 0映射名稱，連接IP過(guò)濾規(guī)則(1)， reject_unknown_client拒絕沒(méi)有與客戶端地址相對(duì)應(yīng)的DNS PTR記錄的連接。請(qǐng)注意漫游用戶的使用，因?yàn)橐恍┰O(shè)備(特別是個(gè)人撥號(hào)用戶的設(shè)備)通常沒(méi)有相對(duì)應(yīng)的ptr記錄不在$mynetworks中的用戶，例如連接到另一個(gè)ISP撥號(hào)網(wǎng)絡(luò)的用戶，通常通過(guò)SMTP認(rèn)證來(lái)解決此問(wèn)題。) unknown_client_reject_code指定拒絕的返回狀態(tài)代碼(默認(rèn)值為450 )。 連接IP過(guò)濾規(guī)則(2)。 permit_mynetworks允許來(lái)自屬于IP地址由$mynetworks定義的網(wǎng)絡(luò)的客戶機(jī)的連接。 通常，當(dāng)ISP

10、為自己的撥號(hào)用戶提供SMTP服務(wù)時(shí)，可以使用$mynetworks殘奧儀表指定自己的網(wǎng)絡(luò)，以便網(wǎng)絡(luò)中的計(jì)算機(jī)可以發(fā)送郵件。 check _ client _ access映射：映射名稱將搜索名為映射名稱的映射類型的訪問(wèn)數(shù)據(jù)庫(kù)。 可以根據(jù)客戶端的主機(jī)名、父域、IP地址或某些IP地址進(jìn)行匹配。 連接IP過(guò)濾規(guī)則(3)、reject_RBL_client domain.tld和reject_RHSBL_client domain.tld拒絕來(lái)自屬于rbl和rhsbl列表的地址的連接IP地址(反轉(zhuǎn)) 或者通過(guò)檢查域名是否存在于domain.tld的RBL或RHSBL中，可以確定該客戶端是否列入doma

11、in.tld的實(shí)時(shí)黑名單，并確定是否接受該連接。 maps_rbl_reject_code指定拒絕的返回狀態(tài)代碼(默認(rèn)值為554 )。 連接IP過(guò)濾器的范例： smtpd _ client _ restrictions=check _ client _ access hash 3360/etc/postfix/access _。 客戶端版本，客戶端版本，reject _ rbl _客戶端版本， permiing有些郵件客戶端可以通過(guò)將smtpd_helo_required設(shè)置為yes來(lái)強(qiáng)制發(fā)送HELO/EHLO命令，而無(wú)需在通信時(shí)發(fā)送HELO/EHLO命令(默認(rèn)Postfix請(qǐng)求發(fā)送可以使用P

12、ostfix的smtpd_helo_restrictions命令指定此階段的過(guò)濾規(guī)則。此階段可用的過(guò)濾規(guī)則包括公用規(guī)則和smtpd_client_restrictions規(guī)則，以及reject _ invalid _ hostname reject _ unknown _ hostname reject。 k _ client _ access映射：映射名稱、連接端過(guò)濾器規(guī)則(1)和reject_invalid_hostname拒絕以無(wú)效格式連接主機(jī)名。 invalid_hostname_reject_code指定拒絕的返回狀態(tài)代碼(默認(rèn)值為501 )。 reject_non_fqdn_hos

13、tname拒絕主機(jī)名不是FQDN格式的連接。 non_fqdn_reject_code指定拒絕的返回狀態(tài)代碼(默認(rèn)為504 )。 連接器過(guò)濾規(guī)則(2)和reject_unknown_hostname拒絕未知主機(jī)名的連接。 未知的主機(jī)名表示該主機(jī)沒(méi)有DNS的a或MX記錄。 由于許多撥號(hào)用戶的設(shè)備沒(méi)有相應(yīng)的a或MX記錄，所以撥號(hào)用戶的連接會(huì)反彈，但如果設(shè)置為允許以前通過(guò)SASL認(rèn)證的用戶發(fā)送，則通過(guò)SASL認(rèn)證的用戶不受影響。 因此，可以安裝使用，具有減少垃圾郵件的效果。 unknown_hostname_reject_code指定拒絕的返回狀態(tài)代碼(默認(rèn)值為450 )。 另外，連接側(cè)過(guò)濾規(guī)則(3

14、)、permit_naked_ip_address允許直接使用IP地址進(jìn)行連接。 主機(jī)名通常用于HELO/EHLO而不是IP地址。 check _ client _ access映射：映射名稱將搜索名為映射名稱的映射類型的訪問(wèn)數(shù)據(jù)庫(kù)。 可以根據(jù)從HELO/EHLO發(fā)送的主機(jī)名、父域進(jìn)行匹配。 連接側(cè)濾波器的示例： smtpd _ help _ restrictions=check _ client _ access hash 3360/etc/postfix/access _ hast reject _ unknown _ hostname，發(fā)送者RFC規(guī)范要求MAIL FROM和以下RCPT

15、 TO命令使用RFC 821格式的郵件地址，但許多郵件客戶端使用新的RFC 822格式的郵件地址。 要打開(kāi)對(duì)RFC 821格式的限制，請(qǐng)將strict_rfc821_envelopes設(shè)置為yes。 可以使用Postfix的smtpd_sender_restrictions命令指定此階段的過(guò)濾規(guī)則。 在此階段，除了公共規(guī)則、smtpd_client_restrictions規(guī)則和smtpd_helo_restrictions規(guī)則之外，還可以使用reject_unknown_sender_。 接入映射3360映射名稱注冊(cè)_ FQDN _發(fā)送者注冊(cè)_最小匹配、發(fā)送者過(guò)濾規(guī)則(1)、unknown_

16、address_reject_code 如果在執(zhí)行DNS查詢時(shí)出現(xiàn)臨時(shí)錯(cuò)誤(例如，查詢超時(shí))，也始終返回450。 拒絕reject_non_fqdn_sender發(fā)件人郵件的域不是FQDN格式的連接。 non_fqdn_reject_code指定拒絕的返回狀態(tài)代碼(默認(rèn)值為504 )。 發(fā)送者過(guò)濾規(guī)則(2)、reject_RHSBL_sender domain.tld拒絕發(fā)送者郵件域?qū)儆趓hsbl黑名單的連接。 通過(guò)檢查域名是否存在于domain.tld的RHSBL中，可以判斷該客戶端是否列入domain.tld的實(shí)時(shí)黑名單中，并決定是否接受該連接。 maps_rbl_reject_code指定拒絕的返回狀態(tài)代碼(默認(rèn)值為554 )。 check _ sender _ access映射：映射名稱將搜