Page]ホーム>オリジナルドキュメント>Postfixでのspam対策このページでは、メールサーバの不正利用を防ぐための対策方法、そして不正利用されたサーバからのメールを拒否する方法を紹介します。spamメールの問題点などについては、あやむらさんのSPAMの現状と対策が詳しいです。Postfixはsendmailよりも安全なMTAとはいっても、設定によってはsendmailよりも簡単に危険なspam大量生産マシンにすることができます(なにしろ設定ファイルの書き方簡単ですから...)。そのため、メールサーバの設定はやはり注意深くやる必要があります。abortコマンドを実行し、Postfixを緊急停止させます。stopでは現在処理中のものは処理を続けてしまいます。/宛以外のメールは中継しません。不正中継を防ぐには、まずはじめにこの2つのパラメータを適切に設定する必要があります。ここで指定されたホストはPostfixが全面的に信頼できるホストとみなしてしまうので、この中に不正な中継を許す設定になっているホストがあると、せっかくの設定も無意味になってしまいます。「外部からのSMTP接続に認証を求める」のような方法を使って、特定のユーザのみが送信できるように設定しましょう。PostfixにIPやホスト名を指定して許可することも可能ですが、不特定多数が使用するISPのドメインを指定すると、同じISPのユーザがspamメールをリレーさせようとすることを阻止できませんし、IPやホスト名が偽られる可能性も否定できません。送信者アドレスによるリレーチェックは全く意味がありません。Postfixには不正なクライアント対策のパラメータがたくさんありますが、クライアント側の設定の不備などにより通常のメールも受け取れなくなる可能性があるので、気をつけて設定する必要があります。HELOコマンドの設定が間違ったホストが多いようですので、これを制限すると必要なメールが受け取れなくなってしまうことがあります。イントラネット外では指定しない方が無難なようです。関連するパラメータの多くはSMTPD_ACCESS_READMEのSMTPアクセス制限リストによる選択にあります。設定の内容を理解するまでは、smtpd_*_restrictionsの設定はデフォルトから変更しない方が安全かもしれません。relay-test.mail-abuse.orgとします。自動的にtelnetを実行したホストへアクセスし、十数個の不正なメール中継のチェックがおこなわれます。自分の管理下外のホストに対するチェックは不正アクセスになるので、決してチェックしてはいけません。管理者によってはユーザがこのようなチェックを行なうことを嫌うサイトもあります。実行は各自の責任において行なってください。このテストを全てパスするためには19991229以降のバージョンのPostfixが必要です。それ以前のものは、構造上一部でチェックしきれないものがあります。問題ありませんが、念のためバージョンアップして完全にテストをパスすることを確認する方がよいでしょう。http://www.abuse.net/relay.html、http://www.paladincorp.com.au/unix/spam/spamlart/でもおこなうことができます。RBL.jpはrelay-test.mail-abuse.orgとほぼ同様なチェックがおこなわれます。abuse.netではユーザ登録することで実際にメールを送信してリレーをチェックするようです。これらのテストは最低限のチェックであり、テストをパスしたからといって、全く問題がないとは限りません。個別のユーザに対する制限を緩めていたりすると、それが問題になることもあり得るので、このテストだけで慢心しないようにしてください。sendmailのオプション-btはPostfixではエラーになります。checkでおこなえますが、送信者やクライアントホストに関するルールのチェックはできません。出先からメールを送信できないなどの問題が生じます。(通常は自ドメイン宛のメールは認証なしに受け取る必要があります)。SMTPによる方法の2通りの方法があります。AUTHを実装していないメーラでも問題なく使えるため、以前からよく使われている方法です。SMTPと併用して使われている例が増えているようです。AUTHはバージョン1.1.0以降で組み込まれています。バージョン2.1.5での私のインストール記録を載せておきます。Lab.にはSMTP-AUTHが使えるWindowsメイラーが紹介紹介されていました。認証が成功したホストからの中継を一定時間のみ許可するというものです。実装方法は関連リンクの各実装例を参照してください。ブラックリストの活用インターネット上には非常に多くのホストが接続されており、メールの第三者中継を許可してしまっているホストも相当数あります。これらのホストを中継して送られるspamを防ぐために、オープンリレーのホストをブラックリストに載せて公開しているサイトがあります。domain.tldを加えます。domain.tldに掲載されているホストからのメールの送信を拒否します。取引先などよくメールを受け取る相手のサイトがリストに載ってしまうと、メールを受け取れなくなって業務に支障をきたす場合も考えられるので、設定する際にはログを監視するなど十分に気をつけるべきでしょう。近年突然のサービス停止やサービスホスト名の変更が相次いでいます。指定されたサービスが停止すると、検索がタイムアウトするまで待たされたり、不正な応答により問題ないメールまでブロックしてしまう可能性があります。利用する場合、そのサービスに関する情報を継続的に入手するようにしてください。Services(英語です)をご覧下さい。ページも大変参考になります。長崎ネットワークサービスさんのサイトが役にたつでしょう。RBL情報が更新されていないようなので削除しました[元記事]。Enterprises社との契約が2001年4月末で終了し、更新しないことを決めたために、今後は使用できなくなるようです。情報Thanks!>玉岡さん2001.6.6ORBSは現在使用できなくなっており、どうやら閉鎖された模様です。maps_rbl_domainsから外しておく方が無難だと思われます。サイトのサービス停止がかなりあるようです。