Cet article présente quelques changements de configuration simples que vous pouvez implémenter sur une installation de Postfix sur votre serveur de messagerie pour réduire le spam.
Activer les listes noires en temps réel
Les listes noires en temps réel (RBL) sont des listes d'adresses IP (Internet Protocol) associées à des spammeurs connus. Ces listes sont généralement gratuites.
Vous pouvez configurer Postfix pour vérifier les adresses IP des messages entrants par rapport à un ou plusieurs RBL. S'il y a correspondance, votre serveur n'autorise pas l'expéditeur à transmettre le message. L'activation des RBL est un moyen simple d'arrêter jusqu'à 50 % de votre trafic de spam.
Vous configurez les RBL sous le smtpd_recipient_restrictions paramètre dans le fichier de configuration principal de Postfix, qui se trouve généralement dans /etc/postfix/main.cf . L'exemple de fichier de configuration Postfix suivant utilise six RBL différents :
smtpd_recipient_restrictions =
reject_rbl_client zen.spamhaus.org,
reject_rbl_client bl.spamcop.net,stop
reject_rbl_client dnsbl.sorbs.net,
reject_rbl_client cbl.abuseat.org,
reject_rbl_client b.barracudacentral.org,
reject_rbl_client dnsbl-1.uceprotect.net,
permit
Après avoir implémenté cette configuration, des entrées similaires à l'exemple suivant apparaissent dans vos journaux de messagerie :
Dec 17 15:58:24 mailserver postfix/smtpd[15573]: NOQUEUE: reject: RCPT from unknown[204.12.225.53]: 554 5.7.1 Service unavailable; Client host [204.12.225.53] blocked using zen.spamhaus.org; https://www.spamhaus.org/sbl/query/SBLCSS / https://www.spamhaus.org/query/bl?ip=204.12.225.53; from=<[email protected]> to=<[email protected]> proto=ESMTP helo=<hse53.lifeyjingu.com>
Les RBL sont généralement utilisées en conjonction avec d'autres techniques et outils de lutte contre le spam tels qu'Apache® SpamAssasin™. Cependant, étant donné que SpamAssassin peut être très gourmand en unité centrale de traitement (CPU), réduire de moitié le trafic de spam en utilisant d'abord les RBL peut économiser de précieuses ressources CPU sur votre serveur de messagerie.
En plus d'inclure les RBL, vous pouvez également ajouter certaines des options de configuration suivantes sous smtpd_recipient_restrictions paramètre dans le fichier de configuration :
-
reject_invalid_hostname:Rejette la requête lorsque le nom d'hôte HELO ou EHLO est malformé. Cette option peut empêcher les bots mal programmés d'envoyer des spams à votre serveur. -
reject_unknown_recipient_domain:Rejette la requête lorsque Postfix n'est pas la destination finale pour le domaine du destinataire. Cette option peut empêcher votre serveur d'être utilisé comme relais ouvert. -
reject_unauth_pipelining:Rejette la demande lorsque le client envoie des commandes SMTP (Simple Mail Transfer Protocol) à l'avance là où cela n'est pas autorisé. Cette option arrête les e-mails provenant d'un logiciel de messagerie en masse qui utilise de manière inappropriée le pipelining de commandes SMTP étendu (ESMTP) pour accélérer les livraisons. -
reject_unauth_destination:Cette option est similaire aureject_unknown_recipient_domainoption. Cependant, avecreject_unauth_destination, l'une des conditions suivantes doit être remplie pour que Postfix accepte le message :- Postfix est le redirecteur de courrier pour le domaine (tel que défini dans le paramètre
relay_domains parameter). - Postfix est la destination finale du domaine.
- Postfix est le redirecteur de courrier pour le domaine (tel que défini dans le paramètre
S'il y a des adresses IP ou des réseaux que vous ne souhaitez pas filtrer de votre serveur de messagerie, vous pouvez ajouter le permit_mynetworks option sous smtpd_recipient_restrictions pour ajouter ces IP à la liste blanche. Vous devez également vous assurer que vous définissez ces réseaux sous my_networks paramètre dans le fichier de configuration.
L'exemple suivant smtpd_recipient_restrictions paramètre dans le fichier de configuration de Postfix utilise toutes les options de configuration précédentes :
smtpd_recipient_restrictions =
reject_invalid_hostname,
reject_unknown_recipient_domain,
reject_unauth_pipelining,
permit_mynetworks,
reject_unauth_destination,
reject_rbl_client zen.spamhaus.org,
reject_rbl_client bl.spamcop.net,
reject_rbl_client dnsbl.sorbs.net,
reject_rbl_client cbl.abuseat.org,
reject_rbl_client b.barracudacentral.org,
reject_rbl_client dnsbl-1.uceprotect.net,
permit
Remarque :Si vous avez besoin de paramètres de configuration supplémentaires sous smtpd_recipient_restrictions , vous pouvez les ajouter en bas de cette liste, au-dessus du permit option.