Postfix反垃圾郵件技術(shù).ppt

1、Postfix反垃圾郵件技術(shù)，中國反垃圾郵件聯(lián)盟http:/anti- wxy，ChinaUnix系列講座，目錄，Postifx信封過濾Postfix信頭和信件過濾應(yīng)用外部過濾軟件，綜述，垃圾郵件服務(wù)器連接控制內(nèi)容過濾速率控制SMTP階段的主要防止騷擾手段、IP訪問限制RBL訪問控制文件形式檢查FQDN名稱檢查RFC 821形式檢查DNS檢查登錄的域逆向查詢， 信息訪問控制HELO信息MAIL FROM信息RCPT TO信息內(nèi)容過濾規(guī)則匹配語法分析、Postifx信封過濾、信封過濾、信封過濾是SMTP會話信封過濾默認為RCPT TO 這是因為某些Windows上的郵件客戶端不會處理RCPT T

2、O命令的先前過濾操作。 可以通過將smtpd_delay_reject設(shè)置為no立即啟用過濾器行為。 smtpd_delay_reject還會影響可用于不同命令的過濾規(guī)則殘奧參數(shù)。 缺省情況下，可以接受每個信封過濾階段支持的所有規(guī)則，但需要RCPT TO命令才能使所有規(guī)則生效。如果將smtpd_delay_reject設(shè)置為no，則可以接受五個通用規(guī)則殘奧參數(shù)，前一個子代信封中包含的各信息或連接IP(client )，在SMTP連接時，得到可由smtpd_client_restrictions限制的連接目的地(helo )。 在發(fā)送EHLO命令時發(fā)送由smtpd_helo_restrictio

3、ns得到的MAIL FROM命令時由smtpd_sender_restrictions限制接收者，在發(fā)送RCPT TO命令時規(guī)則通常放在規(guī)則列表的末尾，使規(guī)則更加明確。 defer會通知客戶端會話無法繼續(xù)，并在以后執(zhí)行SMTP連接請求。 如果服務(wù)器需要DNS檢查，但是沒有立即得到結(jié)果(因為DNS查詢超時)，則通知客戶端稍后進行連接。 規(guī)則通常放在規(guī)則列表的末尾，使規(guī)則更加明確。通用約束(2)和reject拒絕此連接請求。 在此階段，連接中斷，有效地減少了垃圾郵件帶寬和處理能力的浪費。 規(guī)則通常放在規(guī)則列表的末尾，使規(guī)則更加明確。 默認情況下，拒絕操作在與拒絕規(guī)則匹配時不會立即斷開連接。 可以通

4、過將smtpd_delay_reject設(shè)置為no立即發(fā)送拒絕狀態(tài)代碼斷開連接。 reject_code指定拒絕的返回狀態(tài)代碼(默認值為554 )。 共同約束條件(3)和warn_if_reject將以下規(guī)則的拒絕行為更改為警告： 也就是說，如果滿足拒絕條件，則向日志文件發(fā)送警告消息(reject_warning )，而不是實際拒絕(正常)。 在實際運行的郵件服務(wù)器上測試郵件過濾規(guī)則時經(jīng)常使用這種方法。 reject_unauth_pipelining拒絕在Postfix支持指令管線之前發(fā)送SMTP指令管線的客戶機連接。 指令管線是一些郵件用戶為了快速發(fā)送郵件而采用的技術(shù)。 訪問數(shù)據(jù)庫。 訪問

5、數(shù)據(jù)庫是Postfix用于確定拒絕或接收郵件的數(shù)據(jù)庫。 通過訪問數(shù)據(jù)庫，您可以拒絕或接收特定的主機名、域名、網(wǎng)絡(luò)地址和電子郵件地址。 通常，訪問數(shù)據(jù)庫是使用postmap命令從文本文件輸入的db或dbm格式的散列文件。 當樣式表達式操作與樣式表達式匹配時，數(shù)據(jù)庫的格式將觸發(fā)相應(yīng)的操作。 忽略數(shù)據(jù)庫中的空行和以“#”開頭的行。 以空格開頭的行繼續(xù)前一行。 userdomain.tld使用特定郵件地址domain.tld與特定郵件的域相匹配的格式來表示數(shù)據(jù)庫中的郵件地址、非正則表達式以及郵件地址。 用戶匹配的所有本地部分(郵件用戶名)都沒有用戶的郵件地址匹配郵件地址。 此值()由smtpd_nul

6、l_access_lookup_key指定。中的組合圖層性質(zhì)變更選項。 訪問數(shù)據(jù)庫中的主機名和地址、非正則表達式以表示主機名和地址時，domain.tld的格式與特定消息的域相匹配。 如果在parent _ domain _ matches _ subdomain s中指定了smtpd_access_maps (默認)，則該域的子域也將匹配。 否則，必須使用. doamin.tld格式(注意前面的內(nèi)容)分別匹配子域。 net.work.addr.ess net.work.addr net.work網(wǎng)絡(luò)匹配網(wǎng)絡(luò)地址。 注意：不支持CIDR (無網(wǎng)絡(luò)地址、網(wǎng)絡(luò)/網(wǎng)絡(luò)掩碼格式)。訪問數(shù)據(jù)庫中的操作和

7、訪問數(shù)據(jù)庫時，45NN text拒絕消息，支持數(shù)字拒絕狀態(tài)代碼和返回消息的操作REJECT text拒絕消息，拒絕狀態(tài)好的，我接受這封郵件。 數(shù)字和OK一樣，接受這個郵件。 DUNNO跳過該規(guī)則，繼續(xù)處理下一個規(guī)則。 以訪問數(shù)據(jù)庫中的某個操作。 HOLD text將消息排入hold隊列，并在郵件日志中記錄可選消息或公用消息。 hold隊列中的消息可以通過postcat命令顯示，也可以通過postsuper刪除或發(fā)送。 DISCARD text在成功接收郵件后不會發(fā)送，而是靜靜地丟棄郵件，并在郵件日志中記錄可選郵件或通用郵件。 過濾器傳輸： nexthop將此消息發(fā)送到郵件過濾器進行處理。 UC

8、E規(guī)則應(yīng)用UCE規(guī)則(如permit、reject_unauth_destination )以及在smtpd_restriction_classes中定義的規(guī)則類。連接IP過濾器、Postfix在接收到客戶端側(cè)的SMTP連接請求時，可以進行過濾器檢查。 默認情況下，允許任何客戶端連接。 可以使用Postfix的smtpd_client_restrictions命令指定此階段的過濾規(guī)則。 此階段可用的過濾器規(guī)則包括通用規(guī)則以及reject _ unknown _ client permit _ my networks reject _ rbl _ client domain.TLD reject

9、 _ RH SBS。 0映射名稱，連接IP過濾規(guī)則(1)， reject_unknown_client拒絕沒有與客戶端地址相對應(yīng)的DNS PTR記錄的連接。請注意漫游用戶的使用，因為一些設(shè)備(特別是個人撥號用戶的設(shè)備)通常沒有相對應(yīng)的ptr記錄不在$mynetworks中的用戶，例如連接到另一個ISP撥號網(wǎng)絡(luò)的用戶，通常通過SMTP認證來解決此問題。) unknown_client_reject_code指定拒絕的返回狀態(tài)代碼(默認值為450 )。 連接IP過濾規(guī)則(2)。 permit_mynetworks允許來自屬于IP地址由$mynetworks定義的網(wǎng)絡(luò)的客戶機的連接。 通常，當ISP

10、為自己的撥號用戶提供SMTP服務(wù)時，可以使用$mynetworks殘奧儀表指定自己的網(wǎng)絡(luò)，以便網(wǎng)絡(luò)中的計算機可以發(fā)送郵件。 check _ client _ access映射：映射名稱將搜索名為映射名稱的映射類型的訪問數(shù)據(jù)庫。 可以根據(jù)客戶端的主機名、父域、IP地址或某些IP地址進行匹配。 連接IP過濾規(guī)則(3)、reject_RBL_client domain.tld和reject_RHSBL_client domain.tld拒絕來自屬于rbl和rhsbl列表的地址的連接IP地址(反轉(zhuǎn)) 或者通過檢查域名是否存在于domain.tld的RBL或RHSBL中，可以確定該客戶端是否列入doma

11、in.tld的實時黑名單，并確定是否接受該連接。 maps_rbl_reject_code指定拒絕的返回狀態(tài)代碼(默認值為554 )。 連接IP過濾器的范例： smtpd _ client _ restrictions=check _ client _ access hash 3360/etc/postfix/access _。 客戶端版本，客戶端版本，reject _ rbl _客戶端版本， permiing有些郵件客戶端可以通過將smtpd_helo_required設(shè)置為yes來強制發(fā)送HELO/EHLO命令，而無需在通信時發(fā)送HELO/EHLO命令(默認Postfix請求發(fā)送可以使用P

12、ostfix的smtpd_helo_restrictions命令指定此階段的過濾規(guī)則。此階段可用的過濾規(guī)則包括公用規(guī)則和smtpd_client_restrictions規(guī)則，以及reject _ invalid _ hostname reject _ unknown _ hostname reject。 k _ client _ access映射：映射名稱、連接端過濾器規(guī)則(1)和reject_invalid_hostname拒絕以無效格式連接主機名。 invalid_hostname_reject_code指定拒絕的返回狀態(tài)代碼(默認值為501 )。 reject_non_fqdn_hos

13、tname拒絕主機名不是FQDN格式的連接。 non_fqdn_reject_code指定拒絕的返回狀態(tài)代碼(默認為504 )。 連接器過濾規(guī)則(2)和reject_unknown_hostname拒絕未知主機名的連接。 未知的主機名表示該主機沒有DNS的a或MX記錄。 由于許多撥號用戶的設(shè)備沒有相應(yīng)的a或MX記錄，所以撥號用戶的連接會反彈，但如果設(shè)置為允許以前通過SASL認證的用戶發(fā)送，則通過SASL認證的用戶不受影響。 因此，可以安裝使用，具有減少垃圾郵件的效果。 unknown_hostname_reject_code指定拒絕的返回狀態(tài)代碼(默認值為450 )。 另外，連接側(cè)過濾規(guī)則(3

14、)、permit_naked_ip_address允許直接使用IP地址進行連接。 主機名通常用于HELO/EHLO而不是IP地址。 check _ client _ access映射：映射名稱將搜索名為映射名稱的映射類型的訪問數(shù)據(jù)庫。 可以根據(jù)從HELO/EHLO發(fā)送的主機名、父域進行匹配。 連接側(cè)濾波器的示例： smtpd _ help _ restrictions=check _ client _ access hash 3360/etc/postfix/access _ hast reject _ unknown _ hostname，發(fā)送者RFC規(guī)范要求MAIL FROM和以下RCPT

15、 TO命令使用RFC 821格式的郵件地址，但許多郵件客戶端使用新的RFC 822格式的郵件地址。 要打開對RFC 821格式的限制，請將strict_rfc821_envelopes設(shè)置為yes。 可以使用Postfix的smtpd_sender_restrictions命令指定此階段的過濾規(guī)則。 在此階段，除了公共規(guī)則、smtpd_client_restrictions規(guī)則和smtpd_helo_restrictions規(guī)則之外，還可以使用reject_unknown_sender_。 接入映射3360映射名稱注冊_ FQDN _發(fā)送者注冊_最小匹配、發(fā)送者過濾規(guī)則(1)、unknown_

16、address_reject_code 如果在執(zhí)行DNS查詢時出現(xiàn)臨時錯誤(例如，查詢超時)，也始終返回450。 拒絕reject_non_fqdn_sender發(fā)件人郵件的域不是FQDN格式的連接。 non_fqdn_reject_code指定拒絕的返回狀態(tài)代碼(默認值為504 )。 發(fā)送者過濾規(guī)則(2)、reject_RHSBL_sender domain.tld拒絕發(fā)送者郵件域?qū)儆趓hsbl黑名單的連接。 通過檢查域名是否存在于domain.tld的RHSBL中，可以判斷該客戶端是否列入domain.tld的實時黑名單中，并決定是否接受該連接。 maps_rbl_reject_code指定拒絕的返回狀態(tài)代碼(默認值為554 )。 check _ sender _ access映射：映射名稱將搜