Prevenir el spam en Postfix

Este artículo muestra algunos cambios de configuración simples que puede implementar en una instalación de Postfix en su servidor de correo para reducir el spam.

Habilitar listas de agujeros negros en tiempo real

Las Listas Blackhole en tiempo real (RBL) son listas de direcciones de Protocolo de Internet (IP) que están asociadas con spammers conocidos. Estas listas son generalmente gratuitas.

Puede configurar Postfix para verificar las direcciones IP de los mensajes entrantes con uno o más RBL. Si hay una coincidencia, entonces su servidor no permite que el remitente transmita el mensaje. Habilitar RBL es una forma sencilla de detener hasta el 50 % de su tráfico de spam.

Las RBL se configuran en smtpd_recipient_restrictions parámetro en el archivo de configuración principal de Postfix, que generalmente se encuentra en /etc/postfix/main.cf . El siguiente ejemplo de archivo de configuración de Postfix utiliza seis RBL diferentes:

   smtpd_recipient_restrictions =
        reject_rbl_client zen.spamhaus.org,
        reject_rbl_client bl.spamcop.net,stop
        reject_rbl_client dnsbl.sorbs.net,
        reject_rbl_client cbl.abuseat.org,
        reject_rbl_client b.barracudacentral.org,
        reject_rbl_client dnsbl-1.uceprotect.net,
        permit

Después de implementar esta configuración, aparecerán entradas similares al siguiente ejemplo en sus registros de correo:

Dec 17 15:58:24 mailserver postfix/smtpd[15573]: NOQUEUE: reject: RCPT from unknown[204.12.225.53]: 554 5.7.1 Service    unavailable; Client host [204.12.225.53] blocked using zen.spamhaus.org; https://www.spamhaus.org/sbl/query/SBLCSS / https://www.spamhaus.org/query/bl?ip=204.12.225.53; from=<[email protected]> to=<[email protected]> proto=ESMTP helo=<hse53.lifeyjingu.com>

Los RBL generalmente se usan junto con otras técnicas y herramientas de lucha contra el spam, como Apache® SpamAssasin™. Sin embargo, debido a que SpamAssassin puede hacer un uso intensivo de la unidad de procesamiento central (CPU), reducir el tráfico de spam a la mitad mediante el uso de RBL primero podría ahorrar valiosos recursos de CPU en su servidor de correo.

Además de incluir RBL, es posible que desee agregar algunas de las siguientes opciones de configuración en smtpd_recipient_restrictions parámetro en el archivo de configuración:

• reject_invalid_hostname :rechaza la solicitud cuando el nombre de host HELO o EHLO tiene un formato incorrecto. Esta opción podría impedir que los bots mal programados envíen spam a su servidor.

• reject_unknown_recipient_domain :Rechaza la solicitud cuando Postfix no es el destino final del dominio del destinatario. Esta opción puede evitar que su servidor se use como un repetidor abierto.

• reject_unauth_pipelining :Rechaza la solicitud cuando el cliente envía comandos del Protocolo simple de transferencia de correo (SMTP) antes de tiempo donde no está permitido. Esta opción detiene el correo del software de correo masivo que utiliza incorrectamente la canalización de comandos SMTP extendido (ESMTP) para acelerar las entregas.

• reject_unauth_destination :Esta opción es similar a reject_unknown_recipient_domain opción. Sin embargo, con reject_unauth_destination , se debe cumplir una de las siguientes condiciones para que Postfix acepte el mensaje:

  • Postfix es el reenviador de correo para el dominio (como se define en el parámetro relay_domains parameter ).
  • Postfix es el destino final del dominio.

Si hay direcciones IP o redes que no desea filtrar desde su servidor de correo, puede agregar permit_mynetworks opción en smtpd_recipient_restrictions para incluir en la lista blanca estas direcciones IP. También debe asegurarse de definir estas redes en my_networks parámetro en el archivo de configuración.

El siguiente ejemplo smtpd_recipient_restrictions El parámetro en el archivo de configuración de Postfix usa todas las opciones de configuración anteriores:

   smtpd_recipient_restrictions =
               reject_invalid_hostname,
               reject_unknown_recipient_domain,
               reject_unauth_pipelining,
               permit_mynetworks,
               reject_unauth_destination,
               reject_rbl_client zen.spamhaus.org,
               reject_rbl_client bl.spamcop.net,
               reject_rbl_client dnsbl.sorbs.net,
               reject_rbl_client cbl.abuseat.org,
               reject_rbl_client b.barracudacentral.org,
               reject_rbl_client dnsbl-1.uceprotect.net,
               permit

Nota :si necesita parámetros de configuración adicionales en smtpd_recipient_restrictions , puede agregarlos al final de esta lista, arriba del permit opción.