- Domain1 = domain1.com
Domain2 = domain2.tv
- $ cd /opt/src/sendmail-8.13.8/sendmail-8.13.8/cf/cf
- $ cp generic-solaris.mc sendmail.mc
- $ vi sendmail.mc
divert(0)dnl
VERSIONID(`$Id: generic-solaris.mc,v 8.13 2001/06/27 21:46:30 gshapiro Exp $')
OSTYPE(solaris2)dnl
define(`MAIL_SETTINGS_DIR', `/etc/mail/')dnl
Dwhost
Dmdomain.com
define(`confDOMAIN_NAME', `$w.$m')dnl
FEATURE(`mailertable')dnl
define(`confMAX_MESSAGE_SIZE', `5242880')
define(`confMIN_QUEUE_AGE', `15m')dnl
define(`confTO_QUEUEWARN', `1h')dnl
define(`confTO_QUEUERETURN', `1d')dnl
define(`confTO_IDENT', `0s')dnl
MASQUERADE_AS(`$m')dnl
FEATURE(`masquerade_envelope')dnl
FEATURE(`access_db', `hash -o -T<TMPF> /etc/mail/access')
FEATURE(`drac')dnl
define(`confPRIVACY_FLAGS', `goaway,restrictmailq,restrictqrun')dnl
define(`confSMTP_LOGIN_MSG', `$j Domain YOU/Original; $b')dnl
define(`confOPERATORS', `.:@!^/[]+')dnl
DAEMON_OPTIONS(`Port=smtp, Name=smtp, M=MTA')dnl
DAEMON_OPTIONS(`Port=smtps, Name=TLSMTA, M=s')dnl
define(`confAUTH_OPTIONS', `p,y')dnl
TRUST_AUTH_MECH(`LOGIN PLAIN')dnl
define(`confAUTH_MECHANISMS', `LOGIN PLAIN')dnl
define(`CERT_DIR',`/etc/mail/certs')
define(`confCACERT_PATH',`CERT_DIR')
define(`confCACERT',`CERT_DIR/ca-bundle.crt')
define(`confSERVER_CERT',`CERT_DIR/mail.domain.com.crt')
define(`confSERVER_KEY',`CERT_DIR/mail.domain.com.key')
define(`confCLIENT_CERT',`CERT_DIR/mail.domain.com.crt')
define(`confCLIENT_KEY',`CERT_DIR/mail.domain.com.key')
VIRTUSER_DOMAIN_FILE(`-o /etc/mail/virtuser-domains')dnl
FEATURE(`virtusertable', `hash /etc/mail/virtusertable.db')dnl
FEATURE(`no_default_msa')dnl
INPUT_MAIL_FILTER(`clmilter', `S=local:/var/run/clamav/clmilter.sock,F=, T=S:4m;R:4m')
define(`confINPUT_MAIL_FILTERS', `clmilter')
DOMAIN(generic)dnl
FEATURE(nocanonify)dnl
MAILER_DEFINITIONS
Msmtpf, P=/usr/lib/smtpfeed, F=mDFMuXz!_, S=11/31, R=21, E=\n, L=990,
T=DNS/RFC822/SMTP, M=5000000, A=smtpfeed
MAILER(local)dnl
define(`SMART_HOST', `smtpf:LMTP')dnl
MAILER(smtp)dnl
LOCAL_RULESETS
SLocal_check_relay
R$* $: $&{client_resolve}
RTEMP $#error $@ 4.7.1 $: "450 Access denied. Cannot resolve PTR record for " $&{client_addr}
RFAIL $#error $@ 4.7.1 $: "450 Access denied. IP name lookup failed " $&{client_name}
RFORGED $#error $@ 4.7.1 $: "450 Access denied. IP name possibly forged " $&{client_name} |
-
define(`MAIL_SETTINGS_DIR', `/etc/mail/')dnl
- コンフィグファイルなどを格納するディレクトリを/etc/mail/に指定
- この（自分の）メールサーバーのホスト名を「host」（例）として指定。
- この（自分の）ドメイン名を「domain.com」（例）として指定。
- この（自分の）FQDNを「host.domain.com」（例）として指定。
- 特定のドメイン宛のメールをDNSのMXレコードから引けるサーバー宛で
はなく、固定的に任意のメールサーバーに宛てるように振り向けること
が出来るようにする。(通常はほとんど必要ない設定)(qmailでいうところの
smtproutesの事)
- 1通のメールの最大サイズを制限する。
この例は約5MBに制限している（単位はバイト）
- 何らかの原因で受け取ったメールが送信・転送できなかった場合（相手の
メールサーバーが止まっていたり、忙しかった場合など）、一時的に
メールを/var/spool/mqueue/に溜めこみ、あるタイミングで再送信を試
みる。この再送信のタイミングを指定することが出来る。設定できる時間
単位にはm(分) h(時間) d(日) の3種類がある。この例では短めの15分に
指定している。
特に携帯電話にメールを送る場合に一発で送信できない事が多いようだ。
携帯ユーザーが多すぎてdocomoやauのメールサーバーは忙しいらしい。
最近docomoは利用料金を支払えば送信元を「支払ったサーバーに限定」
する特定接続サービスを始めたらしい。つまり、一般的
なMXレコードを引いて得られるサーバー以外に有料の受信サーバーを立
てたって事。 これは、「業務の都合上、どうしてもすぐに携帯のメールが
配信されないと困る」外部サーバーを運営している人に有効。例えばSPAM
（迷惑メール）を送るのを生活の糧にしてるブラックな広告業者とかね。
でも、そもそも携帯ユーザーに正常に（すぐに）メール送信ができない可能
性がある（っていうか出来ないことが多い）こと自体が、受信者である携帯
電話ユーザーに対して失礼だと思うんだが。。。
- メールが配送できなかったために、「今から何日間か配送を試みます」と
いう旨のメールを送信者に自動通知する。この例ではキューに溜めた時点
から1時間後に送信者に自動通知させている。
- キューに溜め込んだメールをどれ位の期間保存しておくかを指定させる。
ここで指定した時間を過ぎると、メールは消去され、送信者にその旨
報告するメールを送る。
この例では1日（24時間)に指定している。
つまり、キューに溜まったメールは上記3行の指定で、
・15分毎に再送信を試み
・1時間後に送信者に「相手のメールサーバーに未だ送信できない」
旨の報告をして
・24時間後に再送信を諦めメールを消去の上、送信者に「送信できなかっ
た」と報告のメールを送ることになる。
- IDENT認証を行わない。IDENT認証はあまり効果的な認証とは思えないので、
使用しない。 第一ルーターでポート113は閉じてあるし。
この例でタイムアウトを0秒にすることで、応答待ち時間を省略することが出来
る。（デフォルトでは30秒）
- 送信者のFrom:のドメイン名を書き換える。この例では「xxx@domain.com」
に書き換えさせている。
- エンベロープ送信者mail from:も書き換える。この例では
「xxx@domain.com」に書き換えさせている。
- access.dbによるSMTP接続アクセス制限を有効にする。
- POP Before SMTP（drac)を使用する。
- SMTPは相手のサーバーにどのようなユーザーがいるかを調べ
るVRFYコマンドや、メーリングリストにはどのようなメンバー
がいるかを調べるEXPNコマンドがある。これらのプライバシー
に関するコマンドを制限するため「goaway」を指定する。
また、一般ユーザーにmailqコマンドを実行させないために
restrictmailqを。sendmail -qを実行させないために、
restrictqrun指定する。
- SMTPでメールサーバーにアクセスすると、サーバーが使用して
いるメールデーモンの名前とバージョン名が表示される。
もしも自分が使用しているsendmailにセキュリティホールが
見つかってしまっていた場合、クラッカーはこの情報を元に
攻撃を仕掛けてくる可能性がある。この例のように表示させ
る内容を変えることによって、使用しているバージョンを秘
匿することが出来る。
- この例のように、使用できる特殊記号の中に「%」を記述しない
ことでソースルーティングを禁止することができる。
- ポート番号 25/tcp を使用する。
- ポート番号 465/tcpを使用する。
- STARTLSを使用している場合だけ認証を可能とする
- OutlookExpressを配慮してPLAINログインを許可しておく
- SSLの鍵と証明書とca-bundle.crt、及びその格納ディレクトリを指定する
- RFC 2476で定義されているMessage Submission Agentを使用しない。
(これを使用しない定義にすることで、Port587を閉じることにした)
- バーチャルドメインで使用するドメイン名が記述（後述）されているファイルを指定。
- バーチャルドメインで受信する受信者名と、実際の受信先を指定（後述）している
データベースファイルを指定。
- Clam Antivirusを有効にする。
- smtpfeedを有効にする
- SMTP接続してきたホストIPアドレスのホスト名を逆引きして、逆引きできなかった場合は
接続を拒否する。また、逆引きと正引きの回答内容が異なる場合も同様に接続を拒否する。
・RTEMP は担当DNSすら登録されていない場合。
・RFAIL は担当DNSからの答えがない(設定されていない)場合。
・RFORGED は逆引きできたホスト名に対して正引きを行ったが、答えが一致しない場合。
access.dbで過去に送られてきた様々なspamの送信元を拒否しているが、「イタチごっこ」状態。
spamの送信元は80%近くが逆引きできない事と、正常な受信メールは99%以上が逆引きできる
事からこの対策に踏み切った。(注：TABあり)
(参考：http://networking.ringofsaturn.com/Unix/sendmailtips.php)
この設定を行って、実際に接続拒否が出来た場合のログの実例は以下。
Dec 5 19:54:52 GXa-FC2 sendmail[3781]: ruleset=check_relay, arg1=[220.194.61.111], arg2=220.194.61.111,
relay=[220.194.61.111], reject=450 4.7.1 Access denied. Cannot resolve PTR record for 220.194.61.111
Dec 5 21:22:57 GXa-FC2 sendmail[3959]: ruleset=check_relay, arg1=[61.248.217.207], arg2=61.248.217.207,
relay=[61.248.217.207], reject=450 4.7.1 Access denied. IP name lookup failed [61.248.217.207]
Dec 10 13:29:47 GXa-FC2 sendmail[19784]: ruleset=check_relay, arg1=[200.66.45.193], arg2=200.66.45.193,
relay=customer-GYS-45-193.megared.net.mx [200.66.45.193] (may be forged), reject=450 4.7.1
Access denied. IP name possibly forged [200.66.45.193]
- $ ./Build sendmail.cf
- $ vi sendmail.cf
##### 変更前 ##### # Configuration version number DZ8.13.8 ##### 変更後例 ##### # Configuration version number DZ2008 |
- $ vi submit.cf
##### 変更前 ##### # Configuration version number DZ8.13.8/Submit ##### 変更後例 ##### # Configuration version number DZ2008 |
- $ su
password:
# mv /etc/mail/sendmail.cf /etc/mail/sendmail.cf_default
# cp ./sendmail.cf /etc/mail/
# mv /etc/mail/submit.cf /etc/mail/submit.cf_default
# cp ./submit.cf /etc/mail/
- # vi /etc/mail/virtuser-domains
- domain1.com
domain2.tv
- # vi /etc/mail/virtusertable.txt
-
##### domain1.com User #####
you@domain1.com you
user2@domain1.com user2
user3@domain1.com user3@docomo.ne.jp
fml@domain1.com fml
root@domain1.com root
postmaster@domain1.com postmaster
@domain1.com error:5.5.1:Unknown user
##### domain1.com ML #####
info@domain1.com info
info-admin@domain1.com info-admin
ml@domain.com ml
ml-admin@domain.com ml-admin
##### domain2.tv User #####
user4@domain2.tv user4
user5@domain2.tv user5@pdx.ne.jp
fml@domain2.tv fml
root@domain2.tv root
webmaster@domain2.tv webmaster
@domain2.tv error:5.5.1:Unknown user
##### domain2.tv ML #####
info@domain2.tv info-domain2.tv
info-admin@domain2.tv info-admin
- # makemap hash virtusertable.db < virtusertable.txt
- # vi /etc/mail/access.txt
- # Check the /opt/src/sendmail-8.13.8/sendmail-8.13.8/cf/README file for a description
# of the format of this file. (search for access_db in that file)
# The /opt/src/sendmail-8.13.8/sendmail-8.13.8/cf/README is part of the sendmail-doc
# package.
#
# by default we allow relaying from localhost...
127.0.0.1 RELAY
4.29.156 REJECT
4.30.46 REJECT
24.19.108 REJECT
24.60 REJECT
・
・
・
221.165.107 REJECT
222.65.101 REJECT
222.65.113 REJECT
222.148.229 REJECT
- # /usr/sbin/makemap hash /etc/mail/access.db < /etc/mail/access.txt
この接続拒否が効いた場合、ログには以下の実例のようなものが残る。
- Dec 1 10:50:19 NS1 sendmail[7232]: ruleset=check_relay, arg1=ionlinemail.net,
arg2=69.6.66.33, relay=ionlinemail.net [69.6.66.33], reject=550 5.7.1 Access denied
-
特定のドメイン宛のメールをDNSのMXレコードから得られるサーバーアドレスへではなく、
任意のメールサーバーに固定的に配送するように設定する。(qmailでいうところのsmtproutesの事)
新規ファイルmailertable.txtをviで作成する。
- # vi mailertable.txt
- domain.ne.jp smtp:[192.168.0.100]
- # makemap hash mailertable.db < mailertable.txt
- # /etc/init.d/clamav start
- # /etc/init.d/sendmail stop
# /etc/init.d/sendmail start
