Debian + Postfix + Dovecot + Multidomain + SSL + IPv6 + OpenVPN + Multi-interfaces + SpamAssassin-learn + Bind

ບົດຄວາມນີ້ແມ່ນກ່ຽວກັບວິທີການຕັ້ງຄ່າເຄື່ອງແມ່ຂ່າຍເມລທີ່ທັນສະໄຫມ.
Postfix + Dovecot. SPF + DKIM + rDNS. ດ້ວຍ IPv6.
ດ້ວຍການເຂົ້າລະຫັດ TSL. ດ້ວຍການສະຫນັບສະຫນູນຫຼາຍໂດເມນ - ສ່ວນຫນຶ່ງທີ່ມີໃບຢັ້ງຢືນ SSL ທີ່ແທ້ຈິງ.
ດ້ວຍການປ້ອງກັນ antispam ແລະການຈັດອັນດັບ antispam ສູງຈາກເຄື່ອງແມ່ຂ່າຍເມລອື່ນໆ.
ສະຫນັບສະຫນູນການໂຕ້ຕອບທາງດ້ານຮ່າງກາຍຫຼາຍ.
ດ້ວຍ OpenVPN, ການເຊື່ອມຕໍ່ທີ່ຜ່ານ IPv4, ແລະທີ່ສະຫນອງ IPv6.

ຖ້າ​ຫາກ​ວ່າ​ທ່ານ​ບໍ່​ຕ້ອງ​ການ​ທີ່​ຈະ​ຮຽນ​ຮູ້​ເຕັກ​ໂນ​ໂລ​ຊີ​ທັງ​ຫມົດ​ເຫຼົ່າ​ນີ້​, ແຕ່​ຕ້ອງ​ການ​ທີ່​ຈະ​ຕັ້ງ​ເຄື່ອງ​ແມ່​ຂ່າຍ​ດັ່ງ​ກ່າວ​, ຫຼັງ​ຈາກ​ນັ້ນ​ບົດ​ຄວາມ​ນີ້​ແມ່ນ​ສໍາ​ລັບ​ທ່ານ​.

ບົດຄວາມບໍ່ມີຄວາມພະຍາຍາມທີ່ຈະອະທິບາຍທຸກລາຍລະອຽດ. ຄໍາອະທິບາຍໄປເຖິງສິ່ງທີ່ບໍ່ໄດ້ກໍານົດເປັນມາດຕະຖານຫຼືມີຄວາມສໍາຄັນຈາກທັດສະນະຂອງຜູ້ບໍລິໂພກ.

ແຮງຈູງໃຈທີ່ຈະຕັ້ງເຄື່ອງແມ່ຂ່າຍເມລແມ່ນຄວາມຝັນຂອງຂ້ອຍມາດົນນານ. ນີ້ອາດຈະຟັງຄືໂງ່, ແຕ່ IMHO, ມັນດີກ່ວາການຝັນຢາກລົດໃໝ່ຈາກຍີ່ຫໍ້ທີ່ທ່ານມັກ.

ມີສອງແຮງຈູງໃຈໃນການຕັ້ງຄ່າ IPv6. ຜູ້ຊ່ຽວຊານດ້ານໄອທີຕ້ອງການຮຽນຮູ້ເຕັກໂນໂລຢີໃຫມ່ຢ່າງຕໍ່ເນື່ອງເພື່ອຄວາມຢູ່ລອດ. ຂ້າ​ພະ​ເຈົ້າ​ຢາກ​ຈະ​ປະ​ກອບ​ສ່ວນ​ເລັກ​ນ້ອຍ​ຂອງ​ຂ້າ​ພະ​ເຈົ້າ​ໃນ​ການ​ຕໍ່​ສູ້​ຕ້ານ​ການ censorship ໄດ້.

ແຮງຈູງໃຈໃນການຕັ້ງຄ່າ OpenVPN ແມ່ນພຽງແຕ່ເພື່ອໃຫ້ IPv6 ເຮັດວຽກຢູ່ໃນເຄື່ອງທ້ອງຖິ່ນ.
ແຮງຈູງໃຈໃນການຕັ້ງຄ່າການໂຕ້ຕອບທາງດ້ານຮ່າງກາຍຫຼາຍແມ່ນວ່າຢູ່ໃນເຄື່ອງແມ່ຂ່າຍຂອງຂ້ອຍຂ້ອຍມີການໂຕ້ຕອບຫນຶ່ງ "ຊ້າແຕ່ບໍ່ຈໍາກັດ" ແລະອີກອັນຫນຶ່ງ "ໄວແຕ່ມີອັດຕາພາສີ".

ແຮງຈູງໃຈສໍາລັບການຕັ້ງຄ່າ Bind ແມ່ນວ່າ ISP ຂອງຂ້ອຍສະຫນອງເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ບໍ່ຫມັ້ນຄົງ, ແລະບາງຄັ້ງ google ກໍ່ລົ້ມເຫລວ. ຂ້ອຍຕ້ອງການເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ຫມັ້ນຄົງສໍາລັບການນໍາໃຊ້ສ່ວນບຸກຄົນ.

ແຮງຈູງໃຈທີ່ຈະຂຽນບົດຄວາມ - ຂ້ອຍຂຽນຮ່າງ 10 ເດືອນກ່ອນ, ແລະຂ້ອຍໄດ້ເບິ່ງມັນສອງເທື່ອແລ້ວ. ເຖິງແມ່ນວ່າຜູ້ຂຽນຕ້ອງການມັນເປັນປົກກະຕິ, ມີຄວາມເປັນໄປໄດ້ສູງທີ່ຄົນອື່ນຈະຕ້ອງການມັນຄືກັນ.

ບໍ່ມີການແກ້ໄຂທົ່ວໄປສໍາລັບເຄື່ອງແມ່ຂ່າຍເມລ. ແຕ່ຂ້ອຍຈະພະຍາຍາມຂຽນບາງສິ່ງບາງຢ່າງເຊັ່ນ: "ເຮັດແນວນີ້ແລະຫຼັງຈາກນັ້ນ, ເມື່ອທຸກສິ່ງທຸກຢ່າງເຮັດວຽກຕາມທີ່ມັນຄວນຈະ, ຖິ້ມສິ່ງເພີ່ມເຕີມ."

ບໍລິສັດ tech.ru ມີເຄື່ອງແມ່ຂ່າຍຂອງ Colocation. ມັນເປັນໄປໄດ້ທີ່ຈະປຽບທຽບກັບ OVH, Hetzner, AWS. ເພື່ອແກ້ໄຂບັນຫານີ້, ການຮ່ວມມືກັບ tech.ru ຈະມີປະສິດທິພາບຫຼາຍຂຶ້ນ.

Debian 9 ຖືກຕິດຕັ້ງຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ.

ເຊີບເວີມີ 2 ການໂຕ້ຕອບ `eno1` ແລະ `eno2`. ທໍາອິດແມ່ນບໍ່ຈໍາກັດ, ແລະທີສອງແມ່ນໄວ, ຕາມລໍາດັບ.

ມີ 3 ທີ່ຢູ່ IP ແບບຄົງທີ່, XX.XX.XX.X0 ແລະ XX.XX.XX.X1 ແລະ XX.XX.XX.X2 ໃນສ່ວນຕິດຕໍ່ `eno1` ແລະ XX.XX.XX.X5 ໃນສ່ວນຕິດຕໍ່ `eno2` .

ມີຢູ່ XXXX:XXXX:XXXX:XXXX::/64 ສະນຸກເກີຂອງທີ່ຢູ່ IPv6 ທີ່ຖືກມອບຫມາຍໃຫ້ກັບສ່ວນຕິດຕໍ່ `eno1` ແລະຈາກມັນ XXXX:XXXX:XXXX:XXXX:1:2::/96 ຖືກມອບຫມາຍໃຫ້ `eno2` ຕາມຄໍາຮ້ອງຂໍຂອງຂ້ອຍ.

ມີ 3 ໂດເມນ `domain1.com`, `domain2.com`, `domain3.com`. ມີໃບຢັ້ງຢືນ SSL ສໍາລັບ `domain1.com` ແລະ `domain3.com`.

ຂ້ອຍມີບັນຊີ Google ທີ່ຂ້ອຍຕ້ອງການເຊື່ອມຕໍ່ກ່ອງຈົດຫມາຍຂອງຂ້ອຍ[email protected]` (ຮັບຈົດໝາຍ ແລະສົ່ງຈົດໝາຍໂດຍກົງຈາກອິນເຕີເຟດ gmail).
ຕ້ອງມີກ່ອງຈົດໝາຍ`[email protected]`, ສໍາເນົາຂອງອີເມວທີ່ຂ້ອຍຢາກເຫັນໃນ gmail ຂອງຂ້ອຍ. ແລະມັນຫາຍາກທີ່ຈະສາມາດສົ່ງບາງສິ່ງບາງຢ່າງໃນນາມຂອງ `[email protected]` ໂດຍຜ່ານການໂຕ້ຕອບຂອງເວັບໄຊຕ໌.

ຕ້ອງມີກ່ອງຈົດໝາຍ`[email protected]`, ທີ່ Ivanov ຈະໃຊ້ຈາກ iPhone ຂອງລາວ.

ອີເມວທີ່ສົ່ງຕ້ອງປະຕິບັດຕາມຂໍ້ກໍານົດ antispam ທີ່ທັນສະໄຫມທັງຫມົດ.
ຕ້ອງມີລະດັບສູງສຸດຂອງການເຂົ້າລະຫັດທີ່ສະຫນອງໃຫ້ຢູ່ໃນເຄືອຂ່າຍສາທາລະນະ.
ຄວນມີການສະຫນັບສະຫນູນ IPv6 ສໍາລັບທັງການສົ່ງແລະຮັບຈົດຫມາຍ.
ຄວນມີ SpamAssassin ທີ່ບໍ່ເຄີຍລຶບອີເມວ. ແລະມັນຈະ bounce ຫຼືຂ້າມຫຼືສົ່ງໄປຫາ IMAP "Spam" ໂຟນເດີ.
SpamAssassin auto-learning ຕ້ອງໄດ້ຮັບການ configured: ຖ້າຂ້ອຍຍ້າຍຈົດຫມາຍໄປຫາໂຟນເດີ Spam, ມັນຈະຮຽນຮູ້ຈາກນີ້; ຖ້າຂ້ອຍຍ້າຍຈົດຫມາຍຈາກໂຟນເດີ Spam, ມັນຈະຮຽນຮູ້ຈາກນີ້. ຜົນໄດ້ຮັບຂອງການຝຶກອົບຮົມ SpamAssassin ຄວນຈະມີອິດທິພົນວ່າຈົດຫມາຍສິ້ນສຸດລົງຢູ່ໃນໂຟນເດີ Spam.
script PHP ຈະຕ້ອງສາມາດສົ່ງເມລໃນນາມຂອງໂດເມນໃດໆໃນເຄື່ອງແມ່ຂ່າຍທີ່ໃຫ້.
ຄວນມີການບໍລິການ openvpn, ມີຄວາມສາມາດທີ່ຈະໃຊ້ IPv6 ໃນລູກຄ້າທີ່ບໍ່ມີ IPv6.

ກ່ອນອື່ນ ໝົດ, ທ່ານ ຈຳ ເປັນຕ້ອງຕັ້ງຄ່າສ່ວນຕິດຕໍ່ແລະເສັ້ນທາງ, ລວມທັງ IPv6.
ຫຼັງຈາກນັ້ນ, ທ່ານຈະຕ້ອງຕັ້ງຄ່າ OpenVPN, ເຊິ່ງຈະເຊື່ອມຕໍ່ຜ່ານ IPv4 ແລະໃຫ້ລູກຄ້າມີທີ່ຢູ່ IPv6 static-real. ລູກຄ້ານີ້ຈະມີການເຂົ້າເຖິງການບໍລິການ IPv6 ທັງຫມົດໃນເຄື່ອງແມ່ຂ່າຍແລະການເຂົ້າເຖິງຊັບພະຍາກອນ IPv6 ໃດໆໃນອິນເຕີເນັດ.
ຫຼັງຈາກນັ້ນ, ທ່ານຈະຕ້ອງຕັ້ງຄ່າ Postfix ເພື່ອສົ່ງຈົດຫມາຍ + SPF + DKIM + rDNS ແລະສິ່ງເລັກນ້ອຍທີ່ຄ້າຍຄືກັນອື່ນໆ.
ຫຼັງຈາກນັ້ນ, ທ່ານຈະຕ້ອງຕັ້ງຄ່າ Dovecot ແລະ configure Multidomain.
ຫຼັງຈາກນັ້ນ, ທ່ານຈະຕ້ອງຕັ້ງຄ່າ SpamAssassin ແລະຕັ້ງຄ່າການຝຶກອົບຮົມ.
ສຸດທ້າຍ, ຕິດຕັ້ງ Bind.

============= ຫຼາຍການໂຕ້ຕອບ =============

ເພື່ອຕັ້ງຄ່າການໂຕ້ຕອບ, ທ່ານຈໍາເປັນຕ້ອງຂຽນມັນຢູ່ໃນ "/etc/network/interfaces".

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
allow-hotplug eno1
iface eno1 inet static
        address XX.XX.XX.X0/24
        gateway XX.XX.XX.1
        dns-nameservers 127.0.0.1 213.248.1.6
        post-up ip route add XX.XX.XX.0/24 dev eno1 src XX.XX.XX.X0 table eno1t
        post-up ip route add default via XX.XX.XX.1 table eno1t
        post-up ip rule add table eno1t from XX.XX.XX.X0
        post-up ip rule add table eno1t to XX.XX.XX.X0

auto eno1:1
iface eno1:1 inet static
address XX.XX.XX.X1
netmask 255.255.255.0
        post-up ip rule add table eno1t from XX.XX.XX.X1
        post-up ip rule add table eno1t to XX.XX.XX.X1
        post-up   ip route add 10.8.0.0/24 dev tun0 src XX.XX.XX.X1 table eno1t
        post-down ip route del 10.8.0.0/24 dev tun0 src XX.XX.XX.X1 table eno1t

auto eno1:2
iface eno1:2 inet static
address XX.XX.XX.X2
netmask 255.255.255.0
        post-up ip rule add table eno1t from XX.XX.XX.X2
        post-up ip rule add table eno1t to XX.XX.XX.X2

iface eno1 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:1::/64
        gateway XXXX:XXXX:XXXX:XXXX::1
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:1:1:1/64 dev $IFACE
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:1:1:2/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:1:1:1/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:1:1:2/64 dev $IFACE

# The secondary network interface
allow-hotplug eno2
iface eno2 inet static
        address XX.XX.XX.X5
        netmask 255.255.255.0
        post-up   ip route add XX.XX.XX.0/24 dev eno2 src XX.XX.XX.X5 table eno2t
        post-up   ip route add default via XX.XX.XX.1 table eno2t
        post-up   ip rule add table eno2t from XX.XX.XX.X5
        post-up   ip rule add table eno2t to XX.XX.XX.X5
        post-up   ip route add 10.8.0.0/24 dev tun0 src XX.XX.XX.X5 table eno2t
        post-down ip route del 10.8.0.0/24 dev tun0 src XX.XX.XX.X5 table eno2t

iface eno2 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:2::/96
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:2:1:1/64 dev $IFACE
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:2:1:2/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:2:1:1/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:2:1:2/64 dev $IFACE

# OpenVPN network
iface tun0 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:3::/80

ການຕັ້ງຄ່າເຫຼົ່ານີ້ສາມາດຖືກນໍາໃຊ້ໃນເຄື່ອງແມ່ຂ່າຍໃດໆໃນ tech.ru (ມີການປະສານງານເລັກນ້ອຍກັບການສະຫນັບສະຫນູນ) ແລະມັນຈະເຮັດວຽກທັນທີຕາມທີ່ມັນຄວນ.

ຖ້າທ່ານມີປະສົບການໃນການຕັ້ງຄ່າສິ່ງທີ່ຄ້າຍຄືກັນສໍາລັບ Hetzner, OVH, ມັນແຕກຕ່າງກັນຢູ່ທີ່ນັ້ນ. ຍາກກວ່າ.

eno1 ແມ່ນຊື່ຂອງບັດເຄືອຂ່າຍ #1 (ຊ້າແຕ່ບໍ່ຈໍາກັດ).
eno2 ແມ່ນຊື່ຂອງບັດເຄືອຂ່າຍ #2 (ໄວ, ແຕ່ມີອັດຕາພາສີ).
tun0 ແມ່ນຊື່ຂອງບັດເຄືອຂ່າຍ virtual ຈາກ OpenVPN.
XX.XX.XX.X0 - IPv4 #1 on eno1.
XX.XX.XX.X1 - IPv4 #2 on eno1.
XX.XX.XX.X2 - IPv4 #3 on eno1.
XX.XX.XX.X5 - IPv4 #1 on eno2.
XX.XX.XX.1 - IPv4 gateway.
XXXX:XXXX:XXXX:XXXX::/64 - IPv6 ສໍາລັບເຄື່ອງແມ່ຂ່າຍທັງຫມົດ.
XXXX:XXXX:XXXX:XXXX:1:2::/96 - IPv6 ສໍາລັບ eno2, ທຸກສິ່ງທຸກຢ່າງຈາກພາຍນອກເຂົ້າໄປໃນ eno1.
XXXX:XXXX:XXXX:XXXX::1 — ປະຕູ IPv6 (ຄວນສັງເກດວ່າອັນນີ້ສາມາດເຮັດໄດ້/ຄວນເຮັດແຕກຕ່າງກັນ. ລະບຸສະວິດ IPv6).
dns-nameservers - 127.0.0.1 ຖືກຊີ້ບອກ (ເນື່ອງຈາກວ່າ bind ຖືກຕິດຕັ້ງຢູ່ໃນທ້ອງຖິ່ນ) ແລະ 213.248.1.6 (ນີ້ແມ່ນມາຈາກ tech.ru).

"ຕາຕະລາງ eno1t" ແລະ "ຕາຕະລາງ eno2t" - ຄວາມຫມາຍຂອງເສັ້ນທາງເຫຼົ່ານີ້ແມ່ນວ່າການຈະລາຈອນທີ່ເຂົ້າມາໂດຍຜ່ານ eno1 -> ຈະອອກຈາກມັນ, ແລະການຈະລາຈອນທີ່ເຂົ້າມາຜ່ານ eno2 -> ຈະອອກຈາກມັນ. ແລະການເຊື່ອມຕໍ່ທີ່ລິເລີ່ມໂດຍເຄື່ອງແມ່ຂ່າຍຈະຜ່ານ eno1.

ip route add default via XX.XX.XX.1 table eno1t

ດ້ວຍຄໍາສັ່ງນີ້ພວກເຮົາກໍານົດວ່າການຈະລາຈອນທີ່ບໍ່ສາມາດເຂົ້າໃຈໄດ້ທີ່ຢູ່ພາຍໃຕ້ກົດລະບຽບໃດຫນຶ່ງທີ່ມີເຄື່ອງຫມາຍ "table eno1t" -> ຖືກສົ່ງໄປຫາອິນເຕີເຟດ eno1.

ip route add XX.XX.XX.0/24 dev eno1 src XX.XX.XX.X0 table eno1t

ດ້ວຍຄໍາສັ່ງນີ້ພວກເຮົາກໍານົດວ່າການຈະລາຈອນໃດໆທີ່ເລີ່ມຕົ້ນໂດຍເຄື່ອງແມ່ຂ່າຍຄວນຈະຖືກນໍາໄປຫາອິນເຕີເຟດ eno1.

ip rule add table eno1t from XX.XX.XX.X0
ip rule add table eno1t to XX.XX.XX.X0

ດ້ວຍຄໍາສັ່ງນີ້ພວກເຮົາກໍານົດກົດລະບຽບສໍາລັບເຄື່ອງຫມາຍການຈະລາຈອນ.

auto eno1:2
iface eno1:2 inet static
address XX.XX.XX.X2
netmask 255.255.255.0
        post-up ip rule add table eno1t from XX.XX.XX.X2
        post-up ip rule add table eno1t to XX.XX.XX.X2

ບລັອກນີ້ລະບຸ IPv4 ທີສອງສໍາລັບການໂຕ້ຕອບ eno1.

ip route add 10.8.0.0/24 dev tun0 src XX.XX.XX.X1 table eno1t

ດ້ວຍຄໍາສັ່ງນີ້ພວກເຮົາກໍານົດເສັ້ນທາງຈາກລູກຄ້າ OpenVPN ໄປຫາ IPv4 ທ້ອງຖິ່ນຍົກເວັ້ນ XX.XX.XX.X0.
ຂ້ອຍຍັງບໍ່ເຂົ້າໃຈວ່າເປັນຫຍັງຄໍາສັ່ງນີ້ພຽງພໍສໍາລັບ IPv4 ທັງຫມົດ.

iface eno1 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:1::/64
        gateway XXXX:XXXX:XXXX:XXXX::1

ນີ້ແມ່ນບ່ອນທີ່ພວກເຮົາກໍານົດທີ່ຢູ່ສໍາລັບການໂຕ້ຕອບຕົວມັນເອງ. ເຄື່ອງແມ່ຂ່າຍຈະໃຊ້ມັນເປັນທີ່ຢູ່ "ຂາອອກ". ຈະບໍ່ຖືກນໍາໃຊ້ໃນທາງໃດກໍ່ຕາມອີກເທື່ອຫນຶ່ງ.

ເປັນຫຍັງ ":1:1::" ສັບສົນຫຼາຍ? ດັ່ງນັ້ນ OpenVPN ເຮັດວຽກຢ່າງຖືກຕ້ອງແລະພຽງແຕ່ສໍາລັບການນີ້. ເພີ່ມເຕີມກ່ຽວກັບເລື່ອງນີ້ຕໍ່ມາ.

ກ່ຽວກັບຫົວຂໍ້ຂອງປະຕູ - ນັ້ນແມ່ນວິທີທີ່ມັນເຮັດວຽກແລະດີ. ແຕ່ວິທີທີ່ຖືກຕ້ອງແມ່ນການຊີ້ບອກຢູ່ທີ່ນີ້ IPv6 ຂອງສະຫຼັບທີ່ເຄື່ອງແມ່ຂ່າຍເຊື່ອມຕໍ່.

ຢ່າງໃດກໍຕາມ, ສໍາລັບເຫດຜົນບາງຢ່າງ IPv6 ຢຸດເຮັດວຽກຖ້າຂ້ອຍເຮັດສິ່ງນີ້. ນີ້ແມ່ນບາງປະເພດຂອງບັນຫາ tech.ru.

ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:1:1:1/64 dev $IFACE

ນີ້ແມ່ນການເພີ່ມທີ່ຢູ່ IPv6 ເຂົ້າໃນການໂຕ້ຕອບ. ຖ້າທ່ານຕ້ອງການເປັນຮ້ອຍທີ່ຢູ່, ນັ້ນຫມາຍຄວາມວ່າເປັນຮ້ອຍແຖວໃນໄຟລ໌ນີ້.

iface eno1 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:1::/64
...
iface eno2 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:2::/96
...
iface tun0 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:3::/80

ຂ້າພະເຈົ້າໄດ້ສັງເກດເຫັນທີ່ຢູ່ແລະເຄືອຂ່າຍຍ່ອຍຂອງການໂຕ້ຕອບທັງຫມົດເພື່ອເຮັດໃຫ້ມັນຊັດເຈນ.
eno1 - ຕ້ອງ "/64" - ເນື່ອງຈາກວ່ານີ້ແມ່ນສະນຸກເກີທັງຫມົດຂອງພວກເຮົາ.
tun0 - ເຄືອຂ່າຍຍ່ອຍຈະຕ້ອງໃຫຍ່ກວ່າ eno1. ຖ້າບໍ່ດັ່ງນັ້ນ, ມັນຈະບໍ່ສາມາດປັບຄ່າປະຕູ IPv6 ສໍາລັບລູກຄ້າ OpenVPN ໄດ້.
eno2 - ເຄືອຂ່າຍຍ່ອຍຈະຕ້ອງໃຫຍ່ກວ່າ tun0. ຖ້າບໍ່ດັ່ງນັ້ນ, ລູກຄ້າ OpenVPN ຈະບໍ່ສາມາດເຂົ້າເຖິງທີ່ຢູ່ IPv6 ທ້ອງຖິ່ນໄດ້.
ເພື່ອຄວາມຊັດເຈນ, ຂ້ອຍເລືອກຂັ້ນຕອນຍ່ອຍຂອງ 16, ແຕ່ຖ້າທ່ານຕ້ອງການ, ທ່ານສາມາດເຮັດຂັ້ນຕອນ "1" ໄດ້.
ຕາມນັ້ນ, 64+16 = 80, ແລະ 80+16 = 96.

ສໍາລັບຄວາມຊັດເຈນຫຼາຍກວ່າເກົ່າ:
XXXX:XXXX:XXXX:XXXX:1:1:YYYY:YYYY ແມ່ນທີ່ຢູ່ທີ່ຄວນຈະຖືກມອບໝາຍໃຫ້ກັບເວັບໄຊ ຫຼືບໍລິການສະເພາະໃນອິນເຕີເຟດ eno1.
XXXX:XXXX:XXXX:XXXX:1:2:YYYY:YYYY ແມ່ນທີ່ຢູ່ທີ່ຄວນຈະຖືກມອບໝາຍໃຫ້ກັບເວັບໄຊ ຫຼືບໍລິການສະເພາະໃນອິນເຕີເຟດ eno2.
XXXX:XXXX:XXXX:XXXX:1:3:YYYY:YYYY ແມ່ນທີ່ຢູ່ທີ່ຄວນຈະຖືກມອບໝາຍໃຫ້ລູກຄ້າ OpenVPN ຫຼືໃຊ້ເປັນທີ່ຢູ່ບໍລິການ OpenVPN.

ເພື່ອຕັ້ງຄ່າເຄືອຂ່າຍ, ມັນຄວນຈະເປັນໄປໄດ້ທີ່ຈະ restart server.
ການປ່ຽນແປງ IPv4 ຈະຖືກເກັບຂຶ້ນເມື່ອປະຕິບັດ (ໃຫ້ແນ່ໃຈວ່າຈະຫໍ່ມັນຢູ່ໃນຫນ້າຈໍ - ຖ້າບໍ່ດັ່ງນັ້ນຄໍາສັ່ງນີ້ພຽງແຕ່ຈະ crash ເຄືອຂ່າຍໃນເຄື່ອງແມ່ຂ່າຍ):

/etc/init.d/networking restart

ຕື່ມໃສ່ໃນຕອນທ້າຍຂອງໄຟລ໌ “/etc/iproute2/rt_tables”:

100 eno1t
101 eno2t

ຖ້າບໍ່ມີສິ່ງນີ້, ທ່ານບໍ່ສາມາດໃຊ້ຕາຕະລາງທີ່ກໍາຫນົດເອງໃນໄຟລ໌ "/etc/network/interfaces".
ຕົວເລກຕ້ອງເປັນເອກະລັກ ແລະໜ້ອຍກວ່າ 65535.

ການປ່ຽນແປງ IPv6 ສາມາດປ່ຽນແປງໄດ້ງ່າຍໂດຍບໍ່ມີການ rebooting, ແຕ່ເພື່ອເຮັດສິ່ງນີ້, ທ່ານຈໍາເປັນຕ້ອງໄດ້ຮຽນຮູ້ຢ່າງຫນ້ອຍສາມຄໍາສັ່ງ:

ip -6 addr ...
ip -6 route ...
ip -6 neigh ...

ການຕັ້ງຄ່າ "/etc/sysctl.conf"

# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.ip_forward = 1

# Do not accept ICMP redirects (prevent MITM attacks)
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0

# Do not send ICMP redirects (we are not a router)
net.ipv4.conf.all.send_redirects = 0

# For receiving ARP replies
net.ipv4.conf.all.arp_filter = 0
net.ipv4.conf.default.arp_filter = 0

# For sending ARP
net.ipv4.conf.all.arp_announce = 0
net.ipv4.conf.default.arp_announce = 0

# Enable IPv6
net.ipv6.conf.all.disable_ipv6 = 0
net.ipv6.conf.default.disable_ipv6 = 0
net.ipv6.conf.lo.disable_ipv6 = 0

# IPv6 configuration
net.ipv6.conf.all.autoconf = 1
net.ipv6.conf.all.accept_ra = 0

# For OpenVPN
net.ipv6.conf.all.forwarding = 1
net.ipv6.conf.all.proxy_ndp = 1

# For nginx on boot
net.ipv6.ip_nonlocal_bind = 1

ນີ້ແມ່ນການຕັ້ງຄ່າ "sysctl" ຂອງເຄື່ອງແມ່ຂ່າຍຂອງຂ້ອຍ. ໃຫ້ຂ້ອຍຊີ້ໃຫ້ເຫັນບາງສິ່ງບາງຢ່າງທີ່ສໍາຄັນ.

net.ipv4.ip_forward = 1

ຖ້າບໍ່ມີສິ່ງນີ້, OpenVPN ຈະບໍ່ເຮັດວຽກເລີຍ.

net.ipv6.ip_nonlocal_bind = 1

ໃຜກໍຕາມທີ່ພະຍາຍາມຜູກມັດ IPv6 (ຕົວຢ່າງ: nginx) ທັນທີຫຼັງຈາກການໂຕ້ຕອບຂຶ້ນຈະໄດ້ຮັບຄວາມຜິດພາດ. ວ່າທີ່ຢູ່ນີ້ບໍ່ສາມາດໃຊ້ໄດ້.

ເພື່ອຫຼີກເວັ້ນການສະຖານະການດັ່ງກ່າວ, ການຕັ້ງຄ່າດັ່ງກ່າວແມ່ນເຮັດ.

net.ipv6.conf.all.forwarding = 1
net.ipv6.conf.all.proxy_ndp = 1

ຖ້າບໍ່ມີການຕັ້ງຄ່າ IPv6 ເຫຼົ່ານີ້, ການຈະລາຈອນຈາກລູກຄ້າ OpenVPN ບໍ່ໄດ້ອອກໄປໃນໂລກ.

ການຕັ້ງຄ່າອື່ນບໍ່ກ່ຽວຂ້ອງ ຫຼືຂ້ອຍບໍ່ຈື່ວ່າພວກມັນແມ່ນຫຍັງ.
ແຕ່ໃນກໍລະນີ, ຂ້າພະເຈົ້າປ່ອຍໃຫ້ມັນ "ເປັນ."

ເພື່ອໃຫ້ການປ່ຽນແປງຂອງໄຟລ໌ນີ້ຖືກເກັບຂຶ້ນໂດຍບໍ່ມີການ rebooting server, ທ່ານຈໍາເປັນຕ້ອງດໍາເນີນການຄໍາສັ່ງ:

sysctl -p

ລາຍລະອຽດເພີ່ມເຕີມກ່ຽວກັບກົດລະບຽບ "ຕາຕະລາງ": habr.com/post/108690

============= OpenVPN =============

OpenVPN IPv4 ບໍ່ເຮັດວຽກໂດຍບໍ່ມີ iptables.

iptables ຂອງຂ້ອຍເປັນແບບນີ້ສໍາລັບ VPN:

iptables -A INPUT -p udp -s YY.YY.YY.YY --dport 1194 -j ACCEPT
iptables -A FORWARD -i tun0 -o eno1 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j SNAT --to-source XX.XX.XX.X0
##iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j MASQUERADE
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p udp --dport 1194 -j DROP
iptables -A FORWARD -p udp --dport 1194 -j DROP

YY.YY.YY.YY ແມ່ນທີ່ຢູ່ IPv4 ຄົງທີ່ຂອງຂ້ອຍຂອງເຄື່ອງທ້ອງຖິ່ນ.
10.8.0.0/24 - ເຄືອຂ່າຍ IPv4 openvpn. ທີ່ຢູ່ IPv4 ສໍາລັບລູກຄ້າ openvpn.
ຄວາມສອດຄ່ອງຂອງກົດລະບຽບແມ່ນສໍາຄັນ.

iptables -A INPUT -p udp -s YY.YY.YY.YY --dport 1194 -j ACCEPT
iptables -A FORWARD -i tun0 -o eno1 -j ACCEPT
...
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p udp --dport 1194 -j DROP
iptables -A FORWARD -p udp --dport 1194 -j DROP

ນີ້ແມ່ນຂໍ້ຈໍາກັດເພື່ອໃຫ້ພຽງແຕ່ຂ້ອຍສາມາດໃຊ້ OpenVPN ຈາກ IP ຄົງທີ່ຂອງຂ້ອຍ.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j SNAT --to-source XX.XX.XX.X0
  -- или --
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j MASQUERADE

ເພື່ອສົ່ງຕໍ່ແພັກເກັດ IPv4 ລະຫວ່າງລູກຄ້າ OpenVPN ແລະອິນເຕີເນັດ, ທ່ານຈໍາເປັນຕ້ອງລົງທະບຽນຫນຶ່ງໃນຄໍາສັ່ງເຫຼົ່ານີ້.

ສໍາລັບກໍລະນີທີ່ແຕກຕ່າງກັນ, ຫນຶ່ງໃນທາງເລືອກແມ່ນບໍ່ເຫມາະສົມ.
ທັງສອງຄໍາສັ່ງແມ່ນເຫມາະສົມສໍາລັບກໍລະນີຂອງຂ້ອຍ.
ຫຼັງຈາກອ່ານເອກະສານ, ຂ້ອຍເລືອກທາງເລືອກທໍາອິດເພາະວ່າມັນໃຊ້ CPU ຫນ້ອຍ.

ເພື່ອໃຫ້ການຕັ້ງຄ່າ iptables ທັງໝົດຖືກເກັບຂຶ້ນຫຼັງຈາກປິດເປີດໃໝ່, ທ່ານຈໍາເປັນຕ້ອງບັນທຶກພວກມັນໄວ້ບ່ອນໃດບ່ອນໜຶ່ງ.

iptables-save > /etc/iptables/rules.v4
ip6tables-save > /etc/iptables/rules.v6

ຊື່ດັ່ງກ່າວບໍ່ໄດ້ຖືກເລືອກໂດຍບັງເອີນ. ພວກມັນຖືກນໍາໃຊ້ໂດຍຊຸດ "iptables-persistent".

apt-get install iptables-persistent

ການຕິດຕັ້ງແພັກເກັດ OpenVPN ຫຼັກ:

apt-get install openvpn easy-rsa

ມາຕັ້ງແມ່ແບບສໍາລັບໃບຢັ້ງຢືນ (ແທນຄ່າຂອງເຈົ້າ):

make-cadir ~/openvpn-ca
cd ~/openvpn-ca
ln -s openssl-1.0.0.cnf openssl.cnf

ມາແກ້ໄຂການຕັ້ງຄ່າແມ່ແບບໃບຮັບຮອງ:

mcedit vars

...
# These are the default values for fields
# which will be placed in the certificate.
# Don't leave any of these fields blank.
export KEY_COUNTRY="RU"
export KEY_PROVINCE="Krasnodar"
export KEY_CITY="Dinskaya"
export KEY_ORG="Own"
export KEY_EMAIL="[email protected]"
export KEY_OU="VPN"

# X509 Subject Field
export KEY_NAME="server"
...

ສ້າງໃບຢັ້ງຢືນເຊີບເວີ:

cd ~/openvpn-ca
source vars
./clean-all
./build-ca
./build-key-server server
./build-dh
openvpn --genkey --secret keys/ta.key

ໃຫ້ກະກຽມຄວາມສາມາດໃນການສ້າງໄຟລ໌ "client-name.opvn" ສຸດທ້າຍ:

mkdir -p ~/client-configs/files
chmod 700 ~/client-configs/files
cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf ~/client-configs/base.conf
mcedit ~/client-configs/base.conf

# Client mode
client

# Interface tunnel type
dev tun

# TCP protocol
proto tcp-client

# Address/Port of VPN server
remote XX.XX.XX.X0 1194

# Don't bind to local port/address
nobind

# Don't need to re-read keys and re-create tun at restart
persist-key
persist-tun

# Remote peer must have a signed certificate
remote-cert-tls server
ns-cert-type server

# Enable compression
comp-lzo

# Custom
ns-cert-type server
tls-auth ta.key 1
cipher DES-EDE3-CBC

ໃຫ້ກະກຽມສະຄິບທີ່ຈະລວມໄຟລ໌ທັງຫມົດເຂົ້າໄປໃນໄຟລ໌ opvn ດຽວ.

mcedit ~/client-configs/make_config.sh
chmod 700 ~/client-configs/make_config.sh

#!/bin/bash

# First argument: Client identifier

KEY_DIR=~/openvpn-ca/keys
OUTPUT_DIR=~/client-configs/files
BASE_CONFIG=~/client-configs/base.conf

cat ${BASE_CONFIG} 
    <(echo -e '<ca>') 
    ${KEY_DIR}/ca.crt 
    <(echo -e '</ca>n<cert>') 
    ${KEY_DIR}/.crt 
    <(echo -e '</cert>n<key>') 
    ${KEY_DIR}/.key 
    <(echo -e '</key>n<tls-auth>') 
    ${KEY_DIR}/ta.key 
    <(echo -e '</tls-auth>') 
    > ${OUTPUT_DIR}/.ovpn

ການສ້າງລູກຄ້າ OpenVPN ທໍາອິດ:

cd ~/openvpn-ca
source vars
./build-key client-name
cd ~/client-configs
./make_config.sh client-name

ໄຟລ໌ “~/client-configs/files/client-name.ovpn” ຖືກສົ່ງໄປຫາອຸປະກອນຂອງລູກຄ້າ.

ສໍາລັບລູກຄ້າ iOS ທ່ານຈະຕ້ອງເຮັດ trick ດັ່ງຕໍ່ໄປນີ້:
ເນື້ອໃນຂອງແທັກ "tls-auth" ຈະຕ້ອງບໍ່ມີຄຳເຫັນ.
ແລະໃສ່ "key-direction 1" ທັນທີກ່ອນແທັກ "tls-auth".

ມາຕັ້ງຄ່າການຕັ້ງຄ່າເຊີບເວີ OpenVPN:

cd ~/openvpn-ca/keys
cp ca.crt ca.key server.crt server.key ta.key dh2048.pem /etc/openvpn
gunzip -c /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz | tee /etc/openvpn/server.conf
mcedit /etc/openvpn/server.conf

# Listen port
port 1194

# Protocol
proto tcp-server

# IP tunnel
dev tun0
tun-ipv6
push tun-ipv6

# Master certificate
ca ca.crt

# Server certificate
cert server.crt

# Server private key
key server.key

# Diffie-Hellman parameters
dh dh2048.pem

# Allow clients to communicate with each other
client-to-client

# Client config dir
client-config-dir /etc/openvpn/ccd

# Run client-specific script on connection and disconnection
script-security 2
client-connect "/usr/bin/sudo -u root /etc/openvpn/server-clientconnect.sh"
client-disconnect "/usr/bin/sudo -u root /etc/openvpn/server-clientdisconnect.sh"

# Server mode and client subnets
server 10.8.0.0 255.255.255.0
server-ipv6 XXXX:XXXX:XXXX:XXXX:1:3::/80
topology subnet

# IPv6 routes
push "route-ipv6 XXXX:XXXX:XXXX:XXXX::/64"
push "route-ipv6 2000::/3"

# DNS (for Windows)
# These are OpenDNS
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"

# Configure all clients to redirect their default network gateway through the VPN
push "redirect-gateway def1 bypass-dhcp"
push "redirect-gateway ipv6" #For iOS

# Don't need to re-read keys and re-create tun at restart
persist-key
persist-tun

# Ping every 10s. Timeout of 120s.
keepalive 10 120

# Enable compression
comp-lzo

# User and group
user vpn
group vpn

# Log a short status
status openvpn-status.log

# Logging verbosity
##verb 4

# Custom config
tls-auth ta.key 0
cipher DES-EDE3-CBC

ນີ້ແມ່ນຈໍາເປັນເພື່ອກໍານົດທີ່ຢູ່ຄົງທີ່ສໍາລັບລູກຄ້າແຕ່ລະຄົນ (ບໍ່ຈໍາເປັນ, ແຕ່ຂ້ອຍໃຊ້ມັນ):

# Client config dir
client-config-dir /etc/openvpn/ccd

ລາຍລະອຽດທີ່ຍາກທີ່ສຸດແລະສໍາຄັນ.

ແຕ່ຫນ້າເສຍດາຍ, OpenVPN ຍັງບໍ່ທັນຮູ້ວິທີການຕັ້ງຄ່າປະຕູ IPv6 ຢ່າງເປັນອິດສະຫຼະສໍາລັບລູກຄ້າ.
ທ່ານຕ້ອງ "ດ້ວຍຕົນເອງ" ສົ່ງຕໍ່ນີ້ສໍາລັບລູກຄ້າແຕ່ລະຄົນ.

# Run client-specific script on connection and disconnection
script-security 2
client-connect "/usr/bin/sudo -u root /etc/openvpn/server-clientconnect.sh"
client-disconnect "/usr/bin/sudo -u root /etc/openvpn/server-clientdisconnect.sh"

ໄຟລ໌ “/etc/openvpn/server-clientconnect.sh”:

#!/bin/sh

# Check client variables
if [ -z "$ifconfig_pool_remote_ip" ] || [ -z "$common_name" ]; then
        echo "Missing environment variable."
        exit 1
fi

# Load server variables
. /etc/openvpn/variables

ipv6=""

# Find out if there is a specific config with fixed IPv6 for this client
if [ -f "/etc/openvpn/ccd/$common_name" ]; then
        # Get fixed IPv6 from client config file
        ipv6=$(sed -nr 's/^.*ifconfig-ipv6-push[ t]+([0-9a-fA-F:]+).*$/1/p' "/etc/openvpn/ccd/$common_name")
        echo $ipv6
fi

# Get IPv6 from IPv4
if [ -z "$ipv6" ]; then
        ipp=$(echo "$ifconfig_pool_remote_ip" | cut -d. -f4)
        if ! [ "$ipp" -ge 2 -a "$ipp" -le 254 ] 2>/dev/null; then
                echo "Invalid IPv4 part."
                exit 1
        fi
        hexipp=$(printf '%x' $ipp)
        ipv6="$prefix$hexipp"
fi

# Create proxy rule
/sbin/ip -6 neigh add proxy $ipv6 dev eno1

ໄຟລ໌ “/etc/openvpn/server-clientdisconnect.sh”:

#!/bin/sh

# Check client variables
if [ -z "$ifconfig_pool_remote_ip" ] || [ -z "$common_name" ]; then
        echo "Missing environment variable."
        exit 1
fi

# Load server variables
. /etc/openvpn/variables

ipv6=""

# Find out if there is a specific config with fixed IPv6 for this client
if [ -f "/etc/openvpn/ccd/$common_name" ]; then
        # Get fixed IPv6 from client config file
        ipv6=$(sed -nr 's/^.*ifconfig-ipv6-push[ t]+([0-9a-fA-F:]+).*$/1/p' "/etc/openvpn/ccd/$common_name")
fi

# Get IPv6 from IPv4
if [ -z "$ipv6" ]; then
        ipp=$(echo "$ifconfig_pool_remote_ip" | cut -d. -f4)
        if ! [ "$ipp" -ge 2 -a "$ipp" -le 254 ] 2>/dev/null; then
                echo "Invalid IPv4 part."
                exit 1
        fi
        hexipp=$(printf '%x' $ipp)
        ipv6="$prefix$hexipp"
fi

# Delete proxy rule
/sbin/ip -6 neigh del proxy $ipv6 dev eno1

ສະຄຣິບທັງສອງໃຊ້ໄຟລ໌ “/etc/openvpn/variables”:

# Subnet
prefix=XXXX:XXXX:XXXX:XXXX:2:
# netmask
prefixlen=112

ຂ້ອຍພົບວ່າມັນຍາກທີ່ຈະຈື່ວ່າເປັນຫຍັງມັນຖືກຂຽນແບບນີ້.

ໃນປັດຈຸບັນ netmask = 112 ເບິ່ງຄືວ່າແປກ (ມັນຄວນຈະເປັນ 96 ຢູ່ທີ່ນັ້ນ).
ແລະຄໍານໍາຫນ້າແມ່ນແປກ, ມັນບໍ່ກົງກັບເຄືອຂ່າຍ tun0.
ແຕ່ບໍ່ເປັນຫຍັງ, ຂ້ອຍຈະປ່ອຍໃຫ້ມັນຄືເກົ່າ.

cipher DES-EDE3-CBC

ນີ້ບໍ່ແມ່ນສໍາລັບທຸກຄົນ - ຂ້ອຍເລືອກວິທີການເຂົ້າລະຫັດການເຊື່ອມຕໍ່ນີ້.

ສຶກສາເພີ່ມເຕີມກ່ຽວກັບການຕັ້ງຄ່າ OpenVPN IPv4.

ສຶກສາເພີ່ມເຕີມກ່ຽວກັບການຕັ້ງຄ່າ OpenVPN IPv6.

============= Postfix =============

ການຕິດຕັ້ງຊຸດຫຼັກ:

apt-get install postfix

ເມື່ອຕິດຕັ້ງ, ເລືອກ "ເວັບໄຊທ໌ອິນເຕີເນັດ".

"/etc/postfix/main.cf" ຂອງຂ້ອຍເບິ່ງຄືດັ່ງນີ້:

smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
biff = no

# appending .domain is the MUA's job.
append_dot_mydomain = no

readme_directory = no

# See http://www.postfix.org/COMPATIBILITY_README.html -- default to 2 on
# fresh installs.
compatibility_level = 2

# TLS parameters
smtpd_tls_cert_file=/etc/ssl/domain1.com.2018.chained.crt
smtpd_tls_key_file=/etc/ssl/domain1.com.2018.key
smtpd_use_tls=yes
smtpd_tls_auth_only = yes
smtp_bind_address = XX.XX.XX.X0
smtp_bind_address6 = XXXX:XXXX:XXXX:XXXX:1:1:1:1

smtp_tls_security_level = may
smtp_tls_ciphers = export
smtp_tls_protocols = !SSLv2, !SSLv3
smtp_tls_loglevel = 1

smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = domain1.com
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
myorigin = domain1.com
mydestination = localhost
relayhost =
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all
inet_protocols = ipv4

internal_mail_filter_classes = bounce

# Storage type
virtual_transport = lmtp:unix:private/dovecot-lmtp
virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual-mailbox-domains.cf
virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual-mailbox-maps.cf
virtual_alias_maps = mysql:/etc/postfix/mysql-virtual-alias-maps.cf

# SMTP-Auth settings
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes
smtpd_recipient_restrictions =
        permit_sasl_authenticated,
        permit_mynetworks,
        #reject_invalid_hostname,
        #reject_unknown_recipient_domain,
        reject_unauth_destination,
        reject_rbl_client sbl.spamhaus.org,
        check_policy_service unix:private/policyd-spf

smtpd_helo_restrictions =
        #reject_invalid_helo_hostname,
        #reject_non_fqdn_helo_hostname,
        reject_unknown_helo_hostname

smtpd_client_restrictions =
        permit_mynetworks,
        permit_sasl_authenticated,
        reject_non_fqdn_helo_hostname,
        permit

# SPF
policyd-spf_time_limit = 3600

# OpenDKIM
milter_default_action = accept
milter_protocol = 6
smtpd_milters = unix:var/run/opendkim/opendkim.sock
non_smtpd_milters = unix:var/run/opendkim/opendkim.sock

# IP address per domain
sender_dependent_default_transport_maps = pcre:/etc/postfix/sdd_transport.pcre

ໃຫ້ເບິ່ງລາຍລະອຽດຂອງການຕັ້ງຄ່ານີ້.

smtpd_tls_cert_file=/etc/ssl/domain1.com.2018.chained.crt
smtpd_tls_key_file=/etc/ssl/domain1.com.2018.key

ອີງຕາມຊາວ Khabrovsk, ຕັນນີ້ມີ "ຂໍ້ມູນທີ່ບໍ່ຖືກຕ້ອງແລະບໍ່ຖືກຕ້ອງ."ພຽງແຕ່ 8 ປີຫຼັງຈາກການເລີ່ມຕົ້ນຂອງການເຮັດວຽກຂອງຂ້ອຍຂ້ອຍກໍ່ເລີ່ມເຂົ້າໃຈວິທີການເຮັດວຽກຂອງ SSL.

ດັ່ງນັ້ນ, ຂ້ອຍຈະມີສິດເສລີພາບໃນການອະທິບາຍວິທີການໃຊ້ SSL (ໂດຍບໍ່ມີການຕອບຄໍາຖາມ "ມັນເຮັດວຽກແນວໃດ?" ແລະ "ເປັນຫຍັງມັນເຮັດວຽກ?").

ພື້ນຖານຂອງການເຂົ້າລະຫັດທີ່ທັນສະໄຫມແມ່ນການສ້າງຄູ່ທີ່ສໍາຄັນ (ສອງສາຍຍາວຫຼາຍຂອງຕົວອັກສອນ).

"ກະແຈ" ອັນໜຶ່ງແມ່ນສ່ວນຕົວ, ອີກກະແຈແມ່ນ "ສາທາລະນະ". ພວກເຮົາຮັກສາລະຫັດສ່ວນຕົວຢ່າງລະມັດລະວັງເປັນຄວາມລັບ. ພວກເຮົາແຈກຢາຍກະແຈສາທາລະນະໃຫ້ທຸກຄົນ.

ການນໍາໃຊ້ກະແຈສາທາລະນະ, ທ່ານສາມາດເຂົ້າລະຫັດຂໍ້ຄວາມສະຕຣິງເພື່ອໃຫ້ເຈົ້າຂອງລະຫັດສ່ວນຕົວເທົ່ານັ້ນທີ່ສາມາດຖອດລະຫັດມັນໄດ້.
ດີ, ນັ້ນແມ່ນພື້ນຖານທັງຫມົດຂອງເຕັກໂນໂລຢີ.

ຂັ້ນຕອນທີ 1 - ເວັບໄຊທ໌ https.
ເມື່ອເຂົ້າເຖິງເວັບໄຊທ໌ໃດຫນຶ່ງ, ຕົວທ່ອງເວັບຮຽນຮູ້ຈາກເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌ວ່າເວັບໄຊທ໌ແມ່ນ https ແລະດັ່ງນັ້ນຈຶ່ງຮ້ອງຂໍໃຫ້ມີລະຫັດສາທາລະນະ.
ເຊີບເວີເວັບໃຫ້ລະຫັດສາທາລະນະ. ຕົວທ່ອງເວັບໃຊ້ລະຫັດສາທາລະນະເພື່ອເຂົ້າລະຫັດ http-request ແລະສົ່ງມັນ.
ເນື້ອໃນຂອງຄໍາຮ້ອງຂໍ http ສາມາດອ່ານໄດ້ໂດຍຜູ້ທີ່ມີກະແຈສ່ວນຕົວເທົ່ານັ້ນ, ນັ້ນແມ່ນ, ພຽງແຕ່ເຄື່ອງແມ່ຂ່າຍທີ່ຄໍາຮ້ອງຂໍຖືກເຮັດ.
Http-request ມີຢ່າງໜ້ອຍ URI. ດັ່ງນັ້ນ, ຖ້າປະເທດຫນຶ່ງກໍາລັງພະຍາຍາມຈໍາກັດການເຂົ້າເຖິງບໍ່ແມ່ນເວັບໄຊທ໌ທັງຫມົດ, ແຕ່ເປັນຫນ້າສະເພາະ, ມັນກໍ່ເປັນໄປບໍ່ໄດ້ທີ່ຈະເຮັດສໍາລັບເວັບໄຊທ໌ https.

ຂັ້ນ​ຕອນ​ທີ 2 - ການ​ຕອບ​ສະ​ຫນອງ​ເຂົ້າ​ລະ​ຫັດ​.
ເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌ໃຫ້ຄໍາຕອບທີ່ສາມາດອ່ານໄດ້ງ່າຍໃນຖະຫນົນ.
ການແກ້ໄຂແມ່ນງ່າຍດາຍທີ່ສຸດ - ຕົວທ່ອງເວັບໃນທ້ອງຖິ່ນສ້າງຄູ່ຄີສ່ວນຕົວດຽວກັນສໍາລັບແຕ່ລະເວັບໄຊທ໌ https.
ແລະຄຽງຄູ່ກັບການຮ້ອງຂໍສໍາລັບລະຫັດສາທາລະນະຂອງເວັບໄຊທ໌, ມັນສົ່ງລະຫັດສາທາລະນະທ້ອງຖິ່ນຂອງມັນ.
ເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌ຈື່ມັນແລະ, ເມື່ອສົ່ງ http-response, ເຂົ້າລະຫັດມັນດ້ວຍລະຫັດສາທາລະນະຂອງລູກຄ້າສະເພາະ.
ໃນປັດຈຸບັນ http-response ສາມາດຖືກຖອດລະຫັດໂດຍເຈົ້າຂອງລະຫັດສ່ວນຕົວຂອງຕົວທ່ອງເວັບຂອງລູກຄ້າ (ນັ້ນແມ່ນລູກຄ້າເອງ).

ຂັ້ນຕອນທີ 3 - ການສ້າງການເຊື່ອມຕໍ່ທີ່ປອດໄພຜ່ານຊ່ອງທາງສາທາລະນະ.
ມີຊ່ອງໂຫວ່ໃນຕົວຢ່າງທີ 2 - ບໍ່ມີຫຍັງປ້ອງກັນຜູ້ປາດຖະຫນາທີ່ຈະຂັດຂວາງການຮ້ອງຂໍ http ແລະແກ້ໄຂຂໍ້ມູນກ່ຽວກັບລະຫັດສາທາລະນະ.
ດັ່ງນັ້ນ, ຕົວກາງຈະເຫັນໄດ້ຊັດເຈນວ່າເນື້ອຫາທັງຫມົດຂອງຂໍ້ຄວາມທີ່ຖືກສົ່ງແລະໄດ້ຮັບຈົນກ່ວາການປ່ຽນແປງຊ່ອງທາງການສື່ສານ.
ການຈັດການກັບນີ້ແມ່ນງ່າຍດາຍທີ່ສຸດ - ພຽງແຕ່ສົ່ງລະຫັດສາທາລະນະຂອງຕົວທ່ອງເວັບເປັນຂໍ້ຄວາມທີ່ຖືກເຂົ້າລະຫັດດ້ວຍລະຫັດສາທາລະນະຂອງເຄື່ອງແມ່ຂ່າຍເວັບ.
ຫຼັງຈາກນັ້ນ, ເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌ທໍາອິດຈະສົ່ງຄໍາຕອບເຊັ່ນ "ກະແຈສາທາລະນະຂອງເຈົ້າເປັນແບບນີ້" ແລະເຂົ້າລະຫັດຂໍ້ຄວາມນີ້ດ້ວຍລະຫັດສາທາລະນະດຽວກັນ.
ຕົວທ່ອງເວັບເບິ່ງການຕອບສະຫນອງ - ຖ້າຂໍ້ຄວາມ "ກະແຈສາທາລະນະຂອງເຈົ້າເປັນແບບນີ້" - ຫຼັງຈາກນັ້ນ, ນີ້ແມ່ນການຮັບປະກັນ 100% ວ່າຊ່ອງທາງການສື່ສານນີ້ປອດໄພ.
ມັນປອດໄພຫຼາຍປານໃດ?
ການສ້າງຊ່ອງທາງການສື່ສານທີ່ປອດໄພດັ່ງກ່າວເກີດຂຶ້ນດ້ວຍຄວາມໄວຂອງ ping*2. ຕົວຢ່າງ 20ms.
ຜູ້ໂຈມຕີຕ້ອງມີກະແຈສ່ວນຕົວຂອງຝ່າຍໃດຝ່າຍໜຶ່ງລ່ວງໜ້າ. ຫຼືຊອກຫາກະແຈສ່ວນຕົວໃນສອງສາມມິລິວິນາທີ.
ການແຮັກກະແຈສ່ວນຕົວທີ່ທັນສະໄໝອັນໜຶ່ງຈະຕ້ອງໃຊ້ເວລາຫຼາຍສິບປີໃນຄອມພິວເຕີຊຸບເປີຄອມພິວເຕີ.

ຂັ້ນຕອນທີ 4 - ຖານຂໍ້ມູນສາທາລະນະຂອງກະແຈສາທາລະນະ.
ແນ່ນອນ, ໃນເລື່ອງນີ້ທັງຫມົດມີໂອກາດສໍາລັບຜູ້ໂຈມຕີທີ່ຈະນັ່ງຢູ່ໃນຊ່ອງທາງການສື່ສານລະຫວ່າງລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍ.
ລູກຄ້າສາມາດທໍາທ່າວ່າເປັນເຄື່ອງແມ່ຂ່າຍ, ແລະເຄື່ອງແມ່ຂ່າຍສາມາດທໍາທ່າວ່າເປັນລູກຄ້າ. ແລະ emulate ຄູ່ຂອງກະແຈໃນທັງສອງທິດທາງ.
ຫຼັງຈາກນັ້ນ, ຜູ້ໂຈມຕີຈະເຫັນການຈະລາຈອນທັງຫມົດແລະຈະສາມາດ "ແກ້ໄຂ" ການຈະລາຈອນ.
ຕົວຢ່າງ, ປ່ຽນທີ່ຢູ່ທີ່ຈະສົ່ງເງິນ ຫຼືສຳເນົາລະຫັດຜ່ານຈາກທະນາຄານອອນໄລນ໌ ຫຼືບລັອກເນື້ອຫາທີ່ "ຄັດຄ້ານ".
ເພື່ອຕໍ່ສູ້ກັບຜູ້ໂຈມຕີດັ່ງກ່າວ, ພວກເຂົາເຈົ້າໄດ້ມາກັບຖານຂໍ້ມູນສາທາລະນະທີ່ມີລະຫັດສາທາລະນະສໍາລັບແຕ່ລະເວັບໄຊທ໌ https.
ແຕ່ລະຕົວທ່ອງເວັບ "ຮູ້" ກ່ຽວກັບການມີປະມານ 200 ຖານຂໍ້ມູນດັ່ງກ່າວ. ອັນນີ້ມາຕິດຕັ້ງໄວ້ລ່ວງໜ້າໃນທຸກບຣາວເຊີ.
"ຄວາມຮູ້" ໄດ້ຮັບການສະຫນັບສະຫນູນໂດຍກະແຈສາທາລະນະຈາກແຕ່ລະໃບຢັ້ງຢືນ. ນັ້ນແມ່ນ, ການເຊື່ອມຕໍ່ກັບແຕ່ລະອົງການຢັ້ງຢືນສະເພາະບໍ່ສາມາດຖືກປອມແປງ.

ໃນປັດຈຸບັນມີຄວາມເຂົ້າໃຈງ່າຍໆກ່ຽວກັບວິທີການໃຊ້ SSL ສໍາລັບ https.
ຖ້າທ່ານໃຊ້ສະຫມອງຂອງທ່ານ, ມັນຈະກາຍເປັນທີ່ຊັດເຈນວ່າບໍລິການພິເສດສາມາດ hack ບາງສິ່ງບາງຢ່າງໃນໂຄງສ້າງນີ້ໄດ້ແນວໃດ. ແຕ່ມັນຈະເຮັດໃຫ້ພວກເຂົາມີຄວາມພະຍາຍາມອັນໃຫຍ່ຫຼວງ.
ແລະອົງການຈັດຕັ້ງຂະຫນາດນ້ອຍກວ່າ NSA ຫຼື CIA - ມັນເກືອບເປັນໄປບໍ່ໄດ້ທີ່ຈະ hack ລະດັບການປົກປ້ອງທີ່ມີຢູ່, ເຖິງແມ່ນວ່າສໍາລັບ VIPs.

ຂ້ອຍຍັງຈະເພີ່ມກ່ຽວກັບການເຊື່ອມຕໍ່ ssh. ບໍ່ມີກະແຈສາທາລະນະຢູ່ທີ່ນັ້ນ, ເຈົ້າສາມາດເຮັດຫຍັງໄດ້ແດ່? ບັນຫາໄດ້ຖືກແກ້ໄຂໃນສອງທາງ.
ທາງເລືອກ ssh-by-password:
ໃນລະຫວ່າງການເຊື່ອມຕໍ່ຄັ້ງທໍາອິດ, ລູກຄ້າ ssh ຄວນເຕືອນວ່າພວກເຮົາມີລະຫັດສາທາລະນະໃຫມ່ຈາກເຄື່ອງແມ່ຂ່າຍ ssh.
ແລະໃນລະຫວ່າງການເຊື່ອມຕໍ່ຕື່ມອີກ, ຖ້າຄໍາເຕືອນ "ກະແຈສາທາລະນະໃຫມ່ຈາກເຄື່ອງແມ່ຂ່າຍ ssh" ປາກົດ, ມັນຈະຫມາຍຄວາມວ່າພວກເຂົາພະຍາຍາມລັກຟັງເຈົ້າ.
ຫຼືທ່ານໄດ້ຖືກ eavesdropped ກ່ຽວກັບການເຊື່ອມຕໍ່ທໍາອິດຂອງທ່ານ, ແຕ່ໃນປັດຈຸບັນທ່ານຕິດຕໍ່ສື່ສານກັບເຄື່ອງແມ່ຂ່າຍໂດຍບໍ່ມີການຕົວກາງ.
ແທ້ຈິງແລ້ວ, ເນື່ອງຈາກຄວາມຈິງທີ່ວ່າການປາດຜ່ານສາຍໄດ້ຖືກເປີດເຜີຍໄດ້ງ່າຍ, ລວດໄວແລະບໍ່ພະຍາຍາມ, ການໂຈມຕີນີ້ຖືກນໍາໃຊ້ໃນກໍລະນີພິເສດສໍາລັບລູກຄ້າສະເພາະ.

ທາງເລືອກ ssh-by-key:
ພວກເຮົາເອົາ flash drive, ຂຽນລະຫັດສ່ວນຕົວສໍາລັບເຄື່ອງແມ່ຂ່າຍ ssh ໃສ່ມັນ (ມີຂໍ້ກໍານົດແລະຄວາມສໍາຄັນຫຼາຍຢ່າງສໍາລັບເລື່ອງນີ້, ແຕ່ຂ້ອຍກໍາລັງຂຽນໂປຼແກຼມການສຶກສາ, ບໍ່ແມ່ນຄໍາແນະນໍາສໍາລັບການນໍາໃຊ້).
ພວກເຮົາປ່ອຍໃຫ້ກະແຈສາທາລະນະຢູ່ໃນເຄື່ອງທີ່ລູກຄ້າ ssh ຈະຢູ່ແລະພວກເຮົາຍັງຮັກສາມັນໄວ້ເປັນຄວາມລັບ.
ພວກເຮົາເອົາ flash drive ໄປຫາເຄື່ອງແມ່ຂ່າຍ, ໃສ່ມັນ, ຄັດລອກລະຫັດສ່ວນຕົວ, ແລະເຜົາ flash drive ແລະກະແຈກກະຈາຍຂີ້ເຖົ່າກັບລົມ (ຫຼືຢ່າງຫນ້ອຍ format it with zeros).
ນັ້ນແມ່ນທັງຫມົດ - ຫຼັງຈາກການດໍາເນີນງານດັ່ງກ່າວມັນຈະເປັນໄປບໍ່ໄດ້ທີ່ຈະ hack ການເຊື່ອມຕໍ່ ssh ດັ່ງກ່າວ. ແນ່ນອນ, ໃນ 10 ປີ, ມັນຈະເປັນໄປໄດ້ທີ່ຈະເບິ່ງການຈະລາຈອນໃນ supercomputer - ແຕ່ນັ້ນແມ່ນເລື່ອງທີ່ແຕກຕ່າງກັນ.

ຂ້ອຍຂໍໂທດສໍາລັບ offtopic.

ດັ່ງນັ້ນໃນປັດຈຸບັນທີ່ທິດສະດີແມ່ນເປັນທີ່ຮູ້ຈັກ. ຂ້ອຍຈະບອກເຈົ້າກ່ຽວກັບການໄຫລຂອງການສ້າງໃບຢັ້ງຢືນ SSL.

ການນໍາໃຊ້ "openssl genrsa" ພວກເຮົາສ້າງລະຫັດສ່ວນຕົວແລະ "blanks" ສໍາລັບລະຫັດສາທາລະນະ.
ພວກເຮົາສົ່ງ "ຫວ່າງເປົ່າ" ໄປໃຫ້ບໍລິສັດພາກສ່ວນທີສາມ, ເຊິ່ງພວກເຮົາຈ່າຍປະມານ $9 ສໍາລັບໃບຢັ້ງຢືນທີ່ງ່າຍດາຍທີ່ສຸດ.

ຫຼັງຈາກສອງສາມຊົ່ວໂມງ, ພວກເຮົາໄດ້ຮັບກະແຈ "ສາທາລະນະ" ຂອງພວກເຮົາແລະຊຸດຂອງກະແຈສາທາລະນະຫຼາຍອັນຈາກບໍລິສັດພາກສ່ວນທີສາມນີ້.

ເປັນຫຍັງບໍລິສັດພາກສ່ວນທີສາມຄວນຈ່າຍສໍາລັບການລົງທະບຽນລະຫັດສາທາລະນະຂອງຂ້ອຍແມ່ນຄໍາຖາມແຍກຕ່າງຫາກ, ພວກເຮົາຈະບໍ່ພິຈາລະນາມັນຢູ່ທີ່ນີ້.

ດຽວນີ້ມັນຈະແຈ້ງວ່າຄວາມ ໝາຍ ຂອງຈາລຶກແມ່ນຫຍັງ:

smtpd_tls_key_file=/etc/ssl/domain1.com.2018.key

ໂຟນເດີ “/etc/ssl” ມີໄຟລ໌ທັງໝົດສຳລັບບັນຫາ ssl.
domain1.com — ຊື່ ໂດ ເມນ.
ປີ 2018 ເປັນ​ປີ​ແຫ່ງ​ການ​ສ້າງ​ສຳ​ຄັນ.
"ກະແຈ" - ການກໍານົດວ່າໄຟລ໌ແມ່ນລະຫັດສ່ວນຕົວ.

ແລະ​ຄວາມ​ຫມາຍ​ຂອງ​ໄຟລ​໌​ນີ້​:

smtpd_tls_cert_file=/etc/ssl/domain1.com.2018.chained.crt
domain1.com — ຊື່ ໂດ ເມນ.
ປີ 2018 ເປັນ​ປີ​ແຫ່ງ​ການ​ສ້າງ​ສຳ​ຄັນ.
chained - ການກໍານົດວ່າມີລະບົບຕ່ອງໂສ້ຂອງກະແຈສາທາລະນະ (ອັນທໍາອິດແມ່ນກະແຈສາທາລະນະຂອງພວກເຮົາແລະສ່ວນທີ່ເຫຼືອແມ່ນມາຈາກບໍລິສັດທີ່ອອກລະຫັດສາທາລະນະ).
crt - ການກໍານົດວ່າມີໃບຢັ້ງຢືນທີ່ກຽມພ້ອມ (ລະຫັດສາທາລະນະທີ່ມີຄໍາອະທິບາຍດ້ານວິຊາການ).

smtp_bind_address = XX.XX.XX.X0
smtp_bind_address6 = XXXX:XXXX:XXXX:XXXX:1:1:1:1

ການຕັ້ງຄ່ານີ້ບໍ່ໄດ້ຖືກນໍາໃຊ້ໃນກໍລະນີນີ້, ແຕ່ຖືກຂຽນເປັນຕົວຢ່າງ.

ເນື່ອງຈາກວ່າຄວາມຜິດພາດໃນພາລາມິເຕີນີ້ຈະນໍາໄປສູ່ການ spam ຖືກສົ່ງໄປຈາກເຄື່ອງແມ່ຂ່າຍຂອງທ່ານ (ໂດຍບໍ່ໄດ້ໃຈຂອງທ່ານ).

ຫຼັງຈາກນັ້ນ, ພິສູດໃຫ້ທຸກຄົນຮູ້ວ່າທ່ານບໍ່ມີຄວາມຜິດ.

recipient_delimiter = +

ຫຼາຍຄົນອາດຈະບໍ່ຮູ້, ແຕ່ນີ້ແມ່ນລັກສະນະມາດຕະຖານສໍາລັບການຈັດອັນດັບອີເມວ, ແລະມັນສະຫນັບສະຫນູນໂດຍເຄື່ອງແມ່ຂ່າຍເມລທີ່ທັນສະໄຫມທີ່ສຸດ.

ຕົວຢ່າງ, ຖ້າທ່ານມີກ່ອງຈົດຫມາຍ "[email protected]"ພະຍາຍາມສົ່ງໄປ"[email protected]"- ເບິ່ງສິ່ງທີ່ມາຈາກມັນ.

inet_protocols = ipv4

ນີ້ອາດຈະສັບສົນ.

ແຕ່ມັນບໍ່ຄືກັນ. ແຕ່ລະໂດເມນໃຫມ່ແມ່ນໂດຍຄ່າເລີ່ມຕົ້ນພຽງແຕ່ IPv4, ຫຼັງຈາກນັ້ນຂ້ອຍເປີດ IPv6 ສໍາລັບແຕ່ລະອັນແຍກຕ່າງຫາກ.

virtual_transport = lmtp:unix:private/dovecot-lmtp
virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual-mailbox-domains.cf
virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual-mailbox-maps.cf
virtual_alias_maps = mysql:/etc/postfix/mysql-virtual-alias-maps.cf

ໃນທີ່ນີ້ພວກເຮົາກໍານົດວ່າຈົດຫມາຍຂາເຂົ້າທັງຫມົດໄປຫາ dovecot.
ແລະກົດລະບຽບສໍາລັບໂດເມນ, ກ່ອງຈົດຫມາຍ, ນາມແຝງ - ເບິ່ງໃນຖານຂໍ້ມູນ.

/etc/postfix/mysql-virtual-mailbox-domains.cf

user = usermail
password = mailpassword
hosts = 127.0.0.1
dbname = servermail
query = SELECT 1 FROM virtual_domains WHERE name='%s'

/etc/postfix/mysql-virtual-mailbox-maps.cf

user = usermail
password = mailpassword
hosts = 127.0.0.1
dbname = servermail
query = SELECT 1 FROM virtual_users WHERE email='%s'

/etc/postfix/mysql-virtual-alias-maps.cf

user = usermail
password = mailpassword
hosts = 127.0.0.1
dbname = servermail
query = SELECT destination FROM virtual_aliases WHERE source='%s'

# SMTP-Auth settings
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes

ໃນປັດຈຸບັນ postfix ຮູ້ວ່າ mail ສາມາດຖືກຍອມຮັບສໍາລັບການສົ່ງຕໍ່ໄປພຽງແຕ່ຫຼັງຈາກການອະນຸຍາດກັບ dovecot.

ຂ້ອຍບໍ່ເຂົ້າໃຈແທ້ໆວ່າເປັນຫຍັງມັນຊໍ້າກັນຢູ່ບ່ອນນີ້. ພວກເຮົາໄດ້ລະບຸທຸກຢ່າງທີ່ຈໍາເປັນໃນ “virtual_transport” ແລ້ວ.

ແຕ່ລະບົບ postfix ແມ່ນເກົ່າຫຼາຍ - ອາດຈະເປັນການຖິ້ມຂີ້ເຫຍື້ອຈາກສະ ໄໝ ກ່ອນ.

smtpd_recipient_restrictions =
        ...

smtpd_helo_restrictions =
        ...

smtpd_client_restrictions =
        ...

ນີ້ສາມາດຖືກຕັ້ງຄ່າແຕກຕ່າງກັນສໍາລັບແຕ່ລະເຄື່ອງແມ່ຂ່າຍເມລ.

ຂ້ອຍມີ 3 ເຄື່ອງແມ່ຂ່າຍເມລຢູ່ໃນການກໍາຈັດຂອງຂ້ອຍແລະການຕັ້ງຄ່າເຫຼົ່ານີ້ແມ່ນແຕກຕ່າງກັນຫຼາຍເນື່ອງຈາກຄວາມຕ້ອງການການນໍາໃຊ້ທີ່ແຕກຕ່າງກັນ.

ທ່ານຈໍາເປັນຕ້ອງຕັ້ງຄ່າມັນຢ່າງລະມັດລະວັງ - ຖ້າບໍ່ດັ່ງນັ້ນ spam ຈະໄຫລມາຫາທ່ານ, ຫຼືຮ້າຍແຮງກວ່າເກົ່າ - spam ຈະໄຫຼຈາກທ່ານ.

# SPF
policyd-spf_time_limit = 3600

ການຕັ້ງຄ່າສໍາລັບບາງ plugin ທີ່ກ່ຽວຂ້ອງກັບການກວດສອບ SPF ຂອງຕົວອັກສອນທີ່ເຂົ້າມາ.

# OpenDKIM
milter_default_action = accept
milter_protocol = 6
smtpd_milters = unix:var/run/opendkim/opendkim.sock
non_smtpd_milters = unix:var/run/opendkim/opendkim.sock

ການຕັ້ງຄ່າແມ່ນວ່າພວກເຮົາຕ້ອງໃຫ້ລາຍເຊັນ DKIM ກັບອີເມວຂາອອກທັງຫມົດ.

# IP address per domain
sender_dependent_default_transport_maps = pcre:/etc/postfix/sdd_transport.pcre

ນີ້ແມ່ນລາຍລະອຽດທີ່ສໍາຄັນໃນເສັ້ນທາງຈົດຫມາຍໃນເວລາທີ່ສົ່ງຈົດຫມາຍຈາກ PHP scripts.

ໄຟລ໌ “/etc/postfix/sdd_transport.pcre”:

/^[email protected]$/ domain1:
/^[email protected]$/ domain2:
/^[email protected]$/ domain3:
/@domain1.com$/             domain1:
/@domain2.com$/             domain2:
/@domain3.com$/             domain3:

ຢູ່ເບື້ອງຊ້າຍແມ່ນການສະແດງອອກປົກກະຕິ. ຢູ່ເບື້ອງຂວາແມ່ນປ້າຍທີ່ໝາຍເຖິງຕົວໜັງສື.
Postfix ສອດຄ່ອງກັບປ້າຍຊື່ - ຈະຄໍານຶງເຖິງສາຍການຕັ້ງຄ່າຫຼາຍສໍາລັບຕົວອັກສອນສະເພາະ.

ວິທີການ postfix ທີ່ແນ່ນອນຈະຖືກຕັ້ງຄ່າໃຫມ່ສໍາລັບຈົດຫມາຍສະເພາະຈະຖືກລະບຸໄວ້ໃນ "master.cf".

ແຖວ 4, 5, 6 ແມ່ນສາຍຫຼັກ. ໃນນາມຂອງໂດເມນທີ່ພວກເຮົາກໍາລັງສົ່ງຈົດຫມາຍ, ພວກເຮົາໃສ່ປ້າຍນີ້.
ແຕ່ພາກສະຫນາມ "ຈາກ" ບໍ່ໄດ້ສະແດງຢູ່ໃນສະຄິບ PHP ໃນລະຫັດເກົ່າ. ຫຼັງຈາກນັ້ນ, ຊື່ຜູ້ໃຊ້ມາກູ້ໄພ.

ບົດຄວາມແມ່ນກວ້າງຂວາງແລ້ວ - ຂ້ອຍບໍ່ຕ້ອງການທີ່ຈະລົບກວນໂດຍການຕັ້ງຄ່າ nginx+fpm.

ໂດຍຫຍໍ້, ສໍາລັບແຕ່ລະເວັບໄຊທ໌ພວກເຮົາກໍານົດເຈົ້າຂອງ linux-user ຂອງຕົນເອງ. ແລະຕາມນັ້ນ, fpm-pool ຂອງທ່ານ.

Fpm-pool ໃຊ້ php ຮຸ່ນໃດກໍ່ຕາມ (ມັນດີຫຼາຍເມື່ອຢູ່ໃນເຄື່ອງແມ່ຂ່າຍດຽວກັນທ່ານສາມາດນໍາໃຊ້ php ຮຸ່ນທີ່ແຕກຕ່າງກັນແລະແມ້ກະທັ້ງ php.ini ທີ່ແຕກຕ່າງກັນສໍາລັບເວັບໄຊທ໌ໃກ້ຄຽງໂດຍບໍ່ມີບັນຫາ).

ດັ່ງນັ້ນ, ຜູ້ໃຊ້ linux ສະເພາະ "www-domain2" ມີເວັບໄຊທ໌ domain2.com. ເວັບໄຊທ໌ນີ້ມີລະຫັດສໍາລັບການສົ່ງອີເມວໂດຍບໍ່ມີການລະບຸຊ່ອງຂໍ້ມູນຈາກ.

ດັ່ງນັ້ນ, ເຖິງແມ່ນວ່າໃນກໍລະນີນີ້, ຈົດຫມາຍຈະຖືກສົ່ງຢ່າງຖືກຕ້ອງແລະຈະບໍ່ສິ້ນສຸດໃນ spam.

"/etc/postfix/master.cf" ຂອງຂ້ອຍເບິ່ງຄືດັ່ງນີ້:

...
smtp      inet  n       -       y       -       -       smtpd
  -o content_filter=spamassassin
...
submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
...
policyd-spf  unix  -       n       n       -       0       spawn
    user=policyd-spf argv=/usr/bin/policyd-spf

spamassassin unix -     n       n       -       -       pipe
    user=spamd argv=/usr/bin/spamc -f -e
    /usr/sbin/sendmail -oi -f ${sender} ${recipient}
...
domain1  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X1
   -o smtp_helo_name=domain1.com
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:1:1:1
   -o syslog_name=postfix-domain1

domain2  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X5
   -o smtp_helo_name=domain2.com
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:2:1:1
   -o syslog_name=postfix-domain2

domain3  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X2
   -o smtp_helo_name=domain3
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:1:5:1
   -o syslog_name=postfix-domain3

ໄຟລ໌ບໍ່ໄດ້ຖືກສະຫນອງໃຫ້ເຕັມ - ມັນມີຂະຫນາດໃຫຍ່ຫຼາຍ.
ຂ້າພະເຈົ້າພຽງແຕ່ສັງເກດເຫັນສິ່ງທີ່ມີການປ່ຽນແປງ.

smtp      inet  n       -       y       -       -       smtpd
  -o content_filter=spamassassin
...
spamassassin unix -     n       n       -       -       pipe
    user=spamd argv=/usr/bin/spamc -f -e
    /usr/sbin/sendmail -oi -f ${sender} ${recipient}

ເຫຼົ່ານີ້ແມ່ນການຕັ້ງຄ່າທີ່ກ່ຽວຂ້ອງກັບ spamassasin, ເພີ່ມເຕີມກ່ຽວກັບວ່າຕໍ່ມາ.

submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject

ພວກເຮົາອະນຸຍາດໃຫ້ທ່ານເຊື່ອມຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍເມລຜ່ານພອດ 587.
ເພື່ອເຮັດສິ່ງນີ້, ທ່ານຕ້ອງເຂົ້າສູ່ລະບົບ.

policyd-spf  unix  -       n       n       -       0       spawn
    user=policyd-spf argv=/usr/bin/policyd-spf

ເປີດໃຊ້ການກວດສອບ SPF.

apt-get install postfix-policyd-spf-python

ໃຫ້ຕິດຕັ້ງຊຸດສໍາລັບການກວດສອບ SPF ຂ້າງເທິງ.

domain1  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X1
   -o smtp_helo_name=domain1.com
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:1:1:1
   -o syslog_name=postfix-domain1

ແລະນີ້ແມ່ນສິ່ງທີ່ຫນ້າສົນໃຈທີ່ສຸດ. ນີ້ແມ່ນຄວາມສາມາດໃນການສົ່ງຈົດຫມາຍສໍາລັບໂດເມນສະເພາະຈາກທີ່ຢູ່ IPv4/IPv6 ສະເພາະ.

ນີ້ແມ່ນເຮັດເພື່ອຜົນປະໂຫຍດຂອງ rDNS. rDNS ແມ່ນຂະບວນການຮັບສາຍໂດຍທີ່ຢູ່ IP.
ແລະສໍາລັບ mail, ຄຸນສົມບັດນີ້ຖືກນໍາໃຊ້ເພື່ອຢືນຢັນວ່າ helo ກົງກັບ rDNS ຂອງທີ່ຢູ່ທີ່ອີເມວຖືກສົ່ງ.

ຖ້າ helo ບໍ່ກົງກັບໂດເມນອີເມລ໌ໃນນາມຂອງຜູ້ທີ່ຈົດຫມາຍຖືກສົ່ງໄປ, ຈຸດຂີ້ເຫຍື້ອແມ່ນໄດ້ຮັບລາງວັນ.

Helo ບໍ່ກົງກັບ rDNS - ຫຼາຍຈຸດຂີ້ເຫຍື້ອໄດ້ຮັບຮາງວັນ.
ດັ່ງນັ້ນ, ແຕ່ລະໂດເມນຕ້ອງມີທີ່ຢູ່ IP ຂອງຕົນເອງ.
ສໍາລັບ OVH - ໃນ console ມັນເປັນໄປໄດ້ທີ່ຈະລະບຸ rDNS.
ສໍາລັບ tech.ru - ບັນຫາໄດ້ຖືກແກ້ໄຂໂດຍຜ່ານການສະຫນັບສະຫນູນ.
ສໍາລັບ AWS, ບັນຫາໄດ້ຖືກແກ້ໄຂໂດຍຜ່ານການສະຫນັບສະຫນູນ.
"inet_protocols" ແລະ "smtp_bind_address6" - ພວກເຮົາເປີດໃຊ້ການສະຫນັບສະຫນູນ IPv6.
ສໍາລັບ IPv6 ທ່ານກໍ່ຈໍາເປັນຕ້ອງລົງທະບຽນ rDNS.
"syslog_name" - ແລະນີ້ແມ່ນເພື່ອຄວາມສະດວກໃນການອ່ານບັນທຶກ.

ຊື້ໃບຢັ້ງຢືນ ຂ້ອຍຂໍແນະນໍາທີ່ນີ້.

ຕັ້ງຄ່າລິ້ງ postfix+dovecot ຢູ່ທີ່ນີ້.

ການຕັ້ງຄ່າ SPF.

============= Dovecot =============

apt-get install dovecot-imapd dovecot-pop3d dovecot-lmtpd dovecot-mysql dovecot-antispam

ການຕັ້ງຄ່າ mysql, ຕິດຕັ້ງແພັກເກັດດ້ວຍຕົນເອງ.

ໄຟລ໌ "/etc/dovecot/conf.d/10-auth.conf"

disable_plaintext_auth = yes
auth_mechanisms = plain login

ການອະນຸຍາດແມ່ນຖືກເຂົ້າລະຫັດເທົ່ານັ້ນ.

ໄຟລ໌ “/etc/dovecot/conf.d/10-mail.conf”

mail_location = maildir:/var/mail/vhosts/%d/%n

ໃນທີ່ນີ້ພວກເຮົາຊີ້ບອກສະຖານທີ່ເກັບຮັກສາສໍາລັບຕົວອັກສອນ.

ຂ້ອຍຕ້ອງການໃຫ້ພວກເຂົາຖືກເກັບໄວ້ໃນໄຟລ໌ແລະຈັດກຸ່ມໂດຍໂດເມນ.

ໄຟລ໌ "/etc/dovecot/conf.d/10-master.conf"

service imap-login {
  inet_listener imap {
    port = 0
  }
  inet_listener imaps {
    address = XX.XX.XX.X1, XX.XX.XX.X2, XX.XX.XX.X5, [XXXX:XXXX:XXXX:XXXX:1:1:1:1], [XXXX:XXXX:XXXX:XXXX:1:2:1:1], [XXXX:XXXX:XXXX:XXXX:1:1:5:1]
    port = 993
    ssl = yes
  }
}
service pop3-login {
  inet_listener pop3 {
    port = 0
  }
  inet_listener pop3s {
    address = XX.XX.XX.X1, XX.XX.XX.X2, XX.XX.XX.X5, [XXXX:XXXX:XXXX:XXXX:1:1:1:1], [XXXX:XXXX:XXXX:XXXX:1:2:1:1], [XXXX:XXXX:XXXX:XXXX:1:1:5:1]
    port = 995
    ssl = yes
  }
}
service lmtp {
  unix_listener /var/spool/postfix/private/dovecot-lmtp {
    mode = 0600
    user = postfix
    group = postfix
  }
}
service imap {
}
service pop3 {
}
service auth {
  unix_listener auth-userdb {
    mode = 0600
    user = vmail
  }

  unix_listener /var/spool/postfix/private/auth {
    mode = 0666
    user = postfix
    group = postfix
  }
  user = dovecot
}
service auth-worker {
  user = vmail
}
service dict {
  unix_listener dict {
  }
}

ນີ້ແມ່ນໄຟລ໌ການຕັ້ງຄ່າ dovecot ຕົ້ນຕໍ.
ໃນທີ່ນີ້ພວກເຮົາປິດການເຊື່ອມຕໍ່ທີ່ບໍ່ປອດໄພ.
ແລະເປີດໃຊ້ການເຊື່ອມຕໍ່ທີ່ປອດໄພ.

ໄຟລ໌ "/etc/dovecot/conf.d/10-ssl.conf"

ssl = required
ssl_cert = </etc/nginx/ssl/domain1.com.2018.chained.crt
ssl_key = </etc/nginx/ssl/domain1.com.2018.key
local XX.XX.XX.X5 {
  ssl_cert = </etc/nginx/ssl/domain2.com.2018.chained.crt
  ssl_key =  </etc/nginx/ssl/domain2.com.2018.key
}

ຕັ້ງຄ່າ ssl. ພວກເຮົາຊີ້ບອກວ່າຕ້ອງການ ssl.
ແລະໃບຢັ້ງຢືນຕົວມັນເອງ. ແລະລາຍລະອຽດທີ່ສໍາຄັນແມ່ນຄໍາສັ່ງ "ທ້ອງຖິ່ນ". ຊີ້ບອກວ່າຈະໃຊ້ໃບຢັ້ງຢືນ SSL ໃດເມື່ອເຊື່ອມຕໍ່ກັບ IPv4 ທ້ອງຖິ່ນໃດ.

ໂດຍວິທີທາງການ, IPv6 ບໍ່ໄດ້ຖືກຕັ້ງຄ່າຢູ່ທີ່ນີ້, ຂ້ອຍຈະແກ້ໄຂການລະເວັ້ນນີ້ໃນພາຍຫຼັງ.
XX.XX.XX.X5 (domain2) - ບໍ່ມີໃບຢັ້ງຢືນ. ເພື່ອເຊື່ອມຕໍ່ລູກຄ້າທ່ານຈໍາເປັນຕ້ອງລະບຸ domain1.com.
XX.XX.XX.X2 (domain3) - ມີໃບຢັ້ງຢືນ, ທ່ານສາມາດກໍານົດ domain1.com ຫຼື domain3.com ເພື່ອເຊື່ອມຕໍ່ລູກຄ້າ.

ໄຟລ໌ "/etc/dovecot/conf.d/15-lda.conf"

protocol lda {
  mail_plugins = $mail_plugins sieve
}

ນີ້ຈະມີຄວາມຈໍາເປັນສໍາລັບ spamassin ໃນອະນາຄົດ.

ໄຟລ໌ "/etc/dovecot/conf.d/20-imap.conf"

protocol imap {
  mail_plugins = $mail_plugins antispam
}

ນີ້ແມ່ນ plugin antispam. ຕ້ອງການສໍາລັບການຝຶກອົບຮົມ spamassasin ໃນເວລາໂອນໄປຫາ / ຈາກໂຟນເດີ "Spam".

ໄຟລ໌ "/etc/dovecot/conf.d/20-pop3.conf"

protocol pop3 {
}

ມີພຽງແຕ່ໄຟລ໌ດັ່ງກ່າວ.

ໄຟລ໌ “/etc/dovecot/conf.d/20-lmtp.conf”

protocol lmtp {
  mail_plugins = $mail_plugins sieve
  postmaster_address = [email protected]
}

ຕັ້ງຄ່າ lmtp.

ໄຟລ໌ "/etc/dovecot/conf.d/90-antispam.conf"

plugin {
  antispam_backend = pipe
  antispam_trash = Trash;trash
  antispam_spam = Junk;Spam;SPAM
  antispam_pipe_program_spam_arg = --spam
  antispam_pipe_program_notspam_arg = --ham
  antispam_pipe_program = /usr/bin/sa-learn
  antispam_pipe_program_args = --username=%Lu
}

ການຕັ້ງຄ່າການຝຶກອົບຮົມ Spamassasin ໃນເວລາໂອນໄປຫາ / ຈາກໂຟນເດີ Spam.

ໄຟລ໌ "/etc/dovecot/conf.d/90-sieve.conf"

plugin {
  sieve = ~/.dovecot.sieve
  sieve_dir = ~/sieve
  sieve_after = /var/lib/dovecot/sieve/default.sieve
}

ໄຟລ໌ທີ່ລະບຸວ່າຈະເຮັດແນວໃດກັບຕົວອັກສອນຂາເຂົ້າ.

ໄຟລ໌ "/var/lib/dovecot/sieve/default.sieve"

require ["fileinto", "mailbox"];

if header :contains "X-Spam-Flag" "YES" {
        fileinto :create "Spam";
}

ທ່ານຈໍາເປັນຕ້ອງລວບລວມໄຟລ໌: "sievec default.sieve".

ໄຟລ໌ "/etc/dovecot/conf.d/auth-sql.conf.ext"

passdb {
  driver = sql
  args = /etc/dovecot/dovecot-sql.conf.ext
}
userdb {
  driver = static
  args = uid=vmail gid=vmail home=/var/mail/vhosts/%d/%n
}

ການກໍານົດໄຟລ໌ sql ສໍາລັບການອະນຸຍາດ.
ແລະໄຟລ໌ຕົວມັນເອງຖືກນໍາໃຊ້ເປັນວິທີການອະນຸຍາດ.

ໄຟລ໌ "/etc/dovecot/dovecot-sql.conf.ext"

driver = mysql
connect = host=127.0.0.1 dbname=servermail user=usermail password=password
default_pass_scheme = SHA512-CRYPT
password_query = SELECT email as user, password FROM virtual_users WHERE email='%u';

ນີ້ສອດຄ່ອງກັບການຕັ້ງຄ່າທີ່ຄ້າຍຄືກັນສໍາລັບ postfix.

ໄຟລ໌ "/etc/dovecot/dovecot.conf"

protocols = imap lmtp pop3
listen = *, ::
dict {
}
!include conf.d/*.conf
!include_try local.conf

ໄຟລ໌ການຕັ້ງຄ່າຕົ້ນຕໍ.
ສິ່ງທີ່ສໍາຄັນແມ່ນວ່າພວກເຮົາຊີ້ໃຫ້ເຫັນຢູ່ທີ່ນີ້ - ເພີ່ມໂປໂຕຄອນ.

============= SpamAssassin =============

apt-get install spamassassin spamc

ໃຫ້ເຮົາຕິດຕັ້ງແພັກເກັດ.

adduser spamd --disabled-login

ໃຫ້ເພີ່ມຜູ້ໃຊ້ໃນນາມຂອງໃຜ.

systemctl enable spamassassin.service

ພວກ​ເຮົາ​ເປີດ​ໃຊ້​ງານ​ການ​ບໍ​ລິ​ການ spamassassin ການ​ໂຫຼດ​ອັດ​ຕະ​ໂນ​ມັດ​ຫຼັງ​ຈາກ​ການ​ໂຫຼດ​.

ໄຟລ໌ "/etc/default/spamassassin":

CRON=1

ໂດຍການເປີດໃຊ້ການປັບປຸງກົດລະບຽບອັດຕະໂນມັດ "ໂດຍຄ່າເລີ່ມຕົ້ນ".

ໄຟລ໌ “/etc/spamassassin/local.cf”:

report_safe 0

use_bayes          1
bayes_auto_learn   1
bayes_auto_expire  1
bayes_store_module Mail::SpamAssassin::BayesStore::MySQL
bayes_sql_dsn      DBI:mysql:sa:localhost:3306
bayes_sql_username sa
bayes_sql_password password

ທ່ານຈໍາເປັນຕ້ອງສ້າງຖານຂໍ້ມູນ "sa" ໃນ mysql ກັບຜູ້ໃຊ້ "sa" ດ້ວຍລະຫັດຜ່ານ "ລະຫັດຜ່ານ" (ແທນທີ່ດ້ວຍສິ່ງທີ່ພຽງພໍ).

report_safe - ນີ້ຈະສົ່ງບົດລາຍງານຂອງອີເມວຂີ້ເຫຍື້ອແທນທີ່ຈະເປັນຈົດຫມາຍ.
use_bayes ແມ່ນການຕັ້ງຄ່າການຮຽນຮູ້ເຄື່ອງຈັກ spamassassin.

ການຕັ້ງຄ່າ spamassassin ທີ່ຍັງເຫຼືອໄດ້ຖືກນໍາໃຊ້ກ່ອນຫນ້ານີ້ໃນບົດຄວາມ.

ການຕັ້ງຄ່າທົ່ວໄປ "spamassassin".
ກ່ຽວກັບການຍ້າຍອີເມວ Spam ໃໝ່ໄປຫາໂຟນເດີ IMAP “Spam”.
ກ່ຽວກັບການປະສົມປະສານທີ່ງ່າຍດາຍຂອງ Dovecot + SpamAssassin.
ຂ້ອຍຂໍແນະນໍາໃຫ້ອ່ານທິດສະດີການຮຽນຮູ້ spamassasin ເມື່ອຍ້າຍຕົວອັກສອນໃນໂຟນເດີ imap (ແລະຂ້ອຍບໍ່ແນະນໍາໃຫ້ໃຊ້ມັນ).

============= ຂໍອຸທອນກັບຊຸມຊົນ =============

ຂ້າພະເຈົ້າຍັງຢາກຖິ້ມຄວາມຄິດເຂົ້າໄປໃນຊຸມຊົນກ່ຽວກັບວິທີການເພີ່ມລະດັບຄວາມປອດໄພຂອງຈົດຫມາຍທີ່ຖືກສົ່ງຕໍ່. ນັບຕັ້ງແຕ່ຂ້າພະເຈົ້າ immersed ນັ້ນເລິກຢູ່ໃນຫົວຂໍ້ຂອງ mail.

ເພື່ອໃຫ້ຜູ້ໃຊ້ສາມາດສ້າງຄູ່ຂອງຄີໃນລູກຄ້າຂອງລາວ (outlook, thunderbird, browser-plugin, ... ). ສາທາລະນະ ແລະເອກະຊົນ. ສາທາລະນະ - ສົ່ງໄປຫາ DNS. ສ່ວນຕົວ - ປະຫຍັດລູກຄ້າ. ເຄື່ອງແມ່ຂ່າຍເມລຈະສາມາດໃຊ້ລະຫັດສາທາລະນະເພື່ອສົ່ງໄປຫາຜູ້ຮັບສະເພາະ.

ແລະເພື່ອປ້ອງກັນ spam ດ້ວຍຕົວອັກສອນດັ່ງກ່າວ (ແມ່ນແລ້ວ, ເຄື່ອງແມ່ຂ່າຍເມລຈະບໍ່ສາມາດເບິ່ງເນື້ອຫາໄດ້) - ທ່ານຈະຕ້ອງແນະນໍາ 3 ກົດລະບຽບ:

1. ລາຍເຊັນ DKIM ທີ່ແທ້ຈິງບັງຄັບ, SPF ບັງຄັບ, rDNS ບັງຄັບ.
2. ເຄືອຂ່າຍ neural ກ່ຽວກັບການຝຶກອົບຮົມ antispam + ຖານຂໍ້ມູນສໍາລັບມັນຢູ່ໃນຝ່າຍລູກຄ້າ.
3. ຂັ້ນຕອນການເຂົ້າລະຫັດຕ້ອງເປັນແບບນັ້ນທີ່ຝ່າຍສົ່ງຕ້ອງໃຊ້ພະລັງງານ CPU ຫຼາຍກວ່າ 100 ເທົ່າໃນການເຂົ້າລະຫັດຫຼາຍກວ່າດ້ານຮັບ.

ນອກເຫນືອໄປຈາກຈົດຫມາຍສາທາລະນະ, ພັດທະນາຈົດຫມາຍສະເຫນີມາດຕະຖານ "ເພື່ອເລີ່ມຕົ້ນການຕິດຕໍ່ທີ່ປອດໄພ." ຫນຶ່ງໃນຜູ້ໃຊ້ (ກ່ອງຈົດຫມາຍ) ສົ່ງຈົດຫມາຍທີ່ມີໄຟລ໌ແນບໄປຫາກ່ອງຈົດຫມາຍອື່ນ. ຈົດຫມາຍສະບັບປະກອບດ້ວຍການສະເຫນີຂໍ້ຄວາມເພື່ອເລີ່ມຕົ້ນຊ່ອງທາງການສື່ສານທີ່ປອດໄພສໍາລັບການຕິດຕໍ່ພົວພັນແລະລະຫັດສາທາລະນະຂອງເຈົ້າຂອງກ່ອງຈົດຫມາຍ (ມີລະຫັດສ່ວນຕົວຢູ່ຝ່າຍລູກຄ້າ).

ເຈົ້າສາມາດເຮັດກະແຈສອງອັນສະເພາະສຳລັບແຕ່ລະຈົດໝາຍ. ຜູ້ໃຊ້ຜູ້ຮັບສາມາດຍອມຮັບຂໍ້ສະເຫນີນີ້ແລະສົ່ງລະຫັດສາທາລະນະຂອງລາວ (ຍັງເຮັດໂດຍສະເພາະສໍາລັບຈົດຫມາຍສະບັບນີ້). ຕໍ່ໄປ, ຜູ້ໃຊ້ທໍາອິດຈະສົ່ງຈົດຫມາຍຄວບຄຸມການບໍລິການ (ເຂົ້າລະຫັດດ້ວຍລະຫັດສາທາລະນະຂອງຜູ້ໃຊ້ທີສອງ) - ເມື່ອໄດ້ຮັບ, ຜູ້ໃຊ້ທີສອງສາມາດພິຈາລະນາຊ່ອງທາງການສື່ສານທີ່ເຊື່ອຖືໄດ້. ຕໍ່ໄປ, ຜູ້ໃຊ້ທີສອງສົ່ງຈົດຫມາຍຄວບຄຸມ - ແລະຫຼັງຈາກນັ້ນຜູ້ໃຊ້ທໍາອິດຍັງສາມາດພິຈາລະນາຊ່ອງທາງທີ່ຖືກສ້າງຕັ້ງຂຶ້ນຢ່າງປອດໄພ.

ເພື່ອຕ້ານການຂັດຂວາງຂອງກະແຈຢູ່ໃນຖະຫນົນ, ໂປໂຕຄອນຕ້ອງສະຫນອງຄວາມເປັນໄປໄດ້ຂອງການສົ່ງລະຫັດສາທາລະນະຢ່າງຫນ້ອຍຫນຶ່ງອັນໂດຍໃຊ້ flash drive.

ແລະສິ່ງທີ່ສໍາຄັນທີ່ສຸດແມ່ນມັນເຮັດວຽກທັງຫມົດ (ຄໍາຖາມແມ່ນ "ໃຜຈະຈ່າຍຄ່າມັນ?"):
ໃສ່ໃບຮັບຮອງທາງໄປສະນີເລີ່ມຕົ້ນທີ່ $10 ເປັນເວລາ 3 ປີ. ເຊິ່ງຈະຊ່ວຍໃຫ້ຜູ້ສົ່ງຊີ້ບອກໃນ dns ວ່າ "ກະແຈສາທາລະນະຂອງຂ້ອຍຢູ່ທີ່ນັ້ນ." ແລະພວກເຂົາຈະໃຫ້ທ່ານມີໂອກາດທີ່ຈະເລີ່ມຕົ້ນການເຊື່ອມຕໍ່ທີ່ປອດໄພ. ໃນເວລາດຽວກັນ, ການຍອມຮັບການເຊື່ອມຕໍ່ດັ່ງກ່າວແມ່ນບໍ່ເສຍຄ່າ.
gmail ສຸດທ້າຍແມ່ນ monetizing ຜູ້ໃຊ້ຂອງຕົນ. ສໍາລັບ $10 ຕໍ່ 3 ປີ - ສິດທິໃນການສ້າງຊ່ອງທາງການຕິດຕໍ່ທີ່ປອດໄພ.

============= ສະຫຼຸບ =============

ເພື່ອທົດສອບບົດຄວາມທັງຫມົດ, ຂ້ອຍຈະເຊົ່າເຄື່ອງແມ່ຂ່າຍທີ່ອຸທິດຕົນເປັນເວລາຫນຶ່ງເດືອນແລະຊື້ໂດເມນທີ່ມີໃບຢັ້ງຢືນ SSL.

​ແຕ່​ສະພາບ​ຊີວິດ​ໄດ້​ພັດທະນາ​ຂຶ້ນ​ຈົນ​ບັນຫາ​ນີ້​ເກີດ​ຂຶ້ນ​ເປັນ​ເວລາ 2 ເດືອນ.
ແລະດັ່ງນັ້ນ, ເມື່ອຂ້ອຍມີເວລາຫວ່າງອີກເທື່ອຫນຶ່ງ, ຂ້ອຍໄດ້ຕັດສິນໃຈທີ່ຈະພິມບົດຄວາມດັ່ງກ່າວ, ແທນທີ່ຈະມີຄວາມສ່ຽງທີ່ສິ່ງພິມຈະລາກໄປອີກປີຫນຶ່ງ.

ຖ້າມີຄໍາຖາມຫຼາຍຢ່າງເຊັ່ນ "ແຕ່ນີ້ບໍ່ໄດ້ຖືກອະທິບາຍໃນລາຍລະອຽດພຽງພໍ", ມັນອາດຈະມີຄວາມເຂັ້ມແຂງທີ່ຈະເອົາເຄື່ອງແມ່ຂ່າຍທີ່ອຸທິດຕົນທີ່ມີໂດເມນໃຫມ່ແລະໃບຢັ້ງຢືນ SSL ໃຫມ່ແລະອະທິບາຍລາຍລະອຽດເພີ່ມເຕີມແລະ, ຫຼາຍທີ່ສຸດ. ສໍາຄັນ, ກໍານົດລາຍລະອຽດທີ່ສໍາຄັນທັງຫມົດທີ່ຂາດຫາຍໄປ.

ຂ້າພະເຈົ້າຍັງຢາກໄດ້ຮັບຄໍາຄິດເຫັນກ່ຽວກັບແນວຄວາມຄິດກ່ຽວກັບໃບຢັ້ງຢືນການໄປສະນີ. ຖ້າທ່ານຕ້ອງການຄວາມຄິດ, ຂ້ອຍຈະພະຍາຍາມຊອກຫາຄວາມເຂັ້ມແຂງໃນການຂຽນຮ່າງສໍາລັບ rfc.

ເມື່ອຄັດລອກສ່ວນໃຫຍ່ຂອງບົດຄວາມ, ໃຫ້ການເຊື່ອມຕໍ່ກັບບົດຄວາມນີ້.
ເມື່ອແປເປັນພາສາອື່ນ, ໃຫ້ເຊື່ອມຕໍ່ຫາບົດຄວາມນີ້.
ຂ້ອຍຈະພະຍາຍາມແປເປັນພາສາອັງກິດດ້ວຍຕົນເອງ ແລະອອກຈາກການອ້າງອີງຂ້າມ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com