[postfix-jp:02942] Re: SMTP Authentication と POP before SMTP

[Hideo NAKAMITSU <nomo@xxxxxxxxxxxxx>]

中満です．

On Wed, 21 May 2003 21:42:23 +0900
LeiJun <jun@xxxxxxxxxxxxxxxxxx> wrote:

> smtpd_recipient_restrictions =
>         permit_mynetworks,
>         check_client_access hash:/etc/postfix/pop-before-smtp,
>         permit_sasl_authenticated,
>         reject_unauth_destination
> 
> と設定しています
> 
> 　これだと、sasl_authenticatedかpop-before-smtpがどれかが通ればリレーで
> きますが、あまり意味がなかったって感じですので、両方全部通れるにしかリ
> レーできないように設定したいですが、どうすればよろしいでしょうか。
> 　ご教授願いします

smtpd_recipient_restrictionでは最初にマッチしたものを許可するため
「両方にマッチして初めて許可」というのはソースをさわらない限り
不可能に思えます．

一見popb4smtpとSMTP Auth両方にマッチしたメールをリレーするのは
セキュリティ的に優れているような感じもしますが，個人的にはSMTP Auth
で必要十分かと思います．

というのは，仮にユーザのパスワードが盗まれてしまうと不正中継(スパム)が
成立してしまいますが，問題のアカウントはログを参照することで簡単に
発見できます．問題のアカウントに対して警告するなりパスワードを変更する
なりの対処で済むはずです．
(そのパスワードでsshできたりpop3できると問題ですけど．)

少し違った側面で，SMTP AuthとTLSを併用されたら如何でしょうか？

/* -----------------------------------
Hideo NAKAMITSU <nomo@xxxxxxxxxxxxx>
http://solaris.bluecoara.net/
----------------------------------- */