如何保障ubuntu邮件服务器安全

保障 Ubuntu 邮件服务器安全需要从系统层、邮件服务层、网络层、认证与加密、监控审计多个维度综合考虑。下面按实践优先级给出一套较完整的安全方案。

一、系统基础安全

1. 系统加固

使用 长期支持版（LTS） Ubuntu
及时更新系统：
```
sudo apt update && sudo apt upgrade -y
```

禁用 root 远程登录：

sudo nano /etc/ssh/sshd_config

设置：

PermitRootLogin no

使用 SSH 密钥登录，禁用密码登录（可选但推荐）

2. 防火墙（UFW）

只开放必要端口：

sudo ufw allow 25,465,587,143,993,22/tcp
sudo ufw enable

二、邮件服务组件安全（以 Postfix + Dovecot 为例）

1. Postfix 安全配置

常见安全参数（/etc/postfix/main.cf）：

smtpd_banner = $myhostname ESMTP
disable_vrfy_command = yes
smtpd_helo_required = yes

# 限制中继
smtpd_relay_restrictions =
  permit_mynetworks,
  permit_sasl_authenticated,
  reject_unauth_destination

# 防暴力
anvil_rate_time_unit = 60s
anvil_rate_limit = 20

2. Dovecot 安全

禁用明文登录：
```
disable_plaintext_auth = yes
```

使用 SSL/TLS：

ssl = required
ssl_cert = </etc/ssl/certs/mail.crt
ssl_key = </etc/ssl/private/mail.key

三、加密与认证

1. 强制 TLS

SMTP：STARTTLS（587）或 SMTPS（465）
IMAP/POP3：993 / 995

使用可信证书（Let’s Encrypt）：

sudo apt install certbot
sudo certbot certonly --standalone -d mail.example.com

2. SASL 认证

使用 Dovecot SASL 进行用户认证
密码务必加密存储（bcrypt / SHA512）

四、防垃圾邮件与滥用

1. 基础反垃圾

启用 SPF：
```
v=spf1 mx -all
```
配置 DKIM（如 OpenDKIM）
配置 DMARC

2. 使用反垃圾组件

SpamAssassin
Postgrey（灰名单）
Fail2Ban（防爆破）

sudo apt install fail2ban

示例过滤 SMTP：

[postfix]
enabled = true
port = smtp,ssmtp
filter = postfix
logpath = /var/log/mail.log
maxretry = 5

五、用户与权限管理

邮件用户与普通系统用户分离
限制用户发信频率
禁止开放中继（open relay）
定期检查：
```
postconf -n | grep relay
```

六、日志与监控

监控关键日志：
```
/var/log/mail.log
/var/log/auth.log
```
设置告警（如邮件/钉钉/Slack）
定期审查异常登录和大量发信

七、备份与应急

定期备份：
- 邮件数据
- 配置目录（/etc/postfix, /etc/dovecot）
演练恢复流程
准备黑名单申诉流程

八、推荐安全组合（最小可行方案）

Ubuntu + Postfix + Dovecot + Let’s Encrypt + Fail2Ban + SPF/DKIM/DMARC

如果你愿意，我可以：

按你使用的邮件软件（Postfix / Exim / Sendmail）给具体配置
给你一份 分步安全加固清单
或帮你检查现有配置文件是否存在安全隐患

你可以告诉我：
“当前邮件服务器用的什么组件？是否已经上线？”