Debian邮件服务器怎么防攻击

在 Debian 上部署邮件服务器（如 Postfix、Dovecot、Roundcube 等）时，防攻击非常重要。下面从 系统层、邮件服务层、认证层、网络层、监控与审计 等角度，给你一套实战可用的防护方案。

一、系统层加固（基础）

1. 系统更新

apt update && apt upgrade -y

2. 禁用 root 远程登录

# /etc/ssh/sshd_config
PermitRootLogin no

3. 使用 SSH 密钥 + 非标准端口

Port 22222
PasswordAuthentication no

二、邮件服务层防护（Postfix / Dovecot）

1. 限制发信权限（防开放中继）

✅ 严禁 Open Relay

Postfix 配置示例：

smtpd_relay_restrictions =
  permit_mynetworks,
  permit_sasl_authenticated,
  reject_unauth_destination

检查：

postconf smtpd_relay_restrictions

2. 限制单 IP 连接数（防暴力连接）

smtpd_client_connection_count_limit = 5
smtpd_client_connection_rate_limit = 20

3. 限制单用户发信频率（防滥发）

smtpd_client_message_rate_limit = 50

4. HELO / EHLO 校验

smtpd_helo_required = yes
smtpd_helo_restrictions =
  permit_mynetworks,
  reject_invalid_helo_hostname,
  reject_non_fqdn_helo_hostname

5. 拒绝明显垃圾发信

smtpd_recipient_restrictions =
  permit_mynetworks,
  permit_sasl_authenticated,
  reject_unauth_destination,
  reject_invalid_hostname,
  reject_non_fqdn_sender,
  reject_non_fqdn_recipient

三、认证层防护（防暴力破解）

1. 使用 Fail2ban（强烈推荐）

apt install fail2ban -y

示例：防 SMTP / IMAP 暴力破解

/etc/fail2ban/jail.local

[postfix]
enabled = true
port = smtp,submission
filter = postfix
logpath = /var/log/mail.log
maxretry = 5
bantime = 3600

[dovecot]
enabled = true
port = imap,imaps,pop3,pop3s
filter = dovecot
logpath = /var/log/mail.log
maxretry = 5

2. 禁止明文认证

smtpd_tls_auth_only = yes

3. 强密码策略

至少 12 位
包含大小写 + 数字 + 特殊字符
禁止弱口令

四、防垃圾邮件 & 伪造（SPF / DKIM / DMARC）

1. SPF

DNS 示例：

v=spf1 mx -all

2. DKIM（推荐使用 OpenDKIM）

apt install opendkim opendkim-tools

验证：

opendkim-testkey -d example.com -s default

3. DMARC

v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com

五、防 DOS / DDOS（网络层）

1. 使用防火墙（nftables / iptables）

apt install nftables

限制 SMTP 连接频率（示例）：

nft add rule inet filter input tcp dport 25 limit rate 20/minute accept

2. 使用 CloudFlare / 高防 IP（企业级）

隐藏真实邮件服务器 IP
防大流量攻击

六、防邮件炸弹（Mail Bomb）

1. 限制单封邮件大小

message_size_limit = 20MB

2. 限制邮箱大小

mailbox_size_limit = 512M

七、日志与监控（非常关键）

1. 查看异常行为

grep "reject" /var/log/mail.log
grep "auth failed" /var/log/mail.log

2. 使用 rsyslog + logrotate

避免日志被写满

3. 推荐使用监控工具

Netdata
Zabbix
Prometheus + Grafana

八、常见攻击 & 对应防御速查表

攻击类型	防护措施
开放中继	smtpd_relay_restrictions
暴力破解	Fail2ban
垃圾邮件	SPF / DKIM / DMARC
邮件炸弹	限制大小 + 频率
DoS	防火墙 + 连接限制
账号被盗	强密码 + TLS

九、推荐安全组合（实战）

✅ Debian + Postfix + Dovecot + Fail2ban + SPF/DKIM + TLS

如果你愿意，我可以：

✅ 帮你 检查现有 Postfix 配置是否安全
✅ 给你一套 完整邮件服务器安全加固清单
✅ 针对 企业 / 个人 / 高并发 场景单独优化

你可以直接贴出：

cat /etc/postfix/main.cf