postfix 作為 SMTP 轉信主機

新增 SPF 記錄

SPF 記錄的工作原理是，在「寄件者」郵件位址所在的網域設定裡，新增一筆 SMTP 主機 IP，用途是允許該 IP 使用這網域作為發信時的「寄件者」。

在 DNS Zone 新增一筆 TXT 記錄，內容為：

• Type: TXT
• Name: mydomain.com    或者 @
• Value: v=spf1 a mx ip4:123.123.123.123 ~all

123.123.123.123 是 SMTP 主機位址

如果有多個 IP 位址，要用空格隔開，例如 ip4:123.123.123.123 ip4:111.111.111.111

關於 SPF 更多的說明，請參閱 Google: 使用 SPF 對電子郵件寄件者進行授權

新增 DKIM 記錄

採用 DomainKeys Identified Mail (DKIM) 標準有助於防止外寄電子郵件遭到假冒。

「假冒電子郵件」意指變更電子郵件內容，讓郵件顯示非真實寄件來源的寄件者或寄件地址。假冒是在未經授權的情況下使用電子郵件，這種情形十分常見，因此部分電子郵件伺服器會要求設定 DKIM，以免電子郵件遭到假冒。

DKIM 會在所有外寄郵件的標頭加上加密簽名，收到這些郵件的電子郵件伺服器則會使用 DKIM 來解密郵件標頭，並將它與 DNS 上的公鑰做匹配，以確認郵件寄出後並未遭人竄改。

DKIM 有一組配對的公、私鑰，私鑰設定在 SMTP 主機上，公鑰則設定在公開的 DNS Zone 上。

在 DNS Zone 新增一筆 TXT 記錄，內容為：

• Type: TXT
• Name: mail._domainkey
• Value: v=DKIM1; k=rsa; t=y; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAraC3pqvqTkAfXhUn7Kn3JUNMwDkZ65ftwXH58anno/bElnTDAd/idk8kWpslrQIMsvVKAe+mvmBEnpXzJL+0LgTNVTQctUujyilWvcONRd/z37I34y6WUIbFn4ytkzkdoVmeTt32f5LxegfYP4P/w7QGN1mOcnE2Qd5SKIZv3Ia1p9d6uCaVGI8brE/7zM5c

TIP：
Value 的值與 p=公鑰，內容都在建立金鑰步驟時產生的檔案 mail.txt 裡。

關於 DKIM 更多的說明，請參閱 Google: 使用 DKIM 驗證電子郵件

新增 DMARC 記錄

垃圾郵件發佈者可能會假造電子郵件的「寄件者」地址，讓人誤以為這些郵件是您網域中某位使用者所寄送。如果這類發佈者冒用您網域的名義傳送垃圾郵件，不僅會損害網域的聲譽，收件者也可能將假造郵件連同真正從您網域寄出的郵件一併標示為垃圾內容。

為了防堵這種濫發垃圾郵件的情形，許多郵件系統例如Gmail 現在支援「網域型郵件驗證、報告與一致性」(DMARC) 機制。您可以使用 DMARC 定義政策，決定 Gmail 如何處理以您網域名義寄出的垃圾電子郵件。

注意：必須先完成 SPF 與 DKIM 設定，才能再設置 DMARC。

在 DNS Zone 新增一筆 TXT 記錄，內容為：

• Type: TXT
• Name: _dmarc
• Value: v=DMARC1; p=none; rua=mailto:alang@mydomain.com

TIP：
p=none，對於可疑郵件，不採取任何處置
rua，回報 DMARC 的活動報告至該郵件位址

關於 DMARC 更多的說明，請參閱 Google: 使用 DMARC 管理可疑電子郵件

驗證寄信功能

1. 用 openssl 測試 SMTP 帳號認證

將帳號密碼轉換成 base64 編碼

user: alang@mydomain.com
pass: yourpass

$> echo -ne '\000alang@mydomain.com\000yourpass' | openssl base64
AGFsYW5nQG15ZG9tYWluLmNvbQB5b3VycGFzcw==

# 另一個 perl 的方法
# 帳密如有包含 @ 字元，必須加上 \
$> perl -MMIME::Base64 -e \ 'print encode_base64("\0alang\@mydomain.com\0yourpass");' 
AGFsYW5nQG15ZG9tYWluLmNvbQB5b3VycGFzcw==

連線 smtp 主機

• SMTP 主機位址：smtp.mydomain.com
• submission 服務：587

$> openssl s_client -quiet -starttls smtp -connect smtp.mydomain.com:587
depth=0 C = TW, ST = TY, L = TaoYuan, O = RAIDA, OU = Admin, CN = smtp.osslab.tw
verify error:num=18:self signed certificate
verify return:1
depth=0 C = TW, ST = TY, L = TaoYuan, O = RAIDA, OU = Admin, CN = smtp.osslab.tw
verify return:1
250 DSN

輸入帳號密碼的 base64編碼

AUTH PLAIN AGFsYW5nQG15ZG9tYWluLmNvbQB5b3VycGFzcw==

如果通過認証，會出現

235 2.7.0 Authentication successful

離開，輸入 quit

2. 寄測試信到 Gmail 信箱

為何要用 Gmail 作測試信的收信位址？因為 Gmail 郵件系統已經整合了 SPF/DKIM/DMARC 郵件安全協議檢查，而且很容易得知檢查的結果。

• 郵件用戶端軟體：必須使用有支援 STARTTLS 加密連線的郵件用戶端軟體，本例使用 Mozilla Thunderbird。
• Gmail 信箱一個
• 網域的有效信箱一個：設定郵件用戶端軟體時，需要提供一個「寄件者」的信箱，本例使用 alang@mydomain.com
  NOTE：如果是無效信箱位址，可能無法順利設定 Thunderbird 軟體。
   

Thunderbird SMTP 設定：

• Port: 587
• SMTP 主機：smtp.mydomain.com
• 連線安全性：STARTTLS
• 使用者名稱：這裡必須與 container 啟動參數裡的帳號相同，本例是 alang@mydomain.com

TIP：
連線安全性若使用 SSL/TLS，會無法成功連線主機。

如果連線成功，Thunderbird 會彈出密碼輸入的視窗，密碼必須與 container 啟動參數裡的相同。

因為使用 self-signed 憑證，所以必須檢驗憑證時，需要加入例外名單，參閱附圖 thunderbird-smtp.png 。

驗證 DNS 記錄

從 DNS 管理控制台新增完 TXT 記錄後，要驗證是否生效很簡單。

找一部可以上網的 Linux 桌機，分別執行

# SPF record
$> dig +short TXT mydomain.com

# DKIM key
$> dig +short TXT mail._domainkey.mydomain.com

# DMARC
$> dig +short TXT _dmarc.mydomain.com