Włącz port SMTPS 465 na serwerze SMTP Postfix do wysyłania wiadomości e-mail

W poprzednich artykułach omawialiśmy, jak szybko skonfigurować własny serwer pocztowy za pomocą iRedMail lub Modoboa, a także jak skonfigurować serwer pocztowy od podstaw w systemie Ubuntu. W tym samouczku dowiesz się, jak włączyć port SMTPS 465 na serwerze Postfix SMTP, aby użytkownicy programu Microsoft Outlook mogli wysyłać wiadomości e-mail. SMTPS oznacza bezpieczny protokół prostego przesyłania poczty.

Dlaczego warto włączyć SMTPS

Zwykle klienci poczty, tacy jak Thunderbird, przesyłają wychodzące wiadomości e-mail do serwera SMTP przez port 587, zaszyfrowane za pomocą STARTTLS. Jednak niektórzy klienci poczty (szczególnie Microsoft Outlook) mogą wysyłać wychodzące wiadomości e-mail tylko przez port 465, czyli port SMTPS. Domyślnie zarówno iRedMail, jak i Modoboa umożliwiają przesyłanie tylko przez port 587.

SMTPS używany jako protokół przesyłania jest mylący, prawda? Pozwól mi wyjaśnić. Pierwotnie w 1997 r. IANA (Internet Assigned Numbers Authority) przydzieliła port 465 dla SMTPS, który miał być używany do szyfrowania komunikacji między jednym serwerem SMTP a innym serwerem SMTP, np. mail.google.com i <mail.yahoo.com. Później pojawił się STARTTLS, który umożliwia serwerom SMTP bezpieczną komunikację między sobą przez istniejący port SMTP 25, więc nie ma już potrzeby przeznaczania portu 465 na bezpieczny SMTP. Port SMTPS został unieważniony. Jednak niektórzy klienci poczty, np. Microsoft Outlook, błędnie zinterpretowali smtps jako przesłania i używali portu 465 do wysyłania wiadomości e-mail i tak jest do dziś.

Innym powodem umożliwienia przesyłania portu 465 jest to, że obecnie jest to zalecane przez IETF (Internet Engineering Task Force). Istnieją dwa podejścia do zabezpieczania komunikacji e-mailowej:

Użyj STARTTLS na istniejącym porcie (np. STARTTLS na porcie 587)
Niejawny TLS na innym dedykowanym porcie (na przykład IMAP na porcie 143, IMAPS na porcie 993)

Teraz IETF uważa, że podejście STARTTLS nie jest idealne i zaczęło promować użycie ukrytego TLS. Opublikowała dokument RFC 8314 w styczniu 2018 r., aby zachęcić do korzystania z portu 465 do wysyłania wiadomości e-mail, oraz RFC 8461 we wrześniu 2018 r., aby zachęcić do korzystania z MTA-STS do bezpiecznego SMTP. Nazwa portu 465 prawdopodobnie zostanie zmieniona na port zgłoszeń.

Uwaga: Prawie wszyscy klienci poczty mogą również wysyłać wychodzące wiadomości e-mail na porcie 25, ale większość domowych dostawców usług internetowych blokuje port 25.

Jak włączyć port SMTPS 465 na serwerze SMTP Postfix

Edytuj plik Postfix master.cf.

sudo nano /etc/postfix/master.cf

Jeśli używasz iRedMail, dodaj następujące wiersze na końcu tego pliku.

smtps     inet  n       -       y       -       -       smtpd
  -o syslog_name=postfix/smtps
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_recipient_restrictions=permit_mynetworks,permit_sasl_authenticated,reject
  -o content_filter=smtp-amavis:[127.0.0.1]:10026

Jeśli używasz Modoboa, dodaj następujące wiersze na końcu tego pliku.

smtps     inet  n       -       y       -       -       smtpd
  -o syslog_name=postfix/smtps
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_recipient_restrictions=permit_mynetworks,permit_sasl_authenticated,reject
  -o smtpd_proxy_filter=inet:[127.0.0.1]:10026

Jeśli postępowałeś zgodnie z moim samouczkiem dotyczącym konfigurowania serwera pocztowego od podstaw, dodaj zamiast tego następujące wiersze.

smtps     inet  n       -       y       -       -       smtpd
  -o syslog_name=postfix/smtps
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_relay_restrictions=permit_sasl_authenticated,reject
  -o smtpd_recipient_restrictions=permit_mynetworks,permit_sasl_authenticated,reject
  -o smtpd_sasl_type=dovecot
  -o smtpd_sasl_path=private/auth

Zapisz i zamknij plik. Uruchom ponownie Postfix, aby zmiana zaczęła obowiązywać.

sudo systemctl restart postfix

Otwórz port TCP 465 w zaporze

Jeśli używasz UFW na Debianie/Ubuntu, uruchom następujące polecenie, aby otworzyć port TCP 465.

sudo ufw allow 465/tcp

Jeśli używasz zapory ogniowej w CentOS, uruchom następujące polecenia, aby otworzyć port TCP 465.

sudo firewall-cmd --permanent --add-service=smtps
sudo systemctl reload firewalld

Jeśli używasz iptables, uruchom następujące polecenie.

sudo iptables -A INPUT -p tcp --dport 465 -j ACCEPT

Skonfiguruj klientów poczty tak, aby korzystali z portu 465 do przesyłania

Microsoft Outlook obsługuje przesyłanie tylko na porcie 465, więc nie musisz wykonywać specjalnej konfiguracji. Mozilla Thunderbird domyślnie używa portu 587 do przesyłania. Obsługuje również port 465 z szyfrowaniem SSL/TLS.

Wniosek