Postfix Mailgateway spamassasin/amavis - Versionsgeschichte

Thomas.will: /* Amavis konfigurieren */

2026-06-05T13:26:45Z

Amavis konfigurieren

Thomas.will: /* ClamAV mit Amavis verbinden */

2026-06-05T13:00:05Z

ClamAV mit Amavis verbinden

Thomas.will: /* Einbinden in Postfix */

2026-06-05T12:58:21Z

Einbinden in Postfix

Thomas.will: /* MX-Record */

2026-06-05T12:31:10Z

MX-Record

Thomas.will: /* Einbinden in Postfix */

2026-06-05T09:55:04Z

Einbinden in Postfix

Thomas.will: /* Einbinden in Postfix */

2026-06-05T09:51:42Z

Einbinden in Postfix

Thomas.will: /* ClamAV mit Amavis verbinden */

2026-06-05T09:49:13Z

ClamAV mit Amavis verbinden

Thomas.will am 5. Juni 2026 um 09:45 Uhr

2026-06-05T09:45:31Z

Thomas.will: Die Seite wurde neu angelegt: „=Ziel= In dieser Übung wird ein Mailgateway (mail-gw.it2XX.int) in der DMZ eingerichtet. Es übernimmt folgende Aufgaben: * Annahme eingehender Mails von auß…“

2026-06-05T04:40:30Z

Die Seite wurde neu angelegt: „=Ziel= In dieser Übung wird ein Mailgateway (mail-gw.it2XX.int) in der DMZ eingerichtet. Es übernimmt folgende Aufgaben: * Annahme eingehender Mails von auß…“

Neue Seite

=Ziel=
In dieser Übung wird ein Mailgateway (mail-gw.it2XX.int) in der DMZ eingerichtet.
Es übernimmt folgende Aufgaben:
* Annahme eingehender Mails von außen (Port 25)
* Weiterleitung an den internen Mailserver (mail.it2XX.int)
* Spamfilterung und Virenscanning mit SpamAssassin und ClamAV
* DKIM-Signierung ausgehender Mails mit OpenDKIM
* SPF- und DMARC-Validierung

Die Architektur sieht wie folgt aus:
Internet → mail-gw.it2XX.int [Postfix + OpenDKIM + Amavis + SpamAssassin + ClamAV] → mail.it2XX.int [Postfix + Dovecot] → LAN [Clients]

=Auf dem MAILGW=
==Netzkonfiguration==
{| class="wikitable" style="background-color: #f2f2f2;"
! Parameter !! Wert !! Erläuterung
|-
| '''Netzwerk (NIC)''' || DMZ || Interface-Zuweisung in VirtualBox
|-
| '''IP''' || 10.88.2XX.49 || Statische IP
|-
| '''CIDR''' || 24 || Classless Inter-Domain Routing Präfixlänge
|-
| '''GW''' || 10.88.2XX.1 || GATEWAY
|-
| '''NS''' || 10.88.2XX.21 || Resolver
|-
| '''FQDN''' || mail-gw.it2XX.int || Fully Qualified Domain Name
|-
| '''SHORT''' || mail-gw || Short Name
|-
| '''DOM''' || it2XX.int || Domain Name
|}

;Anpassen des Templates
*[[Anpassen des Debian Templates]]
oder
* debian-setup.sh -f mail-gw.it2XX.int -a 10.88.2XX.49/24 -g 10.88.2XX.1 -n 10.88.2XX.21

==Einfügen in die ~/.ssh/config==
;als kit user auf dem Host über den ProxyJump eintragen
<pre>
Host mail-gw.it2XX.int
HostName 10.88.2XX.49
User kit
ProxyJump fw.it2XX.int
</pre>

==Postfix als Relay==
===Warum kein "Internet Site"?===
Bei der Postfix-Installation wählen wir '''No configuration''', da der mail-gw kein finaler Empfänger ist.
Er nimmt Mails an und leitet sie weiter – er speichert keine Mailboxen.
Die komplette Konfiguration erfolgt manuell.

===Installation===
;Postfix installieren
* apt install postfix
* no configuration

===Konfiguration===
;Wichtige Parameter im Überblick
{| class="wikitable"
! Parameter !! Bedeutung
|-
| <code>mydestination =</code> || Leer – der Gateway ist für keine Domain finaler Empfänger
|-
| <code>relay_domains</code> || Domains für die Mails weitergeleitet werden
|-
| <code>transport_maps</code> || Definiert wohin die Mail für welche Domain geht
|-
| <code>mynetworks</code> || Nur localhost darf Mails einliefern (kein Open Relay)
|-
| <code>smtpd_relay_restrictions</code> || Verhindert Missbrauch als Open Relay
|}

;Konfigurationsdatei anlegen
* vi /etc/postfix/main.cf
<syntaxhighlight lang="bash">
compatibility_level = 3.9
myhostname = mail-gw.it2XX.int
myorigin = /etc/mailname
mydomain = it2XX.int

smtpd_banner = $myhostname ESMTP $mail_name (Debian)
biff = no
inet_protocols = ipv4
inet_interfaces = all

# Kein finaler Empfaenger
mydestination =
mailbox_size_limit = 0
recipient_delimiter = +

# Relay
relay_domains = it2XX.int
transport_maps = hash:/etc/postfix/transport

# Netzwerk
mynetworks = 127.0.0.0/8

# TLS
smtpd_tls_key_file = /etc/ssl/own.key
smtpd_tls_cert_file = /etc/ssl/own.crt
smtpd_tls_security_level = may
smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt
smtp_tls_security_level = may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache

smtpd_relay_restrictions = permit_mynetworks defer_unauth_destination
</syntaxhighlight>

===Mailrouting===
;Warum eckige Klammern?
Die eckigen Klammern um <code>[mail.it2XX.int]</code> verhindern einen MX-Lookup.
Postfix liefert die Mail direkt an diesen Host – ohne DNS-Umweg über den MX-Record.

;Transport-Map anlegen und aktivieren
* echo "it2XX.int smtp:[mail.it2XX.int]:25" > /etc/postfix/transport
* postmap /etc/postfix/transport
* postfix reload

==Amavis, SpamAssassin und ClamAV==
===Warum Amavis?===
Amavis ist der Vermittler zwischen Postfix und den Filterkomponenten.
Postfix übergibt die Mail an Amavis – Amavis ruft SpamAssassin und ClamAV auf und gibt die Mail danach zurück an Postfix.
Jede Komponente macht genau eine Sache – das macht den Stack übersichtlich und stabil.

===Installation===
;Pakete installieren
* apt install amavis spamassassin clamav clamav-daemon swaks

;Dienste aktivieren und starten
* systemctl enable amavis clamav-daemon clamav-freshclam --now

===ClamAV mit Amavis verbinden===
;Den amavis-User zur clamav-Gruppe hinzufügen
* adduser amavis clamav

;ClamAV-Daemon konfigurieren
* vi /etc/clamav/clamd.conf
<syntaxhighlight lang="bash">
# UNIX Socket
LocalSocket /var/run/clamav/clamd.ctl
LocalSocketMode 666
</syntaxhighlight>

* systemctl restart clamav-daemon

===Amavis konfigurieren===
;Amavis für SpamAssassin und ClamAV aktivieren
* vi /etc/amavis/conf.d/15-content_filter_mode
<syntaxhighlight lang="bash">
use strict;
@bypass_virus_checks_maps = (
\%bypass_virus_checks, \@bypass_virus_checks_acl, \$bypass_virus_checks_re);

@bypass_spam_checks_maps = (
\%bypass_spam_checks, \@bypass_spam_checks_acl, \$bypass_spam_checks_re);
1;
</syntaxhighlight>

* systemctl restart amavis

===Einbinden in Postfix===
;Postfix übergibt Mails an Amavis und nimmt sie gefiltert zurück
* vi /etc/postfix/main.cf
<syntaxhighlight lang="bash">
# Amavis
content_filter = smtp-amavis:[127.0.0.1]:10024
</syntaxhighlight>

;In master.cf den Rückgabe-Transport eintragen
* vi /etc/postfix/master.cf
<syntaxhighlight lang="bash">
smtp-amavis unix - - n - 2 smtp
-o smtp_data_done_timeout=1200
-o smtp_send_xforward_command=yes
-o disable_dns_lookups=yes
-o max_use=20

127.0.0.1:10025 inet n - n - - smtpd
-o content_filter=
-o smtpd_delay_reject=no
-o smtpd_client_restrictions=permit_mynetworks,reject
-o smtpd_helo_restrictions=
-o smtpd_sender_restrictions=
-o smtpd_recipient_restrictions=permit_mynetworks,reject
-o smtpd_data_restrictions=reject_unauth_pipelining
-o smtpd_end_of_data_restrictions=
-o mynetworks=127.0.0.0/8
-o smtpd_error_sleep_time=0
-o smtpd_soft_error_limit=1001
-o smtpd_hard_error_limit=1000
-o smtpd_client_connection_count_limit=0
-o smtpd_client_connection_rate_limit=0
-o receive_override_options=no_header_body_checks,no_unknown_recipient_checks
</syntaxhighlight>

* postfix reload

==OpenDKIM==
===Was ist OpenDKIM?===
OpenDKIM signiert ausgehende Mails kryptografisch.
Der Empfänger prüft die Signatur anhand des öffentlichen Schlüssels im DNS.
Wurde die Mail unterwegs verändert, schlägt die Prüfung fehl.

===Installation===
;OpenDKIM installieren
* apt install opendkim opendkim-tools

===Schlüsselpaar erzeugen===
;Verzeichnis anlegen und Schlüssel generieren
* mkdir -p /etc/opendkim/keys/it2XX.int
* opendkim-genkey -D /etc/opendkim/keys/it2XX.int/ -d it2XX.int -s mail
* chown -R opendkim:opendkim /etc/opendkim/keys

===Konfiguration===
;Hauptkonfiguration
* vi /etc/opendkim.conf
<syntaxhighlight lang="bash">
Syslog yes
SyslogSuccess yes
LogWhy yes

Canonicalization relaxed/simple
Mode sv
SubDomains no

AutoRestart yes
AutoRestartRate 10/1M
Background yes
DNSTimeout 5
SignatureAlgorithm rsa-sha256

UserID opendkim
UMask 007
Socket inet:8891@localhost
PidFile /run/opendkim/opendkim.pid

OversignHeaders From

KeyTable /etc/opendkim/KeyTable
SigningTable refile:/etc/opendkim/SigningTable
ExternalIgnoreList /etc/opendkim/TrustedHosts
InternalHosts /etc/opendkim/TrustedHosts
</syntaxhighlight>

;KeyTable anlegen
* vi /etc/opendkim/KeyTable
<syntaxhighlight lang="bash">
mail._domainkey.it2XX.int it2XX.int:mail:/etc/opendkim/keys/it2XX.int/mail.private
</syntaxhighlight>

;SigningTable anlegen
* vi /etc/opendkim/SigningTable
<syntaxhighlight lang="bash">
*@it2XX.int mail._domainkey.it2XX.int
</syntaxhighlight>

;TrustedHosts anlegen
* vi /etc/opendkim/TrustedHosts
<syntaxhighlight lang="bash">
127.0.0.1
localhost
it2XX.int
mail-gw.it2XX.int
</syntaxhighlight>

* systemctl enable opendkim --now

===Einbinden in Postfix===
;OpenDKIM als Milter in Postfix eintragen
* vi /etc/postfix/main.cf
<syntaxhighlight lang="bash">
# OpenDKIM
milter_default_action = accept
milter_protocol = 6
smtpd_milters = inet:localhost:8891
non_smtpd_milters = inet:localhost:8891
</syntaxhighlight>

* postfix reload

;Public Key für den DNS auslesen
* cat /etc/opendkim/keys/it2XX.int/mail.txt

Der Inhalt sieht etwa so aus:
<pre>
mail._domainkey IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."
</pre>

!!!'''Wichtig'''!!! Diesen Wert für den nächsten Schritt notieren – er wird auf dem Nameserver eingetragen.

=Auf dem Nameserver=
==Was muss geändert werden?==
Durch den neuen Gateway muss der MX-Record auf mail-gw zeigen.
Zusätzlich kommen SPF, DKIM und DMARC neu dazu.
Am Ende muss die Zone neu signiert werden (DNSSEC).

==MX-Record==
;Der MX-Record zeigt jetzt auf den Gateway – nicht mehr direkt auf mail
* vi /var/cache/bind/it2XX.int
<syntaxhighlight lang="bash">
it2XX.int. IN MX 10 mail-gw.it2XX.int.
</syntaxhighlight>

==SPF==
;SPF legt fest welche Server Mails für die Domain versenden dürfen
SPF (Sender Policy Framework) legt fest, welche Mailserver berechtigt sind, Mails für eine Domain zu versenden.
Der Empfänger prüft beim Eingang ob der sendende Server in der SPF-Liste der Absenderdomain steht.
* vi /var/cache/bind/it2XX.int
<syntaxhighlight lang="bash">
it2XX.int. IN TXT "v=spf1 mx a:mail-gw.it2XX.int ~all"
</syntaxhighlight>

{| class="wikitable"
! Parameter !! Bedeutung
|-
| <code>v=spf1</code> || SPF Version 1
|-
| <code>mx</code> || Der MX-Eintrag der Domain ist berechtigt
|-
| <code>a:mail-gw.it2XX.int</code> || Dieser Host ist explizit berechtigt
|-
| <code>~all</code> || Alle anderen sind Softfail (verdächtig, aber nicht abgewiesen)
|}

==DKIM==
;Public Key vom mail-gw auslesen und in die Zonendatei kopieren
Den folgenden Befehl auf '''mail-gw.it2XX.int''' ausführen und die Ausgabe kopieren:
* cat /etc/opendkim/keys/it2XX.int/mail.txt

;Den ausgegebenen Eintrag in die Zonendatei eintragen
* vi /var/cache/bind/it2XX.int
<syntaxhighlight lang="bash">
mail._domainkey.it2XX.int. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."
</syntaxhighlight>

==DMARC==
;DMARC verbindet SPF und DKIM und legt fest was bei Fehlschlag passiert
DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet SPF und DKIM.
Es legt fest was passieren soll wenn SPF oder DKIM fehlschlägt – und wer einen Bericht bekommt.
* vi /var/cache/bind/it2XX.int
<syntaxhighlight lang="bash">
_dmarc.it2XX.int. IN TXT "v=DMARC1; p=none; rua=mailto:postmaster@it2XX.int"
</syntaxhighlight>

{| class="wikitable"
! Parameter !! Bedeutung
|-
| <code>v=DMARC1</code> || DMARC Version 1
|-
| <code>p=none</code> || Nur beobachten, nichts abweisen (zum Einstieg)
|-
| <code>rua=</code> || Adresse für Aggregat-Reports
|}

!!!'''Wichtig'''!!! <code>p=none</code> ist nur für den Anfang. Sobald SPF und DKIM stabil laufen auf <code>p=quarantine</code> oder <code>p=reject</code> umstellen.

==Zone neu signieren==
;Nach jeder Änderung muss die Zone neu signiert werden
* dnssec-signzone -A -N INCREMENT -o it2XX.int -t /var/cache/bind/it2XX.int
* rndc reload

;Prüfen
* dig MX it2XX.int
* dig TXT it2XX.int
* dig TXT mail._domainkey.it2XX.int
* dig TXT _dmarc.it2XX.int

=Auf dem Mailserver=
==Postfix einschränken==
;mail.it2XX.int soll Mails nur noch vom Gateway annehmen
Bisher hat der Mailserver direkt von außen empfangen.
Jetzt ist der Gateway vorgelagert – der Mailserver muss entsprechend eingeschränkt werden.

;mynetworks und relayhost anpassen
* vi /etc/postfix/main.cf
<syntaxhighlight lang="bash">
mynetworks = 127.0.0.0/8 10.88.2XX.49/32
relayhost = [mail-gw.it2XX.int]:25
</syntaxhighlight>

* postfix reload

;Prüfen – direkte Verbindung von außen muss fehlschlagen
* swaks --to martha@it2XX.int --server mail.it2XX.int

=Test=
==Testmail senden==
;Einfache Testmail über den Gateway schicken
* swaks --to martha@it2XX.int --from test@it2XX.int --server mail-gw.it2XX.int

==DKIM prüfen==
;DKIM-Header in der Antwort prüfen
* swaks --to martha@it2XX.int --from test@it2XX.int --server mail-gw.it2XX.int | grep -i dkim

==Logs==
;Postfix, Amavis und OpenDKIM live beobachten
* journalctl -u postfix -f
* journalctl -u amavis -f
* journalctl -u opendkim -f

==GTUBE Spam-Test==
;Standardisierte Spam-Testmail senden
* swaks --to martha@it2XX.int --server mail-gw.it2XX.int --body "XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X"

==EICAR Virus-Test==
;Testdatei erstellen und per swaks schicken
* swaks --to martha@it2XX.int --server mail-gw.it2XX.int --attach /tmp/eicar.com

=Ports und Dienste=
{| class="wikitable"
! Dienst !! Port !! Protokoll
|-
| Postfix SMTP (eingehend) || 25 || TCP
|-
| Amavis || 10024 || TCP
|-
| Amavis Rückgabe an Postfix || 10025 || TCP
|-
| OpenDKIM (Milter) || 8891 || TCP
|}

[[Kategorie:Mail]]
[[Kategorie:Security]]
[[Kategorie:DMZ]]

@@ Zeile 155: / Zeile 155: @@
 use strict;
 @bypass_virus_checks_maps = (
-   \%bypass_virus_checks, \@bypass_virus_checks_acl, \$bypass_virus_checks_re);
+%bypass_virus_checks, @bypass_virus_checks_acl, $bypass_virus_checks_re);
 @bypass_spam_checks_maps = (
-   \%bypass_spam_checks, \@bypass_spam_checks_acl, \$bypass_spam_checks_re);
+%bypass_spam_checks, @bypass_spam_checks_acl, $bypass_spam_checks_re);
 ;
 </syntaxhighlight>

@@ Zeile 136: / Zeile 136: @@
 ;Den amavis-User zur clamav-Gruppe hinzufügen
 * adduser amavis clamav
 !!! ist schon gesetzt

@@ Zeile 174: / Zeile 174: @@
      -o smtp_data_done_timeout=1200
      -o smtp_send_xforward_command=yes
-     -o smtp_dns_support_level=yes
+     -o smtp_dns_support_level=disabled
      -o max_use=20

@@ Zeile 295: / Zeile 295: @@
 Zusätzlich kommen SPF, DKIM und DMARC neu dazu.
 Am Ende muss die Zone neu signiert werden (DNSSEC).
 ==MX-Record==

@@ Zeile 165: / Zeile 165: @@
 ===Einbinden in Postfix===
 ;Postfix übergibt Mails an Amavis und nimmt sie gefiltert zurück
-* vi /etc/postfix/main.cf
+*postconf -e "content_filter = smtp-amavis:[127.0.0.1]:10024"
-<syntaxhighlight lang="bash">
 ;In master.cf den Rückgabe-Transport eintragen

@@ Zeile 137: / Zeile 137: @@
 * adduser amavis clamav
 ;ClamAV-Daemon konfigurieren
 * vi /etc/clamav/clamd.conf

@@ Zeile 57: / Zeile 57: @@
 * apt install postfix
 * no configuration
 ===Konfiguration===
 ;Wichtige Parameter im Überblick
@@ Zeile 73: / Zeile 72: @@
 | <code>smtpd_relay_restrictions</code> || Verhindert Missbrauch als Open Relay
 |}
+;Mailname setzen
 ;Konfigurationsdatei anlegen
 * vi /etc/postfix/main.cf