Szenario:
Ein Postfix-Server läuft auf einem VPS bei einem Hosting-Unternehmen.
Im Büro läuft ein Dovecot IMAP-Server.
Wir möchten, dass Postfix die empfangenen E-Mails mit möglichst wenig Zwischensoftware an den Dovecot IMAP-Server weiterleitet. Diese Übertragung erfolgt über das offene Internet.
Ich sehe also, dass Postfix LMTP für den virtuellen Transport über TCP verwenden kann und Dovecot über TCP auf LMTP warten kann.
Aber was hindert einen betrügerischen Mailserver daran, Postfix zu umgehen und E-Mails einfach über den offenen LMTP-Port in Dovecot einzufügen?
Kann der LMTP-Dienst durch eine Authentifizierungsmethode geschützt werden, beispielsweise (zumindest) durch ein Kennwort über TLS oder durch eine von einer gemeinsamen Zertifizierungsstelle signierte bidirektionale TLS-Zertifikatsüberprüfung, sodass sich die beiden Server (idealererweise) der Identität des jeweils anderen sicher sein können?
Antwort1
LMTP (Local Mail Transfer Protocol) ist für die lokale Zustellung von E-Mail-Nachrichten konzipiert und unterstützt nicht von Haus aus Authentifizierung wie SMTP. Wenn Sie LMTP zum Übertragen von E-Mails zwischen Postfix und Dovecot verwenden, insbesondere über das offene Internet, ist Sicherheit ein Problem.
So gehen Sie auf Ihr spezielles Szenario ein:
TLS-Verschlüsselung:Sowohl Postfix als auch Dovecot unterstützen die TLS-Verschlüsselung für LMTP. Dadurch wird sichergestellt, dass die zwischen den beiden Servern übertragenen Daten verschlüsselt sind und nicht einfach abgefangen werden können.
Zweiseitige TLS-Zertifikatsüberprüfung:Dies wird auch als gegenseitiges TLS (mTLS) bezeichnet. Bei mTLS legen sowohl der Client (in diesem Fall Postfix) als auch der Server (Dovecot) Zertifikate vor, um sich gegenseitig ihre Identität zu beweisen. Dadurch wird sichergestellt, dass beide Parteien vertrauenswürdige Einheiten sind. Sowohl Postfix als auch Dovecot unterstützen mTLS.
Firewall-Regeln:Eine Möglichkeit, unbefugten Zugriff zu verhindern, besteht darin, einzuschränken, welche IPs eine Verbindung zum Dovecot LMTP-Port herstellen können. Sie können eine Firewall-Regel so konfigurieren, dass nur Verbindungen von der IP-Adresse des Postfix-Servers zugelassen werden.
VPN- oder SSH-Tunnel:Ein anderer Ansatz besteht darin, einen VPN- oder SSH-Tunnel zwischen dem Postfix-Server und dem Dovecot-Server einzurichten. Auf diese Weise wird der LMTP-Verkehr über diesen sicheren Tunnel gesendet, was eine weitere Sicherheitsebene hinzufügt.
Authentifizierung:Während LMTP selbst keine Authentifizierung unterstützt, können Sie andere Mechanismen wie das oben erwähnte mTLS oder VPN verwenden, um die Verbindung effektiv zu „authentifizieren“.
Zusammenfassend, während LMTP keine traditionelle Benutzername/Passwort-Authentifizierung unterstützt, können Sie die Verbindung zwischen Postfix und Dovecot mit einer Kombination aus TLS, mTLS, Firewall-Regeln und möglicherweise einem VPN- oder SSH-Tunnel sichern. Der mTLS-Ansatz, bei dem beide Server die Zertifikate des jeweils anderen überprüfen, ist eine robuste Methode, um die Identität beider Parteien sicherzustellen.