Em um servidor de e-mail baseado em Linux, como proibir conexões SMTP/IMAP/POP de clientes enquanto ainda usa Webmail (Roundcube)?

Question

Com um servidor de e-mail baseado em Linux totalmente funcional (executando postfix/Dovecot), como alguém pode desativar a capacidade de se conectar a SMTP/POP3/IMAP com clientes de e-mail externos (ou telnet, etc.) enquanto ainda (e somente) usa o webmail Roundcube (que é um serviço de e-mail local)?

Roundcube se conecta ao Dovecot IMAP para recuperar seus e-mails; e o servidor em geral precisa se comunicar com o mundo externo, portanto, simplesmente desligar as portas/firewall não funcionará para ainda poder enviar/receber e-mails dentro do aplicativo de webmail.

Answer 1

Basta configurar o dovecot para escutar em 127.0.0.1 apenas os serviços que você não deseja expor externamente, você pode especificar isso em dovecot.conf.

imap_listen = localhost
imaps_listen = localhost

É semelhante para pop3

pop3_listen = localhost
pop3s_listen = localhost

Answer 2

Bem, vocêpodeuse um firewall para garantir que as conexões aos serviços imap e pop3 não possam ser feitas de fora do sistema. Se a instalação do seu dovecot estiver em um servidor diferente, suas regras de firewall poderão ser configuradas para permitir conexões de/para esse sistema apenas.

Quanto ao SMTP, você não pode simplesmente bloqueá-lo como diz. Você pode, no entanto, garantir que ele aceite apenas conexões de/para um smarthost separado que atue apenas como um retransmissor de correio, mas isso também não é rígido de forma alguma. Eu acho que se você quiser ter qualquer tipo de servidor disponível na Internet, você tem que aceitar que, mais cedo ou mais tarde, as pessoas encontrarão uma maneira de se conectar a ele de maneiras que você não esperava, e em vez de ficarem entusiasmados por impedir o impossível, eu apenas faria o que fosse razoável nesse sentido e depois gastaria o resto da minha energia para garantir que o sistema fosse configurado e gerenciado com segurança.

Answer 3

Muito mais eficaz é limitar as conexões do espaço sideral para aqueles que passaram pela autenticação.

Se o cliente remoto conhece um e-mail/senha válido e pode estabelecer sessões TLS em servidores SMTP/IMAP - por que não? Como efeito colateral, seus usuários podem usar MUAs nativos, integrados ao IOS/Android.