SMTPoverSSHでセキュアにメール送信

SSHを使って自宅サーバでSMTPによるメール送信を安全に使う

SMTP over SSHでセキュアにメール送信

　自宅サーバでメールサーバを立てたので，外からメール送信するときに，そいつを使いたい．

しかしなにも考えずにメールサーバのSMTPをインターネットに対して自由に公開すると， 文句なしにSPAMの踏み台と化してしまうため，非常によろしくない．

外部からの接続でも，俺が接続した場合だけ，自由にSMTPを使えるようにする必要がある． (Postfixでいうところの，「"trusted" SMTP clients」とみなす)

このために，SMTP接続元を認証する必要があるのですが，その方法にはこんなのがあります．

• SMTP認証
• PbS(POP before SMTP)
• SMTP over SSH

検討すると，

ということで，SMTP over SSHでやることにしました．将来的にはSMTP認証もやってみたい気はするが， 大変そうだわい．

方針

SSHポートフォワードを使って，インターネット上のクライアントPCからメールサーバに接続した場合， Postfixのsmtpdから見た接続元IPアドレスは，メールサーバ(正確にはSSHサーバが動作しているマシン) のIPアドレスとなる．

このIPアドレスを，「信頼できるクライアント」としてPostfixが認識するようにする．

しかしプロバイダの契約が非固定IPアドレスの場合，このIPアドレスはまた例によってADSL接続するたびに変動するのであった． 少し工夫が必要．

メールサーバ側の設定

１．とりあえず空ファイルで作っておく

# touch /etc/ppp/ppp-adrs

２．ADSL接続時：ファイルにIPアドレスを記録

/etc/ppp/ip-up.local に追加

echo $IPLOCAL > /etc/ppp/ppp-adrs
/usr/sbin/postfix reload

３．切断時：ファイルをクリア

/etc/ppp/ip-down.local に追加

echo '' > /etc/ppp/ppp-adrs

でも可能性として，切断後，ADSLに再接続(新アドレス取得)してから上記ip-up.localの「postfix reload」が実行されるまでの隙に， 旧のアドレスを割り当てられた別のマシンがSMTPアクセスしてきた場合，そいつを信頼できるクライアントとみなしてしまう， ということがないとは言えないか．

一応あった方がいいな．

４．Postfixの設定

/etc/postfix/main.cf を一部変更 - 太字が変更箇所

myhostname = mail.kamoland.com
myorigin = $mydomain
inet_interfaces = all
mydestination = $myhostname, localhost.$mydomain $mydomain
mynetworks = 192.168.0.0/24, 127.0.0.0/8, /etc/ppp/ppp-adrs
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mail_spool_directory = /var/mail

クライアント側の設定

configurationファイル

Host KamoLand
     HostName kamoland.com
     LocalForward 10110 kamoland.com:110
     LocalForward 10025 kamoland.com:25

クライアント機自身(localhost)の10025ポートを，メールサーバのSMTP(25)ポートへ転送させます．

10025に深い意味はありません．

メーラー設定

これでひとまずOK．

雑感

これ(SMTP over SSH)とPbSを組み合わせれば，さらに安全性を高めることはできるわな．

つまり，この方法における/etc/ppp/ppp-adrsファイルが常時存在するのではなく， POP認証が通ってから一定時間の間しか存在させないようにすると．

しかしそれだけだったら，PbSを本格的に導入しなくても，自分でPerlとかでスクリプトを書いても実現できそうだな． /var/log/maillogを常駐監視して，ファイルを作ったり消したりすればいいだけだから．

今後の課題だ．