zimbra邮件服务器配置,Zimbra邮件服务器无需登录任意邮箱伪造漏洞修复
Zimbra邮件服务器无登陆邮箱就可发送邮件的漏洞的处理：
配置目的：用户发送邮件必须通过smtp认证，认证通过后，用户发送邮件时的发件人必须和通过认证的用户相一致，
才能发送邮件，防止伪造发件人发送邮件。
一、SMTP认证与mail from绑定
以zimbra用户修改smtpd_sender_restrictions.cf文件
#su - zimbra
$vim conf/zmconfigd/smtpd_sender_restrictions.cf
增加以下行：
%%contains VAR:zimbraServiceEnabled antivirus^ reject_sender_login_mismatch%%
%%contains VAR:zimbraServiceEnabled antivirus^ reject_authenticated_sender_login_mismatch%%
%%contains VAR:zimbraServiceEnabled antivirus^ reject_unauthenticated_sender_login_mismatch%%
$postconf -e "smtpd_sender_login_maps=hash:/data/zimbra/sender"
1
2
3
4
5
6
7
8
9
10
11
12
#su - zimbra
$vimconf/zmconfigd/smtpd_sender_restrictions.cf
增加以下行：
%%containsVAR:zimbraServiceEnabledantivirus^reject_sender_login_mismatch%%
%%containsVAR:zimbraServiceEnabledantivirus^reject_authenticated_sender_login_mismatch%%
%%containsVAR:zimbraServiceEnabledantivirus^reject_unauthenticated_sender_login_mismatch%%
$postconf-e"smtpd_sender_login_maps=hash:/data/zimbra/sender"
执行完，可以从"/opt/zimbra/postfix/conf/main.cf"文件最后一行看到"smtpd_sender_login_maps = hash:/opt/zimbra/sender"
二、导出用户
#/opt/zimbra/bin/ldapsearch -LLL -x -D "uid=zimbra,cn=admins,cn=zimbra" -w "passwd" -H ldap://IP:389 | sed -n 's/^mail: \(\(.*\)@.*\)$/\1 \2/p' > /opt/zimbra/sender
example:
...
user1@example.com user1
user2@example.com user2
...
1
2
3
4
5
6
7
#/opt/zimbra/bin/ldapsearch -LLL -x -D "uid=zimbra,cn=admins,cn=zimbra" -w "passwd" -H ldap://IP:389 | sed -n 's/^mail: \(\(.*\)@.*\)$/\1 \2/p' > /opt/zimbra/sender
example:
...
user1@example.comuser1
user2@example.comuser2
...
三、生成hash文件sender.db
#/opt/zimbra/postfix/sbin/postmap /opt/zimbra/sender
1
#/opt/zimbra/postfix/sbin/postmap /opt/zimbra/sender
四、重新加载Postfix
$postfix reload
1
$postfixreload
五、计划任务生成sender.db
Crontab 每天生成一个新的sender.db，以解决后续添加邮箱用户发送邮件失败。
#cat /opt/zimbra/smtp_auth.sh
#!/bin/bash
/opt/zimbra/bin/ldapsearch -LLL -x -D "uid=zimbra,cn=admins,cn=zimbra" -w "passwd" -H ldap://IP:389 | sed -n 's/^mail: \(\(.*\)@.*\)$/\1 \2/p' > /opt/zimbra/sender
/opt/zimbra/postfix/sbin/postmap /opt/zimbra/sender
#crontab -l
0 0 * * * bash /opt/zimbra/smtp_auth.sh
1
2
3
4
5
6
7
#cat /opt/zimbra/smtp_auth.sh
#!/bin/bash
/opt/zimbra/bin/ldapsearch-LLL-x-D"uid=zimbra,cn=admins,cn=zimbra"-w"passwd"-Hldap://IP:389 | sed -n 's/^mail: \(\(.*\)@.*\)$/\1 \2/p' > /opt/zimbra/sender
/opt/zimbra/postfix/sbin/postmap/opt/zimbra/sender
#crontab -l
00***bash/opt/zimbra/smtp_auth.sh
感谢运维生存时间的群友上海-Clark分享。