PostfixのSMTP認証が行えるクライアントをIP制限したいのですが

Question

標題の通り，Postfix の SMTP認証が行えるクライアントを制限したいのですが，やり方がよくわかりません．

お手数をおかけいたしますが，ご教示いただければ幸いです．

よろしくお願いいたします．

Answer 1

25番ポートを SMTP認証にも使うのであれば、moonphase さんの回答でいいと思います。

465番ポート(smtps), 587番ポート(submission)を使うのであれば、smtpd_client_restrictions で制限する方法があります。

587番ポート(submission) で $mynetworks からのみ接続を許可する設定例:

-------- /etc/postfix/master.cf --------
submission inet n       -       n       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_reject_unlisted_recipient=no
  -o smtpd_client_restrictions=permit_mynetworks,reject
  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject

587番ポート(submission) で特定のIPアドレスからのみ接続を許可する設定例:

-------- /etc/postfix/master.cf --------
submission inet n       -       n       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_reject_unlisted_recipient=no
  -o smtpd_client_restrictions=smtpauthclient,reject
  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject

-------- /etc/postfix/main.cf --------
smtpd_restriction_classes = smtpauthclient
smtpauthclient = check_client_access cidr:/etc/postfix/access_smtpauthclient

-------- /etc/postfix/access_smtpauthclient --------
192.168.1.0/24          OK
192.168.2.100/32        OK

あるいは、465, 587番ポートに対して iptables で接続元を制限してもいいと思います。

Comments

[yamadoc]

お忙しい中，ご回答頂きありがとうございました．

無事に設定変更が行えました．

Answer 2

smtp認証でのメール送信を接続元IPアドレスでアクセス制限する

/etc/postfix/main.cfの例

現在の設定にcheck_client_access cidr:/etc/postfix/check_smtp_authを追加する。

mtpd_restriction_classes = check_smtp_auth
check_smtp_auth = permit_sasl_authenticated
smtpd_recipient_restrictions = permit_mynetworks,permit_sasl_authenticated,check_client_access cidr:/etc/postfix/check_smtp_auth,reject_unauth_destination

/etc/postfix/check_smtp_authの例

CIDR形式で記述します。

192.168.120.0/24 check_smtp_auth
127.0.0.1/32 check_smtp_auth

Comments

[TaichiYanagiya]

smtpd_recipient_restrictions から permit_sasl_authenticated を外す必要があると思います。
認証できればどこからでもリレー許可されてしまいますので。

[yamadoc]

ご回答ありがとうございます．

早速，ご指示いただいたとおり実施してみたのですが，以下のようなエラーをはいて，メールの送受信が行えなくなりました．

postfix/smtpd[14965]: fatal: unsupported dictionary type: cidir
postfix/master[1896]: warning: process /usr/libexec/postfix/smtpd pid 14965 exit status 1
postfix/master[1896]: warning: /usr/libexec/postfix/smtpd: bad command startup -- throttling

たびたび申し訳ないのですが，どうしたらよいのかわかりません．

ご教示いただければ幸いです．

よろしくお願いいたします．

[yamadoc]

下記，承知いたしました．ありがとうございます．

smtpd_recipient_restrictions から permit_sasl_authenticated を外す必要があると思います。
認証できればどこからでもリレー許可されてしまいますので。

[yamadoc]

cidr 形式を誤ってcidirと入力しておりました．大変失礼いたしました．

お忙しい中，ご教示頂きありがとうございました．