なりすまし自ドメインメールアドレスからのメール受信を拒否したい

Question

有識者のみなさま、お知恵をお貸しいただきたいです。。
よろしくお願いいたします。

### 実現したいこと
From、Toどちらも「〇〇@example.jp」と指定されたメールが、自身で管理しているメールサーバー（アカウント）へ届くことを
拒否したい。

### 前提
・CentOS7、postfix3、Dovecotの組み合わせで、送受信用メールサーバーを運用。
・バーチャルドメインを設定。
　例：
　〇〇@example.jp、△△@example.com

・各ドメインで、SPF・DKIM・DMARC設定済。
・なりすまし（スパムメール）のFrom・Toへ指定されている「〇〇@example.jp」は、自メールサーバー上へ存在するメールアドレス。
　（「〇〇@example.jp」のメールを受信して、スパムメールに気づいた）

### 現在のpostfix、main.cfの設定
```
allow_min_user = yes
disable_vrfy_command = yes
smtpd_helo_required = yes
allow_untrusted_routing = no

smtpd_client_restrictions =
    permit_mynetworks,
　 check_client_access cidr:/etc/postfix/reject_client.cidr,
    reject_unknown_reverse_client_hostname

smtpd_helo_restrictions =
    permit_mynetworks,
    reject_invalid_hostname

smtpd_sender_restrictions =
    permit_mynetworks,
    reject_non_fqdn_sender,
    reject_unknown_sender_domain

smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_non_fqdn_recipient,
    reject_unauth_destination

smtpd_sasl_auth_enable = yes
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
broken_sasl_auth_clients = yes
smtpd_sasl_security_options = noanonymous
```

### 確認・試したこと
・自メールサーバーから、該当メールが送信されていない点を確認。
・送信元サーバーが、自メールサーバー以外となっている「〇〇@example.jp」を、Postfixの設定で拒否できないか？
　設定を確認、これ、というものが見つけられず。

Accepted Answer

SPF、DKIM、DMARCのDNSレコードを公開すれば自サイトにスパムなどが来なくなるわけではありません。そうではなく、公開した情報をもとに**他のサイト**ではあなたのメールアドレスで送られてきたものが本当にあなたのサーバから送られてきたのかどうかを検証できるようになるので、あなたのメールアドレスを騙るメール送信者からのメールを拒否できるようになります。その間接的な結果として、あなたが出すメールが他のサイトからスパムと間違えられる可能性が減ります。

つまり、上記のDNSレコードを公開しただけではご質問のようなメールは止まりません。上で述べたような検証などの対策を何もしていないからです。

### \#1

ひとつの方法としては、他のサイトと同様に外部から送られてくるメッセージをSPFやDMARCの情報に基づいて検証することが考えられます。これには追加のソフトウェアが必要になります。
* SPFの検証のみでも今回の目的には足りると思います。[SPF Engine](https://pypi.org/project/spf-engine/) ([pypolicyd-spf ](https://launchpad.net/pypolicyd-spf) (postfix-policyd-spf-python) の後身)、[postfix-policyd-spf-perl](https://launchpad.net/postfix-policyd-spf-perl/)あたりを使えばできるでしょう。
* DMARCの検証までやるのなら、[RSpamd](https://www.rspamd.org/)、[YENMA](https://enma.sourceforge.net/)などが使えそうです。

いずれの場合も、自サイトを騙る送信者だけではなくほかのサイトを騙るものも拒否できます。

ただし、これらの送信認証技術は万能ではありません。単純にSPFやDMARCの結果だけに従うと受け取るべきメッセージを拒否してしまう可能性があります。そのため一般的には**ホワイトリスト**を用意してメンテナンスする必要があります (特にメーリングリストなどで転送されてくるものは誤って拒否されがちです。このような場合はARCへの対応が必要ですがまだあまり普及していません)。

また当然ですが、スパム送信者自身が正しいDNSレコードを公開していればこれらの検証は無力です。

ですので通常は、これらの送信者ドメイン認証の検証結果だけを見てメッセージを拒否したり受け入れたりするのではなく、DNSブロックリスト (DNSbl) などほかのさまざまな指標を組み合わせて判定します。

### \#2

上記のようなものではなく、当面「自ドメインの送信者を騙るものだけを拒否できればいい」ということなら、Postfixの設定だけで可能だと思います。(書きかけ。しばらくお待ちください)

(つづき)

ちょっと考えすぎだったようで、次のようにしてできました。

```reject_final_destinations.hash
mail.example.org reject
...
```

```main.cf
...
smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_non_fqdn_recipient,
    reject_unauth_destination
    check_sender_access hash:/etc/postfix/reject_final_destinations.hash
...
```
`mail.example.org`は自分のドメインです。自分のドメインが複数あるときは行を追加します。

Postfix 3.x以降ならインラインテーブルを使って次のようにも書けると思います。
```main.cf
...
smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_non_fqdn_recipient,
    reject_unauth_destination
    check_sender_access inline:{ mail.example.org = reject, ... }
...
```

- `permit_mynetworks`で、自サイト内のリレーには制限がありません。
- `permit_sasl_authenticated`で、認証が成功したユーザによる送信も制限がありません (ただし、このままだと認証できたユーザはなりすましが可能なので`reject_sender_login_mismatch`などでチェックしたほうがいいと思いますが)。
- 最後の`reject_unauth_destination`でオープンリレーも防げています。
- このあとに今回のルールを追加しています。ここまででsenderが自分のドメインであるようなものは上のいずれかのルールでokになっているはずなので、このルールまでたどり着いたものはrejectします。

### \#3

上の\#2で当初の目的は達しているのですが、設定内容について若干補足します。

1.  `smtpd_client_restrictions`、`smtpd_helo_restrictions`、`smtpd_sender_restrictions`、`smtpd_recipient_restrictions`のルールはそれぞれコネクション確立、EHLO (HELO) コマンド、MAILコマンド、RCPTコマンドの実行時に評価されるように見えますが、実際は`smtpd_delay_reject = yes` (初期値ではそうなっています) のときは4つともRCPTコマンドの実行時に評価されます。
    (この動作がデフォルトになっているのは、かつてRCPTコマンドより前で拒否しても気づかずに通信を続けようとするクライアントがあったためだそうです。今日でもこの動作は、スパム送信者からのメッセージを拒否する前に少しだけ時間を無駄にさせる〔=スパム送信の能率が落ちる〕という効果が期待できるので望ましいです。)
    とにかく、上記4つのルールは`smtpd_recipient_restrictions`にまとめて書くことができます。
    * ただし`check_client_access`で、テーブル引きの結果が`OK`となる場合、それ以降のルールが無視されてしまいますから修正が必要です。`OK`となるエントリは取り除くか`DUNNO`に書き換える必要があります。

2. 実は、`smtpd_recipient_restrictions`に書いてある`reject_unauth_destination`は実行されません。Postfix 2.10以降、`smtpd_relay_restrictions`が導入されて`smtpd_recipient_restrictions`の直前に実行されるようになりました。`smtpd_relay_restrictions`の初期値は`permit_mynetworks,  permit_sasl_authenticated, defer_unauth_destination`であるため、オープンリレーの試みには`reject_unauth_destination`による永続的エラー (554) ではなく`defer_unauth_destination`による一時エラー (454) が返されます。554にしたいのなら修正が必要です。
3. 上でも述べたように、`permit_sasl_authenticated`だけでは認証成功したユーザがなりすましし放題ですから、`reject_sender_login_mismatch`などを使って防ぐ必要があります。

結果として、つぎのようになります (3. は除く)。
```
...
# オープンリレーの試みを一時エラー (454) ではなく永続的エラー (554) で拒否する場合
smtpd_relay_restrictions =
    permit_mynetworks
    permit_sasl_authenticated
    reject_unauth_destination

#smtpd_client_restrictions =
#smtpd_helo_restrictions =
#smtpd_sender_restrictions =
smtpd_recipient_restrictions =
    permit_mynetworks
    check_client_access cidr:/etc/postfix/reject_client.cidr
    reject_unknown_reverse_client_hostname
    reject_invalid_helo_hostname
    reject_non_fqdn_sender
    reject_unknown_sender_domain
    permit_sasl_authenticated
    reject_non_fqdn_recipient
    #reject_unauth_destination #上記参照
    check_sender_access hash:/etc/postfix/reject_final_destinations.hash
    #上行は Postfix 3.x以降では次のようにも書ける
    check_sender_access inline:{ mail.example.org = reject, ... }
...

```