Ubuntu Postfix Mail Server 設定筆記 (一) MTA (SPF, DKIM, rDNS 及 DMARC)

本系列第一篇: 設定 MTA (Mail Transfer Agent)
先讓郵件成功向外發送吧!

互聯網出現以先, Email Server 設定本來就很簡單,
甚至各大 ISP 都有提供免費 Open Relay,讓公眾任意傳送郵件。

但隨著垃圾郵件的猖獗,釣魚郵件的犯罪活動,一切已變得不一樣。
Open Relay再不存在,每封郵件都需要經過重重把關才能送到收信者的 Inbox。
否則會被扔到 Spam Folder 甚至直接拒收。

用過 SMTP 的應該都知道 “From” Address 是可以隨便冒認的。
如果銀行等的 Email Address 被冒認來發釣魚網站連結後果就嚴重了!
SPF 和 DKIM 的出現是要解決這保安漏洞。

本篇首先設定好 MTA 外送郵件的設定。

本系列設定環境:Ubuntu 12.04
(為免被 Spam bot 找到,本系列的出現的 Domain 都是假的)

Updated 2017-04-26: 更新了文章格式,經測試 Ubuntu 16.04 可用

1. 首先當然要安裝 Postfix

Postfix 設定網上已很多,在此不多詳述。詳情參見: http://linux.vbird.org/linux_server/0380mail.php

mailutils 提供 mail 等工具方便後面測試

2. 設定 Mailname 及 Hostname

此步驟很重要,否則 SPF 和 DKIM 都會因為 hostname 不符而 Fail

修改 /etc/mailname,設定為要使用的 FQDN

修改 /etc/postfix/main.cf ,設定 myhostname 為要使用的 FQDN

(經測試前者會影響 “From” Address, Return-Path, 後者只影響 “Received” header,
還是兩個改成一樣比較方便)

3. 設定 DKIM (DomainKeys Identified Mail)

DKIM 的原理是用公私鑰驗證 Sender 的真偽。
Public Key 放在 DNS TXT Record,而 Private Key 存放在 Server,而每封 Email 帶有 DKIM-Signature。
這樣只要驗證 DKIM-Signature 是否和 Public key 相符就可以知道郵件的真偽。

安裝 OpenDKIM 及 OpenDKIM Tools

修改 /etc/default/opendkim, Listen 本地 8891 Port

以下有兩種作法,建議直接做 Multi Domain 免除麻煩


如果有多於一個Domain要DKIM簽名:
(DKIM signing multiple domain names)

為每個新增Domain Name新增一個Directory

為每個 Domain 生成 Public key 及 Private key

照樣把各 mail.txt 的內容各自加入到 DNS Zone 或 把引號 ” 內加入到Delegated DNS Server

不要忘記修改 Permission 讓 opendkim 讀取 keys

修改 /etc/opendkim.conf, 新增以下設定

建立 /etc/opendkim/KeyTable, 新增以下設定

建立 /etc/opendkim/SigningTable, 新增以下設定


如果只有一個 Domain 需要DKIM簽名:
(DKIM signing single domain name)

生成 Public key 及 Private key

當前目錄會出現 mail.privatemail.txt, 前者是 Private Key, 後者是 DNS TXT Record

把  mail.txt 的內容加入到 DNS Zone 或 把引號 ” 內加入到Delegated DNS Server
然後把 Private key 複製到 Postfix directory

修改 /etc/opendkim.conf, Domain 設成自己的FQDN


修改 /etc/postfix/main.cf 指示 Postfix 使用 DKIM Sign Outgoing mail

Start OpenDKIM 及 Restart Postfix

DKIM 設定完成,之後再設定完 SPF 再一併測試

參見:DKIM with Postfix – https://rtcamp.com/tutorials/mail/dkim-postfix-ubuntu/

4. 設定 SPF (Sender Policy Framework)

SPF 其實也只是一種 TXT 紀錄,用途是讓某 Domain 授權特定 IP Address 代表其發信。
收件伺服器收到郵件後,會驗證該地址 Domain 的 SPF 紀錄是否跟 Sender Address 相符。

新增一個與收信 (Sub)domain 相乎的 TXT Record

v=spf1 指定協議版本,不能改變

ip4:54.249.120.50 允許 54.249.120.50 代表 domain2.com 發信
可以設定為 CIDR 格式,例如 54.249.120.0/24

a 允許 A Record 和 AAAA Record 中的 IP Address 發信

~all 代表 除非乎合以上條件,否則 Return “SoftFail”
日後測試完成,需要更強保安可以改為 -all ,即 Return “HardFail”
這樣冒認的電郵就較可能被拒收

陷阱: SPF 所在的 (Sub)Domain 不能有其他 CNAME Record

其實 CNAME Record 並不能和其他任何 Record 共存,很奇怪這在多數 DNS Service 是合法的

If a CNAME RR is present at a node, no other data should be present; this ensures that the data for a canonical name and its aliases cannot be different.

RFC1034 section 3.6.2

順帶一提,其實 MX Record 也不能指向 CNAME Record

The domain name used as the value of a NS resource record, or part of the value of a MX resource record must not be an alias.

RFC 2181 section 10.3

SPF Record Syntax: http://www.openspf.org/SPF_Record_Syntax
SPF Record Generator: http://www.spfwizard.net/

5. 設定 DNS 反解 (Reverse DNS)

rDNS 需要 Hosting / ISP 的配合,或許需要收費。
我用的是 Amazon EC2,這服務是免費的,只需要簡單申請。

(EC2 有郵件發送限制,此表格可以順道解除它)

Request to Remove Email Sending Limitations – https://portal.aws.amazon.com/gp/aws/html-forms-controller/contactus/ec2-email-limit-rdns-request

5. DMARC (Domain-based Message Authentication, Reporting & Conformance) 設定

這應該是最少人認識的設定吧?我是查看 Paypal 發來的郵件的 Header 發現的。
用途大約是讓收件的 MTA 知道發現 SPF 或 DKIM 不符的疑似假冒郵件時該怎樣做,以及控制驗證的嚴格程度。
而且還可以建議 MTA 通知真正的 Domain owner。
所以 DMARC 必需先設定好 SPF 和 DKIM 才能使用。

這是 2013 年才定下的標準,相關文檔不多。但 Google 有一個 相當好的說明
DMARC 的設定相當簡單,只要新增一個 TXT Record 就好了。

這個階段暫時設定為不隔離或拒絕郵件好了。

在 _dmarc.domain1.com 新增 TXT 紀錄:

6. 測試設定

直接用 Command Line 發送測試 Email,把 test.txt 當作郵件內文

成功在 Gmail 收到此 Email,Gmail 驗證過 DKIM 和 SPF 都 Pass 了

另外也可以用 http://www.mail-tester.com/ 測試,進入後會有一個臨時電郵地址,
發送任意郵件到該地址,即可取得一個很可愛的詳細 Report。

DKIM 及 SPF 都正確設定的話,應該得到不錯的分數,以及一個鳥語花香的畫面。

Spam Test Result by mail-tester.com - Mozilla Firefox_2014-02-18_14-44-33

Result: http://www.mail-tester.com/web-401S8T

否則就會出現一個很悲涼的畫面:

Spam Test Result by mail-tester.com - Mozilla Firefox_2014-02-18_14-46-52

Postfix MTA 外送的設定部分到這裡結束了。
下一篇開始談談 MDA 與 MSA 的連接。

9 Replies to “Ubuntu Postfix Mail Server 設定筆記 (一) MTA (SPF, DKIM, rDNS 及 DMARC)”

  1. 較少的既全面並以中文書寫的教學!

    筆者有考慮過使用類似Sendgrid 這類SMTP SaaS 的服務嗎?

    1. 謝謝您的閱讀
      其實我是特別用中文寫的 因為英文的教學網上已太多了

      我有考慮過 Amazon SES
      但因為我這個項目還在概念測試階段
      所以才想自己架一台伺服器 先全權控制所有東西 確定需要甚麼功能以後再修改

  2. 忘記了答謝你詳盡的教學,實在獲益良多,請繼續這類型的分享!
    就是看完你的文章後,最後決定使用MailChimp 的Mandrill SMTP service作基本的transactional mail 功用

    1. 這個扣分項目, 應該是因為郵件的內容導致的
      可能您的內容郵件太像 Pyzor 上被檢舉的內容了

  3. 想請教大大一個問題
    SPF, DKIM, rDNS 及 DMARC都已經設定完畢
    http://www.mail-tester.com/ 測試結果也都是ok
    但不論是寄給gmail yahoo hotmail
    都會便當成垃圾信
    直接被丟到垃圾信箱去
    這有可能是那邊疏忽了嗎?
    煩請大大不吝指導 十分感謝

Leave a Reply

Your email address will not be published.