Комплексная защита и hardening-тюнинг почтового сервера Postfix / Dovecot

Enterprise-конфигурация почтового стэка, оптимизированная для блокировки спам-ботов на дальних подступах (Postscreen), принудительного TLS-шифрования и защиты пользовательских ящиков от брутфорса.

# ========================================================================= 
# БЕЗОПАСНЫЙ ПОЧТОВЫЙ КОНТУР — HARDENING CONFIGURATION POSTFIX 
# ПУТЬ К ФАЙЛУ: /etc/postfix/main.cf 
# ========================================================================= 
 
# 1. ОГРАНИЧЕНИЕ ДOСТУПА И БОРЬБА СО СПАМОМ (МАТРИЦА POSTSCREEN) 
postscreen_enabled = yes 
postscreen_pipelining_enable = yes 
postscreen_non_smtp_command_enable = yes 
postscreen_bare_newline_enable = yes 
postscreen_greet_action = enforce # Жестко рвём соединение со спам-ботами сразу! 
 
# 2. КРИПТОГРАФИЯ И ПРИНУДИТЕЛЬНЫЙ TLS (ОБЕЗЛИЧЕННЫЕ ПУТИ СЕРТИФИКАТОВ) 
smtpd_tls_cert_file = /etc/nginx/ssl/yourdomain.com.crt 
smtpd_tls_key_file = /etc/nginx/ssl/yourdomain.com.key 
smtpd_tls_security_level = may 
smtpd_tls_protocols = !SSLv2, !SSLv3, !TLSv1, !TLSv1.1 # Разрешены только TLS 1.2 и 1.3 
smtpd_tls_ciphers = high 
smtpd_tls_prefer_server_ciphers = yes 
 
# 3. ПРАВИЛА ФИЛЬТРАЦИИ КЛИЕНТОВ (АНТИ-СПАМ ФИЛЬТРЫ) 
smtpd_recipient_restrictions = 
permit_sasl_authenticated, 
permit_mynetworks, 
reject_unauth_destination, 
reject_invalid_helo_hostname, 
reject_non_fqdn_helo_hostname, 
reject_unknown_recipient_domain 
 
# ========================================================================= 
# ИНТЕГРАЦИЯ С КИШКАМИ АУТЕНТИФИКАЦИИ DOVECOT 
# ПУТЬ К ФАЙЛУ: /etc/dovecot/conf.d/10-auth.conf 
# ========================================================================= 
disable_plaintext_auth = yes # Намертво запрещаем передачу паролей в открытом виде! 
auth_mechanisms = plain login 
 
# Оптимизация хранения почтовых ящиков (Каноничный Maildir пацанов) 
mail_location = maildir:~/Maildir