Changer les règles de relai selon le service, plutôt que de se baser sur $TRUSTED_NETWORKS #3

New issue

Closed

opened 2026-08-23 20:42:13 +00:00 by Marie · 1 comment

Marie commented

2026-08-23 20:42:13 +00:00

Owner

On a deux services Postfix : un interne au cluster, l'autre pour les connections externes. On n'a pas besoin de se baser sur la variable de configuration TRUSTED_NETWORKS pour autoriser ou non le relai de mail, puisque tout ce qui est autorisé au relai arrive sur le service interne, tandis que tout ce qui arrive sur le service externe doit uniquement être destiné aux adresses locales. Il faudrait donc définir smtpd_relay_restrictions dans master.cf.tpl, pour chaque service, plutôt que dans main.cf.tpl.

Au passage, définir le nom de service (syslog_name) dans master.cf, pour différencier les deux services dans les logs

On a deux services Postfix : un interne au cluster, l'autre pour les connections externes. On n'a pas besoin de se baser sur la variable de configuration `TRUSTED_NETWORKS` pour autoriser ou non le relai de mail, puisque tout ce qui est autorisé au relai arrive sur le service interne, tandis que tout ce qui arrive sur le service externe doit uniquement être destiné aux adresses locales. Il faudrait donc définir `smtpd_relay_restrictions` dans `master.cf.tpl`, pour chaque service, plutôt que dans `main.cf.tpl`. Au passage, définir le nom de service (`syslog_name`) dans `master.cf`, pour différencier les deux services dans les logs

Marie added the

labels

2026-08-23 20:42:13 +00:00

Marie self-assigned this

2026-08-23 20:42:13 +00:00

Marie commented

2026-08-23 23:25:15 +00:00

Author

Owner

Postfix interdit toute configuration de relai ouvert : smtpd_relay_restrictions ne peut pas être juste défini à permit sans quoi Postfix refuse de démarrer.

La solution est de définir mynetworks à toutes les plages d'IP privées existantes, et de définir stmpd_relay_restrictions à permit_mynetworks,reject.

On expose le service externe sur le port 25, l'interne sur le port 1025, plutôt que l'inverse précédemment, ce qui paraît moins risqué, puisque ça expose le service le plus protégé sur le port par défaut.

Postfix interdit toute configuration de relai ouvert : `smtpd_relay_restrictions` ne peut pas être juste défini à `permit` sans quoi Postfix refuse de démarrer. La solution est de définir `mynetworks` à toutes les plages d'IP privées existantes, et de définir `stmpd_relay_restrictions` à `permit_mynetworks,reject`. On expose le service externe sur le port 25, l'interne sur le port 1025, plutôt que l'inverse précédemment, ce qui paraît moins risqué, puisque ça expose le service le plus protégé sur le port par défaut.

Marie referenced this issue from a commit

2026-08-27 11:09:58 +00:00

style: expose two service to handle relay access

Marie closed this issue

2026-08-27 11:09:58 +00:00