第 08 章
メール転送と防御
管理画面:
#pOutbound
送信 Reputation Shield、OutboundGuard、ESMTP 制限 & Fail2Ban
インターネットに公開されたメール サーバーには 2 つの脅威があります: 外部からのクレデンシャル スタッフィング ボットと、送信 IP/ドメインのレピュテーションの低下 (繰り返されるハード バウンス、スパム苦情、RFC 8058 配信停止ヘッダーの欠如、侵害されたアカウントが原因) です。nextxch は、主要なトランザクション ESP の中核となる配信性保護機能を組み合わせています - すべてオプションで、個別に切り替え可能です。
運用のヒントとアーキテクチャに関する注記
[送信レピュテーションとクォータ] (#pOutbound) で、オフ (既定)、推奨、厳格 (一括) をワンクリックで切り替えるか、個々のモジュールを選択して有効にできます。組み込みのトラフィックを発生させないサンドボックス ドメイン *.sink.nextxch.local (ok@、bounce@、defer@、complaint@) を使用すると、外部にトラフィックを送信することなく、バウンス、Webhook、抑制リストを安全にテストできます。さらに高い要件がある場合は、前段にメール ゲートウェイを追加で配置することもできます。第 09 章 /docs/mail-gateway/ を参照してください。
コックピットまたは CLI による Reputation Shield、TLS オーバーライド & Fail2Ban
すべての保護機能は、Cockpit (#pOutbound) でライブ管理することも、nextxch-cli で宣言的に管理することもできます。
# Reputation Shield per CLI abfragen oder als Preset aktivieren (0 ms Hot-Reload):
nextxch-cli get ReputationShield
nextxch-cli update ReputationShield --set preset=recommended
# TLS-Ausnahme für Partner-Domain mit Shared-Hosting-Zertifikats-Mismatch:
nextxch-cli create Route --set domain=neff.me --set tlsMode=StartTlsIgnoreCert --set description="Partner-MX Ausnahme"
# Brute-Force Auto-Ban Schwellenwerte in #pRules feinjustieren:
nextxch-cli update TransportRules --set autoBanThreshold=10 --set autoBanDurationMinutes=30設定、既定値 & ベスト プラクティス
| 設定 / 場所 | 説明 | 既定値 | 本番環境のベスト プラクティス |
|---|---|---|---|
Suppression List & Auto-Bounce-Sperre (#pOutbound · optional) |
5xx のハード バウンス、連続する 4xx のソフト バウンス、配信停止を自動的に記録し、リモート MX サーバーに接続する前の送信前段階で、既知の無効な受信者を除外します。 | Optional (Vorlage: Empfohlen) |
存在しない 550 メールボックスに繰り返し送信しないことで、Gmail、Outlook、Yahoo での送信者スコアを保護します。 |
ARF Feedback-Loop & RFC 8058 1-Klick-Unsubscribe (optional) |
受信した RFC 5965 ARF 不正利用レポートを自動的に取り込み、スキャナーに安全な GET/POST 処理を備えた、DKIM で重ねて署名された RFC 8058 ワンクリック List-Unsubscribe ヘッダーを挿入します。 | Optional (für Bulk Pflicht ab 5.000/Tag) |
marketing と notification のカテゴリで有効にしてください: Google/Yahoo の一括送信者要件を満たしつつ、GET によるプレビューがエンタープライズのリンク スキャナーの影響を受けないようにします。 |
24h Bounce- & Complaint-Notbremse + 421 ISP-Cooldown (optional) |
直近 24 時間のバウンス率 (>5%) または苦情率 (>0.2%) が急増すると自動サーキット ブレーカーが作動し、421/451 のレート制限応答に対してドメインごとに適応型のクールダウンを適用します。 | Optional (critical/2FA ausgenommen) |
不適切なマーケティング バッチでブレーカーが作動しても 2FA コードやパスワード リセットが届き続けるよう、AllowCriticalWhenTripped は有効のままにしてください。 |
DNSBL-Selbsttest, HMAC-Webhooks & Sandbox-Sink (optional) |
送信用 IPv4 を 5 つの主要な DNSBL と照合し、HMAC-SHA256 署名付きのバウンス/苦情 Webhook を CRM/ERP に送信し、*.sink.nextxch.local で結果をシミュレートします。 | sink.nextxch.local aktiv |
ステージング/CI テストを ok@、bounce@、defer@、complaint@sink.nextxch.local に向けることで、インターネット トラフィックなしで現実的なバウンス & Webhook テストを行えます。 |
Auto-Ban / Fail2Ban & TarpitDelayMs (#pRules) |
SMTP、IMAP、POP3、Webmail、ActiveSync、DAV でブルート フォース攻撃の IP をブロックし (8 回失敗 -> 30 分間禁止)、SMTP ターピット (1500 ms) で辞書攻撃スキャナーを遅延させます。 | Aktiv · 1500 ms Tarpit |
有効のままにし、オフィス / VPN の固定送信元 IP を #pRules で許可リストに登録し、通常の個人メールボックスはアカウントごとの OutboundGuard の制限で保護してください。 |