主題: postfix mail gw 問題

[ohmygod]

代碼: [選擇]


         |   →    |       →     |　　→　　　client　　
    firewall     mail gw    mail server
     1.2.3.4     10.0.0.1    10.0.0.2
公司mail位址為xxx@test.com.tw，兩台mail都是用postfix架的，mail gw上面
沒有任何使用者帳號，沒用認證功能，只用relay，而其他分公司也都必須透過
總公司內部所架的mail server來收發信件，mail gw 主機 main.cf 設定:

代碼: [選擇]

myhostname = nodomain.com.tw
mydomain = com.tw
mydestination = $myhostname
transport_maps = hash:/etc/postfix/transport
relay_domains = test.com.tw
再來設定 /etc/mail/transport
test.com.tw smtp:[10.0.0.2]
#postmap hash:/etc/postfix/transport

mail server 上面 main.cf 設定:

代碼: [選擇]

myhostname = test.com.tw
mydomain = com.tw
myorigin = $myhostname
inet_interfaces = all
mydestination = $myhostname
mynetworks = 10.0.0.0/8,127.0.0.0/8
公司內部收發mail沒問題，外部廠商或其他分公司同仁寄給總公司同仁的信也沒
問題，但問題就出在外部分公司同仁要利用總公司的mail server來寄信給其他客
戶就有問題，因為根本不允許relay,不曉得這個問題要怎麼解決?

[paching]

以這種架構來說，我能想得到的就是讓分公司員工採取認證方式，但比較麻煩的
是mail gw 主機需有這些員工的帳號存在。
可能有更好方式來設定，大家一起想囉!

[ohmygod]

這也是可以，那這樣子是不是就透過mail gw來直接處理分公司寄給客戶的信，
而不需透過真正的mail server?
另外若我也想讓這樣的信relay給10.0.0.2那一台可以嗎?

[alva]

用個 webbase 的介面也不錯...(openwebmail

[梁楓]

你的mail gw 拿來做什麼用途？
防毒？ or ?

[ohmygod]

垃圾信件and防毒

[paching]

這也是可以，那這樣子是不是就透過mail gw來直接處理分公司寄給客戶的信，
而不需透過真正的mail server?
另外若我也想讓這樣的信relay給10.0.0.2那一台可以嗎?

沒錯。
如您想轉給10.0.0.2那一台，設定relayhost 不就行了? 不過應該不需多此一舉，畢竟信是要寄給公司外的人，
用哪一台relay沒差啊。

[梁楓]

硬體？ 軟體？
如果是軟體，有否可能跟mail server整合？

事實上，大部份的antispam 與antivirus 都做三明治架構就是為了驗證與防廣告信

mail -> mail gw -> mail

[ohmygod]

硬體？ 軟體？
如果是軟體，有否可能跟mail server整合？

整合在一起的可能性不高，因為這一台mail gw是之前的人用pc架的，且專門
就是做mail gateway，且核心整個編譯過，用不到的項目都刪除，所以說它是
硬體也不為過。
他說當初是因為公司人數太多，為了減輕附載才分開，若是我把它整合一起，萬
一影響到效率，那我可就吃不完兜著走。

沒錯。
如您想轉給10.0.0.2那一台，設定relayhost 不就行了? 不過應該不需多此一舉，畢竟信是要寄給公司外的人，
用哪一台relay沒差啊。

現在我已經有點花了，若分公司採認證跟不採認證，和mail gw上的
relay_domains 及relayhost的關係是怎樣呢?

[梁楓]

如果你的mail gw 不能動
又要考慮效率問題

以安全性的方向考量的話
理論上也不會讓你的mail 直接接觸internet

那，恐怕你就只能另外架個webmail了

[ohmygod]

其實我現在只差分公司寄信給客戶的問題而已，其他都ok啊，且分公司目前就
是利用webmail來寄給客戶，所以我只是在想辦法看看在架構不變的情形下有
沒有辦法讓它們能使用outlook?

[梁楓]

那，或許你該先問自己一個問題

在internet 有沒有辦法直接接觸到你的MailServer?

[Darkhero]

轉換個想法..既然是分公司..而不是不定點的外勤業務人員~...

那..何不考慮看看VPN?...

[paching]

現在我已經有點花了，若分公司採認證跟不採認證，和mail gw上的
relay_domains 及relayhost的關係是怎樣呢?

在mail gateway 啟動認證功能且有mail帳號前提下，我大概說一下：
分公司採認證：(clinet 要勾選我的伺服器需要驗證)
分公司寄給同公司信件：10.0.0.1(認證)-->relay_domains(transport)-->10.0.0.2
分公司寄給客戶：10.0.0.1(認證)-->relay 出去internet。若gw上有設定relayhost參數，則會轉給10.0.0.2再relay出去。

分公司不採認證：
分公司寄給同公司信件：10.0.0.1-->relay_domains(transport)-->10.0.0.2
分公司寄給客戶：relay deny.

題外話：這個架構讓我想起以前到上市的全友電腦裝機時，它們的架構跟這個很類似，也是由總公司集中管理，不過採用這種架構的不是
很多(我碰到的)，至於它們是不是這樣做，我也不知道，改天我再問問看。