Seminar Postfix SMTP-Authentifizierung mit SASL und Dovecot

Inhaltsverzeichnis

• Seminarprofil
• Zielgruppe
• Voraussetzungen
• Seminarziele
• Seminarinhalte
• Praxisübungen

Seminarprofil

Sichere SMTP-Authentifizierung über getrennte Submission-Dienste, Dovecot-SASL, Unix-Sockets, TLS-Pflicht, Relayregeln, Absenderkontrolle, Rate Limits und Clientdiagnose.

Die Themen werden in einer zusammenhängenden Laborumgebung schrittweise aufgebaut. Jede Konfigurationsstufe wird mit Positiv- und Negativtests, Protokollauswertung sowie einer nachvollziehbaren Rückfallmöglichkeit abgesichert. Der Umfang ist auf die fachlich notwendige Dauer abgestimmt und vermeidet sowohl oberflächliche Schnellverfahren als auch unnötige Wiederholungen.

Zielgruppe

Postfix-, Dovecot-, Linux- und Security-Administratoren

Voraussetzungen

Postfix-Grundkenntnisse, Linux-Dateirechte sowie TLS- und Benutzerverwaltungsbasiswissen

Seminarziele

• Port 25, Submission 587 und implizites TLS auf 465 nach Aufgabe trennen.
• smtpd_sasl_type, smtpd_sasl_path und SASL-Aktivierung konfigurieren.
• permit_sasl_authenticated in eine sichere Relay-Prüfreihenfolge integrieren.
• Verbindungs- und Anmelderaten gegen Brute Force begrenzen.

Seminarinhalte

Tag 1: Submission-Architektur und Dovecot-SASL

1. Schritt 1: Port 25, Submission 587 und implizites TLS auf 465 nach Aufgabe trennen.
2. Schritt 2: Eigene master.cf-Dienste mit dienstbezogenen TLS- und SMTP-Optionen aktivieren.
3. Schritt 3: Dovecot-Authentifizierungssocket für Postfix bereitstellen und Berechtigungen setzen.
4. Schritt 4: smtpd_sasl_type, smtpd_sasl_path und SASL-Aktivierung konfigurieren.
5. Schritt 5: Mechanismen prüfen und Klartextmechanismen nur innerhalb geschützter TLS-Sitzungen zulassen.
6. Schritt 6: Zertifikatskette und STARTTLS-Verhalten des Submission-Dienstes testen.
7. Schritt 7: Erfolgreiche und fehlgeschlagene Anmeldung in beiden Protokollen korrelieren.
8. Schritt 8: Socket-, Pfad- und Berechtigungsfehler gezielt beheben.

Tag 2: Relayregeln, Clienttests und Angriffsschutz

1. Schritt 1: permit_sasl_authenticated in eine sichere Relay-Prüfreihenfolge integrieren.
2. Schritt 2: Authentifizierte Einlieferung von internen Netzen und Port 25 trennen.
3. Schritt 3: Login-Maps für zulässige Envelope-Absender je Benutzer einsetzen.
4. Schritt 4: Verbindungs- und Anmelderaten gegen Brute Force begrenzen.
5. Schritt 5: Ungewöhnliche Zielmengen und erhöhte Versandraten im Monitoring erfassen.
6. Schritt 6: Desktop-, Mobil- und Kommandozeilenclients mit korrekten Parametern testen.
7. Schritt 7: Zertifikat-, Mechanismus-, Passwort-, Relay- und Absenderfehler unterscheiden.
8. Schritt 8: Verfahren für Passwortwechsel, Kontosperre und Missbrauchsfall erstellen.

Praxisübungen

• Laboraufgabe zu Submission-Architektur und Dovecot-SASL: Socket-, Pfad- und Berechtigungsfehler gezielt beheben.
• Laboraufgabe zu Relayregeln, Clienttests und Angriffsschutz: Verfahren für Passwortwechsel, Kontosperre und Missbrauchsfall erstellen.
• Kontrollierte Fehlersimulation mit dokumentierter Ursache, Korrektur und Rückfall.
• Abnahme des vollständigen Mailflusses anhand von Queue-ID, SMTP-Antwort und Protokollkette.
• Erstellung einer kompakten Betriebscheckliste für wiederkehrende Prüfungen und Änderungen.