Postfix: désactiver l'authentification via le port 25

Lors de l'utilisation Postfixet IMAPsur un serveur de messagerie, au moins 3 ports sont généralement ouverts

25 smtp   : incoming emails from anybody (whole internet)
465 smtps : outgoing emails from authorized users (to the whole intenet)
993 imap  : imap for authorized users

Je voudrais configurer postfix, afin que les utilisateurs autorisés ne puissent envoyer des e-mails que via 465. Par défaut, ce n'est pas le cas. Les utilisateurs peuvent également utiliser STARTTLS sur le port 25. Je voudrais désactiver cela.

Mon plan est d'utiliser le port 25 pour que le public m'envoie des e-mails

utiliser le port 465 pour mes utilisateurs (je peux utiliser un pare-feu pour autoriser des plages IP spécifiques ou utiliser un port personnalisé)

Cela empêcherait le port 25 d'être exploitable des attaques par force brute, où les pirates tentent de deviner l'utilisateur / mot de passe. Le port 25 n'accepterait tout simplement pas l'utilisateur / mot de passe, même s'il était valide. Et comme le port 465 est limité par un pare-feu, les pirates ne peuvent pas non plus exploiter le 465.

Est-ce possible dans Postfix?

J'utilise Postfix 2.9.6-2 sur Debian Wheezy

AVERTISSEMENT:
la demande ne respecte pas les meilleures pratiques de sécurité car vous désactivez TLS (cryptage) sur votre port de relais de messagerie principal, exposant les données envoyées via ce port à des écouteurs tiers et / ou des modifications en vol. La réponse ci-dessous satisfait la demande, mais les meilleures pratiques nécessitent également STARTTLS pour la connexion au port 25.

Le master.cffichier /etc/postfix/master.cfcontrôle (généralement ) le démarrage et la configuration de services Postfix spécifiques. Une configuration comme celle-ci dans ce fichier, selon la documentation, fera ce que vous voulez:

smtp  inet  n  -  -  -  -  smtpd
  -o smtpd_tls_security_level=none
  -o smtpd_sasl_auth_enable=no

smtps inet  n  -  -  -  -  smtpd
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject

Cette configuration désactive l'authentification et l'option STARTTLS sur le port 25. Elle active l'option STARTTLS sur le port 465, nécessite l'utilisation de STARTTLS, active l'authentification et autorise uniquement les clients à se connecter s'ils sont authentifiés.

Vous pouvez également examiner l' smtpd_tls_wrappermodeoption pour forcer les vraies connexions TLS (et non les connexions STARTTLS).

Notez que ce type de configuration peut rendre la configuration de Postfix quelque peu difficile à suivre (des options peuvent être définies main.cfpuis remplacées master.cf). L'autre option consiste à exécuter plusieurs instances de Postfix, chacune avec ses propres main.cffichiers de configuration qui spécifient ces options.