Docker-Mailserver 安全配置：避免邮件服务器被滥用作开放中继

在部署 Docker-Mailserver 时，一个常见的严重安全隐患是将服务器错误配置为开放中继（Open Relay）。这种情况会导致恶意用户能够利用您的邮件服务器发送垃圾邮件，不仅影响服务器声誉，还可能导致IP被列入黑名单。

典型错误配置分析

通过一个实际案例可以看到，用户在使用 Docker-Mailserver 时配置了以下两项关键参数：

1. 网络模式设置为host：

   network_mode: host
   

   这种配置使得容器直接使用宿主机的网络栈，所有容器端口都暴露在公网上，包括一些本应内部使用的服务端口。

2. 过度宽松的Docker权限设置：

   environment:
     - PERMIT_DOCKER=host
   

   这个配置会信任eth0接口所在网络的整个/16 CIDR范围，在host网络模式下，这实际上就是信任了整个公网。

安全风险详解

这种组合配置会带来严重的安全隐患：

1. SMTP开放中继：任何来自公网的连接都可以通过25端口发送邮件，无需认证
2. 端口过度暴露：除了邮件服务端口外，还可能暴露管理接口等内部服务
3. 认证绕过：即使配置了SMTP认证，宽松的权限设置可能允许某些连接绕过认证

正确的安全配置建议

1. 避免使用host网络模式：

   • 使用默认的bridge网络或自定义网络
   • 仅暴露必要的邮件服务端口(25,465,587等)

2. 谨慎使用PERMIT_DOCKER参数：

   • 仅在确实需要时使用
   • 避免使用"host"这样过于宽松的值
   • 考虑使用更精确的网络范围

3. 强制认证措施：

   • 确保587(提交)端口需要认证
   • 限制25端口仅用于接收邮件
   • 启用SPF、DKIM和DMARC等反垃圾邮件技术

4. 监控与日志：

   • 定期检查邮件日志
   • 设置异常发送警报
   • 使用Fail2ban等工具防止暴力尝试

最佳实践配置示例

services:
  mailserver:
    image: ghcr.io/docker-mailserver/docker-mailserver:latest
    ports:
      - "25:25"    # SMTP - 仅用于接收
      - "465:465"  # SMTPS - 需要认证
      - "587:587"  # Submission - 需要认证
    environment:
      - ENABLE_SPAMASSASSIN=1
      - ENABLE_CLAMAV=1
      - ENABLE_FAIL2BAN=1
      - ENABLE_POSTGREY=1
      - SPOOF_PROTECTION=1
      # 不使用PERMIT_DOCKER或使用更严格的限制

通过遵循这些安全配置原则，可以确保Docker-Mailserver既保持功能性，又不会成为垃圾邮件发送者的跳板。定期审查安全配置和监控系统日志是维护邮件服务器安全的重要环节。