relay domeny

Relay domeny to przekazywanie poczty dla danej domeny przez pośredniczący serwer.

Na czym polega pośredniczenie w dostarczaniu poczty domeny

Serwer przekazujący przyjmuje wiadomości zaadresowane do domeny, której skrzynek sam nie przechowuje, i podaje je dalej do właściwego hosta docelowego. Rekord MX domeny wskazuje wtedy nie na serwer ze skrzynkami, lecz na pośrednika. Wykorzystuje się to na dwa sposoby: przychodząco, gdy przed serwerem firmowym stawia się bramę filtrującą pocztę, oraz wychodząco, gdy stacje robocze i systemy wewnętrzne wysyłają wszystko przez jeden host nadrzędny nazywany smart hostem. W Postfiksie odpowiada za to lista relay_domains wraz z mapą transportu wskazującą docelowy serwer, w Exchange — konektor odbierający ograniczony do konkretnych adresów IP.

Kontrola tego, komu wolno przekazywać

Serwer przekazujący musi wiedzieć nie tylko dla jakiej domeny działa, ale i jakie adresy w tej domenie istnieją. Bez listy prawidłowych odbiorców przyjmie wszystko, a odrzucenie przyjdzie dopiero od serwera docelowego — wtedy pośrednik generuje odbicie do sfałszowanego nadawcy, czyli zalewa niewinnych ludzi tak zwanym backscatterem i sam trafia na listy blokujące. W Postfiksie służy do tego mapa relay_recipient_maps. Ruch wychodzący z kolei rozdziela się na dwa porty: 25 to komunikacja między serwerami, a 587 to port zgłoszeniowy dla klientów, gdzie wymaga się logowania i szyfrowania STARTTLS. Przyjęcie poczty od dowolnego nadawcy do dowolnego odbiorcy bez uwierzytelnienia oznacza otwarty przekaźnik, który skanery znajdują w kilka godzin.

Odrzucenia, blokady i błędy w konfiguracji

Odpowiedź o odmowie przekazywania z kodem 550 pojawia się, gdy serwer nie uznaje ani odbiorcy za swojego, ani nadawcy za uwierzytelnionego — typowo po zmianie hasła w programie pocztowym albo po przeniesieniu domeny na inny hosting bez aktualizacji ustawień wysyłki. Drugi klasyk to drukarka wielofunkcyjna lub kamera, które wysyłają skany przez wewnętrzny serwer i nagle przestają, bo administrator wyłączył nieszyfrowany port 25 w sieci lokalnej. Trzeci to operator łącza blokujący ruch wychodzący na porcie 25 z adresów klienckich, przez co jedyną drogą pozostaje port 587 u dostawcy poczty. Stan konfiguracji sprawdza się ręcznie, otwierając sesję narzędziem obsługującym STARTTLS i przechodząc krok po kroku przez polecenia EHLO, MAIL FROM i RCPT TO — serwer sam pokazuje, na którym etapie mówi „nie”.

Porządkowanie firmowej wysyłki z urządzeń i systemów

W małej firmie pocztę wysyła nie tylko człowiek: robi to kopiarka skanująca dokumenty na maila, monitoring wysyłający powiadomienia, serwer kopii zapasowych z raportem nocnym i program handlowy wystawiający faktury. Każde z tych urządzeń ma własne, zwykle prymitywne ustawienia SMTP i to one najczęściej się sypią po zmianie hostingu. Ustawiamy im spójną wysyłkę przez jedno konto techniczne na porcie zgłoszeniowym z szyfrowaniem, weryfikujemy rekordy uwierzytelniające domenę i sprawdzamy, czy urządzenie w ogóle obsługuje wymagany dziś poziom szyfrowania — starsze kopiarki potrafią kończyć się na wersjach protokołu, których serwery już nie akceptują. Pracujemy bez przerw, także w weekendy, więc wdrożenie da się zaplanować poza godzinami pracy biura.