Postfix（Maildir）+Dovecot（IMAP）の設定（on Fedora）

●メールサーバの構築

　メールサーバを構築する場合、送信メールサーバ(SMTPサーバ)と受信メールサーバ(POP/IMAPサーバ)の構築が必要となります。今回は、送信メールサーバにはPostfix、受信メールサーバにはDovecotを使用します。
　DovecotはPOP/IMAPサーバとして構築し、ユーザがPOPまたはIMAPを選択できるようにします。

●POPとIMAPサーバの違い

　IMAP（Internet Message Access Protocol。詳細は、『ウィキペディア（Wikipedia）』を参照してください。）というのはPOP（Post Office Protocol。詳細は、『ウィキペディア（Wikipedia）』を参照してください。）に代わるメール受信用プロトコルです。
　POP、IMAPともに、メールサーバに保管されているメールを読むという基本的な機能は共通していますが、それぞれに特徴を持っています。
　まずはPOPですが、正確には、POP3（RFC1939）を示します。POPは基本的に、メールサーバからメールを読むだけのプロトコルです。POPサーバはPOPクライアントであるメールソフトからの接続に対し、ユーザ−認証を行なったのちに、ユーザ−のメールボックスへのアクセスを許可します。
　ユーザ−認証後、POPクライアントが利用可能なサ−ビスとしては、メールボックスの一覧、メールの転送などが挙げられますが、基本的にはメールはすべてクライアントに転送してからクライアント側のメールソフトにその後の処理が委ねられます。高機能なPOPサーバでは、メールサーバにメールを残しておいた状態で、いくつか新着メールが届いても、新着メールだけをクライアントに転送する機能を持っています。さらにインタ−ネットのセキュリティが騒がれる昨今では、ユーザ−認証をより安全に機能拡張したAPOPや、メールを受けるだけではなく、送る機能を持ったPOPサーバも登場しています。
　続いてIMAPですが、ここでは、IMAP4 Rev1プロトコル（RFC2060）を前提に説明します。IMAPを利用するには、POPの場合と同様に、IMAPに対応するメールサーバとメールクライアントソフトが必要です。
　IMAPのもっとも大きな特徴は、メールを読むだけではなく、メールを検索することやフォルダの管理ができることです。このくらいならばPOP対応のメールソフトでも可能だと思われるかもしれませんが、POPとの大きな違いは、メールボックスをメールサーバに置いたままこれらの機能が利用できることです。ほかには、共有メールフォルダ機能があり、グル−プ内でのメールの回覧などの用途に利用することができます。
　最後に、POPとIMAPの比較検討をしてみたいと思います。
　POPがクライアント主導型なのに対し、IMAPはサーバ主導型といえます。IMAP サーバはその性格上、同時に複数のアクセスが発生します。ここまではPOPでも同様なのですが、IMAPではクライアントからのメールの検索やフォルダ管理などにも対応しなければいけませんので、POPよりも高い計算処理能力を求められます。さらに、IMAPではユーザ−のメールボックスをサーバに保管するため、POPよりも多くのディスク容量を必要とします。つまり、IMAPはPOPよりも多くのリソ−スが必要なサ−ビスといえます。しかし、 IMAPは、メールボックスをメールサーバに置くことによって、ユーザ−がどのクライアントマシンからアクセスしても、いつも同じメールボックスを提供することができます。例えば、職場（学校）、出先、自宅などで異なるパソコンを使っていても、同じメールボックスを利用することができるというわけです。ちなみに、POPの場合、メールをメールサーバに保存する設定を利用すれば異なる場所でも同じメールを読むことはできますが、未読管理はクライアントソフトに任されますので、同じメールをいくどとなく読まされることになります。また、メールをフォルダに仕分けする作業も、すべてクライアント側で行なわなければいけません。このような問題はIMAPを利用すれば一挙に解決します。
　以上のように、IMAPは異なる場所でメールサーバにアクセスしたり、一人で何台ものパソコンを利用している方にはとても有益です。
　今後は、メールボックスを管理するサーバ機能として、POPに代わってIMAPが利用されるケ−スが多くなっていくと思われます。また、IMAPにはメールだけでなくネットニュ−スやディレクトリサ−ビスなどとの連動という魅力的な機能もあります。しかし、まだクライアントソフトが充実していませんので、現状POPでこと足りているならば、あえて移行する必要はないでしょう。メールサーバにIMAPを導入しようとお考えの方は、それぞれの環境やメールクライアントソフトの機能を、よく吟味してからでも決して遅くないと思います。ちなみに、いちはやくIMAPに対応した定番メールソフトWinBiff の開発元オレンジソフトではIMAPに関する情報を集めたホームペ−ジ（http://imap4.orangesoft.co.jp/）を開設していますので、参考にされるとよいかもしれません。

●Postfixの設定

　SMTPsの設定は「●メールサーバのTLS化（SMTPs）：2023年9月中旬以降採用」を参照してください。

　MTAをPostfixに設定します。
　この設定を最初に確認していなかったため、mail.cfを何度も確認するはめになりました。

# alternatives --config mta
3 プログラムがあり 'mta' を提供します。
  選択       コマンド
-----------------------------------------------
 + 1           /usr/sbin/sendmail.exim
*  2           /usr/sbin/sendmail.postfix
   3           /usr/sbin/sendmail.postfix
Enter を押して現在の選択 [+] を保持するか、選択番号を入力します:2

　以下の箇所を変更及び追加しました。

vi /etc/postfix/main.cf
# メールサーバのホスト名
myhostname = mail.bigbang.mydns.jp
# ドメイン名
mydomain = bigbang.mydns.jp
# 差出人のメールアドレスに使用されるドメイン名
# システム発信等された場合、メールアドレスの@以降に補完される名称
myorigin = $myhostname
# 全てのインターフェースから受信する場合
inet_interfaces = all
# 特定のインターフェースからのみ受信する場合
inet_interfaces = 127.0.0.1, 192.168.0.20, 10.10.10.23
# メールサーバー自身に配送されたとみなすドメインのリスト
mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain
# メールのリレー（転送）を許可するネットワーク
mynetworks = 127.0.0.0/24, 1.0.0.0/24
# このシステムがメールをリレーしようとする配送先のドメイン（及びそのサブドメイン）
relay_domains = $mydestination
# ローカルメール以外をリレーさせる設定（SMTP over SSL対応）
relayhost = [smtpssl.odn.ne.jp]:465
　　[hostname]のように、転送先ホスト名を[ ]で囲むとMX検索をしなくなる。
　　複数行指定した場合、下の行が優先される。 
# Mailbox形式
home_mailbox = Maildir/
# procmailを使用したいので設定
mailbox_command = /usr/bin/procmail
※注意
ユーザ毎の設定時、環境変数に記載により正常にMailboxに取り込まれないことがありますので、その場合は下記を参照してください。
「Procmailとは？●全ユーザ共通設定」
「Procmailとは？●ユーザ毎の設定」
# ESMTP unknownメールサーバソフト名の隠蔽化
smtpd_banner = $myhostname
# 送信するメールサイズを制限
message_size_limit = 13660000
      エンベロ−プ情報（送信者、受信者など) を含めた、Postfix キュ−ファイルの最大サイズの制限
      添付ファイルはbase64でエンコ−ドされるので、想定する制限の4/3倍するとよい
      約10Mまで有効
デフォルト（未指定）では10MByteに設定されています。
無制限にする場合
message_size_limit = 0
# メールボックスの容量設定
mailbox_size_limit = 102400000　←　メールボックス容量を100MBに制限
                                MailDir形式では有効にならない

Maildir形式でもサイズがmailbox_size_limitを超えた場合は、下記のメッセージが表示されます。
fatal: main.cf configuration error: mailbox_size_limit is smaller than message_size_limit
warning: process /usr/libexec/postfix/local pid 12685 exit status 1

# 当メールサーバでメール送信時の送信者アドレスを強制書き換え
sender_canonical_maps = hash:/etc/postfix/sender_canonical

  # /etc/postfix/sender_canonicalの内容
  @bigbang.dyndns.org		@mail.bigbang.mydns.jp
  @mail.bigbang.dyndns.org	@mail.bigbang.mydns.jp
  @mail.bigbang.mydns.bz	@mail.bigbang.mydns.jp
  @serverA.bigbang.dyndns.org	@mail.bigbang.mydns.jp

# SMTP over SSLでリレーホストに接続する場合の設定
smtp_tls_wrappermode = yes
smtp_tls_security_level = encrypt
smtp_sasl_password_maps = hash:/etc/postfix/odn_mail_pass

  ODNメールサーバ（465番ポート）を使用するためのハッシュファイルの作成
  # vi /etc/postfix/odn_mail_pass
  [smtpssl.odn.ne.jp]:465 ACCOUNT:password
  　↑　ODNアカウント（メールアドレス）、パスワードを記載
  # chmod 600 /etc/postfix/odn_mail_pass
  # postmap /etc/postfix/odn_mail_pass

# SMTP-AUTHを有効にする場合の設定
  # SASL認証の有効
smtpd_sasl_auth_enable = yes
smtpd_sasl_local_domain = $myhostname
smtpd_recipient_restrictions =
    # mynetworksで指定されたネットワークからのリレーを許可
    permit_mynetworks
    # SMTP認証を通過したものは許可
    permit_sasl_authenticated
    # SMTP認証を通過しないものは拒否するが、relay_domainsにあるドメインへは許可
    # （これがないとローカルユーザにメールが配信されない）
    reject_unauth_destination
    # それ以外はすべて拒否
    reject
smtpd_sasl_security_options =
    # 匿名接続の拒否、クライアントはCRAM-MD5で認証
    noanonymous
    # PLAIN認証の拒否、クライアントはCRAM-MD5で認証
    noplaintext
  # アウトルック、Outlook Expressのログイン認証を利用するための設定
broken_sasl_auth_clients = yes

# リレーホストに対するSMTP over SSLの設定

●Maildir形式メールボックス作成

　Postfixのメール格納形式は共有ディレクトリ形式（「/var/spool/mail/ユーザ名」というファイルに全てのメールが蓄積されていく形式）だが、アクセス性能改善及びセキュリティ強化の観点から　Maildir形式へ移行します。

【既存ユーザ対処】
　既存ユーザのホームディレクトリにMaildir形式のメールボックスを作成して、蓄積済のメールデータを当該メールボックスへ移行します。メールデータ形式の移行を参照

【新規ユーザ対処】
　新規ユーザ追加時に自動でホームディレクトリにMaildir形式のメールボックスが作成されるようにします。

# mkdir -p /etc/skel/Maildir/{new,cur,tmp}
　←　新規ユーザ追加時に自動でMaildir形式メールボックス作成
# chmod -R 700 /etc/skel/Maildir/　←　メールボックスパーミッション設定

※メールデータ移行後メールサーバー再起動後したにもかかわらず、/var/spool/mail/ユーザ名」にメールが保存されてしまう場合、「全ユーザ共通設定」及び「ユーザ毎の設定」を参照して「/etc/procmailrc」を設定してください。

●Postfix起動

・sendmail停止
　デフォルトで起動しているSMTPサーバであるsendmailを停止します。

# systemctl stop sendmail
# systemctl disable sendmail
# systemctl status sendmail

or

# /etc/rc.d/init.d/sendmail stop
# chkconfig sendmail off　←　sendmail自動起動設定解除
# chkconfig --list sendmail　←　sendmail自動起動設定解除確認
sendmail        0:off   1:off   2:off   3:off   4:off   5:off   6:off
    　↑　全ランレベルのoffを確認

・メールサーバ切替え
　システムで使用するメールサーバ機能をsendmailからPostfixに切り替えます。

# alternatives --config mta　←　メールサーバ切り替え
2 プログラムがあり 'mta'を提供します。
  選択       コマンド
-----------------------------------------------
*+ 1           /usr/sbin/sendmail.sendmail
   2           /usr/sbin/sendmail.postfix
Enterを押して現在の選択[+]を保持するか、選択番号を入力します:2　←　2を応答

・Postfix起動

# systemctl enable --now postfix
# systemctl status postfix

or

# /etc/rc.d/init.d/postfix start　←　Postfix起動
# chkconfig postfix on　←　Postfix自動起動設定
# chkconfig --list postfix　←　Postfix自動起動設定確認
postfix         0:off   1:off   2:on    3:on    4:on    5:on    6:off
    　↑　ランレベル2〜5のonを確認

・ポート25番のOPEN
　ルーター側の設定でポート25番をOPENします。

●/etc/aliases

　解説には「aliases(5) はローカル受信者へのメールの宛名を書き換えるシステム全体に渡る機構を提供します。書き換えは Postfix local(8) 配送エージェントにより処理されます。通常、aliases(5) テーブルには postalias(1) コマンドへの入力に使われるテキストファイルが指定されます。dbm または db 形式でインデックス化された結果はメールシステムが高速に検索するために使われます。Postfix エイリアスデータベースを変更した後は、インデックスファイルを再構築するために newaliases コマンドを実行してください。」と記載されています。

　記載されている中にpostmasterやwebmasterがあります。
　デフォルトではrootに転送するように記載されています。
　インターネットに接続されているpostfixの場合、postmaster及びwebmaster宛にスパムメール等が届くと思います。
　これに対応するため、ちょっとした工夫をすることにより拒否することが出来るようになります。

　webmasterをコメントアウトしてみます。
　すると、下記のように拒否されるようになります。

2022/10/18 10:15:15 serverA postfix/smtpd[2035358]: connect from *****.odn.ne.jp[143.***.***.***]
2022/10/18 10:15:15 serverA postfix/smtpd[2035358]: discarding EHLO keywords: CHUNKING
2022/10/18 10:15:15 serverA postfix/smtpd[2035358]: NOQUEUE: reject: RCPT from *****.odn.ne.jp[143.***.***.***]: 550 5.1.1 <webmaster@mail.bigbang.mydns.jp>: Recipient address rejected: User unknown in local recipient table; from=<********@syd.odn.ne.jp> to=<webmaster@mail.bigbang.mydns.jp> proto=ESMTP helo=<cmsa102.odn.ne.jp>
2022/10/18 10:15:15 serverA postfix/smtpd[2035358]: disconnect from *****.odn.ne.jp[143.***.***.***] ehlo=1 mail=1 rcpt=0/1 rset=1 quit=1 commands=4/5

2022/11/07 03:38:41 serverA postfix/smtpd[483569]: NOQUEUE: reject: RCPT from unknown[117.69.188.103]: 550 5.1.1 <webmaster@mail.bigbang.mydns.jp>: Recipient address rejected: User unknown in local recipient table; from=<changeid@amazon.co.jp> to=<webmaster@mail.bigbang.mydns.jp> proto=ESMTP helo=<amazon.co.jp>
2022/11/07 04:26:50 serverA postfix/smtpd[483569]: NOQUEUE: reject: RCPT from unknown[60.23.118.76]: 550 5.1.1 <webmaster@mail.bigbang.mydns.jp>: Recipient address rejected: User unknown in local recipient table; from=<info@hotmail.com> to=<webmaster@mail.bigbang.mydns.jp> proto=ESMTP helo=<hotmail.com>
2022/11/07 04:28:30 serverA postfix/smtpd[524114]: NOQUEUE: reject: RCPT from unknown[175.150.96.28]: 550 5.1.1 <webmaster@mail.bigbang.mydns.jp>: Recipient address rejected: User unknown in local recipient table; from=<changeid@amazon.co.jp> to=<webmaster@mail.bigbang.mydns.jp> proto=ESMTP helo=<amazon.co.jp>

　webmasterを活かしたままスパムメールを拒否したい場合の一例は下記のとおりです。
　smtpd_sender_restrictionsを利用して設定した場合。
　記載方法は「●accessテーブルの使用」を参照。

2022/10/29 03:06:03 serverA postfix/smtpd[1690279]: NOQUEUE: reject: RCPT from unknown[27.184.133.218]: 450 4.1.8 <taf@pgnlk.net>: Sender address rejected: Domain not found; from=<taf@pgnlk.net> to=<webmaster@mail.bigbang.mydns.jp> proto=ESMTP helo=<pgnlk.net>
2022/10/30 04:23:34 serverA postfix/smtpd[3061631]: NOQUEUE: reject: RCPT from unknown[27.184.150.181]: 450 4.1.8 <is@xmvetnnew.org>: Sender address rejected: Domain not found; from=<is@xmvetnnew.org> to=<webmaster@mail.bigbang.mydns.jp> proto=ESMTP helo=<xmvetnnew.org>
2022/10/30 04:23:35 serverA postfix/smtpd[3061631]: NOQUEUE: reject: RCPT from unknown[27.184.150.181]: 450 4.1.8 <ejhmpyd@kynyqlto.net>: Sender address rejected: Domain not found; from=<ejhmpyd@kynyqlto.net> to=<webmaster@mail.bigbang.mydns.jp> proto=ESMTP helo=<kynyqlto.net>
2022/10/31 04:32:33 serverA postfix/smtpd[83272]: NOQUEUE: reject: RCPT from unknown[27.184.138.160]: 450 4.1.8 <mn@iuaz.net>: Sender address rejected: Domain not found; from=<mn@iuaz.net> to=<webmaster@mail.bigbang.mydns.jp> proto=ESMTP helo=<iuaz.net>

　

●accessテーブルの使用

　accessテーブルを利用すると、Postfixが受け入れるメールや送信するメールを制限することができます。accessテーブルで使用可能なパラメータには以下があります。

smtpd_client_restrictions
　このSMTPサーバに接続できるクライアントを制限します。デフォルトはどのクライアントからのSMTP接続も許可します

smtpd_helo_restrictions
　SMTPのHELOやEHLOコマンドで許可するホスト名を制限します。デフォルトでは全てを許可します。

smtpd_sender_restrictions
　SMTPのMAIL FROMコマンドでメールを送信できる送信者アドレスを制限します。

smtpd_recipient_restrictions
　SMTPのRCPT TOコマンドでメールを受信できる受信者アドレスを制限します。

　これらのパラメータの値に参照するaccessテーブルファイルを指定します。例えば、差出人のFROMアドレスでSPAMメールと判断し、メールの受信を拒否するのであれば、以下のようにsmtpd_sender_restrictionsパラメータを/etc/postfix/main.cf に追記し、変更を反映するためにPostfixを再起動します。

設定例
smtpd_sender_restrictions = hash:/etc/postfix/access,cidr:/etc/postfix/client.cidr reject
/etc/postfix/accessの内容
mail1.hoge.mail.co.jp     OK
mail2.hoge.mail.co.jp     OK
/etc/postfix/client.cidrの内容
127.0.0.1/8          OK
192.168.200.0/25     OK

　/etc/postfix/accessは、デフォルトで用意されているaccessテーブルファイルです。他のパラメータも指定するのであれば、それぞれ異なるaccessテーブルファイルを指定します。
　accessテーブルに拒否するメールのパターンを記述する場合は、以下のようにします。

設定例
smtpd_sender_restrictions = hash:/etc/postfix/access
/etc/postfix/accessの内容
spam@example.com     REJECT
example.com          REJECT
spam@                REJECT
192.168.0.1          REJECT
192.168.0            REJECT
192.168              REJECT
192                  REJECT

　このように、メールアドレス、IPアドレス、ドメイン名、ユーザー名を指定することができます。これに続きタブまたはスペースで区切り、REJECTと記述することで、マッチしたメールを拒否することができます。なお、ドメイン名を指定した場合は、そのサブドメインも拒否の対象となります。つまり、上記の例ではhoge.example.comやhogehoge.example.comからのメールも拒否されます。
　/etc/postfix/accessの編集後は、以下のようにpostmapコマンドを実行し、データベースファイルである/etc/postfix/access.dbを更新する必要があります。Postfixを再起動する必要はありません。

# postmap /etc/postfix/access

　「strings」コマンドを使用することで「access.db」の内容が確認できます。

●canonicalテーブルの使用

　内向けアドレス形式から外向けアドレス形式への変換時に使用されます。
　送信者および受信者アドレスに適用されます。
　デフォルトでは、すべてのヘッダとエンベロープのアドレスが書き換えられます。
　/etc/postfix/main.cfに下記を追記します。

# 送信者、受信者のアドレス書き換えに適用
canonical_maps = hash:/etc/postfix/canonical
# 書き換えるアドレスの対象
canonical_classes = envelope_sender, envelope_recipient, header_sender, header_recipient
送信者アドレスを書き換える場合
#sender_canonical_maps = hash:/etc/postfix/sender_canonical
受信者アドレスを書き換える場合
#recipient_canonical_maps = hash:/etc/postfix/recipient_canonical
適用の順序は、sender_canonical_maps,recipient_canonical_maps,canonical_maps

　/etc/postfix/canonicalの記載例を示します。

@bigbang.mydns.jp     @mail.bigbang.mydns.jp
@mail.bigbang.mydns.jp        @mail.bigbang.mydns.jp
test@mail.bigbang.mydns.jp    suzuki-t@mail.bigbang.mydns.jp
hoge    hoge.master

　変更後、下記を実行します。

設定変更の反映
# postmap /etc/postfix/canonical
postfix再読み込み
# systemctl reload postfix
マッピングの確認
# postmap -q @bigbang.mydns.jp /etc/postfix/canonical
@mail.bigbang.mydns.jp
# postmap -q @mail.bigbang.mydns.jp /etc/postfix/canonical
@mail.bigbang.mydns.jp
# postmap -q test@mail.bigbang.mydns.jp /etc/postfix/canonical
suzuki-t@mail.bigbang.mydns.jp
# postmap -q hoge /etc/postfix/canonical
hoge.master

●transportテーブルの使用

　transportテーブルを使用して、ドメインによるメールの配送経路を指定することができます。電子メールの送り先データ（MX）を無視して強制的に移送する時などに使うもので、例えば、メールゲートウェイ等で使うことがあります。MXはゲートウェイ、すなわち自分自身に向いているのでそれが利用できないためです。postfixの設定ファイルであるmain.cfに「transport_maps」項目を追加し、メールの配送経路指定を設定します。変更を反映するためにPostfixを再起動します。

設定例
transport_maps = hash:/etc/postfix/transport
hoge.net        smtp:192.168.1.1
.hoge.co.jp     smtp:mail1.sev.met
hoge1.net       smtp:[mail.server.com]

　「hoge.net」ドメイン宛てのみのメールについては、「smtpプロトコルにてIPアドレス「192.168.1.1」のサーバへ転送する」という設定です。
　「hoge.co.jp」のサブドメインを含むドメイン宛てのメールについては、「smtpプロトコルにて「mail1.sev.met」のサーバへ転送する」という設定です。
　「hoge1.net」のドメイン宛てのメールについては、「MXレコードを使用しないで「mail.server.com」のサーバへ転送する」という設定です。
　/etc/postfix/transportの編集後は、以下のようにpostmapコマンドを実行し、データベースファイルである/etc/postfix/transport.dbを更新する必要があります。Postfixを再起動する必要はありません。

# postmap /etc/postfix/transport

　「strings」コマンドを使用することで「transport.db」の内容が確認できます。

●virtualテーブルの使用

　管理していたドメインの利用を停止し、新たに別ドメインで運用をし始めた場合、メールドメインを切り替える必要があります。
　その場合、バーチャルドメインを利用することにより旧ドメイン宛のメールを受信することができるようになります。そのためには、バーチャルメールサーバを用意する必要がります。
　ただし、旧ドメイン宛のメールを受信するには、下記の条件が必要です。
　外部より受信するにあたり、新ドメイン・旧ドメインが外部のDNSサーバに登録されている事（名前解決できている事）。
　バーチャルメールサーバとは、複数のドメイン名宛へのメールアカウントをリアルドメインのメールアカウントで受信できる事です。
　例えば、当サイトのリアルドメインは『kajuhome.com』です。ご存知の方は少ないかも知れませんが、当サイト公開当時のドメインは『bigbang.dyndns.org』でサブドメインが『kaju』、即ち『kaju.bigbang.dyndns.org』で公開していました。
　当初の名残もあり、現在でも『kaju.bigbang.dyndns.org』でアクセス可能です。この『kaju.bigbang.dyndns.org』も以前は当然メールを使用していたので、『kaju.bigbang.dyndns.org』宛へのメールも受信する必要があります。
　よって、前述しましたが『kajuhome.com』がリアルドメイン、『kaju.bigbang.dyndns.org』がバーチャルドメインと言う位置付けとなっています。

●セカンダリメールサーバの設定

　メールサーバは24時間稼動することが要求されるサーバの1つです。障害発生時に備えてセカンダリメールサーバを用意しておけば、メール配送のトラブルを減らすことができます。セカンダリメールサーバは、プライマリメールサーバの代わりにメールをキューへ溜めておき、プライマリメールサーバの復旧後、一時的に受け取ったメールをプライマリメールサーバへ向けて配信する働きをします。
　セカンダリメールサーバとして機能させるために必要となる要件を以下に示します。

・DNSサーバのMXレコードにセカンダリメールサーバの設定を追加する
・受け取ったメールのローカル配信は行わずキューにためる
・プライマリメールサーバのドメイン宛のメールはリレーする
・プライマリメールサーバへ転送するときにMXレコードを参照しない

　ここでは、プライマリメールサーバをmailgw.hoge.co.jp、セカンダリメールサーバをmailgwbak.hoge.co.jpとして、セカンダリメールサーバを設定するための/etc/postfix/main.cfのパラメータについて解説します。
　最初にmydestinationパラメータを確認します。$mydomainが指定されているとプライマリメールサーバの停止中に受信したメールを取り込んでしまうため、プライマリメールサーバが復活しても転送されません。したがって、$mydomainが指定されている場合は削除します。
　次に、hoge.co.jpドメイン宛のメールを受け取ることができるように、relay_domainsパラメータにドメイン名を指定します。

relay_domains = hoge.co.jp

　MXレコードを参照せずにプライマリメールサーバへメールを転送するには、/etc/postfix/transportファイルにプライマリメールサーバを指定しておきます。

hoge.co.jp   smtp:[mailgw.hoge.co.jp]

　設定完了後は以下のコマンドを実行し、/etc/postfix/transport.dbファイルを更新する必要があります。

# postmap /etc/postfix/transport

●メールゲートウェイの設置

　メールサーバの構築においては、DMZ（非武装地帯）に設置した外部SMTPサーバ（メールエクスチェンジャ、メールゲートウェイ）が受信したメールをLAN内に設置した内部SMTPサーバへそのまま転送し、そのホストがメールスプールを持つといった2段構成もよくとられます。ここでは、メールゲートウェイとなる外部SMTPサーバをmailgw.hoge.co.jp、内部SMTPサーバをmail.hoge.co.jpとして各SMTPサーバの/etc/postfix/mail.cfのパラメータ定義について解説します。

mail.hoge.co.jp の設定

　内部のSMTPサーバを設定するために、先に解説した最も基本的なメールサーバと異なる点は、クライアントからのメールをメールゲートウェイであるmailgw.hoge.co.jp へそのまま転送することです。そのためには、relayhostパラメータを指定します。

relayhost = mailgw.hoge.co.jp

　これだけで、クライアントからのメールは、メールゲートウェイへ配送され、送信メールアドレスのドメイン名を処理するSMTPサーバへmailgw.hoge.co.jpにより配送されます。

mailgw.hoge.co.jpの設定

　メールゲートウェイを設定するために最低限必要な要件は、

・外部からのメールをmail.hoge.co.jpへ転送

することです。そのためには、transport_mapsパラメータを使用します。デフォルトのtransport_mapsパラメータは以下のように指定されています。

transport_maps = hash:/etc/postfix/transport

　ここで指定されている/etc/postfix/transportは、配送方法を指定するための設定ファイルです。つまり、このファイルにメールを転送するSMTPサーバとドメイン名とのマップを指定します。この例では、hoge.co.jpや.hoge.co.jpドメイン宛てのメールをmail.hoge.co.jpへ転送するために以下のように指定します。

hoge.co.jp         smtp:[mail.hoge.co.jp]
.hoge.co.jp        smtp:[mail.hoge.co.jp]

　設定完了後は、以下のコマンドを実行し /etc/postfix/transport.dbファイルを更新する必要があります。

# postmap /etc/postfix/transport

　これで、メールゲートウェイへ届いたhoge.co.jpドメイン宛てのメールは、mail.hoge.co.jpへ転送されるようになります。

●Postfixにおける制御

　下記のようなことを制御することが出来ます。

ヘッダフィルタリングング
本体のフィルタリングング
クライアントホスト名/アドレス制限
HELO（EHLO）コマンドの要求
HELO（EHLO）ホスト名制限
厳密なRFC 821形式のエンベロープアドレスの要求
送信者アドレス制限
受信者アドレス制限
ETRNコマンド制限
一般的な制限
補助的な制御パラメータ

●ヘッダ及び本体のフィルタリングング

　スパム対策として以前はProcmailを利用していましたが、Postfixではあらかじめスパム対策用のパラメータが準備されており、それを利用することにします。主にheader_checks、body_checksを使用します。これらは設定次第でスパム対策だけでなく、さまざまなフィルタリングをすることも可能となります。
　header_checksはメッセージヘッダのコンテンツ検査を行うオプションの検索テーブルです。
　body_checksはメッセージ本体のコンテンツ検査を行うオプションの検索テーブルです。
　以下のようにheader_checks、body_checksパラメータを/etc/postfix/main.cfに追記し、変更を反映するためにPostfixを再起動します。

header_checks = regexp:/etc/postfix/header_checks
body_checks = regexp:/etc/postfix/body_checks

　それぞれの設定例を下記に示します。
　なお、「未承諾広告」という日本語文字をMIMEデコードに変換するには以下のようにします。

echo '未承諾広告' | nkf -jM
変換後：=?ISO-2022-JP?B?GyRCTCQ+NUJ6OS05cBsoQg==?=

　header_checks、body_checksを設定します。

# vi /etc/postfix/main.cf
#header_checks = regexp:/etc/postfix/header_checks
        ↓
header_checks = regexp:/etc/postfix/header_checks　←　コメントを外す
#body_checks = regexp:/etc/postfix/body_checks
        ↓
body_checks = regexp:/etc/postfix/body_checks　←　コメントを外す
# chmod 600 /etc/postfix/header_checks
# chmod 600 /etc/postfix/body_checks

　ヘッダチェックファイルの設定をします。

header_checksの設定例
header_checks = regexp:/etc/postfix/header_checks
#IPアドレスによる拒否設定
/^Received:.*\[211\.112\./ DISCARD
/^Received:.*\[218\.39\./ DISCARD
#ドメイン名による拒否設定
/^Subject:.*testtest/ REJECT
/^Received:.*.com\.tw/ REJECT
/^Received:(.from.a-net\.ne\.jp)/ REJECT
#その他
/^X-Mail-Agent:.*(BSMTP DLL)/ DISCARD
/^X-Mailer:(.AOL).*(for.Windows.US.sub)/ REJECT
#送信メールアドレスによる拒否設定
/^From:.*@yahoo\.fr/ REJECT
/^From:.*@yahoo\.ca/ REJECT
#送信宛先による拒否設定
/^To:.*undisclosed-recipients/ REJECT
#件名による拒否設定
/^Subject:(.Re:)$/ REJECT
/^Subject:(.Re:Re:)$/ REJECT
/^Subject:(.Re:Re:Re:)$/ REJECT
/^Subject:\ =\?ISO-2022-JP\?B\?GyRCTCQ\+NUJ6OS05cBsoQg==\?=.*/ REJECT　←　未承諾広告
#メールヘッダの隠蔽
#ローカルのみ有効
/^Received:/ IGNORE

設定前のヘッダ情報
Received: from bigbang.mydns.jp（[***.***.***.***] [***.***.***.***])
          by *****.*****.ne.jp with ESMTP
          id <20111007133537829.BNMG.4827.*****.*****.ne.jp@*****.*****.ne.jp>
          for <test@*****.*****.ne.jp>; Fri, 7 Oct 2011 22:35:37 +0900
Received: from mail（mail.bigbang.mydns.jp [192.168.0.54])
	by bigbang.mydns.jp（Postfix) withSMTPid 4DE4A3D4029
	for <test@*****.*****.ne.jp>; Fri,  7 Oct 2011 22:35:37 +0900（JST)
Message-ID: <BC70BD4A5F574442A88CFD3281E780BE@bigbang.mydns.jp>
From: "hoge HOGE" <hoge@bigbang.mydns.jp>
To: =?iso-2022-jp?B?GyRCPEYhIUJuGyhC?= <test@*****.*****.ne.jp>
Subject: TEST
Date: Fri, 7 Oct 2011 22:35:33 +0900
設定後のヘッダ情報
Received: from bigbang.mydns.jp（[***.***.***.***] [***.***.***.***])
          by *****.*****.ne.jp with ESMTP
          id <20111007135640036.BOAT.4827.*****.*****.ne.jp@*****.*****.ne.jp>
          for <test@*****.*****.ne.jp>; Fri, 7 Oct 2011 22:56:40 +0900
Message-ID: <91515C3A33E54355839ED0552327424F@bigbang.mydns.jp>
From: "hoge HOGE" <hoge@bigbang.mydns.jp>
To: =?iso-2022-jp?B?GyRCPEYhIUJuGyhC?= <test@*****.*****.ne.jp>
Subject: 
Date: Fri, 7 Oct 2011 22:56:39 +0900
　ローカル部分のヘッダ情報がなくなっていることを確認できます。

body_checksの設定例
body_checks = regexp:/etc/postfix/body_checks
#spam
/^(|[^>].*)livedear.com/ REJECT
#LogWatch
if !/(reject: header|reject: body)/
/^(|[^>].*)sample.com/ REJECT
/^(|[^>].*)http:\/\/[0-9a-zA-Z!-~]+\.ch/ REJECT
/^(|[^>].*)http:\/\/[0-9a-zA-Z!-~]+\.example\.net/ REJECT
end if
＊root宛てにLogWatchのメールを送っている場合、
　body_checksでREJECTすると、LogWatchのメールもREJECTされ、
　エラーメールで届いてしまうので、if文などで制御する
＊マニュアルではendifとなってるがendifだとpostmap時にエラーになる
　end ifか何もかかないとエラーが出ず、一応動作する
　if以降の行は、行頭にスペースやタブを入れない
　スペースやタブは、前行の続きとみなされる
処理の方法について
	OK：受信する（Ver2.1以降はDUNNO推奨）
	IGNORE：一致した行をヘッダから削除
	REJECT：受信拒否して、エラーメールを返す
	DISCARD：受信して破棄する

　/etc/postfix/header_checks、/etc/postfix/body_checksの編集後は、以下のようにpostmapコマンドを実行し、データベースファイルである/etc/postfix/header_checks.db、/etc/postfix/body_checks.dbを更新する必要があります。Postfixを再起動する必要はありません。

# postmap /etc/postfix/header_checks
# postmap /etc/postfix/body_checks

●postmapコマンドで生成した*.dbファイルの内容確認

　　「strings」コマンドを使用することで「header_checks.db」「body_checks.db」の内容が確認できます。

●クライアントホスト名/アドレス制限

　SMTPサーバがクライアントからSMTP接続の要求を受けた際に適用する、オプションのアクセス制限で/etc/postfix/main.cfのsmtpd_client_restrictionsで設定します。デフォルトでは全ての接続要求を許可します。制限のリストをカンマまたは空白で区切って指定します。次の行を空白で始めることで長い行を継続します。制限は指定された順に適用されます。最初にマッチした制限が勝ちます。

文法

ゼロもしくはそれ以上の制限を空白またはカンマで区切って指定します。制限は指定された順に適用されます。最初にマッチした制限が勝ちます。クライアントのホスト名やIPアドレスに関する制限に加えて、HELO/EHLOコマンドや送信者アドレス、受信者アドレスで渡される情報に基づく制限を列挙することもできます。HELO/EHLOや送信者、受信者の制限はsmtpd_delay_reject = yesの時のみ課せられ、その場合全ての制限は RCPT TOコマンドの後で評価されます。

例

smtpd_client_restrictions = hash:/etc/postfix/access, reject_rbl_client relays.mail-abuse.org
smtpd_client_restrictions = hash:/etc/postfix/access, reject_rbl_client relays.ordb.org
smtpd_sender_restrictions = hash:/etc/postfix/access, reject_rhsbl_sender dsn.rfc-ignorant.org
smtpd_client_restrictions = permit_mynetworks, reject_unknown_client

　以下はクライアントホスト名またはクライアントネットワークアドレス情報に特有のものです。

check_client_access type:table: 指定されたaccessデータベースでクライアントのホスト名や親ドメイン、クライアントのIPアドレス、重要でないオクテットをはぎ取ったネットワークを検索します。詳細はaccess(5)マニュアルページを参照してください。
permit_mynetworks: クライアントのIPアドレスが$mynetworksにリストアップされたネットワークのいずれかにマッチする場合、要求を許可します。
reject_rbl_client rbl_domain=d.d.d.d: 逆にしたクライアントネットワークアドレスが\fIrbl_domain\fR以下のAレコード"\fId.d.d.d\fR"でリストアップされている場合に、要求を拒否します（Postfixバージョン2.1以降のみ）。"\fI=d.d.d.d\fR"が指定されていないと、逆にしたクライアントネットワークアドレスが rbl_domain以下のいずれかのAレコードでリストアップされている場合に、要求を拒否します。maps_rbl_reject_codeパラメータには要求を拒否する際の応答コードを(デフォルト: 554)、default_rbl_replyにはデフォルトのサーバ応答を、そして rbl_reply_mapsパラメータには rbl_domainでインデックス化されたサーバ応答を持つテーブルを指定します。この機能はPostfix2.0以降で使えます。
reject_rhsbl_client rbl_domain=d.d.d.d: クライアントのホスト名が\fIrbl_domain\fR以下のAレコード"d.d.d.d"でリストアップされている場合に、要求を拒否します（Postfixバージョンョン 2.1 以降のみ）。"=d.d.d.d"が指定されていないと、逆にしたクライアントネットワークアドレスがrbl_domain以下のいずれかのAレコードでリストアップされている場合に、要求を拒否します。さらなるRBL関連の設定パラメータについては、上のreject_rbl_clientの記述を参照してください。この機能はPostfix 2.0以降で使えます。
reject_unknown_client: クライアントのIPアドレスがDNSにPTRレコードを持たない場合や、そのPTRレコードがマッチするAレコードを持たない場合に、要求を拒否します。unknown_client_reject_codeパラメータには要求を拒否する際の応答コードを指定します（デフォルト:450）。一時的な問題によってホスト名の検索に失敗した場合、応答は常に450です。
check_policy_service servername: 指定されたポリシーサーバに問い合わせます。詳細はSMTPD_POLICY_READMEドキュメントを参照してください。この機能はPostfix 2.1以降で使えます。
defer: 要求を遅延します。クライアントは後で再び試すように言われます。この制限は、デフォルトのポリシーを明示的にするために制限リストの最後に置くと便利です。parameterパラメータにはSMTPサーバ応答コードを指定します（デフォルト: 450）。
defer_if_permit: 以降の制限で結果が明示的もしくは暗黙のうちにPERMITアクションになる場合、要求を遅延します。これは一時的な問題でブラックリスト機能が失敗したときに便利です。この機能はPostfix 2.1以降で使えます。
defer_if_reject: 以降の制限で結果がREJECTアクションになる場合、要求を遅延します。これは一時的な問題でホワイトリスト機能が失敗したときに便利です。この機能はPostfix 2.1以降で使えます。
permit: 要求を許可します。この制限は、デフォルトのポリシーを明示的にするために制限リストの最後に置くと便利です。
reject_multi_recipient_bounce: エンベロープ送信者がnullアドレスで、かつエンベロープ受信者が複数の場合に要求を拒否します。これの使用は技術的には許されますが、正当なアプリケーションを持っていないように見えます。multi_recipient_bounce_reject_codeパラメータには要求を拒否する際の応答コードを指定します（デフォルト: 550）。この機能はPostfix 2.1以降で使えます。
reject_unauth_pipelining: 前もってコマンドを送ることが許されない場所でクライアントがSMTPコマンドを前もって送ったり、Postfixが実際にSMTPコマンドパイプラインをサポートしているかどうかを知らずにクライアントが前もってSMTPコマンドを送った場合に、要求を拒否します。これは配送をスピードアップするためにSMTPコマンドパイプラインの間違った使い方をするバルクメールソフトウェアからのメールを止めます。
reject: 要求を拒否します。この制限は制限リストの最後に置いて、デフォルトのポリシーを明示的にするのに便利です。reject_code設定パラメータには要求を拒否する際の応答コードを指定します（デフォルト: 554）。
warn_if_reject: 次の制限の意味を変え、要求を拒否する代わりに警告をログに記録するようにします（"reject_warning"を含むログファイルの記録を探してください）。これは動いている環境で、不用意にメールを失うリスクを冒さずに新しい制限をテストするのに便利です。