Sendmail relay规则及配置文件用法汇总

可以通过命令 telnet <email_server> 25 , 或者命令 sendmail -dt -d0* , 来查看sendmail版本号。如果需要配置 smtp over ssl，则最好使用 8.12版本以上的 sendmail。

由于 Sendmail 有着长期的安全漏洞历史，更需要着重注意 sendmail 的版本更新。

Sendmail 作为 Linux, BSD 和其它 Unix 平台的“标配”，被广泛使用。再加上众多的相关软件支持，Sendmail 配置应该算得上是系统管理员的基本技能。Sendmail 主要的配置文件如下：

Sendmail的配置文件 sendmail.cf 算得上“臭名昭著”，看看这个文件一定会让你头大，几乎没有人从头来写这个文件。关于 sendmail.cf 的详细内容，参见：Sendmail Installation and Operation Guide --- THE WHOLE SCOOP ON THE CONFIGURATION FILE。

通过使用 m4 宏处理命令，由宏文件 sendmail.mc 来生成复杂的配置文件 sendmail.cf，一切变得简单多了。

/etc/mail/sendmail.mc 文件即是原始宏文件。生成配置文件 sendmail.cf 的命令为：

$ m4 sendmail.mc > sendmail.cf

默认的配置文件仅仅能在本机发送邮件，如果需要更强的功能，需要修改宏文件：sendmail.mc

缺省的sendmail.mc文件：

divert(-1)                                     
dnl This is the sendmail macro config file. If you make changes to this file,
dnl you need the sendmail-cf rpm installed and then have to generate a
dnl new /etc/sendmail.cf by running the following command:
dnl
dnl        m4 /etc/mail/sendmail.mc > /etc/sendmail.cf
dnl
include(`/usr/share/sendmail-cf/m4/cf.m4')
VERSIONID(`linux setup for Red Hat Linux')dnl  
OSTYPE(`linux')                                
dnl Uncomment and edit the following line if your mail needs to be sent out
dnl through an external mail server:
dnl define(`SMART_HOST',`smtp.your.provider')  
define(`confDEF_USER_ID',``8:12'')dnl          
undefine(`UUCP_RELAY')dnl
undefine(`BITNET_RELAY')dnl
define(`confAUTO_REBUILD')dnl
define(`confTO_CONNECT', `1m')dnl
define(`confTRY_NULL_MX_LIST',true)dnl
define(`confDONT_PROBE_INTERFACES',true)dnl
define(`PROCMAIL_MAILER_PATH',`/usr/bin/procmail')dnl
define(`ALIAS_FILE', `/etc/aliases')dnl        
dnl define(`STATUS_FILE', `/etc/mail/statistics')dnl
define(`UUCP_MAILER_MAX', `2000000')dnl
define(`confUSERDB_SPEC', `/etc/mail/userdb.db')dnl
define(`confPRIVACY_FLAGS', `authwarnings,novrfy,noexpn,restrictqrun')dnl
define(`confAUTH_OPTIONS', `A')dnl
dnl TRUST_AUTH_MECH(`DIGEST-MD5 CRAM-MD5 LOGIN PLAIN')dnl
dnl define(`confAUTH_MECHANISMS', `DIGEST-MD5 CRAM-MD5 LOGIN PLAIN')dnl
dnl define(`confTO_QUEUEWARN', `4h')dnl
dnl define(`confTO_QUEUERETURN', `5d')dnl
dnl define(`confQUEUE_LA', `12')dnl
dnl define(`confREFUSE_LA', `18')dnl
dnl FEATURE(delay_checks)dnl
FEATURE(`no_default_msa',`dnl')dnl
FEATURE(`smrsh',`/usr/sbin/smrsh')dnl        
FEATURE(`mailertable',`hash -o /etc/mail/mailertable.db')dnl
FEATURE(`virtusertable',`hash -o /etc/mail/virtusertable.db')dnl 
FEATURE(redirect)dnl
FEATURE(always_add_domain)dnl                
FEATURE(use_cw_file)dnl                      
FEATURE(use_ct_file)dnl                      
dnl The '-t' option will retry delivery if e.g. the user runs over his quota.
FEATURE(local_procmail,`',`procmail -t -Y -a $h -d $u')dnl
FEATURE(`access_db',`hash -o /etc/mail/access.db')dnl
FEATURE(`blacklist_recipients')dnl
EXPOSED_USER(`root')dnl
dnl This changes sendmail to only listen on the loopback device 127.0.0.1
dnl and not on any other network devices. Comment this out if you want
dnl to accept email over the network.
DAEMON_OPTIONS(`Port=smtp,Addr=127.0.0.1, Name=MTA')
dnl NOTE: binding both IPv4 and IPv6 daemon to the same port requires
dnl       a kernel patch
dnl DAEMON_OPTIONS(`port=smtp,Addr=::1, Name=MTA-v6, Family=inet6')
dnl We strongly recommend to comment this one out if you want to protect
dnl yourself from spam. However, the laptop and users on computers that do
dnl not have 24x7 DNS do need this.
FEATURE(`accept_unresolvable_domains')dnl     
dnl FEATURE(`relay_based_on_MX')dnl
MAILER(smtp)dnl
MAILER(procmail)dnl
Cwlocalhost.localdomain

修改该配置如下：

dnl Dmworldhello.net
dnl Dwmail
dnl define(`confDOMAIN_NAME', `$w.$m')dnl                    
... ...
FEATURE(`domaintable',`hash -o /etc/mail/domaintable')       
... ...
FEATURE(`genericstable',`hash -o /etc/mail/genericstable')   
... ...
GENERICS_DOMAIN_FILE(`/etc/mail/genericsdomain')             
... ...
dnl  DAEMON_OPTIONS(`Port=smtp,Addr=127.0.0.1, Name=MTA')     
... ...
FEATURE(`accept_unqualified_senders')dnl                     
... ...
define(confMAX_HOP,30)                                       
... ...
Cwlocalhost.localdomain your_real_domain                      
... ...

$ grep "^Fw" sendmail.cf 
Fw/etc/mail/local-host-names

在默认情况下,也就是安装完系统(Sendmail服务器)不做任何设置的情况下,则只能在本机上收发邮件,网络上(局域网或Internet)的任何其它主机不能向该SMTP服务器发送邮件。这往往并不能满足需要。

#/usr/sbin/sendmail -d0.1 -bv root |grep SASL
NAMED_BIND NETINET NETINET6 NETUNIX NEWDB NIS QUEUE SASL SCANF

define(QUEUE_DIR,`/var/spool/mqueue/q*')                            
TRUST_AUTH_MECH(`DIGEST-MD5 CRAM-MD5 LOGIN PLAIN')dnl               
define(`confAUTH_MECHANISMS', `DIGEST-MD5 CRAM-MD5 LOGIN PLAIN')dnl 
dnl define(`confDEF_AUTH_INFO', `/etc/mail/auth/auth-info')         
dnl FEATURE(`no_default_msa') 
dnl DAEMON_OPTIONS(`Port=smtp,Name=MTA')dnl                         
DAEMON_OPTIONS(`Port=25,Name=MSA,M=Ea')dnl                          

$ telnet localhost 25
Connected to localhost.
Escape character is '^]'.
220 localhost.localdomain ESMTP Sendmail 8.11.6/8.11.6; Wed, 12 Feb 2003 16:38:34 +0800
ehlo localhost
250-xxxxxxxxxxxxxxxxxxxxxxxxx, pleased to meet you
250-ENHANCEDSTATUSCODES
250-8BITMIME
250-SIZE
250-DSN
250-ONEX
250-ETRN
250-XUSR
250-AUTH LOGIN PLAIN         
250 HELP
auth login

pwcheck_method:pam

user1:        me@otherdomain.com,user2,user3    
user2:        user2@otherdomain.com
alises:       :include:/etc/mail/filealiases    
list-request: |/usr/local/bin/auto_reply        
nobody:       /dev/null                         

jiangxin
"|/usr/ucb/vacation johnson"
johnson

jiangxin,"|/usr/ucb/vacation johnson",\johnson

如同Apache一样，sendmail也允许使用虚拟主机功能，这是通过FEATURE(virtusertable)功能实现的，而虚拟主机的文件缺省是/etc/mail/virtusertable。这个文件的形式类似于aliases文件，即：左地址 右地址 ，中间用Tab键分开。还需要注意的是，虚拟域（左地址的域名），应该属于本机接收之列。

joe@yourdomain.com      jschmoe                         
bogus@yourdomain.com    error:nouser No such user here  
@testdomain.com         test@mydomain.com               
@yourdomain.com         %1@othercompany.com             

aliases 文件同样可以将本地用户，映射到其它地址，那么和 virtusertable 的优先级如何？^[1]

jwu jwu@sources.com 

test.com 

sh.abc.com relay:[192.168.11.1]
bj.abc.com smtp:mail.bj.abc.com

我遇到的一个需要地址伪装的例子是，一个应用软件需要频繁在用户之间发送邮件，公司的邮件服务器要求身份认证，而该软件不支持，于是配置了一个内部邮件服务器作为该软件要求的SMTP服务器。但是问题又来了，如果发件人地址属于公司的邮件地址，则邮件回被退回，仍旧报告发件人需要身份验证。于是想到了将发件人地址伪装。

那么何为邮件的地址伪装呢？地址伪装只伪装邮件的发送者部分。凡是转发邮件的发送者地址属于"本地域"（不包含"@域名"只有用户名的地址，或者由 class{w}）或者包含在 MASQUERADE_DOMAIN 的定义当中，则将发送者地址伪装为 MASQUERADE_AS 定义的地址。例如：采用如下配置后，user1@domain1.com 发送给 user2@domain1.com 的邮件，被重写为由 user1@domain2.com 发送给 user2@domain1.com；同样根据定义，本地域发出的邮件，也要将发送者的邮件地址写为MASQUERADE_AS 定义的地址，即 @domain2.com。配置如下：

FEATURE(masquerade_envelope)
MASQUERADE_DOMAIN(domain1.com)
MASQUERADE_AS(domain2.com)

FEATURE(masquerade_envelope) 很重要。如果没有定义该 Feature，则只修改邮件 header 部分的 From 地址，而不修改信封地址，邮件回复仍然回复到伪装前的地址。

常用的几个伪装规则：

MASQUERADE_AS(domain2.com)                 
MASQUERADE_DOMAIN(domain1.com)             
MASQUERADE_DOMAIN_FILE(`filename')         
FEATURE(allmasquerade)                     
FEATURE(masquerade_entire_domain)          
MASQUERADE_EXCEPTION(`host.domain1.com')   
EXPOSED_USER(`root majordomo')             
EXPOSED_USER_FILE(`filename')              
FEATURE(masquerade_envelope)               

关于地址伪装的几个重要参考：

sendmail 使用类$w列出主机名。对于DNS中的A记录，必须在$w类中列出，但对于CNAME别名记录，DNS会自动检索出来。

如果DNS中有MX记录，则只需要在sendmail主机名中列出域名即可。

DNS的设置参见：《DNS 配置示例》。

第一部分 mail relay 规则详解