Konfigurace poštovního serveru: nastavení Postfixu a Exchange

Konfigurace poštovního serveru

Poštovní servery tvoří kritickou komunikační infrastrukturu podniků. Správná konfigurace ovlivňuje doručitelnost, bezpečnost, uživatelskou zkušenost i provozní náklady. Tento článek shrnuje osvědčené postupy pro návrh a konfiguraci dvou dominantních platforem: Postfix (open-source MTA pro Unix/Linux) a Microsoft Exchange (on-premises část stacku Microsoft 365). Zaměřujeme se na identitu domény (DNS), bezpečnost a anti-spam, transportní topologii, vysokou dostupnost, monitoring a správu životního cyklu zpráv.

Architektura e-mailového ekosystému

• MTA (Mail Transfer Agent): zajišťuje příjem/odesílání pošty (SMTP) – Postfix, Exchange Transport.
• MDA (Mail Delivery Agent): ukládá poštu do schránek (Dovecot, role Exchange Mailbox).
• Klientské protokoly: IMAP/POP3, MAPI/HTTP, Exchange ActiveSync, Outlook Anywhere, webový přístup (OWA/Roundcube).
• Hygiena a bezpečnost: antispam/antimalware, filtrace příloh, DLP, sandboxing.
• Identita a adresář: AD/LDAP, autentizace (Kerberos, NTLM, OAuth2/Modern Auth), adresářové seznamy.
• Periferie: relay pro multifunkční zařízení, faxové servery, aplikace generující oznámení.

DNS a doménová identita: základ doručitelnosti

• MX záznamy: pořadí preferencí (nižší priorita = preferováno), směřují na FQDN se záznamem A/AAAA (nikoli CNAME). Zvažte geografickou redundanci.
• SPF (Sender Policy Framework): TXT záznam popisující, kdo smí odesílat poštu za doménu. Po ověření použijte konzervativní -all, jinak ~all.
• DKIM: kryptografický podpis odchozí pošty. Klíče o délce 2048 bitů, rotace a více selektorů (např. s2025, s2026).
• DMARC: politika vyhodnocování SPF/DKIM (p=quarantine → p=reject po pilotním provozu), reporty rua/ruf pro telemetrii.
• MTA-STS & TLS-RPT: vynucení TLS pro příjem pošty a hlášení problémů (TXT záznam mta-sts + politika HTTPS, TXT záznam tlsrpt).
• DANE pro SMTP: volitelné navázání certifikátu TLS přes DNSSEC (záznamy TLSA) – zvyšuje odolnost proti útokům typu MITM.
• BIMI/ARC: posílení důvěry a zpracování přeposílaných zpráv; BIMI vyžaduje přísnou politiku DMARC.

Zabezpečení transportu a autentizace

• Politika TLS: vynucení TLS 1.2/1.3, vypnutí zastaralých šifer, perfect forward secrecy, OCSP stapling pro veřejné služby.
• Služby submission: port 587 (STARTTLS) a 465 (implicitní TLS) pro autentizované klienty, oddělené od portu 25.
• Autentizace: Postfix SASL (typicky přes Dovecot), Exchange Modern Authentication (OAuth2) vůči AAD/ADFS, omezení základní autentizace.
• Omezení relay: explicitní seznam zdrojů (statické IP adresy, certifikáty), omezení rychlosti, detekce smyček a bumerangových zpráv.
• Filtrování obsahu: antimalware, blokování nebezpečných příloh (např. maker), sandboxing a pravidla DLP pro citlivá data.

Topologie a role v praxi

• Hraniční MTA: ukončení TLS, greylisting, RBL, vynucování DMARC, základní filtrování; může jít o cloudovou bránu.
• Vnitřní MTA/MDA: doručování do schránek, interní směrování, transportní pravidla.
• Hybridní režim: Exchange on-prem + Microsoft 365 (Exchange Online) – centralizovaný transport a jednotná identita.

Postfix: návrh a klíčové konfigurační body

• main.cf – identita a síť: myhostname, mydomain, myorigin, mydestination, inet_interfaces, inet_protocols (IPv4/IPv6).
• Transportní politika: smtpd_recipient_restrictions, smtpd_client_restrictions, smtpd_sender_restrictions, využití check_policy_service (např. greylistingu).
• DNSBL/RBL: smtpd_client_restrictions = reject_rbl_client zen.spamhaus.org, reject_rhsbl_sender ... s přiměřeným časovým limitem a seznamem povolených výjimek.
• Submission: v souboru master.cf aktivujte služby submission/smtps s nastavením smtpd_tls_auth_only=yes.
• TLS: smtpd_tls_security_level=may|encrypt, smtpd_tls_ciphers=high, smtp_tls_security_level= dane|verify podle míry přísnosti.
• SASL: smtpd_sasl_auth_enable=yes, backend Dovecot (smtp_sasl_type = dovecot), vypnutí plain bez TLS.
• Mapy a tabulky: virtual_alias_maps, transport_maps, relay_domains – řízení směrování a aliasů.
• Integrace antispamu/antiviru: Amavis/Rspamd/ClamAV prostřednictvím content_filter a zpětného vstřikování pomocí smtp v souboru master.cf.
• Výkon a fronta: default_process_limit, minimal_backoff_time, maximal_backoff_time, queue_run_delay, oddělení spoolu/fronty na rychlé SSD.
• Protokolování a observabilita: maillog/rsyslog, postfix-exporter pro Prometheus, pflogsumm pro denní přehledy.

Exchange: návrh, role a transport

• Role: v moderních verzích konsolidace do role Mailbox (zahrnuje Transport a Client Access). Edge Transport pro scénáře s DMZ.
• Receive/Send Connectors: jasně vymezený účel, omezení rozsahů IP adres, požadavky na TLS, maximální velikost zpráv; samostatný konektor pro zařízení (relay).
• Certifikáty: veřejně důvěryhodné certifikační autority pro internetové služby (SMTP, OWA, MAPI/HTTP, Autodiscover). Automatizujte obnovu a nasazení.
• Transportní pravidla: klasifikace obsahu, přidávání upozornění, akce DLP, ochrana před spoofingem a interní politiky.
• Modern Authentication: vypnutí Basic Auth, integrace s Azure AD (Conditional Access, MFA), řízení přístupu podle rizika.
• Databáze schránek: Database Availability Group (DAG) pro vysokou dostupnost, oddělení protokolů a databází, pravidelná údržba (online defragmentace ESE).
• Antispam/antivirus: agent Exchange antimalware (základní ochrana), obvykle doplněný o brány nebo EOP/Defender for Office 365.
• Autodiscover a klienti: správná konfigurace DNS, split-brain DNS při nasazení on-prem, zásady pro Outlook/ActiveSync, omezení starých protokolů.

Anti-spam a hygiena pošty

• Vrstvený model: reputace (RBL), greylisting, vynucování SPF/DKIM/DMARC, heuristická analýza obsahu, reputace URL, sandboxing příloh.
• Omezení objemu: limity rychlosti podle IP adresy/domény, limity souběžných SMTP relací, ochrana proti backscatteru a útokům pomocí NDR.
• Pravidla pro obsah: blokování nebezpečných typů souborů, přejmenování archivu chráněného heslem, karanténa podezřelých zpráv.
• Vzdálené relaye: otevřený relay pro aplikace používejte obezřetně; preferovaným modelem je autentizovaný submission.

Vysoká dostupnost, škálování a DR

• Postfix: více hraničních uzlů za anycastem či nástrojem pro vyvažování zátěže; sdílená fronta se obecně nedoporučuje – vhodnější jsou nezávislé uzly a sdílené politiky.
• Exchange: DAG (min. 3 uzly pro quorum), zpožděné kopie pro případ logických chyb, odolnost lokalit, vyhrazená síť pro replikaci.
• DNS a MX: geografická redundance, konzistentní TLS a certifikáty ve více lokalitách.
• Plán DR: opakované testy přepnutí (teoretické i technické), zdokumentované RTO/RPO a provozní příručky.

Soulad s předpisy, uchovávání a eDiscovery

• Politiky uchovávání: pravidla mazání/archivace, právní zadržení, audit přístupů.
• Journaling: kopie vybrané komunikace do nezměnitelného úložiště (WORM), např. pro finanční instituce a veřejné instituce.
• DLP: detekce úniku osobních/finančních údajů, šablony pro regulace (GDPR, PCI DSS), šifrování na úrovni obsahu (S/MIME, RMS).

Provozní metriky a observabilita

Adresování, aliasy a směrování

• Virtuální domény (Postfix): virtual_mailbox_domains, aliasy prostřednictvím virtual_alias_maps, catch-all pouze ve výjimečných případech.
• Adresní politiky Exchange: EAP pro více domén, standardizace primární adresy a aliasů.
• Směrování výjimek: transport_maps (Postfix) a vymezení působnosti konektoru Send (Exchange) pro konkrétní domény/partnery.

Podpora IPv6 a internacionalizace

• IPv6: duální stack, reverzní DNS (PTR), reputace; udržujte konzistentní záznam SPF pro cíle se záznamem AAAA.
• SMTPUTF8/IDN: podpora internacionalizovaných adres a domén, kontrola kompatibility s partnery.

Integrace zařízení a aplikací (relay, oznámení)

• Bezpečný relay: vyhrazený konektor/port, omezení na IP adresy, případně klientské certifikáty. Nesdílejte jej s veřejným SMTP.
• Omezení rychlosti: ochrana proti lavině oznámení z aplikací, zásady čekání před opakováním, karanténa chybových zpráv.

Nejčastější chyby a jak se jim vyhnout

1. Nekonzistentní DNS: chybějící záznam A/AAAA pro MX, nesprávný PTR; řešení: ověřte konfiguraci před nasazením a automatizujte testy.
2. Slabé TLS: povolené zastaralé šifry; řešení: bezpečnostní baseline a pravidelné kontroly.
3. Otevřený relay: chybně nastavené Receive/Send Connectors; řešení: princip nejnižších oprávnění, testy z vnější sítě.
4. Nesprávná politika DMARC: předčasné nastavení p=reject bez monitoringu; řešení: postupný přechod, analýza reportů RUA.
5. Monolit bez vysoké dostupnosti: jediný MTA/MBX bez zálohy; řešení: minimální redundantní topologie a cvičení obnovy po havárii.

Testování, validace a uvedení do provozu

• Validace před produkčním nasazením: kontrola MX/SPF/DKIM/DMARC, hodnocení TLS, simulace selhání (výpadek brány, plná fronta).
• Pilotní provoz: postupné přepínání malých skupin, sledování doručitelnosti a reputace (nedoručené zprávy, blokovací seznamy).
• Provozní příručky: standardní postupy pro incidenty (zastavení příjmu, odpojování konektorů, vyprázdnění fronty, návrat k předchozímu certifikátu).

Konfigurační doporučení – shrnutí

• Oddělte SMTP(25) a submission(587/465), u submission vyžadujte silné TLS a MFA/Modern Auth.
• Prosazujte SPF, DKIM, DMARC a zapněte MTA-STS/TLS-RPT; u klíčů DKIM používejte délku 2048 bitů a rotaci.
• Vrstvěte ochrany: RBL + greylisting + analýza obsahu + sandboxing + DLP.
• Plánujte kapacitu a vysokou dostupnost: více uzlů MTA, DAG pro Exchange, geograficky redundantní MX.
• Monitorujte, měřte, reagujte: frontu, latenci, chybovost, reporty DMARC, bezpečnostní události.

Závěr

Správně navržený a nakonfigurovaný poštovní server je výsledkem koordinace identity DNS, bezpečnostních mechanismů, transportních pravidel a provozních procesů. Postfix nabízí vysokou flexibilitu a škálovatelnost v prostředí Unixu, Exchange poskytuje hlubokou integraci do ekosystému Windows/AD a Microsoft 365. Volba platformy a konkrétní architektury by měla vycházet z požadované úrovně řízení identity, souladu s předpisy, dostupnosti a provozních dovedností týmu. Dlouhodobý úspěch stojí na průběžné automatizaci, observabilitě a důsledném řízení změn.