SMTP AUTH только поверх TLS: жёсткая настройка submission и лимиты через postfwd

Порт 25 не для людей: где утекает пароль

На порт 25 стучатся чужие MTA, чтобы отдать вам почту. Живой пользователь с логином и паролем там не появляется никогда. Тем не менее на тысячах инсталляций Postfix smtpd_sasl_auth_enable включён глобально в main.cf, а значит SASL-механизмы предлагаются на всех сервисах разом — включая 25/tcp, где TLS всего лишь оппортунистический. Сервер честно отдаёт 250-AUTH PLAIN LOGIN в ответ на EHLO до всякого шифрования. Клиент, настроенный чуть криво (или библиотека, которая «пробует 25-й, раз он открыт»), отправляет AUTH PLAIN в base64 по голому TCP. Пароль снимается пассивным сниффером в кафе одной командой tcpdump.

Проблема не в самом AUTH, а в том, что его предлагают там, где нет гарантированного канала. Правильная модель — три физически разных интерфейса с разными правилами, а не один «универсальный» smtpd, который пытается обслужить и MTA-релей, и почтовый клиент. Разнесём двери, сделаем AUTH невозможным без установленного TLS, а потом закроем второй фронт: украденную учётку, из-под которой уходит спам.