onesystems/mailrelay Docker 镜像 - 轩辕镜像 | Docker 镜像高效稳定拉取服务

Postfix SMTP Relay Docker镜像

镜像概述和主要用途

本镜像提供一个轻量级、现代化且可调试的基于Postfix的SMTP中继，打包为Docker容器。它设计作为可靠的基础设施组件，通过TLS和SASL认证将内部系统邮件中继到上游SMTP服务器。镜像专注于正确性、清晰的日志记录（通过docker logs）、可预测的发件人处理及零开放中继风险，还包含内置的交付失败和身份问题告警，并可选集成Zammad创建工单而非发送告警邮件。

核心功能和特性

• 基于Postfix的SMTP中继（无***存储功能）
• 通过TLS加密中继至上游SMTP（端口587）
• 通过Docker secrets实现SASL认证
• 强制发件人重写（防止上游服务器拒绝）
• 完整清晰的邮件日志（可通过docker logs查看）
• 安全默认配置（无开放中继风险）
• 针对交付失败和身份问题的告警功能
• 可选Zammad工单创建集成
• 专为内部基础设施使用设计

使用场景和适用范围

适用于需要将内部系统（如应用服务器、监控工具、自动化脚本等）产生的邮件可靠中继至外部SMTP服务的场景。特别适合企业内部环境，需确保邮件安全传递、避免因发件人不匹配导致的上游拒绝，并需要对邮件交付状态进行监控和告警的场景。

使用方法和配置说明

Docker Compose配置示例

yaml
version: "3.9"

services:
  mailrelay:
    build: .
    container_name: mailrelay
    restart: unless-stopped

    ports:
      - "25:25"   # 仅在可信/内部网络暴露

    environment:
      HOSTNAME_FQDN: "mailrelay.example.local"

      # 固定发件人处理
      DEFAULT_FROM: "user@example.local"
      FORCE_DEFAULT_FROM: "1"

      # 中继目标
      RELAY_HOST: "smtp.example.local"
      RELAY_PORT: "587"
      RELAY_TLS: "required"

      # 允许的客户端网络
      MYNETWORKS: "127.0.0.0/8,10.0.0.0/8,192.168.0.0/16"

      # SASL认证
      RELAY_SASL_USER: "loginuser@example.local"
      RELAY_SASL_PASS_FILE: "/run/secrets/relay_sasl_pass"

      # 告警配置
      ALERT_ENABLED: "1"
      ALERT_MATCH: "invalid_user,sendas_denied,postfix_bounced,postfix_deferred"

      # Zammad集成
      ALERT_ZAMMAD_ENABLED: "1"
      ZAMMAD_BASE_URL: "https://zammad.example.com"
      ZAMMAD_TOKEN_FILE: "/run/secrets/zammad_token"
      ZAMMAD_GROUP: "Support"
      ZAMMAD_STATE: "new"
      ZAMMAD_PRIORITY_ID: "2"   # 1=低, 2=正常, 3=高
      ZAMMAD_CUSTOMER_EMAIL: "mailrelay@example.local"
      ZAMMAD_TAGS: "mailrelay,postfix,alert"

      # 调试模式
      DEBUG: "1"

    secrets:
      - relay_sasl_pass
      - zammad_token

    volumes:
      - postfix_spool:/var/spool/postfix
      - postfix_state:/var/lib/postfix
      - /etc/ssl/certs:/etc/ssl/certs:ro

secrets:
  relay_sasl_pass:
    file: ./secrets/relay_sasl_pass.txt
  zammad_token:
    file: ./secrets/zammad_token.txt

volumes:
  postfix_spool:
  postfix_state:

环境变量说明

Secrets配置

relay_sasl_pass.txt

该secret文件仅包含密码（不含用户名）：

text
super-secret-password

用户名通过RELAY_SASL_USER配置。

zammad_token.txt

包含具有创建工单权限的Zammad API令牌：

text
zammad-api-token-here

发件人处理（重要）

许多SMTP中继会拒绝发件人与认证用户不匹配的邮件。本镜像通过以下机制避免此问题：

• 若设置DEFAULT_FROM → 本地发件人将被重写为此地址
• 未设置则回退使用RELAY_SASL_USER

这可避免类似以下错误：

553 5.7.1 Sender address rejected: not owned by user

发件人重写仅适用于本地/基础设施发件人（如root、daemon、基于主机的发件人）。

告警与监控

容器持续监控Postfix日志，对可操作失败触发告警，包括：

• invalid_user - 上游***或身份不存在
• sendas_denied - 发件人不允许使用此地址发送
• postfix_bounced - 交付永久失败
• postfix_deferred - 交付暂时失败

告警检测基于正则表达式，直接作用于Postfix日志流。

告警流程

1. Postfix将失败写入日志
2. 内部监控程序匹配错误
3. 提取上下文（队列ID、发件人、收件人、原因）
4. 创建Zammad工单，包含完整诊断详情

告警会限流以避免重复失败时的告警泛滥。

Zammad工单详情

每个告警创建的内部Zammad工单包含：

• 失败类型（如postfix_bounced、ErrorInvalidUser）
• 受影响的发件人和收件人（尽可能）
• 队列ID
• Postfix完整错误原因
• 近期日志上下文
• 常见身份问题的修复提示

这使中继适合生产环境使用，避免邮件无声丢失。

测试中继

使用swaks（推荐）

bash
docker exec -it mailrelay swaks \
  --to admin@example.com \
  --from test@example.com \
  --server 127.0.0.1 \
  --port 25 \
  --header "Subject: Relay test" \
  --data "Hello from mailrelay"

使用sendmail

bash
docker exec -i mailrelay sendmail admin@example.com <<EOF
From: test@example.com
To: admin@example.com
Subject: Relay test

Hello from mailrelay
EOF

⚠️ 除非需要接收交付状态通知，否则不要使用sendmail -v。

日志

所有Postfix日志写入文件并流式输出到stdout：

bash
docker logs -f mailrelay

这使得仅通过Docker日志即可审计交付和告警情况。

安全注意事项

• 本容器不是公共邮件服务器
• 绝不要将25端口暴露到互联网
• 始终限制MYNETWORKS配置
• 不存储***；仅作为纯中继使用