zuplu/postfix-tlspol

postfix-tlspol 镜像文档

概述

postfix-tlspol是一个专为Postfix设计的轻量级MTA-STS + DANE/TLSA解析器和TLS策略服务器。该解决方案符合行业标准，优先采用DANE（DNS-based Authentication of Named Entities）机制，旨在显著增强电子邮件传输安全性。由Zuplu开源，目标是让所有规模的组织和个人Postmaster能够轻松提升邮件安全防护能力，共建更安全的数字通信环境。

核心功能与特性

• 轻量级设计：Docker镜像压缩后仅约8MB，资源占用低，适合各种部署环境
• 内置DNS解析器：集成预配置的Unbound DNS解析器，简化部署流程，无需额外配置外部DNS服务
• DNSSEC支持：全面支持DNSSEC，确保DNS查询的完整性与真实性
• DANE优先策略：在可行情况下优先使用DANE/TLSA验证，提供更强的安全保障
• Postfix兼容性：支持Postfix 3.10之前及之后的版本，适配不同部署环境
• TLSRPT支持：针对Postfix 3.10及更高版本提供TLSRPT（TLS报告）功能，便于监控TLS配置有效性

使用场景与适用范围

适用于需要增强电子邮件传输安全性的各类场景，包括但不限于：

• 企业邮件服务器管理员希望通过行业标准协议提升邮件安全
• 个人Postfix服务器维护者需要简单可靠的安全增强方案
• 对邮件传输加密有严格要求的组织（如***、***、***机构等）
• 希望符合数据保护***（如GDPR）中关于通信安全要求的机构

安装与部署

Docker安装步骤

1. 创建数据卷

首先创建持久化数据卷，用于存储配置和缓存数据：

bash
docker volume create postfix-tlspol-data

2. 启动容器

运行以下命令启动postfix-tlspol容器：

bash
docker run -d \
    -v postfix-tlspol-data:/data \
    -p 127.0.0.1:8642:8642 \
    --restart unless-stopped \
    --name postfix-tlspol \
    zuplu/postfix-tlspol:latest

参数说明：

• -v postfix-tlspol-data:/data：挂载数据卷以持久化应用数据
• -p 127.0.0.1:8642:8642：将容器8642端口映射到主机本地回环地址，仅限本地访问
• --restart unless-stopped：配置容器自动重启策略（除非手动停止）
• --name postfix-tlspol：指定容器名称，便于管理

Postfix配置

配置文件修改

在Postfix主配置文件/etc/postfix/main.cf中添加以下配置，根据Postfix版本选择对应配置段。

Postfix 3.10之前版本

smtp_dns_support_level = dnssec
smtp_tls_security_level = dane
smtp_tls_dane_insecure_mx_policy = dane
smtp_tls_policy_maps = socketmap:inet:127.0.0.1:8642:QUERY

Postfix 3.10及更高版本

smtp_dns_support_level = dnssec
smtp_tls_security_level = dane
smtp_tls_policy_maps = socketmap:inet:127.0.0.1:8642:QUERYwithTLSRPT

注意：Postfix 3.10及以上版本使用QUERYwithTLSRPT参数启用TLSRPT支持，便于收集和分析TLS连接问题报告。

应用配置

修改配置后，执行以下命令重载Postfix使配置生效：

bash
postfix reload

更多信息

项目详细工作原理及源代码请访问GitHub仓库：https://github.com/Zuplu/postfix-tlspol