如何强制后缀拒绝所有非TLS查询？

Question

我有一个带有postfix和纯文本身份验证的服务器。

它同时接受TLS和非TLS身份验证。

如何迫使服务器拒绝所有非TLS查询，以便邮件用户在登录时不会以明文发送用户名和密码？

为了明确起见，如果user2@mymailserver2.com是收件人，user@mymailserver.com是本地发件人：

• 我希望这个命令能够工作(因为有--tls选项)：swaks --tls --从-a user 1@mymailserver1.com--从-a user 1@mymailserver1.com到user 2@mymailserver2.com--从-auth user 1@mymailserver1.com到-a user 1@mymailserver1.com。
• 这个命令失败(因为--tls丢失了)：swaks --从-a user 1@mymailserver1.com--从-a user 1@mymailserver1.com到-a user 1@mymailserver2.com -auth 1@mymailserver1.com

Answer 1

因为今天是新年，再一次阅读手册作为服务。

来自手册

通过TLS支持AUTH只在未加密的信道上发送AUTH数据会带来安全风险。当需要TLS层加密(smtpd_tls_security_level = encrypt)时，只有在STARTTLS激活了TLS层之后，后缀SMTP服务器才会宣布并接受8月。但是，当TLS层加密是可选的(smtpd_tls_security_level = may)时，仅在TLS处于活动状态时才提供TLS可能仍然是有用的。为了保持与非TLS客户端的兼容性，默认的做法是接受不加密的AUTH。为了更改此行为，请设置 smtpd_tls_auth_only = yes