如何防止使用域中的虚假帐户发送电子邮件答案

【问题标题】：How to prevent emails being sent with fake accounts in domain如何防止使用域中的虚假帐户发送电子邮件
【发布时间】：2021-02-17 15:24:55
【问题描述】：

简短版：如何防止使用域中不存在的虚假帐户从我们的 SMTP 邮件服务器发送电子邮件？

加长版：我们使用 Plesk 来管理托管在 Windows VPS 上的网站。通过在 MailEnable 上启用 SMTP 日志记录，我注意到许多电子邮件是使用域中不存在的帐户发送的。我在日志的一小部分下方重现。这里stolav-gw4@ourDomain.com、tango@ourDomain.com 是我们域中不存在的帐户。可以做些什么来防止此类电子邮件被发送？

我已经尝试过并且没有停止的事情：

我已经设置了 SPF 记录条目。条目是：v=spf1 a mx -all
我已更改所有密码。这没有帮助。
我已启用 DKIM
我运行了以下病毒/恶意软件检测器，但它们一无所获：VirusTotal Website Check、Microsoft 的 MSERT.exe、Microsoft 的 MSRT.exe

2021-02-17 06:00:02 212.70.149.71 SMTP-IN - our.ip.address.here 1228 AUTH {blank} 334+UGFzc3dvcmQ6 WIN-DFQOE4PNR36 18 38 stolav-gw4@ourDomain.com
2021-02-17 06:00:03 212.70.149.71 SMTP-IN - 104.128.234.235 1296 RSET RSET 250+Requested+mail+action+okay,+completed WIN-DFQOE4PNR36 43 6 -
2021-02-17 06:00:03 212.70.149.85 SMTP-IN - 104.128.234.235 1448 QUIT QUIT 221+Service+closing+transmission+channel WIN-DFQOE4PNR36 42 6 tango@ourDomain.com
2021-02-17 06:00:04 87.246.7.242 SMTP-IN - our.ip.address.here 1876 EHLO EHLO+User 250-ourDomain.com+[87.246.7.242],+this+server+offers+5+extensions WIN-DFQOE4PNR36 242 11 -
2021-02-17 06:00:04 212.70.149.85 SMTP-IN - our.ip.address.here 1848 AUTH {blank} 334+UGFzc3dvcmQ6 WIN-DFQOE4PNR36 18 34 tango@ourDomain.com
2021-02-17 06:00:04 212.70.149.71 SMTP-IN - our.ip.address.here 1228 AUTH c3RvbGF2LWd3NEAxMjM= 535+Invalid+Username+or+Password WIN-DFQOE4PNR36 34 22 stolav-gw4@ourDomain.com
2021-02-17 06:00:04 212.70.149.71 SMTP-IN - 104.128.234.235 1296 AUTH AUTH+LOGIN 334+VXNlcm5hbWU6 WIN-DFQOE4PNR36 18 12 -
2021-02-17 06:00:05 87.246.7.242 SMTP-IN - our.ip.address.here 1876 RSET RSET 250+Requested+mail+action+okay,+completed WIN-DFQOE4PNR36 43 6 -
2021-02-17 06:00:05 212.70.149.71 SMTP-IN - our.ip.address.here 1228 QUIT QUIT 221+Service+closing+transmission+channel WIN-DFQOE4PNR36 42 6 stolav-gw4@ourDomain.com
2021-02-17 06:00:05 212.70.149.85 SMTP-IN - our.ip.address.here 1848 AUTH Y3Zibm0xMjM= 535+Invalid+Username+or+Password WIN-DFQOE4PNR36 34

【问题讨论】：

有趣的是，我看到相同的消息，而且是针对相同的 IP！
```
 statistics: max connection count 1 for (smtps:212.70.149.71) at Mar 26 01:15:22 
```
我想知道，以上到底是什么意思，我必须采取哪些额外措施？跨度>
我不得不禁止这个IP，它每分钟都在尝试warning: unknown[212.70.149.71]: SASL LOGIN authentication failed: authentication failure

标签： email smtp spoofing

【解决方案1】：

开始在您的 DNS 中使用正确的 DMARC 记录：https://www.linuxbabe.com/mail-server/create-dmarc-record 您可能希望拒绝政策可能reject: tells receiving email servers to reject the email if DMARC check fails

可能想阅读该网站上的所有部分。我曾经用它来设置我的邮件服务器，它非常有用。滥用您的邮件的 IP 以这样做而闻名。我的日志：

Mar 25 04:34:12 main postfix/smtps/smtpd[35405]: warning: unknown[212.70.149.71]: SASL LOGIN authentication failed: UGFzc3dvcmQ6
Mar 25 04:34:18 main postfix/smtps/smtpd[35405]: lost connection after AUTH from unknown[212.70.149.71]
Mar 25 04:34:18 main postfix/smtps/smtpd[35405]: disconnect from unknown[212.70.149.71] ehlo=1 auth=0/1 rset=1 commands=2/3
Mar 25 04:35:27 main postfix/smtps/smtpd[35405]: connect from unknown[212.70.149.71]
Mar 25 04:35:37 main postfix/smtps/smtpd[35405]: Anonymous TLS connection established from unknown[212.70.149.71]: TLSv1.2 with cipher ECDHE-RSA-AES256-GCM-SHA384 (256/256 bits)
Mar 25 04:36:05 main postfix/smtps/smtpd[35405]: warning: unknown[212.70.149.71]: SASL LOGIN authentication failed: UGFzc3dvcmQ6
Mar 25 04:36:10 main postfix/smtps/smtpd[35405]: lost connection after AUTH from unknown[212.70.149.71]
Mar 25 04:36:10 main postfix/smtps/smtpd[35405]: disconnect from unknown[212.70.149.71] ehlo=1 auth=0/1 rset=1 commands=2/3
Mar 25 04:37:20 main postfix/smtps/smtpd[35405]: connect from unknown[212.70.149.71]
Mar 25 04:37:30 main postfix/smtps/smtpd[35405]: Anonymous TLS connection established from unknown[212.70.149.71]: TLSv1.2 with cipher ECDHE-RSA-AES256-GCM-SHA384 (256/256 bits)
Mar 25 04:37:58 main postfix/smtps/smtpd[35405]: warning: unknown[212.70.149.71]: SASL LOGIN authentication failed: UGFzc3dvcmQ6

重复很多很多次。但是，不会从该 IP 发送电子邮件。尝试在防火墙中阻止该 IP，但这似乎不起作用:? - 想知道为什么，所以如果有人知道，想知道！

有关它的信息可能在其中一个页面上。不确定，因为已经有一段时间了，而且现在我自己也没有时间去看看。

【讨论】：

【解决方案2】：

您可以使用第 3 方程序；

RdpGuard 使用 Windows 防火墙检测并阻止无效的连接尝试（RDP、SMTP、POP ...）
gykkSPAM（反垃圾邮件过滤器）使用本地邮局和身份验证类型过滤传入和传出的电子邮件

【讨论】：