第 6 章：反垃圾邮件策略

反垃圾邮件不是一道墙，而是多层防线的协同作战。

6.1 反垃圾邮件架构

6.1.1 多层防御体系

邮件到达
    │
    ▼
┌───────────────────────┐
│ 第 1 层：连接级过滤    │  ← RBL、连接速率限制、灰名单
│ • 客户端 IP 黑名单     │
│ • PTR 记录检查         │
│ • 灰名单延迟           │
└───────────┬───────────┘
            │
            ▼
┌───────────────────────┐
│ 第 2 层：信封级过滤    │  ← 发件人/收件人验证
│ • SPF 验证            │
│ • 发件人域名验证       │
│ • 收件人存在性验证     │
└───────────┬───────────┘
            │
            ▼
┌───────────────────────┐
│ 第 3 层：内容级过滤    │  ← SpamAssassin、病毒扫描
│ • 垃圾邮件评分         │
│ • 病毒扫描（ClamAV）   │
│ • 附件过滤             │
└───────────┬───────────┘
            │
            ▼
┌───────────────────────┐
│ 第 4 层：投递后处理    │  ← 用户反馈、学习
│ • 用户标记垃圾邮件     │
│ • Bayesian 学习        │
│ • 白名单管理           │
└───────────────────────┘

6.1.2 防御层次对比

层次	工具/技术	检查点	性能影响	误判率
连接级	RBL、灰名单	SMTP 连接阶段	低	低
信封级	SPF、发件人验证	MAIL FROM/RCPT TO	低	极低
内容级	SpamAssassin	邮件正文	高	中
投递后	Bayesian	用户邮箱	无	低

6.2 RBL 黑名单检查

6.2.1 什么是 RBL

RBL（Real-time Blackhole List）是实时更新的 IP 黑名单数据库，记录了已知的垃圾邮件发送源。

6.2.2 常用 RBL 服务

RBL 服务	DNS 查询地址	说明	免费/付费
Spamhaus ZEN	zen.spamhaus.org	综合黑名单	免费查询
SpamCop	bl.spamcop.net	社区驱动	免费
Barracuda	b.barracudacentral.org	商业级	免费查询
SpamRATS	all.spamrats.com	综合	免费
PSBL	psbl.surriel.com	被动收集	免费

6.2.3 配置 Postfix 使用 RBL

# /etc/postfix/main.cf — RBL 检查配置

smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unauth_destination,
    reject_unknown_sender_domain,
    reject_unknown_reverse_client_hostname,
    reject_rbl_client zen.spamhaus.org,
    reject_rbl_client bl.spamcop.net,
    reject_rbl_client b.barracudacentral.org,
    reject_rhsbl_reverse_client dbl.spamhaus.org,
    reject_rhsbl_sender dbl.spamhaus.org,
    permit

# RBL 拒绝信息自定义
smtpd_reject_footer = \nFor more info, visit https://example.com/mail-policy

6.2.4 RBL 配置参数

# 拒绝来自 RBL 的连接
reject_rbl_client zen.spamhaus.org

# 带白名单的 RBL 检查
check_client_access hash:/etc/postfix/rbl_whitelist,
reject_rbl_client zen.spamhaus.org

# 不同响应码的 RBL 检查
reject_rbl_client zen.spamhaus.org=127.0.0.2    # 仅拒绝 SBL
reject_rbl_client zen.spamhaus.org=127.0.0.4    # 仅拒绝 XBL

# /etc/postfix/rbl_whitelist — RBL 白名单
# 豁免特定 IP 的 RBL 检查
203.0.113.50     OK
10.0.0.0/8       OK
trusted.com      OK

# 生成数据库
sudo postmap /etc/postfix/rbl_whitelist

6.3 灰名单（Greylisting）

6.3.1 灰名单原理

灰名单工作流程：
┌────────────────────────────────────────────────┐
│ 1. 首次收到邮件时，临时拒绝（4xx 错误码）        │
│ 2. 合法的邮件服务器会在稍后重试                  │
│ 3. 垃圾邮件发送器通常不会重试                    │
│ 4. 重试的邮件被接受并记录到白名单                │
│ 5. 后续同三元组的邮件直接放行                    │
└────────────────────────────────────────────────┘

三元组 = (客户端 IP, 发件人地址, 收件人地址)

6.3.2 安装 Postgrey

# 安装 Postgrey
sudo apt install -y postgrey

# 启动服务
sudo systemctl enable --now postgrey

# 检查服务状态
sudo systemctl status postgrey

6.3.3 配置 Postfix 使用灰名单

# /etc/postfix/main.cf

smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unauth_destination,
    check_policy_service inet:127.0.0.1:10023,    # Postgrey
    reject_rbl_client zen.spamhaus.org,
    permit

6.3.4 Postgrey 配置

# /etc/default/postgrey

# 启动参数
POSTGREY_OPTS="--inet=127.0.0.1:10023 --delay=300 --max-age=35"

# 参数说明：
# --inet: 监听地址和端口
# --delay: 首次拒绝后的等待秒数（默认 300）
# --max-age: 白名单记录保留天数（默认 35）
# --greylist-text: 自定义拒绝信息

6.3.5 灰名单白名单管理

# /etc/postgrey/whitelist_clients — 客户端 IP 白名单
# 豁免大型邮件服务（它们的重试机制可靠）
# 格式：IP 或域名正则
/^.*\.google\.com$/
/^.*\.microsoft\.com$/
/^.*\.amazonaws\.com$/
/^.*\.outlook\.com$/

# /etc/postgrey/whitelist_recipients — 收件人白名单
# 这些收件人的邮件不经过灰名单
[email protected]
[email protected]

# 重启 Postgrey 生效
sudo systemctl restart postgrey

6.4 SpamAssassin

6.4.1 安装 SpamAssassin

# 安装 SpamAssassin 和相关组件
sudo apt install -y spamassassin spamc

# 创建专用用户
sudo useradd -r -s /usr/sbin/nologin spamd

# 启动 SpamAssassin 守护进程
sudo systemctl enable --now spamassassin

# 检查服务状态
sudo systemctl status spamassassin

6.4.2 配置 Postfix 使用 SpamAssassin

# 方法 1：使用 Content Filter（推荐）

# /etc/postfix/main.cf
content_filter = spamassassin

# /etc/postfix/master.cf — 添加过滤器
spamassassin unix - n n - - pipe
  user=spamd argv=/usr/bin/spamc -f -e /usr/sbin/sendmail -oi -f ${sender} ${recipient}

# 方法 2：使用 Amavis（集成反垃圾和防病毒）

sudo apt install -y amavisd-new

# /etc/postfix/main.cf
content_filter = smtp-amavis:[127.0.0.1]:10024

# /etc/postfix/master.cf
smtp-amavis unix - - n - - smtp
  -o smtp_data_done_timeout=1200
  -o smtp_send_xforward_command=yes
  -o disable_dns_lookups=yes
  -o max_use=20

6.4.3 SpamAssassin 规则配置

# /etc/spamassassin/local.cf — 本地配置

# 基础设置
required_score 5.0                    # 垃圾邮件判定阈值
report_safe 0                         # 0: 附件形式，1: 替换正文
use_bayes 1                           # 启用 Bayesian 学习
bayes_auto_learn 1                    # 自动学习
bayes_auto_learn_threshold_nonspam 0.1  # 非垃圾阈值
bayes_auto_learn_threshold_spam 7.0     # 垃圾阈值

# 白名单/黑名单
whitelist_from *@trusted.com
blacklist_from *@spam-domain.com

# 自定义规则
header LOCAL_SPAM_SUBJECT  Subject =~ /免费.*中奖/
score LOCAL_SPAM_SUBJECT 5.0

body LOCAL_SPAM_BODY  /点击这里领取奖金/
score LOCAL_SPAM_BODY 3.0

# DNS 检查
skip_rbl_checks 0
use_razor2 1                          # 启用 Razor2
use_pyzor 1                           # 启用 Pyzor

6.4.4 SpamAssassin 评分阈值

分数	含义	处理建议
< 5.0	正常邮件	正常投递
5.0 - 10.0	可疑邮件	标记为垃圾邮件
10.0 - 15.0	高度可疑	隔离或拒绝
> 15.0	几乎确定是垃圾	直接拒绝

6.4.5 更新 SpamAssassin 规则

# 手动更新规则
sudo sa-update

# 设置自动更新（cron）
sudo tee /etc/cron.d/spamassassin-update << 'EOF'
30 4 * * * root /usr/bin/sa-update && /usr/bin/systemctl reload spamassassin
EOF

# 检查规则版本
sa-update --lint

6.5 Postfix 内置过滤

6.5.1 发件人验证

# /etc/postfix/main.cf

# 拒绝发件人域名不存在
smtpd_sender_restrictions =
    reject_unknown_sender_domain,
    reject_non_fqdn_sender,
    reject_sender_login_mismatch

# 拒绝发件人域名无 MX 记录
smtpd_sender_restrictions =
    reject_unknown_sender_domain

# 限制发件人格式
smtpd_sender_restrictions =
    reject_non_fqdn_sender

6.5.2 HELO/EHLO 验证

# 拒绝无效的 HELO/EHLO
smtpd_helo_restrictions =
    permit_mynetworks,
    reject_invalid_helo_hostname,
    reject_non_fqdn_helo_hostname,
    reject_unknown_helo_hostname

# 自定义 HELO 检查
smtpd_helo_restrictions =
    permit_mynetworks,
    check_helo_access hash:/etc/postfix/helo_access,
    reject_invalid_helo_hostname

# /etc/postfix/helo_access
# 拒绝声称是这些域名的连接
example.com     REJECT Don't pretend you are us
localhost       REJECT Don't use localhost in HELO

6.5.3 header_checks（邮件头过滤）

# /etc/postfix/header_checks

# 拒绝包含特定主题的邮件
/^Subject:.*中奖.*免费/    REJECT Spam detected

# 删除特定邮件头
/^X-Mailer:.*SpammerTool/    IGNORE

# 标记可疑邮件
/^Subject:.*紧急.*回复/    HOLD Possible spam

# 在 main.cf 中启用
header_checks = regexp:/etc/postfix/header_checks

6.5.4 body_checks（邮件正文过滤）

# /etc/postfix/body_checks

# 拒绝包含特定内容的邮件
/点击这里领取奖金/    REJECT Spam content detected
/http:\/\/suspicious-link/    REJECT Suspicious link

# 在 main.cf 中启用
body_checks = regexp:/etc/postfix/body_checks

# ⚠️ 注意：body_checks 性能开销较大，谨慎使用

6.6 ClamAV 病毒扫描

6.6.1 安装 ClamAV

# 安装 ClamAV
sudo apt install -y clamav clamav-daemon clamav-freshclam

# 更新病毒库
sudo systemctl stop clamav-freshclam
sudo freshclam
sudo systemctl start clamav-freshclam

# 启动 ClamAV 守护进程
sudo systemctl enable --now clamav-daemon

6.6.2 集成 Amavis + ClamAV + SpamAssassin

# Amavis 已集成 ClamAV 和 SpamAssassin
# /etc/amavis/conf.d/15-content_filter_mode

@bypass_virus_checks_maps = (
   \%bypass_virus_checks, \@bypass_virus_checks_acl, \$bypass_virus_checks_re);

@bypass_spam_checks_maps = (
   \%bypass_spam_checks, \@bypass_spam_checks_acl, \$bypass_spam_checks_re);

# /etc/amavis/conf.d/50-user
use strict;

@local_domains_acl = ( "example.com" );

$sa_tag_level_deflt  = -999;  # 所有邮件都添加 SpamAssassin 标头
$sa_tag2_level_deflt = 5.0;   # 标记为垃圾邮件的阈值
$sa_kill_level_deflt = 10.0;  # 拒绝/隔离阈值
$sa_spam_subject_tag = '***SPAM*** ';

# ClamAV 设置
@av_scanners = (
    ['ClamAV-clamd',
     \&ask_daemon, ["CONTSCAN {}\n", "/var/run/clamav/clamd.ctl"],
     qr/\bOK$/, qr/\bFOUND$/,
     qr/^.*?: (?!Infected Archive)(.*) FOUND$/],
);

6.7 综合反垃圾邮件配置

完整的 main.cf 反垃圾配置

# /etc/postfix/main.cf — 综合反垃圾邮件配置

# ==================== 连接级限制 ====================
smtpd_client_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unknown_reverse_client_hostname,
    reject_rbl_client zen.spamhaus.org,
    reject_rbl_client bl.spamcop.net

# ==================== HELO 限制 ====================
smtpd_helo_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_invalid_helo_hostname,
    reject_non_fqdn_helo_hostname

# ==================== 发件人限制 ====================
smtpd_sender_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unknown_sender_domain,
    reject_non_fqdn_sender

# ==================== 收件人限制（含灰名单）====================
smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unauth_destination,
    reject_unknown_recipient_domain,
    reject_non_fqdn_recipient,
    check_policy_service inet:127.0.0.1:10023,
    reject_unverified_recipient,
    permit

# ==================== 内容过滤 ====================
content_filter = smtp-amavis:[127.0.0.1]:10024

# ==================== 邮件头/正文检查 ====================
header_checks = regexp:/etc/postfix/header_checks

6.8 业务场景：企业反垃圾邮件策略

场景描述

一家金融企业需要严格的反垃圾邮件策略，要求：

误判率极低（不能漏掉重要邮件）
符合金融行业合规要求
支持审计和报告

配置方案

# 保守的反垃圾策略（低误判率）

# SpamAssassin 阈值调高
required_score 8.0

# 仅使用最可靠的 RBL
smtpd_client_restrictions =
    permit_mynetworks,
    reject_rbl_client zen.spamhaus.org=127.0.0.2    # 仅 SBL

# 隔离而非拒绝可疑邮件
# 使用 Amavis 隔离功能
$final_spam_destiny = D_DISCARD;    # 隔离到隔离区

# 邮件审计日志
# 在 main.cf 中添加
always_bcc = [email protected]

6.9 注意事项

⚠️ 误判处理：
定期检查垃圾邮件隔离区
提供用户报告误判的渠道
使用 whitelist_from 白名单重要发件人

⚠️ RBL 查询性能：
每次 RBL 查询都会产生 DNS 请求
建议使用本地 DNS 缓存（如 unbound）
限制 RBL 查询数量（只使用最可靠的）

💡 灰名单的影响：
首次邮件投递会有 5-15 分钟延迟
向用户说明情况，避免投诉
白名单大型邮件服务（Gmail、Outlook）

6.10 扩展阅读

上一章：← 第 5 章：TLS/SSL 加密配置 下一章：第 7 章：DKIM 邮件签名 →

强曰为道

第 6 章：反垃圾邮件策略

第 6 章：反垃圾邮件策略

6.1 反垃圾邮件架构

6.1.1 多层防御体系

6.1.2 防御层次对比

6.2 RBL 黑名单检查

6.2.1 什么是 RBL

6.2.2 常用 RBL 服务

6.2.3 配置 Postfix 使用 RBL

6.2.4 RBL 配置参数

6.3 灰名单（Greylisting）

6.3.1 灰名单原理

6.3.2 安装 Postgrey

6.3.3 配置 Postfix 使用灰名单

6.3.4 Postgrey 配置

6.3.5 灰名单白名单管理

6.4 SpamAssassin

6.4.1 安装 SpamAssassin

6.4.2 配置 Postfix 使用 SpamAssassin

6.4.3 SpamAssassin 规则配置

6.4.4 SpamAssassin 评分阈值

6.4.5 更新 SpamAssassin 规则

6.5 Postfix 内置过滤

6.5.1 发件人验证

6.5.2 HELO/EHLO 验证

6.5.3 header_checks（邮件头过滤）

6.5.4 body_checks（邮件正文过滤）

6.6 ClamAV 病毒扫描

6.6.1 安装 ClamAV

6.6.2 集成 Amavis + ClamAV + SpamAssassin

6.7 综合反垃圾邮件配置

完整的 main.cf 反垃圾配置

6.8 业务场景：企业反垃圾邮件策略

场景描述

配置方案

6.9 注意事项

6.10 扩展阅读