CentOS系统上Postfix邮件服务防中继的核心，就是严格控制谁可以通过你的邮件服务器转发邮件，防止被垃圾邮件发送者滥用。如果你的Postfix服务器开放中继，很快就会变成垃圾邮件的跳板，导致IP被列入黑名单、服务器资源耗尽。要解决这个问题，你必须正确配置Postfix的主配置文件main.cf，结合IP地址限制、用户认证和实时黑名单（RBL）等多种手段来构建防线。下面，我将详细拆解每一步的具体操作。

理解邮件中继（Relay）与开放中继（Open Relay）的风险

邮件中继本身是正常功能，指你的Postfix服务器为其他客户端转发邮件到外部域名。例如，你的公司邮箱服务器需要将邮件发送到163.com。但“开放中继”意味着服务器允许任何人在不验证身份的情况下进行中继，这是极度危险的。垃圾邮件发送者会扫描互联网上这样的服务器，利用它们匿名发送大量垃圾邮件。一旦发生，你的服务器IP地址会被Spamhaus、SORBS等国际反垃圾邮件组织列入黑名单，届时你发出的所有正常邮件都可能被其他邮件服务商拒收。因此，防中继配置是Postfix安全部署的底线。

第一步：配置Postfix基本网络访问控制

最直接的防线是限制哪些网络IP可以使用你的邮件服务器进行中继。这通过Postfix的main.cf文件中的mynetworks参数实现。你应该只允许你信任的内部网络IP段。使用文本编辑器（如vim）打开主配置文件：

sudo vim /etc/postfix/main.cf

找到或添加以下配置行：

mynetworks = 127.0.0.0/8, 192.168.1.0/24, 10.0.0.0/8
smtpd_recipient_restrictions = permit_mynetworks, reject_unauth_destination

这里，mynetworks定义了受信任的IP范围（本地回环、公司内网）。smtpd_recipient_restrictions是关键规则链，permit_mynetworks表示允许受信任网络中的客户端进行中继；reject_unauth_destination则拒绝向未经授权目的地（即非本服务器负责的域名）的转发请求。这是最基本也是最重要的规则。

第二步：启用SMTP认证（SASL）允许外部用户安全中继

对于需要从外部网络（如员工在家办公）发送邮件的用户，你不能将其IP加入mynetworks，那会扩大攻击面。此时必须启用SMTP身份验证。这需要Postfix与SASL（简单认证和安全层）协同工作。首先，确保已安装Cyrus SASL相关包：

sudo yum install cyrus-sasl cyrus-sasl-plain cyrus-sasl-lib

然后，在main.cf中启用SASL认证：

smtpd_sasl_auth_enable = yes
smtpd_sasl_type = dovecot  # 如果使用Dovecot作为SASL提供者
broken_sasl_auth_clients = yes
smtpd_sasl_security_options = noanonymous
smtpd_sasl_local_domain = $myhostname

接下来，你需要将SASL认证作为中继许可的条件。修改smtpd_recipient_restrictions，在permit_mynetworks之后加入permit_sasl_authenticated：

smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination

这个顺序很重要：先检查是否来自可信网络，如果是则直接允许；如果不是，则检查是否通过了SASL认证（即用户提供了正确的账号密码）；如果两者都不满足，则拒绝向外部域中继。配置完成后，重启Postfix服务：sudo systemctl restart postfix。用户需要在邮件客户端（如Outlook）中启用“SMTP需要认证”选项。

第三步：使用实时黑名单（RBL）拦截已知垃圾邮件源

仅靠IP限制和认证还不够，主动防御需要借助外部实时黑名单（RBL）。RBL服务维护着已知垃圾邮件发送者、僵尸网络的IP地址列表。Postfix可以在接收邮件的SMTP会话阶段直接查询这些列表，并拒绝连接。在smtpd_recipient_restrictions规则链中继续添加：

smtpd_recipient_restrictions = permit_mynetworks,
                                permit_sasl_authenticated,
                                reject_rbl_client zen.spamhaus.org,
                                reject_rbl_client bl.spamcop.net,
                                reject_unauth_destination

这里添加了两个常用的RBL检查：Spamhaus和SpamCop。如果连接客户端的IP地址出现在这些黑名单中，Postfix会立即拒绝该连接。注意，RBL检查应放在permit_mynetworks和permit_sasl_authenticated之后，以避免对你信任的网络或已验证用户进行不必要的查询，影响性能。

第四步：细化收件人限制与发件人策略框架（SPF）检查

进一步收紧策略，可以限制收件人域和启用发件人验证。首先，明确你的邮件服务器负责的域名：

mydestination = $myhostname, localhost.$mydomain, localhost, yourdomain.com

这确保了reject_unauth_destination规则能正确识别哪些目的地是“本地”的。其次，强烈建议启用SPF（发件人策略框架）检查。SPF是一种DNS记录，声明了哪个邮件服务器有权代表某个域名发送邮件。虽然Postfix原生不直接支持SPF检查，但可以通过安装postfix-policyd-spf-python包来实现：

sudo yum install postfix-policyd-spf-python

配置Postfix调用此策略守护进程，可以在smtpd_recipient_restrictions中加入check_policy_service。这能有效识别伪造发件人域名的垃圾邮件。

第五步：启用TLS加密并限制未加密连接的中继

在当今环境下，强制使用TLS加密不仅保护认证凭据和邮件内容，也可以作为安全策略的一部分。你可以配置Postfix，仅允许通过TLS加密连接的客户端进行中继（除非来自可信网络）。首先，确保你已配置好Postfix的TLS证书。然后在main.cf中添加：

smtpd_tls_auth_only = yes
smtpd_tls_security_level = may
smtpd_recipient_restrictions = permit_mynetworks,
                                permit_sasl_authenticated,
                                permit_tls_all_clientcerts,
                                reject_plaintext_session,
                                reject_unauth_destination

reject_plaintext_session会拒绝未使用TLS加密的SMTP会话进行中继操作。但注意，这可能会影响一些老旧设备或内部应用的兼容性，需根据实际情况调整。

第六步：监控与日志分析，持续加固防线

配置完成后，监控是防中继的最后一道屏障。Postfix的日志通常位于/var/log/maillog。使用grep命令定期检查中继尝试和拒绝记录：

sudo grep "relay=" /var/log/maillog | grep -v "relay=localhost"

这能帮你看到所有非本地的中继事件。特别关注大量的“reject”日志，这可能是攻击尝试。同时，定期使用在线开放中继测试工具（注意使用合规的测试服务）检查你的服务器是否已被意外配置为开放中继。此外，保持Postfix和系统更新，及时修补安全漏洞。

总结：构建纵深防御的Postfix中继安全策略

CentOS上Postfix防中继绝非单一配置，而是一个层层递进的纵深防御体系。从最基础的mynetworksIP信任列表，到强制外部用户进行SASL认证；从主动查询外部RBL黑名单，到引入SPF等发件人验证技术；再到鼓励使用TLS加密传输。每一层都为攻击者设置了障碍。核心规则smtpd_recipient_restrictions的编写顺序体现了安全策略的优先级：先信任，后认证，再过滤，最后拒绝。请务必根据你的实际网络环境调整上述配置，并在测试环境验证后再应用到生产服务器。一个配置得当的Postfix服务器，既能保障业务邮件的顺畅流转，又能坚如磐石地抵御垃圾邮件中继的滥用。