imported>TechCorner-Redaktion: Verlinkung auf den Artikel OPNsense - ACME-Client für Let's Encrypt-Zertifikate ergänzt

2026-10-08T00:00:00Z

Verlinkung auf den Artikel OPNsense - ACME-Client für Let's Encrypt-Zertifikate ergänzt

Neue Seite

{{Steckbrief
| gilt_fuer = OPNsense 26.1/26.7 mit Plugin os-postfix 1.24 (optional os-rspamd, os-redis, os-clamav, os-acme-client)
| bereich = IT-Security
| dauer = ca. 45 Minuten (ohne DNS-Laufzeiten)
| rechte = Administrator (OPNsense-WebUI), Zugriff auf die DNS-Zone der Maildomain
| stand = Oktober 2026
}}
Mit dem Plugin '''os-postfix''' wird OPNsense zum '''Mail-Gateway''': Postfix nimmt eingehende E-Mails aus dem Internet entgegen, prüft sie und leitet sie an den internen Mailserver (z. B. Microsoft Exchange, Kopano, Zimbra oder einen Linux-Mailserver) weiter. Ausgehende Mails des Mailservers können über die Firewall direkt oder über einen Smarthost versendet werden. Zusammen mit dem Spamfilter '''Rspamd''' (siehe [[OPNsense - Rspamd Spamfilter]]) entsteht so ein vollwertiges Spam- und Malware-Gateway vor dem eigenen Mailserver.

Diese Anleitung beschreibt Planung, Einrichtung und Absicherung des Postfix-Plugins Schritt für Schritt.

== Wofür ein Mail-Gateway auf der OPNsense? ==
* '''Mailserver nicht direkt ins Internet stellen:''' Nur die Firewall nimmt SMTP-Verbindungen aus dem Internet an; der Mailserver bleibt im internen Netz bzw. in einer DMZ.
* '''Spam und Malware vor dem Mailserver abfangen:''' Unerwünschte Mails werden schon am Rand des Netzes abgelehnt – das entlastet den Mailserver.
* '''Unbekannte Empfänger früh ablehnen:''' Postfix prüft gegen eine Empfängerliste und verhindert so Rückläufer an gefälschte Absender (''Backscatter'').
* '''Einheitliche TLS-Verschlüsselung''' nach außen mit einem gültigen Zertifikat.
* '''Ausgehende Mails über einen Smarthost''' versenden, z. B. wenn die Internetleitung keine eigene feste IP-Adresse mit passendem Reverse-DNS-Eintrag hat.

{{Hinweis|Ein Mail-Gateway mit Spam- und Virenprüfung braucht Ressourcen. Die OPNsense-Dokumentation rät ausdrücklich von schwacher Hardware ab. Als Richtwert: mindestens 4 GB RAM für Postfix und Rspamd mit Redis, mit ClamAV eher 8 GB. Für große Mailvolumen ist eine eigene Gateway-Instanz (z. B. eine zweite OPNsense in der DMZ) sinnvoll.}}

[[Datei:OPNsense-Postfix.png|thumb|center|750px|Postfix als Mail-Gateway auf der OPNsense: Annahme auf Port 25 mit TLS, Restriktionen und Empfängerprüfung, optional Spamprüfung per Milter durch Rspamd; saubere Mails gehen an den internen Mailserver, ausgehende Mails optional über einen Smarthost.]]

== Voraussetzungen und Planung ==
=== DNS-Einträge ===
{| class="wikitable"
! Eintrag !! Beispiel !! Zweck
|-
| '''A-Record''' || <code>mx.example.com → 203.0.113.10</code> || Name des Gateways
|-
| '''[[MX-Record]]''' || <code>example.com MX 10 mx.example.com</code> || Eingehende Mails an die Firewall leiten
|-
| '''PTR (Reverse-DNS)''' || <code>203.0.113.10 → mx.example.com</code> || Beim Provider beauftragen; ohne passenden PTR lehnen viele Empfänger ausgehende Mails ab
|-
| '''[[SPF]]''' || <code>example.com TXT "v=spf1 mx -all"</code> || Erlaubte Absender-Server festlegen
|-
| '''[[DMARC]]''' || <code>_dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"</code> || Richtlinie für SPF/DKIM-Fehler
|}
DKIM-Signaturen für ausgehende Mails sollte in diesem Aufbau der Mailserver (z. B. Exchange mit einem DKIM-Agent) oder der Smarthost erzeugen.

=== Plugins installieren ===
Unter '''System → Firmware → Plugins''' installieren:
* '''os-postfix''' (Pflicht)
* '''os-rspamd''' und '''os-redis''' (Spamfilter, empfohlen)
* '''os-clamav''' (Virenprüfung, optional)
* '''os-acme-client''' (Let’s-Encrypt-Zertifikat für den MX-Namen, empfohlen)

=== Zertifikat ===
Unter ''Services → ACME Client'' (siehe [[OPNsense - ACME-Client für Let's Encrypt-Zertifikate|ACME-Client auf der OPNsense]]) ein Zertifikat für <code>mx.example.com</code> ausstellen (oder ein vorhandenes Zertifikat unter ''System → Trust'' importieren). Es wird später in Postfix als ''Server Certificate'' ausgewählt.

== Schritt 1: Allgemeine Einstellungen (Services → Postfix → General) ==
{| class="wikitable"
! Einstellung !! Empfehlung
|-
| '''Enable''' || aktivieren (erst nach Abschluss der Konfiguration anwenden)
|-
| '''System Hostname''' || <code>mx.example.com</code> – muss zum MX-, A- und PTR-Eintrag passen
|-
| '''System Domain''' / '''System Origin''' || <code>example.com</code>
|-
| '''Listen IPs''' / '''Listen Port''' || leer bzw. <code>25</code> (alle Schnittstellen, Zugriff wird per Firewall gesteuert)
|-
| '''Trusted Networks''' || nur die Adresse des '''internen Mailservers''' zusätzlich zu den Loopback-Netzen, z. B. <code>127.0.0.0/8, 192.168.10.25/32</code>. '''Niemals ganze Netze oder Internetadressen''' – sonst entsteht ein offenes Relay.
|-
| '''SMTP Banner''' || optional ohne Versionsangaben
|-
| '''Message Size Limit''' || passend zum Mailserver, Standard 51200000 Byte (50 MB)
|-
| '''Allow TLS Only''' || aktivieren (SSLv2/SSLv3 aus)
|-
| '''TLS Server Compatibility''' / '''TLS Client Compatibility''' || ''Intermediate'' (Standard) – ''Modern'' kann ältere Gegenstellen aussperren
|-
| '''Server Certificate''' / '''Root CA''' || das ACME-Zertifikat für <code>mx.example.com</code> und dessen CA
|-
| '''SMTP Client Security''' || ''may'' (opportunistisches TLS, Standard); ''encrypt'' nur, wenn alle Ziele TLS sprechen (z. B. beim Versand nur über einen Smarthost); ''dane'' bei DNSSEC-validierendem Resolver
|-
| '''Smart Host''' || optional: Relay für ausgehende Mails, z. B. <code>[smtp.provider.de]:587</code> – eckige Klammern unterdrücken die MX-Abfrage
|-
| '''Enable SMTP Authentication''' / Benutzer / Passwort || Zugangsdaten für den Smarthost
|-
| '''Enforce Recipient Relay Check''' || '''aktivieren''', sobald die Empfängerliste gepflegt ist (siehe Schritt 3)
|}

=== Restriktionen ===
Im unteren Bereich stehen die Postfix-Prüfungen zur Verfügung. Empfehlung für ein Gateway:
{| class="wikitable"
! Option !! Empfehlung !! Wirkung
|-
| Reject Unauthenticated Destination || '''an''' (Standard) || Kein Relay für fremde Domains – unverzichtbar
|-
| Permit Trusted Networks || '''an''' (Standard) || Der interne Mailserver darf über das Gateway versenden
|-
| Reject Unauthenticated Pipelining || an || Blockiert schlecht programmierte Spam-Software
|-
| Reject Non-FQDN HELO Hostname / Reject Invalid HELO Hostname || an || Unsaubere HELO-Namen ablehnen
|-
| Reject Unknown Sender Domain / Reject Non-FQDN Sender || an || Absender mit nicht existierender Domain ablehnen
|-
| Reject Unknown Recipient Domain / Reject Non-FQDN Recipient || an || Ungültige Empfängerdomains ablehnen
|-
| Reject Unknown Client Hostname / Reject Unknown HELO Hostname || mit Vorsicht || Sehr streng – lehnt auch legitime Server mit fehlerhaftem DNS ab
|-
| Reject Unverified Recipient || optional || Prüft Empfänger live beim Mailserver (Recipient Address Verification) – erzeugt Last, ersetzt aber eine manuelle Empfängerliste
|}
'''Save''' klicken.

== Schritt 2: Domains (Services → Postfix → Domains) ==
Für jede Maildomain einen Eintrag anlegen:
* '''Domainname:''' <code>example.com</code>
* '''Destination:''' interner Mailserver in eckigen Klammern, z. B. <code>[192.168.10.25]</code> (Klammern verhindern eine MX-Abfrage; ein abweichender Port wird mit <code>:2525</code> angehängt).
Dadurch wird die Domain als ''relay_domain'' angenommen und per Transport an den Mailserver weitergereicht. '''Apply''' klicken.

== Schritt 3: Gültige Empfänger (Services → Postfix → Recipients) ==
Ohne Empfängerliste nimmt Postfix Mails an '''jede''' Adresse der Domain an; der Mailserver lehnt Unbekannte später ab und erzeugt Unzustellbarkeitsberichte an meist gefälschte Absender (Backscatter). Daher:
* Für jede gültige Adresse einen Eintrag mit '''Recipient Address''' (z. B. <code>info@example.com</code>) und '''Action''' ''OK'' anlegen.
* Unter ''General'' '''Enforce Recipient Relay Check''' aktivieren – nun werden alle nicht gelisteten Empfänger bereits beim SMTP-Dialog mit Fehler 5xx abgelehnt.
* Einzelne Adressen lassen sich mit ''Action'' '''REJECT''' gezielt sperren.
Bei vielen Postfächern ist alternativ '''Reject Unverified Recipient''' (Live-Prüfung beim Mailserver) bequemer.

== Schritt 4: Weitere Funktionen nach Bedarf ==
{| class="wikitable"
! Menüpunkt !! Zweck !! Beispiel
|-
| '''Senders''' || Absender gezielt erlauben (''OK'') oder ablehnen (''REJECT'') || Lästigen Newsletter-Absender sperren
|-
| '''Recipient BCC''' / '''Sender BCC''' || Kopie aller Mails an/von einer Adresse an eine weitere Adresse || Archivierung oder Stellvertretung
|-
| '''Sender Canonical Rewriting''' || Absenderadressen umschreiben || <code>@intern.local</code> → <code>@example.com</code>
|-
| '''Address Rewriting''' || Adressen allgemein umschreiben (virtual) || Alias <code>vertrieb@example.com</code> → <code>sales@example.com</code>
|-
| '''Header Checks''' || Header per regulärem Ausdruck prüfen oder entfernen || <code>/^\s*User-Agent/ IGNORE</code> entfernt interne Client-Informationen aus ausgehenden Mails
|}
Unter ''General'' lassen sich mit '''Masquerade Domains''' interne Hostnamen in ausgehenden Adressen verbergen.

== Schritt 5: Spamfilter anbinden (Services → Postfix → Antispam) ==
Ist Rspamd eingerichtet (siehe [[OPNsense - Rspamd Spamfilter]]), im Reiter '''Antispam''':
* '''Enable Rspamd Integration''' aktivieren – Postfix übergibt jede Mail per Milter-Protokoll an Rspamd.
* '''Milter Default Action:''' ''accept'' (Standard) stellt Mails auch zu, wenn Rspamd kurz nicht läuft; ''tempfail'' lässt sie in diesem Fall vom Absender später erneut einliefern – sicherer, aber mit Verzögerung.

== Schritt 6: Firewall und Mailserver anpassen ==
* '''Firewall → Rules''', Interface ''WAN'': Pass, TCP, Quelle ''any'', Ziel ''This Firewall'' (bzw. WAN address), Port '''25'''.
* Eine bisherige Portweiterleitung von Port 25 direkt auf den Mailserver unter ''Firewall → NAT → Destination NAT'' '''entfernen''' – sonst umgehen Mails das Gateway.
* Interface ''LAN'' bzw. DMZ: Der Mailserver darf die Firewall auf Port 25 erreichen.
* '''Mailserver:''' Ausgehende Mails über die Firewall als Smarthost senden (bei Exchange: Sendeconnector mit Smarthost <code>192.168.10.1</code>). Eingehend die Annahme nur noch vom Gateway erlauben (bei Exchange: Empfangsconnector auf die IP der Firewall beschränken).
* Optional ausgehende SMTP-Verbindungen aus dem LAN direkt ins Internet blockieren – dann können nur noch Mailserver und Gateway Mails versenden, und mit Schadsoftware infizierte Clients nicht.

== Schritt 7: Testen ==
* '''Log:''' ''Services → Postfix → Log File'' zeigt jede angenommene, abgelehnte und weitergeleitete Mail.
* '''Externer Test:''' Eine Mail von einem externen Konto senden und im Log den Weg verfolgen (''status=sent'' mit ''relay=[192.168.10.25]'').
* '''Open-Relay-Test:''' Mit einem Online-Relay-Test prüfen, dass Postfix keine Mails an fremde Domains annimmt.
* '''TLS-Test:''' Mit einem Online-TLS-Prüfdienst Zertifikat und Verschlüsselung von <code>mx.example.com:25</code> kontrollieren.
* '''Manueller SMTP-Dialog''' (von außen), z. B. mit ''swaks'':
<syntaxhighlight lang="bash">
swaks --to info@example.com --from test@extern.de --server mx.example.com --tls
</syntaxhighlight>

== Typische Probleme und Lösungen ==
{| class="wikitable"
! Symptom !! Ursache und Lösung
|-
| ''Relay access denied'' für eigene Domain || Domain unter ''Domains'' fehlt oder ist nicht aktiviert; Apply vergessen.
|-
| ''Recipient address rejected: User unknown'' || Empfänger fehlt in ''Recipients'', obwohl ''Enforce Recipient Relay Check'' aktiv ist.
|-
| Ausgehende Mails landen beim Empfänger im Spam || PTR passt nicht zum System Hostname, SPF/DKIM/DMARC fehlen – oder Smarthost verwenden.
|-
| Mails bleiben in der Warteschlange (''deferred'') || Mailserver nicht erreichbar (Destination, Firewall-Regel), Smarthost-Zugangsdaten falsch, Port 25 ausgehend beim Provider gesperrt.
|-
| Legitime Absender werden abgelehnt || Zu strenge Restriktionen (''Reject Unknown Client/HELO Hostname'') – deaktivieren und im Log prüfen.
|-
| Postfix startet nicht || Zertifikat oder CA fehlt; Syntaxfehler in einem Header-Check-Ausdruck.
|}

== Sicherheitsempfehlungen ==
* '''Trusted Networks minimal halten''' – nur der interne Mailserver.
* '''Empfängerprüfung aktivieren''' (Recipient-Liste oder Live-Verifikation).
* '''Rspamd mit Greylisting, SPF/DKIM/DMARC-Prüfung und ClamAV''' aktivieren.
* '''Updates''': Postfix, Rspamd und ClamAV-Signaturen aktuell halten (OPNsense-Firmware-Updates, ''freshclam'').
* '''Logs zentral auswerten''', z. B. in einem [https://www.max-it.de/it-services/siem-open-source/ Open-Source-SIEM auf Wazuh-Basis] – so fallen Angriffe und Fehlkonfigurationen schnell auf.
* '''Hochverfügbarkeit''': Bei nur einem Gateway einen zweiten MX-Eintrag mit niedrigerer Priorität (z. B. beim Provider) erwägen.

== Fazit ==
Mit os-postfix wird die OPNsense mit überschaubarem Aufwand zum Mail-Gateway, das den internen Mailserver vom Internet abschirmt, unbekannte Empfänger früh ablehnt und den Versand sauber über TLS oder einen Smarthost abwickelt. Seine volle Stärke entfaltet das Gateway im Zusammenspiel mit Rspamd, Redis und ClamAV als mehrstufiger Spam- und Malware-Filter.

== Unterstützung von m.a.x. it ==
Sie möchten Ihren Exchange- oder Linux-Mailserver mit einem Mail-Gateway auf OPNsense absichern oder SPF, DKIM und DMARC sauber einrichten? m.a.x. it unterstützt Sie als OPNsense-Gold-Partner mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it]. Rund um Exchange und Microsoft 365 hilft Ihnen die [https://www.max-it.de/it-services/microsoft-365/ Microsoft-365-Beratung von m.a.x. it].

== Siehe auch ==
* [[OPNsense - ACME-Client für Let's Encrypt-Zertifikate]]
* [[OPNsense - Rspamd Spamfilter]]
* [[OPNsense - Plugin-Liste]]
* [[OPNsense - Stunnel-Plugin]]
* [[SMTP]]
* [[MX-Record]]
* [[SPF]]
* [[DKIM]]
* [[DMARC]]
* [[STARTTLS]]
* [[Let's Encrypt]]

== Links und Quellen ==
* [https://docs.opnsense.org/manual/how-tos/mailgateway.html OPNsense-Doku – Mail-Gateway einrichten]
* [https://www.postfix.org/documentation.html Postfix – offizielle Dokumentation]
* [https://github.com/opnsense/plugins/tree/master/mail/postfix Quellcode des Plugins os-postfix]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - Postfix Mail-Gateway - Versionsgeschichte

imported>TechCorner-Redaktion: Verlinkung auf den Artikel OPNsense - ACME-Client für Let's Encrypt-Zertifikate ergänzt