Restricciones de envío y recepción a dominios cu con Postfix

Sí, una de las primeras tareas que se asignan a los administradores de red en empresas, para muchos una política un poco restrictiva (mi opinión es neutral): permitir a cierto de grupo de usuarios enviar y recibir correo a cualquier dominio y a otro grupo solo .cu.
Quizá sea una tarea bastante engorrosa o por lo menos para entenderla al inicio es un poco difícil, es por ello que en esta entrada trataré de explicar cómo implementar estas políticas con Postfix.

Clases de restricciones

El primer paso es crear clases de restricciones, en este caso usando expresiones regulares.

Agregar las siguientes líneas en el archivo principal de configuración de Postfix (/etc/postfix/main.cf)

smtpd_restriction_classes = cu-in, cu-out, int-in, int-out

cu-in = check_sender_access regexp:/etc/postfix/cu, reject
cu-out = check_recipient_access regexp:/etc/postfix/cu, reject
int-in = check_sender_access regexp:/etc/postfix/int, reject
int-out = check_recipient_access regexp:/etc/postfix/int, reject

La clase cu-in se encargará de filtrar el remitente y cu-out el destinatario, lo mismo pasa con int-in e int-out.

Crear los archivos con las expresiones regulares.

/etc/postfix/cu

/\@*\.cu$/      RELAY
/\@*/           REJECT El mensaje no fue entregado: ACCESO DENEGADO

/etc/postfix/int

/\@*/   	RELAY

Ejemplo:

El usuario foo tiene permisos para enviar y recibir correo solamente a dominios .cu y desea enviar un mensaje a bar@dominio.tld.

Cabeceras del mensaje

...
From: foo@dominio.cu
To: bar@dominio.tld
...

Postfix filtra del encabezado el campo To (destinatario) porque el mensaje saldría de nuestro SMTP. Como la dirección de correo del destinatario no coincide con la expresión regular, Postfix lo rechaza inmediatamente.

De otro modo si alguien con dirección de correo bar@dominio.tld envía un mensaje a foo@dominio.cu, Postfix chequea el From (remitente) y como no coincide con la expresión regular entonces el mensaje es rechazado de la misma manera.

Base de datos con los nombres de usuarios que son afectados por las políticas

La base de datos que contiene el par dirección de correo y restricción puede ser de tipo, hash, MySQL, LDAP, sqlite, en este caso usaremos hash.

Agregar las siguientes líneas en el archivo de configuración principal de Postfix, dentro de las secciones smtpd_sender_restrictions y smtpd_recipient_restrictions respectivamente.

smtpd_sender_restrictions =
	...
	check_sender_access hash:/etc/postfix/access-out.cf,
	...

smtpd_recipient_restrictions =
	...
	check_recipient_access hash:/etc/postfix/access-in.cf,
	...

Posteriormente crear los archivos /etc/postfix/access-out.cf y /etc/postfix/access-in.cf con el siguiente contenido.

/etc/postfix/access-out.cf

foo@dominio.cu	cu-out
bar@dominio.cu	int-out

/etc/postfix/access-in.cf

foo@dominio.cu	cu-in
bar@dominio.cu	int-in

En este caso el usuario foo solo puede enviar y recibir a dominios .cu y el usuario bar puede enviar y recibir de cualquier dominio.

Por último generar las bases de datos y recargar Postfix

postmap /etc/postfix/access-in.cf
postmap /etc/postfix/access-out.cf

postfix reload

Comprobaciones

Para comprobar que las restricciones funcionan lo podemos hacer a través del comando postmap

postmap -q foo@dominio.tld regexp:/etc/postfix/int
RELAY

postmap -q foo@dominio.cu regexp:/etc/postfix/int
RELAY

postmap -q foo@dominio.tld regexp:/etc/postfix/cu
REJECT El mensaje no fue entregado: ACCESO DENEGADO

postmap -q foo@dominio.cu regexp:/etc/postfix/cu
RELAY

postmap -q foo@domain.cu hash:/etc/postfix/access-in.cf
cu-in

postmap -q foo@domain.cu hash:/etc/postfix/access-out.cf
cu-out

postmap -q bar@domain.cu hash:/etc/postfix/access-in.cf
int-in

postmap -q bar@domain.cu hash:/etc/postfix/access-out.cf
int-out

Notas:

Estas restricciones pueden ser bastante flexibles y lograr otras cosas como filtrar por dirección de correo o dominios exactos.