邮件作为互联网上最古老的协议之一，尽管历史悠久，但依然是使用最广泛的协议之一。尽管许多个人和组织选择将邮件服务外包给谷歌、微软（Office 365 / Hotmail / Live.com）等公司，但这并非所有情况下的选择。一些行业对数据所有权有严格的监管限制，个人也担心隐私问题（这是有道理的）。此外，将关键协议集中由几家大型美国科技公司控制，与互联网去中心化的精神相悖。运行邮件服务器：设置邮件服务器并不困难。大多数Unix-like操作系统都自带sendmail或替代软件。一些Linux发行版也是如此。更具挑战性的是保持邮件服务器安全，并确保其他服务器接受其发送的邮件。
邮件安全与“声誉”时代
垃圾邮件与邮件一样历史悠久。据维基百科记载，最早的垃圾邮件发送于1978年。在今天的互联网上，一旦一台机器连接到网络，它就会开始接收邮件，无论它是否想要。由于大多数机器都不想接收邮件，因此通过TCP端口25（SMTP）阻止连接是一个良好的默认策略。由于垃圾邮件占据了互联网上绝大多数的邮件，即使是感兴趣的邮件系统也会配置为丢弃大部分垃圾邮件。随着邮箱提供商越来越多地根据发送者的“声誉”丢弃邮件，而无需查看其内容。
实时黑名单与白名单
在接收连接时，大多数邮件服务器都会配置为咨询一个或多个实时黑名单（RBLs）。其中一些最常用的列表由Spamhaus项目运营，但还有许多其他列表。如果一个服务器被列入这些黑名单之一，它尝试发送的任何邮件都可能被拒绝。除了实时黑名单之外，还有实时白名单：DNSWL。避免被列入黑名单并保持白名单状态是确保邮件被接受的好方法。发送垃圾邮件会使服务器被列入黑名单。而长期不发送垃圾邮件则有助于服务器保持白名单状态。
SPF、DKIM和DMARC
除了保持服务器不在黑名单上并在白名单上之外，还有三种基于DNS的技术可以帮助确保邮件被接受：发送者策略框架（SPF）列出了域名认为可接受用于发送邮件的IP地址。如果来自域名的邮件来自任何其他地方，它将受到怀疑（甚至可能被拒绝）。域名密钥识别邮件（DKIM）是一种用于加密签名邮件头部的机制。作为其垃圾邮件过滤器的组成部分，接收者将验证邮件头部是否由域名的密钥签名。
结尾：对于运维和网络工程师来说，了解如何运行和保障自建邮件系统具有重要的实际意义。这不仅有助于满足行业对数据所有权的严格要求，还能保护个人隐私，同时维护互联网的去中心化精神。通过掌握邮件安全的相关技术和策略，工程师可以确保邮件系统的稳定运行，提高邮件传输的效率和安全性。
原文: APNIC Blog（2019-12-02）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog