Mac OS X Server 10.2: オープン SMTP リレー（「スパム」転送）を防ぐ方法

Mac OS X Server 10.2 メールサービスを使って、ローカルユーザにはメールの送信を許可しながら、オープン SMTP リレーを防ぐように設定することができます。この記事ではその方法を説明します。

注意：Mac OS X Server 10.1.3 〜 10.1.5 をお使いの場合は、ここからは、記事 106762：Mac OS X Server 10.1: Apple Mail Server での制限付き SMTP リレーの設定方法を参照してください。


はじめに
Mac OS X Server バージョン 10.2 〜 10.2.3 をお使いの場合は、バージョン 10.2.4 以降にアップデートする必要があります。メールサービスによるメールの処理方法に、重要な変更がなされているためです。この記事の手順はすべて、Mac OS X Server 10.2.4 以降を前提としています。デフォルトでは、メールサービスはオープンリレーを許可せず、ドメイン外部のインターネットには電子メールを送信しないように設定されています。ただし、ローカルユーザ宛てのメールは差出人を問わずすべて受け付けます。以下の手順に従って、オープンリレーを防ぎながら、電子メールの送信機能を拡大できます。

第 1 段階送信メール

1.「サーバ設定」を開き、サーバに接続します。
2.「インターネット」タブをクリックします。
3.「メールサービス」ボタンをクリックして、「ホストを設定」を選びます（メールサービスを起動させておく必要があります）。
4.「送信メール」タブをクリックします。
5. ポップアップメニューで「送信メールを許可」を選択します。
6.「保存」ボタンをクリックします。

これでサーバは、メールサービスによってインターネットへのメールの送信が許可されます。また、最初に CRAM-MD5 プロトコルを使って認証する任意のユーザにも、インターネットへのメールの送信が許可されます。ただしローカルユーザ宛てのメールは差出人を問わずすべて受け付けます。

第 2 段階IP アドレスと範囲によって送信メールを制限する
認証なしでインターネットへメールを送信できるようにしたい場合は、次の手順を実行します。

1.「ホストを設定」ウインドウの「受信メール」タブをクリックします。
2. SMTP リレーの許可は、デフォルトでは「このリストのホストのみ」に設定されています。リストには、デフォルトではループバックアドレス（127.0.0.1）とサーバのプライマリ IP アドレス が表示されています。

注意：ループバックアドレスはリストから取り除かないでください。これは特殊なアドレスであり、リレーを許可するために必要です。このアドレスがあることで、セキュリティ上のリスクが生じることはありません。

3.「追加」ボタンをクリックして、認証なしでメールの送信を許可するコンピュータの IP アドレスを追加します。IP アドレス／ネットマスクの形式を使って、ネットワーク全体を追加できます。

例：
10.0.0.0 から 10.255.255.255 を追加するには、次のように入力します：10.0.0.0/255.0.0.0
172.16.0.0 から 172.16.255.255 を追加するには、次のように入力します：172.16.0.0/255.255.0.0
192.168.0.0 から 192.168.0.255 を追加するには、次のように入力します：192.168.0.0/255.255.255.0

4.「保存」ボタンをクリックしてウインドウを閉じます。

これで、メールサービスによって、許可された IP アドレスから接続しているすべてのユーザに対して、インターネットへのメールの送信が許可されます。また、最初に CRAM-MD5 プロトコルを使って認証する任意のユーザにも、インターネットへのメールの送信が許可されます。ローカルユーザ宛てのメールは差出人を問わず受け付けます。

第 3 段階認証されたユーザからの送信メール

許可された IP アドレスのリストにないユーザでも、何らかの方法で認証を行ったユーザには、インターネットへのメールの送信を許可したい場合は、次の手順を実行します。

1.「メールサービス」ボタンをクリックして、「メールサービスを設定」を選びます。
2.「プロトコル」タブをクリックします。
3.「SMTP オプション」ボタンをクリックします。
4.「CRAM-MD5 を使った SMTP 認証が必要」チェックボックスを選択します。
5.「PLAIN および LOGIN 認証を許可する」チェックボックスを選択します。
6.「CRAM-MD5 を使った SMTP 認証が必要」チェックボックスを選択解除します。
7.「保存」ボタンをクリックしてウインドウを閉じます。

これで、メールサービスによって、許可された IP アドレスから接続しているすべてのユーザに対して、インターネットへのメールの送信が許可されます。こうすると、最初に何らかの方法で認証を行ったユーザには、インターネットへのメールの送信が許可されます。ローカルユーザ宛てのメールは差出人を問わず受け付けます。

注意：

1. CRAM-MD5 認証には、CRAM-MD5 に対応したパスワードサーバが必要であり、パスワードサーバのパスワードを使うように個々のユーザを設定する必要があります。ユーザには CRAM-MD5（MD5 チャレンジ／レスポンス方式と呼ばれることもあります）に対応したメールアプリケーション（Apple Mail など）も必要です。

2. CRAM-MD5 認証が要求されない場合でも PLAIN と LOGIN を有効にできます（CRAM-MD5 は、メールサービスでは常に有効になっており、要求するかしないかを選ぶだけです）。ほとんどのメールクライアントは PLAIN または LOGIN 認証をサポートしています。

警告：PLAIN および LOGIN 認証では、ユーザ名とパスワードが「平文」形式で送信され、セキュリティ上のリスクをもたらすことになります。可能であれば、クライアントには CRAM-MD5 の使用を推奨するようにしてください。