中国からのアクセスで、Amazon を偽装するメール送信などがありました。そこで Python を用いた国別アクセス制限スクリプトを作成しました。

Postfix と Python の連携方法などについても解説していますのでご活用下さい。

Amazon などを偽装したメール

こういった偽装メールの多くは中国や香港から送られいます。

Postfix 用のアクセス制限スクリプトの基本

データのやりとり

データのやりとりは基本的に標準入力と標準出力で行います。

形式：変数=値

参考：ポリシープロトコルの記述

標準入力

変数一覧（参考）

標準出力

※ 送信する場合は必ず改行コードを２個追加してください。
※ 標準出力の「action」にはココで指定された文字列で返信してください。

コード

「/etc/postfix/geo-ip-countries.py」

#!/usr/bin/env python
##############################################
if __name__ == "__main__":
    import configparser
    import sys
    import re
    import pathlib
    import datetime
    import GeoIP

    configFile = '/etc/postfix/geo-ip-countries.cf'

    ################ 初期設定 #################

    # GeoIP の準備
    gi = GeoIP.new(GeoIP.GEOIP_MEMORY_CACHE)

    # 設定ファイルの準備
    config = configparser.ConfigParser()

    try:
        config.read( configFile )
    except:
        denyCountries = []

    if len( allowCountries ) < 1 and len( denyCountries ) < 1:
        exit( 0 )

    ######### 読み込みループ作成 ##############
    try:
        for line in sys.stdin:

            line = line.strip()
            if len( line ) < 1:
                continue

            patrList = re.split( r'\s*=\s*', line )
            if 'client_address' != patrList[0]:
                continue

            targetAddresStr = patrList[1].strip()

            if targetAddresStr in accpectAddress:
                print( "action=OK\n\n" )
                break

            targetCountry = gi.country_code_by_name( targetAddresStr )

            if targetCountry in allowCountries:
                print( "action=OK\n\n" )
                break
            elif targetCountry in denyCountries:
                print( "action=REJECT Deny Country in List\n\n" )
                break
            else:
                print( "action=OK\n\n" )
                break

        sys.stdout.flush()
        #exit( 0 )

    except:
        exit( 1 )

    ################## 終了 ###################
    exit( 0 )

※ IP アドレスから国のコードを取得する参考はコチラから。

スクリプトの設定ファイル

「/etc/postfix/geo-ip-countries.cf」

[allow]
countries =

[deny]
countries = CN, HK, KR

[accpect address]
ip_address = 

Postfix の設定ファイル

「/etc/postfix/master.cf」

# ====================================================================
# GeoIP based Countries Blocking
# ====================================================================
# ===================================================================
# service       type  private unpriv  chroot  wakeup  maxproc command
#                     (yes)   (yes)   (yes)   (never) (100)
# ===================================================================
geoip-policy     unix  y       n       n       -       10       spawn
    user=nobody argv=/etc/postfix/geo-ip-countries.py

「/etc/postfix/main.cf」

smtpd_client_restrictions =     permit_mynetworks,
                                permit_sasl_authenticated,
                                check_policy_service unix:private/geoip-policy,
                                check_client_access mysql:/etc/postfix/mysql-check_client_access.cf,
                                reject_unknown_client,
                                reject_rbl_client bl.spamcop.net,
                                reject_rbl_client zen.spamhaus.org,
                                permit

postfix の再起動

# systemctl restart postfix