SMTP暴露CDN，如何防范这一潜在安全风险？

一、什么是SMTP？

SMTP是Simple Mail Transfer Protocol（简单邮件传输协议）的缩写，是一种用于发送电子邮件的协议，它定义了客户端如何与邮件服务器通信以发送电子邮件，SMTP协议通常使用端口25或465（加密的SMTP）。

二、SMTP暴露CDN的原因

当网站使用SMTP发送邮件时，无论加了多少层CDN，源IP地址仍然会暴露，这是因为SMTP协议在发送邮件时，会在邮件的信头中包含发送服务器的IP地址，有心人可以通过查看邮件信头来获取这个IP地址，从而进行进一步的攻击或利用。

三、如何避免SMTP暴露CDN

为了避免SMTP暴露CDN，可以采取以下几种方法：

1、使用自建邮局：单独使用一台服务器搭建邮件发送系统，这样即便暴露了真实IP也是邮件系统的IP地址。

2、使用第三方SMTP服务：如阿里云等第三方SMTP服务，这些服务改进后现在会显示127.0.0.1这个本地IP，而不是真实的服务器IP。

3、使用邮件发送API接口：这是最理想的解决办法，完全不用担心自己IP泄露，可以使用谷歌Gmail API、微软Outlook API等接口来发送邮件。

4、使用Haproxy反代SMTP服务器：通过安装Haproxy并配置相应的转发规则，可以将SMTP请求转发到真实的SMTP服务器，从而隐藏真实的源IP地址。

四、具体实现步骤（以Haproxy为例）

1、安装Haproxy：在一台机器上安装Haproxy。

2、配置Haproxy：将以下内容写入Haproxy的配置文件（haproxy.cfg）中：

   global
       ulimit-n 51200
   defaults
       log global
       mode tcp
       option dontlognull
       timeout connect 1000ms
       timeout client 150000ms
       timeout server 150000ms
   listen status
       bind 0.0.0.0:1080
       mode http
       log global
       stats refresh 30s
       stats uri /admin?stats auth admin:password
   frontend ssin
       bind *:465
       default_backend ssout
   backend ssout
       server server1 11.22.33.44 maxconn 204800

注意：server server1 11.22.33.44中的IP需要改成SMTP服务器的真实IP。

3、修改WEB服务器上的hosts文件：将SMTP服务器域名指向中转服务器的IP，如果使用的是阿里云的邮件推送服务，那么编辑/etc/hosts文件，添加以下内容：

   22.33.44.55 smtpdm.aliyun.com

其中22.33.44.55是中转服务器的IP。

4、重启网络服务：执行service network restart命令重启网卡。

5、设置开机启动：执行chkconfig Haproxy on命令，使Haproxy在开机时自动启动。

五、FAQs

Q1: 为什么使用SMTP发送邮件时会暴露CDN后的源IP地址？

A: 因为SMTP协议在发送邮件时，会在邮件的信头中包含发送服务器的IP地址，通过查看邮件信头可以获取这个IP地址。

Q2: 如何避免SMTP暴露CDN的源IP地址？

A: 可以使用自建邮局、第三方SMTP服务、邮件发送API接口或Haproxy反代SMTP服务器等方法来避免SMTP暴露CDN的源IP地址。

Q3: Haproxy如何隐藏SMTP服务器的真实IP地址？

A: Haproxy通过将SMTP请求转发到真实的SMTP服务器，并在转发过程中隐藏真实的源IP地址，从而实现对SMTP服务器真实IP地址的保护。

六、小编有话说

随着互联网的发展，网络安全问题日益突出，在使用SMTP发送邮件时，一定要注意保护好自己的源IP地址，避免被有心人利用，通过采取上述措施，可以有效地避免SMTP暴露CDN的风险，也要不断学习和了解最新的网络安全知识，提高自己的安全意识。