如何为Postfix单个域名配置强制客户端证书认证且不影响其他域名

当然可以做到！Postfix的配置灵活性完全能支持这种针对单个域名的特殊要求，不会打乱你现有其他域名的运行逻辑。下面是一步步的实操配置方法：

1. 确认基础TLS配置就绪 #

首先，你之前已经设置了TLS按需启用，所以smtpd_tls_cert_file、smtpd_tls_key_file这些基础TLS参数应该已经在main.cf里配置好了，这一步咱们就不用重复操作了，确保它们正常工作就行。

2. 配置单域名强制客户端证书 #

Postfix支持按域名映射规则，咱们用这个功能来指定目标域名必须提供客户端证书：

• 先把用来验证客户端证书的CA根证书放到一个固定路径，比如/etc/postfix/ca_client.crt（如果还没有，先准备好这个CA文件）。
• 打开/etc/postfix/main.cf，添加/修改以下参数：

  # 让Postfix主动请求客户端证书（但不全局强制）
  smtpd_tls_ask_ccert = yes
  # 指定哪个域名需要强制客户端证书的映射表
  smtpd_tls_req_ccert_maps = hash:/etc/postfix/tls_req_ccert
  

• 创建映射表文件/etc/postfix/tls_req_ccert，写入你的目标域名：

  newdomain.com = yes
  

• 生成Postfix能识别的哈希表：

  postmap /etc/postfix/tls_req_ccert
  

3. 强制该域名的TLS与SASL认证 #

接下来要确保发往这个域名的邮件必须走TLS，并且客户端要完成认证：

• 先确认你的Postfix已经启用了SASL认证（比如用Dovecot或者Cyrus做SASL后端），如果还没配置，先搞定这个基础认证环境。
• 在main.cf的smtpd_recipient_restrictions里加入按域名的规则检查，示例如下（把你的现有规则保留，插入新规则即可）：

  smtpd_recipient_restrictions =
      permit_mynetworks
      permit_sasl_authenticated
      # 新增：针对目标域名的强制规则
      check_recipient_access hash:/etc/postfix/enforce_tls_auth,
      reject_unauth_destination
  

• 创建规则文件/etc/postfix/enforce_tls_auth，写入：

  newdomain.com        reject_unauth_destination, reject_plaintext_session, require_tls, require_sasl_auth
  

• 同样生成哈希表：

  postmap /etc/postfix/enforce_tls_auth
  

4. 确保客户端证书验证有效 #

为了让Postfix信任客户端的证书，还要配置CA证书路径和验证深度：

• 在main.cf里添加：

  smtpd_tls_CAfile = /etc/postfix/ca_client.crt
  # 证书链验证深度，根据你的实际证书层级调整，一般5足够
  smtpd_tls_ccert_verifydepth = 5
  

• 如果你需要额外验证客户端证书的主题信息（比如限制只有特定用户的证书能通过），可以添加smtpd_tls_ccert_checks参数，这一步属于进阶需求，按需配置即可。

5. 重启Postfix生效 #

最后运行重启命令让所有配置生效：

systemctl restart postfix
# 或者老系统用 service postfix restart

这样配置完成后，除了newdomain.com之外，其他所有域名都会保持你原来的兼容性设置——只有发往这个新域名的邮件，会强制要求客户端使用TLS连接、提供有效的客户端证书，并且完成SASL认证。

备注：内容来源于stack exchange，提问作者TomS