10.6 郵件系統安全：SMTP、POP、IMAP 與 Exchange

安全顧問經常針對 Sendmail、Exchange 及 IMAP 伺服器可能遭受的破壞發出警告。域內郵件處理很大程度上仰賴 DNS 伺服器與防火牆的正確設定。原則上，POP 與 IMAP 服務應部署在防火牆內部，以保護使用者的郵件、目錄，特別是密碼，避免外界竊取這些資訊滲透節點。須牢記：除非使用 APOP，否則 POP 協定以明文傳輸密碼，任何人只要控制了使用者與伺服器之間的某個路由器，即可輕易竊取帳號密碼。最佳做法是採用不以明文傳送密碼的認證服務（如 Kerberos 或 SMTP AUTH over TLS）。

郵件中繼架構建議

實務上建議在防火牆外部署一台可信任的中繼伺服器，再由它轉發郵件至內部主伺服器。這樣能將真實郵件系統置於防火牆內，並配置為僅允許域內主機連線。對外郵件同樣可透過中繼發送，並統一使用 user@the.domain 格式作為寄件地址，隱藏內部主機名稱，簡化收件者回覆路徑，同時保護內部發信主機身分。雖然郵件標頭仍會顯示傳遞路徑，但若原始主機隱藏於防火牆內且無法經由企業 DNS 解析，風險即可大幅降低；必要時可自行撰寫重發程序，在轉發前移除所有標頭資訊。

MX 記錄與內外部查詢分離

內部 DNS 的 MX 記錄可將非本地位址的郵件導向中繼器，中繼器再透過外部 DNS 查詢將郵件投遞至 Internet 目的地。同時，中繼器也可將內部郵件轉交防火牆內的專用主機，再由該主機依郵件別名分發給內部使用者或子域。這種分層架構能有效隔離內外部流量，降低直接暴露風險。

10.7 Web 伺服器安全性

Web 站點普及的今天，如何確保伺服器安全與內容完整至關重要。Web 伺服器本質上是一台「人人可見」的機器（內部企業入口網站除外），因此必須採取多層防護：

• 封包過濾： 僅允許 Web 流量（HTTP/HTTPS）通過，封鎖 Telnet、FTP、郵件等服務，縮減攻擊面。
• Proxy 伺服器： 遠端使用者請求先經由 Proxy 攔截，再由 Proxy 代為查詢 Web 伺服器，使用者永不直接觸及真實伺服器。
• 重導向與虛擬 IP： 透過 DNS 將 Web 伺服器名稱解析為虛擬 IP，請求再重導向至實體伺服器，隱藏真實 IP，同時支援負載平衡與高可用性。
• DNS 負載平衡： 利用 DNS 輪詢或隨機化路徑分散流量，但需 DNS、Web、防火牆管理員協同配置。

中間人攻擊風險： 若駭客能透過 DNS 攻擊將請求重導至自控伺服器，便可竊取或竄改資料。因此，確保 DNS 伺服器本身免受攻擊是 Web 安全的基石。

10.8 FTP 伺服器安全性

FTP 伺服器固有弱點，強化措施包括：

• 反向查詢驗證： 確認連線主機的 IP 與主機名稱完全對應，若不符即拒絕連線。許多 FTP/HTTP 伺服器已內建此機制。
• 嚴禁匿名寫入： 允許匿名使用者寫入目錄是常見錯誤，可能導致系統檔案被竄改、資源耗盡造成 DoS。
• 明文密碼風險： 匿名 FTP 密碼以明文傳輸，易被竊聽；建議改用 SFTP 或 FTPS。
• 隔離部署於 DMZ： FTP 伺服器應置於完全隔離的 DMZ 主機，且其帳號密碼與內網其他主機完全不同，限制信任關係，防止單點滲透擴散。

10.9 小結

本章聚焦與 DNS 服務最相關的安全議題，並未涵蓋所有連網安全細節。建議參考專業安全書籍，建立提供 DNS 及其他服務的安全節點。網絡安全非單一設定即可達成，而是由無數細微配置共同堆疊而成的纵深防禦體系。