Smarthost Nedir? Relay Host ile Giden Posta Rehberi

Smarthost nedir sorusunun kısa yanıtı şudur: smarthost (relay host), posta sunucunuzun giden e-postaları alıcı sunuculara doğrudan göndermek yerine teslim ettiği ve onları sizin adınıza ileten ara sunucudur. Sunucunuz postayı kimlik doğrulamalı bir bağlantıyla smarthost'a bırakır; smarthost da iletiyi itibarı izlenen IP adreslerinden, TLS şifrelemesiyle ve gerektiğinde yeniden deneyerek hedefe ulaştırır.

Bu yazıda smarthost'un nasıl çalıştığını, hangi durumlarda gerekli olduğunu, Postfix ile örnek bir kurulumu ve cPanel, Plesk ile Exchange tarafında dikkat edilmesi gerekenleri ele alıyoruz.

Smarthost nasıl çalışır?

Normalde bir posta sunucusu, alıcı alan adının MX kaydını sorgular ve postayı doğrudan o sunucuya teslim eder. Smarthost kullanıldığında araya bir durak eklenir:

1. Kullanıcı postayı Outlook, webmail ya da bir uygulama üzerinden kendi sunucusuna gönderir.
2. Sunucu, alıcının MX sunucusuna bağlanmak yerine postayı yapılandırılmış smarthost'a iletir.
3. Smarthost bağlantıyı doğrular, gönderim limitlerini ve güvenlik denetimlerini uygular.
4. Smarthost alıcı alan adının MX kaydını bulur ve postayı teslim eder.
5. Alıcı sunucu geçici bir hata dönerse ileti kuyrukta bekletilip yeniden denenir; kalıcı hatada gönderene geri dönen ileti (bounce) üretilir.

Terimler yazılıma göre değişir: Exim ve Sendmail dünyasında "smarthost", Postfix'te relayhost, Microsoft Exchange'de "smart host" ifadesi kullanılır. Hepsi aynı kavramı anlatır.

Smarthost kullanmanın faydaları nelerdir?

Kendi sunucunuzdan doğrudan gönderim teknik olarak mümkündür, ancak teslim edilebilirlik açısından çoğu zaman en zayıf halkadır. Smarthost şu sorunları çözer:

• IP itibarı: Web sitesi barındıran bir sunucuda tek bir zafiyetli eklenti, sunucunun IP adresinden spam gönderilmesine ve adresin kara listeye girmesine yol açabilir. Smarthost ile giden posta, IP itibarı düzenli izlenen adreslerden çıkar.
• Port 25 kısıtlamaları: Birçok bulut sağlayıcısı ve internet servis sağlayıcısı giden 25 numaralı portu kısıtlar. Son kullanıcılara ayrılmış IP blokları ise Spamhaus PBL gibi listelerde yer alır ve doğrudan gönderim için uygun kabul edilmez.
• Gönderim limitleri: Hesap veya alan adı başına saatlik ve günlük sınırlar, ele geçirilmiş bir hesabın binlerce spam göndermesini engeller.
• TLS ile iletim: Smarthost, alıcı sunucu destekliyorsa bağlantıyı şifreler ve şifreleme politikalarını tek noktadan yönetmenizi sağlar.
• Yeniden deneme ve kuyruk yönetimi: Greylisting veya geçici yoğunluk gibi 4xx yanıtlarında posta kaybolmaz, uygun aralıklarla yeniden denenir.
• Merkezi kayıt: Tüm giden trafik tek noktadan geçtiği için teslimat sorunlarını izlemek kolaylaşır.

Kimlik doğrulama: 25, 587 ve 465 portları

Smarthost, kimin adına röle yapacağını bilmek zorundadır; aksi halde herkesin kullanabileceği bir açık röleye (open relay) dönüşür. Bunun iki yaygın yolu vardır: kullanıcı adı ve parolayla yapılan SASL kimlik doğrulaması ya da yalnızca belirli sunucu IP adreslerine izin veren IP tabanlı yetkilendirme.

587 portunun gönderim rolü RFC 6409 ile, 465 portunun doğrudan TLS ile gönderim için kullanımı ise RFC 8314 ile tanımlanır.

İpucu: Smarthost için kişisel bir posta kutusunun parolasını değil, yalnızca o sunucuya ait ayrı bir kimlik bilgisi kullanın ve mümkünse bu kimliği sunucunuzun IP adresiyle sınırlandırın.

Postfix'te relayhost nasıl tanımlanır?

Aşağıdaki örnek, Postfix'in tüm giden postayı 587 portu üzerinden ve zorunlu TLS ile bir smarthost'a iletmesini sağlar:

# /etc/postfix/main.cf
relayhost = [smtp.ornek-smarthost.com]:587
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
smtp_tls_security_level = encrypt

# /etc/postfix/sasl_passwd
[smtp.ornek-smarthost.com]:587 kullanici:parola

Ardından parola dosyasını derleyip izinlerini kısıtlayın ve Postfix'i yeniden yükleyin:

postmap /etc/postfix/sasl_passwd
chmod 600 /etc/postfix/sasl_passwd /etc/postfix/sasl_passwd.db
systemctl reload postfix

Birkaç ayrıntı önemlidir. Köşeli parantez, Postfix'in bu ad için MX sorgusu yapmasını engeller ve doğrudan belirtilen sunucuya bağlanmasını sağlar. smtp_tls_security_level = encrypt ayarı, parolanın şifrelenmemiş bir bağlantıda gönderilmesini önler. Debian ve Ubuntu sistemlerinde PLAIN ve LOGIN mekanizmaları için libsasl2-modules paketinin kurulu olması gerekir. Ayrıntılar için Postfix'in SASL belgesine bakabilirsiniz.

cPanel, Plesk ve Exchange'de smarthost

Kontrol panelleri posta yapılandırmasını kendileri ürettiği için ayarı panelin sunduğu yoldan yapmak gerekir:

• cPanel/WHM (Exim): cPanel exim.conf dosyasını yeniden oluşturabildiği için dosyayı doğrudan düzenlemek yerine WHM'deki Exim Configuration Manager kullanılır. Adımları cPanel ve Plesk spam filtresi yazısında anlattık.
• Plesk (Postfix): Güncel sürümlerde posta sunucusu ayarlarında smarthost seçeneği bulunur. Bu seçenek yoksa Postfix'in relayhost ayarı kullanılır; panelin güncellemelerde yapılandırmayı yeniden yazabileceğini unutmayın.
• Exchange Server: Bir gönderme bağlayıcısı (Send Connector) oluşturulur, postanın akıllı ana bilgisayar üzerinden yönlendirilmesi seçilir ve kimlik doğrulama olarak TLS üzerinden temel kimlik doğrulama tercih edilir.
• Microsoft 365 ve Google Workspace: Yönetim konsolunda giden bağlayıcı (outbound connector) ya da giden ağ geçidi tanımlanarak posta smarthost'a yönlendirilir.

Geçişten sonra smarthost'un IP adreslerini veya sağlayıcının verdiği include ifadesini SPF kaydınıza ekleyin. Sunucunuz DKIM imzası atıyorsa, iletiyi değiştirmeyen bir smarthost bu imzayı bozmaz.

Limitler ve anomali tespiti neden önemli?

Smarthost'un en az konuşulan ama en değerli işlevi, bir şeyler ters gittiğinde hasarı sınırlamasıdır. Bir kullanıcının parolası çalındığında saldırgan aynı gece on binlerce ileti göndermeye çalışabilir. Hesap ve alan adı başına saatlik ve günlük limitler bu dalgayı erken keser. Hacimdeki ani sıçramaları, çok sayıda geçersiz alıcıyı ya da alışılmadık saatlerde başlayan gönderimleri izleyen anomali tespiti ise olağan dışı trafiği yöneticinin onayına kadar bekletir. Konunun ayrıntıları giden spam engelleme yazısında yer alıyor.

MXZilla'in smarthost hizmetinde müşteri başına saatlik ve günlük gönderim limitleri tanımlanır; olağan dışı hacim tespit edildiğinde postalar otomatik olarak bekletmeye alınır.

Smarthost seçerken nelere bakmalı?

Bir smarthost hizmetini değerlendirirken şu soruların yanıtını arayın:

• Sunucunuzdan smarthost'a bağlantı 587 veya 465 portunda zorunlu TLS ile mi yapılıyor?
• Hesap veya alan adı başına limit tanımlanabiliyor mu, limit aşıldığında posta reddediliyor mu yoksa bekletiliyor mu?
• Gönderimde kullanılan IP adresleri kara listelere karşı izleniyor mu, listeye giren adres trafikten çekiliyor mu?
• Paylaşımlı havuzun yanında size özel bir IP seçeneği var mı?
• Teslimat kayıtlarına ve geri dönen iletilere kendiniz erişebiliyor musunuz?
• Hizmet kesintileri herkese açık bir durum sayfasından duyuruluyor mu?

Sık yapılan hatalar

• Smarthost'a geçip SPF kaydını güncellememek.
• TLS zorunlu değilken parolayla kimlik doğrulaması yapmak.
• Smarthost tarafında IP izinlerini gereğinden geniş tutup açık röle riski yaratmak.
• Tüm sunucular için tek ve ortak bir kimlik bilgisi kullanmak.
• Geri dönen iletileri ve kuyruğu izlememek; bu durumda sorunlar ancak müşteriler şikâyet ettiğinde fark edilir.

Sonuç

Smarthost, giden postanın itibarını, güvenliğini ve izlenebilirliğini tek bir noktada toplar. Geçişten sonra SPF, DKIM ve DMARC kayıtlarınızın doğru göründüğünü ücretsiz alan adı güvenlik kontrolü ile doğrulayabilir, smarthost ve özel IP seçeneklerini paketler bölümünde inceleyebilirsiniz.

Sık sorulan sorular

Smarthost ile SMTP relay aynı şey mi?

Pratikte evet. SMTP relay, postanın bir sunucudan diğerine aktarılması işlemini anlatır; smarthost ise bu aktarımı sizin adınıza yapan ve postayı teslim eden sunucudur. Postfix belgelerinde aynı kavram relayhost adıyla geçer.

Smarthost kullanınca SPF kaydını değiştirmem gerekir mi?

Evet. Alıcı sunucu, postayı smarthost'un IP adresinden gelmiş olarak görür. Bu adresler SPF kaydınızda yoksa SPF denetimi başarısız olur ve DMARC'ın geçmesi yalnızca DKIM imzasına bağlı kalır.

Smarthost DKIM imzasını bozar mı?

İletinin gövdesini ve imzalanan başlıkları değiştirmeyen bir smarthost DKIM imzasını bozmaz. İmza atma işi kendi sunucunuzda kalabilir ya da smarthost tarafında yapılabilir. Önemli olan, imzadaki d= alan adının From adresindeki alan adıyla uyumlu olmasıdır.

Port 25 kapalıysa smarthost işe yarar mı?

Evet, bu smarthost kullanmanın en yaygın nedenlerinden biridir. Sunucunuz postayı 587 veya 465 portu üzerinden smarthost'a iletir, alıcı sunuculara 25 portundan teslimatı ise smarthost yapar.

Küçük bir şirket için smarthost gerekli mi?

Kendi posta sunucusunu çalıştıran her kurum, hacmi küçük olsa bile smarthost'tan fayda görür. Özellikle web siteleriyle aynı sunucuyu paylaşan posta hizmetlerinde, tek bir güvenlik açığının tüm şirketin postasını kara listeye sokma riskini azaltır.