Postfix-Relay auf Debian einrichten und betreiben

apt update && apt -y full-upgrade

# FQDN setzen
hostnamectl set-hostname mail.example.com
echo "127.0.1.1  mail.example.com mail" >> /etc/hosts

# Zeitsynchronisation
apt -y install systemd-timesyncd
timedatectl set-ntp true

# kein Routing zwischen eth0 und wg0
net.ipv4.ip_forward = 0
# strikte Rückwegprüfung gegen gespoofte Quelladressen
net.ipv4.conf.all.rp_filter = 1
# Bind auf 10.10.0.1 erlauben, bevor wg0 existiert
net.ipv4.ip_nonlocal_bind = 1

sysctl --system

apt -y install ufw
ufw default deny incoming
ufw default allow outgoing
ufw default deny routed

# Tunneladressen dürfen NICHT über das öffentliche Interface erreichbar sein
ufw deny in on eth0 to 10.10.0.0/24

ufw allow from 198.51.100.20 to any port 22 proto tcp   # SSH nur von Management-IP
ufw allow 25/tcp                                         # SMTP eingehend (MX)
ufw allow in on eth0 to 203.0.113.10 port 587 proto tcp  # Submission für Apps
ufw allow in on wg0 from 10.10.0.2 to 10.10.0.1 port 587 proto tcp  # Submission interner MTA
ufw allow 51820/udp     # WireGuard (bei fester Gegenstellen-IP: "from <IP>" ergänzen)
ufw --force enable
ufw status numbered

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
AllowUsers admin
X11Forwarding no
MaxAuthTries 3

apt -y install unattended-upgrades apt-listchanges needrestart
dpkg-reconfigure -plow unattended-upgrades

# AppArmor: Status UND tatsächlich durchgesetzte Profile prüfen
apt -y install apparmor apparmor-utils
aa-status

# nur benötigte Dienste aktiv
systemctl list-unit-files --state=enabled
ss -tulpn

DEBIAN_FRONTEND=noninteractive apt -y install postfix postfix-pcre
systemctl enable postfix
cp /etc/postfix/main.cf{,.orig}
cp /etc/postfix/master.cf{,.orig}

# ===== Identität =====
myhostname = mail.example.com
mydomain = example.com
myorigin = $mydomain
compatibility_level = 3.6

# ===== Netzwerk / keine lokale Zustellung =====
inet_interfaces = all
inet_protocols = ipv4
mydestination =
local_recipient_maps =
local_transport = error:local delivery is disabled
# Nur localhost ist vertraut. Kein Tunnel-, LAN- oder Hosternetz!
mynetworks = 127.0.0.0/8

# ===== Eingehend: nur example.com, nur existierende Empfänger =====
relay_domains = example.com
transport_maps = hash:/etc/postfix/transport
relay_recipient_maps = hash:/etc/postfix/relay_recipients

# ===== Globale Restriktionen (gelten für Port 25) =====
smtpd_helo_required = yes
smtpd_relay_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unauth_destination
smtpd_recipient_restrictions =
    permit_mynetworks,
    reject_unauth_destination,
    reject_non_fqdn_recipient,
    reject_unknown_recipient_domain
smtpd_helo_restrictions =
    permit_mynetworks,
    reject_invalid_helo_hostname,
    reject_non_fqdn_helo_hostname

# ===== SASL: global AUS, nur in den Submission-Diensten an =====
smtpd_sasl_auth_enable = no
smtpd_sasl_type = cyrus
smtpd_sasl_path = smtpd
smtpd_sasl_security_options = noanonymous, noplaintext
smtpd_sasl_tls_security_options = noanonymous
smtpd_sasl_local_domain = $myhostname
smtpd_sender_login_maps = hash:/etc/postfix/sender_login

# ===== TLS (Zertifikate via acme.sh, Abschnitt 10) =====
smtpd_tls_cert_file = /etc/postfix/tls/mail.example.com/fullchain.cer
smtpd_tls_key_file  = /etc/postfix/tls/mail.example.com/private.key
# Port 25: opportunistisch (TLS anbieten, nicht erzwingen)
smtpd_tls_security_level = may
smtpd_tls_auth_only = yes
smtpd_tls_mandatory_protocols = >=TLSv1.2
smtpd_tls_protocols = >=TLSv1.2
smtp_tls_security_level = may
smtp_tls_mandatory_protocols = >=TLSv1.2
smtp_tls_protocols = >=TLSv1.2
smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt
tls_preempt_cipherlist = yes
smtpd_tls_loglevel = 1
smtp_tls_loglevel = 1

# ===== DKIM / Milter (Abschnitt 9) =====
# tempfail: Fällt OpenDKIM aus, wird Mail mit 4xx zurückgestellt statt
# unsigniert ausgeliefert. Gilt auch eingehend (fremde MX stellen erneut zu).
milter_default_action = tempfail
milter_protocol = 6
smtpd_milters = inet:127.0.0.1:8891
non_smtpd_milters = inet:127.0.0.1:8891

# ===== Policy-Dienst (postfwd, Abschnitt 7): bei Ausfall 4xx =====
smtpd_policy_service_default_action = 451 4.3.5 Policy-Dienst nicht verfügbar

# ===== Hygiene =====
disable_vrfy_command = yes
smtpd_delay_reject = yes
biff = no
append_dot_mydomain = no

# ===== Ressourcen & Queue =====
message_size_limit = 26214400          # 25 MB, an realen Bedarf anpassen
queue_minfree = 1073741824              # unter 1 GB frei: Annahme mit 4xx pausieren
maximal_queue_lifetime = 5d             # überbrückt Ausfall des internen MTA
bounce_queue_lifetime = 1d
smtpd_recipient_limit = 100
smtpd_hard_error_limit = 10
default_process_limit = 100

# ===== Rate-Limits (anvil, pro Client-IP) =====
anvil_rate_time_unit = 60s
smtpd_client_connection_count_limit = 20
smtpd_client_connection_rate_limit = 30
smtpd_client_message_rate_limit = 100
smtpd_client_recipient_rate_limit = 200
smtpd_client_auth_rate_limit = 10
smtpd_client_event_limit_exceptions = $mynetworks

example.com     smtp:[10.10.0.2]:25

info@example.com        OK
kontakt@example.com     OK
dmarc@example.com       OK
tls-reports@example.com OK

postmap /etc/postfix/transport /etc/postfix/relay_recipients
postfix check && systemctl reload postfix

# service              type  private unpriv  chroot  wakeup  maxproc command
# --- Port 25: fremde MX, kein AUTH ---
smtp                   inet  n       -       y       -       -       smtpd
  -o smtpd_sasl_auth_enable=no

# --- Port 587, öffentliche IP: Anwendungen ---
203.0.113.10:submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_tls_auth_only=yes
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
  -o smtpd_sender_restrictions=check_sasl_access,pcre:/etc/postfix/sasl_access_public,reject_sender_login_mismatch
  -o smtpd_relay_restrictions=permit_sasl_authenticated,reject
  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject
  -o smtpd_end_of_data_restrictions=check_policy_service,inet:127.0.0.1:10040
  -o cleanup_service_name=cleanup-apps
  -o milter_macro_daemon_name=ORIGINATING

# --- Port 587, Tunneladresse: nur interner MTA ---
10.10.0.1:submission   inet  n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission-wg
  -o smtpd_tls_security_level=encrypt
  -o smtpd_tls_auth_only=yes
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
  -o smtpd_sender_restrictions=check_sasl_access,pcre:/etc/postfix/sasl_access_tunnel,reject_sender_login_mismatch
  -o smtpd_relay_restrictions=permit_sasl_authenticated,reject
  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject
  # Kontingent internal-mta: einziger Client = 10.10.0.2, Anvil zählt hier pro Konto
  -o smtpd_client_message_rate_limit=60
  -o smtpd_client_recipient_rate_limit=300
  -o cleanup_service_name=cleanup-intern
  -o milter_macro_daemon_name=ORIGINATING

# --- eigene cleanup-Instanzen für die Header-From-Prüfung (Abschnitt 5) ---
cleanup-apps           unix  n       -       y       -       0       cleanup
  -o header_checks=pcre:/etc/postfix/header_from_apps
cleanup-intern         unix  n       -       y       -       0       cleanup
  -o header_checks=pcre:/etc/postfix/header_from_intern

203.0.113.10:submissions inet n      -       y       -       -       smtpd
  -o syslog_name=postfix/smtps
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
  -o smtpd_sender_restrictions=check_sasl_access,pcre:/etc/postfix/sasl_access_public,reject_sender_login_mismatch
  -o smtpd_relay_restrictions=permit_sasl_authenticated,reject
  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject
  -o smtpd_end_of_data_restrictions=check_policy_service,inet:127.0.0.1:10040
  -o cleanup_service_name=cleanup-apps
  -o milter_macro_daemon_name=ORIGINATING

smtp      inet  n       -       y       -       1       postscreen
smtpd     pass  -       -       y       -       -       smtpd
  -o smtpd_sasl_auth_enable=no
dnsblog   unix  -       -       y       -       0       dnsblog
tlsproxy  unix  -       -       y       -       0       tlsproxy

postscreen_access_list = permit_mynetworks
postscreen_greet_action = enforce
# DNSBLs nur mit gültigem Nutzungsrecht (z. B. Spamhaus DQS bei kommerzieller Nutzung)

postfix check && systemctl restart postfix
postconf -M | grep -E ' inet '      # alle Netzwerk-Listener
postconf -n                          # alle vom Default abweichenden Parameter
ss -tlnp | grep master               # erwartet: 0.0.0.0:25, 203.0.113.10:587, 10.10.0.1:587

apt -y install libsasl2-modules sasl2-bin

pwcheck_method: auxprop
auxprop_plugin: sasldb
mech_list: PLAIN LOGIN

# zufälliges Passwort erzeugen und direkt setzen
openssl rand -base64 33
saslpasswd2 -c -u mail.example.com relay-app
saslpasswd2 -c -u mail.example.com internal-mta

chown root:postfix /etc/sasldb2
chmod 640 /etc/sasldb2
sasldblistusers2

install -d /var/spool/postfix/etc
touch /var/spool/postfix/etc/sasldb2
echo '/etc/sasldb2  /var/spool/postfix/etc/sasldb2  none  bind  0 0' >> /etc/fstab
systemctl daemon-reload && mount -a
systemctl restart postfix

# Rechte Seite: Liste erlaubter Logins. Beide Schreibweisen (mit/ohne Realm)
# eintragen – dann passt die Map unabhängig davon, wie Postfix den Login meldet.
# Anwendungen: ausschließlich ihre eigenen Adressen
app1@example.com        relay-app, relay-app@mail.example.com
noreply@example.com     relay-app, relay-app@mail.example.com
# Interner MTA: alle übrigen Adressen der Domain
@example.com            internal-mta, internal-mta@mail.example.com

postmap /etc/postfix/sender_login && systemctl reload postfix

# Mehrere Adressen im From: grundsätzlich ablehnen
/^From:.*,/                                          REJECT 5.7.1 Mehrere Absender im From nicht zulaessig
# Erlaubte sichtbare Absender = Adressen der App-Konten aus sender_login
/^From:(.*<|\s*)(app1|noreply)@example\.com>?\s*$/  DUNNO
/^From:/                                             REJECT 5.7.1 Header-From nicht freigegeben

/^From:.*,/                                          REJECT 5.7.1 Mehrere Absender im From nicht zulaessig
/^From:(.*<|\s*)[^@<>\s]+@example\.com>?\s*$/      DUNNO
/^From:/                                             REJECT 5.7.1 Header-From ausserhalb von example.com

# Konto des internen MTA ist aus dem Internet nicht nutzbar
/^internal-mta(@mail\.example\.com)?$/   REJECT 5.7.1 Konto nur ueber den Tunnel zugelassen
# Sperrliste für den Missbrauchsfall (Abschnitt 7), z. B.:
# /^relay-app(@mail\.example\.com)?$/    REJECT 5.7.1 Konto gesperrt

/^internal-mta(@mail\.example\.com)?$/   DUNNO
/./                                      REJECT 5.7.1 Konto am Tunnel-Listener nicht zugelassen

relayhost = [10.10.0.1]:587
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
smtp_sasl_tls_security_options = noanonymous
# TLS-Policy: Zertifikat MUSS gültig sein und auf mail.example.com lauten
smtp_tls_policy_maps = hash:/etc/postfix/tls_policy
smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt
smtp_tls_loglevel = 1

# Nur LAN-intern und am Tunnel lauschen, nie auf einer öffentlichen Adresse
inet_interfaces = 127.0.0.1, 10.10.0.2, 192.168.10.5

[10.10.0.1]:587    secure match=mail.example.com

[10.10.0.1]:587    internal-mta:<LANGES-ZUFALLSPASSWORT>

postmap /etc/postfix/sasl_passwd /etc/postfix/tls_policy
chmod 600 /etc/postfix/sasl_passwd /etc/postfix/sasl_passwd.db
systemctl reload postfix
# Erwartet nach dem ersten Versand: "Verified TLS connection established to 10.10.0.1"
journalctl -u postfix@- | grep -E 'TLS connection established to .*10\.10\.0\.1'

table inet wg0filter {
  chain input {
    type filter hook input priority filter; policy accept;
    iifname "wg0" ct state established,related accept
    iifname "wg0" ip saddr 10.10.0.1 tcp dport 25 ct state new accept
    iifname "wg0" counter drop
  }
  chain forward {
    type filter hook forward priority filter; policy accept;
    iifname "wg0" counter drop       # Tunnel führt nicht ins LAN
  }
}

nft -f /etc/nftables.d/wg0.nft
# dauerhaft: in /etc/nftables.conf per include "/etc/nftables.d/*.nft" einbinden
systemctl enable nftables

apt -y install postfwd

# Werte an den realen Bedarf der jeweiligen Anwendung anpassen
id=MSG_STUNDE ; action=rate(sasl_username/100/3600/450 4.7.1 Versandlimit Nachrichten pro Stunde erreicht)
id=RCPT_TAG   ; action=rcpt(sasl_username/1000/86400/450 4.7.1 Versandlimit Empfaenger pro Tag erreicht)

# Paketvorgaben prüfen (Konfigurationspfad, Port 10040, Autostart)
cat /etc/default/postfwd
systemctl enable --now postfwd
ss -tlnp | grep 10040
postfwd --file /etc/postfix/postfwd.cf --showconfig

# nur der Relay
example.com.   IN TXT  "v=spf1 a:mail.example.com -all"
# Relay + Microsoft 365 (Beispiel)
# example.com. IN TXT  "v=spf1 a:mail.example.com include:spf.protection.outlook.com -all"

# Stufe 1 (2–4 Wochen): nur beobachten, Reports sammeln
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com; fo=1"
# Stufe 2: Quarantäne, nachdem alle Quellen SPF- bzw. DKIM-aligned sind
_dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; fo=1; adkim=s; aspf=s"
# Stufe 3: Ablehnung
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.com; fo=1; adkim=s; aspf=s"

dig +short MX example.com
dig +short TXT example.com
dig +short TXT mail2026._domainkey.example.com
dig +short TXT _dmarc.example.com
dig +short -x 203.0.113.10 && dig +short A mail.example.com

_mta-sts.example.com.   IN TXT  "v=STSv1; id=20261009T000000;"
_smtp._tls.example.com. IN TXT  "v=TLSRPTv1; rua=mailto:tls-reports@example.com"

version: STSv1
mode: testing
mx: mail.example.com
max_age: 86400

apt -y install opendkim opendkim-tools
install -d -o opendkim -g opendkim -m 750 /etc/opendkim/keys/example.com
opendkim-genkey -b 2048 -d example.com -D /etc/opendkim/keys/example.com -s mail2026 -v
chown opendkim:opendkim /etc/opendkim/keys/example.com/mail2026.*
chmod 600 /etc/opendkim/keys/example.com/mail2026.private

Syslog                  yes
UMask                   007
Mode                    sv
Canonicalization        relaxed/simple
Socket                  inet:8891@127.0.0.1
OversignHeaders         From
# RFC 5322: genau ein From:, höchstens ein Subject: usw. – sonst Ablehnung
RequiredHeaders         yes
KeyTable                /etc/opendkim/KeyTable
SigningTable            refile:/etc/opendkim/SigningTable
# Signieren nur für Einlieferungen über die Submission-Listener
# (milter_macro_daemon_name=ORIGINATING) bzw. lokal erzeugte Mail
MTA                     ORIGINATING
InternalHosts           /etc/opendkim/TrustedHosts
ExternalIgnoreList      /etc/opendkim/TrustedHosts

# KeyTable
mail2026._domainkey.example.com example.com:mail2026:/etc/opendkim/keys/example.com/mail2026.private

# SigningTable
*@example.com mail2026._domainkey.example.com

# TrustedHosts: nur der Relay selbst
127.0.0.1
::1

systemctl enable --now opendkim
systemctl restart postfix
ss -tlnp | grep 8891                         # erwartet: nur 127.0.0.1:8891
cat /etc/opendkim/keys/example.com/mail2026.txt   # TXT-Inhalt für die DNS-Zone
# nach DNS-Propagation:
opendkim-testkey -d example.com -s mail2026 -vvv  # erwartet: "key OK"

[Service]
Restart=on-failure
RestartSec=5s

apt -y install curl socat git
git clone --depth 1 https://github.com/acmesh-official/acme.sh.git /root/acme.sh-src
cd /root/acme.sh-src && ./acme.sh --install -m admin@example.com
acme.sh --set-default-ca --server letsencrypt

read -rs CF_Token && export CF_Token    # Token nicht in die Shell-History
acme.sh --issue --dns dns_cf -d mail.example.com --keylength 2048   # RSA: breiteste Kompatibilität
unset CF_Token
chmod 600 /root/.acme.sh/account.conf

install -d -m 750 /etc/postfix/tls/mail.example.com
acme.sh --install-cert -d mail.example.com \
  --key-file       /etc/postfix/tls/mail.example.com/private.key \
  --fullchain-file /etc/postfix/tls/mail.example.com/fullchain.cer \
  --reloadcmd      "chmod 600 /etc/postfix/tls/mail.example.com/private.key && systemctl reload postfix"

openssl s_client -starttls smtp -connect mail.example.com:587 -servername mail.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -fingerprint -sha256 -enddate
openssl x509 -in /etc/postfix/tls/mail.example.com/fullchain.cer -noout -fingerprint -sha256 -enddate

apt -y install wireguard
umask 077
wg genkey | tee /etc/wireguard/privatekey | wg pubkey > /etc/wireguard/publickey
chmod 600 /etc/wireguard/privatekey
cat /etc/wireguard/publickey    # nur den ÖFFENTLICHEN Schlüssel weitergeben

[Interface]
Address    = 10.10.0.1/24
ListenPort = 51820
PrivateKey = <RELAY_PRIVATE_KEY>

[Peer]
# interner Mailserver – genau eine Adresse
PublicKey  = <INTERN_PUBLIC_KEY>
AllowedIPs = 10.10.0.2/32

[Interface]
Address    = 10.10.0.2/24
PrivateKey = <INTERN_PRIVATE_KEY>

[Peer]
# öffentlicher Relay
PublicKey           = <RELAY_PUBLIC_KEY>
Endpoint            = mail.example.com:51820
AllowedIPs          = 10.10.0.1/32
PersistentKeepalive = 25

chmod 600 /etc/wireguard/wg0.conf
systemctl enable --now wg-quick@wg0
wg show                                  # "latest handshake" muss aktuell sein
nc -zv -w3 10.10.0.2 25                  # vom Relay: offen
nc -zv -w3 10.10.0.2 22                  # vom Relay: muss scheitern

apt -y install fail2ban

[DEFAULT]
bantime  = 1h
bantime.increment = true
findtime = 10m
maxretry = 5
# nur der Relay selbst und der interne MTA – nicht das ganze Tunnelnetz
ignoreip = 127.0.0.1/8 10.10.0.2/32
backend  = systemd

[sshd]
enabled = true

# Debian: Postfix loggt unter der Unit postfix@-.service
[postfix]
enabled      = true
mode         = aggressive
journalmatch = _SYSTEMD_UNIT=postfix@-.service

[postfix-sasl]
enabled      = true
journalmatch = _SYSTEMD_UNIT=postfix@-.service

systemctl enable --now fail2ban
fail2ban-client status postfix-sasl
# Nach Negativtest T5 (falsches Passwort) muss "Total failed" steigen.
# Bleibt der Zähler bei 0, liest das Jail die falsche Logquelle.

[Journal]
Storage=persistent
MaxRetentionSec=30day
SystemMaxUse=2G

systemctl restart systemd-journald
journalctl --disk-usage

/var/log/mail.log /var/log/mail.err /var/log/mail.warn {
    daily
    rotate 30
    missingok
    notifempty
    compress
    delaycompress
    sharedscripts
    postrotate
        /usr/lib/rsyslog/rsyslog-rotate 2>/dev/null || systemctl kill -s HUP rsyslog.service
    endscript
}

# Queue-Länge
postqueue -j | wc -l
# Alter der ältesten Nachricht in Sekunden
postqueue -j | jq -s 'if length==0 then 0 else (now - (map(.arrival_time)|min)) | floor end'
# Nachrichten pro SASL-Konto in der letzten Stunde: genau eine Zeile
# "<QUEUE-ID>: client=…, sasl_method=…, sasl_username=…" je eingelieferter Nachricht
journalctl -u postfix@- --since "1 hour ago" -o cat \
  | grep -E '^[0-9A-Za-z]+: client=.*, sasl_username=' \
  | grep -o 'sasl_username=[^, ]*' | sort | uniq -c | sort -rn
# Empfänger pro Konto: Zustellzeilen über die Queue-ID dem Konto zuordnen
journalctl -u postfix@- --since "1 hour ago" -o cat | awk '
  /: client=.*sasl_username=/ { id=$1; sub(/:$/,"",id); match($0,/sasl_username=[^, ]*/)
                                user[id]=substr($0,RSTART+14,RLENGTH-14) }
  /: to=.*status=sent/        { id=$1; sub(/:$/,"",id); if (id in user) n[user[id]]++ }
  END { for (u in n) print n[u], u }' | sort -rn

# SASL-Fehlversuche der letzten Stunde
journalctl -u postfix@- --since "1 hour ago" -o cat | grep -c 'SASL .* authentication failed'
# Sekunden seit letztem WireGuard-Handshake
echo $(( $(date +%s) - $(wg show wg0 latest-handshakes | awk '{print $2}') ))
# Zertifikat: Restlaufzeit < 21 Tage?
openssl x509 -checkend $((21*86400)) -noout -in /etc/postfix/tls/mail.example.com/fullchain.cer

#!/usr/bin/env bash
# Aufruf: APP_PASS='…' TEST_RCPT='selftest@eigene-testdomain.example' ./relay-selftest.sh
# Benötigt swaks. TEST_RCPT: eigenes Testpostfach außerhalb von example.com
set -u
: "${APP_PASS:?APP_PASS fehlt}" "${TEST_RCPT:?TEST_RCPT fehlt}"
H=mail.example.com; APP=relay-app; FAIL=0
X=probe@example.net                       # fremde Domain, wird nie erreicht
expect()   { local n=$1 p=$2; shift 2
  if swaks --server "$H" "$@" 2>&1 | grep -Eq -- "$p"; then echo "OK      $n"
  else echo "FEHLER  $n  (erwartet: $p)"; FAIL=1; fi; }
expect_no() { local n=$1 p=$2; shift 2
  if swaks --server "$H" "$@" 2>&1 | grep -Eq -- "$p"; then echo "FEHLER  $n  (unerwartet: $p)"; FAIL=1
  else echo "OK      $n"; fi; }

expect    "T1 kein Open Relay"         'Relay access denied'  --port 25 --from "$X" --to ziel@example.org --quit-after RCPT
expect    "T2 Empfaengerpruefung"      '<\*\* +550'           --port 25 --from "$X" --to gibtsnicht@example.com --quit-after RCPT
expect_no "T3 kein AUTH auf 25"        '250[- ]AUTH'          --port 25 -tls --quit-after EHLO
expect    "T4 587 ohne Login"          '<\*\* +554'           --port 587 -tls --from app1@example.com --to "$X" --quit-after RCPT
expect    "T5 falsches Passwort"       '<\*\* +535'           --port 587 -tls --auth LOGIN --auth-user "$APP" --auth-password falsch --quit-after AUTH
expect_no "T6a kein AUTH ohne TLS"     '250[- ]AUTH'          --port 587 --quit-after EHLO
expect    "T6b kein Versand ohne TLS"  '<\*\* +530'           --port 587 --from app1@example.com --to "$X" --quit-after RCPT
expect    "T7 Envelope-Bindung"        'not owned by user'    --port 587 -tls --auth LOGIN --auth-user "$APP" --auth-password "$APP_PASS" \
                                                              --from info@example.com --to "$X" --quit-after RCPT
expect    "T8 Header-From-Pruefung"    'Header-From nicht'    --port 587 -tls --auth LOGIN --auth-user "$APP" --auth-password "$APP_PASS" \
                                                              --from app1@example.com --to "$TEST_RCPT" --header 'From: chef@example.com'
expect    "T8b nur ein From erlaubt"   '<\*\* +5[0-9][0-9]'      --port 587 -tls --auth LOGIN --auth-user "$APP" --auth-password "$APP_PASS" \
                                                              --from app1@example.com --to "$TEST_RCPT" \
                                                              --header 'From: app1@example.com' --add-header 'From: noreply@example.com'
exit $FAIL

/etc/postfix/                  # main.cf, master.cf, Maps, Header-Checks, postfwd.cf, TLS-Policy
/etc/sasldb2                   # SASL-Konten (Geheimnis)
/etc/opendkim/ /etc/opendkim.conf   # inkl. privater DKIM-Schlüssel (Geheimnis)
/etc/wireguard/                # inkl. privatem Schlüssel (Geheimnis)
/root/.acme.sh/                # ACME-Konto und DNS-Token (Geheimnis)
/etc/ufw/ /etc/sysctl.d/ /etc/ssh/sshd_config.d/ /etc/fail2ban/jail.local
/etc/systemd/journald.conf.d/  /etc/systemd/system/*.d/
# plus: Ausgabe von "postconf -n" und "postconf -M", Paketliste (dpkg --get-selections)

journalctl -u postfix@- --since "10 min ago" | grep -Ei 'warning|error|reject|sasl|tls'
postqueue -p                 # Queue anzeigen
postqueue -f                 # Zustellung anstoßen
# Löschen nur gezielt per Queue-ID (siehe Abschnitt 7), nie pauschal "postsuper -d ALL"