M3AAWG 端口 25 管理最佳实践：七项推荐措施（翻译）

概述

垃圾邮件发送者和其他滥用者常利用病毒和间谍软件控制大量计算机（"僵尸网络"），通过这些受控设备直接发送垃圾邮件。管理网络中设备的邮件发送行为，可以帮助提供商降低运营成本、提升客户满意度，并减少与自身网络相关的互联网滥用行为。

本文基于 M3AAWG 2005 年首次出版、2023 年 8 月更新的 "M3AAWG Best Common Practices for Managing Port 25 for IP Networks" 翻译整理。原文：m3aawg.org/Port25_IPNetworks。

邮件传输威胁与滥用

未经授权的第三方控制的计算机（"僵尸机"）常被用于：

• 将垃圾邮件直接投递到目标 MX 主机
• 利用未保护的开放中继（Open Relay）转发垃圾邮件
• 传播恶意软件载荷
• 在设备所有者不知情的情况下持续发送邮件

不作为的风险

影响对象	具体风险
计算机所有者	性能下降、上行带宽饱和、下行带宽受限
网络服务提供商	客户支持成本上升（一次技术支持电话可能超过一个月的收入）、客户流失、第三方滥用报告费用
网络信誉	持续收到垃圾投诉、整个网络被主流收件方列入黑名单的风险
全局影响	消费者信心下降、所有互联网用户的时间和资源被浪费

推荐的最佳实践：七项措施

M3AAWG 推荐行业自律是最有效的措施，并列出了七项具体实践：

1) 提供端口 465 和 587 邮件提交服务

依据 RFC 6409 和 RFC 8314，提供商应在端口 465（TLS 隐式加密）和 587（STARTTLS 加密）上提供邮件提交服务。

2) 要求邮件提交时进行认证

遵循 RFC 4954，所有通过邮件提交端口发送的邮件必须经过 SMTP 认证。

3) 允许客户主机连接到网络内外部的 465/587 提交服务器

客户无论连接到哪个网络，都应能通过标准提交端口使用邮件服务。

4) 配置邮件客户端使用端口 465 或 587

引导客户端的邮件设置使用经过认证的提交端口，而非默认的 25 端口。

5) 阻止从所有主机（明确允许作为 SMTP 中继的主机除外）访问端口 25

这是核心措施：仅允许授权 SMTP 服务器使用端口 25 接收外部传入邮件。普通客户端主机应被阻止对外建立端口 25 连接。

6) 阻止发往网络的端口 25 入站流量（授权 SMTP 中继除外）

防止非对称路由和源地址欺骗。

7) 确保所有主机仅使用自己的源 IP 地址发送流量

遵循 MANRS（Mutually Agreed Norms for Routing Security）项目实践，防止滥用非对称路由。

采纳的好处

• 运营收益：可追踪消息的发送者身份、过滤垃圾和病毒、监控和限制发送速率、强制执行可接受使用政策
• 竞争优势：邮件送达率提升（被封锁风险降低）、客户支持和 NOC 成本减少、可为需要合法端口 25 访问的客户提供高级服务层
• 安全成果：受感染设备可更快被识别和隔离，最终用户的安全性和隐私得到提升

客户教育

提供商必须向客户沟通威胁和措施。对大多数用户而言，这些更改是透明的——因为他们通常使用 Outlook/Webmail，这些客户端并不使用端口 25。M3AAWG 敦促业界立即采纳这些实践，重获对端口 25 的控制，确保服务安全。

国内场景补充

国内运营商和 IDC 通常已经实施了端口 25 封锁。但在企业自建邮件服务器场景下，合法的端口 25 访问仍需开通。建议在 邮件服务器搭建与选型指南 中将端口管理策略纳入网络架构设计阶段。