何も開けたままにしないリレー

誰が接続できるか

AMG はメールの入口なので、最も難しい問いに最初に答えます。誰が私に接続できるのか。答えは二つの IP アドレスだけで、それ以外はありません。設計の残りの部分は、アプライアンスの寿命を通してこの答えが正しいままであるようにします。

管理策	仕組み
許可するアドレス	設定した二つのアドレスからの直接接続だけを受け付けます。それぞれは数字で書いた IPv4 または IPv6 アドレスで、この欄にホスト名を入れると拒否されます。
DNS も MX も使わない	接続は常にその IP アドレスへ直接向かいます。ホスト名は相手の ID と、その証明書に期待される名前にすぎません。
TLS	既定で必須で、相手の証明書を例外なく検証します。TLS を必須にしない設定や無効化には、明示的な警告と監査される変更が必要です。
相互 TLS と SMTP AUTH	任意で、側ごとに設定します。証明書、鍵、パスワードは、アプライアンスのシークレット保管庫への参照としてのみ保持します。
方向	相手のアドレスだけで決まり、メッセージを変えても変わりません。

未知の相手、両側で同じアドレス、無効な TLS の ID、欠けたシークレット、曖昧な方向、不正な構成は、すべて拒否されます。

領域	保護の方法
メールシステム	root なしで動作し、読み取り専用のファイルシステム、AppArmor、seccomp、削減した権限、リソース制限を備え、アプライアンスの他のソフトウェアから分離されています。
キュー	アプライアンスの暗号化されたデータボリューム（LUKS2、AES-256-XTS）上にあり、RAID によりディスク一台の故障に耐えます。
シークレット	秘密鍵とパスワードが、構成ファイル、ログ、データベース、診断情報、SIEM に入ることはありません。

本文、添付ファイル、件名が、ログ、メトリクス、保存されたメタデータ、SIEM のイベントに現れることはありません。SIEM では、送信者と宛先のアドレスは既定で鍵付きの安定した仮名に置き換えられます。完全に表示するのは、警告と監査記録を伴う明示的な選択です。