不留任何敞口的中继

谁可以连接

AMG 是邮件的入口，所以它首先回答最难的问题：谁可以连接我？答案是两个 IP 地址，别无其他，而设计的其余部分会在设备的整个生命周期中让这个答案始终成立。

控制	如何运作
允许的地址	只接受来自两个已配置地址的直接连接。每个都必须是数字形式的 IPv4 或 IPv6 地址；在该字段中填写主机名会被拒绝。
不用 DNS，不用 MX	连接始终直接指向这个 IP 地址。主机名只是对端的身份，以及其证书中应出现的名称。
TLS	默认必须启用，对端证书一律验证，没有例外。改为机会式或关闭需要明确的警告和经审计的变更。
双向 TLS 和 SMTP AUTH	可选，按每一侧设置。证书、密钥和密码只以指向设备密钥库的引用形式保存。
方向	只由对端地址决定；修改邮件无法改变它。

未知的对端、两侧相同的地址、无效的 TLS 身份、缺失的密钥、含糊的方向或格式错误的配置，都会被拒绝。

方面	如何保护
邮件系统	以无 root 方式运行，只读根目录，配有 AppArmor、seccomp，去除多余权限并限制资源，与设备的其他软件相互隔离。
队列	位于设备加密的数据卷上（LUKS2，AES-256-XTS）；RAID 可容忍一块硬盘故障。
密钥	私钥和密码从不进入配置文件、日志、数据库、诊断信息或 SIEM。

正文、附件和主题从不出现在日志、指标、存储的元数据或 SIEM 事件中。在 SIEM 中，发件人和收件人地址默认替换为稳定的、基于密钥的假名；完整显示它们需要明确选择，并伴有警告和审计记录。