postfwd: install config from files/postfwd, idempotent /etc/default/postfwd handling

- Ship postfwd.cf and list files in files/postfwd; used by install_postfwd.sh
  and install_postfix_advanced.sh (lists only if missing, cf with backup).
- Add update_postfwd_defaults.sh.
- install_amavis.sh: disable smtpd_end_of_data_restrictions on localhost:10025.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

files/postfwd/postfwd.high_rate_hostname

@@ -0,0 +1,45 @@
+# ============================================================
+# Whitelist fuer erhoehtes Rate-Limit (100 Nachrichten/Minute)
+# auf Basis des Client-Hostnamens (Reverse-DNS/PTR-Eintrag),
+# statt der Standard-Grenze von 50/Minute aus RATE_CLIENT_ADDR
+#
+# Format: Perl-Regex pro Zeile (kein Wildcard/Glob!), umschliessende
+#         '/.../' sind optional. Keine Postfix-pcre:-Tabelle.
+#
+# postfwd vergleicht jede Zeile gegen den von Postfix aufgeloesten
+# 'client_name'-Wert (PTR-Eintrag der Client-IP).
+# Leerzeilen und Zeilen, die mit '#' beginnen, werden ignoriert.
+#
+# Example
+#
+#     ^buchsys3\.buchsys\.de$
+#
+#     # buchsys.de
+#     # www.buchsys.de
+#     # mail.buchsys.com
+#     #  buchsys.org
+#     #www.buchsys.co.uk
+#     (^|\.)buchsys\.[a-z0-9.-]+$
+#
+# WICHTIG:
+#  - Diese Regel greift NUR, wenn Reverse-DNS fuer die jeweilige
+#    IP sauber konfiguriert ist und der PTR-Eintrag auf das Muster
+#    passt. Pruefe den tatsaechlichen 'client_name'-Wert vorher in
+#    den postfwd-Logs.
+#  - Ein zu breites Muster (z.B. /buchsys\.de/ ohne Anker) kann auch
+#    unerwuenschte Hosts matchen (z.B. "evil-buchsys.de.attacker.com").
+#    Deshalb immer mit '^' und '$' bzw. '\.' vor der Domain arbeiten.
+#  - Jeder hier gematchte Hostname umgeht das strengere 50er-Limit
+#    und erlaubt bis zu 100 Nachrichten/Minute. Bitte nur Muster
+#    eintragen, denen du tatsaechlich vertraust.
+#  - Benutzer aus postfwd.high-rate-number-messages sind vom
+#    Minutenlimit ohnehin ausgenommen und brauchen hier keinen Eintrag.
+#  - Nach Aenderungen: postfwd -f /etc/postfix/postfwd.cf -C
+#    Danach: systemctl reload postfwd (Dienst heisst postfwd, nicht postfwd2)
+#  - Die Datei wird in postfwd.cf per 'client_name=~file:' eingelesen
+#    (Regel 'SELECT_HIGH_RATE_HOST', Zaehler in 'HIGH_RATE_CLIENT_ADDR').
+#  - Die IP-basierte Auswahl (SELECT_HIGH_RATE_IP) ist zuverlaessiger
+#    und sollte die primaere Loesung sein; diese Hostname-Regel
+#    eignet sich vor allem als Ergaenzung bei wechselnden IPs.
+# ============================================================
+