 |
|
|
|
Эффективная почтовая система на базе Exim
Эффективная почтовая система на базе Exim Статья рассматривает создание почтовой системы с использованием Exim MTA версии 4, Exiscan, SpamAssassin, Dr.Web; системы, защищенной от спама и вирусов, рассчитанную на большое количество пользователей (сотни пользователей), а также имеющую удобную конфигурацию в одном файле. В нашем примере в качестве ОС выбрана FreeBSD 4, но не будет никакой разницы в установке для любой другой ОС семейства UNIX. Почему Exim? Exim MTA (message transfer agent) является широкофункциональной и высоко-защищенной почтовой системой. Несмотря на монолитность программного кода (все блоки находятся в одном процессе), за всю ее историю не было обнаружено ни одной серьезной уязвимости, допускающей несанкционированный доступ к серверу, на котором она работает. Программа распространяется по лицензии GNU, автор – доктор Philip Hazel, The University of Cambridge. Официальный сайт Exim – http://www.exim.org. Последней версией на текущий момент является 4.20, но мы рассмотрим пример на 4.12, как проверенный автором статьи. Exim умеет брать пользователей из любого источника – MySQL, OpenLDAP, UNIX и т. д. Вся конфигурация находится в одном файле и разбита на практически автономные секции, что дает особые удобства и возможности при работе с ней. Среди разделов конфигурации:
Плюс разделы задания правил попыток пересылки (retry) и аутентификации. Благодаря существованию Exiscan, Exim нам поможет проверять проходящую через него почту на наличие вирусов, спама и других «почтовых дефектов» еще на этапе SMTP-сессии – это будет происходить по завершению команды DATA, в момент, когда удаленный почтовый сервер ждет реакции от Exim. При обнаружении «дефекта» Exim сразу же откажет в получении письма и, таким образом, ненужное письмо даже не успеет попасть в почтовую очередь (что спасает место на жестких дисках и нервы администратору). Компоненты Помимо самого Exim 4.12 в предложенной схеме будут использоваться:
Собираем Exim Скачиваем Exim 4.12 и exiscan 4.12-26 с официальных сайтов, указанных в предыдущем разделе. Распаковываем exiscan в папку с распакованным Exim. bash-2.05a$ wget ftp://ftp.csx.cam.ac.uk/pub/software/email/exim/exim4/exim-4.12.tar.gz bash-2.05a$ tar xzf exim-4.12.tar.gz bash-2.05a$ cd exim-4.12 bash-2.05a$ wget http://duncanthrax.net/exiscan/exiscan-4.12-26.tar.gz bash-2.05a$ tar xzf exiscan-4.12-26.tar.gz Применяем патч: bash-2.05a$ patch -l -p1 < exiscan-4.12-26.patch Копируем дефолтный файл сборки: bash-2.05a$ cp src/EDITME Local/Makefile Редактируем Local/Makefile под свои нужды. Обращаем внимание на поля:
Пути:
Маршрутизаторы почты:
Лучше на все поставить «yes», чтобы потом не пересобирать, если что-то понадобится. Транспорты:
Также на все поставить «yes», чтобы опять же не пересобирать в будущем. Поиск пользователей:
SMTP-аутентификаторы:
Выбираем нужные. Теперь в корне дистрибутива Exim набираем: bash-2.05a$ make bash-2.05a$ make install Все, Exim установлен в /usr/exim/bin. Теперь делаем: bash-2.05a$ rm -f /usr/sbin/sendmail bash-2.05a$ ln -s /usr/exim/bin/exim /usr/sbin/sendmail bash-2.05a$ sendmail -bd Проверяем работу нашего MTA: bash-2.05a$ telnet 0 25
220 ourmail.duster.ru ESMTP Exim 4.12 Thu, 17 Jul 2003 16:09:30 +0700 Отлично, наш быстрый и удобный почтовый сервер установлен. Собираем и конфигурируем SpamAssassin Убийца спама (такой дословный перевод SpamAssassin) собирается очень просто: bash-2.05a$ wget http://www.mirror.ac.uk/sites/spamassassin.taint.org/spamassassin.org/released/Mail-SpamAssassin-2.50.tar.gz bash-2.05a$ tar xzf Mail-SpamAssassin-2.50.tar.gz bash-2.05a$ cd Mail-SpamAssassin-2.50 bash-2.05a$ ./configure bash-2.05a$ make bash-2.05a$ su su-2.05a# make install Обращаем внимание на то, что ему потребуются некоторые Perl-модули, которые вы всегда можете найти в архиве CPAN (http://www.cpan.org). Рекомендую сразу перейти в папку /etc/mail/assassin и внести некоторые изменения в файлы конфигурации. Создадим файл local.cf, куда внесем следующие строки: whitelist_from *@duster.ru whitelist_from *@demos.su Это домены, с которых любая почта не будет считаться спамом. Обязательно пропишите здесь ваших партнеров, дружественные домены и так далее – иначе в будущем возможны проблемы... Теперь создадим файл user_prefs.template, куда внесем следующие строки: score BODY_8BITS 0 score SUBJ_FULL_OF_8BITS 0 score HEADER_8BITS 0 score HTML_COMMENT_8BITS 0 Нам незачем за 8-битные символы считать письмо спамом – ведь как ни странно, многие в России до сих пор составляют электронную корреспонденцию на русском. В целях безопасности следует завести дополнительного пользователя, допустим spamd. По умолчанию процессом SpamAssassin используется порт 783, но так как мы будем пускать его не под супер-пользователем, следует взять порт выше 1023, к примеру 1783. Запускаем SpamAssasin в фоновом режиме: su-2.05a# /usr/bin/spamd -d -p 1783 -u spamd Полный набор ключей вы можете узнать, запустив: su-2.05a# /usr/bin/spamd -h Собираем Dr.Web Скачиваем и распаковываем Dr.Web с официального ftp-сайта: bash-2.05a$ wget ftp://ftp.drweb.ru/pub/unix/4.29.5/drweb-4.29.5-freebsd4.tar.gz bash-2.05a$ tar xzf drweb-4.29.5-freebsd4.tar.gz bash-2.05a$ cd drweb-4.29.5-freebsd4 bash-2.05a$ su su-2.05a# ./install.sh Enter destination directory (/opt/drweb is default): /usr/local/drweb После чего Dr.Web будет установлен в папку /usr/local/drweb. В работе нам помимо сервера Dr.Web (drwebd) потребуется клиент из папки /usr/local/drweb/clients/drwebdc. Конфигурация Dr.Web находится в файле drweb32.ini. Обратим внимание на следующие поля:
Пути к файлу с движком Dr.Web, вирусным базам и папке с инфицированными файлами соответственно. Ме-нять на свой вкус. Не забывайте лишь дать права созданному пользователю на запись в папку с инфицированными файлами. su-2.05a# chown drweb.wheel /usr/local/drweb su-2.05a# chmod 550 /usr/local/drweb su-2.05a# chmod 750 /usr/local/drweb/infected.!!! Сам сервер запускается очень просто: bash-2.05a$ /usr/local/drweb/drwebd Это следует прописать в файл запуска (/etc/rc.local для FreeBSD). Обновленные антивирусные базы следует класть в эту же папку, с дистрибутивом Dr.Web идет скрипт для автоматического обновления – update.pl. Его следует прописать в cron, для этого: su-2.05a# crontab -u root -e Вставляем следующую строку: 0 2 * * * /usr/local/drweb/update/update.pl /usr/local/drweb/ Запуск в 02:00 каждый день, параметр, переданный скрипту – это путь к антивирусным базам. Конфигурируем Exim Теперь подробно рассмотрим файл конфигурации /usr/exim/configure. Каждая секция, кроме главной, в файле конфигурации начинается со строки «begin <имя секции>». Main section
ACL section Оставляем как есть, если у кого-то есть желание – можно добавить функцию callout. Для этого в строках verify = sender и verify = recipient добавляем /callout, то есть получаем строку типа verify = recipient/callout. Таким образом, наш сервер во время проверки адресов отправителя и получателя будет создавать SMTP-сессию с сервером, отвечающим за соответствующий домен отправителя или получателя, и проверять – существует ли там указанный пользователь. В таком случае письма с несуществующих адресов не будут проходить, но это скажется на времени работы почтового сервера. Routers section Оставляем как есть, лишь добавляя по надобности дополнительные маршрутизаторы почты сверху секции. Пример: friends: driver = manualroute transport = remote_smtp route_list = friends.ru mx.friends.ru Это явное задание маршрутизации почты friends.ru на сервер mx.friends.ru, стоит на нем MX или нет – роли не играет. Transports section Оставляем как есть. Retry section Оставляем как есть. Rewrite section Перезапись адресов в заголовках осуществляется по примеру: *@friends.ru postmaster@ourmail.duster.ru E Сначала пишем, что менять, затем – на что. Флажок E означает, что изменится только адрес в рабочем заголовке, поля To: и From: останутся неизмененными. Authenticators section Здесь задаются правила аутентификации, чтобы наш SMTP-сервер могли использовать только по паролю. Необходимость обычно существует только для систем бесплатной почты и компаний, которые хотят, чтобы их сотрудники могли использовать корпоративный SMTP-сервер из любой точки планеты. Пример для фиксированного (единственного для всех) пароля: fixed_login_oe: driver = plaintext public_name = LOGIN server_prompts = "Username:: : Password::" server_condition = ${if and {{eq{$1}{user}}{eq{$2}{password}}}{yes}{no}} server_set_id = $1 Данный пример (LOGIN-механизм) работает для клиентов Outlook Express. Для Netscape Messanger следует использовать следующую конфигурацию: fixed_login_ns: driver = plaintest public_name = PLAIN server_condition = ${if and {{eq{$1}{user}}{eq{$2}{password}}}{yes}{no}} server_set_id = $1 Происходит примитивное сравнение указанных почтовым клиентом имени и пароля с нашими «user» и «password» (см. server_condition). По умолчанию все клиенты должны пройти аутентификацию, если мы прописали хоть один метод в этом разделе. Но лучше бы убрать ее для локальных пользователей, для этого добавим в основной раздел (в Main section) следующую строку: auth_advertise_hosts = !192.168.0.0/16 Финиш Все, мы у финиша – получили быстрое и техничное почтовое решение с анализом на наличие вирусов, спама и прочих «дефектов» в нашей корреспонденции! Автором статьи протестирована связка Exim с базами MySQL и OpenLDAP – работает превосходно. Скорость доставки – на грани фантастики! Лог-файлы хранятся по умолчанию в папке /var/mail/log.
Статистику можно смотреть утилиткой eximstats: bash-2.05a$ /usr/exim/bin/eximstats -nr /var/mail/log/mainlog
Удачи всем постмастерам! |
ДЕНИС МЫСЕНКО
Комментарии отсутствуют
| Добавить комментарий |
|
Комментарии могут оставлять только зарегистрированные пользователи |
|
