INFO les barques

MAIL : 5ème Etape - Quotas, Sécurisation

Georges Charpenay — 2008-07-24T14:07:32Z

OPTIMISATION ET SECURISATION DU SERVEUR DE MAIL

MAILDROP - Gestion des Quotas

Nous les avons paramétrés à l'installation de maildrop (Create tables SQL avec colonnes).

Nous allons maintenant utiliser ces tables et créer un message d'alerte générique pour un dépassement de quotas.

cd /etc/

wget http://www.starbridge.org/spip/doc/Procmail/usr/local/courier/etc/quotawarnmsg

chown -R vmail : /etc/quotawarnmsg

chmod 644 /etc/quotawarnmsg

Il faut personnaliser les messages de quotawarnmsg en éditant le fichier.

C'est tout ce que nous avons à faire en plus, d'une manière générale, pour Maildrop, Postfix et Courrier-IMAP.

Pour les petits réglages de quota par utilisateur et autres, pensez à Postfix admin.

Mais, le serveur ne filtre pas encore les virus ou les spams...

Installation d'un Antispam / Antivirus

Un morceau de choix, accrochons-nous !

La technicité de la majorité des spams de nos jours ne respectent pas les règles d'envoi de mail conventionnels et utilisent un HELO incorrect, et souvent un MAILFROM d'un domaine inconnu.

Pour plus d'informations veuillez lire les RFC.

SECURITE ANTISPAM : Blacklist Postfix

Renforçons d'abord Postfix avec des règles pour qu'il soit beaucoup plus restrictif.

Pour cela utilisons les smtpd_recipient_restrictions (Nous ne détaillerons pas les actions précises de chaque règle car la documentation de Postfix est déja très précise sur ce sujet) mais éditons le fichier /etc/postfix/main.cf et remplaçons tout le smtpd_recipient_restrictions par celui ci :

nano /etc/posfix/main.cf
ou winscp v4 ou ultérieure (c'est mieux !)

smtpd_recipient_restrictions = reject_non_fqdn_recipient, reject_unknown_sender_domain, reject_non_fqdn_sender, reject_unknown_recipient_domain, reject_invalid_helo_hostname, reject_unlisted_recipient, reject_unlisted_sender, permit_mynetworks, permit_sasl_authenticated, reject_non_fqdn_helo_hostname, reject_unauth_destination, check_client_access hash:/etc/postfix/internal_networks, check_sender_access hash:/etc/postfix/not_our_domain_as_sender, check_helo_access proxy:mysql:/etc/postfix/mysql-hello.cf, check_sender_access proxy:mysql:/etc/postfix/mysql-sender.cf, check_client_access proxy:mysql:/etc/postfix/mysql-client.cf, reject_rbl_client list.dsbl.org, reject_rbl_client zen.spamhaus.org, permit

Dans ce fichier, nous avons paramétré des RBL (Blacklists) qui vont filtrer efficacement les mails.

Il existe énormément de RBL qui peuvent rendre le filtrage encore plus restrictif, mais nous nous limiterons qu'aux (RBL) officielles et professionnelles. L'ajout sauvage de blacklist non-officielles peut amener à supprimer des mails sains.

Il vaut mieux gérer les RBL supplémentaires au travers d'une Policy Service de Postfix qui permettra plus de souplesse. (voir doc Postfix).

Spam ASSASSIN, dont nous allons décrire l'installation ultérieurement, gère lui aussi des RBL propres.

Ne fermez pas main.cf, il y a encore des modifications...!

SECURITE ANTISPAM : Vérification des mails

Il nous faut limiter les possibilités de forging des expéditeurs en vérifiant les MAIL FROM (adresses expéditrices).

Nous sommes toujours dans le fichier main.cf et nous nous plaçons au dessus du bloc smtpd_recipient_restrictions = , pour insérer :

smtpd_sender_restrictions = reject_authenticated_sender_login_mismatch smtpd_reject_unlisted_sender = yes smtpd_restriction_classes = has_our_domain_as_sender has_our_domain_as_sender = check_sender_access hash:/etc/postfix/our_domain_as_sender, reject

Cela nous permettra d'empêcher les utilisateurs de mettre une autre adresse dans le MAIL FROM et seront ainsi obliger de passer par le domaine @mondomaine.com.(toutes les adresses d'expéditeurs devront appartenir au(x) domaine(s)).

Quittez et sauvegardez le main.cf. Mais nous y reviendrons plus tard..

Il s'agit ensuite de dire au serveur de vérifier que les mails envoyés appartiennent bien au réseau :

Il faut maintenant créer les fichiers suivants :

- /etc/postfix/internal_networks

en faisant ainsi :

cd /etc/postfix/

wget http://www.starbridge.org/spip/doc/Procmail/postfix/internal_networks

Editons le fichier et spécifions y notre réseau local et son adresse publique :

nano /etc/postfix/internal_networks

Le contenu du fichier doit ressembler à celà, au final :

192.22.1 has_our_domain_as_sender 88.120.55.485 has_our_domain_as_sender

Ces lignes permettent de spécifier les plages IP de votre réseau, ainsi que l'ip publique (exemple) qui seront autorisées à envoyer un mail avec votre (vos) domaines dans le MAIL FROM.

Cela permet également de préciser les IP autorisées à envoyer un mail en se présentant avec notre HELO.

Nous bloquerons ainsi les clients SMTP extérieurs qui pourraient se présenter avec un HELO qui est le notre (HAM) (spoofing).

Il faut, dans cette même étape, créer les fichiers qui vont appeler les tables SQL :

cd /etc/postfix/

wget http://www.starbridge.org/spip/doc/Procmail/postfix/mysql-hello.cf

wget http://www.starbridge.org/spip/doc/Procmail/postfix/mysql-
sender.cf

wget http://www.starbridge.org/spip/doc/Procmail/postfix/mysql-client.cf

wget http://www.starbridge.org/spip/doc/Procmail/postfix/our_domain_as_sender

wget http://www.starbridge.org/spip/doc/Procmail/postfix/not_our_domain_as_sender

Pour les deux commandes suivantes, attention à remplacer le mot de passe avant de valider..

sed -i 's/toto/Mot_De_Passe_Postfix/g' mysql-hello.cf mysql-sender.cf mysql-client.cf

sed -i 's/starbridge.org/MonDomaine.com/g' our_domain_as_sender not_our_domain_as_sender

Pour info voici les fonctions de ces derniers téléchargements :

/etc/postfix/mysql-hello.cf : Cette table SQL listera les HELO de nos domaines email.

/etc/postfix/mysql-sender.cf : Il sert à blacklister ou whitelister les MAILFROM, c'est à dire les expéditeurs, selon leur adresse email externe ou limitées au domaine précisé.

/etc/postfix/mysql-client.cf : Il sert à blacklister ou whitelister les clients par leur connection (ip/domaine).

/etc/postfix/our_domain_as_sender : Il sert à spécifier les domaines autorisés comme MAIL FROM pour les users internes authentifiés par leur IP (les clients en local peuvent envoyer un email local sans s'authentifier dans notre configuration)

/etc/postfix/not_our_domain_as_sender : Il sert à spécifier les domaines refusés comme MAIL FROM pour les users externes non authentifiés (c'est à dire une personne extérieure qui nous envoit un mail). Si cette personne spécifie un de nos domaines en MAIL FROM, le message sera refusé (antispoofing)

Nous" postmappons" (déclarons à Postfix d'utiliser..) les fichiers suivants que nous venons de créer :

postmap /etc/postfix/internal_networks

postmap /etc/postfix/our_domain_as_sender

postmap /etc/postfix/not_our_domain_as_sender

Nous sécurisons les fichiers de lookup :

chown -R root:postfix /etc/postfix/mysql-*

chmod 640 /etc/postfix/mysql-*

Créons les tables (pour importer les fichiers ci-dessus) :

wget http://www.starbridge.org/spip/doc/Procmail/postfix/postfix_access.sql

Puis la commande sed (avec changement de domaine manuel)

sed -i 's/starbridge.org/MonDomaine.com/g' postfix_access.sql

mysql -u root -p < postfix_access.sql

... avec le mot de passe de root de mysql....

Et enfin, relançons postfix :

postfix reload

Vérification de la validité des mails

Postfix peut vérifier les mails entrants très simplement en analysant le header, le body et le type mime des pièces jointes.

Ce type de blocage est très efficace, plus rapide que de laisser faire Amavisd ou SA, mais manque de souplesse.

Il s'avère cependant très efficace pour bloquer par types de fichiers sans que le mail ne soit envoyé au serveur, puis traité (économie de bande passante et de CPU).

Cependant une trop grande quantité de règles et un fort trafic aurait l'effet inverse sur les performances.

Nous allons créer les fichiers nécessaires pour activer cette fonction.

cd /etc/postfix/

wget http://www.starbridge.org/spip/doc/Procmail/postfix/body_checks.cf

wget http://www.starbridge.org/spip/doc/Procmail/postfix/header_checks.cf

wget http://www.starbridge.org/spip/doc/Procmail/postfix/mime_headers_checks.cf

Editons ensuite le fichier /etc/postfix/main.cf et ajoutons ces lignes :

header_checks = regexp:/etc/postfix/header_checks.cf body_checks = regexp:/etc/postfix/body_checks.cf mime_header_checks = regexp:/etc/postfix/mime_headers_checks.cf

Il suffit maintenant de relancer postfix :

postfix reload

Voila maintenant notre serveur mail est prêt à accueillir un Antispam et un Antivirus efficace.

Cool, vous pouvez bien prendre un café, car vous l'avez bien mérité !

MAIL : 3ème Etape - Installation de Maildrop

Georges Charpenay — 2008-07-24T08:28:05Z

Nous avons besoin d'un MDA (mail delivery agent) pour livrer les mails dans les boîtes.

Le service de livraison Virtual de Postfix ne convient pas totalement pour notre usage.

En effet nous allons avoir besoin de capacité de filtrage sur le MDA ainsi que la possibilité de gérer les quotas, ce qu'il ne sait pas faire en Virtual.

Procmail est très bien pour le filtrage, mais ne supporte pas les users/domaines virtuels car il ne sait pas communiquer avec une base de données.

Une méthode répandue pour les quotas est l'application du patch VDA sur Postfix, option que nous ne choisirons pas pour des raisons de fiabilité.

La solution Maildrop réponds, elle, à nos besoins.

Maildrop s'occupera donc de la livraison des mails dans les /home/virtual.

MAILDROP - Installation

Nous installons maildrop :

apt-get install maildrop

Nous appliquons les permissions correctement en mettant comme utilisateur VMAIL sur les exécutables et sur /var/run/courier/authdaemaon :

chown vmail : /usr/bin/maildrop

chown vmail:daemon /var/run/courier/authdaemon/

chmod 750 /var/run/courier/authdaemon/

On vérifie si maildrop est correctement installé (modules activés) :

/usr/bin/maildrop -v

qui doit nous renvoyer :

maildrop 2.0.4 Copyright 1998-2005 Double Precision, Inc. Courier Authentication Library extension enabled. Maildir quota extension enabled. This program is distributed under the terms of the GNU General Public License. See COPYING for additional information.

On voit que l'authentification est activée, ainsi que la gestion des quotas que nous configurerons plus tard.

MAILDROP - Configuration

Nous éditons le fichier /etc/courier/authdaemonrc pour remplacer authmodulelist="authpam" par authmodulelist="authpam authmysql", comme décrit dans le cadre suivant (un petit copier-coller d'un coup fonctionne) :

cd /etc/courier mv authdaemonrc authdaemonrc-orig wget http://www.starbridge.org/spip/doc/Procmail/courier/authdaemonrc chown daemon: authdaemonrc chmod 660 authdaemonrc

Nous exécutons ensuite les commandes suivantes pour créer le fichier authmysqlrc (toto étant votre mot de passe) :

cd /etc/courier mv authmysqlrc authmysqlrc-orig wget http://www.starbridge.org/spip/doc/Procmail/courier/authmysqlrc chown daemon: authmysqlrc chmod 640 authmysqlrc

Puis lancer la commande suivante en ayant préalablement remplacé "toto" par votre mot de passe postfix que vous avez déjà défini.

sed -i 's/*****/toto/g' authmysqlrc

(Toujours la commande sed pour modifier les fichiers par lots).

Note : Il faut faire très attention à la syntaxe de ce fichier (/etc/courrier/authmysqlrc) et bien mettre un tab (tabulation) entre le paramètre et sa valeur. Il ne doit y avoir aucun espace à la fin d'un paramètre. La moindre erreur entraînera le non-fonctionnement de l'authentification. C'est pour cela que le fichier est directement fourni ici et ne nécessite donc aucune modification autre que celle du mot de passe de notre base.

Maildrop est appelé par Postfix au moment de la livraison du mail. Pour que Postfix utilise Maildrop, nous ajoutons au fichier/etc/postfix/main.cf en fin de fichier :

nano /etc/postfix/main.cf

virtual_transport = maildrop maildrop_destination_recipient_limit = 1

et au fichier /etc/postfix/master.cf

nano /etc/postfix/master.cf

(on efface les lignes maildrop existantes (qu'une instruction) et on les remplace par celles ci) :

maildrop unix - n n - - pipe flags=DRhu user=vmail argv=/usr/bin/maildrop -w 90 -d ${user}@${nexthop} ${extension} ${recipient} ${user} ${nexthop} ${sender}

Ensuite, il faut créer le fichier /home/virtual/.mailfilter pour activer les logs et la création automatique des maildir à la livraison (postfix ne sait pas le faire comme avec le transport par défaut "virtual", car ce n'est pas lui qui livre directement dans les répertoires et il faut dire à maildrop, de venir livrer les mails dans /home/virtual) :

nano /home/virtual/.mailfilter (fichier vide au départ)

Et nous le remplissons avec :

logfile "/home/virtual/.maildrop.log" <code class='spip_code spip_code_inline' dir='ltr'>[ -d $DEFAULT ] || (maildirmake $DEFAULT && maildirmake -f Spam $DEFAULT && maildirmake -f Sent $DEFAULT && maildirmake -f SpamToLearn $DEFAULT && maildirmake -f SpamFalse $DEFAULT)</code> <code class='spip_code spip_code_inline' dir='ltr'>test -r $HOME/$DEFAULT.mailfilter</code> if( $RETURNCODE == 0 ) { log "(==) Including $HOME/$DEFAULT.mailfilter" exception { include $HOME/$DEFAULT.mailfilter } }

Enfin, il faut sécuriser le fichier.mailfilter :

chown vmail : /home/virtual/.mailfilter

chmod 600 /home/virtual/.mailfilter

Nous redémarrons le processus d'authentification et Postfix :

/etc/init.d/courier-authdaemon restart

/etc/init.d/postfix restart

MAILDROP - Test de la configuration

Nous testons cette configuration de base avec la commande :

authtest user@mondomaine.com

Qui nous donne :

Authentication succeeded. Authenticated: user@MonDomaine.com (uid 20001, gid 20001) Home Directory: /home/virtual Maildir: user@MonDomaine.com/ Quota: 0S Encrypted Password: $1$caea3837$gPafod/Do/8Jj5M9HehhM. Cleartext Password: (none) Options: (none)

Note : En cas d'erreur, il est fort probable que le fichier authmysqlrc soit en cause.

Regarder les logs :

tail -f /var/log/mail.log

Ensuite nous tapons la commande :

/usr/bin/maildrop -V 7 -d user@mondomaine.com

qui devrait nous répondre les termes suivants, montrant que le mail est bien livré à /home/virtual :

maildrop: authlib: groupid=20001 maildrop: authlib: userid=20001 maildrop: authlib: logname=user@mondomaine.com, home=/home/virtual, mail=user@MonDomaine.com/ maildrop: Changing to /home/virtual

CTRL+C pour sortir du fichier.

Nous allons ensuite tester l'envoi de mail à user@mondomaine.com :

mail user@mondomaine.com

Remplir tous les champs avec des informations vraies ou fausses cela est votre choix et terminer votre mail en tapant un point (.) sur une seul ligne.

On regarde les logs pour les erreurs :

tail -f /var/log/mail.log

Si tout a fonctionné on devrait trouver dans une ligne, vers la fin :

...status=sent (delivered ...) ...

Nous allons ensuite tester le port 25 (SMTP) du serveur mail avec telnet :

apt-get install telnet

Puis nous testons avec la commande suivante :

---> telnet localhost 25 220 [127.0.0.1] ESMTP Postfix ---> HELO localhost 250 [127.0.0.1] ---> MAIL FROM: <> 250 2.1.0 Sender OK ---> RCPT TO: <user@MonDomaine.com> 250 2.1.5 OK ---> DATA 354 End data with <CR><LF>.<CR><LF> ---> . 250 2.0.0 Ok: queued as 079474CE44 ---> QUIT 221 2.0.0 Bye Connection closed by foreign host

On regarde les logs pour vérifier.

MAILDROP - Filtre Message

Le fichier /home/virtual/.mailfilter que nous avons créé plus haut est commun à tous les comptes et sera appliqué à chaque mail. Si nous voulions appliquer des règles spécifiques à un utilisateur, il nous suffirait de créer un autre fichier .mailfilter dans le répertoire de l'utilisateur.
Nous pourrions par exemple rediriger des emails dans des répertoires spécifiques de cette façon.

Par exemple, pour que temporairement, les mails de Pierre arrivent à Paul, pendant que Pierre est en vacances.
Par exemple, je ne veux plus voir les mails provenant de Jacques.

Exemple de fichier .mailfilter personnel :

#elimine les messages en provenance de l'adresse ci-dessous if( \ /^From: .*actu@b\.linternaute\.com/:h \ ) exception { to "/dev/null" } ##### annonces ##### if( \ /^From: .*alerte@avendrealouer\.fr/:h \ || /^From: .*mailing_pap@pap\.fr/:h \ || /^Sender: .*alertemail@pap\.fr/:h \ ) exception { to "${DEFAULT}/.annonces/" }

Note : Pour éviter que l'administrateur postfix ait à créer manuellement toutes ces règles de gestion de mail, nous utiliserons eGroupware qui permettra à chaque utilisateur de gérer ses propres filtres.

Bien sûr nous devons appliquer les mêmes droits que pour le fichier .mailfilter général à ces fichiers personnels si nous les créons manuellement :

chown vmail: /home/virtual/user@MonDomaine.com/.mailfilter chmod 600 /home/virtual/user@MonDomaine.com/.mailfilter

Vous êtes excellent ! Votre MDA est installé.

A ce stade, votre SMTP et votre MDA sur actifs sur le serveur Mail.

Votre serveur sait livrer correctement les mails qu'il reçoit (les ranger dans le bon dossier quand il les reçoit), il sait les envoyer (smtp), la partie serveur (host) est faite.

Cependant, le client ne peut pas encore communiquer avec le serveur pour visualiser ses mails (à part d'aller sur la console).

Nous allons dans l'article suivant installer Courrier-IMAP.