Peer Heinlein. Das Postfix-Buch. Sichere Mailserver mit Linux. 2., überarbeitete und erweiterte Auflage

Transkript

1 Peer Heinlein Das Postfix-Buch Sichere Mailserver mit Linux 2., überarbeitete und erweiterte Auflage

2 1 Grundlagen 21 1 Funktionsweise eines Mailservers SMTP und P0P3/IMAP SMTP - die Sprache der Mailserver Relayende" Mailserver Unechtes Relaying Echtes Relaying UUCP-Gateways Weitere Wünsche Fachbegriffe 28 2 Parlez-vous RFC? SMTP richtig sprechen SMTP-Kommandos SMTP-Antworten des Servers Besondere Fähigkeiten des Mailservers Local Mail Transfer Protocol (LMTP) Mailheader richtig lesen und setzen Die Headerfelder im Einzelnen Der Unterschied zwischen Sender: und From: Der Unterschied zwischen To:, CC: und BCC: Dateien und Attachments uudecode/uuencode 46

3 2.3.2 MIME-Attachments Attachments sind hier uninteressant Postfix starten 51 3 Installation und Schnellstart Installation der Programme aus RPM-Paketen Installation fertiger RPMs Postfix finden Besonderheiten der Distibutionen Eigenheiten von SUSE - Start von Postfix Besonderheiten bei Debian woody" (stable) Postfix Schnellkonfiguration Postfix-Variablen Postfix anpassen Die Pfade Läuft Postfix? 66 4 Das modulare Konzept von Postfix Die Erfahrungen mit Sendmail Module müssen her! Die Arbeitsabläufe in Postfix Einlieferung durch SMTP Einlieferung durch lokalen Programmaufruf cleanup schafft Ordnung im Header (n)qmgr regelt den Rest Die eigentliche Zustellung Der Chef des Ganzen Der systematische Überblick 76 5 Tägliche Arbeit: Lookup Tables und Postfix-Tools Von Tabellen und Datentypen Die einzelnen Tabellen im Überblick 82 10

4 5.2.1 aliases-table: Wer bin ich? virtual-table: Mehrere Nutzer in mehreren Domains canonical-table: Ich versteck' mich transport-table: Abweichende Zustellung relocated-table: Empfänger verzogen access-table: Wer darf, wer darf nicht? Die Datenquellen im Überblick DBM - Hash RegExp - das unbekannte Wesen Perl Compatible Regulär Expressions (PCRE) Network Information Service (NIS) MySQL Lightweight Directory Access Protocol (LDAP) proxy: Der Lookup-Table-Proxy Weitere Datenquellen Header-und Body-Checks: Wir filtern die Mail Postfix-Tools: postmap, postconf und postsuper postmap - Herrscher über alle Lookup Tables postconf - Herrscher über alle Parameter postsuper - Herrscher über die Mail-Queue Tricks und Nützliches Das Domain Name System für Mailserver Die Zonen-Einträge für einen Mailserver Beachtenswertes bei der DNS-Konfiguration Mehrere Mailserver für eine Domain? Backup per SMTP-Verbindung Backup per UUCP Spiegelung des Dateisystems Tipps aus der Praxis Logmeldungen undsyslogd inetd (standalone)

5 111 Postfix in der Praxis Unterschiede je nach Einsatzkonzept Betrieb als privater Hom server NAT(Masquerading) Proxies Server Ausgehende s: Postfix SMTP-Relayhost für Postfix EmpfangvonMailsmittelsdyndns.org Wichtige Aspekte bei Port-Forwarding ETRN - Ruf mich zurück! Eingehende s: fetchmail Einsatz im Firmen-LAN Einsatz als High-Traffic-Server P0P3/IMAP und Postfix P0P IMAP Sicherheitshinweise Authenticated Post Office Protocol (APOP) Kerberos Post Office Protocol (KPOP) Tunnelung über SSL/TLS: P0P3s und IMAPs Die unterschiedlichen Systeme Qualcomm: qpopper Courier-IMAP Cyrus P0P3/IMAP Universityof Washington: UW-IMAP Werb s - Spam und UCE Die Geschichte des Spam Adressen bekommen Schutz vor Adressenklau? Die Rechtslage

6 9.3 Der Schaden für den Postmaster Eine Anekdote aus der Praxis Wann ist ein Server ein Open Relay Schutz durch Restrictions Alle Prüfungen auf einen Blick smtpd_client_restrictions smtpd_helo_restrictions smtpd_sender_restrictions smtpd_recipient_restrictions Realtime Blackhole Lists Vorteile Nachteile Probleme bei Backup-Mailservern Tipps aus der Praxis SpamAssassin - der erfolgreiche Killer Anti-Spam-Initiativen abuse.net cauce.org spamcop.net samspade.org Gefälschte Mailheader: Spammer identifizieren Teergruben Sicher Mails relayen SMTP-after-POP Dynamic Relay Authentication Control (DRAC) SMTP-Auth mit Cyrus-SASL SMTP-Auth in Postfix aktivieren Vorsicht bei Einsatz einer DUL! Eine Musterlösung Tipps aus der Praxis Mailinglisten mit Mailman Die Geschichte

7 Usenet-Foren Mailinglisten Lokale Verteilerlisten durch Mailclients Die Lösung: Mailman Installation und Konfiguration Das Mailman Web-Interface Mailman anpassen Notwendige Einträge in der crontab Wichtig: Die Liste mailman anlegen Mailman in Postfix einbinden Das Web-Interface Steuerbefehle per Digests und Archive Verhaltensregeln und spezielle Konfigurationen who: Schutz der Mailadressen Attachments filtern Mailinglisten moderieren / Notmoderation Administrativa - Ein-/Austragung Confirmation Request/ Approval Opt-In/Opt-Out Mehrere Domains mit einem Mailman Eine Mailingliste aller Listenadmins Mailman in deutscher Sprache Postfix tunen - Performance-Überlegungen Hardware-Ausstattung Linux-Optimierung Last-Überwachung Last managen Task-Beschränkungen Timeouts setzen Das Datenbankformat btree

8 12 Fehleranalyse Vorgehensweise und Hilfsmittel Fehlersuche als Admin auf dem Server Fehler bei der Annahme/Abholung von Mails Fehler bei der Bearbeitung und Zustellung von Mails Weitere Fehler (Fern-)Fehlersuche beim Kunden Den Fehler einkreisen: Seien Sie Pessimist Die beliebtesten Fehler Postfix Debug-Modus Rechtliche Aspekte Auskunftsverpflichtungen gegenüber Staatsorganen Strafbarkeit von Mailfiltern auf Servern Nutzungsabsprachen, Mail-Filter und Betriebsrat Haltezeiten und Inhalt der Logfiles Datenschutzbeauftragter AGB: Verfügbarkeitsgarantien, Schadensersatz AGB: Missbrauch und Sperre des Postfachs Gesetzestexte und spezielle Literatur Howto Filtern von s nach Inhalt Benutzerspezifische Einstellungen - Postfix Restriction Classes Individuelle access-tables Unterschiedliche Spam-Politik Ständiges Backup der s Urlaubs-/Abwesenheitsmeldungen Eigene RBL/RHSBL aufsetzen Mail Extensions Logfilesauswerten Einfache Auswertung selbst gemacht pflogsum

9 L Inhaltsverzeichnis mailgraph Eine Statistik für MRTG 312 IV Sicherheit Sicherheit und Überwachung Grundsätzliches Physikalische Sicherheit Stromausfall und unterbrechungsfreie Stromversorgung Blitzschlag und unsauberer Strom Backup-Strategien Linux sicher installieren Geschickte Partitionierung Geschickte Paketauswahl Fernwartung: rlogin, telnet, SSH rlogin, rcp Telnet, FTP SSH, scp root vermeiden Logfile-Analyse: logsurfer Einbruchserkennungssysteme Dateisystemintegrität: aide/tripwire Argus scanlogd Saint und Satan Snort(NIDS) Nessus chroot - Ein Gefängnis für Postfix Was ist chroot genau? Was bringt chroot? Bleiben Sie aktuell: Bugfixesund BugTraq

10 16 Sichere Netztopologie Firewalls Wie Firewalls funktionieren Warum Firewalls notwendig sind ipfwadm, ipchains, iptables Die Firewall Policy Die Charakteristiken der Dienste Ein Beispielskript zum Anpassen Demilitarisierte Zonen und Bastion Hosts Demilitarisierte Zonen (DMZ) Single Homed Bastion Hosts Double Homed Bastion Hosts Postfix in einer DMZ einsetzen DasSMTP-Relay Der innere Mailserver Sicheres Routing Viren und Würmer Funktionsweise von Viren/Würmern/Trojanern Betriebs-und volkswirtschaftliche Schäden AMaViS-A Mail Virus Scanner Funktionsweise von AMaViS Installation eines Virenkillers Installation von amavisd-new und SpamAssassin amavisd-new in Postfix einbinden Tipps aus der Praxis: Performance Sicherheitsrisiko Client Konfiguration der Clients Auswahl der Clients Viren, die keine Viren sind Der Lauscher an der Wand Die Sorglosigkeit im Alltag

11 18.2 Leistungsfähigkeit von Abhöreinrichtungen SSL/TLS - Schutz durch verschlüsselte Verbindungen Key-Generierung mit OpenSSL P0P3s, IMAPsmitstunnel Postfix mit TLS Pretty Good Privacy (PGP) und der GNU Privacy Guard (GNUPG) Geschichte und Technik von PGP DasPublic-/Private-Key-Verfahren PGP-Software und Waffenexport Vorsicht vor PGP 5.x OpenPGP, GNUPG und PGP PGP im Einsatz Weitere Informationen Schutz vor Wirtschafts-und Betriebsspionage 419 V Projekt MySQL-basierter Web-Fre er Pakete installieren Die MySQL-Datenbank Courier-IMAP übersetzen Die Einrichtung von Courier-IMAP Die Anpassungen bei Postfix Die Vollendung des Mailsystems Besonderheiten und wichtige Hinweise Webmailer Schlusswort 445 VI Anhang 447 A Postfix kompilieren 449 A.1 Vorbereitungen 450 A.2 Wie Makefiles erzeugt werden

12 A.3 Wie Quellcode gepatcht wird 455 A.4 Installation und Upgrade 457 B Einen Nameserver einrichten 461 B.1 Das Domain Name System (DNS) 461 B.2 bind - der Nameserver-Dämon 466 B.3 Den Nameserver testen 472 B.4 Tipps zur Fehlersuche 475 B.5 Zusammenfassung 476 C Subnetzmasken 477 D Die Postfix-Referenz