Copyright (C) Open Source Press

Transkript

1 Peer Heinlein Das Postfix Buch Sichere Mailserver mit Linux 3., aktualisierte und erweiterte Auflage

2 I Grundlagen 27 1 Funktionsweise eines Mailservers SMTP und POP3/IMAP SMTP die Sprache der Mailserver Virtuelle Mailadressen Relayende Mailserver UUCP-Gateways Weitere Wünsche Fachbegriffe Parlez-vous RFC? SMTP richtig sprechen SMTP-Kommandos SMTP-Antworten des Servers Enhanced Status Notifications (ESN) Delivery Status Notifications (DSN) Local Mail Transfer Protocol (LMTP) Mailheader richtig lesen und setzen Die Headerfelder im Einzelnen Der Unterschied zwischenë Ò Ö und ÖÓÑ Der Unterschied zwischenìó, und s und Zeichensätze Die Zeichensatzdefinition im Mailheader Headerzeilen dürfen nur 7-Bit-Zeichen haben!

3 2.7.1ÙÙ Ó /ÙÙ ÒÓ Dateien und Attachments MIME-Attachments Attachments sind hier uninteressant II Postfix starten 63 3 Installation und Schnellstart Installation der Programme aus fertigen Paketen Postfix finden Besonderheiten und Unterschiede der Distibutionen Eigenheiten von SUSE Start von Postfix Besonderheiten bei Debian Besonderheiten bei Ubuntu Die Postfix Grundkonfiguration Postfix-Variablen Vorsicht: Doppelte Variablen in derñ Òº Postfix anpassen Die Pfade Ó Ø ÓÙÒ : Sicher 3.4 Läuft Postfix? Konfigurationsänderungen vornehmen 89 4 Das modulare Konzept von Postfix Die Erfahrungen mit Sendmail Module müssen her! Die Arbeitsabläufe in Postfix Einlieferung durch SMTP Einlieferung durch lokalen Programmaufruf Ð ÒÙÔundØÖ Ú Ð¹Ö ÛÖ Ø sorgen für Ordnung im Header Rest ÒµÕÑ Öregelt den Die eigentliche Zustellung Der Chef des Ganzen und seineñ Ø Öº Details derñ Ø Öº. 10

4 4.5 Der systematische Überblick Tägliche Arbeit: Lookup Tables und Postfix-Tools Von Tabellen und Datentypen ÔÓ ØÑ Ôkümmert sich um und ØÖ oder ØÖ? Ð : Wer Reload, Restart oder gar nichts? Die einzelnen Tabellen im Überblick bin ich? Ú ÖØÙ Ð: Weiterleitungen und virtuelle Mailadressen ÒÓÒ Ð-Tabelle: Ich versteck mich Ò Ö -Tabelle: Umschreibung bei ausgehenden E- Mails ØÖ Ò ÔÓÖØ-Tabelle: Abweichende Zustellung Ö ÐÓ Ø -Tabelle: Empfänger verzogen Tabelle: Wer darf, wer darf nicht? Header-, Body- und MIME-Checks: Mail filtern Die Datenquellen im Überblick Lokale Dateien: DBM mit und ØÖ Wenn es um Subnetze geht: Ö RegExp das unbekannte Wesen Perl Compatible Regular Expressions (PCRE) Network Information Service (NIS) MySQL Lightweight Directory Access Protocol (LDAP) proxy: Der Lookup-Table-Proxy Weitere Datenquellen ÔÓ ØÑ Ô Herrscher 5.4.2ÔÓ ØÓÒ Herrscher 5.4.3ÔÓ Ø ÙÔ Ö Herrscher 5.4.4ÔÓ ØÕÙ Ù Herrscher 5.4.5ÔÓ Ø Ø Mails 5.4.6ÔÓ Ø Ü The 5.4 Die weiteren Tools über alle Lookup Tables über alle Parameter über die s über die Mail-Queue aus der Queue lesen master himself

5 6 DNS-Einträge und redundanter Mailempfang Das Domain Name System (DNS) für Mailserver Die Zonen-Einträge für einen Mailserver Beachtenswertes bei der DNS-Konfiguration Mehrere Mailserver für eine Domain? Backup über Store-and-Forward Mailrouting am MX-10 vorbei Gemeinsam genutzte Dateisysteme Tipps aus der Praxis Fehleranalyse Vorgehensweise und Hilfsmittel Fehlersuche als Admin auf dem Server Fehler bei der Annahme/Abholung von Mails Fehler bei der Bearbeitung und Zustellung von Mails Weitere Fehler (Fern-)Fehlersuche beim Kunden Den Fehler einkreisen: Seien Sie Pessimist Die beliebtesten Fehler Postfix Debug-Modus Logfile-Debugging einzelner Verbindungen Logfile-Debugging einzelner Module Echtes Debugging III Postfix im praktischen Einsatz Die Restrictions das Hirn von Postfix Schutz durch Restrictions So werden Restrictions durchlaufen Der Blinddarm von Postfix Der Einstieg am lebenden Beispiel Alle Prüfungen auf einen Blick Endgültige Entscheidungen Relaying erlauben oder verbieten

6 8.2.3 White- und Blacklisting Anforderungen an Mailadressen Anforderung an den HELO und Client-DNS Protokollverstöße Debugging und andere besondere Parameter Verisign: Der Müllplatz der Geschichte Weitere Prüfungen außerhalb der Restrictions Postfix will kein Open Relay sein Verstehen Sie die Restrictions! Schreiben Sie sich welche! Aufgabenstellung Die Vorgehensweise Wenn Sie glauben fertig zu sein Backup MX 20 oder: Das Insel-Problem Do and Don t Eine Musterlösung Zu unflexibel? Ein allerletzter Tipp Wenn s komplizierter wird: Postfix Policy Delegation Das Policy Delegation Protocol Greylisting So funktioniert Greylisting Wollen Spammer überhaupt Greylisting überleben? Spammer haben es bereits getestet s dürfen nicht verzögert werden! ÔÓ Ø Ö Ýinstallieren Greylisting ist ein hervorragender Virenschutz! Die Grenzen von Greylisting policyd-weight Prüfungen Installation Logmeldungen False Positives policyd

7 10 Spamschutz mit Postfix-Bordmitteln In zwei Jahren von heute an ist das Spam-Problem gelöst Wie mit Spam Geld verdient wird Wie Spam versendet wird Botnetze Formular-Spam Bullet-Proof-Server Wie Spammer an Mailadressen kommen Schutz vor Adressenklau? Getarnte Mailadressen Challenge-Response-Mechanismen Die Rechtslage Spamschutz ist keine persönliche Angelegenheit Spammer fälschen Absender: Backscatter-Problematik Taggen führt zu Mailverlust! Zu vorsichtiges Filtern führt zu Mailverlust! Realtime Blackhole Lists DNSBL / RBL RHSBL URIBL Vor- und Nachteile von RBL / RHSBL Bin ich gelistet? Der schnelle Check Probleme bei Backup-Mailservern (Insel-Problem) Tipps aus der Praxis SpamAssassin der erfolgreiche Killer Anti-Spam-Initiativen Ù ºÒ Ø Ù ºÓÖ Ô Ñ Ù ºÓÖ Ô ÑÓÔºÒ Ø Ñ Ô ºÓÖ Gefälschte Mailheader: Spammer identifizieren Sender Policy Framework (SPF) Microsoft Caller-ID / Sender-ID

8 10.18 DKIM / Yahoo DomainKeys Greylisting und policyd-weight Teergruben/Tarpitting Tipps aus der Praxis Mails sicher relayen: SASL & Co SMTP-Auth mit Cyrus- und Dovecot-SASL Cyrus-SASL Die richtigen Pakete für Cyrus-SASL installieren Ð ÙØ : Konfiguration, Cyrus-SASL debuggen:ø Ø Ð ÙØ und Ð Ò Ö Cyrus-SASL konfigurieren: ÑØÔ ºÓÒ Vor- und Nachteile Authentication Backends von Cyrus-SASL Gegen einen Mailserver authentifizieren:ö Ñ Ô Separate Passwortdatei: Ð ¾ LDAP SQL SMTP-Auth für den Mailempfang mit Cyrus-SASL PAM und ÓÛ SASL weiter absichern Erlaubte Absenderadressen kontrollieren SMTP-Auth für den Mailempfang mit Dovecot-SASL Die Port-25-Sperre und Ù Ñ ÓÒ SMTP-Auth für den Versand von Mails Klartextmethoden erlauben Unterschiedliche Login-Daten parallel benutzen Unterschiedliche Relayhosts nutzen Passwörter sicher speichern und übertragen Mit SSL/TLS-Zertifikaten authentifizieren SMTP-after-POP Dynamic Relay Authentication Control (DRAC) Unterschiede je nach Einsatzkonzept Postfix als eingehendes Mailrelay vor einem anderen Server

9 Relay-Domains definieren Transportweg definieren Relay-Domains und Transportweg zugleich definieren! Empfängervalidierung auf Mailrelays Statische Empfängerlisten Dynamische Empfänger-Verifizierung Dynamische Absender-Verifizierung Mailversand mit dynamischen IP-Adressen Mailversand bei manuellen Einwahlverbindungen (ISDN/UMTS) Mailversand an einen oder mehrere SMTP-Relayhosts Empfang bei Einwahlverbindungen mit dynamischen IP-Adressen Ø Ñ Ðstarten lassen 12.7 Abholung von s mit Fetchmail & Co Ø Ñ Ðkonfigurieren Bitte kein multidrop! Zur weiteren Vertiefung von Ø Ñ Ð Postfix ein-/ausgehend hinter einem NAT-Router Ausgehendes IP-Masquerading/Source-NAT (SNAT) SNAT bei statischen IP-Adressen SNAT bei dynamischen IP-Adressen Eingehendes Port-Forwarding an Router und Firewall Eingehendes IP-Masquerading/Destination-NAT (DNAT) Loadbalancer und SMTP-Server Auch Exchange kann auf zwei Mailrelays balancen SMTP-Proxies und Application Level Firewalls Postfix als Relay vor Unix/Linux-Workstations Postfix für Fortgeschrittene Adressklassen Zieldomain in ÑÝ Ø Ò Ø ÓÒ Zieldomain in Ú ÖØÙ Ð Ð ÓÑ Ò. 16

10 Keine Vermischung dieser Adressklassen! Zieldomain in Ö Ð Ý ÓÑ Ò Unterschiedliche Einstellungen auf unterschiedlichen IP-Adressen/Ports bei der Annahme von s für den Versand von s Mails durch eigene Programme verarbeiten Programme über die Ð -Map starten Programme als Transportmethode starten Variablen in derñ Òº /Ñ Ø Öº nutzen Ö Ú ÓÚ ÖÖ ÓÔØ ÓÒ Eigene Bounce-Templates Filtern von s nach Inhalt ÔÖ ist schneller alsö ÜÔ Pattern optimieren, Ressourcen sparen Kodierungen berücksichtigen Body- und Header-Checks selektiv einsetzen Benutzerspezifische Einstellungen Postfix Restriction Classes Individuelle -Tabellen Flexible Spam-Politik Fortlaufendes Backup aller s Urlaubs-/Abwesenheitsmeldungen für lokale Shell-Nutzer basierend auf LDAP Eigene RBL/RHSBL aufsetzen Mail Address Extensions Delivery Status Notifications (DSN) DSN-Anweisungen im SMTP-Dialog DSN zu verbieten kann erstrebenswert sein DSN auf der Kommandozeile mit Ò Ñ Ð Shared Connection Caching Die Pflichtadressen Ù undôó ØÑ Ø Ö Rate-Limiting gegenüber Clients durchsetzen

11 Anzahl der Verbindungen eines Clients limitieren Anzahl der s eines Clients limitieren Anzahl der Empfänger eines Clients limitieren Postfix tunen Performance-Überlegungen Hardware-Ausstattung Linux-Optimierung Last-Überwachung Last managen Task-Beschränkungen Last erzeugen: Der Stresstest für Ihr Mailsystem Was passiert, wenn Postfix überlastet ist? Prioritäten setzen: Stress-Dependent Configuration Das Datenbankformat ØÖ Queue-Haltezeiten anpassen Logfiles, Auswertungen und Monitoring Logmeldungen und Ý ÐÓ Der alte Syslogd Der neue Syslog-ng Die Einrichtung eines zentralen Logservers Auf einem alten Syslog Auf einem neuen Syslog-ng Zentrales Logging mit zwei Mailservern über Kreuz Logfiles auswerten Ô ÐÓ ÙÑÑ Ñ Ð Ö Ô Einfache Auswertung selbst gemacht Eine Statistik für MRTG Monitoring von Mailservern Õ Ô ºÔÐ Den Fieber messen: Was machen die Queues? Überblick in der Queue behalten ÕØÓÔ: Der Live-Blick in die Queue

12 IV Die Partner von Postfix POP3/IMAP und Postfix POP IMAP Schutz von Passwörtern und Servern ÕÔÓÔÔ Övon Qualcom 16.4 Die verschiedenen POP3- und IMAP-Server Courier-IMAP Dovecot-IMAP Cyrus-IMAP LMTP und ein Setup überö Ð Ý ÓÑ Ò Anlegen des Nutzers in der Ð ¾und der finale Test Webmailer LMTP alsñ Ð ÓÜ ØÖ Ò ÔÓÖØ Virenschutz: SpamAssassin und AMaViS Viren, Würmern und Trojanern AMaViS Funktionsweise von AMaViS Installation von amavisd-new und SpamAssassin ÓÒØ ÒØ ÐØ Översus ÑØÔ ÔÖÓÜÝ ÐØ Ö amavisd-new in Postfix einbinden s an den Filter weiterleiten Postfix-Port unter SUSE Postfix-Port unter Debian Die Konfiguration auf Port optimieren Weitere Unterschiede zwischen Post- und Pre-Queue Die Grundkonfiguration von AMaViS Mails rejecten, bouncen oder getaggt durchlassen? Das Quarantäneverzeichnis abschalten Besonderheiten unter Debian Besonderheiten unter RedHat Installation eines Virenkillers

13 ClamAV als primärer und sekundärer Scanner gleichzeitig Besonderheiten bei SUSE Besonderheiten bei Debian Besonderheiten bei RedHat Vergessen Sie nicht die Signatur-Updates! Wenn AMaViS alsóòø ÒØ ÐØ Öeingebunden Wenn AMaViS als ÑØÔ ÔÖÓÜÝ ÐØ Öeingebun AMaViS testen ist. 501 den ist Performancetuning von AMaViS & Co Der Booster: Eine RAM-Disk für AMaViS Die maximal möglichen AMaViS-Prozesse beim ÑØÔ ÔÖÓÜÝ ÐØ Ö Limitierung und Optimierung bei der Zustellung über ÓÒØ ÒØ ÐØ Ö Keine Limitierung aufðó Ð Ó Ø ½¼¼¾! Ñ Ú ºÓÒ : Logik & Syntax für Fortgeschrittene Mails mit AMaViS taggen? Schizophren? Mehr Spaß mit amavisd-new Policy Banks! amavisd-new im Cluster ÓÒØ ÒØ ÐØ Ö ÑØÔ ÔÖÓÜÝ ÐØ Ö Training mit SpamAssassin Setup einer MySQL-Unterstützung Das Quarantäne-Verzeichnis in MySQL Setup einer LDAP-Unterstützung Filterung durch externe Dienstleister Sicherheitsrisiko Client Konfiguration der Clients Auswahl der Clients Hoax: Viren, die keine Viren sind Mailinglisten mit Mailman Die Geschichte

14 Usenet-Foren Mailinglisten Lokale Verteilerlisten durch Mailclients Die Lösung: Mailman Installation und Konfiguration Apache vorbereiten Mailman anpassen Notwendige Einträge in deröóòø Wichtig: Die ListeÑ ÐÑ Òanlegen Mailman in Postfix einbinden: Ð Mailman in Postfix einbinden: ÔÓ Ø Ü¹ØÓ¹Ñ ÐÑ ÒºÔÝ Das Web-Interface Steuerbefehle per Digests Archive Verhaltensregeln und spezielle Konfigurationen Û Ó: Schutz der Mailadressen Attachments filtern Mailinglisten moderieren / Notmoderation Administrativa Ein-/Austragung Confirmation Request / Approval Opt-In/Opt-Out Mehrere Domains mit einem Mailman Eine Mailingliste aller Listenadmins Bugfixes und Korrekturen zur deutschen Übersetzung V Sicherheit Sicherer Serverbetrieb ÖÓÓØ Ein Was bringt ÖÓÓØ? 19.1 Sicherheit ist relativ Gefängnis für Postfix chroot unter SUSE

15 19.3 Einführung in die Firewall-Einrichtung ÖÓÓØ- und Wie Firewalls funktionieren Warum Firewalls notwendig sind Ô Û Ñ, Ô Ò, ÔØ Ð Die Firewall-Policy Die Charakteristiken der Dienste Ein Beispielskript zum Anpassen Das LAN ist nicht vertraulich: Der Man-in-the-Middle Login-Rechte vermeiden Nicht vergessen: Das Backup! Patches, die nicht eingespielt werden, nützen nichts! Der Lauscher an der Wand Leistungsfähigkeit von Abhöreinrichtungen SSL/TLS Schutz durch verschlüsselte Verbindungen Key-Generierung mit OpenSSL Die automatische Key-Generierung unter SUSE Die automatische Key-Generierung unter Debian und RedHat Postfix mit SSL/TLS Ø ÐÒ Øeinmal anders: SSL/TLS testen ØÙÒÒ Ðsichert alles andere Pretty Good Privacy (PGP) und der GNU Privacy Guard (GNUPG) Geschichte und Technik von PGP PGP-Software und Waffenexport Vorsicht vor PGP 5.x OpenPGP, GNUPG und PGP PGP im Einsatz Schutz vor Wirtschafts- und Betriebsspionage Rechtliche Aspekte Auskunftsverpflichtungen über Kundendaten und Logfiles Bestandsdaten, 111 und 113 TKG Verbindungsdaten, 3 Nr. 5 TKG

16 Auskünfte gegenüber Privaten Durchsuchungen und Beschlagnahmungen Die rechtlichen Probleme der Spamfilterung Strafbarkeit der Unterdrückung anvertrauter Nachrichten Spamfilterung und die private Mailnutzung am Arbeitsplatz Die Verarbeitung von Daten und Logfiles Datenschutz: Das Gebot der Datensparsamkeit Die Vorratsdatenspeicherung Der Datenschutzbeauftragte Zivilrechtliche Vertragsfragen und AGB Verfügbarkeitsgarantien und Schadensersatz Missbrauch und Sperre des Postfachs Signaturen und die Archivierung elektronischer Handelsbriefe Die -Signatur Disclaimer auf Webseiten und in s Tipps zur Wahl Ihres Anwalts VI Projekte MySQL-basierter IMAP-Server mit Courier Die MySQL-Datenbank Die Einrichtung von Courier-IMAP Die Anpassungen bei Postfix Die Vollendung des Mailsystems Besonderheiten und wichtige Hinweise LDAP-basierter IMAP-Server mit Dovecot Das LDAP-Schema im Eigenbau Die Kundenaccounts im LDAP Die Domainverwaltung im LDAP Die Mailadressen Das Anlegen des LDAP-Schemas

17 Einrichten von Verwaltungsaccounts und ACLs Die ersten Dummy-Daten im LDAP Die zentrale User-ID der Mailaccounts Ö Ð Ý ÓÑ Ò im LDAP Ú ÖØÙ Ð Ð Ñ Ô im LDAP 23.3 Die Anbindung an Postfix Auf dem Zielhost: Mails an Dovecot relayen Die Anbindung von Dovecot-IMAP an LDAP Der Test Der weitere Ausbau VII Anhang 685 A Best Practice: Die Checkliste 687 A.1 Die Checkliste für Postmaster A.2 Die Checkliste für Programmierer B Was sich die letzten Jahre getan hat: Von Postfix 2.1 zu Postfix B.1 Die Änderungen B.1.1 Neu in Postfix B.1.2 Neu in Postfix B.1.3 Neu in Postfix B.1.4 Neu in Postfix B.2 Postfix upgraden C Postfix kompilieren 699 C.1 Vorbereitungen C.2 Wie Makefiles erzeugt werden C.3 Installation und Upgrade D Einen Nameserver einrichten 707 D.2 Ò der D.1 Das Domain Name System (DNS) Nameserver-Dämon D.3 Den Nameserver testen D.4 Tipps zur Fehlersuche

18 D.5 Zusammenfassung E Subnetzmasken 723 F Die Postfix-Referenz