Peer Heinlein. Das Postfix-Buch. Sichere Mailserver mit Linux. 3., aktualisierte und erweiterte Auflage

Transkript

1 Peer Heinlein Das Postfix-Buch Sichere Mailserver mit Linux 3., aktualisierte und erweiterte Auflage

2 I Grundlagen 27 1 Funktionsweise eines Mailservers SMTP und POP3/IMAP SMTP - die Sprache der Mailserver Virtuelle" Mailadressen Relayende" Mailserver UUCP-Gateways Weitere Wünsche Fachbegriffe 34 2 Parlez-vous RFC? SMTP richtig sprechen SMTP-Kommandos SMTP-Antworten des Servers Enhanced Status Notifications (ESN) Delivery Status Notifications (DSN) Local Mail Transfer Protocol (LMTP) Mailheader richtig lesen und setzen Die Headerfelder im Einzelnen Der Unterschied zwischen Sender: und From: Der Unterschied zwischen To:, CC: und BCC: s und Zeichensätze Die Zeichensatzdeflnition im Mailheader Headerzeilen dürfen nur 7-Bit-Zeichen haben! 57

3 2.7 Dateien und Attachments uudecode/uuencode MIME-Attachments Attachments sind hier uninteressant 60 II Postfix starten 63 3 Installation und Schnellstart Installation der Programme aus fertigen Paketen Postfix finden Besonderheiten und Unterschiede der Distibutionen Eigenheiten von SUSE - Start von Postfix Besonderheiten bei Debian Besonderheiten bei Ubuntu Die Postfix Grundkonfiguration Postfix-Variablen Vorsicht: Doppelte Variablen in der main. cf Postfix anpassen Die Pfade Läuft Postfix? sof t_bounce: Sicher Konfigurationsänderungen vornehmen 89 4 Das modulare Konzept von Postfix Die Erfahrungen mit Sendmail Module müssen her! Die Arbeitsabläufe in Postfix Einlieferung durch SMTP Einlieferung durch lokalen Programmaufruf cleanup und trivial-rewrite sorgen für Ordnung im Header (n)qmgr regelt den Rest Die eigentliche Zustellung Der Chef des Ganzen und seine master. cf Details der master. cf 99 10

4 4.5 Der systematische Überblick Tägliche Arbeit: Lookup Tables und Postfix-Tools Von Tabellen und Datentypen postmap kümmert sich um hash und btree Reload, Restart - oder gar nichts? hash oder btree? Die einzelnen Tabellen im Überblick aliases:werbinich? Virtual: Weiterleitungen und virtuelle Mailadressen canonical-tabelle: Ich versteck' mich gener ic-tabelle: Umschreibung bei ausgehenden E- Mails transport-tabelle: Abweichende Zustellung relocated-tabelle: Empfänger verzogen access-tabelle: Wer darf, wer darf nicht? Header-, Body- und MIME-Checks: Mail filtern Die Datenquellen im Überblick Lokale Dateien: DBM mit hash und btree Wenn es um Subnetze geht: cidr RegExp - das unbekannte Wesen Perl Compatible Regulär Expressions (PCRE) Network Information Service (NIS) MySQL Lightweight Directory Access Protocol (LDAP) proxy: Der Lookup-Table-Proxy Weitere Datenquellen Die weiteren Tools postmap - Herrscher über alle Lookup Tables postconf-herrscher über alle Parameter postsuper-herrscher über die s postqueue - Herrscher über die Mail-Queue postcat - Mails aus der Queue lesen postf ix-the master himself

5 6 DNS-Einträge und redundanter Mailempfang Das Domain Name System (DNS) für Mailserver Die Zonen-Einträge für einen Mailserver Beachtenswertes bei der DNS-Konfiguration Mehrere Mailserver für eine Domain? Backup über Store-and-Forward Mailrouting am MX-10 vorbei Gemeinsam genutzte Dateisysteme Tipps aus der Praxis Fehleranalyse Vorgehensweise und Hilfsmittel Fehlersuche als Admin auf dem Server Fehler bei der Annahme/Abholung von Mails Fehler bei der Bearbeitung und Zustellung von Mails Weitere Fehler (Fern-)Fehlersuche beim Kunden Den Fehler einkreisen: Seien Sie Pessimist Die beliebtesten Fehler Postfix Debug-Modus Logfile-Debugging einzelner Verbindungen Logfile-Debugging einzelner Module Echtes Debugging 180 III Postfix im praktischen Einsatz Die Restrictions - das Hirn von Postfix Schutz durch Restrictions So werden Restrictions durchlaufen Der Blinddarm von Postfix Der Einstieg am lebenden Beispiel Alle Prüfungen auf einen Blick Endgültige Entscheidungen Relaying erlauben oder verbieten

6 8.2.3 White- und Blacklisting Anforderungen an Mailadressen Anforderung an den HELO und Client-DNS Protokollverstöße Debugging und andere besondere Parameter Verisign: Der Müllplatz der Geschichte Weitere Prüfungen außerhalb der Restrictions Postfix will kein Open Relay" sein Verstehen Sie die Restrictions! Schreiben Sie sich welche! Aufgabenstellung Die Vorgehensweise Wenn Sie glauben fertig zu sein Backup MX20-oder: Das Insel-Problem Do and Don't Eine Musterlösung Zu unflexibel? Ein allerletzter Tipp Wenn's komplizierter wird: Postfix Policy Delegation Das Policy Delegation Protocol Greylisting So funktioniert Greylisting Wollen Spammer überhaupt Greylisting überleben? Spammer haben es bereits getestet s dürfen nicht verzögert werden! postgrey installieren Greylisting ist ein hervorragender Virenschutz! Die Grenzen von Greylisting policyd-weight Prüfungen Installation Logmeldungen :4 False Positives policyd

7 10 Spamschutz mit Postfix-Bordmitteln In zwei Jahren von heute an ist das Spam-Problem gelöst." Wie mit Spam Geld verdient wird Wie Spam versendet wird Botnetze Formular-Spam Bullet-Proof-Server Wie Spammer an Mailadressen kommen Schutz vor Adressenklau? Getarnte" Mailadressen Challenge-Response-Mechanismen Die Rechtslage Spamschutz ist keine persönliche Angelegenheit Spammer fälschen Absender: Backscatter-Problematik Taggen führt zu Mailverlust! Zuvorsichtiges Filtern führt zu Mailverlust! Realtime Blackhole Lists DNSBL/RBL RHSBL URIBL Vor-und Nachteile von RBL/RHSBL Bin ich gelistet? Der schnelle Check Probleme bei Backup-Mailservern (Insel-Problem) Tipps aus der Praxis SpamAssassin - der erfolgreiche Killer Anti-Spam-Initiativen abuse.net cauce.org spamhaus.org spamcop.net samspade.org Gefälschte Mailheader: Spammer identifizieren Sender Policy Framework (SPF) Microsoft Caller-ID / Sender-ID

8 10.18 DKTM / Yahoo DomainKeys Greylisting und policyd-weight Teergruben/Tarpitting Tipps aus der Praxis Mails sicher relayen: SASL & Co SMTP-Auth mit Cyrus-und Dovecot-SASL Cyrus-SASL Die richtigen Pakete für Cyrus-SASL installieren Cyrus-SASL konfigurieren: smtpd.conf saslauthd: Konfiguration, Vor- und Nachteile Cyrus-SASL debuggen: te st saslauthd und saslfinger Authentication Backends" von Cyrus-SASL Gegen einen Mailserver authentifizieren: rimap Separate Passwortdatei: sasldb LDAP SQL PAM und shadow SMTP-Auth für den Mailempfang mit Cyrus-SASL SASL weiter absichern Erlaubte Absenderadressen kontrollieren SMTP-Auth für den Mailempfang mit Dovecot-SASL Die Port-25-Sperre und Submission SMTP-Auth für den Versand von Mails Klartextmethoden erlauben Unterschiedliche Login-Daten parallel benutzen Unterschiedliche Relayhosts nutzen Passwörter sicher speichern und übertragen Mit SSL/TLS-Zertifikaten authentifizieren SMTP-after-POP Dynamic Relay Authentication Control (DRAC) Unterschiede je nach Einsatzkonzept Postfix als eingehendes Mailrelay vor einem anderen Server

9 Relay-Domains definieren Transportweg definieren Relay-Domains und Transportweg zugleich definieren! Empfängervalidierung auf Mailrelays Statische Empfängerlisten Dynamische Empfänger-Verifizierung Dynamische Absender-Verifizierung Mailversand mit dynamischen IP-Adressen Mailversand bei manuellen Einwahlverbindungen (ISDN/UMTS) Mailversand an einen oder mehrere SMTP-Relayhosts Empfang bei Einwahlverbindungen mit dynamischen IP-Adressen Abholung von s mit Fetchmail & Co fetchmail starten lassen fetchmail konfigurieren Bitte kein multidrop"! Zur weiteren Vertiefung von fetchmail Postfix ein-/ausgehend hinter einem NAT-Router Ausgehendes IP-Masquerading/Source-NAT (SNAT) SNAT bei statischen IP-Adressen SNAT bei dynamischen IP-Adressen Eingehendes Port-Forwarding an Router und Firewall Eingehendes IP-Masquerading/Destination-NAT (DNAT) Loadbalancer und SMTP-Server Auch Exchange kann auf zwei Mailrelays balancen SMTP-Proxies und Application Level Firewalls Postfix als Relay vor Unix/Linux-Workstations Postfix für Fortgeschrittene Adressklassen Zieldomain in $mydestination Zieldomain in $virtual_alias_domains

10 Zieldomain in $relay_domains Keine Vermischung dieser Adressklassen! Unterschiedliche Einstellungen auf unterschiedlichen IP-Adressen/Ports bei der Annahme von s für den Versand von s Variablen in der main.cf/master. cf nutzen receive_override_6ptions Mails durch eigene Programme verarbeiten Programme über die aliases-map starten Programme als Transportmethode starten Eigene Bounce-Templates Filtern von s nach Inhalt pcre ist schneller als regexp Pattern optimieren, Ressourcen sparen Kodierungen berücksichtigen Body- und Header-Checks selektiv einsetzen Benutzerspezifische Einstellungen - Postfix Restriction Classes Individuelle access-tabellen Flexible Spam-Politik Fortlaufendes Backup aller s Urlaubs-/Abwesenheitsmeldungen für lokale Shell-Nutzer basierend auf LDAP Eigene RBL/RHSBL aufsetzen Mail Address Extensions Delivery Status Notifications (DSN) DSN-Anweisungen im SMTP-Dialog DSN zu verbieten kann erstrebenswert sein DSN auf der Kommandozeile mit sendmail Shared Connection Caching Die Pflichtadressen abuse und postmaster Rate-Limiting gegenüber Clients durchsetzen

11 Anzahl der Verbindungen eines Clients limitieren Anzahl der s eines Clients limitieren Anzahl der Empfänger eines Clients limitieren Postfix tunen - Performance-Überlegungen Hardware-Ausstattung Linux-Optimierung Last-Überwachung Last managen Task-Beschränkungen Last erzeugen: Der Stresstest für Ihr Mailsystem Was passiert, wenn Postfix überlastet ist? Prioritäten setzen: Stress-Dependent Configuration Das Datenbankformat btree Queue-Haltezeiten anpassen Logfiles, Auswertungen und Monitoring Logmeldungen und syslogd Der alte" Syslogd Der neue" Syslog-ng Die Einrichtung eines zentralen Logservers Auf einem alten Syslog Auf einem neuen Syslog-ng Zentrales Logging mit zwei Mailservern über Kreuz Logfiles auswerten Einfache Auswertung selbst gemacht pflogsumm mailgraph Eine Statistik für MRTG Monitoring von Mailservern Fieber messen: Was machen die Queues? qshape.pl - Den Überblick in der Queue behalten qtop: Der Live-Blick in die Queue

12 IV Die Partner von Postfix P0P3/IMAP und Postfix POP IMAP Schutz von Passwörtern und Servern Die verschiedenen POP3- und IMAP-Server qpopper von Qualcom Courier-IMAP Dovecot-IMAP Cyrus-IMAP LMTP als mailbox.transport LMTP und ein Setup über relay.domains Anlegen des Nutzers in der sasldb2 und der finale Test Webmailer Virenschutz: SpamAssassin und AMaViS Viren, Würmern und Trojanern AMaViS Funktionsweise von AMaViS Installation von amavisd-new und SpamAssassin amavisd-new in Postfix einbinden content_filterversus smtpd_proxy_f ilter s an den Filter weiterleiten Postfix-Port unter SUSE Postfix-Port unter Debian Die Konfiguration auf Port optimieren Weitere Unterschiede zwischen Post- und Pre-Queue Die Grundkonfiguration von AMaViS Mails rejecten, bouncen oder getaggt durchlassen? Das Quarantäneverzeichnis abschalten Besonderheiten unter Debian Besonderheiten unter RedHat Installation eines Virenkillers

13 ClamAV als primärer und sekundärer Scanner gleichzeitig Besonderheiten bei SUSE Besonderheiten bei Debian Besonderheiten bei RedHat Vergessen Sie nicht die Signatur-Updates! AMaViS testen Wenn AMaViS als content_f ilter eingebunden ist Wenn AMaViS als smtpd_proxy_f ilter eingebunden ist Performancetuning von AMaViS & Co Der Booster: Eine RAM-Disk für AMaViS Die maximal möglichen AMaViS-Prozesse beim smtpd_proxy_filter Limitierung und Optimierung bei der Zustellung über content_filter Keine Limitierung auf localhost: 10025! amavisd.conf: Logik & Syntax für Fortgeschrittene Mails mit AMaViS taggen? Schizophren? Mehr Spaß mit amavisd-new Policy Banks! amavisd-new im Cluster content_f i l t e r smtpd_proxy_f i l t e r Training mit SpamAssassin Setup einer MySQL-Unterstützung Das Quarantäne-Verzeichnis in MySQL Setup einer LDAP-Unterstützung Filterung durch externe Dienstleister Sicherheitsrisiko Client Konfiguration der Clients Auswahl der Clients Hoax: Viren, die keine Viren sind Mailinglisten mit Mailman Die Geschichte

14 Usenet-Foren Mailinglisten Lokale Verteilerlisten durch Mailclients Die Lösung: Mailman Installation und Konfiguration Apache vorbereiten Mailman anpassen Notwendige Einträge in der crontab Wichtig: Die Liste mailman anlegen Mailman in Postfix einbinden: aliases Mailman in Postfix einbinden: postfix-to-mailman.py Das Web-Interface Steuerbefehle per Digests Archive Verhaltensregeln und spezielle Konfigurationen who: Schutz der Mailadressen Attachments filtern Mailinglisten moderieren / Notmoderation Administrativa - Ein-/Austragung Confirmation Request / Approval Opt-In/Opt-Out Mehrere Domains mit einem Mailman Eine Mailingliste aller Listenadmins Bugfixes und Korrekturen zur deutschen Übersetzung 563 V Sicherheit Sicherer Serverbetrieb Sicherheit" ist relativ chroot - Ein Gefängnis für Postfix Was bringt chroot? chroot unter SUSE

15 19.3 Einführung in die Firewall-Einrichtung Wie Firewalls funktionieren Warum Firewalls notwendig sind ipf wadm, ipchains, iptables Die Firewall-Policy Die Charakteristiken der Dienste Ein Beispielskript zum Anpassen Das LAN ist nicht vertraulich: Der Man-in-the-Middle" root- und Login-Rechte vermeiden Nicht vergessen: Das Backup! Patches, die nicht eingespielt werden, nützen nichts! Der Lauscher an der Wand Leistungsfähigkeit von Abhöreinrichtungen SSL/TLS - Schutz durch verschlüsselte Verbindungen Key-Generierung mit OpenSSL Die automatische Key-Generierung unter SUSE Die automatische Key-Generierung unter Debian und RedHat Postfix mit SSL/TLS telnet einmal anders: SSL/TLS testen stunnel sichert alles andere Pretty Good Privacy (PGP) und der GNU Privacy Guard (GNUPG) Geschichte und Technik von PGP PGP-Software und Waffenexport Vorsicht vor PGP 5.x OpenPGP, GNUPG und PGP PGP im Einsatz Schutz vor Wirtschafts- und Betriebsspionage Rechtliche Aspekte Auskunftsverpflichtungen über Kundendaten und Logfiles Bestandsdaten, 111 und 113 TKG Verbindungsdaten, 3 Nr. 5 TKG

16 Auskünfte gegenüber Privaten Durchsuchungen und Beschlagnahmungen Die rechtlichen Probleme der Spamfilterung Strafbarkeit der Unterdrückung anvertrauter Nachrichten Spamfilterung und die private Mailnutzung am Arbeitsplatz Die Verarbeitung von Daten und Logfiles Datenschutz: Das Gebot der Datensparsamkeit" Die Vorratsdatenspeicherung Der Datenschutzbeauftragte Zivilrechtliche Vertragsfragen und AGB Verfügbarkeitsgarantien und Schadensersatz Missbrauch und Sperre des Postfachs Signaturen und die Archivierung elektronischer Handelsbriefe Die -Signatur Disclaimer" auf Webseiten und in s Tipps zur Wahl Ihres Anwalts 643 VI Projekte MySQL-basierter IMAP-Server mit Courier Die MySQL-Datenbank Die Einrichtung von Courier-IMAP Die Anpassungen bei Postfix Die Vollendung des Mailsystems Besonderheiten und wichtige Hinweise LDAP-basierter IMAP-Server mit Dovecot Das LDAP-Schema im Eigenbau Die Kundenaccounts im LDAP Die Domainverwaltung im LDAP Die Mailadressen Das Anlegen des LDAP-Schemas

17 Einrichten von Verwaltungsaccounts und ACLs Die ersten Dummy-Daten im LDAP Die zentrale User-ID der Mailaccounts Die Anbindung an Postfix $relay_domains im LDAP Auf dem Zielhost: Mails an Dovecot relayen Die Anbindung von Dovecot-IMAP an LDAP $virtual_alias_maps im LDAP Der Test Der weitere Ausbau 684 VII Anhang 685 A Best Practice: Die Checkliste 687 A.1 Die Checkliste für Postmaster 687 A.2 Die Checkliste für Programmierer 689 B Was sich die letzten Jahre getan hat: Von Postfix 2.1 zu Postfix B.l Die Änderungen 692 B.l.l Neu in Postfix B.1.2 Neu in Postfix B.1.3 Neu in Postfix B.1.4 Neu in Postfix 2.5 ; 695 B.2 Postfix upgraden 696 C Postfix kompilieren 699 C.l Vorbereitungen 700 C.2 Wie Makefiles erzeugt werden 701 C.3 Installation und Upgrade 705 D Einen Nameserver einrichten 707 D.l Das Domain Name System (DNS) 707 D.2 bind - der Nameserver-Dämon 712 D.3 Den Nameserver testen 719 D.4 Tipps zur Fehlersuche

18 D.5 Zusammenfassung 722 E Subnetzmasken 723 F Die Postfix-Referenz 725