Saturday, 30 December 2006

Konfiguracja systemu pocztowego we FreeBSD na bazie qmaila

© 2003-10-02 Bartłomiej Siębab ver. 1.6

WSTĘP

Czym jest qmail? qmail to bezpieczny i wydajny serwer poczty internetowej posługujący sie protokołem SMTP. Został zaprojektowany dla typowych serwerów UNIX i charakteryzuje się doskonałą wydajnością w działaniu pod bardzo dużym obciążeniem przy ogromnych ilościach przetwarzanej poczty. Potrafi obsługiwać wirtualne skrzynki pocztowe bez konieczności zakładania tradycyjnych kont. Jego autorem jest profesor D.J.Bernstein. Architektura qmaila (w przeciwieństwie do Sendmaila) została opracowana w oparciu o wiele małych, sprawnych i dedykowanych programów zajmujących sie konkretnymi zadaniami serwera pocztowego. Każdy z nich wykonuje swoje zadania efektywnie i bezpiecznie. Każdy posiada minimalne uprawnienia niezbędne do wykonywania czynności jedynie jemu przeznaczonych i niczego ponadto. W tym artykule opiszę proces przygotowania qmaila do pracy ze skrzynkami pocztowymi w formacie Maildir, które charakteryzują się przechowywaniem każdego emaila w osobnym pliku.

INSTALACJA

W systemie FreeBSD 4.x instalacja qmaila 1.3 jest niezwykle prosta ze względu na mechanizm "/usr/ports". Każdy kto kiedyś "ręcznie" pierwszy raz instalował qmaila bez użycia "ports" ze względu na jego "specyficzną" filozofię zapewne spędził nad dokumentacją wiele godzin ;-). Teraz jednak wystarczy wykonać poniższe czynności a system zostanie po samoczynnym ściągnięciu źródeł z internetu automatycznie skompilowany, wstępnie skonfigurowany i zainstalowany:
$/> cd /usr/ports/mail/qmail
$/usr/ports/mail/qmail> make install clean
Pamiętajmy że domyślnym MTA we FreeBSD jest "fabrycznie" sendmail tak więc instalacja qmaila zmieni parametry w /etc/mail/mailer.conf na poniższe (co zresztą warto sprawdzić):
$/etc/mail> cat mailer.conf

# Configuration for mailwrapper is kept in /etc/mail/mailer.conf.
# Replace that file with this one to enable qmail under a sendmail
# disguise. Very useful.
#
sendmail        /var/qmail/bin/sendmail
send-mail       /var/qmail/bin/sendmail
mailq           /var/qmail/bin/qmail-qread
newaliases      /var/qmail/bin/newaliases
Jak zainstalować qmaila w Slackware Linux można przeczytać tutaj: http://www.linuxstar.pl/qmail.htm Wyłączenie sendmaila Teraz wyłączamy w /etc/rc.conf automatyczne uruchamianie sendmaila na rzecz qmaila, który będzie startował poprzez skrypty w /usr/local/etc/rc.d gdzie jego start podzielimy na trzy niezależne funkcjonalnie podsystemy:
$/etc>grep sendmail rc.conf
# autostartowy skrypt MTA (można tu też podpiąć od razu qmaila)
mta_start_script="/etc/rc.sendmail"
# Settings for /etc/rc.sendmail:
sendmail_enable="NONE"               # Run the sendmail inbound daemon (YES/NO/NONE).
                              # If NONE, don't start any sendmail processes.
sendmail_flags="-L sm-mta -bd -q30m" # Flags to sendmail (as a server)
sendmail_submit_enable="NO"          # Start a localhost-only MTA for mail submission
sendmail_submit_flags="-L sm-mta -bd -q30m -ODaemonPortOptions=Addr=localhost"
sendmail_outbound_enable="NO"                        # Dequeue stuck mail (YES/NO).
sendmail_outbound_flags="-L sm-queue -q30m"          # Flags to sendmail (outbound only)
sendmail_msp_queue_enable="NO"                       # Dequeue stuck clientmqueue mail (YES/NO).
sendmail_msp_queue_flags="-L sm-msp-queue -Ac -q30m" # Flags for sendmail_msp_queue daemon.
To ustawienie gwarantuje nieuruchamianie żadnego z procesów sendmaila. Skrypty startowe Utworzymy skrypty startowe qmail' w /usr/local/etc/rc.d poprzez podlinkowanie symboliczne:
$/usr/local/etc/rc.d> ls -l | grep qmail

lrwx------  1 root  wheel   19 14 Wrz 15:32 pop3d.sh -> /var/qmail/pop3d.rc
lrwx------  1 root  wheel   22 14 Wrz 15:32 reciving.sh -> /var/qmail/reciving.rc
lrwx------  1 root  wheel   21 14 Wrz 15:32 sending.sh -> /var/qmail/sending.rc

$/usr/local/etc/rc.d> cd /var/qmail ; ls -l *.rc

-r-xr-xr-x  1 root  qmail  385 Aug 24  1999 pop3d.rc
-r-xr-xr-x  1 root  qmail  842 Nov 24  1999 reciving.rc
-r-xr-xr-x  1 root  qmail  311 Aug 24  1999 sending.rc

$/var/qmail> cat pop3d.rc

#!/bin/sh
# Using splogger to send the log through syslog.
# Using qmail-local to deliver messages to Maildir format by default
#
# uruchamianie uslugi pop (odbior poczty ze skrzynek)
pathtmp=$PATH
PATH=/var/qmail/bin:$PATH
/usr/local/bin/tcpserver 0 pop3 /var/qmail/bin/qmail-popup twojhost.jakasdomena.pl \
/bin/checkpassword /var/qmail/bin/qmail-pop3d Maildir &

$/var/qmail> cat reciving.rc

#!/bin/sh
#
# Using splogger to send the log through syslog.
# Using qmail-local to deliver messages to Maildir format by default
#
# uruchamianie uslug smtpd (przyjmowanie poczty przez serwer)
pathtmp=$PATH
PATH=/var/qmail/bin:$PATH
# wywolanie z plikiem adresow relay oraz po wdrozeniu spamcontrol
/usr/local/bin/tcpserver -v -x /etc/tcp.smtp.cdb -u 82 -g 81 0 smtp \
/var/qmail/bin/qmail-smtpd 2>&1 | /var/qmail/bin/splogger smtpd &

$/var/qmail> cat sending.rc

#!/bin/sh
#
# Using splogger to send the log through syslog.
# Using qmail-local to deliver messages to Maildir format by default
#
# uruchamianie procesow wysylki poczty przez serwer
pathtmp=$PATH
PATH=/var/qmail/bin:$PATH
/var/qmail/bin/qmail-start ./Maildir/ splogger qmail &
qmail może być uruchamiany także poprzez inetd (odpowiednie wpisy w /etc/inetd.conf), jednak ja zdecydowałem sie na wykorzystanie pakietu ucspi-tcp tego samego autora. Program tcpserver z tego pakietu umożliwia nam ustawianie wielu specyficznych dla qmaila parametrów startowych. Kompilacja ze źródeł i instalacja tego pakietu jest niezwykle prosta, może być także we FreeBSD wykonana poprzez mechanizm "ports". Dodatkowym pakietem niezbędnym do autoryzacji usługi pop jest pakiet checkpassword tego samego autora. Jego instalacja jest równie banalna jak w poprzednim przypadku. Tak zainstalowany w podstawowej konfiguracji qmail wraz z dodatkowymi modułami jest już prawie gotowy do działania. Czas dokonać niezbędnych wpisów w DNS oraz w plikach sterujących działaniem qmaila. W przytoczonych powyżej skryptach startowych użyłem dodatkowego modułu spamcontrol którego opis konfiguracji i instalacji przedstawiam w kolejnych rozdziałach. Start serwera automatycznie powoduje uruchomienie skryptów startowych i tym samym rozpoczęcie działania przez qmaila. Oczywiście możemy także te skrypty uruchomić "ręcznie". Rozdzielenie funkcji na trzy oddzielne skrypty pozwala na "dłubanie" przy qmail'u bez konieczności zatrzymywania całego serwera poczty. Przykładowo zmieniając coś przy części odbiorczej możemy jedynie zatrzymać odbieranie przesyłek podczas gdy wysyłka poczty z kolejki pocztowej nadal działa. Inną metodą jest uruchamianie poprzez tzw. "svc" z pakietu daemontools co opisuje dokumentacja qmaila. Jeśli oprócz usługi pop3 chcemy także udostępnić możliwość "katalogowego" czytania poczty poprzez usługi imap to możemy zainstalować i skonfigurować pakiet courier-imap, który dedykowany jest właśnie do współpracy ze skrzynkami pocztowymi typu Maildir.

DNS

Działanie serwera pocztowego wymaga ustawienia w opisie strefy dns odpowiednich wpisów zapewniających przyjmowanie i obsługę poczty dla całej domeny. Poniżej przedstawiam taką strefę (przykład dla bind'a) wraz z rekordem MX (Mail eXchanger):
$>cd /etc/namedb/s ; head -12 jakasdomena.pl

@       IN      SOA     twojhost.jakasdomena.pl. hostmaster.jakasdomena.pl.  (
                         200210081235
                         8H              ; Refresh
                         2H              ; Retry
                         1W              ; Expire
                         1D )            ; Minimum
;
         NS      twoj.primary.dns.jakasdomena.pl.
         NS      twoj.secondary.dns.innadomena.pl.
         MX      10 twojhost
;
W przykładowej strefie domeny vt.pl rekord MX wskazuje, że cała poczta kierowana do tej domeny jest obsługiwana przez serwer voyager.vt.pl i jest to warunek konieczny dla działania wysyłki poczty "po domenie". Nie będę przedstawiać tu szczegółowych opisów konfiguracji serwera usługi dns bowiem nie to jest celem tego artykułu. Zainteresowanych odsyłam do dokumentacji ich serwera dns czy to bind'a czy djb-dns. Pamiętajmy, że każda zmiana w pliku strefy wymaga zwiększenia nr seryjnego i restart dns'a.

KONFIGURACJA

Pliki konfiguracyjne qmaila znajdują się w katalogu /var/qmail/control i mają różnoraki wpływ na jego działanie i zachowanie. Poniższy listing przedstawia pliki po wdrożeniu modułu spamcontrol oraz PolSpam:
$/var/qmail/control> ls -l
-rw-rw-r--  1 root  wheel        0 Nov 11 13:14 badmailfrom
-rw-r--r--  1 root  qmail        4 Nov 11 11:47 badmailpatterns
-rw-r--r--  1 root  qmail        4 Nov 11 11:48 badrcptpatterns
-rw-r--r--  1 root  qmail       44 Nov 15 09:17 badrcptto
-rw-r--r--  1 root  qmail  1053293 Nov 17 13:31 blackholedsender
-rw-r--r--  1 root  qmail        0 Nov 11 12:21 databytes
-rw-r--r--  1 root  qmail        6 Nov 11 11:37 defaultdomain
-rw-r--r--  1 root  qmail        6 Aug 19  1999 defaulthost
-rw-r--r--  1 root  qmail       60 Nov 11 11:41 locals
-rw-r--r--  1 root  qmail        0 Nov 11 11:04 maxrecipients
-rw-r--r--  1 root  qmail       14 Nov 11 11:37 me
-rw-r--r--  1 root  qmail        0 Nov 11 11:03 nodnscheck
-rw-r--r--  1 root  qmail        6 Nov 11 11:37 plusdomain
-rw-r--r--  1 root  qmail       50 Nov 11 11:42 rcpthosts
-rw-r--r--  1 root  qmail        0 Nov 11 11:02 relayclients
-rw-r--r--  1 root  qmail        6 Nov 11 11:49 relaydomains
-rw-r--r--  1 root  qmail       11 Nov 11 12:17 relaymailfrom
-rw-r--r--  1 root  qmail  9441280 Nov 17 13:31 spammers.db
-rw-r--r--  1 root  qmail        3 Nov 11 12:32 tarpitcount
-rw-r--r--  1 root  qmail        2 Nov 11 12:03 tarpitdelay
-rw-r--r--  1 root  qmail      277 Nov 11 11:45 uwaga.txt
-rw-r--r--  1 root  qmail       20 Aug 19  1999 virtualdomains
Omówienie ważniejszych plików
  • badmailfrom adresy lub domeny, od których serwer nie przyjmie i zwróci pocztę kierowaną do niego
  • badmailpatterns wyrażenia regularne (regexp) ogólnie opisujące wzorzec adresów lub domen nadawcy, od których serwer nie przyjmie i zwróci pocztę kierowaną do niego
  • badrcptpatterns wyrażenia regularne (regexp) ogólnie opisujące wzorzec adresów lub domen odbiorcy, do których serwer nie przyjmie i zwróci pocztę kierowaną do niego
  • blackholedsender nazwy hostów lub domen, od których przychodzące połączenia do serwera poczty w ogóle nie będą przyjmowane, do tego pliku trafia baza spamerów aktualizowana z serwisu PolSpam
  • nodnscheck tu znajdują się nazwy hostów lub domen, z których przy przyjmowaniu poczty serwer nie będzie sprawdzał zgodności z revdns
  • rcpthosts nazwy hostów, dla których serwer przyjmuje pocztę
  • relaydomains nazwy domen, od których serwer przyjmuje i przetwarza pocztę do dalszej wysyłki
  • relaymailfrom adresy email które mają zezwolenie na przyjmowanie poczty do dalszej wysyłki
  • maxrecipients maksymalna liczba jednoczesnych odbiorców w pojedynczym mailu
  • tarpitcount liczba jednoczesnych odbiorców w pojedynczym mailu po której zostanie aktywowane opóźnienie przyjmowania poczty
  • tarpitdelay czas opóźnienia przyjmowania poczty tzw. "tarpiting"
  • databytes maksymalny rozmiar (w bajtach) maila
  • virtualdomains nazwy domen wirtualnych, dla których serwer przyjmuje pocztę
Relaying qmail jest systemem pocztowym, w którym należy określić z jakich adresów IP lub domen lub adresów email dozwolone jest przyjęcie poczty do dalszej wysyłki czyli tzw. relaying. Jest kilka metod na odpowiednie skonfigurowanie tego mechanizmu. Nie wolno otwierać relayowania poczty na cały świat bo bardzo łatwo można trafic do antyspamerskich baz typu ORBs tym samym blokując sobie serwer, bowiem nagle okazuje się że inne serwery poczty nie chcą przyjmować od nas poczty ze względu na naszą otwartość dla spamerów. Mechanizm ten zapewnia udostępnia nam moduł tcpserver. Odpowienie wywołanie w skrypcie startowym reciving.sh pozwala na korzystanie przez tcpserver z dodatkowego pliku /etc/tcp.smtp.cdb bazy adresów IP, od których dozwolone jest przyjęcie poczty w celu jej relayowania. W tym celu tworzymy tekstowy plik ze spisem tych adresów IP:
$/etc> head -3 tcp.smtp

127.:allow,RELAYCLIENT=""
192.168.100.1-255:allow,RELAYCLIENT=""
10.1.0.:allow,RELAYCLIENT=""
Następnie konwertujemy go do bazy cdb z której korzysta tcpserver:
$/etc> tcprules /etc/tcp.smtp.cdb /etc/tcp.smtp.tmp < /etc/tcp.smtp 
Teraz do dalszego przekazania zostanie przyjęta jedynie poczta z wyspecyfikowanych adresów IP hostów. Dodatkowo przy wykorzystaniu modułu spamcontrol możemy zezwolić na relayowanie poczty na podstawie domeny czy adresu nadawcy (pliki relaydomains i relaymailfrom).

SKRZYNKI

Maildir Natywnym formatem skrzynek pocztowych qmaila jest format Maildir, który ze względu na przechowywanie przesyłek w odrębnych plikach jest szczególnie odporny na różne rodzaje awarii systemu plików serwera, bowiem w razie np. awarii zasilania (gdy nie mamy ups'a) podczas zapisu poczty do skrzynki, utracić można jedynie jeden email, w przeciwieństwie do formatu mailbox gdzie wszystkie przesyłki są w jednym pliku, co grozi całkowitą utratą całej poczty w tej hipotetycznej sytuacji. Do obsługi poczty w trybie terminalowym polecam program mutt, który potrafi obsłużyć skrzynki pocztowe zarówno typu mailbox jak i Maildir. Quota Każdy z użytkowników poczty powinien mieć założoną skrzynkę pocztową. Skrzynki są zakładane w katalogu domowym użytkownika i oczywiście podlegają restrykcji zarówno względem ilości miejsca jak i ilości plików/przesyłek. Dba o to mechanizm quoty i obejmuje w tym przypadku zarówno pocztę jak i pozostałe pliki użytkownika. Poczta jest przechowywana z prawami użytkownika i dlatego można mu limitować jej objętość:
$> quota jkowalski

Disk quotas for user jkowalski (uid 9999):
Filesystem   usage   quota   limit   grace   files   quota   limit   grace
   /home      24   20000   20000              14    1000    1000
Założenie skrzynki Jednorazowe założenie skrzynki polega na założeniu określonej struktury katalogów w $HOME (katalogu domowym) użytkownika. Do tego celu służy polecenie maildirmake wywoływane w następujący sposób:
$> umask
022

$> cd /home/jkowalski
$/home/jkowalski> maildirmake Maildir
$/home/jkowalski> chown -R jkowalski:jkowalski Maildir ; chmod -R g-rwx,o-rwx Maildir
$/home/jkowalski> ls -lR Maildir

total 3
drwx------  2 jkowalski  jkowalski  512 Mar 31  2000 cur
drwx------  2 jkowalski  jkowalski  512 Oct 25 19:02 new
drwx------  2 jkowalski  jkowalski  512 Oct 25 15:10 tmp

Maildir/cur:

Maildir/new:

Maildir/tmp:
Szablon Możemy wymusić automatyczne zakładanie Maildir'a każdemu nowo tworzonemu użytkownikowi poprzez założenie takiej struktury jako szablonu w /usr/share/skel i wtedy gdy zakładamy użytkownika np. poleceniem adduser jkowalski to system automatycznie skopiuje nam także Maildir'a wraz z innymi plikami typu dot.profile itp. Jedyną różnicą jest właściciel i grupa pliku która zostanie automatycznie zmieniona na użytkownika i jego grupe po tej operacji:
$/usr/share/skel> ls -lR Maildir
total 3
drwx------  2 root  wheel  512 Jan  9  2002 cur
drwx------  2 root  wheel  512 Jan  9  2002 new
drwx------  2 root  wheel  512 Jan  9  2002 tmp

Maildir/cur:

Maildir/new:

Maildir/tmp:
Wpis do bazy skrzynek pocztowych Czas na dopisanie skrzynki użytkownika do bazy skrzynek qmaila. W celu zwiększenia wydajności qmail używa specjalnych plików baz danych cdb. Tak jak w przypadku bazy hostów relayowanych, dopisanie skrzynki polega na dodaniu odpowiedniego wpisu "ulubionym edytorem" do pliku tekstowego a następnie jego konwersję do pliku bazy cdb. Przykładowy wpis:
$> cd /var/qmail/users
$/var/qmail/users> cat assign

=jan.kowalski:jkowalski:9999:9999:/home/jkowalski:::
+jk-:jkowalski:9999:9999:/home/jkowalski:-::
.

$/var/qmail/users> qmail-newu
Pamiętajmy o niezbędnej kropce na końcu pliku. Dlaczego jest niezbędna? To znajdziecie oczywiście w dokumentacji qmaila ;-). Jak widzimy w powyższym przykładzie użytkownik otrzymał od nas skrzynkę postaci jan.kowalski@jakasdomena.pl oraz jk@jakasdomena.pl jego uid/gid to 9999 (taki jak w rzeczywistości posiada) a położenie skrzynki jest w jego katalogu domowym. Użytkownik ma mozliwość korzystania z plików typu .qmail-costam co pozwala mu na samodzielne założenie np. kilku aliasów pocztowych np. jk-praca@jakasdomena.pl poprzez utworzenie pliku .qmail-praca w swoim katalogu domowym. Na koniec wykonujemy konwersję do bazy cdb poleceniem qmail-newu. Możliwe jest hurtowe wygenerowanie skrzynek na podstawie pliku passwd i oczywiście jest to opisane w dokumentacji qmaila.

WALKA ZE SPAMEM

SpamControl W celu większej funkcjonalności związanej z kontrolą spamu zainstalowałem moduł SPAMCONTROL, który udostępnia kontrolę wielu aspektów, o których już wcześniej wspominałem przy opisie konfiguracji. Co potrafi ten moduł? Oczywiście jest to dokładnie opisane na stronie domowej projektu SpamControl. Schematycznie jego działanie przedstawione jest na załączonym rysunku w formacie pdf. Instalacja Instalacja modułu polega na spaczowaniu źródeł qmaila, ponownej kompilacji i podmianie kilku oryginalnych plików qmaila na nowo utworzone. Najprościej można to wykonać poprzez zapaczowanie w "ports" już skompilowanego qmaila i jego rekompilację z reinstalacją. Koniecznie i na wszelki wypadek należy zabezpieczyć sobie aktualne pliki konfiguracyjne qmaila, skrypty startowe, bazę użytkowników i relayowania, tak aby instalacja nie "przykryła" nam naszych cennych oryginałów tymi dystrybucyjnymi. Po zabezpieczeniu tych plików ja zrobiłem to tak:
$> cd /usr/ports/mail/qmail
$/usr/ports/mail/qmail> make
Tutaj wykonuje się ściągnięcie źródeł qmaila (o ile ich nie ma w systemie) i jego kompilacja, usuwamy także znacznik zakończenia kompilacji i następnie paczujemy źródła modułem SpamControl, sprawdzamy czy wszystko przebiegło poprawnie, instalujemy qmaila:
$/usr/ports/mail/qmail> cd work
$/usr/ports/mail/qmail/work> ls -al .[bi]*_done.qmail-1.03_1

-rw-r--r--  1 root  wheel  0 Nov 11 11:22 .build_done.qmail-1.03_1
-rw-r--r--  1 root  wheel  0 Nov 11 11:37 .install_done.qmail-1.03_1

$/usr/ports/mail/qmail/work> rm .[bi]*_done.qmail-1.03_1
$/usr/ports/mail/qmail/work> cd qmail-1.03
$/usr/ports/mail/qmail/work/qmail-1.03> fetch http://www.fehcom.de/qmail/spamcontrol_180_tgz.bin
$/usr/ports/mail/qmail/work/qmail-1.03> tar -zxvf spamcontrol_180_tgz.bin
$/usr/ports/mail/qmail/work/qmail-1.03> ./spamcontrol.sh
$/usr/ports/mail/qmail/work/qmail-1.03> cat spamcontrol.log

Running spamcontrol.sh INSTALLATION at Mon Nov 11 11:20:04 CET 2002 for Revision 180 <<< --> Makefile copied to Makefile.180
--> qmail-smtpd.c copied to qmail-smtpd.c.180
--> qmail-smtpd.8 copied to qmail-smtpd.8.180
--> qmail-showctl.c copied to qmail-showctl.c.180
--> qmail-control.9 copied to qmail-control.9.180
--> qmail-log.5 copied to qmail-log.5.180
--> ipme.c copied to ipme.c.180

$/usr/ports/mail/qmail/work/qmail-1.03> cd ../..
$/usr/ports/mail/qmail> make install clean
Na koniec przywracamy oryginały naszych plików konfiguracyjnych które zostały zastąpione dystrybucyjnymi z oryginałów w źródłach qmaila. Całą operację wykonujemy po zatrzymaniu procesów wysyłki i odbioru poczty qmaila. Po poprawnej instalacji standardowo możemy uruchomić serwer pocztowy naszymi skryptami startowymi. Należy "zająć się" nowymi plikami konfiguracyjnymi qmaila i w zależności od potrzeb je utworzyć (z właściwymi prawami). Od tego momentu dostepne są także zaktualizowane manuale do qmail-smtpd oraz qmail-control a także qmail-log. Nową funkcjonalność qmaila wykorzystamy do lepszej ochrony antyspamowej poprzez wykorzystanie baz spamerów z serwisu PolSpam. Nie zapominajmy o możliwości filtrowania poczty przy pomocy pakietu maildrop, który moim zdaniem jest dużo łatwiejszy w konfigurowaniu regułek. MailDrop Pakiet ten możemy standardowo zainstalować przy pomocy mechanizmu "ports". Znajdziemy go poprzez tradycyjne przeszukanie bazy ports:
$/usr/ports> make search key=maildrop

Port:   maildrop-1.3.8
Path:   /usr/ports/mail/maildrop
Info:   Replacement local mail delivery agent, similar to procmail
Maint:  petef@FreeBSD.org
Index:  mail
B-deps: gdbm-1.8.0
R-deps: gdbm-1.8.0

$/usr/ports> cd mail/maildrop ; make install clean
Każdy użytkownik może przy jego pomocy filtrować pocztę dostarczaną do skrzynki pocztowej. Oto prosty przykład odfiltrowania Koreańskiego spamu po kodowaniu zawartym w nagłówku poczty:
jkowalski@jakishost> cd
jkowalski@jakishost:~> cat .qmail

| preline /usr/local/bin/maildrop

jkowalski@jakishost:~> head -20 .mailfilter

# filtrowanie wedlug kodowania i won do folderu SPAM
if ( /^Content-Type: text\/html; charset="ISO-8859-11"/ )
{
exit
}
if ( /^Content-Type: text\/html; charset="ks_c_5601-1987"/ )
{
exit
}
if ( /^Content-Type: text\/html; charset="euc-kr"/ )
{
exit
}
if ( /^Content-Type: text\/html; charset="EUC-KR"/ )
{
exit
}
# a reszta dostarczana normalnie
to "$HOME/Maildir/"

PolSpam

Do funkcjonalności modułu SpamControl warto dodać synchronizację z bazami adresów spamerów. Jest to bardzo proste i błyskawiczne do wykonania. Najlepszym krajowym serwisem tego typu jest PolSpam i stamtąd właśnie będziemy pobierać bazę spamerów. Można to robić albo poprzez pocztę albo poprzez cykliczne pobieranie aktualizacji baz protokołem http i ja tak właśnie zrobiłem. Skrypty Cytując autorów: Na potrzeby cyklicznej synchronizacji autorzy udostępnili dwa skrypty w Perlu, które automatyzują to zadanie. Skrypt sync_web.pl dokonuje synchronizacji lokalnej bazy adresów poprzez połączenie się z serwerem WWW PolSpamu, natomiast skrypt sync_mail.pl umożliwia przetworzenie listy zmian wysyłanych przez PolSpam w formie wiadomości z listy mailingowej. Obydwa skrypty aktualizują lokalną bazę adresów w pliku o formacie .db, która może być wykorzystana do blokowania spamu przez serwery obsługujące bazy w takim formacie (np. sendmail). Dla oprogramowania wymagającego baz w formacie tekstowym istnieje możliwość, aby skrypt po każdej aktualizacji wygenerował plik tekstowy zawierający adresy z bazy w jednym z formatów: plain, sendmail, qmail, exim czy też procmail. Kod źródłowy skryptów oraz dokumentacja zawarta jest w pliku polspam.tgz. Skrypty udostępnione są na zasadach licencji BSD - można je używać jak i modyfikować bez żadnych ograniczeń. Pobieramy skrypty synchronizujące i po drobnych modyfikacjach typu eksportu do pliku tekstowego oraz jego położenia które to należy poprawić w pierwszych kilkunastu liniach w skrypcie sync_web.pl, zaprzęgamy go do pracy:
$> cd /var/qmail/bin
$/var/qmail/bin> fetch http://www.polspam.info/scripts/polspam.tgz && tar -zxvf polspam.tgz
$/var/qmail/bin> chmod a+rx sync_web.pl
$/var/qmail/bin> grep ^my sync_web.pl | head -3

my $db   = "/var/qmail/control/spammers";               # Path to .db file [required]
my $type = "qmail";                                     # Type out output file [optional]
my $file = "/var/qmail/control/blackholedsender";       # Path to output file [optional]
Synchronizacja Ustawiłem typ eksportu jako plik dla qmaila (prosty plik tekstowy) na /var/qmail/control/blackholedsender co zabroni przyjmowania połączeń ze spamerskich hostów oraz przechowywanie bazy spamerów /var/qmail/control/spammers. Być może perl będzie wymagał modułu LWP, który już tradycyjną metodą zainstalujemy z "/usr/ports/www/p5-libwww". Teraz nasz skrypt jest gotowy do użycia. Pierwszy raz kontrolnie uruchamiamy go "z ręki" i sprawdzamy czy wszystko poszło dobrze. Pierwsze ściągnięcie kompletnej bazy spamerów "trochę" trwa ale każda kolejna synchronizacja "dociąga" juz jedynie same zmiany:
$> cd /var/qmail/control
$/var/qmail/control> /var/qmail/bin/sync_web.pl

$/var/qmail/control> ls -l spammers.db

-rw-r--r--  1 root  qmail  9453568 15 Lis 16:47 spammers.db

$/var/qmail/control> ls -l black*

-rw-r--r--  1 root  qmail  1054418 15 Lis 16:48 blackholedsender
Skoro wszystko działa poprawnie to możemy dodać cykliczne (np. co godzinę) uruchamianie synchronizacji z PolSpam do /etc/crontab:
$> grep qmail /etc/crontab

*  */1  *  *  *  root  (/var/qmail/bin/sync_web.pl 2>&1) >/dev/null

AUTORYZACJA SMTP

Wstęp Autoryzacja SMTP jest jedną z metod ochrony przed nieuprawnionym korzystaniem z bramki pocztowej. Pozwala to na regulowanie kto może wysyłać poczte przez nasz serwer pocztowy. Uzupełnia to metodę wcześniej opisaną w podrozdziale "Relaying" o dodatkowe możliwości z zastosowaniem autoryzacji użytkownika przed wysyłką poczty. Procedurę tę opisuje dokument RFC_2554. Wprowadza ona do protokołu SMTP dodatkowe polecenie "AUTH", jednak nie będę tu tego szczegółowo opisywać bowiem jest to wystarczająco prosto zaprezentowane w cytowanym dokumencie RFC_2554. Implementacja Do wykonania autoryzacji SMTP można użyć modułu qmail-smtpd-auth. Oczywiście jest on wykonany jako patch do qmail-smtpd i udostępnia nową funkcjonalność autoryzacji SMTP. Mozna także przygotować zmodyfikowany moduł cmd5checkpw pozwalający dodatkowo na autoryzację hasłami typu CRAM-MD5 o ile potrzebujemy tego typu autoryzacji oprócz LOGIN czy PLAIN. Konieczne jest wtedy także założenie dodatkowej bazy użytkowników z odpowiadającymi im hasłami. Postępowanie przy paczowaniu qmaila jest analogiczne jak w przypadku SpamControl. Należy także zmodyfikować skrypt startujący odbiór poczty "reciving.sh" poprzez dodanie dodatkowo wywołania /bin/checkpassword analogicznie jak w skrypcie pop3d.rc uruchamiającym usługę pop3 z autoryzacją. Wymuszenie autoryzacji W celu wymuszenia autoryzacji klienta przed zaakceptowaniem przyjmowania od niego przesyłek, można wykorzystać dodatkowy moduł qmail-smtpd-requireauth, który nakładamy na źródła qmail'a po wcześniejszym zapaczowaniu modułem qmail-smtpd-auth. Moduł ten sprawdza ustawienie zmiennej środowiskowej REQUIREAUTH w regułkach tcpserver'a oraz na tej podstawie decyduje czy przyjąć pocztę od klienta _bez_ czy wyłącznie _po_ wykonaniu wcześniejszej poprawnej autoryzacji. Szczególnie jest to przydatne gdy udostępniamy konta dial-up'owe i chcemy przyjmować (relay) pocztę do dalszej wysyłki z adresów tej wdzwanianki, jednak dopiero gdy użytkownik się zautoryzuje. Zabezpiecza to przed nieuprawnionym wykorzystaniem otwartego dla tej wdzwanianki relay'a do nadużyć. Informacje dodatkowe Autoryzacja SMTPD odbywa sie przy aktywnym współudziale zarówno serwera poczty jak i klienta poczty. Różne serwery pocztowe wspierają różne rodzaje autoryzacji po stronie serwera SMTP. Odpowiednio oprogramowanie klienckie musi posługiwać się tą samą metodą autoryzacji po stronie klienta co serwer pocztowy do którego wykonywane jest autoryzowane połączenie.

OCHRONA ANTYWIRUSOWA

Qmail Scanner W celu uruchomienia ochrony antywirusowej na bramce pocztowej (qmail) można zastosować rozwiązanie polegające na podmianie wywołania w qmail'u podprogramu obsługującego kolejke pocztową (qmail-queue) na qmail-scanner-queue.pl. Qmail-Scanner jest napisany w perl'u przez Jason'a Haar'a. Eleganckim rozwiązaniem jest patch Bruce Guenter'a QMAILQUEUE. Dzięki niemu qmail-send otrzymuje dodatkową funkcjonalność - rozpoznawanie zmiennej środowiskowej QMAILQUEUE. Zmienna ta powinna zawierać pełna ścieżkę z nazwą programu obsługującego kolejkę. Możemy ją ustawiać w zależności od potrzeb przy pomocy tcpserver'a - np. w regułkach relayingu:
$/etc> head -2 tcp.smtp
127.:allow,RELAYCLIENT="",QMAILQUEUE="/var/qmail/bin/qmail-queue"
192.168.0.1-255:allow,RELAYCLIENT="",QMAILQUEUE="/var/qmail/bin/qmail-scanner-queue.pl"
Skrypty startujące qmail za pośrednictwem tcpserver'a odpowiednio wykorzystują ustawianie zmiennych środowiskowych - tu możemy różnicować ścieżkę do oryginalnego qmail-queue bądź do qmail-scanner-queue.pl w zależności od adresu z jakiego przychodzi połączenie. W powyższym przykładzie przy wysyłaniu poczy przez użytkowników lokalnych serwera nie będzie wykonywane skanowanie poczty, natomiast wysyłka poczty z sieci lokalnej będzie podlegać skanowaniu. Instalacja sprowadza się do nałożenia patch'a na źródła qmaila, analogicznie jak w przypadku SpamControl, kompilacji i instalacji qmaila. Poprawność implementacji zmiennej QMAILQUEUE w programie qmail-send możemy zweryfikować poleceniem:
$/var/qmail/bin> strings qmail-send | grep QMAIL
QMAILQUEUE
Przed instalacją warto zainstalować narzędzie napisane przez Marka SImpson'a (tnef) służące do rozpakowywania poczty wysyłanej w outlookowym formacie Microsoft's Transport Neutral Encapsulaton Format (oczywiście dostępne w portach). W przykładowej instalacji zdecydowałem sie nie rozpakowywać załączników pocztowych oraz nie używać zewnętrznego skanera antywirusowego. Wykorzystana jest w tym przypadku jedynie funkcjonalność blokowania poczty z potencjalnie niebezpiecznymi załącznikami. Przykładowa instalacja Qmail-Scanner'a odbywa się następująco:
$~> tar -zxvf qmail-scanner-1.20rc3.tgz && cd qmail-scanner-1.20rc3
$~/qmail-scanner-1.20rc3> ./configure --spooldir /home/qmail/qmailscan \
--admin antiviradmin --notify "sender,admin" --lang "en_PL" --scanners "none" \
--unzip no --log-details yes --bindir /var/qmail/bin

Building Qmail-Scanner 1.20rc3...

This script will search your system for the virus scanners it knows
about, and will ensure that all external programs
qmail-scanner-queue.pl uses are explicitly pathed for performance
reasons.


It will then generate qmail-scanner-queue.pl - it is up to you to install it
correctly.

Continue? ([Y]/N)y

/usr/bin/uudecode works as expected on system...

Found tnef on your system! That means we'll be able to decode stupid
M$ attachments :-)

The following binaries and scanners were found on your system:

mimeunpacker=/usr/local/bin/reformime
uudecode=/usr/bin/uudecode
unzip=/usr/local/bin/unzip
tnef=/usr/local/bin/tnef

Content/Virus Scanners installed on your System

Qmail-Scanner details.

log-details=mailstats.csv
fix-mime=1
debug=1
notify=sender
redundant-scanning=no
virus-admin=antiviradmin@maszyna.gdzies.w.pl
local-domains='maszyna.gdzies.w.pl'
silent-viruses='klez','bugbear','hybris','yaha','braid','nimda','tanatos','sobig
','winevar','palyh','fizzer'
scanners=

If that looks correct, I will now generate qmail-scanner-queue.pl
for your system...

Continue? ([Y]/N)y

Finished. Please read README(.html) and then go over the script to
check paths/etc, and then install as you see fit.

Remember to copy quarantine-attachments.txt to /home/qmail/qmailscan and then
run "qmail-scanner-queue.pl -g" to generate DB version.


########################################################################
##
#

NOTE: No content/virus scanner was found on your system - so only the
internal perlscaner will be available for you to use.

Hope that's what you expected :-)

#
##
########################################################################



       ****** FINAL TEST ******

Please log into an unpriviledged account and run
/var/qmail/bin/qmail-scanner-queue.pl -g

If you see the error "Can't do setuid", or "Permission denied", then
refer to the FAQ.

(e.g.  "setuidgid qmaild /var/qmail/bin/qmail-scanner-queue.pl -g")


That's it! To report success:

% (echo 'First M. Last'; cat SYSDEF)|mail jhaar-s4vstats@crom.trimble.co.nz
Replace First M. Last with your name.
W tym miejscu zdecydowałem, iż najlepiej będzie kontynuowac dalszą instalację ręcznie. Założyłem w systemie uzytkownika (i grupę) na którym będzie wykonywany qmail-scanner-queue.pl. Utworzyłem katalog w którym odbywa się cały proces skanowania oraz gdzie znajdują się pliki konfiguracyjne. Wszystko to opisuje ta strona z dokumentacji. Należy stworzyć odpowiednią strukturę katalogów, nadac im właściwe prawa dla użytkownika (i grupy) na którym będzie uruchamiany qmail-scanner-queue.pl, stworzyć alias pocztowy antiviradmin do którego będą kierowane maile z informacjami o przechwyconych wirusach. Z uwagi na dziwne zachowanie qmail-scanner-queue.pl polegające na pomijaniu sprawdzania niektórych maili postanowiłem zbadać sprawę. Okazało się że nie zawsze jest wywoływany qmail-scanner-queue.pl a czasem qmail-queue co może wynikać z mojej nietypowej konfiguracji z anti-spam'em i innymi modułami. Postanowiłem podmienić ręcznie odpowiednie pliki i tak:
qmail-queue -> qmail-scanner-queue.pl
qmail-queue-orig
qmail-scanner-queue.pl
W qmail-scanner-queue.pl ręcznie (lub poprzez odpowiednie wywołanie w confugure) zmodyfikowałem wskazanie z qmail-queue na binarkę qmail-queue-orig która powstała poprzez zmianę nazwy oryginalnej qmail'owej qmail-queue. Takie ustawienie definitywnie rozwiązało problem. Po udanych testach i sprawnym działaniu ostateczna wersja konfiguracji qmail-scanner'a przyjęła postac skryptu jak na poniższym listingu:
#!/bin/sh
echo Przygotowanie qmail-scanner-queue.pl ...
#
./configure --spooldir /home/qmail/qmailscan \
--admin qscan --notify "sender,admin" --lang "en_PL" --scanners "clamscan" \
--unzip no --log-details yes --bindir /var/qmail/bin \
--skip-text-msgs no --no-QQ-check --debug no \
--qmail-queue-binary /var/qmail/bin/qmail-queue-orig
#
echo Kopiowanie do /var/qmail/bin/ ...
cp qmail-scanner-queue.pl /var/qmail/bin/
Podstawowym plikiem konfiguracyjnym sterującym działaniem skanera jest quarantine-attachments.txt Po każdej wykonanej zmianie w zawartości pliku należy wykonać aktualizację bazy poleceniem:
$>/var/qmail/bin/qmail-scanner-queue.pl -g
perlscanner: generate new DB file from /home/qmail/qmailscan/quarantine-attachments.txt
perlscanner: total of 42 entries.
Przykładowa zawartość tego pliku może wyglądać jak w poniższym przykładzie:
# skanowanie po temacie maila Subject:
MS.*Corporation* Virus-Subject:  Falszywy pakiet aktualizacji z koniem trojanskim
ms.*network*  Virus-Subject:  Falszywy pakiet aktualizacji z koniem trojanskim
MS.*Net*  Virus-Subject:  Falszywy pakiet aktualizacji z koniem trojanskim
*Microsoft*  Virus-Subject:  Falszywy pakiet aktualizacji z koniem trojanskim
*Network.Security.* Virus-Subject:  Falszywy pakiet aktualizacji z koniem trojanskim
*Network.Critical.* Virus-Subject:  Falszywy pakiet aktualizacji z koniem trojanskim
*.Internet.Update* Virus-Subject:  Falszywy pakiet aktualizacji z koniem trojanskim
*.Internet.Pack* Virus-Subject:  Falszywy pakiet aktualizacji z koniem trojanskim
*Critical.Upgrade* Virus-Subject:  Falszywy pakiet aktualizacji z koniem trojanskim
*Critical.Patch* Virus-Subject:  Falszywy pakiet aktualizacji z koniem trojanskim
Use.this.patch.* Virus-Subject:  Falszywy pakiet aktualizacji z koniem trojanskim

# skanowanie po znanych mime:
EICAR.COM   69 EICAR Test Virus
Happy99.exe   10000 Happy99 Trojan
zipped_files.exe  120495  W32/ExploreZip.worm.pak virus
ILOVEYOU   Virus-Subject:  Love Letter Virus/Trojan
message/partial.*  Virus-Content-Type: Message/partial MIME attachments blocked by policy
application/x-msdownload* Virus-Content-Type:     application/x-msdownload MIME attachments blocked by policy

# skanowanie po załącznikach niebezpiecznych:
# .EXE,*.COM,*.BAT,*.CMD,*.VBS,*.PL,*.BAS,*.JS,*.JAVA,
# *.REG,*.SHS,*.PIF,*.SCR,*.DLL,*.SSH,*.CHM,*.HLP,*.LNK

.vbs 0 pliki .vbs moga byc niebezpieczne i sa niedozwolone w poczcie
.lnk 0 pliki .lnk moga byc niebezpieczne i sa niedozwolone w poczcie
.scr 0 pliki .scr moga byc niebezpieczne i sa niedozwolone w poczcie
.wsh 0 pliki .vsh moga byc niebezpieczne i sa niedozwolone w poczcie
.hta 0 pliki .hta moga byc niebezpieczne i sa niedozwolone w poczcie
.pif 0 pliki .pif moga byc niebezpieczne i sa niedozwolone w poczcie
.com 0 pliki .com moga byc niebezpieczne i sa niedozwolone w poczcie
.exe 0 pliki .exe moga byc niebezpieczne i sa niedozwolone w poczcie
.bat 0 pliki .bat moga byc niebezpieczne i sa niedozwolone w poczcie
.cmd 0 pliki .cmd moga byc niebezpieczne i sa niedozwolone w poczcie
.pl 0 pliki .pl moga byc niebezpieczne i sa niedozwolone w poczcie
.bas 0 pliki .bas moga byc niebezpieczne i sa niedozwolone w poczcie
.js 0 pliki .js moga byc niebezpieczne i sa niedozwolone w poczcie
.java 0 pliki .java moga byc niebezpieczne i sa niedozwolone w poczcie
.reg 0 pliki .reg moga byc niebezpieczne i sa niedozwolone w poczcie
.shs 0 pliki .shs moga byc niebezpieczne i sa niedozwolone w poczcie
.dll 0 pliki .dll moga byc niebezpieczne i sa niedozwolone w poczcie
.ssh 0 pliki .ssh moga byc niebezpieczne i sa niedozwolone w poczcie
.chm 0 pliki .chm moga byc niebezpieczne i sa niedozwolone w poczcie
.hlp 0 pliki .hlp moga byc niebezpieczne i sa niedozwolone w poczcie
Należy pamiętać że poszczególne kolumny (pola) są oddzielane znakiem tabulacji. Po całej procedurze instalacji należy zrestartować qmail'a oraz przetestować wysyłkę poczty z serwera oraz z sieci, z załącznikami i bez, z dozwolonymi i nie. Clam Antivirus Poprawne działanie qmail-scanner'a umożliwiło dodanie pełnej kontroli antywirusowej przy użyciu darmowego Clam AntiVirus'a. Instalację najłatwiej wykonać przy użyciu port'u /usr/ports/security/clamav wykonując polecenie: cd /usr/ports/security/clamav ; make install clean Szczegółowy i oryginalny opis instalacji na FreeBSD jest dostępny tutaj. System port'ów FreeBSD znakomicie ułatwia całą procedurę. Pozostaje jedynie wykonać ręcznie polecenie: freshclam --verbose. W kolejnym kroku należy sporządzić skrypt startujący daemona freshclam (/usr/local/etc/rc.d/clamav.sh) tak aby automatycznie kilka razy na dobę aktualizował naszą bazę sygnatur wirusów:
#!/bin/sh
#
# Startup / shutdown script for Clam Antivirus
case "$1" in
start)
 /usr/local/bin/freshclam -d -c 6 -l /var/log/freshclam.log
 echo -n ' freshclam'
 ;;

stop)
 /usr/bin/killall freshclam > /dev/null 2>&1 \
 && echo -n ' freshclam'
 ;;

*)
 echo ""
 echo "Usage: ^Basename $0 { start | stop }"
 echo ""
 exit 64
 ;;
esac
Mks_Vir opracowanie w toku...
Dokumentacja jest umieszczona na stronie domowej autora qmaila http://cr.yp.to a także na stronie głównej projektu http://www.qmail.org manuale dostępne w systemie po zainstalowaniu oprogramowania. Na stronie głównej projektu jest także dostępne FAQ oraz różne dodatki do qmaila. Polecam także lekturę Life with qmail. Podziękowania dla Adama Liberackiego za cenne uwagi i korektę, Marka Zbrocha za info o requireauth i pacze do Qmail Scanner'a (obsługa Mks_Vir'a) oraz wszystkich z pl.comp.os.freebsd za "konstruktywną krytykę".
Post a Comment