30. Почтовые серверы

Существует два типа почтовых серверов: серверы, взаимодействующие с Интернетом для обработки входящих и исходящих сообщений, и внутренние серверы, взаимодей­ ствующие с пользователями. Ниже мы опишем структуру почтовой системы, которая, как нам кажется, является легко масштабируемой, хорошо управляемой и безопасной. Задачи управления входящей и исходящей почтой в ней решают специально выделен­ ные для этих целей серверы. Один из вариантов такой структуры приведен на рис. 20.2.

Интернет DMZ Внутренняя сеть

DLP = Предотвращение утечки данных

Рис. 20.2. Структура почтовой системы (вариант I)

Почтовая система, изображенная на рис. 20.2, состоит из двух частей: DMZ (демили­ таризованной зоны), компьютеры которой подключены непосредственно к Интернету, и внутренней зоны, отделенной от зоны DMZ и Интернета с помощью брандмауэра. В зоне DMZ расположено несколько серверов.

• Транспортный агент, прослушивающий порт 25 и передающий входящую почту на фильтры.

800

Часть II. Работа в сети

• • • • •

Фильтры вирусов и спама, отвергающие или отправляющие “в карантин” опасные сообщения.

Копия базы данных LDAP (Lightweight Directory Access Protocol — облегченный про­ токол доступа к каталогам), содержащая исходящую информацию почтовой системы.

Исходящий транспортный агент, пытающийся доставить почту, отправленную аген­ том представления.

Резервный исходящий агент МТА для исходящих сообщений, не отправленных с первой попытки.

Кеширующий сервер DNS, используемый исходящим агентом МТА для просмо­ тра записей MX и входящим агентом МТА — для просмотра “черного списка” (до­ менов отправителей), а также криптографической информации для подписанных сообщений.

Сервер исходящей почты, который непосредственно подключен к Интернету, наи­ более уязвим. Он должен быть хорошо защищен, иметь мало пользователей и не выпол­ нять посторонних процессов или услуг. Каждое сообщение, которое он обрабатывает, должно быть проверено, чтобы выполнялись следующие условия.

Организация отправителя не занесена в черный список.

Запись SPF отправителя является корректной.

Местный получатель является корректным.

Если сообщение подписано, можно проверить его подпись DKIM.

Сообщение не содержит вредоносных программ.

Сообщение не является спамом. 
Все эти задачи, связанные со сканированием сообщений, можно выполнить внутри агента МТА или с помощью отдельного пакета, например amavisd-new. Сканирование спама и вредоносных программ описывается в разделе 20.6. 
Сервер исходящей почты должен не менее хорошо контролироваться. Если в ор­ ганизации используются большие списки рассылки, то резервный агент МТА может повысить общую производительность работы, изолировав проблему, связанную с по­ лучателем, и решив ее отдельно. Мы предполагаем, что фильтрация и сканирование ис­ ходящей почты выполняются агентом МТА во внутренней зоне. 
К серверам внутренней зоны относятся следующие агенты. 
• Транспортный агент внутренней маршрутизации, выполняющий маршрутизацию принятой почты в хранилище сообщений.

• • •

Исходная база данных LDAP, содержащая информацию о маршрутизации почты. Агенты представления или транспортные агенты для исходящей почты.

Фильтры вирусов, спама и механизм предотвращения утечки данных (DLP — data leak prevention).

Исходящая почта должна сканироваться на вирусы и спам, чтобы убедиться, что ло­ кальные компьютеры не инфицированы, и ограничить распространение вредоносных программ среди других организаций. Если ваша организация обеспокоена вопросами утечки конфиденциальной или секретной информации (например, номеров кредитных карточек или карточек социального страхования), то фильтрация DLP должна быть вы­ полнена во внутреннем агенте представления до того, как сообщение достигнет исходя­ щего транспортного агента в более уязвимой зоне DMZ.

Большинство современных систем фильтрации DLP встроено в коммерческие про­ дукты для работы в сети веб и обработки электронной почты (например, ClearEmail, IronPort компании Cisco, WebSense, Content Control и так далее) и “раскручено” с по­ мощью агрессивной рекламы. Некоторые из этих программ содержат механизмы для перекодировки номеров карточек социального страхования и кредитных карточек, а также слов и фраз, которые можно задать заранее. Сканирование DLP пока находится в первичном состоянии и имеет определенные юридические последствия. Следует убедить сотрудников и заключить с ними соглашение о том, что вы имеете право сканировать входящую и исходящую почту в поисках спама, вредоносных программ и конфиденци­ альной информации.

В конце пути, который проходит электронное сообщение, находятся пользователи, работающие во внутренней зоне и имеющие доступ как к хранилищу сообщений (для отправки входящей почты), так и к агенту представления (для посылки исходящей по­ чты). Эти пользователи могут быть удаленными. В этом случае они должны использо­ вать команду SMTP-AUTH, чтобы аутентифицировать себя.

При необходимости почтовые серверы для входящих и исходящих сообщений можно реплицировать. Например, несколько серверов для входящих сообщений можно скрыть за блоком балансировки загрузки или можно использовать записи DNS MX чтобы при­ мерно сбалансировать загрузку. Разные клиентские машины могут направлять почту че­ рез разные серверы исходящих сообщений.

И наоборот, организации с небольшой загрузкой могут разумно сочетать серверы входящих и исходящих сообщений. Некоторые механизмы, такие как BATV или отража­ тель Pen-pals, легче реализовать на одном сервере. BATV (bounce address tag valifation — проверка обратного адреса) — это схема, определяющая, истинным или поддельным является обратный адрес. Он не дает отражателю электронной почты отправлять со­ общения по поддельным адресам. Pen-pals (часть утилиты amavisd-new) — это схема, уменьшающая вероятность того, что письмо является спамом, если его отправитель ра­ нее уже отвечал на сообщения, посланные одним из ваших пользователей.

Обсуждение механизмов распределения файлов приведено в разделе 19.2.

Большинство компьютеров вашей организации могут использовать минимальную конфигурацию агентов MSA/MTA, которые пересылают всю исходящую почту для об­ работки на сервер с более сложными механизмами. Они не обязаны принимать почту из Интернета и могут использовать одну и ту же конфигурацию. Эту конфигурацию можно распространить с помощью команд rdist или rsync.

Организации, использующие такие программы, как Microsoft Exchange или Lotus Notes, но не желающие подсоединять их непосредственно к Интернету, могут использо­ вать схему, описанную выше, в которой программа Exchange играет роль маршрутизато­ ра во внутренней зоне.

Независимо от выбранной схемы организации почтовой системы, убедитесь, что ваша конфигурация агента МТА, записи DNS MX и правила брандмауэра соответствуют одним и тем же правилам обработки почты.