LINUX-сервер пошаговые инструкции инсталляции и настройки - Бруй В. В. , Карлов С. В

ЗАМЕЧАНИЕ В файл следует включать только названия хостов, которые отправляют почту в Интернет, используя ваш SMTP-сервер Exim. Хосты, которые отправляют почту на локальные почтовые адреса, например, служебные сообщения, адресуемые администратору системы на локальный почтовый адрес

root@test.bruy.info, не следует включать в файл /etc/mail/relaydomains.

Строки: log_selector = \

+all_parents \ +received_sender \ +received_recipients \ +smtp_confirmation \

+smtp_syntax_error

используются для определения опций регистрации, необходимых для использования с Exim. В рассматриваемом примере регистрируются все события, связанные с почтовым сервером. Это означает, что если вы посылаете, получаете, отправляете и т. д. почту, то все действия будут зарегистрированы в файле

/var/log/maillog.

Строка:

allow_domain_literals = false

используется для запрещения обработки почтовых адресов в формате mailbox@212.111.80.33, который может быть использован для рассылки спама, задействуя ваш почтовый сервер.

Строка:

never_users = root:daemon:bin:sync:named

определяет список локальных пользователей, которым запрещено получать почту. В рассматриваемом примере пользователи root, daemon, bin, sync и named не смогут получать почту. Для доставки служебных сообщений, адресованных этим пользователям, используется файл /etc/mail/aliases.

Строка:

host_lookup = *

указывает на необходимость преобразования всех IP-адресов, содержащихся в заголовках входящей почты, в имена хостов. Эта опция снижает производительность почтового сервера. На сильно загруженных серверах эта строка должна быть закомментирована.

Строка:

trusted_users = mail

определяет список пользователей, от имени которых запущенны процессы, которые имеют возможность отправлять сообщения без указания поля Sender. Эта опция используется для обеспечения нормальной работы антивирусного и антиспамерского программного обеспечения. Элементы списка пользователей разделяются двоеточием.

Строки:

gecos_pattern = ^([^,:]*) gecos_name = $1

обеспечивают добавление в заголовки сообщений дополнительных сведений, содержащихся в поле gecos. Строка:

freeze_tell = postmaster

указывает на необходимость сообщения на некоторый почтовый адрес - в рассматриваемом примере postmaster@test.bruy.info - о «замороженных» сообщениях (т. е. сообщениях, которые невозможно доставить).

Строка:

auto_thaw = 1h

определяет интервал времени, по истечении которого производится повторная попытка доставки «замороженного» сообщения.

Строка:

ignore_bounce_errors_after = 30m

определяет интервал времени, по истечении которого производится повторная попытка доставки «замороженного» сообщения с игнорированием всех ошибок.

Строка:

timeout_frozen_after = 7d

определяет интервал времени, в течение которого «замороженные» сообщения должны быть удалены. Строки:

received_header_text = "Received: \

${if def:sender_rcvhost {from ${sender_rcvhost}\n\t}\ {${if def:sender_ident {from ${sender_ident} }}\

${if def:sender_helo_name {(helo=${sender_helo_name})\n\t}}}}\ by ${primary_hostname} \

определяют содержание заголовков, добавляемых к каждому входящему сообщению. Строка:

system_filter = /etc/mail/system-filter

определяют имя и местоположение файла, содержащего фильтры, используемые для блокирования доставки нежелательных сообщений.

Строка:

message_body_visible = 5000

определяет максимальное количество строк сообщения, просматриваемое фильтрами. Строка:

message_size_limit = 10M

определяет максимально допустимый размер обрабатываемых сообщений. Строка:

smtp_accept_max = 2048

определяет максимальное число обрабатываемых подключений к SMTP-серверу. На небольших почтовых серверах с целью предотвращения DoS-атак это значение следует уменьшить, например, до 512.

Строка:

smtp_connect_backlog = 256

определяет максимальное число ожидаемых SMTP-соединений. В случае, если число установленных соединений превысит величину, определенную в этой строке, последующие попытки будут отменены на уровне

TCP/IP.

Строка:

queue_only

отменяет немедленную доставку новых сообщений и помещает их в очередь. Строка:

split_spool_directory

предписывает разбить каталог для входящей почты на 62 подкаталога, что повышает производительность системы.

Строка:

queue_run_max = 1

определяет максимальное количество процессов, обслуживающих очередь. Если установлено значение больше единицы, то возможна одновременная обработка сообщений в очереди несколькими процессами.

Строка:

remote_max_parallel = 1

определяет максимальное количество процессов, которые могут быть использованы для доставки сообщений. Если установлено значение больше единицы, то возможна одновременная доставка нескольких сообщений.

Строки: rfc1413_hosts = *

rfc1413_query_timeout = 0s

повышают производительность сервера за счет запрета идентификационных соединений, описанных в RFC

1413.

Строки:

smtp_banner = "Welcome on our mail server!\n\ This system does not accept Unsolicited \ Commercial Email\nand will blacklist \

offenders via our spam processor.\nHave a \ nice day!\n\n${primary_hostname} ESMTP Exim \

${version_number} ${tod_full}"

определяют содержание сообщения, получаемого удаленной системой при установке соединения с SMTPсервером.

В разделе ACL CONFIGURATION описываются списки контроля доступа для входящих сообщений. Каждый раздел главного конфигурационного файла, кроме MAIN CONFIGURATION SETTINGS, на-

чинается со строки, содержащей ключевое слово begin и название раздела. Для рассматриваемого раздела -

это begin acl.

Строка:

check_recipient:

начинает описание свода правил для входящих сообщений. Строка:

запрещает получать сообщения, содержащие в локальной части почтового адреса символы @, %, !, / и |. Эти символы практически никогда не используются в локальной части почтового адреса, но могут использоваться при попытках обхода правил блокирования сообщений.

запрещают получать сообщения с почтовых адресов, содержащихся в файле базы данных

/etc/mail/access.db.

запрещают получение сообщений, если они не адресованы локальному хосту, и запрещают проверку отправителя сообщения с локального хоста.

разрешают прием входящих сообщений только для локального хоста в случае, когда пользователь, которому адресовано сообщение, существует.

служит признаком окончания свода правил списка контроля доступа check_recipient. Строки:

check_message:

accept

разрешают прием сообщений, прошедших фильтрацию правилами, установленными в списке контроля дос-

тупа с именем check_recipient.

Дополнительная информация об опциях, используемых в этом разделе, может быть получена из фай-

ла документации /var/tmp/exim-html-4.10/doc/html/spec_37.html.

В разделе ROUTERS CONFIGURATION определяются способы обработки почтовых адресов и способы доставки сообщений.

Строка:

begin routers

определяет начало раздела. Строки:

dnslookup:

driver = dnslookup

domains = ! +local_domains transport = remote_smtp

ignore_target_hosts = 0.0.0.0 : 127.0.0.0/8

no_more

описывают маршрутизатор, предназначенный для определения имени удаленных хостов-отправителей сообщений.

Строки: system_aliases:

384 Часть 7. Программное обеспечение для организации службы электронной почты

driver = redirect allow_fail allow_defer

data = ${lookup{$local_part}lsearch{/etc/mail/aliases}} user = mail

file_transport = address_file

pipe_transport = address_pipe

описывают маршрутизатор, предназначенный для пересылки сообщений в соответствии с определенными ранее псевдонимами.

Строки: userforward:

driver = redirect check_local_user

file = $home/.forward no_verify

no_expn check_ancestor allow_filter modemask = 002

file_transport = address_file pipe_transport = address_pipe

reply_transport = address_reply

описывают маршрутизатор, предназначенный для отправки сообщений. При этом строка: file = $home/.forward

разрешает использование для перенаправления сообщений файлов .forward, находящихся в домашних каталогах пользователей. Эти файлы также могут быть использованы для создания пользовательских фильтров, например, помещающих письма из спамерских рассылок в отдельный почтовый ящик или выполняющих функции автоответчика.

Строки: localuser:

driver = accept check_local_user

transport = local_delivery

описывают маршрутизатор, предназначенный для доставки сообщений локальным пользователям. Дополнительная информация об опциях, используемых в этом разделе, может быть получена из фай-

ла документации /var/tmp/exim-html-4.10/doc/html/spec_14.html.

В разделе TRANSPORTS CONFIGURATION определяются механизмы доставки сообщений адреса-

там.

Строка:

begin transports

определяет начало раздела. Строки:

remote_smtp:

driver = smtp

описывают транспорт, ответственный за доставку сообщений с помощью SMTP-соединений. Строки:

local_delivery: driver = appendfile

file = /var/mail/$local_part delivery_date_add envelope_to_add return_path_add

group = mail

mode = 0600

описывают транспорт, ответственный за локальную доставку сообщений в пользовательские почтовые ящики традиционного BSD-формата.

Строки: address_pipe:

driver = pipe

return_output

описывают транспорт, ответственный за доставку сообщений в соответствии с настройками псевдонимов и файлами $home/.forward.

Определите права доступа к файлу /etc/mail/localdomains и назначьте его владельцем пользователя root:

[root@test /]# chmod 640 /etc/mail/localdomains [root@test /]# chown 0.12 /etc/mail/localdomains

Конфигурационный файл /etc/mail/relaydomains

В файле /etc/mail/relaydomains содержится список доменов, с которых разрешена отправка сообщений.

Шаг 1

Создайте файл /etc/mail/relaydomains, руководствуясь вашими потребностями и ниже приведенными рекомендациями:

#This file handle all domains from which relaying is allowed.

#By default we include the localhost of the server or nothing will work.

#Virtual Domains must be added to this list or relaying will be denied.

#N.B.: Exim must be restarted after this file is modified.

localhost

Шаг 2

Определите права доступа к файлу /etc/mail/relaydomains и назначьте его владельцем пользователя root:

[root@test /]# chmod 640 /etc/mail/relaydomains [root@test /]# chown 0.12 /etc/mail/relaydomains

Конфигурационный файл /etc/mail/aliases

Файл /etc/mail/aliases содержит правила для преобразования адреса получателя в другой. Совмещение имен в среде почтового сервера – это процесс преобразования одного локального имени получателя в другое. Из соображений безопасности Exim никогда не доставляет почту пользователю root. Для получения служебных сообщений, адресованных этому пользователю, и переадресации их пользователю, администрирующему систему, может быть использован файл /etc/mail/aliases. В RFC-2821 и RFC2822 подробно описан минимальный набор псевдонимов, необходимый для нормальной работы почтовых серверов.

Шаг 1

Создайте файл /etc/mail/aliases, руководствуясь вашими потребностями и ниже приведенными рекомендациями:

#The following aliases are required by the mail RFCs 2821 and 2822.

#At least, you should set "postmaster" to the address of a HUMAN

#who deals with this system's mail problems.

#

postmaster: real_person@test.bruy.info mailer-daemon: postmaster

root: postmaster

#It is a good idea to redirect any messages sent to system accounts

#so that they don't just get ignored.

amavis: root operator: root abuse: root hostmaster: root webmaster: root

ЗАМЕЧАНИЕ Не забудьте изменить real_person@bruy.info на действительный почтовый адрес системного администратора.

Шаг 2

Определите права доступа к файлу /etc/mail/aliases и назначьте его владельцем пользователя

root:

[root@test /]# chmod 640 /etc/mail/aliases [root@test /]# chown 0.12 /etc/mail/aliases

Шаг 3 Для повышения производительности почтового сервера, в рассматриваемом примере, сведения о

псевдонимах пользователей хранятся в файле базы данных /etc/mail/aliases.db, а не в конфигурационном файле /etc/mail/aliases. Для формирования файла /etc/mail/aliases.db необходимо выполнить следующие команды:

[root@test /]# cd /etc/mail/

[root@test mail]# /usr/sbin/exim_dbinbuild aliases aliases.db [root@test mail]# chmod 640 aliases.db

[root@test mail]# chown root.mail aliases.db

ЗАМЕЧАНИЕ Процедуру формирования файла базы данных необходимо осуществлять для вступления в силу любых изменений, внесенных в файл /etc/mail/aliases.

Конфигурационный файл etc/mail/access

Файл /etc/mail/access используется для блокировки получения почты с определенных почтовых адресов.

ЗАМЕЧАНИЕ Для борьбы со спамом лучше использовать программу SpamAssassin, интеграция которой с Exim описана ниже.

Шаг 1

Для блокировки доставки сообщений с нежелательных адресов, создайте файл /etc/mail/access

идобавьте строки в соответствии с вашими потребностями и приведенными и ниже рекомендациями:

#The value part of the file must contain any email addresses from

#which you want to block access for sending mail to your server.

#N.B.: Exim must be restarted after this file is modified.

#Please list each email address one per line.

zlobny_spamer@yaho.com hhc@email2me.net

Шаг 2

Определите права доступа к файлу /etc/mail/access и назначьте его владельцем пользователя

root:

[root@test /]# chmod 640 /etc/mail/access [root@test /]# chown 0.12 /etc/mail/access

Шаг 3 Для повышения производительности почтового сервера, в рассматриваемом примере, сведения о бло-

кируемых адресах хранятся в файле базы данных /etc/mail/access.db, а не в конфигурационном файле /etc/mail/access.db. Для формирования файла /etc/mail/access.db необходимо выполнить следующие команды:

[root@test /]# cd /etc/mail/

[root@test mail]# /usr/sbin/exim_dbinbuild access access.db [root@test mail]# chmod 640 access.db

[root@test mail]# chown root.mail access.db

ЗАМЕЧАНИЕ Формирование файла базы данных необходимо осуществлять для вступления в силу любых изменений, внесенных в файл /etc/mail/access.

Конфигурационный файл /etc/mail/system-filter

Файл /etc/mail/system-filter используется для настройки правил фильтрации сообщений.

Шаг 1

Для блокировки доставки сообщений с нежелательных адресов создайте файл /etc/mail/systemfilter в соответствии с вашими потребностями и приведенными ниже рекомендациями:

## ---------------------------------------------------------------------

#Only run any of this stuff on the first pass through the filter - this

#is an optimization for messages that get queued and have several

#delivery attempts. We express this in reverse so we can just bail out

#on inappropriate messages.

#

if not first_delivery then

finish endif

## ---------------------------------------------------------------------

#Check for MS buffer overruns as per BUGTRAQ.

#This could happen in error messages, hence its placing here...

#We substract the first n characters of the date header and test if its

# the same as the date header... which is a lousy way of checking if the

# date is longer than n chars long.

#

if ${length_80:$header_date:} is not $header_date: then

fail text "This message has been rejected because it has\n\ an overlength date field which can be used\n\

to subvert Microsoft mail programs\n\

The following URL has further information\n\

http://www.securityfocus.com/frames/?content=/templates/article.html%3Fid

%3D61"

seen finish endif

## ---------------------------------------------------------------------

#These messages are now being sent with a <> envelope sender, but

#blocking all error messages that pattern match prevents bounces

#

if $header_from: contains "@sexyfun.net" then

fail text "This message has been rejected since it has\n\ the signature of a known virus in the header."

seen finish endif

if error_message and $header_from: contains "Mailer-Daemon@" then

# looks like a real error message - just ignore it finish

endif

## ---------------------------------------------------------------------

#Look for single part MIME messages with suspicious name extensions.

#Check Content-Type header using quoted filename [con-

tent_type_quoted_fn_match]

#

if $header_content-type: matches "(?:file)?name=(\"[^\"]+\\\\.(?:ad[ep]|ba[st]|chm|cmd|com|cpl|crt|eml|exe |hlp|hta|in[fs]|isp|jse?|lnk|md[be]|ms[cipt]|pcd|pif|reg|scr|sct|shs|url| vb[se]|ws[fhc])\")"

then

fail text "This message has been rejected because it has\n\ potentially executable content $1\n\

This form of attachment has been used by\n\ recent viruses or other malware.\n\

If you meant to send this file then please\n\ package it up as a zip file and resend it."

seen finish endif

# Same again using unquoted filename [content_type_unquoted_fn_match]

#

if $header_content-type: matches "(?:file)?name=(\\\\S+\\\\.(?:ad[ep]|ba[st]|chm|cmd|com|cpl|crt|eml|exe|h lp|hta|in[fs]|isp|jse?|lnk|md[be]|ms[cipt]|pcd|pif|reg|scr|sct|shs|url|vb [se]|ws[fhc]))"

then

fail text "This message has been rejected because it has\n\ potentially executable content $1\n\

This form of attachment has been used by\n\ recent viruses or other malware.\n\

If you meant to send this file then please\n\ package it up as a zip file and resend it."

seen finish endif

## ---------------------------------------------------------------------

#Attempt to catch embedded VBS attachments in emails. These were

#used as the basis for the ILOVEYOU virus and its variants - many

#many varients. Quoted filename - [body_quoted_fn_match].

#

if $message_body matches "(?:Content-(?:Type:(?>\\\\s*)[\\\\w-]+/[\\\\w- ]+|Disposition:(?>\\\\s*)attachment);(?>\\\\s*)(?:file)?name=|begin(?>\\\ \s+)[0- 7]{3,4}(?>\\\\s+))(\"[^\"]+\\\\.(?:ad[ep]|ba[st]|chm|cmd|com|cpl|crt|eml| exe|hlp|hta|in[fs]|isp|jse?|lnk|md[be]|ms[cipt]|pcd|pif|reg|scr|sct|shs|u rl|vb[se]|ws[fhc])\")[\\\\s;]"

then

fail text "This message has been rejected because it has\n\ a potentially executable attachment $1\n\

This form of attachment has been used by\n\ recent viruses or other malware.\n\

If you meant to send this file then please\n\ package it up as a zip file and resend it."

seen finish endif

# Same again using unquoted filename [body_unquoted_fn_match].

if $message_body matches "(?:Content-(?:Type:(?>\\\\s*)[\\\\w-]+/[\\\\w- ]+|Disposition:(?>\\\\s*)attachment);(?>\\\\s*)(?:file)?name=|begin(?>\\\ \s+)[0- 7]{3,4}(?>\\\\s+))(\\\\S+\\\\.(?:ad[ep]|ba[st]|chm|cmd|com|cpl|crt|eml|ex e|hlp|hta|in[fs]|isp|jse?|lnk|md[be]|ms[cipt]|pcd|pif|reg|scr|sct|shs|url |vb[se]|ws[fhc]))[\\\\s;]"

then

fail text "This message has been rejected because it has\n\ a potentially executable attachment $1\n\

This form of attachment has been used by\n\ recent viruses or other malware.\n\

If you meant to send this file then please\n\