Настройка почтового релея на базе Sendmail

http://dormestmass.blogspot.com
Mon, 3 Jan 2008 14:31:37 
http://dormestmass.blogspot.com/2007/07/sendmail.html
В  данном  посте  я  хочу рассказать о настройке почтового сервера для маршрутизации почты (релея).
Причин для создания такого сервера существует несколько. Например, для доставки  почты внутрь разветвленной корпоративной сети. Второй пример –  некоторые  господа  админы  в  качестве основного почтового сервера предпочитают  виндовый  софт,  типо  MDaemon, Kerio и иже с ними, но в инет предпочитают выставлять релей, построенный на nix-ах.
Я  расскажу  о  настройке почтового маршрутизатора на базе sendmail. В качестве ОС используется FreeBSD.
Первое,  о  чем  следует позаботится, это соответствие DNS записей для вашего  сервера  в  прямой и обратной зонах. Для тех, кто не знает что это,  поясню  на  примере.  Допустим,  имя  вашего  почтового  сервера  mail.domain.ua  и  IP  адрес  –  195.195.195.195.  Так  вот, IP адресу 195.195.195.195 должно соответствовать имя mail.domain.com.
srn@mail ~>> host mail.yandex.ru
mail.yandex.ru has address 213.180.204.25
srn@mail ~>> host 213.180.204.25
25.204.180.213.in-addr.arpa domain name pointer mail.yandex.ru.
А вот пример несоответствия записей:
srn@mail ~>> host domain.ua
domain.ua has address 213.227.xxx.xxx
srn@mail ~>> host 213.227.xxx.xxx
xxx.xxx.227.213.in-addr.arpa domain name pointer a4-kv.alkar.net.
В  последнем  случае  возможны  проблемы  доставки  почты на некоторые домены, администраторы которых пытаются боротся со спамерами, проверяя соотверствия прямой и обратной записей. Впрочем, таких немного.
Вторым  шагом  будет,  как  ни странно, выбор hostname для сервера :).
FQDN  почтового  сервера  не  должен соответствовать ни одному домену, который   мы   собираемся  релеить.  К  примеру,  если  мы  собираемся маршрутизировать  domain.ua,  то  назвав  так-же сервер, мы окажемся в ситуации,  когда  sendmail  всю  почту  на этот домен будет складывать локально, а не передавать на следующий почтовый сервер. Для sendmail-a FQDN всегда будет локальным доменом.
В принципе, его можно обмануть при помощи конфигурационного параметра, но  я не вижу ни одной причины так делать. К тому же, в руководстве по конфигурационному файлу сказано буквально следующее: “This should only be  done  if  your  system cannot determine your local domain name, and then  it  should  be  set  to $w.Foo.COM, where Foo.COM is your domain name.”
Так  что,  лучшим  вариантом  будет  присвоить  серверу  hostname,  не совпадающее с маршрутизируемыми доменами, к примеру, mail.domain.ua.
В FreeBSD это делается через rc.conf:
srn@mail ~>> grep hostname /etc/rc.conf
hostname="mail.domain.ua"
 Далее.  Необходимо  убедится,  что  sendmail  запускается  при  старте системы.   Для   этого   нужно  добавить  параметр  sendmail_enable  в /etc/rc.conf
srn@mail ~>> grep sendmail /etc/rc.conf
sendmail_enable="YES"
Теперь приступаем к настройке непосредственно sendmail-a. Конфигурация
естественно  будет выполнятся при помощи макроцессора m4. Подробнейшее
руководство   по   конфигурации   sendmail   через   m4   находится  в
/usr/share/sendmail/cf/README.  Сразу  отмечу, что для комментирования
строки необходимо поместить служебное слово dnl в её начало.
Здесь   и   далее   предполагается,  что  рабочим  каталогом  является
/etc/mail. Итак, заходим в каталог /etc/mail и выполняем команду make.
В  результате  появится  файл  _имя_сервера_.mc,  т.е.  в нашем случае
mail.domain.ua.mc.
Содержимое  этого файла – дефолтный конфигурационный файл для FreeBSD.
Его-то мы и будем править.
Основными  опциями  для наших нужд есть опции access_db и mailertable.
Открыв mc-файл редактором, убеждаемся в их наличии:
FEATURE(access_db, `hash -o -T /etc/mail/access')
FEATURE(mailertable, `hash -o /etc/mail/mailertable')
В  конфигурации  по умолчанию sendmail настроен на работу по протоколу
IPv6.  Если Вы не используете этот протокол, то логично отключить его,
закомментировав строку:
DAEMON_OPTIONS(`Name=IPv6, Family=inet6, Modifiers=O')
Также,  неплохо  бы  применить  некоторые  параметры, которые увеличат
защиту нашего sendmail-a.
Во-первых,    убеждаемся   в   наличии/незакоментированности   строки,
отключающей команды VRFY и EXPN:
define(`confPRIVACY_FLAGS', `authwarnings,noexpn,novrfy')
Во-вторых,  желательно наложить ограничение на использование системных
ресурсов sendmail-ом.
dnl Максимальное количество sendmail-процессов,
dnl которые могут быть запущенны одновременно
define(`confMAX_DAEMON_CHILDREN', `10')
dnl Максимальное количество входящих соединений за секунду
define(`confCONNECTION_RATE_THROTTLE', `10')
dnl Максимальный размер почтового сообщения в байтах
define(`confMAX_MESSAGE_SIZE', `5242880')
dnl Максимальное количество получателей в одном сообщении
define(`confMAX_RCPTS_PER_MESSAGE', `50')
К выбору ограничений следует отнестись разумно, ибо слишком заниженные
значения приведут к нарушении нормальной работы.
В  третьих,  некоторые особо параноидальные админы меняют SMTP-баннер,
чтобы   злые  дядьки  не  смогли  по  его  содержимому  узнать  версию
почтовика.  Если  Вы  относите себя к этой когорте, то баннер меняется
следующим образом
define(`confSMTP_LOGIN_MSG', `MegaMailer 3.8.11 for CP/M ')
Идем  дальше.  По умолчанию sendmail пытается выполнить запрос ident к
клиенту.  Это  совешенно  бесполезная  фича, которая, к тому же, может
привести  к  задержкам  в  доставке  почты. Если у клиента блокируется
траффик  на  113  TCP  порт,  то  это приведет к 5-секундной задержке,
поскольку  sendmail  будет  ожидать  такое  время  ответ  от  клиента.
Отключаем выполнение ident-запросов следующим параметром:
define(`confTO_IDENT', `0')
Если  есть желание использовать черные списки для борьбы со спамерами,
то эта возможность включается таким образом:
FEATURE(dnsbl,`blackholes.mail-abuse.org',` Mail from $&{client_addr} rejected; see http://mail-abuse.org/cgi-bin/lookup?$& {client_addr}')
FEATURE(dnsbl,`relays.mail-abuse.org',` Mail from $&{client_addr} rejected; see http://work-rss.mail-abuse.org/cgi-bin/nph-rss?$& {client_addr}')
FEATURE(dnsbl,`dialups.mail-abuse.org',` Mail from dial-up rejected; see http://mail-abuse.org/dul/enduser.htm')
После  сохранения  нашего  mc-файла  необходимо  сгенерировать из него
sendmai.cf. Для этого нужно выполнить команды make и make install:
mail# make
/usr/bin/m4 -D_CF_DIR_=/usr/share/sendmail/cf/   /usr/share/sendmail/cf/m4/cf.m4 mail.domain.ua.mc > mail.domain.ua.cf
mail# make install
install -m 444 mail.domain.ua.cf /etc/mail/sendmail.cf
install -m 444 mail.domain.ua.submit.cf /etc/mail/submit.cf
Следующим шагом будет настройка списка доступа и таблицы маршрутизации
почты.  В  каталоге  /etc/mail  есть  файлы  примеров  access.sample и
mailertable.sample  соответственно.  Можно  скопировать  их, а можно и
создать пустые файлы access и mailertable.
mail# touch access mailertable
В  файле  access  прописываем  почтовые  домены, которые будет релеить
сервер. К примеру это domain.ua и domain.ru:
mail# cat access
domain.ua          RELAY
domain.ru          RELAY
192.168.0.         RELAY
В  последней строке указана наша локальная подсеть, ведь мы собираемся
не только принимать почту, но и отправлять ;).
В файле mailertable указываем какие домены куда перенаправлять:
mail# cat mailertable
domain.ua          smtp:[windoze.mail.server]
domain.ru          smtp:[192.168.0.14]
Если  в  качестве домена указать точку (.), то по этому маршруту будет
отправлятся вся почта, для которой не было найдено маршрута.
Файлы  access  и  mailertable  в чистом виде не используются, их нужно
скомпилировать в db-файлы.
mail# make
/usr/sbin/makemap hash mailertable.db < mailertable
chmod 0640 mailertable.db
/usr/sbin/makemap hash access.db < access
chmod 0640 access.db
На  этом  процесс  конфигурирования  закончен.  Для  того,  чтобы наша
конфигурация вступила в силу выполняем команду make restart
mail# make restart
Restarting: sendmail sendmail-clientmqueue.
Примечание.   Перезапускать   sendmail  нужно  только  после  внесения
изменений в конфигурционный файл (sendmail.cf). При изменении access и
mailertable перезапуск не нужен.
После   перезапуска   проверяем   работу   нашего  почтового  сервера.
Убеждаемся, что сервер слушает 25 порт:
mail# netstat -an | grep LISTEN
rawbeer# netstat -an | grep LIST
tcp4       0      0  *.587                  *.*                    LISTEN
tcp4       0      0  *.25                   *.*                    LISTEN
tcp4       0      0  *.21                   *.*                    LISTEN
tcp4       0      0  *.22                   *.*                    LISTEN
tcp4       0      0  *.80                   *.*                    LISTEN
Пытаемся отправить тестовое письмо на наш домен:
srn@mail ~>> telnet mail.domain.ua 25
Trying xxx.xxx.xxx.xxx...
Connected to mail.domain.ua.
Escape character is '^]'.
220 mail.domain.ua ESMTP Sendmail 8.14.1/8.14.1; Tue, 17 Jul 2007 11:00:42 +0300 (EEST)
ehlo xxx
250- mail.domain.ua Hello xxx.domain.ua [yyy.yyy.yyy.yyy], pleased to meet you
250-ENHANCEDSTATUSCODES
250-PIPELINING
250-8BITMIME
250-SIZE 5242880
250-DSN
250-ETRN
250-DELIVERBY
250 HELP
mail from: somebody@domain.com
250 2.1.0 somebody@domain.com... Sender ok
rcpt to: somebody@domain.ua
250 2.1.5 rshramko@domain.ua... Recipient ok
data
354 Enter mail, end with "." on a line by itself
Subject: test
test
.
250 2.0.0 l6H80gGb031272 Message accepted for delivery
quit
221 2.0.0 mail.domain.ua closing connection
Connection closed by foreign host.
Убеждаемся что письмо ушло в соответствии с таблицей маршрутизации:
mail# less /var/log/maillog
Jul 17 11:01:29 rawbeer sm-mta[[ :]] l6H80gGb031272: from=, size=20,
class=0, nrcpts=1, msgid=<200707170801.l6H80gGb031272@mail.domain.ua.>, proto=ESMTP,
daemon=Daemon0, relay=mail.domain.ua [xxx.xxx.xxx.xxx]
Jul 17 11:01:29 rawbeer sm-mta[[ :]] l6H80gGb031272: to=, delay=00:00:10,
xdelay=00:00:00, mailer=smtp, pri=30020,
relay=windoze.mail.server. [192.168.0.1], dsn=2.0.0,
stat=Sent (Message received: JLBD0800.50I)
По  желанию,  можно  подключится к sendmail-у с какого-нибудь внешнего
адреса   и  попытатся  отправить  письмо  на  какой-нить  левый  домен.
Естессно, наша попытка должна быть отфутболена.
На этом базовая настройка релея закончилась.
Остался  последний штрих. Если на сервере используется пакетный фильтр
и  в  нем  по умолчанию неразрешенные пакеты сбрасываются (DROP), то у
других  сендмейлов  могут  быть  проблемы  с  ident-запросами к нашему
серверу.  Не  будем им усложнять жизнь и настроим пакетный фильтр так,
чтобы запросы на 113 TCP порт не сбрасывались, а отклонялись.
Для pf, который я использую на сервере, это будет следующее правило:
block return in quick proto tcp from any to any port 113
Для iptables в Linux-ах нужно будет сделать что-то вроде этого:
iptables -A INPUT -p tcp --dport 113 -j REJECT --reject-with tcp-reset
Ну  и  осталось  приправить  по  желанию  антиспамом и антивирусом, но
данные вопросы пусть останутся за рамками этого поста.

Обсуждение [ RSS ]

1.1. Andrey Y. Ostanovsky, 23:14, 10/01/2008
> Сразу  отмечу, что для комментирования
> строки необходимо поместить служебное
> слово dnl в её начало.
Слово “dnl “, т.е. с пробелом после букв dnl.
1.2. Allan, 15:41, 22/04/2008
Вопрос такой а если я relay_domains пропишу все необходимые домены по которым хочу получать почту например (domain1.ua, domain2.ua, domain3.ua), а в mailertable укажу “.” вместо всех доменов и направлять почту на 192.168.х.1, то приходить будут только письма с указ. доменами или все?
1.3. Евгений, 12:21, 29/12/2008
День добрый.
а как быть, если мне как раз то и надо, что бы пользователи удаленного офиса могли пользоваться моей внутренней почтой?
тоесть:
1. у удаленного офиса есть статический ИП от провайдера
2. Почту они получить могут… а вот отправить – нет.
даже при помощи указания их текущего ИП с access типа
ххх.ххх.ххх.ххх    RELAY
оно все равно не ходит…
есть какой то вариант решения?
1.5. VL., 14:23, 29/03/2010
Идеальное пошаговое руководство. Спасибо!
1.6. Konstantin, 15:34, 09/02/2012
в моем случае потребовалось внести изменения в файл virtusertable. А именно:
makemap hash virtusertable.db<virtusertable
@domain.ua          windoze.mail.server
@domain.ru          192.168.0.14
Добавить FEATURE c virtusertable.db
image_pdfimage_print