Zimbra и защита от претоварване на сървъра

Имейлът твърдо се наложи като стандарт за бизнес комуникация. Поради високата рентабилност на имейлите, както и редица функции, свързани с цитиране на текст и прикачване на прикачени файлове, имейлите са най-подходящи за ролята на универсален начин за обмен на документи и учтива бизнес комуникация. Същите тези функции са причината, поради която спамърите обичат имейлите толкова много. В резултат на това днешната електронна поща е огромен бушуващ океан от спам, във водите на който само от време на време се срещат бизнес писма. Ето защо една от основните задачи на администратора на всеки пощенски сървър е защитата от спам съобщения. Нека да разгледаме какво може да се направи с това в изданието с отворен код на Zimbra Collaboration Suite.

Въпреки че решението е безплатно, Zimbra OSE е в състояние да предостави на системния администратор много изключително ефективни инструменти за решаване на проблема с получаването на нежелани имейли. Вече писахме за помощни програми като Amavis, SpamAssassin, ClamAV и cbpolicyd, които ви позволяват надеждно да филтрирате входящата поща, да филтрирате нежелана поща, както и заразени и фишинг имейли. Основният им недостатък обаче е, че всички те работят с вече получени имейл съобщения и хабят системни ресурси за филтриране на безполезни съобщения, които винаги могат да бъдат използвани много по-добре. Но какво ще стане, ако вашето предприятие е насочено към голяма ботнет мрежа, която непрекъснато бомбардира пощенския ви сървър с толкова големи количества нежелана поща, че филтрирането им само ще отнеме лъвския дял от сървърния капацитет на MTA?

На теория можете да се предпазите от това, като свържете облачна услуга за филтриране на входяща поща, но на практика този метод на защита не е подходящ за всяко предприятие, тъй като в този случай ще трябва да поверите обработката на трети страни не само спам, но и бизнес кореспонденция, която далеч не винаги е безопасна, а често и директно противоречи на политиката за сигурност на компанията. Освен това съществуват рискове, свързани с надеждността на облачния спам филтър. Изходът от тази ситуация може да бъде организирането на собствена защита на сървъра. Специално за тези цели в Zimbra беше вградена помощната програма Postscreen, която е предназначена да защитава пощенския сървър от писма, изпратени от ботнети, без да зарежда пощенския сървър.

Същността на Postscreen е, че тази помощна програма преглежда всички заявки за връзка с пощата. сървър и предотвратява свързването на клиенти, които смята за подозрителни, със сървъра. Тъй като статистиката показва, че приблизително 90% от спама в световен мащаб се изпраща от ботнет мрежи, Postscreen често се използва като първа линия на защита за пощенските сървъри срещу нежелани имейли. Това позволява на пощенския сървър да работи надеждно без претоварване, дори по време на интензивни спам атаки от големи ботнет мрежи.

Принципът на работа на Postscreen е доста прост, помощната програма е в състояние да извърши редица прости проверки на входящи съобщения, преди да ги предаде на пощенския сървър или други услуги, които извършват по-задълбочена и по-подробна проверка на входящите писма. Всяка от проверките, съответно, може да бъде издържана или може да не бъде издържана. Въз основа на резултатите от всяка от проверките, Postscreen може да предприеме едно от три действия по избор на администратора на Zimbra: Спад, игнорирам или Налагане. Действие Спад принудително прекъсва връзката с клиента, ако проверката е неуспешна, действието игнорирам ви позволява да игнорирате резултатите от проверката, когато вземате окончателното решение, но в същото време събирате информация и статистика за провеждането на проверките и действието Налагане ви позволява да вземете предвид резултатите от извършените тестове, когато вземате окончателното решение, но в същото време да продължите да изпълнявате всички тестове, които са планирани от системния администратор.

Простият принцип на работа не означава лекота на използване и конфигуриране. Факт е, че неправилно конфигуриран Postscreen може да бъде причината редица писма, важни за предприятието, да не достигнат до адресата. Ето защо към конфигурацията на такъв мощен инструмент като Postscreen трябва да се подхожда много внимателно и постоянно да се тества поведението му в определени ситуации.

Postscreen е включен в Zimbra веднага, но мнозина може да не са доволни от първоначалната конфигурация. Сега ще разгледаме най-добрата опция за конфигуриране на Postscreen по отношение на сигурността и липсата на рискове. Същността му се състои в това, че след неуспех на някоя от проверките, Postscreen няма да прекъсне връзката с клиента без да говори, а ще извърши всички проверки докрай и ако тези проверки не успеят, ще покаже грешка съобщение. Това ще уведоми подателя на живо за липсата на доставка на писмото, в случай че Postscreen го сметне за спам. Това се постига чрез задаване на стойността за прилагане в параметрите на проверките. Именно тази стойност ви позволява да завършите започнатите проверки до края, без да прекъсвате връзката с клиента при първия неуспех, но в същото време, след приключването им, все още блокирайте спам съобщението, без да го доставяте на сървъра.

За да активирате необходимите проверки, трябва да въведете следните команди:

zmprov mcf zimbraMtaPostscreenDnsblSites 'b.barracudacentral.org=127.0.0.2*7' zimbraMtaPostscreenDnsblSites 'zen.spamhaus.org=127.0.0.[10;11]*8' ..127.0.0]*4' zimbraMtaPostscreenDnsblSites 'zen.spamhaus.org =7*6' zimbraMtaPostscreenDnsblSites 'zen.spamhaus.org=127.0.0.3*4'

Тази команда ви позволява да добавите DNS проверка на входящите връзки спрямо двете най-популярни публични бази данни за спам и да оценявате съобщенията в зависимост от това коя база данни съдържа адреса на подателя. Колкото повече наказателни звезди получава клиент, толкова по-вероятно е той да бъде спамер

zmprov mcf zimbraMtaPostscreenDnsblAction принудително

Тази команда определя действието, което трябва да се предприеме след преминаване на DNS проверка. В този случай резултатът от проверката се запомня и самото писмо продължава да преминава допълнителни тестове.

zmprov mcf zimbraMtaPostscreenGreetAction принудително

Тъй като при SMTP протокола след директна връзка сървърът първи започва да комуникира с клиента и съответно Postscreen може да изпрати поздрав към клиента. Поради факта, че много спам клиенти започват да изпращат команди, без да чакат края на поздрава, те могат лесно да бъдат разпознати. Тази команда ви позволява да разгледате резултатите от този тест, но въпреки това да продължите да изпълнявате допълнителни тестове.

zmprov mcf zimbraMtaPostscreenNonSmtpCommandAction капка

Като част от тази проверка Postscreen ви позволява да филтрирате онези връзки, които не идват от имейл клиенти. Тъй като те не изпращат никакви имейли, можете безопасно да ги изключите от сървъра.

zmprov mcf zimbraMtaPostscreenPipelingAction принудително

Тази проверка се основава на факта, че по подразбиране в SMTP протокола клиентът може да изпраща само една команда наведнъж и след това да чака сървърът да отговори на тази команда. Много спам ботове обаче се държат по различен начин, изпращайки много команди, без да чакат отговор от сървъра. Това позволява почти безпогрешно идентифициране на спам бот.

По принцип тези проверки за Postscreen ще бъдат повече от достатъчни, за да отрежете по-голямата част от спам ботове от сървъра и да постигнете значително намаляване на натоварването на вашия имейл сървър. В същото време живите хора ще получат съобщение, че писмото им не е доставено, което значително намалява риска от загуба на важни писма поради настройките на Postscreen. В случай, че това се случи, можете да добавите надеждния подател към белия списък на Postscreen. За да създадете бели и черни списъци на Postscreen, първо трябва да създадете файл /opt/zimbra/conf/postfix/postscreen_wblist.

Ще добавим списък с разрешени и блокирани IP адреси и подмрежи във формат на CIDR таблица. Например, ще блокираме подмрежата 121.144.169.*, но ще разрешим само една връзка. IP адрес от тази подмрежа:

# Правилата се оценяват в посочения ред.
# Черен списък 121.144.169.* с изключение на 121.144.169.196.
121.144.169.196/32
121.144.169.0/24 отхвърляне

Обръщаме внимание на важността на реда на влизане. Факт е, че Postscreen ще сканира файл с бели и черни списъци до първото съвпадение и ако блокираната подмрежа е по-ранна от разрешения ip адрес, тогава проверката просто няма да достигне до записа, че този ip адрес е добавен към бял списък и връзката няма да се осъществи със сървъра.

След като файлът с бели и черни списъци бъде редактиран и записан, можете да активирате съответната проверка, като използвате следните команди:

zmprov mcf zimbraMtaPostscreenAccessList "permit_mynetworks, cidr:/opt/zimbra/conf/postfix/postscreen_wblist"
zmprov mcf zimbraMtaPostscreenBlacklistAction принудително

Сега Postscreen, в допълнение към проверките, които вече сме задали, също ще има достъп до файла с бели и черни списъци, което ще позволи на администратора лесно да разрешава проблеми с невъзможността да се свърже със сървъра за безопасни податели.

Източник: www.habr.com