Velkommen! I dag vil vi fortælle, hvordan man laver de primære indstillinger for mailgatewayen – løsninger fra Fortinet til beskyttelse af e-mail. I artiklen vil vi se på layoutet, som vi arbejder med, og udføre konfigurationen , der er nødvendig for at modtage og verificere e-mails, samt teste dens funktionalitet. Baseret på vores erfaring kan vi trygt sige, at processen er meget simpel, og selv efter minimal konfiguration kan man se resultater.
Lad os starte med det aktuelle layout. Det er vist på billedet nedenfor.
Til højre ser vi en ekstern brugers computer, som vi vil sende en mail fra til en bruger i det interne netværk. I det interne netværk er der en brugers computer, en domænekontroller med en DNS-server og en mailserver. På grænsen af netværket står en firewall — FortiGate, hvis hovedfunktion er at konfigurere videresendelse af SMTP- og DNS-trafik.
Vi vil lægge særlig vægt på DNS.
To DNS-poster bruges til at rute e-mails på internettet — A-post og MX-post. Normalt konfigureres disse DNS-poster på en offentlig DNS-server, men på grund af begrænsningerne i layoutet videresender vi blot DNS gennem firewallen (det vil sige, at den eksterne bruger har adressen 10.10.30.210 som DNS-server).
MX-posten — en post, der indeholder navnet på mailserveren, der betjener domænet, samt prioriteten for denne mailserver. I vores tilfælde ser den således ud: test.local -> mail.test.local 10.
A-posten — en post, der konverterer domænenavnet til en IP-adresse, for os er det: mail.test.local -> 10.10.30.210.
Når vores eksterne bruger forsøger at sende en e-mail til adressen an@test.local, vil han anmode sin DNS-server om MX-posten for domænet test.local. Vores DNS-server vil svare med navnet på mailserveren — mail.test.local. Nu skal brugeren have IP-adressen på denne server, så han spørger igen DNS om A-posten og får IP-adressen 10.10.30.210 (ja, igen denne:)). Nu kan han sende sin e-mail. Derfor forsøger han at oprette forbindelse til den oplyste IP-adresse via port 25. Med hjælp fra reglerne på firewallen videresendes denne forbindelse til mailserveren.
Lad os tjekke mailens funktionalitet i den nuværende tilstand af skabelonen. For dette formål vil vi bruge værktøjet swaks på en ekstern brugers computer. Med det kan vi teste SMTP-funktionalitet ved at sende en e-mail til modtageren med forskellige parametre. Forud for dette er brugeren med e-mailen an@test.local allerede oprettet på mailserveren. Lad os prøve at sende en e-mail til ham:
Nu går vi til den interne brugers maskine og bekræfter, at e-mailen er ankommet:
E-mailen er faktisk ankommet (den er fremhævet i listen). Det betyder, at skabelonen fungerer korrekt. Det er tid til at gå videre til FortiMail. Lad os supplere vores skabelon:
FortiMail kan implementeres i tre tilstande:
- Gateway — fungerer som en fuld MTA: modtager al mail, kontrollerer den, og sender den derefter videre til mailserveren;
- Transparent — eller på en anden måde, transparent tilstand. Den installeres før serveren og kontrollerer indgående og udgående mail. Derefter videresender den den til serveren. Kræver ikke ændringer i netværkskonfigurationen.
- Server — i dette tilfælde fungerer FortiMail som en fuld mailserver med mulighed for oprettelse af mailbokse, modtagelse og afsendelse af mail samt anden funktionalitet.
Vi vil implementere FortiMail i Gateway-tilstand. Lad os gå til indstillingerne for den virtuelle maskine. Login — admin, password er ikke angivet. Ved første login er det nødvendigt at angive et nyt password.
Nu konfigurerer vi den virtuelle maskine til adgang til webinterfacet. Det er også nødvendigt, at maskinen har adgang til internettet. Vi vil konfigurere interface. Vi har kun brug for port1. Med den vil vi tilslutte os webinterfacet, og den vil også blive brugt til at få adgang til internettet. Adgang til internettet er nødvendig for at opdatere tjenester (antivirus-signaturer osv.). Til konfigurationen indtaster vi kommandoerne:
config system interface
edit port 1
set ip 192.168.1.40 255.255.255.0
set allowaccess https http ssh ping
end
Nu konfigurerer vi routingen. For dette skal vi indtaste følgende kommandoer:
config system route
edit 1
set gateway 192.168.1.1
set interface port1
end
Når du indtaster kommandoer, kan du bruge tabulatoren for ikke at skulle skrive dem helt ud. Hvis du også har glemt, hvilken kommando der skal komme næste, kan du bruge tasten “?”.
Nu tjekker vi forbindelsen til internettet. For dette formål vil vi pinge Googles DNS:
Som vi kan se, er internettet tilgængeligt for os. De indledende indstillinger, der er typiske for alle Fortinet-enheder, er udført, og nu kan vi gå videre til konfigurationen via webinterfacet. For dette åbner vi administrationssiden:
Bemærk, at du skal gå til linket i formatet /admin. Ellers kan du ikke få adgang til administrationssiden. Som standard er siden i den standard konfigurationstilstand. Til indstillingerne har vi brug for Advanced-tilstand. Lad os gå til menuen admin->View og skifte til Advanced:
Nu skal vi downloade en triallicens. Dette kan gøres i menuen License Information → VM → Update:
Hvis du ikke har en triallicens, kan du anmode om en ved at kontakte .
Efter indtastning af licensen skal enheden genstarte. Derefter vil den begynde at hente opdateringer fra serverne. Hvis dette ikke sker automatisk, kan du gå til menuen System → FortiGuard og i fanerne Antivirus, Antispam klikke på knappen Update Now.
Hvis dette ikke hjælper, kan du ændre portene, der bruges til opdateringer. Normalt vises alle licenser derefter. Resultatet skal se således ud:
Lad os indstille den korrekte tidszone, da dette vil være nyttigt ved undersøgelse af logfiler. For dette går vi til menuen System → Configuration:
Vi skal også konfigurere DNS. Som hoved DNS-server konfigurerer vi den interne DNS-server, og som backup efterlader vi DNS-serveren, som Fortinet stiller til rådighed.
Nu går vi til det mest interessante. Som du måske har bemærket, er enheden som standard i Gateway-tilstand. Derfor behøver vi ikke at ændre dette. Lad os gå til feltet Domain & User → Domain. Vi opretter et nyt domæne, som skal beskyttes. Her skal vi kun angive domænenavnet og adressen på mailserveren (det er også muligt at angive sit domænenavn, i vores tilfælde mail.test.local):
Nu skal vi angive et navn til vores mailgateway. Det vil blive brugt i MX- og A-post post, som vi skal ændre senere:
Fra felterne Host Name og Local Domain Name dannes FQDN, som anvendes i DNS-poster. I vores tilfælde er FQDN = fortimail.test.local.
Lad os nu konfigurere modtagerreglen. Vi skal sikre os, at alle e-mails, der kommer fra eksterne kilder og er tildelt brugeren i domænet, videresendes til mailserveren. For at gøre dette går vi til menuen Policy → Access Control. Et eksempel på opsætningen er vist nedenfor:
Lad os tage et kig på fanen Recipient Policy. Her kan vi definere specifikke regler for kontrol af e-mails: hvis mailen kommer fra domænet example1.com, skal den kontrolleres med de mekanismer, der er specielt sat op til dette domæne. Der er allerede en standardregel for al mail, som vi i øjeblikket er tilfredse med. Denne regel kan ses i billedet nedenfor:
Opsætningen på FortiMail kan nu betragtes som afsluttet. Der er faktisk mange flere muligheder, men hvis vi begynder at gennemgå dem alle, kan vi ende med at skrive en bog :) Vores mål er at starte FortiMail i testtilstand med minimale anstrengelser.
Der er to ting, der resterer – at ændre MX- og A-posterne samt at ændre portforwardingreglerne i firewall’en.
MX-posten test.local -> mail.test.local 10 skal ændres til test.local -> fortimail.test.local 10. Men normalt tilføjes en anden MX-post med højere prioritet under testfasen. For eksempel:
test.local -> mail.test.local 10
test.local -> fortimail.test.local 5
Jeg vil minde om, at jo lavere rækkefølge nummeret er for den mailserver, der står i MX-posten, jo højere er dens prioritet.
A-posten kan ikke ændres, så vi opretter bare en ny: fortimail.test.local -> 10.10.30.210. Den eksterne bruger vil henvende sig til adressen 10.10.30.210 via port 25, og firewall’en vil forwarde forbindelsen til FortiMail.
For at ændre forwardingreglen på FortiGate skal adressen ændres i det respektive Virtual IP-objekt:
Alt er klar. Lad os tjekke. Vi sender igen en e-mail fra den eksterne brugers computer. Nu går vi til FortiMail i menuen Monitor → Logs. I feltet History kan vi se en post om, at e-mailen blev modtaget. For at få flere oplysninger kan vi højreklikke på posten og vælge punktet Details:
For at få hele billedet tjekker vi, om FortiMail i den nuværende konfiguration kan blokere e-mails, der indeholder spam og virus. For at gøre dette sender vi en testvirus eicar og en test-e-mail fundet i en af spam e-mail databaserne (http://untroubled.org/spam/). Derefter går vi igen til logvisningen:
Som vi kan se, er både spam og virusbrevet blevet identificeret med succes.
Denne konfiguration er tilstrækkelig til at sikre grundlæggende beskyttelse mod vira og spam. Men FortiMail's funktionalitet stopper ikke her. For mere effektiv beskyttelse er det nødvendigt at undersøge de tilgængelige mekanismer og tilpasse dem til dine behov. Fremadrettet planlægger vi at belyse andre, mere avancerede muligheder for denne mailgateway.
Hvis du har svært ved eller spørgsmål til løsningen, kan du skrive dem i kommentarerne, så vil vi bestræbe os på hurtigt at besvare dem.
Du kan indsende en ansøgning om en prøve licens til test af løsningen. .
Forfatter: Alexey Nikulin. Informationssikkerhedsingeniør hos Fortiservice.
Kilde: habr.com
