Willkommen! Heute zeigen wir Ihnen, wie Sie die grundlegenden Einstellungen des Mail-Gateways vornehmen. – eine Lösung von Fortinet zum Schutz von E-Mails. In diesem Artikel werden wir das Layout, mit dem wir arbeiten werden, durchgehen und die Konfiguration vornehmen, , die erforderlich ist, um E-Mails zu empfangen und zu überprüfen, und wir werden ihre Funktionsfähigkeit testen. Basierend auf unserer Erfahrung können wir mit Sicherheit sagen, dass der Prozess sehr einfach ist, und selbst mit minimaler Konfiguration kann man bereits Ergebnisse sehen.
Lassen Sie uns mit dem aktuellen Layout beginnen. Es ist im Bild unten dargestellt.
Rechts sehen wir den Computer eines externen Benutzers, von dem aus wir E-Mails an Benutzer im internen Netzwerk senden werden. Im internen Netzwerk befindet sich der Computer des Benutzers, ein Domänencontroller mit einem laufenden DNS-Server und ein Mailserver. An der Netzwerkgrenze steht eine Firewall — FortiGate, deren Hauptmerkmal die Konfiguration des Durchleitens von SMTP- und DNS-Datenverkehr ist.
Wir werden besonderes Augenmerk auf DNS legen.
Für die E-Mail-Routing im Internet werden zwei DNS-Einträge benötigt – ein A-Eintrag und ein MX-Eintrag. In der Regel werden diese DNS-Einträge auf einem öffentlichen DNS-Server konfiguriert, aber aufgrund von Layoutbeschränkungen leiten wir die DNS einfach durch die Firewall weiter (das bedeutet, dass für externe Benutzer die Adresse 10.10.30.210 als DNS-Server eingetragen ist).
Der MX-Eintrag ist ein Eintrag, der den Namen des Mailservers enthält, der die Domain bedient, sowie die Priorität dieses Mailservers. In unserem Fall sieht er so aus: test.local -> mail.test.local 10.
Der A-Eintrag ist ein Eintrag, der den Domainnamen in eine IP-Adresse umwandelt; in unserem Fall ist das: mail.test.local -> 10.10.30.210.
Wenn unser externer Benutzer versucht, eine E-Mail an die Adresse an@test.local zu senden, fordert er seinen DNS-Server auf, den MX-Eintrag der Domain test.local zu erfragen. Unser DNS-Server antwortet mit dem Namen des Mailservers — mail.test.local. Nun muss der Benutzer die IP-Adresse dieses Servers erhalten, also fragt er erneut beim DNS nach dem A-Eintrag und erhält die IP-Adresse 10.10.30.210 (ja, genau diese:). Jetzt kann die E-Mail gesendet werden. Daher versucht er, eine Verbindung zur erhaltenen IP-Adresse über den Port 25 herzustellen. Mit Hilfe von Regeln in der Firewall wird diese Verbindung zum Mailserver durchgeleitet.
Überprüfen wir die Funktionalität der E-Mail im aktuellen Zustand des Setups. Dazu verwenden wir auf dem Computer des externen Benutzers das Tool swaks. Mit seiner Hilfe kann die Funktionsfähigkeit von SMTP getestet werden, indem eine E-Mail mit einer Vielzahl von Parametern an den Empfänger gesendet wird. Vorab wurde auf dem Mailserver bereits ein Benutzer mit dem Konto an@test.local angelegt. Versuchen wir, ihm eine E-Mail zu senden:
Jetzt wechseln wir zur Maschine des internen Benutzers und stellen fest, dass die E-Mail angekommen ist:
Die E-Mail ist tatsächlich angekommen (sie ist in der Liste hervorgehoben). Das bedeutet, dass das Layout korrekt funktioniert. Jetzt ist es an der Zeit, zu FortiMail zu wechseln. Lassen Sie uns unser Layout ergänzen:
FortiMail kann in drei Modi bereitgestellt werden:
- Gateway — fungiert als vollwertiger MTA: nimmt alle E-Mails entgegen, überprüft sie und leitet sie dann an den Mailserver weiter;
- Transparent — oder anders gesagt, der transparente Modus. Er wird vor dem Server eingerichtet und überprüft eingehende sowie ausgehende E-Mails. Danach leitet er sie an den Server weiter. Er erfordert keine Änderungen an der Netzwerkkonfiguration.
- Server — in diesem Fall fungiert FortiMail als vollwertiger Mailserver mit der Möglichkeit, Mailboxen anzulegen, E-Mails zu empfangen und zu versenden sowie mit weiteren Funktionen.
Wir werden FortiMail im Gateway-Modus bereitstellen. Lassen Sie uns die Einstellungen der virtuellen Maschine aufrufen. Benutzername — admin, Passwort ist nicht festgelegt. Bei der ersten Anmeldung müssen Sie ein neues Passwort festlegen.
Jetzt konfigurieren wir die virtuelle Maschine für den Zugriff auf die Web-Oberfläche. Außerdem ist es wichtig, dass die Maschine Internetzugang hat. Lassen Sie uns das Interface einrichten. Wir benötigen nur port1. Damit werden wir auf die Web-Oberfläche zugreifen und es wird auch für den Internetzugang verwendet. Der Internetzugang ist erforderlich, um die Dienste (z. B. Antiviren-Signaturen usw.) zu aktualisieren. Geben Sie die folgenden Befehle ein, um die Konfiguration einzurichten:
config system interface
edit port 1
set ip 192.168.1.40 255.255.255.0
set allowaccess https http ssh ping
end
Jetzt konfigurieren wir das Routing. Dazu sind die folgenden Befehle erforderlich:
config system route
edit 1
set gateway 192.168.1.1
set interface port1
end
Beim Eingeben der Befehle können Sie die Tabulatortaste verwenden, um sie nicht vollständig eintippen zu müssen. Wenn Sie vergessen haben, welcher Befehl als nächstes kommen sollte, können Sie die Taste „?“ nutzen.
Jetzt überprüfen wir die Internetverbindung. Dazu pingen wir den Google DNS:
Wie wir sehen, haben wir jetzt Internetzugang. Die ursprünglichen Einstellungen, die für alle Fortinet-Geräte charakteristisch sind, sind vorgenommen. Jetzt können wir zur Konfiguration über die Web-Oberfläche übergehen. Dazu öffnen wir die Verwaltungsseite:
Bitte beachten Sie, dass Sie über den Link im Format /admin zugreifen müssen. Andernfalls können Sie nicht auf die Verwaltungsseite zugreifen. Standardmäßig befindet sich die Seite im normalen Konfigurationsmodus. Für die Einstellungen benötigen wir den erweiterten Modus. Gehen wir zu dem Menü admin->View und wechseln den Modus auf Erweitert:
Jetzt müssen wir eine Testlizenz hochladen. Dies kann im Menü Lizenzinformationen → VM → Aktualisieren erfolgen:
Wenn Sie keine Testlizenz haben, können Sie diese anfordern, indem Sie sich an .
Nachdem die Lizenz eingegeben wurde, sollte das Gerät neu starten. Anschließend beginnt es, Updates seiner Datenbanken von den Servern abzurufen. Wenn dies nicht automatisch geschieht, können Sie im Menü System → FortiGuard und unter den Reitern Antivirus, Antispam auf die Schaltfläche Jetzt aktualisieren klicken.
Wenn das nicht hilft, können Sie die für Updates verwendeten Ports ändern. Normalerweise erscheinen danach alle Lizenzen. Am Ende sollte es so aussehen:
Lassen Sie uns die richtige Zeitzone einstellen, das ist hilfreich bei der Untersuchung von Protokollen. Gehen wir dafür zum Menü System → Konfiguration:
Wir werden auch den DNS konfigurieren. Als primären DNS-Server richten wir unseren internen DNS-Server ein, als sekundären belassen wir den DNS-Server von Fortinet.
Kommen wir nun zum spannendsten Teil. Wie Sie wahrscheinlich bemerkt haben, ist im Standardmodus das Gateway-Modus aktiviert. Daher müssen wir es nicht ändern. Gehen wir zu Domain & User → Domain. Wir erstellen eine neue Domain, die geschützt werden muss. Hier müssen wir nur den Namen der Domain und die Adresse des Mailservers angeben (es kann auch der Domainname angegeben werden, in unserem Fall mail.test.local):
Jetzt müssen wir einen Namen für unser Mailgateway angeben. Dieser wird in den MX- und A-Records verwendet, die wir später ändern müssen:
Die Punkte Host Name und Local Domain Name bilden den FQDN, der in den DNS-Records verwendet wird. In unserem Fall ist der FQDN = fortimail.test.local.
Nun richten wir die Empfangsregel ein. Wir benötigen, dass alle E-Mails, die von außen kommen und einem Benutzer in der Domain zugewiesen sind, an den Mailserver weitergeleitet werden. Gehen wir dazu zum Menü Policy → Access Control. Ein Beispiel für die Konfiguration finden Sie unten:
Schauen wir uns die Registerkarte für die Empfänger-Richtlinien an. Hier können bestimmte Regeln zur Überprüfung von E-Mails festgelegt werden: Wenn eine E-Mail von der Domain example1.com kommt, sollte sie durch speziell für diese Domain konfigurierte Mechanismen überprüft werden. Für alle E-Mails ist bereits eine Standardregel eingerichtet, die derzeit für uns in Ordnung ist. Diese Regel kann anhand des untenstehenden Bildes eingesehen werden:
Damit kann die Konfiguration von FortiMail als abgeschlossen betrachtet werden. Tatsächlich gibt es noch viele weitere Optionen, aber wenn wir alle betrachten, könnte man ein Buch darüber schreiben :) Unser Ziel ist es, FortiMail mit minimalem Aufwand im Testmodus zu starten.
Es bleiben noch zwei Dinge übrig – die MX- und A-Records zu ändern sowie die Portweiterleitungsregeln in der Firewall anzupassen.
Der MX-Record test.local -> mail.test.local 10 sollte geändert werden in test.local -> fortimail.test.local 10. Üblicherweise wird während der Pilotphase ein zweiter MX-Record mit höherer Priorität hinzugefügt. Zum Beispiel:
test.local -> mail.test.local 10
test.local -> fortimail.test.local 5
Ich möchte daran erinnern, dass je niedriger die Reihenfolge des bevorzugten Mailservers im MX-Record ist, desto höher ist dessen Priorität.
Eine A-Aufzeichnung kann nicht geändert werden, also erstellen wir einfach einen neuen: fortimail.test.local -> 10.10.30.210. Der externe Benutzer wird die Adresse 10.10.30.210 über Port 25 ansprechen, und die Firewall wird die Verbindung an FortiMail weiterleiten.
Um die Weiterleitungsregel auf FortiGate zu ändern, muss die Adresse im entsprechenden Virtual IP-Objekt angepasst werden:
Alles ist bereit. Lass uns prüfen. Senden wir erneut eine E-Mail von dem Computer des externen Benutzers. Gehen wir nun zu FortiMail im Menü Monitor → Protokolle. Im Feld Verlauf kann man sehen, dass die E-Mail empfangen wurde. Für weitere Informationen kann man mit der rechten Maustaste auf den Eintrag klicken und die Option Details wählen:
Um das Gesamtbild zu vervollständigen, überprüfen wir, ob FortiMail in der aktuellen Konfiguration E-Mails blockieren kann, die Spam und Viren enthalten. Dazu senden wir einen Testvirus (eicar) sowie eine Test-E-Mail, die in einer der Spam-Datenbanken gefunden wurde (http://untroubled.org/spam/). Danach gehen wir wieder zum Menü zum Anzeigen der Protokolle:
Wie wir sehen, wurden sowohl der Spam als auch die E-Mail mit dem Virus erfolgreich erkannt.
Diese Konfiguration genügt, um einen grundlegenden Schutz vor Viren und Spam zu gewährleisten. Doch die Funktionalitäten von FortiMail gehen weit darüber hinaus. Für einen effektiveren Schutz sollten die vorhandenen Mechanismen näher betrachtet und an die eigenen Bedürfnisse angepasst werden. In Zukunft planen wir, weitere fortschrittliche Möglichkeiten dieses Mail-Gateways zu beleuchten.
Sollten Sie Schwierigkeiten oder Fragen zu dieser Lösung haben, hinterlassen Sie bitte einen Kommentar. Wir werden unser Bestes tun, um schnell zu antworten.
Sie können einen Antrag auf eine Testlizenz zur Erprobung der Lösung einreichen. .
Autor: Alexey Nikulin. Sicherheitstechniker bei Fortiservice.
Quelle: habr.com
