FortiMail – Konfiguration für einen schnellen Start

Willkommen! Heute zeigen wir, wie man die grundlegenden Einstellungen des Mail-Gateways vornimmt. FortiMail – Lösungen von Fortinet zum Schutz von E-Mails. Im Laufe des Artikels werden wir das Layout betrachten, mit dem wir arbeiten werden, und die erforderliche Konfiguration vornehmen. FortiMail, um E-Mails zu empfangen und zu überprüfen, und wir werden ihre Funktionsfähigkeit testen. Basierend auf unserer Erfahrung können wir mit Zuversicht sagen, dass der Prozess sehr einfach ist und man sogar nach minimaler Konfiguration Ergebnisse sehen kann.

Beginnen wir mit dem aktuellen Layout. Es ist in der Abbildung unten dargestellt.


Auf der rechten Seite sehen wir den Computer eines externen Benutzers, von dem wir E-Mails an den Benutzer im internen Netzwerk senden werden. Im internen Netzwerk befindet sich der Computer eines Benutzers, der Domänencontroller mit einem darauf eingerichteten DNS-Server und ein Mail-Server. An der Netzwerkgrenze steht eine Firewall – FortiGate, deren Hauptmerkmal die Konfiguration der Weiterleitung von SMTP- und DNS-Traffic ist.

Besonderes Augenmerk legen wir auf DNS.

Für die E-Mail-Routing im Internet werden zwei DNS-Einträge verwendet – A-Eintrag und MX-Eintrag. Diese DNS-Einträge werden normalerweise auf einem öffentlichen DNS-Server konfiguriert, aber aufgrund von Layoutbeschränkungen leiten wir einfach DNS über die Firewall weiter (d. h., die IP-Adresse des DNS-Servers für den externen Benutzer ist 10.10.30.210).

MX-Eintrag – ein Eintrag, der den Namen des Mail-Servers enthält, der die Domain bedient, sowie die Priorität dieses Mail-Servers. In unserem Fall sieht er so aus: test.local -> mail.test.local 10.

A-Eintrag – ein Eintrag, der den Domainnamen in eine IP-Adresse umwandelt, bei uns ist dies: mail.test.local -> 10.10.30.210.

Wenn unser externer Benutzer versucht, eine E-Mail an die Adresse an@test.local zu senden, fragt er seinen DNS-Server nach dem MX-Eintrag der Domain test.local. Unser DNS-Server antwortet mit dem Namen des Mail-Servers – mail.test.local. Jetzt muss der Benutzer die IP-Adresse dieses Servers erhalten, weshalb er erneut beim DNS nach dem A-Eintrag fragt und die IP-Adresse 10.10.30.210 erhält (ja, wieder die gleiche:)). Jetzt kann er die E-Mail senden. Er versucht daher, eine Verbindung zur erhaltenen IP-Adresse über Port 25 herzustellen. Mit Hilfe von Regeln in der Firewall wird diese Verbindung zum Mail-Server weitergeleitet.

Überprüfen wir die Funktionsfähigkeit der E-Mail im aktuellen Zustand des Layouts. Dazu verwenden wir auf dem Computer des externen Benutzers das Tool swaks. Damit kann die Funktionalität von SMTP getestet werden, indem man dem Empfänger eine E-Mail mit verschiedenen Parametern sendet. Zuvor wurde auf dem Mailserver bereits ein Benutzer mit dem Postfach an@test.local eingerichtet. Lassen Sie uns versuchen, ihm eine E-Mail zu senden:

Jetzt wechseln wir zum Computer des internen Benutzers und stellen sicher, dass die E-Mail angekommen ist:

Die E-Mail ist tatsächlich angekommen (sie ist in der Liste hervorgehoben). Das Layout funktioniert korrekt. Es ist an der Zeit, zu FortiMail überzugehen. Lassen Sie uns unser Layout ergänzen:

FortiMail kann in drei Modi implementiert werden:

• Gateway – funktioniert als vollwertiger MTA: empfängt alle E-Mails, überprüft sie und leitet sie dann an den Mailserver weiter;
• Transparent – auch als transparenter Modus bekannt. Wird vor dem Server installiert und überprüft eingehende und ausgehende E-Mails. Danach leitet es diese an den Server weiter. Erfordert keine Änderungen an der Netzwerkkonfiguration.
• Server – in diesem Fall ist FortiMail ein vollwertiger Mailserver mit der Möglichkeit, Postfächer anzulegen, E-Mails zu empfangen und zu versenden sowie weitere Funktionen anzubieten.

Wir werden FortiMail im Gateway-Modus implementieren. Lassen Sie uns die Einstellungen der virtuellen Maschine aufrufen. Benutzername – admin, Passwort ist nicht gesetzt. Bei der ersten Anmeldung müssen Sie ein neues Passwort festlegen.

Jetzt konfigurieren wir die virtuelle Maschine für den Zugriff auf die Weboberfläche. Es ist auch erforderlich, dass die Maschine Zugang zum Internet hat. Lassen Sie uns das Interface einrichten. Wir benötigen nur port1. Damit werden wir uns mit der Weboberfläche verbinden, und es wird auch für den Internetzugang genutzt. Der Internetzugang ist nötig für die Aktualisierung der Dienste (Signaturen des Antivirenprogramms usw.). Für die Konfiguration geben wir die folgenden Befehle ein:

config system interface
edit port 1
set ip 192.168.1.40 255.255.255.0
set allowaccess https http ssh ping
end

Jetzt konfigurieren wir das Routing. Dazu müssen die folgenden Befehle eingegeben werden:

config system route
edit 1
set gateway 192.168.1.1
set interface port1
end

Beim Eingeben der Befehle kann die Tabulatortaste verwendet werden, um sie nicht vollständig schreiben zu müssen. Wenn Sie außerdem vergessen haben, welcher Befehl als nächstes kommen soll, können Sie die Taste „?“ verwenden.
Jetzt überprüfen wir die Verbindung zum Internet. Dazu pingen wir den Google-DNS:

Wie wir sehen, ist das Internet verfügbar. Die anfänglichen Einstellungen, die für alle Fortinet-Geräte typisch sind, wurden ausgeführt, nun können wir zur Konfiguration über die Weboberfläche übergehen. Dazu öffnen wir die Verwaltungsseite:

Bitte beachten Sie, dass der Zugang über einen Link im Format \/admin erfolgen muss. Andernfalls können Sie nicht auf die Verwaltungsseite zugreifen. Standardmäßig ist die Seite im Konfigurationsmodus. Für die Einstellungen benötigen wir den erweiterten Modus. Gehen wir ins Menü admin->View und wechseln wir den Modus auf Erweitert:

Jetzt müssen wir die Testlizenz herunterladen. Dies kann im Menü Lizenzinformationen → VM → Aktualisieren erfolgen:

Wenn Sie keine Testlizenz haben, können Sie diese anfordern, indem Sie sich an uns.

Nach Eingabe der Lizenz sollte das Gerät neu starten. Es wird dann beginnen, Updates seiner Datenbanken von den Servern abzurufen. Wenn dies nicht automatisch geschieht, können Sie ins Menü System → FortiGuard gehen und in den Reitern Antivirus, Antispam auf die Schaltfläche Jetzt aktualisieren klicken.

Wenn das nicht hilft, können Sie die für Updates verwendeten Ports ändern. Normalerweise erscheinen danach alle Lizenzen. Am Ende sollte es so aussehen:

Lassen Sie uns die richtige Zeitzone einstellen, dies wird bei der Analyse der Protokolle hilfreich sein. Gehen wir dazu ins Menü System → Konfiguration:

Ebenfalls konfigurieren wir DNS. Als primären DNS-Server richten wir den internen DNS-Server ein, als sekundären belassen wir den DNS-Server, den Fortinet zur Verfügung stellt.

Nun kommen wir zum Interessantesten. Wie Sie wahrscheinlich bemerkt haben, ist das Gerät standardmäßig im Gateway-Modus konfiguriert. Daher müssen wir ihn nicht ändern. Gehen wir zum Bereich Domain & User → Domain. Wir erstellen eine neue Domäne, die geschützt werden soll. Hier müssen wir nur den Namen der Domäne und die Adresse des E-Mail-Servers angeben (es kann auch dessen Domainname angegeben werden, in unserem Fall mail.test.local):

Jetzt müssen wir einen Namen für unser E-Mail-Gateway angeben. Dieser wird in den MX- und A-Records verwendet, die wir später ändern müssen:

Aus den Punkten Host Name und Local Domain Name wird das FQDN gebildet, das in den DNS-Records verwendet wird. In unserem Fall ist FQDN = fortimail.test.local.

Lassen Sie uns nun die Empfangsregel einrichten. Wir benötigen, dass alle E-Mails, die von außen kommen und einem Benutzer in der Domain zugewiesen werden, an den Mailserver weitergeleitet werden. Dazu gehen wir zu Menü Richtlinie → Zugangskontrolle. Ein Beispiel für die Konfiguration finden Sie unten:

Schauen wir uns die Registerkarte Empfängerrichtlinie an. Hier können bestimmte Regeln zur Überprüfung von E-Mails eingerichtet werden: Wenn eine Mail von der Domain example1.com kommt, sollte sie mit speziellen Mechanismen für diese Domain überprüft werden. Es gibt bereits eine Standardregel für alle E-Mails, die uns derzeit zufriedenstellt. Diese Regel kann im Abbildung unten eingesehen werden:

Damit ist die Konfiguration auf FortiMail abgeschlossen. Tatsächlich gibt es viel mehr mögliche Parameter, aber wenn wir alle betrachten würden, könnte man ein Buch darüber schreiben :) Unser Ziel ist es, FortiMail mit minimalem Aufwand im Testmodus zu starten.

Es verbleiben zwei Dinge – die MX- und A-Einträge zu ändern sowie die Portweiterleitungsregeln in der Firewall zu ändern.

Der MX-Eintrag test.local -> mail.test.local 10 muss geändert werden auf test.local -> fortimail.test.local 10. Normalerweise wird während der Pilotphase ein zweiter MX-Eintrag mit höherer Priorität hinzugefügt. Zum Beispiel:

test.local -> mail.test.local 10
test.local -> fortimail.test.local 5

Ich erinnere daran, dass je kleiner die Prioritätsnummer des Mailservers im MX-Eintrag ist, desto höher ist seine Priorität.

Der A-Eintrag kann nicht geändert werden, daher erstellen wir einfach einen neuen: fortimail.test.local -> 10.10.30.210. Ein externer Benutzer wird die Adresse 10.10.30.210 über Port 25 ansprechen, und die Firewall wird die Verbindung an FortiMail weiterleiten.

Um die Weiterleitungsregel auf FortiGate zu ändern, muss die Adresse im entsprechenden Objekt Virtuelle IP geändert werden:

Alles ist bereit. Lassen Sie uns überprüfen. Senden wir erneut eine E-Mail von einem externen Benutzer. Gehen wir jetzt zu FortiMail im Menü Überwachung → Protokolle. Im Feld Verlauf sehen Sie den Eintrag, dass die E-Mail empfangen wurde. Für zusätzliche Informationen können Sie mit der rechten Maustaste auf den Eintrag klicken und die Option Details auswählen:

Um das Gesamtbild zu vervollständigen, überprüfen wir, ob FortiMail in der aktuellen Konfiguration E-Mails blockieren kann, die Spam und Viren enthalten. Dazu senden wir einen Testvirus eicar und eine Test-E-Mail, die in einer der Spam-Datenbanken gefunden wurde (http://untroubled.org/spam/). Danach gehen wir wieder ins Menü zur Protokollansicht:

Wie wir sehen, wurden sowohl der Spam als auch die E-Mail mit dem Virus erfolgreich erkannt.

Diese Konfiguration reicht aus, um einen grundlegenden Schutz vor Viren und Spam zu gewährleisten. Doch damit endet die Funktionalität von FortiMail nicht. Für einen effizienteren Schutz ist es notwendig, die verfügbaren Mechanismen zu erlernen und sie an die eigenen Bedürfnisse anzupassen. In Zukunft planen wir, andere, fortgeschrittenere Funktionen dieses E-Mail-Gateways zu beleuchten.

Wenn Sie Schwierigkeiten oder Fragen zur Lösung haben, schreiben Sie diese in die Kommentare, wir werden versuchen, schnell darauf zu antworten.

Sie können einen Antrag auf eine Testlizenz zur Prüfung der Lösung einreichen hier.

Autor: Alexey Nikulin. Sicherheitsingenieur bei Fortiservice.

Quelle: habr.com