Willkommen! Heute zeigen wir Ihnen, wie Sie die grundlegenden Einstellungen des Mail-Gateways vornehmen. â eine Lösung von Fortinet zum Schutz von E-Mails. In diesem Artikel werden wir das Layout, mit dem wir arbeiten werden, durchgehen und die Konfiguration vornehmen, , die erforderlich ist, um E-Mails zu empfangen und zu ĂŒberprĂŒfen, und wir werden ihre FunktionsfĂ€higkeit testen. Basierend auf unserer Erfahrung können wir mit Sicherheit sagen, dass der Prozess sehr einfach ist, und selbst mit minimaler Konfiguration kann man bereits Ergebnisse sehen.
Lassen Sie uns mit dem aktuellen Layout beginnen. Es ist im Bild unten dargestellt.
Rechts sehen wir den Computer eines externen Benutzers, von dem aus wir E-Mails an Benutzer im internen Netzwerk senden werden. Im internen Netzwerk befindet sich der Computer des Benutzers, ein DomĂ€nencontroller mit einem laufenden DNS-Server und ein Mailserver. An der Netzwerkgrenze steht eine Firewall â FortiGate, deren Hauptmerkmal die Konfiguration des Durchleitens von SMTP- und DNS-Datenverkehr ist.
Wir werden besonderes Augenmerk auf DNS legen.
FĂŒr die E-Mail-Routing im Internet werden zwei DNS-EintrĂ€ge benötigt â ein A-Eintrag und ein MX-Eintrag. In der Regel werden diese DNS-EintrĂ€ge auf einem öffentlichen DNS-Server konfiguriert, aber aufgrund von LayoutbeschrĂ€nkungen leiten wir die DNS einfach durch die Firewall weiter (das bedeutet, dass fĂŒr externe Benutzer die Adresse 10.10.30.210 als DNS-Server eingetragen ist).
Der MX-Eintrag ist ein Eintrag, der den Namen des Mailservers enthÀlt, der die Domain bedient, sowie die PrioritÀt dieses Mailservers. In unserem Fall sieht er so aus: test.local -> mail.test.local 10.
Der A-Eintrag ist ein Eintrag, der den Domainnamen in eine IP-Adresse umwandelt; in unserem Fall ist das: mail.test.local -> 10.10.30.210.
Wenn unser externer Benutzer versucht, eine E-Mail an die Adresse an@test.local zu senden, fordert er seinen DNS-Server auf, den MX-Eintrag der Domain test.local zu erfragen. Unser DNS-Server antwortet mit dem Namen des Mailservers â mail.test.local. Nun muss der Benutzer die IP-Adresse dieses Servers erhalten, also fragt er erneut beim DNS nach dem A-Eintrag und erhĂ€lt die IP-Adresse 10.10.30.210 (ja, genau diese:). Jetzt kann die E-Mail gesendet werden. Daher versucht er, eine Verbindung zur erhaltenen IP-Adresse ĂŒber den Port 25 herzustellen. Mit Hilfe von Regeln in der Firewall wird diese Verbindung zum Mailserver durchgeleitet.
ĂberprĂŒfen wir die FunktionalitĂ€t der E-Mail im aktuellen Zustand des Setups. Dazu verwenden wir auf dem Computer des externen Benutzers das Tool swaks. Mit seiner Hilfe kann die FunktionsfĂ€higkeit von SMTP getestet werden, indem eine E-Mail mit einer Vielzahl von Parametern an den EmpfĂ€nger gesendet wird. Vorab wurde auf dem Mailserver bereits ein Benutzer mit dem Konto an@test.local angelegt. Versuchen wir, ihm eine E-Mail zu senden:
Jetzt wechseln wir zur Maschine des internen Benutzers und stellen fest, dass die E-Mail angekommen ist:
Die E-Mail ist tatsÀchlich angekommen (sie ist in der Liste hervorgehoben). Das bedeutet, dass das Layout korrekt funktioniert. Jetzt ist es an der Zeit, zu FortiMail zu wechseln. Lassen Sie uns unser Layout ergÀnzen:
FortiMail kann in drei Modi bereitgestellt werden:
- Gateway â fungiert als vollwertiger MTA: nimmt alle E-Mails entgegen, ĂŒberprĂŒft sie und leitet sie dann an den Mailserver weiter;
- Transparent â oder anders gesagt, der transparente Modus. Er wird vor dem Server eingerichtet und ĂŒberprĂŒft eingehende sowie ausgehende E-Mails. Danach leitet er sie an den Server weiter. Er erfordert keine Ănderungen an der Netzwerkkonfiguration.
- Server â in diesem Fall fungiert FortiMail als vollwertiger Mailserver mit der Möglichkeit, Mailboxen anzulegen, E-Mails zu empfangen und zu versenden sowie mit weiteren Funktionen.
Wir werden FortiMail im Gateway-Modus bereitstellen. Lassen Sie uns die Einstellungen der virtuellen Maschine aufrufen. Benutzername â admin, Passwort ist nicht festgelegt. Bei der ersten Anmeldung mĂŒssen Sie ein neues Passwort festlegen.
Jetzt konfigurieren wir die virtuelle Maschine fĂŒr den Zugriff auf die Web-OberflĂ€che. AuĂerdem ist es wichtig, dass die Maschine Internetzugang hat. Lassen Sie uns das Interface einrichten. Wir benötigen nur port1. Damit werden wir auf die Web-OberflĂ€che zugreifen und es wird auch fĂŒr den Internetzugang verwendet. Der Internetzugang ist erforderlich, um die Dienste (z. B. Antiviren-Signaturen usw.) zu aktualisieren. Geben Sie die folgenden Befehle ein, um die Konfiguration einzurichten:
config system interface
edit port 1
set ip 192.168.1.40 255.255.255.0
set allowaccess https http ssh ping
end
Jetzt konfigurieren wir das Routing. Dazu sind die folgenden Befehle erforderlich:
config system route
edit 1
set gateway 192.168.1.1
set interface port1
end
Beim Eingeben der Befehle können Sie die Tabulatortaste verwenden, um sie nicht vollstĂ€ndig eintippen zu mĂŒssen. Wenn Sie vergessen haben, welcher Befehl als nĂ€chstes kommen sollte, können Sie die Taste â?â nutzen.
Jetzt ĂŒberprĂŒfen wir die Internetverbindung. Dazu pingen wir den Google DNS:
Wie wir sehen, haben wir jetzt Internetzugang. Die ursprĂŒnglichen Einstellungen, die fĂŒr alle Fortinet-GerĂ€te charakteristisch sind, sind vorgenommen. Jetzt können wir zur Konfiguration ĂŒber die Web-OberflĂ€che ĂŒbergehen. Dazu öffnen wir die Verwaltungsseite:
Bitte beachten Sie, dass Sie ĂŒber den Link im Format /admin zugreifen mĂŒssen. Andernfalls können Sie nicht auf die Verwaltungsseite zugreifen. StandardmĂ€Ăig befindet sich die Seite im normalen Konfigurationsmodus. FĂŒr die Einstellungen benötigen wir den erweiterten Modus. Gehen wir zu dem MenĂŒ admin->View und wechseln den Modus auf Erweitert:
Jetzt mĂŒssen wir eine Testlizenz hochladen. Dies kann im MenĂŒ Lizenzinformationen â VM â Aktualisieren erfolgen:
Wenn Sie keine Testlizenz haben, können Sie diese anfordern, indem Sie sich an .
Nachdem die Lizenz eingegeben wurde, sollte das GerĂ€t neu starten. AnschlieĂend beginnt es, Updates seiner Datenbanken von den Servern abzurufen. Wenn dies nicht automatisch geschieht, können Sie im MenĂŒ System â FortiGuard und unter den Reitern Antivirus, Antispam auf die SchaltflĂ€che Jetzt aktualisieren klicken.
Wenn das nicht hilft, können Sie die fĂŒr Updates verwendeten Ports Ă€ndern. Normalerweise erscheinen danach alle Lizenzen. Am Ende sollte es so aussehen:
Lassen Sie uns die richtige Zeitzone einstellen, das ist hilfreich bei der Untersuchung von Protokollen. Gehen wir dafĂŒr zum MenĂŒ System â Konfiguration:
Wir werden auch den DNS konfigurieren. Als primÀren DNS-Server richten wir unseren internen DNS-Server ein, als sekundÀren belassen wir den DNS-Server von Fortinet.
Kommen wir nun zum spannendsten Teil. Wie Sie wahrscheinlich bemerkt haben, ist im Standardmodus das Gateway-Modus aktiviert. Daher mĂŒssen wir es nicht Ă€ndern. Gehen wir zu Domain & User â Domain. Wir erstellen eine neue Domain, die geschĂŒtzt werden muss. Hier mĂŒssen wir nur den Namen der Domain und die Adresse des Mailservers angeben (es kann auch der Domainname angegeben werden, in unserem Fall mail.test.local):
Jetzt mĂŒssen wir einen Namen fĂŒr unser Mailgateway angeben. Dieser wird in den MX- und A-Records verwendet, die wir spĂ€ter Ă€ndern mĂŒssen:
Die Punkte Host Name und Local Domain Name bilden den FQDN, der in den DNS-Records verwendet wird. In unserem Fall ist der FQDN = fortimail.test.local.
Nun richten wir die Empfangsregel ein. Wir benötigen, dass alle E-Mails, die von auĂen kommen und einem Benutzer in der Domain zugewiesen sind, an den Mailserver weitergeleitet werden. Gehen wir dazu zum MenĂŒ Policy â Access Control. Ein Beispiel fĂŒr die Konfiguration finden Sie unten:
Schauen wir uns die Registerkarte fĂŒr die EmpfĂ€nger-Richtlinien an. Hier können bestimmte Regeln zur ĂberprĂŒfung von E-Mails festgelegt werden: Wenn eine E-Mail von der Domain example1.com kommt, sollte sie durch speziell fĂŒr diese Domain konfigurierte Mechanismen ĂŒberprĂŒft werden. FĂŒr alle E-Mails ist bereits eine Standardregel eingerichtet, die derzeit fĂŒr uns in Ordnung ist. Diese Regel kann anhand des untenstehenden Bildes eingesehen werden:
Damit kann die Konfiguration von FortiMail als abgeschlossen betrachtet werden. TatsĂ€chlich gibt es noch viele weitere Optionen, aber wenn wir alle betrachten, könnte man ein Buch darĂŒber schreiben :) Unser Ziel ist es, FortiMail mit minimalem Aufwand im Testmodus zu starten.
Es bleiben noch zwei Dinge ĂŒbrig â die MX- und A-Records zu Ă€ndern sowie die Portweiterleitungsregeln in der Firewall anzupassen.
Der MX-Record test.local -> mail.test.local 10 sollte geĂ€ndert werden in test.local -> fortimail.test.local 10. Ăblicherweise wird wĂ€hrend der Pilotphase ein zweiter MX-Record mit höherer PrioritĂ€t hinzugefĂŒgt. Zum Beispiel:
test.local -> mail.test.local 10
test.local -> fortimail.test.local 5
Ich möchte daran erinnern, dass je niedriger die Reihenfolge des bevorzugten Mailservers im MX-Record ist, desto höher ist dessen PrioritÀt.
Eine A-Aufzeichnung kann nicht geĂ€ndert werden, also erstellen wir einfach einen neuen: fortimail.test.local -> 10.10.30.210. Der externe Benutzer wird die Adresse 10.10.30.210 ĂŒber Port 25 ansprechen, und die Firewall wird die Verbindung an FortiMail weiterleiten.
Um die Weiterleitungsregel auf FortiGate zu Àndern, muss die Adresse im entsprechenden Virtual IP-Objekt angepasst werden:
Alles ist bereit. Lass uns prĂŒfen. Senden wir erneut eine E-Mail von dem Computer des externen Benutzers. Gehen wir nun zu FortiMail im MenĂŒ Monitor â Protokolle. Im Feld Verlauf kann man sehen, dass die E-Mail empfangen wurde. FĂŒr weitere Informationen kann man mit der rechten Maustaste auf den Eintrag klicken und die Option Details wĂ€hlen:
Um das Gesamtbild zu vervollstĂ€ndigen, ĂŒberprĂŒfen wir, ob FortiMail in der aktuellen Konfiguration E-Mails blockieren kann, die Spam und Viren enthalten. Dazu senden wir einen Testvirus (eicar) sowie eine Test-E-Mail, die in einer der Spam-Datenbanken gefunden wurde (http://untroubled.org/spam/). Danach gehen wir wieder zum MenĂŒ zum Anzeigen der Protokolle:
Wie wir sehen, wurden sowohl der Spam als auch die E-Mail mit dem Virus erfolgreich erkannt.
Diese Konfiguration genĂŒgt, um einen grundlegenden Schutz vor Viren und Spam zu gewĂ€hrleisten. Doch die FunktionalitĂ€ten von FortiMail gehen weit darĂŒber hinaus. FĂŒr einen effektiveren Schutz sollten die vorhandenen Mechanismen nĂ€her betrachtet und an die eigenen BedĂŒrfnisse angepasst werden. In Zukunft planen wir, weitere fortschrittliche Möglichkeiten dieses Mail-Gateways zu beleuchten.
Sollten Sie Schwierigkeiten oder Fragen zu dieser Lösung haben, hinterlassen Sie bitte einen Kommentar. Wir werden unser Bestes tun, um schnell zu antworten.
Sie können einen Antrag auf eine Testlizenz zur Erprobung der Lösung einreichen. .
Autor: Alexey Nikulin. Sicherheitstechniker bei Fortiservice.
Quelle: habr.com
