FortiMail — kiire käivitamise konfiguratsioon

Tere tulemast! Täna räägime sellest, kuidas seadistada e-posti väravat. FortiMail – Fortineti lahendused e-posti kaitseks. Artiklis käsitleme kujundust, millega töötame, ja teeme konfiguratsiooni, FortiMail, mis on vajalik e-kirjade vastuvõtmiseks ja kontrollimiseks, ning testime selle toimivust. Meie kogemuste põhjal saame julgelt öelda, et protsess on väga lihtne ja isegi minimaalse konfiguratsiooniga on võimalik näha tulemusi.

Alustame praegusest kujundusest. See on esitatud alloleval joonisel.


Paremalt näeme välise kasutaja arvutit, millelt saadame e-kirju sisemistele kasutajatele. Sisemises võrgus asub kasutaja arvuti, domeenikontroller DNS-serveriga ja e-posti server. Võrgupiiril seisab tulemüür — FortiGate, mille peamine omadus on SMTP ja DNS liikluse edastamise seadistamine.

Pöörame erilist tähelepanu DNS-ile.

Veebis posti edastamiseks kasutatakse kahte DNS-kirjet — A-kirjet ja MX-kirjet. Need DNS-kirjed seadistatakse tavaliselt avalikus DNS-serveris, kuid kujunduspiirangute tõttu edastame DNS-i lihtsalt tulemüüride kaudu (see tähendab, et väliskasutaja jaoks on DNS-serveri aadressiks 10.10.30.210).

MX-kirje on kirje, mis sisaldab domeeni postiserveri nime ning selle postiserveri prioriteeti. Meie juhtumi korral näeb see välja selline: test.local -> mail.test.local 10.

A-kirje on kirje, mis muudab domeeninime IP-aadressiks, meie puhul see on: mail.test.local -> 10.10.30.210.

Kui meie väline kasutaja üritab saata kirja aadressile an@test.local, küsib ta oma DNS-serverilt domeeni test.local MX-kirjet. Meie DNS-server vastab postiserveri nimega — mail.test.local. Nüüd peab kasutaja saama selle serveri IP-aadressi, seega pöördub ta taas DNS-i poole A-kirje saamiseks ja saab IP-aadressi 10.10.30.210 (jah, jälle see:). Nüüd saab kirja saata. Seega üritab ta luua ühendust saadud IP-aadressiga pordil 25. Firewall'i reeglite kaudu suunatakse see ühendus postiserverisse.

Kontrollime posti toimivust praeguses näidisolekus. Selleks kasutame välise kasutaja arvutis tööriista swaks. Selle abil saab testida SMTP toimivust, saates saajale kirja koos erinevate parameetrite kogumiga. Enne seda on postiserveris juba registreeritud kasutaja, kellel on kast an@test.local. Proovime saata talle kirja:

Nüüd liikume sisemise kasutaja masinale ja veendume, et kiri on kohale jõudnud:

Kirjad on tõepoolest kohale jõudnud (see on loendis esile tõstetud). See tähendab, et mall töötab korrektselt. Aeg on minna FortiMaili juurde. Täiendame meie malli:

FortiMail'i saab paigaldada kolmes režiimis:

• Gateway — toimib täielikult MTA-na: võtab kogu postkasti enda peale, kontrollib selle ning edastab seejärel postiserverisse;
• Transparent — või teise nimega, läbipaistev režiim. Paigaldatakse serveri ette ja kontrollib sissetulevat ning väljaminevat posti. Seejärel edastatakse see serverile. Ei nõua muudatusi võrgu konfigureerimises.
• Server — antud juhul on FortiMail täielik postiserver, millel on võimalus luua postkaste, vastu võtta ja saata postitusi ning palju muud funktsionaalsust.

Me paigaldame FortiMail'i Gateway režiimis. Jätkame virtuaalmasina seadistustega. Logi sisse — admin, parool on määramata. Esmakordsel sisenemisel tuleb määrata uus parool.

Nüüd konfigureerime virtuaalse masina veebiliidese kasutamiseks. Samuti peab masin olema internetiühendusega. Seadistame liidese. Vajame ainult port1. Selle abil ühendame veebiliidesega ning seda kasutatakse ka internetiühenduse loomiseks. Internetiühendus on vajalik teenuste (nt viirusetõrje allkirjade jne) uuendamiseks. Konfiguratsiooni jaoks sisestame käsud:

config system interface
edit port 1
set ip 192.168.1.40 255.255.255.0
set allowaccess https http ssh ping
lõpp

Nüüd seadistame marsruutimise. Selleks tuleb sisestada järgmised käsud:

config system route
edit 1
set gateway 192.168.1.1
set interface port1
lõpp

Käsude sisestamisel võib kasutada tabulaatorit, et mitte kõik neid täielikult kirjutada. Samuti, kui te unustasite, milline käsk peaks järgmine olema, saate kasutada klahvi “?”.
Nüüd kontrollime internetiühendust. Selleks pingeri goge DNS:

Kuidas näeme, internet on olemas. Esialgsed seadistused, mis on iseloomulikud kõikidele Fortineti seadmetele, on tehtud, nüüd saame liikuda veebiliidese kaudu konfiguratsiooni. Selleks avame halduslehe:

Pange tähele, et juurdepääsuks peate minema aadressile /admin. Vastasel juhul ei pääse te halduslehele. Vaikimisi avatakse leht tavalises konfiguratsioonirežiimis. Seadete tegemiseks vajame täiendavat režiimi. Liigume menüüsse admin->View ja lülitame režiimi täiendavale:

Nüüd peame laadima alla prooviversiooniga litsentsi. Seda saab teha menüüs License Information → VM → Update:

Kui teil ei ole prooviversiooniga litsentsi, saate selle taotleda, pöördudes meiega.

Pärast litsentsi sisestamist peab seade taaskäivituma. Edaspidi hakkab see automaatselt värskendusi oma andmebaasidest serveritest tõmbama. Kui see ei toimu automaatselt, saate minna menüüsse System → FortiGuard ja vahekaartidel Antivirus, Antispam vajutada nuputa Update Now.

Kui see ei aita, saate muuta värskenduste jaoks kasutatavaid porte. Tavaliselt pärast seda ilmuvad kõik litsentsid. Lõpptulemus peaks välja nägema selline:

Seame õige ajavööndi, see tuleb kasuks logide uurimisel. Selleks liigume menüüsse System → Configuration:

Seame ka DNS-i seadistuseid. Peamise DNS-serverina seadistame sisemise DNS-serveri ning varu DNS-serveriks jätame Fortinet'i pakutud DNS-serveri.

Nüüd liigume kõige huvitavama osa juurde. Nagu olete ilmselt märganud, on seadme vaikerežiimiks Gateway. Seetõttu ei ole meil seda vaja muuta. Liigume valdkonda Domain & User → Domain. Loome uue domeeni, mida on vaja kaitsta. Siin peame ainult määrama domeeni nime ja meiliserveri aadressi (võime samuti märkida selle domeeninime, meie puhul mail.test.local):

Nüüd peame määrama nime meie meiligateway'le. Seda kasutatakse MX ja A kirjetes, mille me peame hiljem muutma:

Host Name'i ja Local Domain Name'i punktidest koostatakse FQDN, mida kasutatakse DNS-kirjetes. Meie puhul on FQDN = fortimail.test.local.

Nüüd seadistame vastuvõtu reegli. Meie eesmärk on, et kõik väljastpoolt saabuva kiri, mis määratakse domeeni kasutajale, edastatakse meiliserverisse. Selleks liigume menüüsse Policy → Access Control. Allpool on näidatud seadistuse näide:

Vaadake Recipient Policy vahekaarti. Siin saab seadistada teatud reegleid kirjade kontrollimiseks: kui e-kiri tuleb domeenilt example1.com, tuleb seda kontrollida just selle domeeni jaoks spetsiaalselt seadistatud mehhanismidega. Seal on juba seadistatud vaikereegel kogu e-kirjade jaoks ja hetkel sobib see meile. Selle reegliga saab tutvuda alloleval joonisel:

Nüüd võib FortiMaili seadistamise lõpetatuks lugeda. Tegelikult on võimalikke sätteid palju rohkem, kuid kui hakkame neid kõiki vaatama, saame kirjutada raamatu :) Meie eesmärk on aga võimalikult väheste pingutustega FortiMail testrežiimis käivitada.

Jäänud on kaks asja: muuta MX ja A kirjeid ning muuta portide edastamise reegleid tulemüüri seadetes.

MX kirje test.local -> mail.test.local 10 tuleb muuta test.local -> fortimail.test.local 10-ks. Kuid tavaliselt lisatakse pilootide ajal teine MX kirje, millel on kõrgem prioriteet. Näiteks:

test.local -> mail.test.local 10
test.local -> fortimail.test.local 5

Tuletan meelde, et mida väiksem on postiserveri järjekorranumber MX kirjes, seda kõrgem on selle prioriteet.

A salvestust ei saa muuta, seetõttu loome lihtsalt uue: fortimail.test.local -> 10.10.30.210. Väline kasutaja pöördub aadressile 10.10.30.210 port 25 kaudu ja tulemüür suunab ühenduse FortiMail'i.

Et muuta FortiGate'i edastamisreeglit, tuleb muuta aadressi vastavas Virtual IP objektis:

Kõik on valmis. Kontrollime nüüd. Saadame uuesti e-kirja väliskasutaja arvutist. Seejärel läheme menüüsse FortiMail → Monitor → Logid. Ajaloo väljal saab näha märget, et e-kiri on vastu võetud. Lisainformatsiooni saamiseks saab parema hiireklõpsuga märget klikkida ja valida punkt Details:

Kuna pilt oleks täiuslik, kontrollime, kas FortiMail suudab praegusel seadistusel blokeerida rämpskirju ja viiruseid. Selleks saadame testviiruse eicar ja testkirja, mille leidsime ühest rämpsposti andmebaasist (http://untroubled.org/spam/). Pärast seda läheme jälle logide vaatamise menüüsse:

Nagu näeme, oli nii rämpspost kui ka viirusetõrje e-kiri edukalt tuvastatud.

See konfiguratsioon on piisav, et tagada baaskaitse viiruste ja rämpsposti vastu. Kuid FortiMaili funktsionaalsus ei piirdu vaid sellega. Tõhusama kaitse tagamiseks on oluline tutvuda olemasolevate mehhanismidega ja seada need vastavalt oma vajadustele. Edasi plaanime tutvustada muid, edasiarendatud võimalusi selle postikogumiku jaoks.

Kui teil on raskusi või küsimusi lahenduse kohta, kirjutage need kommentaaridesse, me püüame kiirelt vastata.

Triiallicentsi taotlemise soovi saate esitada siit.

Autor: Aleksei Nikulin. Fortiservice'i infotehnoloogia turbeinsener.

Allikas: habr.com