FortiMail — kiirkäivituse konfiguratsioon

Tere tulemast! Täna räägime, kuidas seadistada e-posti väravat. FortiMail – Fortinet'i lahendus e-posti kaitseks. Käesolevas artiklis vaatame skeemi, millega me töötame, ja teeme vajalikud seadistused FortiMail, et e-kirju vastu võtta ja kontrollida, samuti testime selle toimimist. Meie kogemustele tuginedes võime julgelt öelda, et protsess on väga lihtne ning isegi minimaalse seadistuse järel on tulemusi kohe näha.

Alustame praegusest skeemist. See on kujutatud alloleval joonisel.


Paremal näeme välist kasutajakontrolli arvutit, millest saadame e-kirju sisevõrgu kasutajale. Sisevõrgus asub kasutajakontrolli arvuti, domeenikontroller koos käivitatud DNS-serveriga ja e-posti server. Võrgu piiril on tulekindel sein – FortiGate, mille peamine omadus on SMTP ja DNS liikluse edastamine.

Pöörame erilist tähelepanu DNS-ile.

E-posti suunamiseks Internetis kasutatakse kahte DNS-i recordsit – A-record ja MX-record. Tavaliselt seadistatakse need DNS-i recordsid avalikus DNS-serveris, kuid seadistamise piirangute tõttu juhime lihtsalt DNS-i tulekindla seina kaudu (s.t. välisel kasutajal on DNS-serveri aadressiks 10.10.30.210).

MX-record on record, mis sisaldab domeeni e-posti serveri nime ning selle prioriteeti. Meie juhul näeb see välja nii: test.local -> mail.test.local 10.

A-record on record, mis muudab domeeni nime IP-aadressiks, meie puhul: mail.test.local -> 10.10.30.210.

Kui meie väline kasutaja proovib saata kirja aadressile an@test.local, küsib ta oma DNS-serverilt domeeni test.local jaoks MX-recordi. Meie DNS-server vastab e-posti serveri nimega – mail.test.local. Nüüd peab kasutaja saama selle serveri IP-aadressi, seega pöördub ta uuesti DNS-i poole A-recordi saamiseks ja saab IP-aadressi 10.10.30.210 (jah, jälle see:) ). Kirja saab saata. Seetõttu proovib ta luua ühendust saadud IP-aadressiga pordil 25. Tulekindla seina reeglite abil edastatakse see ühendus e-posti serverile.

Kontrollime e-posti funktsionaalsust praeguses paigutuse olekus. Selleks kasutame välise kasutaja arvutis utiliiti swaks. Selle abil saab testida SMTP funktsionaalsust, saates saajale kirja mitmete erinevate parameetritega. Eelnevalt on postiserveris juba loodud kasutaja, kellel on karp an@test.local. Proovime talle kirja saata:

Nüüd liigume sisemise kasutaja masinale ja veendume, et kiri on jõudnud:

Kiri on tõepoolest saabunud (see on nimekirjas esile tõstetud). See tähendab, et paigutus töötab õigesti. On aeg liikuda FortiMaili juurde. Täiendame meie paigutust:

FortiMaili saab käitada kolmes režiimis:

• Gateway – töötab täieõigusliku MTA-na: aktsepteerib kogu postkasti, kontrollib seda ja edastab seejärel postiserverisse;
• Transparent – ehk läbipaistev režiim. Paigaldatakse serveri ette ja kontrolleb sissetulevat ja väljaminevat posti. Pärast seda edastab selle serverisse. Ei nõua muudatusi võrgu konfiguratsioonis.
• Server – sel juhul on FortiMail täieõiguslik postiserver, millel on võimalus luua postkaste, vastu võtta ja saata post, samuti muu funktsionaalsus.

Me kavatseme käivitada FortiMaili Gateway režiimis. Siseneme virtuaalmasina seadistustesse. Sisselogimine – admin, parool ei ole määratud. Esimese sisselogimise korral on vajalik määrata uus parool.

Nüüd seadistame virtuaalmashiini veebiliidese jaoks. Samuti on vajalik, et masinal oleks juurdepääs Internetile. Seadistame liidese. Me vajame ainult port1. Selle abil ühendame veebiliidese ja see kasutatakse ka Interneti-ühendamiseks. Interneti-ühendus on vajalik teenuste (antiviirusallkirjade jne) uuendamiseks. Konfiguratsiooni jaoks sisestame käsklused:

konfigureeri süsteemi liides
edit port 1
set ip 192.168.1.40 255.255.255.0
set allowaccess https http ssh ping
lõpeta

Nüüd seadistame marsruutimise. Selleks on vajalik sisestada järgmised käsklused:

config system route
edit 1
set gateway 192.168.1.1
set interface port1
lõpeta

Käskude sisestamisel saab kasutada tabulaatorit, et mitte neid täielikult kirjutada. Samuti, kui unustasite, milline käsk peaks järgmiseks tulema, saate kasutada klahvi "?".
Nüüd kontrollime Interneti-ühendust. Selleks pingime Google'i DNS-i:

Kuna näeme, et internet on meil nüüd olemas. Esialgsed seaded, mis on iseloomulikud kõigile Fortinet seadmetele, on tehtud, nüüd saame liikuda veebiliidese konfigureerimise juurde. Selleks avame haldussammu:

Käige tähele, et link, mida tuleb kasutada, on vormingus \/admin. Muidu ei pääse te haldusteenusesse. Vaikimisi on leht standardsetes seadetes. Seadistamiseks vajame Advanced režiimi. Liigume menüüsse admin->View ja lülitame režiimi Advanced peale:

Nüüd peame alla laadima prooviversiooni litsentsi. Seda saab teha menüüs License Information → VM → Update:

Kui teil ei ole prooviversiooni litsentsi, võite seda küsida, pöördudes meiega.

Pärast litsentsi sisestamist peab seade taaskäivituma. Edaspidi hakkab see värskendama oma andmebaase serveritest. Kui seda ei juhtu automaatselt, saate minna menüüsse System → FortiGuard ja tabadel Antivirus, Antispam vajutada nuppu Update Now.

Kui see ei aita, võite muuta värskenduste jaoks kasutatavaid porte. Tavaliselt pärast seda ilmuvad kõik litsentsid. Lõppkokkuvõttes peaks see välja nägema nii:

Seame õiged ajavööndid, see tuleb kasuks logide uurimisel. Selleks liigume menüüsse System → Configuration:

Seame ka DNS-i. Peamise DNS-serverina seame sisemise DNS-serveri ja reservina jätame Fortineti pakutava DNS-serveri.

Nüüd liigume kõige huvitavamale. Nagu olete tõenäoliselt märganud, on seadme vaikerežiim Gateway. Seetõttu ei pea me seda muutma. Liigume domeeni ja kasutaja valdkonda → Domeen. Loome uue domeeni, mida peame kaitsma. Siin peame sisestama ainult domeeni nime ja meilisüsteemi aadressi (võime samuti märkida selle domeeninime, meie puhul mail.test.local):

Nüüd peame määrama nime meie postiväravate jaoks. Seda kasutatakse MX ja A rekordites, mida peame hiljem muutma:

Host Name ja Local Domain Name punktidest koostatakse FQDN, mida kasutatakse DNS rekordites. Meie puhul FQDN = fortimail.test.local.

Seadme parameetrid sisse. Meil on vaja, et kõik välismaalt tulevad ja domeeni kasutajatele suunatud e-kirjad edastataks meiliserverisse. Selle saavutamiseks liikume menüüsse Policy → Access Control. Allpool on näidatud seadistamine:

Vaadakem Recipient Policy vahetuba. Siin saab kehtestada erilisi reegleid e-kirjade kontrollimiseks: kui e-kiri tuleb domeenilt example1.com, tuleb selle mehanisme, mis on spetsiaalselt selle domeeni jaoks seadistatud, kontrollida. Seal on juba kehtestatud vaike reegel kogu postkasti jaoks, ja hetkel sobib see meile. Sellega saab tutvuda allolevas joonisel:

FortiMail seadistamine on nüüd lõppenud. Tõepoolest, võimalike parameetrite hulk on palju suurem, kuid kui me hakkame neid kõiki uurima — saaks kirjutada raamat :) Meie eesmärk on käivitada FortiMail testrežiimis minimaalsete pingutustega.

Jäänud on kaks asja — muuta MX- ja A-kirjed ning muuta sadamate edastamise reeglid tulemüüris.

MX-kirje test.local -> mail.test.local 10 tuleb muuta test.local -> fortimail.test.local 10. Kuid tavaliselt lisatakse pilotprojekti käigus teine MX-kirje, mille eelised on kõrgemad. Näiteks:

test.local -> mail.test.local 10
test.local -> fortimail.test.local 5

Tuletan meelde, et mida väiksem on e-kirja serveri eelisjärjekorra number MX-kirjes, seda kõrgem on selle prioriteet.

A-kirjet muuta ei saa, seetõttu loome lihtsalt uue: fortimail.test.local -> 10.10.30.210. Väline kasutaja pöördub aadressi 10.10.30.210 poole 25. sadamal ja tulemüür suunab ühenduse FortiMaili.

FortiGate'i edastamisreegli muutmiseks tuleb vastavas Virtual IP objektil aadressi muuta:

Kõik on valmis. Kontrollime nüüd. Saadame uuesti e-kirja välist kasutaja arvutist. Tõstame tähelepanu FortiMaili menüüsse Monitor → Logs. Ajaloo väljal näete kirje, mis kinnitab, et e-kiri on vastu võetud. Lisainformatsiooni saamiseks võite kirjele hiire parema klahviga vajutada ja valida Details:

Kogu pildi täiendamiseks kontrollime, kas FortiMail suudab praeguses konfiguratsioonis blokeerida e-kirju, mis sisaldavad rämpsposti ja viiruseid. Selleks saadame testviiruse eicar ja testkirja, mis on leitud ühest rämpspostide andmebaasist (http://untroubled.org/spam/). Pärast seda läheme uuesti logide vaatamise menüüsse:

Kuidas näha, on nii rämpspost kui ka viirustega kiri edukalt tuvastatud.

Antud konfiguratsioon on piisav, et tagada põhikaitse viiruste ja rämpsposti eest. Kuid FortiMaili funktsionaalsus sellega ei piirdu. Tõhusama kaitse saavutamiseks on oluline uurida olemasolevaid mehhanisme ja kohandada neid oma vajadustele. Edasi plaanime tutvustada teisi, arenenumaid võimalusi selle e-posti värava jaoks.

Kui teil on probleeme või küsimusi lahenduse osas, kirjutage need kommentaaridesse, me püüame neile kiiresti vastata.

Taotluse katselicentsi taotlemiseks saate esitada siin.

Autor: Aleksei Nikulin. Teabejulgeoleku insener Fortiservice.

Allikas: habr.com