Benvenuti! Oggi vi spiegheremo come effettuare le impostazioni iniziali del gateway mail – è la soluzione di Fortinet per la protezione della posta elettronica. In questo articolo esamineremo il layout con cui lavoreremo e realizzeremo la configurazione , necessaria per ricevere e verificare le email, oltre a testarne il funzionamento. Basandoci sulla nostra esperienza, possiamo affermare con certezza che il processo è molto semplice e, anche dopo una configurazione minima, è possibile vedere i risultati.
Iniziamo con il layout attuale. È presentato nell'immagine sottostante.
A destra vediamo un computer di un utente esterno, da cui invieremo email all'utente della rete interna. Nella rete interna si trova il computer di un utente, un controller di dominio con un server DNS attivo e un server di posta. Al confine della rete si trova un firewall — FortiGate, la cui caratteristica principale è la configurazione del forwarding del traffico SMTP e DNS.
Dedichiamo particolare attenzione al DNS.
Per il routing delle email su Internet vengono utilizzate due registrazioni DNS — una registrazione A e una registrazione MX. Di solito queste registrazioni DNS sono configurate su un server DNS pubblico, ma a causa delle limitazioni del layout, semplicemente inoltriamo il DNS attraverso il firewall (cioè l'utente esterno ha come indirizzo del server DNS l'indirizzo 10.10.30.210).
La registrazione MX — è una registrazione che contiene il nome del server di posta che gestisce il dominio, nonché la priorità di tale server di posta. Nel nostro caso appare così: test.local -> mail.test.local 10.
La registrazione A — è una registrazione che trasforma un nome di dominio in un indirizzo IP, per noi è: mail.test.local -> 10.10.30.210.
Quando il nostro utente esterno cercherà di inviare un'email all'indirizzo an@test.local, richiederà al suo server DNS la registrazione MX del dominio test.local. Il nostro server DNS risponderà con il nome del server di posta — mail.test.local. Ora l'utente deve ottenere l'indirizzo IP di questo server, quindi torna a chiedere al DNS la registrazione A e ottiene l'indirizzo IP 10.10.30.210 (sì, di nuovo lui :) ). Ora si può inviare l'email. Pertanto cerca di stabilire una connessione con l'indirizzo IP ricevuto sulla porta 25. Con le regole del firewall, questa connessione viene inoltrata al server di posta.
Verifichiamo il funzionamento della posta nello stato attuale del layout. Per questo utilizzeremo l'utilità swaks sul computer di un utente esterno. Con essa è possibile testare il funzionamento di SMTP inviando una mail a un destinatario con un insieme di vari parametri. Precedentemente, sul server di posta è già stato creato un utente con la casella an@test.local. Cerchiamo di inviargli una mail:
Ora passiamos sulla macchina dell'utente interno e verifichiamo che la mail sia arrivata:
La mail è effettivamente arrivata (è evidenziata nell'elenco). Questo significa che il layout funziona correttamente. È ora di passare a FortiMail. Completiamo il nostro layout:
FortiMail può essere implementato in tre modalità:
- Gateway — funge da vero MTA: accetta tutta la posta, la esamina e poi la inoltra al server di posta;
- Transparent — o in altre parole, modalità trasparente. Si colloca davanti al server e controlla la posta in entrata e in uscita. Dopo di che la inoltra al server. Non richiede modifiche alla configurazione della rete.
- Server — in questo caso FortiMail è un vero e proprio server di posta con la possibilità di creare caselle email, ricevere e inviare posta, oltre ad altre funzionalità.
Implementeremo FortiMail in modalità Gateway. Accediamo alle impostazioni della macchina virtuale. Login — admin, password non impostata. Al primo accesso è necessario impostare una nuova password.
Ora configureremo la macchina virtuale per l'accesso all'interfaccia web. È inoltre necessario che la macchina abbia accesso a Internet. Configuriamo l'interfaccia. Abbiamo bisogno solo di port1. Con esso ci connetteremo all'interfaccia web e sarà utilizzato anche per l'accesso a Internet. L'accesso a Internet è necessario per aggiornare i servizi (firmware antivirus, ecc.). Per la configurazione inseriremo i seguenti comandi:
config system interface
edit port 1
set ip 192.168.1.40 255.255.255.0
set allowaccess https http ssh ping
end
Ora configuriamo il routing. Per questo è necessario inserire i seguenti comandi:
config system route
edit 1
set gateway 192.168.1.1
set interface port1
end
Durante l'inserimento dei comandi, puoi utilizzare il tasto di tabulazione per non doverli digitare completamente. Inoltre, se hai dimenticato quale comando deve seguire, puoi utilizzare il tasto “?”.
Ora verifichiamo la connessione a Internet. Per fare ciò, pinghiamo il DNS di Google:
Come possiamo vedere, Internet è arrivato. Le impostazioni iniziali, comuni a tutti i dispositivi Fortinet, sono state completate, ora possiamo passare alla configurazione tramite l'interfaccia web. Per farlo, apriamo la pagina di gestione:
Si prega di notare che bisogna passare per il link nel formato /admin. Altrimenti non sarà possibile accedere alla pagina di gestione. Per impostazione predefinita, la pagina è in modalità di configurazione standard. Per le impostazioni avremo bisogno della modalità Avanzata. Andiamo nel menu admin->Visualizza e cambiamo la modalità in Avanzata:
Ora dobbiamo caricare la licenza di prova. È possibile farlo nel menu Informazioni sulla Licenza → VM → Aggiorna:
Se non si dispone di una licenza di prova, è possibile richiederne una contattando .
Dopo aver inserito la licenza, il dispositivo dovrebbe riavviarsi. In seguito inizierà a scaricare gli aggiornamenti delle sue basi dai server. Se ciò non avviene automaticamente, si può andare nel menu Sistema → FortiGuard e nelle schede Antivirus, Antispam premere il pulsante Aggiorna ora.
Se questo non aiuta, è possibile cambiare le porte utilizzate per gli aggiornamenti. Di solito, dopo questo tutte le licenze compaiono. In definitiva, dovrebbe apparire così:
Impostiamo il corretto fuso orario, sarà utile durante l'analisi dei registri. Per farlo, andiamo nel menu Sistema → Configurazione:
Imposteremo anche il DNS. Come server DNS principale programmeremo il server DNS interno, mentre come server di backup lasceremo il server DNS fornito da Fortinet.
Passiamo ora alla parte più interessante. Come avrete notato, per impostazione predefinita, il dispositivo è in modalità Gateway. Pertanto non è necessario cambiarla. Andiamo nel campo Dominio & Utente → Dominio. Creeremo un nuovo dominio che deve essere protetto. Qui dobbiamo solo indicare il nome del dominio e l'indirizzo del server di posta (possiamo anche indicare il suo nome di dominio, nel nostro caso mail.test.local):
Ora dobbiamo specificare un nome per il nostro gateway di posta. Sarà utilizzato nei record MX e A, che dovremo cambiare in seguito:
Dai punti Nome Host e Nome Dominio Locale si compone l'FQDN, che viene utilizzato nei record DNS. Nel nostro caso FQDN = fortimail.test.local.
Ora impostiamo la regola di ricezione. È necessario che tutte le email che arrivano dall'esterno e sono assegnate a un utente nel dominio vengano inoltrate al server di posta. Per questo, andiamo nel menu Policy → Access Control. Di seguito è riportato un esempio di configurazione:
Guardiamo la scheda Recipient Policy. Qui è possibile impostare determinate regole di verifica delle email: se la posta proviene dal dominio example1.com, è necessario verificarla con i meccanismi configurati specificamente per questo dominio. È già stata impostata una regola di default per tutte le email e attualmente ci soddisfa. È possibile consultare questa regola nell'immagine qui sotto:
Con questo, la configurazione su FortiMail può considerarsi completata. In realtà, ci sono molte più opzioni disponibili, ma se iniziamo a considerarle tutte, ci vorrebbe un libro :) Il nostro obiettivo è avviare FortiMail in modalità di test con il minor sforzo possibile.
Restano due cose: modificare le registrazioni MX e A, e cambiare le regole di inoltro delle porte sul firewall.
La registrazione MX test.local -> mail.test.local 10 deve essere cambiata in test.local -> fortimail.test.local 10. Di solito, durante le prove, viene aggiunta una seconda registrazione MX con una priorità più alta. Ad esempio:
test.local -> mail.test.local 10
test.local -> fortimail.test.local 5
Ricordo che più basso è il numero di preferenza del server di posta nella registrazione MX, maggiore è la sua priorità.
La registrazione A non può essere modificata, quindi creeremo semplicemente una nuova: fortimail.test.local -> 10.10.30.210. L'utente esterno si collegherà all'indirizzo 10.10.30.210 sulla porta 25, e il firewall inoltrerà la connessione a FortiMail.
Per modificare la regola di inoltro su FortiGate, è necessario cambiare l'indirizzo nel corrispondente oggetto Virtual IP:
Tutto è pronto. Controlliamo. Inviamo di nuovo un'email da un computer di un utente esterno. Ora andiamo su FortiMail nel menu Monitor → Logs. Nella sezione History è possibile vedere la registrazione che indica che l'email è stata ricevuta. Per ulteriori informazioni, è possibile fare clic sulla registrazione con il tasto destro del mouse e selezionare Dettagli:
Per avere un quadro completo, verifichiamo se FortiMail nella configurazione attuale può bloccare le email contenenti spam e virus. Per questo, inviamo un virus di test eicar e un'email di test, trovata in una delle basi di spam (http://untroubled.org/spam/). Successivamente, ritorniamo al menu di visualizzazione dei log:
Come vediamo, sia lo spam che l'email con virus sono stati riconosciuti con successo.
Questa configurazione è sufficiente per garantire una protezione di base contro virus e spam. Ma le funzionalità di FortiMail non si limitano a questo. Per una protezione più efficace, è necessario esaminare i meccanismi disponibili e configurarli in base alle proprie esigenze. In futuro, pianifichiamo di trattare altre funzionalità più avanzate di questo gateway email.
Se avete difficoltà o domande relative alla soluzione, scrivetele nei commenti, cercheremo di rispondere rapidamente.
È possibile inviare una richiesta per una licenza trial per testare la soluzione. .
Autore: Aleksey Nikulin. Ingegnere della sicurezza informatica di Fortiservice.
Fonte: habr.com
