Benvenuti! Oggi parleremo di come effettuare le impostazioni iniziali del gateway di posta. – le soluzioni di Fortinet per la protezione delle email. Durante l'articolo esamineremo il layout su cui lavoreremo, faremo la configurazione , necessaria per ricevere e verificare le email, e testeremo il suo funzionamento. Basandoci sulla nostra esperienza, possiamo dire con certezza che il processo è molto semplice e che anche dopo una configurazione minima è possibile vedere i risultati.
Iniziamo con l'attuale layout. È mostrato nell'immagine qui sotto.
A destra vediamo il computer di un utente esterno, da cui invieremo email a un utente nella rete interna. Nella rete interna si trova il computer di un utente, un controller di dominio con un server DNS attivo e un server di posta. Al confine della rete si trova un firewall – FortiGate, la cui caratteristica principale è la configurazione del passaggio del traffico SMTP e DNS.
Dedichiamo particolare attenzione al DNS.
Per la gestione della posta elettronica su Internet si utilizzano due record DNS: il record A e il record MX. Di solito, questi record DNS vengono configurati su un server DNS pubblico, ma a causa delle limitazioni del layout, inoltriamo semplicemente il DNS tramite il firewall (cioè per l'utente esterno, l'indirizzo DNS server è 10.10.30.210).
Il record MX è un record che contiene il nome del server di posta che gestisce il dominio, oltre alla priorità di questo server di posta. Nel nostro caso appare così: test.local -> mail.test.local 10.
Il record A è un record che trasforma un nome di dominio in un indirizzo IP, nel nostro caso: mail.test.local -> 10.10.30.210.
Quando un nostro utente esterno tenterà di inviare un'email all'indirizzo an@test.local, richiederà al suo server DNS il record MX del dominio test.local. Il nostro server DNS risponderà con il nome del server di posta — mail.test.local. Ora l'utente deve ottenere l'indirizzo IP di questo server, quindi si rivolge nuovamente al DNS per il record A e ottiene l'indirizzo IP 10.10.30.210 (sì, di nuovo lui:) ). Può inviare l'email. Quindi prova a stabilire una connessione con l'indirizzo IP ottenuto sulla porta 25. Utilizzando le regole del firewall, questa connessione viene inoltrata al server di posta.
Verifichiamo il funzionamento della posta nell'attuale stato del layout. Per fare ciò, sul computer dell'utente esterno utilizzeremo l'utility swaks. Con essa possiamo testare il funzionamento di SMTP, inviando un'email al destinatario con un insieme di diversi parametri. In anticipo, sul server di posta è già stato creato un utente con la casella di posta an@test.local. Proviamo a inviargli un'email:
Ora passiamo alla macchina dell'utente interno e verifichiamo che l'email sia arrivata:
La mail è effettivamente arrivata (è evidenziata nella lista). Significa che il layout funziona correttamente. È tempo di passare a FortiMail. Completiamo il nostro layout:
FortiMail può essere implementato in tre modalità:
- Gateway — funge da MTA completo: riceve tutte le email, le controlla e poi le inoltra al server di posta;
- Transparent — o modalità trasparente. Si installa davanti al server e controlla le email in entrata e in uscita. Dopodiché le invia al server. Non richiede modifiche alla configurazione della rete.
- Server — in questo caso FortiMail è un server di posta completo, con la possibilità di creare caselle di posta, ricevere e inviare email, oltre a ulteriori funzionalità.
Implementeremo FortiMail in modalità Gateway. Accediamo alle impostazioni della macchina virtuale. Login — admin, password non impostata. Al primo accesso è necessario impostare una nuova password.
Adesso configuriamo la macchina virtuale per accedere all'interfaccia web. È anche necessario che la macchina abbia accesso a Internet. Configuriamo l'interfaccia. Abbiamo bisogno solo di port1. Con esso ci connetteremo all'interfaccia web e sarà utilizzato anche per uscire su Internet. L'accesso a Internet è necessario per aggiornare i servizi (firmware antivirus, ecc.). Per la configurazione, digitiamo i seguenti comandi:
config system interface
edit port 1
set ip 192.168.1.40 255.255.255.0
set allowaccess https http ssh ping
end
Adesso configuriamo il routing. Per fare ciò, è necessario inserire i seguenti comandi:
config system route
edit 1
set gateway 192.168.1.1
set interface port1
end
Durante l'inserimento dei comandi, è possibile usare la tabulazione per non doverli digitare completamente. Inoltre, se avete dimenticato quale comando deve seguire, potete utilizzare il tasto “?”.
Adesso verifichiamo la connessione a Internet. Per fare ciò, eseguiamo un ping al DNS di Google:
Come vediamo, abbiamo accesso a Internet. Le impostazioni iniziali, comuni a tutti i dispositivi Fortinet, sono state completate, ora possiamo procedere con la configurazione tramite l'interfaccia web. Per questo, apriamo la pagina di gestione:
Si prega di notare che è necessario accedere tramite il link nel formato /admin. Altrimenti non sarà possibile accedere alla pagina di gestione. Per impostazione predefinita, la pagina è in modalità di configurazione standard. Per le impostazioni avremo bisogno della modalità Avanzata. Accediamo al menu admin->Visualizza e passiamo alla modalità Avanzata:
Ora dobbiamo caricare la licenza di prova. Questo può essere fatto nel menu Informazioni sulla licenza → VM → Aggiorna:
Se non si dispone di una licenza di prova, è possibile richiederla contattando .
Dopo aver inserito la licenza, il dispositivo dovrebbe riavviarsi. In seguito inizierà a scaricare aggiornamenti delle sue basi dai server. Se ciò non avviene automaticamente, è possibile andare nel menu Sistema → FortiGuard e nelle schede Antivirus, Antispam premere il pulsante Aggiorna ora.
Se questo non aiuta, è possibile cambiare le porte utilizzate per gli aggiornamenti. Di solito, dopo questo tutte le licenze dovrebbero apparire. Alla fine, dovrebbe apparire così:
Impostiamo il fuso orario corretto, utile per l'analisi dei log. Per fare ciò, accediamo al menu Sistema → Configurazione:
Configureremo anche il DNS. Come server DNS principale, imposteremo il server DNS interno, mentre come server DNS secondario utilizzeremo quello fornito da Fortinet.
Passiamo ora alla parte più interessante. Come avrete notato, per impostazione predefinita il dispositivo è in modalità Gateway. Pertanto, non è necessario modificarla. Andiamo nel campo Domain & User → Domain. Creeremo un nuovo dominio da proteggere. Qui dobbiamo specificare solo il nome del dominio e l'indirizzo del server di posta (è possibile specificare anche il suo nome di dominio, nel nostro caso mail.test.local):
Ora dobbiamo fornire un nome per il nostro gateway di posta. Sarà utilizzato nei record MX e A, che dovremo modificare in un secondo momento:
Dai punti Host Name e Local Domain Name si compone il FQDN, che viene utilizzato nei record DNS. Nel nostro caso, FQDN = fortimail.test.local.
Adesso configuraremo la regola di ricezione. Dobbiamo assicurarci che tutte le email che arrivano dall'esterno e destinate all'utente nel dominio vengano inoltrate al server di posta. A tal fine, andiamo nel menu Policy → Access Control. Un esempio di configurazione è riportato di seguito:
Esaminiamo la scheda Recipient Policy. Qui è possibile impostare regole specifiche per la verifica delle email: se una email proviene dal dominio example1.com, deve essere controllata con i meccanismi configurati specificamente per quel dominio. È già stata impostata una regola predefinita per tutte le email, e attualmente è quella che ci soddisfa. Puoi consultare questa regola nell'immagine sottostante:
A questo punto, la configurazione su FortiMail può considerarsi completata. In realtà ci sono molte più opzioni disponibili, ma se iniziassimo a esaminarle tutte, potremmo scrivere un libro :) Il nostro obiettivo è avviare FortiMail in modalità di test con il minimo sforzo.
Rimangono due cose da fare: modificare le registrazioni MX e A, e cambiare le regole di port forwarding sul firewall.
La registrazione MX test.local -> mail.test.local 10 deve essere cambiata in test.local -> fortimail.test.local 10. Ma di solito, durante i test, viene aggiunta una seconda registrazione MX con un priorità più alta. Ad esempio:
test.local -> mail.test.local 10
test.local -> fortimail.test.local 5
Ricordo che minore è il numero di priorità della registrazione MX del server di posta, maggiore è la sua priorità.
Non è possibile modificare la registrazione, quindi creiamo semplicemente una nuova: fortimail.test.local -> 10.10.30.210. L'utente esterno si connetterà all'indirizzo 10.10.30.210 sulla porta 25, e il firewall inoltrerà la connessione a FortiMail.
Per modificare la regola di inoltro su FortiGate, è necessario cambiare l'indirizzo nell'oggetto Virtual IP corrispondente:
Tutto è pronto. Controlliamo. Inviamo di nuovo un'email dal computer di un utente esterno. Ora passiamo a FortiMail nel menu Monitor → Logs. Nel campo History possiamo vedere l'entry che indica che l'email è stata ricevuta. Per ulteriori informazioni, si può cliccare con il tasto destro sull'entry e selezionare la voce Details:
Per completezza, verifichiamo se FortiMail nella configurazione attuale può bloccare le email contenenti spam e virus. Per fare ciò, inviamo un virus di test e un'email di test trovata in uno dei database di spam (http://untroubled.org/spam/). Dopo di che, torniamo di nuovo al menu di visualizzazione dei log:
Come possiamo vedere, sia lo spam che l'email con virus sono stati riconosciuti con successo.
Questa configurazione è sufficiente per garantire una protezione di base contro virus e spam. Ma le funzionalità di FortiMail non si fermano qui. Per una protezione più efficace, è necessario esplorare i meccanismi disponibili e configurarli secondo le proprie esigenze. In futuro, abbiamo in programma di trattare altre funzionalità più avanzate di questo gateway di posta.
Se avete riscontrato difficoltà o avete domande riguardo alla soluzione, lasciate un commento e cercheremo di rispondere prontamente.
Potete inviare una richiesta per una licenza trial per testare la soluzione. .
Autore: Alexey Nikulin. Ingegnere per la sicurezza informatica di Fortiservice.
Fonte: habr.com
