Debian + Postfix + Dovecot + Multidomain + SSL + IPv6 + OpenVPN + მრავალ ინტერფეისები + SpamAssassin-learn + Bind

ეს სტატია ეხება თანამედროვე ფოსტის სერვერის დაყენებას.
Postfix + Dovecot. SPF + DKIM + rDNS. IPv6-ით.
TSL დაშიფვრით. მრავალი დომენის მხარდაჭერით - ნაწილი რეალური SSL სერთიფიკატით.
ანტისპამის დაცვით და ანტისპამის მაღალი რეიტინგით სხვა ფოსტის სერვერებიდან.
მხარს უჭერს მრავალ ფიზიკურ ინტერფეისს.
OpenVPN-ით, რომელთანაც კავშირი არის IPv4-ის საშუალებით და რომელიც უზრუნველყოფს IPv6-ს.

თუ არ გსურთ ისწავლოთ ყველა ეს ტექნოლოგია, მაგრამ გსურთ დააყენოთ ასეთი სერვერი, მაშინ ეს სტატია თქვენთვისაა.

სტატია არ ცდილობს ახსნას ყველა დეტალი. ახსნა მიდის იმაზე, რაც არ არის კონფიგურირებული როგორც სტანდარტული ან მნიშვნელოვანია მომხმარებლის თვალსაზრისით.

ფოსტის სერვერის დაყენების მოტივაცია ჩემი დიდი ხნის ოცნება იყო. ეს შეიძლება სულელურად ჟღერდეს, მაგრამ IMHO, ეს ბევრად უკეთესია, ვიდრე თქვენი საყვარელი ბრენდის ახალ მანქანაზე ოცნება.

IPv6-ის დაყენების ორი მოტივაცია არსებობს. IT სპეციალისტს მუდმივად სჭირდება ახალი ტექნოლოგიების სწავლა, რათა გადარჩეს. მინდა ჩემი მოკრძალებული წვლილი შევიტანო ცენზურის წინააღმდეგ ბრძოლაში.

OpenVPN-ის დაყენების მოტივაცია არის მხოლოდ IPv6-ის მუშაობა ადგილობრივ აპარატზე.
რამდენიმე ფიზიკური ინტერფეისის დაყენების მოტივაცია არის ის, რომ ჩემს სერვერზე მაქვს ერთი ინტერფეისი „ნელი, მაგრამ შეუზღუდავი“ და მეორე „სწრაფი, მაგრამ ტარიფით“.

Bind პარამეტრების დაყენების მოტივაცია არის ის, რომ ჩემი ISP უზრუნველყოფს არასტაბილურ DNS სერვერს და google ასევე ზოგჯერ ვერ ხერხდება. მე მინდა სტაბილური DNS სერვერი პირადი გამოყენებისთვის.

სტატიის დაწერის მოტივაცია - პროექტი დავწერე 10 თვის წინ და უკვე ორჯერ გადავხედე. მაშინაც კი, თუ ავტორს ეს რეგულარულად სჭირდება, დიდია ალბათობა იმისა, რომ სხვებსაც დასჭირდეთ.

არ არსებობს უნივერსალური გადაწყვეტა ფოსტის სერვერისთვის. მაგრამ მე შევეცდები დავწერო მსგავსი რამ: „გააკეთე ეს და მერე, როცა ყველაფერი ისე იმუშავებს, როგორც უნდა, გადააგდე ზედმეტი ნივთები“.

კომპანია tech.ru-ს აქვს Colocation სერვერი. შესაძლებელია შედარება OVH, Hetzner, AWS. ამ პრობლემის გადასაჭრელად, tech.ru-სთან თანამშრომლობა გაცილებით ეფექტური იქნება.

Debian 9 დაინსტალირებულია სერვერზე.

სერვერს აქვს 2 ინტერფეისი `eno1` და `eno2`. პირველი შეუზღუდავია, მეორე კი, შესაბამისად, სწრაფი.

არის 3 სტატიკური IP მისამართი, XX.XX.XX.X0 და XX.XX.XX.X1 და XX.XX.XX.X2 `eno1` ინტერფეისზე და XX.XX.XX.X5 `eno2` ინტერფეისზე. .

ხელმისაწვდომია XXXX:XXXX:XXXX:XXXX::/64 IPv6 მისამართების ჯგუფი, რომლებიც მინიჭებულია `eno1` ინტერფეისზე და მისგან XXXX:XXXX:XXXX:XXXX:1:2::/96 მიენიჭა `eno2`-ს ჩემი მოთხოვნით.

არის 3 დომენი `domain1.com`, `domain2.com`, `domain3.com`. არსებობს SSL სერთიფიკატი `domain1.com` და `domain3.com`-ისთვის.

მე მაქვს Google ანგარიში, რომელსაც მინდა მივაბარო ჩემი საფოსტო ყუთი[ელ.ფოსტით დაცულია]` (ფოსტის მიღება და ფოსტის გაგზავნა პირდაპირ gmail ინტერფეისიდან).
უნდა არსებობდეს საფოსტო ყუთი`[ელ.ფოსტით დაცულია]`, ელფოსტის ასლი, საიდანაც მინდა ვნახო ჩემს gmail-ში. და იშვიათია, რომ შეგეძლოს რაღაცის გაგზავნა `-ის სახელით[ელ.ფოსტით დაცულია]` ვებ ინტერფეისის საშუალებით.

უნდა არსებობდეს საფოსტო ყუთი`[ელ.ფოსტით დაცულია]`, რომელსაც ივანოვი თავისი აიფონიდან გამოიყენებს.

გაგზავნილი ელ.წერილი უნდა შეესაბამებოდეს ანტისპამის ყველა თანამედროვე მოთხოვნას.
საჯარო ქსელებში გათვალისწინებული უნდა იყოს დაშიფვრის უმაღლესი დონე.
უნდა იყოს IPv6 მხარდაჭერა როგორც წერილების გაგზავნისთვის, ასევე მიღებისთვის.
უნდა იყოს SpamAssassin, რომელიც არასოდეს წაშლის ელ.წერილს. და ის ან აბრუნდება, ან გამოტოვებს ან გაგზავნის IMAP „სპამის“ საქაღალდეში.
SpamAssassin auto-learning უნდა იყოს კონფიგურირებული: თუ გადავიტან ასოს Spam საქაღალდეში, ის ისწავლის აქედან; თუ წერილს გადავიტან სპამის საქაღალდიდან, ის ამას ისწავლის. SpamAssassin ტრენინგის შედეგებმა უნდა მოახდინოს გავლენა, მთავრდება თუ არა წერილი Spam საქაღალდეში.
PHP სკრიპტებს უნდა შეეძლოთ ფოსტის გაგზავნა რომელიმე დომენის სახელით მოცემულ სერვერზე.
უნდა არსებობდეს openvpn სერვისი, IPv6-ის გამოყენების შესაძლებლობით კლიენტზე, რომელსაც არ აქვს IPv6.

პირველ რიგში, თქვენ უნდა დააკონფიგურიროთ ინტერფეისები და მარშრუტიზაცია, მათ შორის IPv6.
შემდეგ მოგიწევთ OpenVPN-ის კონფიგურაცია, რომელიც დაუკავშირდება IPv4-ით და კლიენტს მიაწვდის სტატიკურ-რეალურ IPv6 მისამართს. ამ კლიენტს ექნება წვდომა სერვერზე ყველა IPv6 სერვისზე და წვდომა ნებისმიერ IPv6 რესურსზე ინტერნეტში.
შემდეგ დაგჭირდებათ Postfix-ის კონფიგურაცია, რათა გაგზავნოს ასოები + SPF + DKIM + rDNS და სხვა მსგავსი წვრილმანები.
შემდეგ დაგჭირდებათ Dovecot-ის კონფიგურაცია და Multidomain-ის კონფიგურაცია.
შემდეგ მოგიწევთ SpamAssassin-ის კონფიგურაცია და ტრენინგის კონფიგურაცია.
ბოლოს დააინსტალირეთ Bind.

============= მრავალ ინტერფეისი ==============

ინტერფეისების კონფიგურაციისთვის, თქვენ უნდა ჩაწეროთ ეს "/etc/network/interfaces".

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
allow-hotplug eno1
iface eno1 inet static
        address XX.XX.XX.X0/24
        gateway XX.XX.XX.1
        dns-nameservers 127.0.0.1 213.248.1.6
        post-up ip route add XX.XX.XX.0/24 dev eno1 src XX.XX.XX.X0 table eno1t
        post-up ip route add default via XX.XX.XX.1 table eno1t
        post-up ip rule add table eno1t from XX.XX.XX.X0
        post-up ip rule add table eno1t to XX.XX.XX.X0

auto eno1:1
iface eno1:1 inet static
address XX.XX.XX.X1
netmask 255.255.255.0
        post-up ip rule add table eno1t from XX.XX.XX.X1
        post-up ip rule add table eno1t to XX.XX.XX.X1
        post-up   ip route add 10.8.0.0/24 dev tun0 src XX.XX.XX.X1 table eno1t
        post-down ip route del 10.8.0.0/24 dev tun0 src XX.XX.XX.X1 table eno1t

auto eno1:2
iface eno1:2 inet static
address XX.XX.XX.X2
netmask 255.255.255.0
        post-up ip rule add table eno1t from XX.XX.XX.X2
        post-up ip rule add table eno1t to XX.XX.XX.X2

iface eno1 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:1::/64
        gateway XXXX:XXXX:XXXX:XXXX::1
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:1:1:1/64 dev $IFACE
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:1:1:2/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:1:1:1/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:1:1:2/64 dev $IFACE

# The secondary network interface
allow-hotplug eno2
iface eno2 inet static
        address XX.XX.XX.X5
        netmask 255.255.255.0
        post-up   ip route add XX.XX.XX.0/24 dev eno2 src XX.XX.XX.X5 table eno2t
        post-up   ip route add default via XX.XX.XX.1 table eno2t
        post-up   ip rule add table eno2t from XX.XX.XX.X5
        post-up   ip rule add table eno2t to XX.XX.XX.X5
        post-up   ip route add 10.8.0.0/24 dev tun0 src XX.XX.XX.X5 table eno2t
        post-down ip route del 10.8.0.0/24 dev tun0 src XX.XX.XX.X5 table eno2t

iface eno2 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:2::/96
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:2:1:1/64 dev $IFACE
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:2:1:2/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:2:1:1/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:2:1:2/64 dev $IFACE

# OpenVPN network
iface tun0 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:3::/80

ამ პარამეტრების გამოყენება შესაძლებელია tech.ru-ს ნებისმიერ სერვერზე (მხარდაჭერით მცირე კოორდინაციით) და ის მაშინვე იმუშავებს ისე, როგორც უნდა.

თუ თქვენ გაქვთ მსგავსი ნივთების დაყენების გამოცდილება Hetzner, OVH-სთვის, იქ სხვაგვარადაა. Უფრო რთული.

eno1 არის ქსელური ბარათის სახელი #1 (ნელი, მაგრამ შეუზღუდავი).
eno2 არის ქსელური ბარათის სახელი #2 (სწრაფი, მაგრამ ტარიფით).
tun0 არის ვირტუალური ქსელის ბარათის სახელი OpenVPN-დან.
XX.XX.XX.X0 - IPv4 #1 eno1-ზე.
XX.XX.XX.X1 - IPv4 #2 eno1-ზე.
XX.XX.XX.X2 - IPv4 #3 eno1-ზე.
XX.XX.XX.X5 - IPv4 #1 eno2-ზე.
XX.XX.XX.1 - IPv4 კარიბჭე.
XXXX:XXXX:XXXX:XXXX::/64 - IPv6 მთელი სერვერისთვის.
XXXX:XXXX:XXXX:XXXX:1:2::/96 - IPv6 eno2-სთვის, დანარჩენი ყველაფერი გარედან გადადის eno1-ში.
XXXX:XXXX:XXXX:XXXX::1 — IPv6 კარიბჭე (აღსანიშნავია, რომ ეს შეიძლება/უნდა გაკეთდეს სხვაგვარად. მიუთითეთ IPv6 გადამრთველი).
dns-nameservers - მითითებულია 127.0.0.1 (რადგან bind არის დაინსტალირებული ადგილობრივად) და 213.248.1.6 (ეს არის tech.ru-დან).

"table eno1t" და "table eno2t" - ამ მარშრუტ-წესების მნიშვნელობა არის ის, რომ ტრაფიკი, რომელიც შედის eno1 ->-ით, გადის მასში, ხოლო ტრაფიკი, რომელიც შედის eno2 ->-ით, გადის მასში. ასევე სერვერის მიერ ინიცირებული კავშირები გაივლიდა eno1-ს.

ip route add default via XX.XX.XX.1 table eno1t

ამ ბრძანებით ჩვენ ვაზუსტებთ, რომ ნებისმიერი გაუგებარი ტრაფიკი, რომელიც ექვემდებარება ნებისმიერ წესს მონიშნული „table eno1t“ -> გაიგზავნება eno1 ინტერფეისში.

ip route add XX.XX.XX.0/24 dev eno1 src XX.XX.XX.X0 table eno1t

ამ ბრძანებით ჩვენ ვაზუსტებთ, რომ სერვერის მიერ ინიცირებული ნებისმიერი ტრაფიკი უნდა იყოს მიმართული eno1 ინტერფეისზე.

ip rule add table eno1t from XX.XX.XX.X0
ip rule add table eno1t to XX.XX.XX.X0

ამ ბრძანებით ჩვენ ვადგენთ მოძრაობის მარკირების წესებს.

auto eno1:2
iface eno1:2 inet static
address XX.XX.XX.X2
netmask 255.255.255.0
        post-up ip rule add table eno1t from XX.XX.XX.X2
        post-up ip rule add table eno1t to XX.XX.XX.X2

ეს ბლოკი განსაზღვრავს მეორე IPv4-ს eno1 ინტერფეისისთვის.

ip route add 10.8.0.0/24 dev tun0 src XX.XX.XX.X1 table eno1t

ამ ბრძანებით ჩვენ დავაყენეთ მარშრუტი OpenVPN კლიენტებიდან ადგილობრივ IPv4-მდე, გარდა XX.XX.XX.X0.
მე ჯერ კიდევ არ მესმის, რატომ არის ეს ბრძანება საკმარისი ყველა IPv4-ისთვის.

iface eno1 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:1::/64
        gateway XXXX:XXXX:XXXX:XXXX::1

ეს არის სადაც ჩვენ ვაყენებთ მისამართს თავად ინტერფეისისთვის. სერვერი გამოიყენებს მას როგორც "გამავალი" მისამართი. არანაირად აღარ იქნება გამოყენებული.

რატომ არის ":1:1::" ასეთი რთული? ასე რომ OpenVPN მუშაობს სწორად და მხოლოდ ამისათვის. ამის შესახებ უფრო მოგვიანებით.

კარიბჭის თემაზე - ასე მუშაობს და ეს კარგია. მაგრამ სწორი გზა არის აქ მიუთითოთ გადამრთველის IPv6, რომელსაც სერვერი უკავშირდება.

თუმცა, რატომღაც IPv6 წყვეტს მუშაობას, თუ ამას გავაკეთებ. ეს ალბათ რაღაც tech.ru-ს პრობლემაა.

ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:1:1:1/64 dev $IFACE

ეს არის IPv6 მისამართის ინტერფეისის დამატება. თუ თქვენ გჭირდებათ ასი მისამართი, ეს ნიშნავს ას ხაზს ამ ფაილში.

iface eno1 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:1::/64
...
iface eno2 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:2::/96
...
iface tun0 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:3::/80

მე აღვნიშნე ყველა ინტერფეისის მისამართები და ქვექსელები, რომ გასაგები ყოფილიყო.
eno1 - უნდა იყოს "/64- იმიტომ, რომ ეს არის ჩვენი მისამართების მთელი აუზი.
tun0 - ქვექსელი უნდა იყოს უფრო დიდი ვიდრე eno1. წინააღმდეგ შემთხვევაში, შეუძლებელი იქნება IPv6 კარიბჭის კონფიგურაცია OpenVPN კლიენტებისთვის.
eno2 - ქვექსელი უნდა იყოს tun0-ზე დიდი. წინააღმდეგ შემთხვევაში, OpenVPN კლიენტები ვერ შეძლებენ ადგილობრივ IPv6 მისამართებზე წვდომას.
სიცხადისთვის, მე ავირჩიე ქვექსელის ნაბიჯი 16, მაგრამ თუ გსურთ, შეგიძლიათ გააკეთოთ "1" ნაბიჯიც კი.
შესაბამისად, 64+16 = 80 და 80+16 = 96.

კიდევ უფრო მეტი სიცხადისთვის:
XXXX:XXXX:XXXX:XXXX:1:1:YYYY:YYYY არის მისამართები, რომლებიც უნდა მიენიჭოს კონკრეტულ საიტებს ან სერვისებს eno1 ინტერფეისზე.
XXXX:XXXX:XXXX:XXXX:1:2:YYYY:YYYY არის მისამართები, რომლებიც უნდა მიენიჭოს კონკრეტულ საიტებს ან სერვისებს eno2 ინტერფეისზე.
XXXX:XXXX:XXXX:XXXX:1:3:YYYY:YYYY არის მისამართები, რომლებიც უნდა მიენიჭოს OpenVPN კლიენტებს ან გამოყენებული იქნას როგორც OpenVPN სერვისის მისამართები.

ქსელის კონფიგურაციისთვის შესაძლებელი უნდა იყოს სერვერის გადატვირთვა.
IPv4 ცვლილებები მიიღება შესრულებისას (აუცილებლად გადაიტანეთ იგი ეკრანზე - წინააღმდეგ შემთხვევაში ეს ბრძანება უბრალოდ დაარღვევს ქსელს სერვერზე):

/etc/init.d/networking restart

დაამატეთ ფაილის ბოლოს „/etc/iproute2/rt_tables“:

100 eno1t
101 eno2t

ამის გარეშე, თქვენ არ შეგიძლიათ გამოიყენოთ მორგებული ცხრილები "/etc/network/interfaces" ფაილში.
რიცხვები უნდა იყოს უნიკალური და 65535-ზე ნაკლები.

IPv6 ცვლილებები მარტივად შეიძლება შეიცვალოს გადატვირთვის გარეშე, მაგრამ ამისათვის თქვენ უნდა ისწავლოთ მინიმუმ სამი ბრძანება:

ip -6 addr ...
ip -6 route ...
ip -6 neigh ...

"/etc/sysctl.conf" დაყენება

# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.ip_forward = 1

# Do not accept ICMP redirects (prevent MITM attacks)
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0

# Do not send ICMP redirects (we are not a router)
net.ipv4.conf.all.send_redirects = 0

# For receiving ARP replies
net.ipv4.conf.all.arp_filter = 0
net.ipv4.conf.default.arp_filter = 0

# For sending ARP
net.ipv4.conf.all.arp_announce = 0
net.ipv4.conf.default.arp_announce = 0

# Enable IPv6
net.ipv6.conf.all.disable_ipv6 = 0
net.ipv6.conf.default.disable_ipv6 = 0
net.ipv6.conf.lo.disable_ipv6 = 0

# IPv6 configuration
net.ipv6.conf.all.autoconf = 1
net.ipv6.conf.all.accept_ra = 0

# For OpenVPN
net.ipv6.conf.all.forwarding = 1
net.ipv6.conf.all.proxy_ndp = 1

# For nginx on boot
net.ipv6.ip_nonlocal_bind = 1

ეს არის ჩემი სერვერის "sysctl" პარამეტრები. ნება მომეცით აღვნიშნო რაღაც მნიშვნელოვანი.

net.ipv4.ip_forward = 1

ამის გარეშე, OpenVPN საერთოდ არ იმუშავებს.

net.ipv6.ip_nonlocal_bind = 1

ვინც შეეცდება IPv6-ის (მაგალითად nginx) დაკავშირებას ინტერფეისის ამოქმედებისთანავე, მიიღებს შეცდომას. რომ ეს მისამართი მიუწვდომელია.

ასეთი სიტუაციის თავიდან ასაცილებლად, ასეთი პარამეტრი მზადდება.

net.ipv6.conf.all.forwarding = 1
net.ipv6.conf.all.proxy_ndp = 1

ამ IPv6 პარამეტრების გარეშე, OpenVPN კლიენტიდან ტრაფიკი არ გადის მსოფლიოში.

სხვა პარამეტრები ან არ არის აქტუალური, ან არ მახსოვს რისთვის არის განკუთვნილი.
მაგრამ ყოველი შემთხვევისთვის ვტოვებ მას "როგორც არის".

იმისათვის, რომ ამ ფაილში ცვლილებები მოხდეს სერვერის გადატვირთვის გარეშე, თქვენ უნდა შეასრულოთ ბრძანება:

sysctl -p

დამატებითი დეტალები "მაგიდის" წესების შესახებ: habr.com/post/108690

============= OpenVPN ==============

OpenVPN IPv4 არ მუშაობს iptable-ების გარეშე.

ჩემი iptables ასეთია VPN-სთვის:

iptables -A INPUT -p udp -s YY.YY.YY.YY --dport 1194 -j ACCEPT
iptables -A FORWARD -i tun0 -o eno1 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j SNAT --to-source XX.XX.XX.X0
##iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j MASQUERADE
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p udp --dport 1194 -j DROP
iptables -A FORWARD -p udp --dport 1194 -j DROP

YY.YY.YY.YY არის ადგილობრივი აპარატის ჩემი სტატიკური IPv4 მისამართი.
10.8.0.0/24 - IPv4 openvpn ქსელი. IPv4 მისამართები openvpn კლიენტებისთვის.
მნიშვნელოვანია წესების თანმიმდევრულობა.

iptables -A INPUT -p udp -s YY.YY.YY.YY --dport 1194 -j ACCEPT
iptables -A FORWARD -i tun0 -o eno1 -j ACCEPT
...
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p udp --dport 1194 -j DROP
iptables -A FORWARD -p udp --dport 1194 -j DROP

ეს არის შეზღუდვა, რომ მხოლოდ მე შემიძლია გამოვიყენო OpenVPN ჩემი სტატიკური IP-დან.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j SNAT --to-source XX.XX.XX.X0
  -- или --
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j MASQUERADE

IPv4 პაკეტების გადასატანად OpenVPN კლიენტებსა და ინტერნეტს შორის, თქვენ უნდა დაარეგისტრიროთ ერთ-ერთი ასეთი ბრძანება.

სხვადასხვა შემთხვევაში, ერთ-ერთი ვარიანტი არ არის შესაფერისი.
ორივე ბრძანება შესაფერისია ჩემი შემთხვევისთვის.
დოკუმენტაციის წაკითხვის შემდეგ ავირჩიე პირველი ვარიანტი, რადგან ის ნაკლებ პროცესორს იყენებს.

იმისათვის, რომ iptables-ის ყველა პარამეტრი აიყვანეს გადატვირთვის შემდეგ, თქვენ უნდა შეინახოთ ისინი სადმე.

iptables-save > /etc/iptables/rules.v4
ip6tables-save > /etc/iptables/rules.v6

ასეთი სახელები შემთხვევით არ შერჩა. ისინი გამოიყენება "iptables-persistent" პაკეტით.

apt-get install iptables-persistent

ძირითადი OpenVPN პაკეტის ინსტალაცია:

apt-get install openvpn easy-rsa

მოდით დავაყენოთ სერთიფიკატების შაბლონი (ჩაანაცვლეთ თქვენი მნიშვნელობები):

make-cadir ~/openvpn-ca
cd ~/openvpn-ca
ln -s openssl-1.0.0.cnf openssl.cnf

მოდით დაარედაქტიროთ სერტიფიკატის შაბლონის პარამეტრები:

mcedit vars

...
# These are the default values for fields
# which will be placed in the certificate.
# Don't leave any of these fields blank.
export KEY_COUNTRY="RU"
export KEY_PROVINCE="Krasnodar"
export KEY_CITY="Dinskaya"
export KEY_ORG="Own"
export KEY_EMAIL="[email protected]"
export KEY_OU="VPN"

# X509 Subject Field
export KEY_NAME="server"
...

შექმენით სერვერის სერთიფიკატი:

cd ~/openvpn-ca
source vars
./clean-all
./build-ca
./build-key-server server
./build-dh
openvpn --genkey --secret keys/ta.key

მოდით მოვამზადოთ საბოლოო "client-name.opvn" ფაილების შექმნის შესაძლებლობა:

mkdir -p ~/client-configs/files
chmod 700 ~/client-configs/files
cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf ~/client-configs/base.conf
mcedit ~/client-configs/base.conf

# Client mode
client

# Interface tunnel type
dev tun

# TCP protocol
proto tcp-client

# Address/Port of VPN server
remote XX.XX.XX.X0 1194

# Don't bind to local port/address
nobind

# Don't need to re-read keys and re-create tun at restart
persist-key
persist-tun

# Remote peer must have a signed certificate
remote-cert-tls server
ns-cert-type server

# Enable compression
comp-lzo

# Custom
ns-cert-type server
tls-auth ta.key 1
cipher DES-EDE3-CBC

მოდით მოვამზადოთ სკრიპტი, რომელიც გააერთიანებს ყველა ფაილს ერთ opvn ფაილში.

mcedit ~/client-configs/make_config.sh
chmod 700 ~/client-configs/make_config.sh

#!/bin/bash

# First argument: Client identifier

KEY_DIR=~/openvpn-ca/keys
OUTPUT_DIR=~/client-configs/files
BASE_CONFIG=~/client-configs/base.conf

cat ${BASE_CONFIG} 
    <(echo -e '<ca>') 
    ${KEY_DIR}/ca.crt 
    <(echo -e '</ca>n<cert>') 
    ${KEY_DIR}/.crt 
    <(echo -e '</cert>n<key>') 
    ${KEY_DIR}/.key 
    <(echo -e '</key>n<tls-auth>') 
    ${KEY_DIR}/ta.key 
    <(echo -e '</tls-auth>') 
    > ${OUTPUT_DIR}/.ovpn

პირველი OpenVPN კლიენტის შექმნა:

cd ~/openvpn-ca
source vars
./build-key client-name
cd ~/client-configs
./make_config.sh client-name

ფაილი „~/client-configs/files/client-name.ovpn“ იგზავნება კლიენტის მოწყობილობაში.

iOS კლიენტებისთვის შემდეგი ხრიკის გაკეთება მოგიწევთ:
"tls-auth" ტეგის შინაარსი უნდა იყოს კომენტარების გარეშე.
ასევე დააყენეთ „key-direction 1“ უშუალოდ „tls-auth“ ტეგის წინ.

მოდით დავაკონფიგურიროთ OpenVPN სერვერის კონფიგურაცია:

cd ~/openvpn-ca/keys
cp ca.crt ca.key server.crt server.key ta.key dh2048.pem /etc/openvpn
gunzip -c /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz | tee /etc/openvpn/server.conf
mcedit /etc/openvpn/server.conf

# Listen port
port 1194

# Protocol
proto tcp-server

# IP tunnel
dev tun0
tun-ipv6
push tun-ipv6

# Master certificate
ca ca.crt

# Server certificate
cert server.crt

# Server private key
key server.key

# Diffie-Hellman parameters
dh dh2048.pem

# Allow clients to communicate with each other
client-to-client

# Client config dir
client-config-dir /etc/openvpn/ccd

# Run client-specific script on connection and disconnection
script-security 2
client-connect "/usr/bin/sudo -u root /etc/openvpn/server-clientconnect.sh"
client-disconnect "/usr/bin/sudo -u root /etc/openvpn/server-clientdisconnect.sh"

# Server mode and client subnets
server 10.8.0.0 255.255.255.0
server-ipv6 XXXX:XXXX:XXXX:XXXX:1:3::/80
topology subnet

# IPv6 routes
push "route-ipv6 XXXX:XXXX:XXXX:XXXX::/64"
push "route-ipv6 2000::/3"

# DNS (for Windows)
# These are OpenDNS
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"

# Configure all clients to redirect their default network gateway through the VPN
push "redirect-gateway def1 bypass-dhcp"
push "redirect-gateway ipv6" #For iOS

# Don't need to re-read keys and re-create tun at restart
persist-key
persist-tun

# Ping every 10s. Timeout of 120s.
keepalive 10 120

# Enable compression
comp-lzo

# User and group
user vpn
group vpn

# Log a short status
status openvpn-status.log

# Logging verbosity
##verb 4

# Custom config
tls-auth ta.key 0
cipher DES-EDE3-CBC

ეს საჭიროა თითოეული კლიენტისთვის სტატიკური მისამართის დასაყენებლად (არ არის საჭირო, მაგრამ მე მას ვიყენებ):

# Client config dir
client-config-dir /etc/openvpn/ccd

ყველაზე რთული და საკვანძო დეტალი.

სამწუხაროდ, OpenVPN-მ ჯერ არ იცის როგორ დააკონფიგურიროს IPv6 კარიბჭე კლიენტებისთვის.
თქვენ უნდა "ხელით" გაგზავნოთ ეს თითოეული კლიენტისთვის.

# Run client-specific script on connection and disconnection
script-security 2
client-connect "/usr/bin/sudo -u root /etc/openvpn/server-clientconnect.sh"
client-disconnect "/usr/bin/sudo -u root /etc/openvpn/server-clientdisconnect.sh"

ფაილი "/etc/openvpn/server-clientconnect.sh":

#!/bin/sh

# Check client variables
if [ -z "$ifconfig_pool_remote_ip" ] || [ -z "$common_name" ]; then
        echo "Missing environment variable."
        exit 1
fi

# Load server variables
. /etc/openvpn/variables

ipv6=""

# Find out if there is a specific config with fixed IPv6 for this client
if [ -f "/etc/openvpn/ccd/$common_name" ]; then
        # Get fixed IPv6 from client config file
        ipv6=$(sed -nr 's/^.*ifconfig-ipv6-push[ t]+([0-9a-fA-F:]+).*$/1/p' "/etc/openvpn/ccd/$common_name")
        echo $ipv6
fi

# Get IPv6 from IPv4
if [ -z "$ipv6" ]; then
        ipp=$(echo "$ifconfig_pool_remote_ip" | cut -d. -f4)
        if ! [ "$ipp" -ge 2 -a "$ipp" -le 254 ] 2>/dev/null; then
                echo "Invalid IPv4 part."
                exit 1
        fi
        hexipp=$(printf '%x' $ipp)
        ipv6="$prefix$hexipp"
fi

# Create proxy rule
/sbin/ip -6 neigh add proxy $ipv6 dev eno1

ფაილი "/etc/openvpn/server-clientdisconnect.sh":

#!/bin/sh

# Check client variables
if [ -z "$ifconfig_pool_remote_ip" ] || [ -z "$common_name" ]; then
        echo "Missing environment variable."
        exit 1
fi

# Load server variables
. /etc/openvpn/variables

ipv6=""

# Find out if there is a specific config with fixed IPv6 for this client
if [ -f "/etc/openvpn/ccd/$common_name" ]; then
        # Get fixed IPv6 from client config file
        ipv6=$(sed -nr 's/^.*ifconfig-ipv6-push[ t]+([0-9a-fA-F:]+).*$/1/p' "/etc/openvpn/ccd/$common_name")
fi

# Get IPv6 from IPv4
if [ -z "$ipv6" ]; then
        ipp=$(echo "$ifconfig_pool_remote_ip" | cut -d. -f4)
        if ! [ "$ipp" -ge 2 -a "$ipp" -le 254 ] 2>/dev/null; then
                echo "Invalid IPv4 part."
                exit 1
        fi
        hexipp=$(printf '%x' $ipp)
        ipv6="$prefix$hexipp"
fi

# Delete proxy rule
/sbin/ip -6 neigh del proxy $ipv6 dev eno1

ორივე სკრიპტი იყენებს ფაილს "/etc/openvpn/variables":

# Subnet
prefix=XXXX:XXXX:XXXX:XXXX:2:
# netmask
prefixlen=112

მიჭირს გავიხსენო რატომ წერია ასე.

ახლა netmask = 112 გამოიყურება უცნაურად (ეს უნდა იყოს 96).
და პრეფიქსი უცნაურია, ის არ ემთხვევა tun0 ქსელს.
მაგრამ კარგი, დავტოვებ როგორც არის.

cipher DES-EDE3-CBC

ეს არ არის ყველასთვის - მე ავირჩიე კავშირის დაშიფვრის ეს მეთოდი.

შეიტყვეთ მეტი OpenVPN IPv4-ის დაყენების შესახებ.

შეიტყვეთ მეტი OpenVPN IPv6-ის დაყენების შესახებ.

============= პოსტფიქსი ==============

ძირითადი პაკეტის დაყენება:

apt-get install postfix

ინსტალაციისას აირჩიეთ "ინტერნეტ საიტი".

ჩემი "/etc/postfix/main.cf" ასე გამოიყურება:

smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
biff = no

# appending .domain is the MUA's job.
append_dot_mydomain = no

readme_directory = no

# See http://www.postfix.org/COMPATIBILITY_README.html -- default to 2 on
# fresh installs.
compatibility_level = 2

# TLS parameters
smtpd_tls_cert_file=/etc/ssl/domain1.com.2018.chained.crt
smtpd_tls_key_file=/etc/ssl/domain1.com.2018.key
smtpd_use_tls=yes
smtpd_tls_auth_only = yes
smtp_bind_address = XX.XX.XX.X0
smtp_bind_address6 = XXXX:XXXX:XXXX:XXXX:1:1:1:1

smtp_tls_security_level = may
smtp_tls_ciphers = export
smtp_tls_protocols = !SSLv2, !SSLv3
smtp_tls_loglevel = 1

smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = domain1.com
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
myorigin = domain1.com
mydestination = localhost
relayhost =
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all
inet_protocols = ipv4

internal_mail_filter_classes = bounce

# Storage type
virtual_transport = lmtp:unix:private/dovecot-lmtp
virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual-mailbox-domains.cf
virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual-mailbox-maps.cf
virtual_alias_maps = mysql:/etc/postfix/mysql-virtual-alias-maps.cf

# SMTP-Auth settings
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes
smtpd_recipient_restrictions =
        permit_sasl_authenticated,
        permit_mynetworks,
        #reject_invalid_hostname,
        #reject_unknown_recipient_domain,
        reject_unauth_destination,
        reject_rbl_client sbl.spamhaus.org,
        check_policy_service unix:private/policyd-spf

smtpd_helo_restrictions =
        #reject_invalid_helo_hostname,
        #reject_non_fqdn_helo_hostname,
        reject_unknown_helo_hostname

smtpd_client_restrictions =
        permit_mynetworks,
        permit_sasl_authenticated,
        reject_non_fqdn_helo_hostname,
        permit

# SPF
policyd-spf_time_limit = 3600

# OpenDKIM
milter_default_action = accept
milter_protocol = 6
smtpd_milters = unix:var/run/opendkim/opendkim.sock
non_smtpd_milters = unix:var/run/opendkim/opendkim.sock

# IP address per domain
sender_dependent_default_transport_maps = pcre:/etc/postfix/sdd_transport.pcre

მოდით შევხედოთ ამ კონფიგურაციის დეტალებს.

smtpd_tls_cert_file=/etc/ssl/domain1.com.2018.chained.crt
smtpd_tls_key_file=/etc/ssl/domain1.com.2018.key

ხაბროვსკის მაცხოვრებლების თქმით, ეს ბლოკი შეიცავს "დეზინფორმაციას და არასწორ თეზისებს".ჩემი კარიერის დაწყებიდან მხოლოდ 8 წლის შემდეგ დავიწყე იმის გაგება, თუ როგორ მუშაობს SSL.

ამიტომ, მე ვიქნები თავისუფლება აღვწერო როგორ გამოვიყენოთ SSL (კითხვებზე „როგორ მუშაობს?“ და „რატომ მუშაობს?“ პასუხის გარეშე).

თანამედროვე დაშიფვრის საფუძველია გასაღების წყვილის შექმნა (სიმბოლოების ორი ძალიან გრძელი სტრიქონი).

ერთი "გასაღები" არის პირადი, მეორე გასაღები არის "საჯარო". ჩვენ საიდუმლო გასაღებს ძალიან ფრთხილად ვინახავთ. ჩვენ ყველას ვურიგებთ საჯარო გასაღებს.

საჯარო გასაღების გამოყენებით შეგიძლიათ დაშიფროთ ტექსტის სტრიქონი ისე, რომ მხოლოდ პირადი გასაღების მფლობელს შეუძლია მისი გაშიფვრა.
კარგად, ეს არის ტექნოლოგიის მთელი საფუძველი.

ნაბიჯი #1 - https საიტები.
საიტზე შესვლისას ბრაუზერი ვებ სერვერიდან იგებს, რომ საიტი არის https და ამიტომ ითხოვს საჯარო გასაღებს.
ვებ სერვერი იძლევა საჯარო გასაღებს. ბრაუზერი იყენებს საჯარო გასაღებს http-მოთხოვნის დასაშიფრად და გასაგზავნად.
http-მოთხოვნის შიგთავსის წაკითხვა შეუძლია მხოლოდ მათ, ვისაც აქვს პირადი გასაღები, ანუ მხოლოდ სერვერი, რომელზეც არის მოთხოვნა.
Http მოთხოვნა შეიცავს სულ მცირე URI-ს. ამიტომ, თუ ქვეყანა ცდილობს შეზღუდოს წვდომა არა მთელ საიტზე, არამედ კონკრეტულ გვერდზე, მაშინ ამის გაკეთება შეუძლებელია https საიტებისთვის.

ნაბიჯი #2 - დაშიფრული პასუხი.
ვებ სერვერი იძლევა პასუხს, რომელიც ადვილად იკითხება გზაზე.
გამოსავალი უკიდურესად მარტივია - ბრაუზერი ადგილობრივად ქმნის იმავე კერძო-საჯარო გასაღებების წყვილს თითოეული https საიტისთვის.
და საიტის საჯარო გასაღების მოთხოვნასთან ერთად, ის აგზავნის ადგილობრივ საჯარო გასაღებს.
ვებ სერვერი ახსოვს მას და, http- პასუხის გაგზავნისას, შიფრავს მას კონკრეტული კლიენტის საჯარო გასაღებით.
ახლა http- პასუხის გაშიფვრა შესაძლებელია მხოლოდ კლიენტის ბრაუზერის პირადი გასაღების მფლობელს (ანუ თავად კლიენტს).

ნაბიჯი No3 - უსაფრთხო კავშირის დამყარება საჯარო არხის მეშვეობით.
მე-2 მაგალითში არის დაუცველობა - არაფერი უშლის ხელს კეთილისმყოფელებს http-მოთხოვნის ჩაჭრაში და საჯარო გასაღების შესახებ ინფორმაციის რედაქტირებაში.
ამრიგად, შუამავალი ნათლად დაინახავს გაგზავნილი და მიღებული შეტყობინებების მთელ შინაარსს, სანამ არ შეიცვლება საკომუნიკაციო არხი.
მასთან გამკლავება ძალიან მარტივია - უბრალოდ გაგზავნეთ ბრაუზერის საჯარო გასაღები ვებ სერვერის საჯარო გასაღებით დაშიფრული შეტყობინების სახით.
შემდეგ ვებ სერვერი ჯერ აგზავნის პასუხს, როგორიცაა „თქვენი საჯარო გასაღები ასეთია“ და დაშიფვრავს ამ შეტყობინებას იმავე საჯარო გასაღებით.
ბრაუზერი უყურებს პასუხს - თუ მიიღება შეტყობინება "თქვენი საჯარო გასაღები ასეთია" - ეს არის 100% გარანტია იმისა, რომ ეს საკომუნიკაციო არხი უსაფრთხოა.
რამდენად უსაფრთხოა?
ასეთი უსაფრთხო საკომუნიკაციო არხის შექმნა ხდება პინგ*2 სიჩქარით. მაგალითად 20 ms.
თავდამსხმელს წინასწარ უნდა ჰქონდეს ერთ-ერთი მხარის პირადი გასაღები. ან იპოვნეთ პირადი გასაღები რამდენიმე მილიწამში.
ერთი თანამედროვე პირადი გასაღების გატეხვას სუპერკომპიუტერზე ათწლეულები დასჭირდება.

ნაბიჯი #4 - საჯარო გასაღებების საჯარო მონაცემთა ბაზა.
ცხადია, მთელ ამ ამბავში არის შესაძლებლობა, თავდამსხმელი იჯდეს კლიენტსა და სერვერს შორის საკომუნიკაციო არხზე.
კლიენტს შეუძლია პრეტენზია იყოს სერვერად, ხოლო სერვერს შეუძლია პრეტენზია იყოს კლიენტად. და მიბაძეთ წყვილი გასაღებები ორივე მიმართულებით.
შემდეგ თავდამსხმელი დაინახავს მთელ ტრაფიკს და შეძლებს ტრაფიკის „რედაქტირებას“.
მაგალითად, შეცვალეთ მისამართი, სადაც უნდა გაიგზავნოთ ფული ან დააკოპირეთ პაროლი ონლაინ ბანკინგიდან ან დაბლოკეთ „საწინააღმდეგო“ შინაარსი.
ასეთ თავდამსხმელებთან საბრძოლველად მათ შექმნეს საჯარო მონაცემთა ბაზა საჯარო გასაღებებით თითოეული https საიტისთვის.
თითოეულმა ბრაუზერმა „იცის“ დაახლოებით 200 ასეთი მონაცემთა ბაზის არსებობის შესახებ. ეს არის წინასწარ დაინსტალირებული ყველა ბრაუზერში.
„ცოდნა“ გამყარებულია საჯარო გასაღებით თითოეული სერტიფიკატისგან. ანუ, კავშირი თითოეულ კონკრეტულ სასერტიფიკაციო ორგანოსთან არ შეიძლება გაყალბდეს.

ახლა არის მარტივი გაგება, თუ როგორ გამოიყენოთ SSL https-ისთვის.
თუ იყენებთ თქვენს ტვინს, გაირკვევა, თუ როგორ შეუძლიათ სპეცსამსახურებს რაღაცის გატეხვა ამ სტრუქტურაში. მაგრამ ეს მათ ამაზრზენი ძალისხმევა დაუჯდებათ.
და NSA-ზე ან CIA-ზე ნაკლები ორგანიზაციები - დაცვის არსებული დონის გატეხვა თითქმის შეუძლებელია, თუნდაც VIP-ებისთვის.

მე ასევე დავამატებ ssh კავშირების შესახებ. იქ არ არის საჯარო გასაღებები, რა შეგიძლიათ გააკეთოთ? საკითხი წყდება ორი გზით.
ვარიანტი ssh-by-password:
პირველი კავშირის დროს, ssh კლიენტმა უნდა გააფრთხილოს, რომ ჩვენ გვაქვს ახალი საჯარო გასაღები ssh სერვერიდან.
და შემდგომი კავშირების დროს, თუ გამოჩნდება გაფრთხილება „ახალი საჯარო გასაღები ssh სერვერიდან“, ეს ნიშნავს, რომ ისინი ცდილობენ თქვენს მოსმენას.
ან თქვენ მოისმინეს თქვენი პირველი კავშირი, მაგრამ ახლა თქვენ დაუკავშირდით სერვერს შუამავლების გარეშე.
რეალურად, იმის გამო, რომ მოსმენების ფაქტი ადვილად, სწრაფად და უპრობლემოდ ვლინდება, ეს თავდასხმა გამოიყენება მხოლოდ განსაკუთრებულ შემთხვევებში კონკრეტული კლიენტისთვის.

ვარიანტი ssh-by-key:
ჩვენ ვიღებთ ფლეშ დრაივს, ვწერთ მასზე ssh სერვერის პირად გასაღებს (ამისთვის არის ტერმინები და ბევრი მნიშვნელოვანი ნიუანსი, მაგრამ მე ვწერ საგანმანათლებლო პროგრამას და არა გამოყენების ინსტრუქციას).
ჩვენ ვტოვებთ საჯარო გასაღებს მანქანაზე, სადაც იქნება ssh კლიენტი და ასევე საიდუმლოდ ვინახავთ მას.
მივაქვთ ფლეშ დრაივი სერვერზე, ჩავსვით, დავაკოპირებთ პრივატ კლავიშს და ვწვავთ ფლეშკას და ფერფლს ვფანტავთ ქარს (ან მინიმუმ ნულების ფორმატირებას).
სულ ეს არის - ასეთი ოპერაციის შემდეგ შეუძლებელი იქნება ასეთი ssh კავშირის გატეხვა. რა თქმა უნდა, 10 წელიწადში შესაძლებელი იქნება ტრაფიკის ნახვა სუპერკომპიუტერზე - მაგრამ ეს სხვა ამბავია.

ბოდიშს ვიხდი ოფტოპიკისთვის.

ახლა რომ თეორია ცნობილია. მე გეტყვით SSL სერთიფიკატის შექმნის ნაკადის შესახებ.

„openssl genrsa“-ს გამოყენებით ჩვენ ვქმნით პირად გასაღებს და „ბლანკებს“ საჯარო გასაღებისთვის.
ჩვენ ვუგზავნით „ბლანკებს“ მესამე მხარის კომპანიას, რომელსაც ვუხდით დაახლოებით 9 დოლარს უმარტივესი სერთიფიკატისთვის.

რამდენიმე საათის შემდეგ ჩვენ ვიღებთ ჩვენს „საჯარო“ გასაღებს და რამდენიმე საჯარო გასაღებს ამ მესამე მხარის კომპანიისგან.

რატომ უნდა გადაიხადოს მესამე მხარის კომპანიამ ჩემი საჯარო გასაღების რეგისტრაციისთვის, ეს ცალკე საკითხია, აქ არ განვიხილავთ.

ახლა გასაგებია, რა მნიშვნელობა აქვს წარწერას:

smtpd_tls_key_file=/etc/ssl/domain1.com.2018.key

"/etc/ssl" საქაღალდე შეიცავს ყველა ფაილს ssl საკითხებისთვის.
domain1.com — დომენის სახელი.
2018 წელი გასაღების შექმნის წელია.
"გასაღები" - აღნიშვნა, რომ ფაილი არის პირადი გასაღები.

და ამ ფაილის მნიშვნელობა:

smtpd_tls_cert_file=/etc/ssl/domain1.com.2018.chained.crt
domain1.com — დომენის სახელი.
2018 წელი გასაღების შექმნის წელია.
მიჯაჭვული - აღნიშვნა, რომ არსებობს საჯარო გასაღებების ჯაჭვი (პირველი არის ჩვენი საჯარო გასაღები და დანარჩენი არის ის, რაც მოდის კომპანიისგან, რომელმაც გასცა საჯარო გასაღები).
crt - აღნიშვნა, რომ არსებობს მზა სერტიფიკატი (საჯარო გასაღები ტექნიკური ახსნა-განმარტებით).

smtp_bind_address = XX.XX.XX.X0
smtp_bind_address6 = XXXX:XXXX:XXXX:XXXX:1:1:1:1

ეს პარამეტრი ამ შემთხვევაში არ გამოიყენება, მაგრამ დაწერილია როგორც მაგალითი.

რადგან ამ პარამეტრში შეცდომა გამოიწვევს სპამის გაგზავნას თქვენი სერვერიდან (თქვენი ნების გარეშე).

მაშინ ყველას დაუმტკიცე, რომ დამნაშავე არ ხარ.

recipient_delimiter = +

ბევრმა შეიძლება არ იცოდეს, მაგრამ ეს არის სტანდარტული სიმბოლო ელ.ფოსტის რეიტინგისთვის და მას მხარს უჭერს ყველაზე თანამედროვე ფოსტის სერვერები.

მაგალითად, თუ თქვენ გაქვთ საფოსტო ყუთი "[ელ.ფოსტით დაცულია]"სცადე გაგზავნა"[ელ.ფოსტით დაცულია]"-ნახე რა გამოდის.

inet_protocols = ipv4

ეს შეიძლება იყოს დამაბნეველი.

მაგრამ ეს მხოლოდ ასე არ არის. ყოველი ახალი დომენი ნაგულისხმევად არის მხოლოდ IPv4, შემდეგ მე ჩავრთავ IPv6 თითოეულს ცალკე.

virtual_transport = lmtp:unix:private/dovecot-lmtp
virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual-mailbox-domains.cf
virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual-mailbox-maps.cf
virtual_alias_maps = mysql:/etc/postfix/mysql-virtual-alias-maps.cf

აქ ჩვენ ვაზუსტებთ, რომ ყველა შემომავალი ფოსტა მიდის Dovecot-ში.
და დომენის, საფოსტო ყუთის, მეტსახელის წესები - ნახეთ მონაცემთა ბაზაში.

/etc/postfix/mysql-virtual-mailbox-domains.cf

user = usermail
password = mailpassword
hosts = 127.0.0.1
dbname = servermail
query = SELECT 1 FROM virtual_domains WHERE name='%s'

/etc/postfix/mysql-virtual-mailbox-maps.cf

user = usermail
password = mailpassword
hosts = 127.0.0.1
dbname = servermail
query = SELECT 1 FROM virtual_users WHERE email='%s'

/etc/postfix/mysql-virtual-alias-maps.cf

user = usermail
password = mailpassword
hosts = 127.0.0.1
dbname = servermail
query = SELECT destination FROM virtual_aliases WHERE source='%s'

# SMTP-Auth settings
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes

ახლა პოსტფიქსმა იცის, რომ ფოსტა შეიძლება მიღებულ იქნეს შემდგომი გაგზავნისთვის მხოლოდ Dovecot-ით ავტორიზაციის შემდეგ.

მე ნამდვილად არ მესმის, რატომ არის ეს დუბლირებული აქ. ჩვენ უკვე დავაზუსტეთ ყველაფერი, რაც საჭიროა "ვირტუალურ_ტრანსპორტში".

მაგრამ პოსტფიქსის სისტემა ძალიან ძველია - ალბათ ეს ძველი დროიდან უკან დახევაა.

smtpd_recipient_restrictions =
        ...

smtpd_helo_restrictions =
        ...

smtpd_client_restrictions =
        ...

ეს შეიძლება განსხვავებულად იყოს კონფიგურირებული თითოეული ფოსტის სერვერისთვის.

მე მაქვს 3 ფოსტის სერვერი ჩემს განკარგულებაში და ეს პარამეტრები ძალიან განსხვავდება გამოყენების სხვადასხვა მოთხოვნების გამო.

თქვენ უნდა დააკონფიგურიროთ იგი ფრთხილად - წინააღმდეგ შემთხვევაში სპამი შემოვა თქვენში, ან კიდევ უფრო უარესი - სპამი თქვენგან დაიღვრება.

# SPF
policyd-spf_time_limit = 3600

შემომავალი ასოების SPF-ის შემოწმებასთან დაკავშირებული ზოგიერთი მოდულის დაყენება.

# OpenDKIM
milter_default_action = accept
milter_protocol = 6
smtpd_milters = unix:var/run/opendkim/opendkim.sock
non_smtpd_milters = unix:var/run/opendkim/opendkim.sock

პარამეტრი არის ის, რომ ჩვენ უნდა მივაწოდოთ DKIM ხელმოწერა ყველა გამავალი ელფოსტით.

# IP address per domain
sender_dependent_default_transport_maps = pcre:/etc/postfix/sdd_transport.pcre

ეს არის ძირითადი დეტალი ასოების მარშრუტიზაციისას PHP სკრიპტებიდან წერილების გაგზავნისას.

ფაილი "/etc/postfix/sdd_transport.pcre":

/^[email protected]$/ domain1:
/^[email protected]$/ domain2:
/^[email protected]$/ domain3:
/@domain1.com$/             domain1:
/@domain2.com$/             domain2:
/@domain3.com$/             domain3:

მარცხნივ არის რეგულარული გამონათქვამები. მარჯვნივ არის ეტიკეტი, რომელიც აღნიშნავს ასოს.
Postfix ეტიკეტის შესაბამისად - გაითვალისწინებს კიდევ რამდენიმე კონფიგურაციის ხაზს კონკრეტული ასოსთვის.

როგორ მოხდება ზუსტად პოსტფიქსის ხელახალი კონფიგურაცია კონკრეტული ასოსთვის, მითითებული იქნება "master.cf"-ში.

ხაზები 4, 5, 6 არის მთავარი. რომელი დომენის სახელით ვაგზავნით წერილს, ვათავსებთ ამ იარლიყს.
მაგრამ ველი "from" ყოველთვის არ არის მითითებული PHP სკრიპტებში ძველ კოდში. შემდეგ მომხმარებლის სახელი მოდის სამაშველოში.

სტატია უკვე ვრცელია - არ მსურს ყურადღება გამეფანტოს nginx+fpm-ის დაყენებით.

მოკლედ, თითოეული საიტისთვის ჩვენ დავაყენეთ საკუთარი ლინუქსის მომხმარებლის მფლობელი. და შესაბამისად თქვენი fpm-pool.

Fpm-pool იყენებს php-ის ნებისმიერ ვერსიას (მშვენიერია, როდესაც ერთ სერვერზე შეგიძლიათ გამოიყენოთ php-ის სხვადასხვა ვერსიები და თუნდაც სხვადასხვა php.ini მეზობელი საიტებისთვის უპრობლემოდ).

ასე რომ, კონკრეტულ ლინუქსის მომხმარებელს "www-domain2" აქვს ვებგვერდი domain2.com. ამ საიტს აქვს ელფოსტის გაგზავნის კოდი ველის მითითების გარეშე.

ასე რომ, ამ შემთხვევაშიც წერილები სწორად გაიგზავნება და არასოდეს აღმოჩნდება სპამში.

ჩემი "/etc/postfix/master.cf" ასე გამოიყურება:

...
smtp      inet  n       -       y       -       -       smtpd
  -o content_filter=spamassassin
...
submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
...
policyd-spf  unix  -       n       n       -       0       spawn
    user=policyd-spf argv=/usr/bin/policyd-spf

spamassassin unix -     n       n       -       -       pipe
    user=spamd argv=/usr/bin/spamc -f -e
    /usr/sbin/sendmail -oi -f ${sender} ${recipient}
...
domain1  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X1
   -o smtp_helo_name=domain1.com
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:1:1:1
   -o syslog_name=postfix-domain1

domain2  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X5
   -o smtp_helo_name=domain2.com
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:2:1:1
   -o syslog_name=postfix-domain2

domain3  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X2
   -o smtp_helo_name=domain3
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:1:5:1
   -o syslog_name=postfix-domain3

ფაილი სრულად არ არის მოწოდებული - ის უკვე ძალიან დიდია.
მე მხოლოდ აღვნიშნე, რაც შეიცვალა.

smtp      inet  n       -       y       -       -       smtpd
  -o content_filter=spamassassin
...
spamassassin unix -     n       n       -       -       pipe
    user=spamd argv=/usr/bin/spamc -f -e
    /usr/sbin/sendmail -oi -f ${sender} ${recipient}

ეს არის spamassasin-თან დაკავშირებული პარამეტრები, ამაზე მოგვიანებით.

submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject

ჩვენ გაძლევთ საშუალებას დაუკავშირდეთ ფოსტის სერვერს პორტით 587.
ამისათვის თქვენ უნდა შეხვიდეთ სისტემაში.

policyd-spf  unix  -       n       n       -       0       spawn
    user=policyd-spf argv=/usr/bin/policyd-spf

ჩართეთ SPF შემოწმება.

apt-get install postfix-policyd-spf-python

მოდით დავაყენოთ პაკეტი SPF შემოწმებისთვის ზემოთ.

domain1  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X1
   -o smtp_helo_name=domain1.com
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:1:1:1
   -o syslog_name=postfix-domain1

და ეს არის ყველაზე საინტერესო. ეს არის კონკრეტული დომენისთვის ასოების გაგზავნის შესაძლებლობა კონკრეტული IPv4/IPv6 მისამართიდან.

ეს კეთდება rDNS-ის გულისთვის. rDNS არის IP მისამართით სტრიქონის მიღების პროცესი.
ფოსტისთვის კი ეს ფუნქცია გამოიყენება იმის დასადასტურებლად, რომ helo ზუსტად ემთხვევა მისამართის rDNS-ს, საიდანაც გაიგზავნა ელ.წერილი.

თუ helo არ ემთხვევა ელ.ფოსტის დომენს, რომლის სახელითაც გაიგზავნა წერილი, მიენიჭება სპამის ქულები.

Helo არ ემთხვევა rDNS - ენიჭება ბევრი სპამის ქულა.
შესაბამისად, თითოეულ დომენს უნდა ჰქონდეს საკუთარი IP მისამართი.
OVH-სთვის - კონსოლში შესაძლებელია მიუთითოთ rDNS.
tech.ru-სთვის - საკითხი მოგვარებულია მხარდაჭერით.
AWS-ისთვის საკითხი მოგვარებულია მხარდაჭერით.
„inet_protocols“ და „smtp_bind_address6“ - ჩვენ ჩავრთავთ IPv6 მხარდაჭერას.
IPv6-ისთვის თქვენ ასევე უნდა დაარეგისტრიროთ rDNS.
„syslog_name“ - და ეს არის ჟურნალების წაკითხვის გამარტივებისთვის.

შეიძინეთ სერთიფიკატები აქ გირჩევ.

postfix+dovecot ბმულის დაყენება აქ.

SPF-ის დაყენება.

============= მტრედი ==============

apt-get install dovecot-imapd dovecot-pop3d dovecot-lmtpd dovecot-mysql dovecot-antispam

mysql-ის დაყენება, თავად პაკეტების დაყენება.

ფაილი "/etc/dovecot/conf.d/10-auth.conf"

disable_plaintext_auth = yes
auth_mechanisms = plain login

ავტორიზაცია მხოლოდ დაშიფრულია.

ფაილი "/etc/dovecot/conf.d/10-mail.conf"

mail_location = maildir:/var/mail/vhosts/%d/%n

აქ ჩვენ მივუთითებთ ასოების შენახვის ადგილს.

მე მინდა, რომ ისინი შენახული იყოს ფაილებში და დაჯგუფებული იყოს დომენის მიხედვით.

ფაილი "/etc/dovecot/conf.d/10-master.conf"

service imap-login {
  inet_listener imap {
    port = 0
  }
  inet_listener imaps {
    address = XX.XX.XX.X1, XX.XX.XX.X2, XX.XX.XX.X5, [XXXX:XXXX:XXXX:XXXX:1:1:1:1], [XXXX:XXXX:XXXX:XXXX:1:2:1:1], [XXXX:XXXX:XXXX:XXXX:1:1:5:1]
    port = 993
    ssl = yes
  }
}
service pop3-login {
  inet_listener pop3 {
    port = 0
  }
  inet_listener pop3s {
    address = XX.XX.XX.X1, XX.XX.XX.X2, XX.XX.XX.X5, [XXXX:XXXX:XXXX:XXXX:1:1:1:1], [XXXX:XXXX:XXXX:XXXX:1:2:1:1], [XXXX:XXXX:XXXX:XXXX:1:1:5:1]
    port = 995
    ssl = yes
  }
}
service lmtp {
  unix_listener /var/spool/postfix/private/dovecot-lmtp {
    mode = 0600
    user = postfix
    group = postfix
  }
}
service imap {
}
service pop3 {
}
service auth {
  unix_listener auth-userdb {
    mode = 0600
    user = vmail
  }

  unix_listener /var/spool/postfix/private/auth {
    mode = 0666
    user = postfix
    group = postfix
  }
  user = dovecot
}
service auth-worker {
  user = vmail
}
service dict {
  unix_listener dict {
  }
}

ეს არის მთავარი Dovecot კონფიგურაციის ფაილი.
აქ ჩვენ ვთიშავთ დაუცველ კავშირებს.
და ჩართეთ უსაფრთხო კავშირები.

ფაილი "/etc/dovecot/conf.d/10-ssl.conf"

ssl = required
ssl_cert = </etc/nginx/ssl/domain1.com.2018.chained.crt
ssl_key = </etc/nginx/ssl/domain1.com.2018.key
local XX.XX.XX.X5 {
  ssl_cert = </etc/nginx/ssl/domain2.com.2018.chained.crt
  ssl_key =  </etc/nginx/ssl/domain2.com.2018.key
}

ssl-ის დაყენება. ჩვენ აღვნიშნავთ, რომ ssl საჭიროა.
და თავად სერთიფიკატი. და მნიშვნელოვანი დეტალია "ადგილობრივი" დირექტივა. მიუთითებს, რომელი SSL სერთიფიკატი გამოიყენოს რომელ ადგილობრივ IPv4-თან დაკავშირებისას.

სხვათა შორის, IPv6 აქ არ არის კონფიგურირებული, ამ გამოტოვებას მოგვიანებით გამოვასწორებ.
XX.XX.XX.X5 (domain2) - სერთიფიკატი არ არის. კლიენტების დასაკავშირებლად თქვენ უნდა მიუთითოთ domain1.com.
XX.XX.XX.X2 (domain3) - არის სერთიფიკატი, კლიენტების დასაკავშირებლად შეგიძლიათ მიუთითოთ domain1.com ან domain3.com.

ფაილი "/etc/dovecot/conf.d/15-lda.conf"

protocol lda {
  mail_plugins = $mail_plugins sieve
}

ეს საჭირო იქნება მომავალში spamassassin-ისთვის.

ფაილი "/etc/dovecot/conf.d/20-imap.conf"

protocol imap {
  mail_plugins = $mail_plugins antispam
}

ეს არის ანტისპამის მოდული. საჭიროა spamassasin-ის ვარჯიშისთვის "სპამის" საქაღალდეში გადატანის დროს.

ფაილი "/etc/dovecot/conf.d/20-pop3.conf"

protocol pop3 {
}

არსებობს მხოლოდ ასეთი ფაილი.

ფაილი "/etc/dovecot/conf.d/20-lmtp.conf"

protocol lmtp {
  mail_plugins = $mail_plugins sieve
  postmaster_address = [email protected]
}

lmtp-ის დაყენება.

ფაილი "/etc/dovecot/conf.d/90-antispam.conf"

plugin {
  antispam_backend = pipe
  antispam_trash = Trash;trash
  antispam_spam = Junk;Spam;SPAM
  antispam_pipe_program_spam_arg = --spam
  antispam_pipe_program_notspam_arg = --ham
  antispam_pipe_program = /usr/bin/sa-learn
  antispam_pipe_program_args = --username=%Lu
}

Spamassasin სასწავლო პარამეტრები სპამის საქაღალდეში გადატანის დროს.

ფაილი "/etc/dovecot/conf.d/90-sieve.conf"

plugin {
  sieve = ~/.dovecot.sieve
  sieve_dir = ~/sieve
  sieve_after = /var/lib/dovecot/sieve/default.sieve
}

ფაილი, რომელიც განსაზღვრავს რა უნდა გააკეთოს შემოსულ ასოებთან.

ფაილი "/var/lib/dovecot/sieve/default.sieve"

require ["fileinto", "mailbox"];

if header :contains "X-Spam-Flag" "YES" {
        fileinto :create "Spam";
}

თქვენ უნდა შეადგინოთ ფაილი: “sievec default.sieve”.

ფაილი "/etc/dovecot/conf.d/auth-sql.conf.ext"

passdb {
  driver = sql
  args = /etc/dovecot/dovecot-sql.conf.ext
}
userdb {
  driver = static
  args = uid=vmail gid=vmail home=/var/mail/vhosts/%d/%n
}

ავტორიზაციისთვის sql ფაილების მითითება.
და თავად ფაილი გამოიყენება ავტორიზაციის მეთოდად.

ფაილი "/etc/dovecot/dovecot-sql.conf.ext"

driver = mysql
connect = host=127.0.0.1 dbname=servermail user=usermail password=password
default_pass_scheme = SHA512-CRYPT
password_query = SELECT email as user, password FROM virtual_users WHERE email='%u';

ეს შეესაბამება პოსტფიქსის მსგავს პარამეტრებს.

ფაილი "/etc/dovecot/dovecot.conf"

protocols = imap lmtp pop3
listen = *, ::
dict {
}
!include conf.d/*.conf
!include_try local.conf

ძირითადი კონფიგურაციის ფაილი.
მთავარი ის არის, რომ ჩვენ აქ მივუთითებთ - დაამატეთ პროტოკოლები.

============= SpamAssassin ==============

apt-get install spamassassin spamc

მოდით დავაყენოთ პაკეტები.

adduser spamd --disabled-login

დავამატოთ მომხმარებელი, რომლის სახელითაც.

systemctl enable spamassassin.service

ჩვენ ვააქტიურებთ ავტომატური ჩატვირთვის spamassassin სერვისს ჩატვირთვისას.

ფაილი "/etc/default/spamassassin":

CRON=1

წესების ავტომატური განახლების ჩართვით „ნაგულისხმევად“.

ფაილი "/etc/spamassassin/local.cf":

report_safe 0

use_bayes          1
bayes_auto_learn   1
bayes_auto_expire  1
bayes_store_module Mail::SpamAssassin::BayesStore::MySQL
bayes_sql_dsn      DBI:mysql:sa:localhost:3306
bayes_sql_username sa
bayes_sql_password password

თქვენ უნდა შექმნათ მონაცემთა ბაზა "sa" mysql-ში მომხმარებელთან "sa" პაროლით "პაროლი" (შეცვალეთ რაიმე ადეკვატურით).

report_safe - ეს წერილის ნაცვლად გაგზავნის ანგარიშს სპამის ელფოსტის შესახებ.
use_bayes არის spamassassin მანქანური სწავლების პარამეტრები.

დარჩენილი spamassassin პარამეტრები გამოყენებული იყო სტატიაში ადრე.

ზოგადი პარამეტრი "Spamassassin".
ახალი სპამის წერილების IMAP „სპამის“ საქაღალდეში გადატანის შესახებ.
Dovecot + SpamAssassin-ის მარტივი კომბინაციის შესახებ.
გირჩევთ წაიკითხოთ spamassasin სწავლის თეორია imap საქაღალდეებში ასოების გადაადგილებისას (და არ გირჩევთ მის გამოყენებას).

============= მიმართვა საზოგადოებას ==============

მე ასევე მსურს საზოგადოებას მივაწოდო იდეა იმის შესახებ, თუ როგორ უნდა გაიზარდოს გადაგზავნილი წერილების უსაფრთხოების დონე. რადგან მე ასე ღრმად ვარ ჩაფლული ფოსტის თემაში.

რათა მომხმარებელმა შექმნას წყვილი გასაღებები თავის კლიენტზე (outlook, thunderbird, ბრაუზერის-პლაგინი, ...). საჯარო და კერძო. საჯარო - გაგზავნეთ DNS-ზე. პირადი - დაზოგეთ კლიენტზე. ფოსტის სერვერებს შეეძლებათ გამოიყენონ საჯარო გასაღები კონკრეტულ მიმღებზე გასაგზავნად.

და სპამისგან დასაცავად ასეთი ასოებით (დიახ, ფოსტის სერვერი ვერ შეძლებს შინაარსის ნახვას) - თქვენ უნდა შემოიტანოთ 3 წესი:

1. სავალდებულო რეალური DKIM ხელმოწერა, სავალდებულო SPF, სავალდებულო rDNS.
2. ნერვული ქსელი ანტისპამის ტრენინგის თემაზე + მონაცემთა ბაზა კლიენტის მხარეს.
3. დაშიფვრის ალგორითმი უნდა იყოს ისეთი, რომ გამგზავნმა მხარემ უნდა დახარჯოს 100-ჯერ მეტი CPU სიმძლავრე დაშიფვრაზე, ვიდრე მიმღებმა მხარემ.

საჯარო წერილების გარდა, შეიმუშავეთ სტანდარტული წინადადების წერილი „უსაფრთხო მიმოწერის დასაწყებად“. ერთ-ერთი მომხმარებელი (ფოსტის ყუთი) აგზავნის წერილს დანართით სხვა საფოსტო ყუთში. წერილი შეიცავს ტექსტურ წინადადებას მიმოწერისთვის უსაფრთხო საკომუნიკაციო არხის დასაწყებად და საფოსტო ყუთის მფლობელის საჯარო გასაღებს (კლიენტის მხარეს პირადი გასაღებით).

თქვენ შეგიძლიათ გააკეთოთ რამდენიმე გასაღები სპეციალურად თითოეული მიმოწერისთვის. მიმღებ მომხმარებელს შეუძლია მიიღოს ეს შეთავაზება და გაგზავნოს თავისი საჯარო გასაღები (ასევე შექმნილია სპეციალურად ამ მიმოწერისთვის). შემდეგი, პირველი მომხმარებელი აგზავნის სერვისის საკონტროლო წერილს (დაშიფრულია მეორე მომხმარებლის საჯარო გასაღებით) - რომლის მიღების შემდეგ მეორე მომხმარებელს შეუძლია ჩამოყალიბებული საკომუნიკაციო არხი საიმედოდ ჩათვალოს. შემდეგი, მეორე მომხმარებელი აგზავნის საკონტროლო წერილს - და შემდეგ პირველ მომხმარებელს შეუძლია ასევე განიხილოს ჩამოყალიბებული არხი უსაფრთხოდ.

გზაზე გასაღებების ჩარევის წინააღმდეგ საბრძოლველად, პროტოკოლი უნდა ითვალისწინებდეს მინიმუმ ერთი საჯარო გასაღების გადაცემის შესაძლებლობას ფლეშ დრაივის გამოყენებით.

და ყველაზე მნიშვნელოვანი ის არის, რომ ეს ყველაფერი მუშაობს (საკითხავია „ვინ გადაიხდის მას?“):
შეიყვანეთ საფოსტო სერთიფიკატები $10-დან 3 წლის განმავლობაში. რაც საშუალებას მისცემს გამგზავნს dns-ში მიუთითოს, რომ „ჩემი საჯარო გასაღებები იქ არის“. და ისინი მოგცემთ შესაძლებლობას დაიწყოთ უსაფრთხო კავშირი. ამავდროულად, ასეთი კავშირების მიღება უფასოა.
gmail საბოლოოდ ახდენს მომხმარებლების მონეტიზაციას. 10 დოლარად 3 წელიწადში - უსაფრთხო მიმოწერის არხების შექმნის უფლება.

============= დასკვნა ==============

მთელი სტატიის შესამოწმებლად ვაპირებდი გამოყოფილი სერვერის დაქირავებას ერთი თვით და დომენის შეძენას SSL სერთიფიკატით.

მაგრამ ცხოვრებისეული გარემოებები ისე განვითარდა, რომ ეს საკითხი 2 თვე გაგრძელდა.
ასე რომ, როცა ისევ თავისუფალი დრო მქონდა, გადავწყვიტე გამომექვეყნებინა სტატია ისე, როგორც არის, იმის ნაცვლად, რომ გამეჩინა პუბლიკაცია კიდევ ერთი წლით გაჭიანურებულიყო.

თუ არსებობს საკმაოდ ბევრი კითხვა, როგორიცაა "მაგრამ ეს არ არის აღწერილი საკმარისად დეტალურად", მაშინ, ალბათ, იქნება ძალა, რომ აიღოთ გამოყოფილი სერვერი ახალი დომენით და ახალი SSL სერთიფიკატით და აღწეროთ ის კიდევ უფრო დეტალურად და, უმეტესობა. რაც მთავარია, დაადგინეთ ყველა დაკარგული მნიშვნელოვანი დეტალი.

ასევე მსურს გამოხმაურება მივიღო იდეებზე საფოსტო სერთიფიკატების შესახებ. თუ მოგეწონებათ იდეა, ვეცდები ვიპოვო ძალა და დავწერო პროექტი rfc-სთვის.

სტატიის დიდი ნაწილების კოპირებისას მიუთითეთ ამ სტატიის ბმული.
ნებისმიერ სხვა ენაზე თარგმნისას მიაწოდეთ ამ სტატიის ბმული.
ვეცდები თავად გადავთარგმნო ინგლისურად და დავტოვო ჯვარედინი მითითებები.

წყარო: www.habr.com