FortiMail - სწრაფი გაშვების კონფიგურაცია

მოგესალმებით! დღეს ჩვენ გეტყვით, თუ როგორ უნდა გააკეთოთ ფოსტის კარიბჭის საწყისი პარამეტრები FortiMail – Fortinet ელ.ფოსტის უსაფრთხოების გადაწყვეტილებები. სტატიის განმავლობაში განვიხილავთ განლაგებას, რომლითაც ვიმუშავებთ და შევასრულებთ კონფიგურაციას FortiMail, აუცილებელია წერილების მიღებისა და გადამოწმებისთვის და ასევე შევამოწმებთ მის შესრულებას. ჩვენი გამოცდილებიდან გამომდინარე, თამამად შეგვიძლია ვთქვათ, რომ პროცესი ძალიან მარტივია და მინიმალური კონფიგურაციის შემდეგაც კი შეგიძლიათ ნახოთ შედეგები.

დავიწყოთ მიმდინარე განლაგებით. ეს ნაჩვენებია ქვემოთ მოცემულ ფიგურაში.


მარჯვნივ ჩვენ ვხედავთ გარე მომხმარებლის კომპიუტერს, საიდანაც წერილს ვუგზავნით მომხმარებელს შიდა ქსელში. შიდა ქსელი შეიცავს მომხმარებლის კომპიუტერს, დომენის კონტროლერს მასზე გაშვებული DNS სერვერით და ფოსტის სერვერს. ქსელის კიდეზე არის firewall - FortiGate, რომლის მთავარი მახასიათებელია SMTP და DNS ტრაფიკის გადამისამართების კონფიგურაცია.

განსაკუთრებული ყურადღება მივაქციოთ DNS-ს.

არსებობს ორი DNS ჩანაწერი, რომელიც გამოიყენება ინტერნეტში ელ.ფოსტის გადასატანად - ჩანაწერი A და MX ჩანაწერი. როგორც წესი, ეს DNS ჩანაწერები კონფიგურირებულია საჯარო DNS სერვერზე, მაგრამ განლაგების შეზღუდვების გამო, ჩვენ უბრალოდ გადავაგზავნით DNS-ს Firewall-ის მეშვეობით (ანუ გარე მომხმარებელს აქვს მისამართი 10.10.30.210 რეგისტრირებული DNS სერვერად).

MX ჩანაწერი არის ჩანაწერი, რომელიც შეიცავს დომენის მომსახურე ფოსტის სერვერის სახელს, ასევე ამ ფოსტის სერვერის პრიორიტეტს. ჩვენს შემთხვევაში ეს ასე გამოიყურება: test.local -> mail.test.local 10.

ჩანაწერი არის ჩანაწერი, რომელიც გარდაქმნის დომენის სახელს IP მისამართად, ჩვენთვის ეს არის: mail.test.local -> 10.10.30.210.

როდესაც ჩვენი გარე მომხმარებელი ცდილობს ელ.ფოსტის გაგზავნას [ელ.ფოსტით დაცულია], ის გამოიკითხავს მის DNS MX სერვერს test.local დომენის ჩანაწერისთვის. ჩვენი DNS სერვერი გიპასუხებთ ფოსტის სერვერის სახელით - mail.test.local. ახლა მომხმარებელმა უნდა მიიღოს ამ სერვერის IP მისამართი, ასე რომ, ის კვლავ წვდება DNS-ს A ჩანაწერისთვის და იღებს IP მისამართს 10.10.30.210 (დიახ, ისევ მისი :) ). შეგიძლიათ გაგზავნოთ წერილი. ამიტომ, ის ცდილობს დაამყაროს კავშირი მიღებულ IP მისამართთან 25 პორტზე. Firewall-ის წესების გამოყენებით, ეს კავშირი გადაგზავნილია ფოსტის სერვერზე.

მოდით შევამოწმოთ ფოსტის ფუნქციონირება განლაგების ამჟამინდელ მდგომარეობაში. ამისათვის ჩვენ გამოვიყენებთ swaks უტილიტას გარე მომხმარებლის კომპიუტერზე. მისი დახმარებით თქვენ შეგიძლიათ შეამოწმოთ SMTP-ის შესრულება მიმღებისთვის წერილის გაგზავნით სხვადასხვა პარამეტრების ნაკრებით. ადრე, საფოსტო ყუთის მქონე მომხმარებელი უკვე შეიქმნა ფოსტის სერვერზე [ელ.ფოსტით დაცულია]. შევეცადოთ მას წერილი გავუგზავნოთ:

ახლა მოდით გადავიდეთ შიდა მომხმარებლის აპარატზე და დავრწმუნდეთ, რომ წერილი მოვიდა:

წერილი ფაქტობრივად ჩამოვიდა (ეს არის ხაზგასმული სიაში). ეს ნიშნავს, რომ განლაგება მუშაობს სწორად. ახლა დროა გადავიდეთ FortiMail-ზე. მოდით დავამატოთ ჩვენი განლაგება:

FortiMail შეიძლება განთავსდეს სამ რეჟიმში:

• Gateway - მოქმედებს როგორც სრულფასოვანი MTA: ის იღებს მთელ ფოსტას, ამოწმებს და შემდეგ გადასცემს ფოსტის სერვერს;
• გამჭვირვალე - ან სხვა სიტყვებით რომ ვთქვათ, გამჭვირვალე რეჟიმი. ის დაყენებულია სერვერის წინ და ამოწმებს შემომავალ და გამავალ წერილებს. ამის შემდეგ ის გადასცემს სერვერს. არ საჭიროებს ცვლილებებს ქსელის კონფიგურაციაში.
• სერვერი - ამ შემთხვევაში, FortiMail არის სრულფასოვანი ფოსტის სერვერი საფოსტო ყუთების შექმნის, ფოსტის მიღებისა და გაგზავნის, ასევე სხვა ფუნქციონალური შესაძლებლობებით.

ჩვენ განვათავსებთ FortiMail-ს Gateway რეჟიმში. მოდით გადავიდეთ ვირტუალური მანქანის პარამეტრებზე. შესვლა არის ადმინისტრატორი, პაროლი არ არის მითითებული. როდესაც პირველად შეხვალთ, უნდა დააყენოთ ახალი პაროლი.

ახლა მოდით დავაკონფიგურიროთ ვირტუალური მანქანა ვებ ინტერფეისზე წვდომისთვის. ასევე აუცილებელია, რომ მანქანას ჰქონდეს ინტერნეტი. მოდით დავაყენოთ ინტერფეისი. ჩვენ გვჭირდება მხოლოდ port1. მისი დახმარებით ჩვენ დავუკავშირდებით ვებ ინტერფეისს, ასევე გამოყენებული იქნება ინტერნეტში წვდომისთვის. სერვისების განახლებისთვის საჭიროა ინტერნეტთან წვდომა (ანტივირუსული ხელმოწერები და ა.შ.). კონფიგურაციისთვის შეიყვანეთ ბრძანებები:

კონფიგურაციის სისტემის ინტერფეისი
პორტის 1 რედაქტირება
დააყენეთ IP 192.168.1.40 255.255.255.0
დააყენეთ წვდომა https http ssh ping
ბოლო

ახლა მოდით დავაკონფიგურიროთ მარშრუტიზაცია. ამისათვის თქვენ უნდა შეიყვანოთ შემდეგი ბრძანებები:

კონფიგურაციის სისტემის მარშრუტი
რედაქტირება 1
მითითებული კარიბჭე 192.168.1.1
დააყენეთ ინტერფეისის პორტი 1
ბოლო

ბრძანებების შეყვანისას შეგიძლიათ გამოიყენოთ ჩანართები, რათა თავიდან აიცილოთ მათი სრულად აკრეფა. ასევე, თუ დაგავიწყდათ რომელი ბრძანება უნდა იყოს შემდეგი, შეგიძლიათ გამოიყენოთ ღილაკი „?“.
ახლა მოდით შევამოწმოთ თქვენი ინტერნეტ კავშირი. ამისათვის მოდით, პინგი ჩავწეროთ Google DNS:

როგორც ხედავთ, ახლა ჩვენ გვაქვს ინტერნეტი. ყველა Fortinet მოწყობილობისთვის დამახასიათებელი საწყისი პარამეტრები დასრულებულია და ახლა შეგიძლიათ გააგრძელოთ კონფიგურაცია ვებ ინტერფეისის საშუალებით. ამისათვის გახსენით მართვის გვერდი:

გთხოვთ გაითვალისწინოთ, რომ თქვენ უნდა მიჰყვეთ ბმულს ფორმატში /ადმინ. წინააღმდეგ შემთხვევაში, თქვენ ვერ შეხვალთ მართვის გვერდზე. ნაგულისხმევად, გვერდი არის სტანდარტული კონფიგურაციის რეჟიმში. პარამეტრებისთვის გვჭირდება გაფართოებული რეჟიმი. მოდით გადავიდეთ admin->View მენიუში და გადავიტანოთ რეჟიმი Advanced-ზე:

ახლა ჩვენ უნდა გადმოვწეროთ საცდელი ლიცენზია. ეს შეიძლება გაკეთდეს მენიუში ლიცენზიის ინფორმაცია → VM → განახლება:

თუ არ გაქვთ საცდელი ლიცენზია, შეგიძლიათ მოითხოვოთ ის დაკავშირებით ჩვენთვის.

ლიცენზიის შეყვანის შემდეგ, მოწყობილობა უნდა გადაიტვირთოს. მომავალში, ის დაიწყებს სერვერებიდან მონაცემთა ბაზების განახლებების ამოღებას. თუ ეს ავტომატურად არ მოხდება, შეგიძლიათ გადახვიდეთ System → FortiGuard მენიუში და ანტივირუსული, ანტისპამის ჩანართებში დააწკაპუნოთ ღილაკს განახლება ახლა.

თუ ეს არ დაგვეხმარება, შეგიძლიათ შეცვალოთ განახლებისთვის გამოყენებული პორტები. როგორც წესი, ამის შემდეგ ჩნდება ყველა ლიცენზია. საბოლოო ჯამში ასე უნდა გამოიყურებოდეს:

მოდით დავაყენოთ სწორი დროის ზონა, ეს სასარგებლო იქნება ჟურნალების შემოწმებისას. ამისათვის გადადით სისტემა → კონფიგურაციის მენიუში:

ჩვენ ასევე დავაკონფიგურირებთ DNS-ს. ჩვენ დავაკონფიგურირებთ შიდა DNS სერვერს, როგორც მთავარ DNS სერვერს და დავტოვებთ Fortinet-ის მიერ მოწოდებულ DNS სერვერს, როგორც სარეზერვო.

ახლა მოდით გადავიდეთ სახალისო ნაწილზე. როგორც თქვენ შენიშნეთ, მოწყობილობა ნაგულისხმევად დაყენებულია Gateway რეჟიმში. ამიტომ, ჩვენ არ გვჭირდება მისი შეცვლა. მოდით გადავიდეთ Domain & User → Domain ველზე. მოდით შევქმნათ ახალი დომენი, რომელიც უნდა იყოს დაცული. აქ საჭიროა მხოლოდ დომენის სახელის და ფოსტის სერვერის მისამართის მითითება (ასევე შეგიძლიათ მიუთითოთ მისი დომენის სახელი, ჩვენს შემთხვევაში mail.test.local):

ახლა ჩვენ უნდა მივცეთ სახელი ჩვენი ფოსტის კარიბჭისთვის. ეს გამოყენებული იქნება MX და A ჩანაწერებში, რომლებიც მოგვიანებით უნდა შევცვალოთ:

Host Name და Local Domain Name წერტილებიდან დგება FQDN, რომელიც გამოიყენება DNS ჩანაწერებში. ჩვენს შემთხვევაში, FQDN = fortimail.test.local.

ახლა მოდით დავაყენოთ მიღების წესი. ჩვენ გვჭირდება ყველა ელ.წერილი, რომელიც მოდის გარედან და მინიჭებულია დომენის მომხმარებელზე, რათა გადამისამართდეს ფოსტის სერვერზე. ამისათვის გადადით მენიუში პოლიტიკა → წვდომის კონტროლი. დაყენების მაგალითი ნაჩვენებია ქვემოთ:

მოდით გადავხედოთ მიმღების პოლიტიკის ჩანართს. აქ შეგიძლიათ დააწესოთ ასოების შემოწმების გარკვეული წესები: თუ ფოსტა მოდის დომენი example1.com, თქვენ უნდა შეამოწმოთ იგი სპეციალურად ამ დომენისთვის კონფიგურირებული მექანიზმებით. უკვე არსებობს ნაგულისხმევი წესი ყველა ფოსტისთვის და ამ დროისთვის ის გვერგება. ეს წესი შეგიძლიათ იხილოთ ქვემოთ მოცემულ ფიგურაში:

ამ ეტაპზე, FortiMail-ზე დაყენება შეიძლება ჩაითვალოს დასრულებულად. ფაქტობრივად, კიდევ ბევრი შესაძლო პარამეტრია, მაგრამ თუ დავიწყებთ ყველა მათგანის განხილვას, შეგვიძლია დავწეროთ წიგნი :) და ჩვენი მიზანია მინიმალური ძალისხმევით გავუშვათ FortiMail სატესტო რეჟიმში.

დარჩა ორი რამ - შეცვალეთ MX და A ჩანაწერები და ასევე შეცვალეთ პორტის გადამისამართების წესები firewall-ზე.

MX ჩანაწერი test.local -> mail.test.local 10 უნდა შეიცვალოს test.local -> fortimail.test.local 10. მაგრამ ჩვეულებრივ პილოტების დროს ემატება მეორე MX ჩანაწერი უფრო მაღალი პრიორიტეტით. Მაგალითად:

test.local -> mail.test.local 10
test.local -> fortimail.test.local 5

შეგახსენებთ, რომ რაც უფრო დაბალია ფოსტის სერვერის უპირატესობის რიგითი ნომერი MX ჩანაწერში, მით უფრო მაღალია მისი პრიორიტეტი.

და ჩანაწერის შეცვლა შეუძლებელია, ამიტომ ჩვენ უბრალოდ შევქმნით ახალს: fortimail.test.local -> 10.10.30.210. გარე მომხმარებელი დაუკავშირდება მისამართს 10.10.30.210 25-ე პორტზე, ხოლო firewall-ი გადააგზავნის კავშირს FortiMail-ზე.

FortiGate-ზე გადაგზავნის წესის შესაცვლელად, თქვენ უნდა შეცვალოთ მისამართი შესაბამის ვირტუალურ IP ობიექტში:

ყველაფერი მზადაა. მოდით შევამოწმოთ. მოდით, კვლავ გავაგზავნოთ წერილი გარე მომხმარებლის კომპიუტერიდან. ახლა მოდით გადავიდეთ FortiMail-ზე მონიტორი → ჟურნალები მენიუში. ისტორიის ველში შეგიძლიათ იხილოთ ჩანაწერი, რომ წერილი მიღებულ იქნა. დამატებითი ინფორმაციისთვის შეგიძლიათ დააწკაპუნოთ ჩანაწერზე მარჯვენა ღილაკით და აირჩიეთ დეტალები:

სურათის დასასრულებლად, მოდით შევამოწმოთ, შეუძლია თუ არა FortiMail-ს ამჟამინდელი კონფიგურაციით დაბლოკოს ელ.წერილები, რომლებიც შეიცავს სპამს და ვირუსებს. ამისათვის ჩვენ გამოგიგზავნით eicar ტესტის ვირუსს და სატესტო წერილს, რომელიც ნაპოვნია სპამის ფოსტის ერთ-ერთ მონაცემთა ბაზაში (http://untroubled.org/spam/). ამის შემდეგ, მოდით დავუბრუნდეთ ჟურნალის ნახვის მენიუს:

როგორც ვხედავთ, წარმატებით იქნა იდენტიფიცირებული სპამიც და წერილიც ვირუსით.

ეს კონფიგურაცია საკმარისია ვირუსებისა და სპამისგან ძირითადი დაცვის უზრუნველსაყოფად. მაგრამ FortiMail-ის ფუნქციონირება ამით არ შემოიფარგლება. უფრო ეფექტური დაცვისთვის, თქვენ უნდა შეისწავლოთ არსებული მექანიზმები და მოარგოთ ისინი თქვენს საჭიროებებზე. მომავალში, ჩვენ ვგეგმავთ გამოვყოთ ამ ფოსტის კარიბჭის სხვა, უფრო მოწინავე ფუნქციები.

თუ თქვენ გაქვთ რაიმე სირთულე ან შეკითხვა გამოსავალთან დაკავშირებით, დაწერეთ კომენტარებში, ჩვენ ვეცდებით ოპერატიულად ვუპასუხოთ მათ.

თქვენ შეგიძლიათ წარადგინოთ მოთხოვნა საცდელი ლიცენზიის მისაღებად გადაწყვეტის შესამოწმებლად აქ.

ავტორი: ალექსეი ნიკულინი. ინფორმაციის უსაფრთხოების ინჟინერი Fortiservice.

წყარო: www.habr.com