🥇Debian + Postfix + Dovecot + Multidomain + SSL + IPv6 + OpenVPN + मल्टी-इंटरफेसेस + SpamAssassin-learn + Bind

हा लेख आधुनिक मेल सर्व्हर कसा सेट करायचा याबद्दल आहे.
पोस्टफिक्स + डोव्हकोट. SPF + DKIM + rDNS. IPv6 सह.
TSL एन्क्रिप्शनसह. एकाधिक डोमेनसाठी समर्थनासह - वास्तविक SSL प्रमाणपत्रासह भाग.
अँटीस्पॅम संरक्षणासह आणि इतर मेल सर्व्हरवरील उच्च अँटीस्पॅम रेटिंगसह.
एकाधिक भौतिक इंटरफेसचे समर्थन करते.
OpenVPN सह, ज्याचे कनेक्शन IPv4 द्वारे आहे आणि जे IPv6 प्रदान करते.

तुम्हाला हे सर्व तंत्रज्ञान शिकायचे नसेल, पण असा सर्व्हर सेट करायचा असेल, तर हा लेख तुमच्यासाठी आहे.

लेख प्रत्येक तपशील स्पष्ट करण्याचा प्रयत्न करत नाही. स्पष्टीकरण जे मानक म्हणून कॉन्फिगर केलेले नाही किंवा ग्राहकांच्या दृष्टिकोनातून महत्त्वाचे आहे त्याकडे जाते.

मेल सर्व्हर सेट करण्याची प्रेरणा हे माझे दीर्घकाळापासूनचे स्वप्न आहे. हे मूर्खपणाचे वाटेल, परंतु IMHO, तुमच्या आवडत्या ब्रँडमधून नवीन कारचे स्वप्न पाहण्यापेक्षा हे खूप चांगले आहे.

IPv6 सेट करण्यासाठी दोन प्रेरणा आहेत. आयटी तज्ञांना टिकून राहण्यासाठी सतत नवीन तंत्रज्ञान शिकणे आवश्यक आहे. सेन्सॉरशिप विरुद्धच्या लढ्यात मी माझे माफक योगदान देऊ इच्छितो.

OpenVPN सेट करण्याची प्रेरणा फक्त IPv6 ला स्थानिक मशीनवर काम करणे आहे.
अनेक फिजिकल इंटरफेस सेट करण्याची प्रेरणा म्हणजे माझ्या सर्व्हरवर माझ्याकडे एक इंटरफेस “स्लो पण अमर्यादित” आणि दुसरा “फास्ट पण टॅरिफसह” आहे.

Bind सेटिंग्ज सेट करण्याची प्रेरणा ही आहे की माझा ISP अस्थिर DNS सर्व्हर प्रदान करतो आणि google देखील कधीकधी अपयशी ठरते. मला वैयक्तिक वापरासाठी एक स्थिर DNS सर्व्हर हवा आहे.

लेख लिहिण्याची प्रेरणा - मी 10 महिन्यांपूर्वी एक मसुदा लिहिला होता आणि मी तो आधीच दोनदा पाहिला आहे. लेखकाला त्याची नियमित गरज भासत असली तरी इतरांनाही त्याची गरज भासेल अशी उच्च शक्यता असते.

मेल सर्व्हरसाठी कोणतेही सार्वत्रिक उपाय नाही. परंतु मी असे काहीतरी लिहिण्याचा प्रयत्न करेन "हे करा आणि नंतर, सर्वकाही जसे पाहिजे तसे कार्य करेल तेव्हा अतिरिक्त सामग्री फेकून द्या."

कंपनी tech.ru मध्ये Colocation सर्व्हर आहे. OVH, Hetzner, AWS शी तुलना करणे शक्य आहे. या समस्येचे निराकरण करण्यासाठी, tech.ru सह सहकार्य अधिक प्रभावी होईल.

डेबियन 9 सर्व्हरवर स्थापित केले आहे.

सर्व्हरमध्ये 2 इंटरफेस `eno1` आणि `eno2` आहेत. पहिला अमर्यादित आहे आणि दुसरा वेगवान आहे.

3 स्थिर IP पत्ते आहेत, 'eno0' इंटरफेसवर XX.XX.XX.X1 आणि XX.XX.XX.X2 आणि XX.XX.XX.X1 आणि 'eno5' इंटरफेसवर XX.XX.XX.X2 .

उपलब्ध XXXX:XXXX:XXXX:XXXX::/64 IPv6 पत्त्यांचा एक पूल जो `eno1` इंटरफेसला नियुक्त केला आहे आणि त्यातून माझ्या विनंतीनुसार `eno1` ला नियुक्त केले गेले आहे.

तीन डोमेन आहेत `domain3.com`, `domain1.com`, `domain2.com`. `domain3.com` आणि `domain1.com` साठी एक SSL प्रमाणपत्र आहे.

माझ्याकडे एक Google खाते आहे ज्यावर मी माझा मेलबॉक्स लिंक करू इच्छितो[ईमेल संरक्षित]` (मेल प्राप्त करणे आणि थेट gmail इंटरफेसवरून मेल पाठवणे).
एक मेलबॉक्स असणे आवश्यक आहे[ईमेल संरक्षित]`, ज्या ईमेलवरून मला माझ्या gmail मध्ये पहायचे आहे त्याची एक प्रत. आणि ` च्या वतीने काहीतरी पाठवता येणे दुर्मिळ आहे[ईमेल संरक्षित]वेब इंटरफेस द्वारे.

एक मेलबॉक्स असणे आवश्यक आहे[ईमेल संरक्षित]`, जो इवानोव त्याच्या आयफोनमधून वापरेल.

पाठवलेल्या ईमेलने सर्व आधुनिक अँटीस्पॅम आवश्यकतांचे पालन केले पाहिजे.
सार्वजनिक नेटवर्कमध्ये प्रदान केलेले एनक्रिप्शनचे सर्वोच्च स्तर असणे आवश्यक आहे.
पत्रे पाठवणे आणि प्राप्त करणे या दोन्हीसाठी IPv6 सपोर्ट असावा.
एक SpamAssassin असावा जो ईमेल कधीही हटवणार नाही. आणि ते एकतर बाउन्स होईल किंवा वगळेल किंवा IMAP “स्पॅम” फोल्डरमध्ये पाठवेल.
SpamAssassin स्वयं-शिक्षण कॉन्फिगर केले जाणे आवश्यक आहे: जर मी स्पॅम फोल्डरमध्ये एक पत्र हलवले तर ते यातून शिकेल; जर मी स्पॅम फोल्डरमधून एखादे पत्र हलवले तर ते यातून शिकेल. SpamAssassin प्रशिक्षणाच्या परिणामांनी पत्र स्पॅम फोल्डरमध्ये संपले की नाही यावर प्रभाव टाकला पाहिजे.
PHP स्क्रिप्ट दिलेल्या सर्व्हरवर कोणत्याही डोमेनच्या वतीने मेल पाठविण्यास सक्षम असणे आवश्यक आहे.
IPv6 नसलेल्या क्लायंटवर IPv6 वापरण्याची क्षमता असलेली ओपनव्हीपीएन सेवा असावी.

प्रथम तुम्हाला IPv6 सह इंटरफेस आणि राउटिंग कॉन्फिगर करणे आवश्यक आहे.
नंतर तुम्हाला OpenVPN कॉन्फिगर करावे लागेल, जे IPv4 द्वारे कनेक्ट होईल आणि क्लायंटला स्थिर-वास्तविक IPv6 पत्ता प्रदान करेल. या क्लायंटला सर्व्हरवरील सर्व IPv6 सेवांमध्ये प्रवेश असेल आणि इंटरनेटवरील कोणत्याही IPv6 संसाधनांमध्ये प्रवेश असेल.
नंतर तुम्हाला अक्षरे + SPF + DKIM + rDNS आणि इतर तत्सम लहान गोष्टी पाठवण्यासाठी पोस्टफिक्स कॉन्फिगर करावे लागेल.
मग तुम्हाला Dovecot कॉन्फिगर करावे लागेल आणि मल्टीडोमेन कॉन्फिगर करावे लागेल.
मग तुम्हाला SpamAssassin कॉन्फिगर करावे लागेल आणि प्रशिक्षण कॉन्फिगर करावे लागेल.
शेवटी, बाइंड स्थापित करा.

============= मल्टी-इंटरफेस ==============

इंटरफेस कॉन्फिगर करण्यासाठी, तुम्हाला हे “/etc/network/interfaces” मध्ये लिहावे लागेल.

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
allow-hotplug eno1
iface eno1 inet static
        address XX.XX.XX.X0/24
        gateway XX.XX.XX.1
        dns-nameservers 127.0.0.1 213.248.1.6
        post-up ip route add XX.XX.XX.0/24 dev eno1 src XX.XX.XX.X0 table eno1t
        post-up ip route add default via XX.XX.XX.1 table eno1t
        post-up ip rule add table eno1t from XX.XX.XX.X0
        post-up ip rule add table eno1t to XX.XX.XX.X0

auto eno1:1
iface eno1:1 inet static
address XX.XX.XX.X1
netmask 255.255.255.0
        post-up ip rule add table eno1t from XX.XX.XX.X1
        post-up ip rule add table eno1t to XX.XX.XX.X1
        post-up   ip route add 10.8.0.0/24 dev tun0 src XX.XX.XX.X1 table eno1t
        post-down ip route del 10.8.0.0/24 dev tun0 src XX.XX.XX.X1 table eno1t

auto eno1:2
iface eno1:2 inet static
address XX.XX.XX.X2
netmask 255.255.255.0
        post-up ip rule add table eno1t from XX.XX.XX.X2
        post-up ip rule add table eno1t to XX.XX.XX.X2

iface eno1 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:1::/64
        gateway XXXX:XXXX:XXXX:XXXX::1
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:1:1:1/64 dev $IFACE
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:1:1:2/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:1:1:1/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:1:1:2/64 dev $IFACE

# The secondary network interface
allow-hotplug eno2
iface eno2 inet static
        address XX.XX.XX.X5
        netmask 255.255.255.0
        post-up   ip route add XX.XX.XX.0/24 dev eno2 src XX.XX.XX.X5 table eno2t
        post-up   ip route add default via XX.XX.XX.1 table eno2t
        post-up   ip rule add table eno2t from XX.XX.XX.X5
        post-up   ip rule add table eno2t to XX.XX.XX.X5
        post-up   ip route add 10.8.0.0/24 dev tun0 src XX.XX.XX.X5 table eno2t
        post-down ip route del 10.8.0.0/24 dev tun0 src XX.XX.XX.X5 table eno2t

iface eno2 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:2::/96
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:2:1:1/64 dev $IFACE
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:2:1:2/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:2:1:1/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:2:1:2/64 dev $IFACE

# OpenVPN network
iface tun0 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:3::/80

या सेटिंग्ज tech.ru मधील कोणत्याही सर्व्हरवर लागू केल्या जाऊ शकतात (समर्थनासह थोड्या समन्वयाने) आणि ते जसे पाहिजे तसे कार्य करेल.

तुम्हाला Hetzner, OVH साठी समान गोष्टी सेट करण्याचा अनुभव असल्यास, ते तेथे वेगळे आहे. अधिक कठीण.

eno1 हे नेटवर्क कार्ड #1 चे नाव आहे (मंद परंतु अमर्यादित).
eno2 हे नेटवर्क कार्ड #2 चे नाव आहे (जलद, परंतु दरपत्रकासह).
tun0 हे OpenVPN मधील व्हर्च्युअल नेटवर्क कार्डचे नाव आहे.
XX.XX.XX.X0 - eno4 वर IPv1 #1.
XX.XX.XX.X1 - eno4 वर IPv2 #1.
XX.XX.XX.X2 - eno4 वर IPv3 #1.
XX.XX.XX.X5 - eno4 वर IPv1 #2.
XX.XX.XX.1 - IPv4 गेटवे.
XXXX:XXXX:XXXX:XXXXXX::/64 - संपूर्ण सर्व्हरसाठी IPv6.
XXXX:XXXX:XXXX:XXXX:1:2::/96 - eno6 साठी IPv2, बाहेरून सर्व काही eno1 मध्ये जाते.
XXXX:XXXX:XXXX:XXXX::1 — IPv6 गेटवे (हे लक्षात घेण्यासारखे आहे/हे वेगळ्या पद्धतीने केले जाऊ शकते. IPv6 स्विच निर्दिष्ट करा).
dns-nameservers - 127.0.0.1 सूचित केले आहे (कारण बाइंड स्थानिकरित्या स्थापित केले आहे) आणि 213.248.1.6 (हे tech.ru वरून आहे).

"टेबल eno1t" आणि "टेबल eno2t" - या मार्ग-नियमांचा अर्थ असा आहे की eno1 -> मधून प्रवेश करणारी वाहतूक त्यातून निघून जाईल आणि eno2 -> द्वारे प्रवेश करणारी वाहतूक त्यातून निघून जाईल. आणि सर्व्हरद्वारे सुरू केलेले कनेक्शन देखील eno1 द्वारे जातील.

ip route add default via XX.XX.XX.1 table eno1t

या आदेशाद्वारे आम्ही निर्दिष्ट करतो की “टेबल eno1t” -> चिन्हांकित केलेल्या कोणत्याही नियमांतर्गत येणारी कोणतीही न समजणारी रहदारी eno1 इंटरफेसवर पाठविली जाईल.

ip route add XX.XX.XX.0/24 dev eno1 src XX.XX.XX.X0 table eno1t

या आदेशाद्वारे आम्ही निर्दिष्ट करतो की सर्व्हरद्वारे सुरू केलेली कोणतीही रहदारी eno1 इंटरफेसकडे निर्देशित केली जावी.

ip rule add table eno1t from XX.XX.XX.X0
ip rule add table eno1t to XX.XX.XX.X0

या आदेशासह आम्ही रहदारी चिन्हांकित करण्यासाठी नियम सेट करतो.

auto eno1:2
iface eno1:2 inet static
address XX.XX.XX.X2
netmask 255.255.255.0
        post-up ip rule add table eno1t from XX.XX.XX.X2
        post-up ip rule add table eno1t to XX.XX.XX.X2

हा ब्लॉक eno4 इंटरफेससाठी दुसरा IPv1 निर्देशीत करतो.

ip route add 10.8.0.0/24 dev tun0 src XX.XX.XX.X1 table eno1t

या आदेशासह आम्ही XX.XX.XX.X4 वगळता OpenVPN क्लायंटपासून स्थानिक IPv0 पर्यंत मार्ग सेट करतो.
ही आज्ञा सर्व IPv4 साठी का पुरेशी आहे हे मला अजूनही समजले नाही.

iface eno1 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:1::/64
        gateway XXXX:XXXX:XXXX:XXXX::1

इथेच आम्ही इंटरफेससाठी पत्ता सेट करतो. सर्व्हर त्याचा वापर “आउटगोइंग” पत्ता म्हणून करेल. पुन्हा कोणत्याही प्रकारे वापरले जाणार नाही.

":1:1::" इतके क्लिष्ट का आहे? जेणेकरून OpenVPN योग्यरित्या आणि फक्त यासाठी कार्य करते. याबद्दल अधिक नंतर.

गेटवेच्या विषयावर - ते कसे कार्य करते आणि ते ठीक आहे. परंतु सर्व्हर कनेक्ट केलेल्या स्विचचा IPv6 येथे सूचित करण्याचा योग्य मार्ग आहे.

तथापि, काही कारणास्तव मी असे केल्यास IPv6 कार्य करणे थांबवते. ही कदाचित काही प्रकारची tech.ru समस्या आहे.

ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:1:1:1/64 dev $IFACE

हे इंटरफेसमध्ये IPv6 पत्ता जोडत आहे. जर तुम्हाला शंभर पत्ते हवे असतील तर याचा अर्थ या फाईलमध्ये शंभर ओळी आहेत.

iface eno1 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:1::/64
...
iface eno2 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:2::/96
...
iface tun0 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:3::/80

हे स्पष्ट करण्यासाठी मी सर्व इंटरफेसचे पत्ते आणि सबनेट लक्षात घेतले.
eno1 - असणे आवश्यक आहे "/64" - कारण हा आमचा संपूर्ण पत्त्यांचा पूल आहे.
tun0 - सबनेट eno1 पेक्षा मोठा असणे आवश्यक आहे. अन्यथा, OpenVPN क्लायंटसाठी IPv6 गेटवे कॉन्फिगर करणे शक्य होणार नाही.
eno2 - सबनेट tun0 पेक्षा मोठा असणे आवश्यक आहे. अन्यथा, OpenVPN क्लायंट स्थानिक IPv6 पत्त्यांमध्ये प्रवेश करू शकणार नाहीत.
स्पष्टतेसाठी, मी 16 ची सबनेट पायरी निवडली, परंतु तुमची इच्छा असल्यास, तुम्ही "1" चरण देखील करू शकता.
त्यानुसार, 64+16 = 80, आणि 80+16 = 96.

अधिक स्पष्टतेसाठी:
XXXX:XXXX:XXXX:XXXX:1:1:YYYY:YYYY हे पत्ते आहेत जे eno1 इंटरफेसवर विशिष्ट साइट्स किंवा सेवांना नियुक्त केले जावेत.
XXXX:XXXX:XXXX:XXXX:1:2:YYYY:YYYY हे पत्ते आहेत जे eno2 इंटरफेसवर विशिष्ट साइट्स किंवा सेवांना नियुक्त केले जावेत.
XXXX:XXXX:XXXX:XXXX:1:3:YYYY:YYYY हे पत्ते आहेत जे OpenVPN क्लायंटना नियुक्त केले जावे किंवा OpenVPN सेवा पत्ते म्हणून वापरले जावे.

नेटवर्क कॉन्फिगर करण्यासाठी, सर्व्हर रीस्टार्ट करणे शक्य असावे.
IPv4 बदल अंमलात आणल्यावर उचलले जातात (स्क्रीनमध्ये गुंडाळण्याची खात्री करा - अन्यथा ही कमांड सर्व्हरवरील नेटवर्क क्रॅश करेल):

/etc/init.d/networking restart

फाईलच्या शेवटी जोडा “/etc/iproute2/rt_tables”:

100 eno1t
101 eno2t

याशिवाय, तुम्ही “/etc/network/interfaces” फाइलमध्ये सानुकूल सारण्या वापरू शकत नाही.
संख्या अद्वितीय आणि 65535 पेक्षा कमी असणे आवश्यक आहे.

IPv6 चे बदल रीबूट न करता सहज बदलता येतात, परंतु हे करण्यासाठी तुम्हाला किमान तीन कमांड शिकण्याची आवश्यकता आहे:

ip -6 addr ...
ip -6 route ...
ip -6 neigh ...

सेटिंग "/etc/sysctl.conf"

# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.ip_forward = 1

# Do not accept ICMP redirects (prevent MITM attacks)
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0

# Do not send ICMP redirects (we are not a router)
net.ipv4.conf.all.send_redirects = 0

# For receiving ARP replies
net.ipv4.conf.all.arp_filter = 0
net.ipv4.conf.default.arp_filter = 0

# For sending ARP
net.ipv4.conf.all.arp_announce = 0
net.ipv4.conf.default.arp_announce = 0

# Enable IPv6
net.ipv6.conf.all.disable_ipv6 = 0
net.ipv6.conf.default.disable_ipv6 = 0
net.ipv6.conf.lo.disable_ipv6 = 0

# IPv6 configuration
net.ipv6.conf.all.autoconf = 1
net.ipv6.conf.all.accept_ra = 0

# For OpenVPN
net.ipv6.conf.all.forwarding = 1
net.ipv6.conf.all.proxy_ndp = 1

# For nginx on boot
net.ipv6.ip_nonlocal_bind = 1

ही माझ्या सर्व्हरची "sysctl" सेटिंग्ज आहेत. मला एक महत्त्वाची गोष्ट सांगू द्या.

net.ipv4.ip_forward = 1

याशिवाय, OpenVPN अजिबात कार्य करणार नाही.

net.ipv6.ip_nonlocal_bind = 1

इंटरफेस सुरू झाल्यानंतर लगेच जो कोणी IPv6 (उदाहरणार्थ nginx) बांधण्याचा प्रयत्न करतो त्याला त्रुटी प्राप्त होईल. की हा पत्ता उपलब्ध नाही.

अशी परिस्थिती टाळण्यासाठी, अशी सेटिंग केली जाते.

net.ipv6.conf.all.forwarding = 1
net.ipv6.conf.all.proxy_ndp = 1

या IPv6 सेटिंग्जशिवाय, OpenVPN क्लायंटची रहदारी जगात जात नाही.

इतर सेटिंग्ज एकतर संबंधित नाहीत किंवा त्या कशासाठी आहेत हे मला आठवत नाही.
पण फक्त बाबतीत, मी ते "जसे आहे तसे" सोडतो.

सर्व्हर रीबूट न करता या फाईलमधील बदल उचलण्यासाठी, तुम्हाला कमांड चालवावी लागेल:

sysctl -p

"टेबल" नियमांबद्दल अधिक तपशील: habr.com/post/108690

============= OpenVPN =============

OpenVPN IPv4 iptables शिवाय कार्य करत नाही.

माझे iptables VPN साठी असे आहेत:

iptables -A INPUT -p udp -s YY.YY.YY.YY --dport 1194 -j ACCEPT
iptables -A FORWARD -i tun0 -o eno1 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j SNAT --to-source XX.XX.XX.X0
##iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j MASQUERADE
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p udp --dport 1194 -j DROP
iptables -A FORWARD -p udp --dport 1194 -j DROP

YY.YY.YY.YY हा स्थानिक मशीनचा माझा स्थिर IPv4 पत्ता आहे.
10.8.0.0/24 - IPv4 openvpn नेटवर्क. Openvpn क्लायंटसाठी IPv4 पत्ते.
नियमांची सातत्य महत्त्वाची आहे.

iptables -A INPUT -p udp -s YY.YY.YY.YY --dport 1194 -j ACCEPT
iptables -A FORWARD -i tun0 -o eno1 -j ACCEPT
...
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p udp --dport 1194 -j DROP
iptables -A FORWARD -p udp --dport 1194 -j DROP

ही मर्यादा आहे जेणेकरून फक्त मी माझ्या स्टॅटिक IP वरून OpenVPN वापरू शकतो.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j SNAT --to-source XX.XX.XX.X0
  -- или --
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j MASQUERADE

OpenVPN क्लायंट आणि इंटरनेट दरम्यान IPv4 पॅकेट फॉरवर्ड करण्यासाठी, तुम्हाला यापैकी एक कमांड नोंदणीकृत करणे आवश्यक आहे.

वेगवेगळ्या प्रकरणांसाठी, पर्यायांपैकी एक योग्य नाही.
दोन्ही आज्ञा माझ्या केससाठी योग्य आहेत.
दस्तऐवजीकरण वाचल्यानंतर, मी पहिला पर्याय निवडला कारण तो कमी CPU वापरतो.

रीबूट केल्यानंतर सर्व iptables सेटिंग्ज उचलल्या जाण्यासाठी, तुम्हाला ते कुठेतरी जतन करणे आवश्यक आहे.

iptables-save > /etc/iptables/rules.v4
ip6tables-save > /etc/iptables/rules.v6

अशी नावे योगायोगाने निवडली गेली नाहीत. ते "iptables-persistent" पॅकेजद्वारे वापरले जातात.

apt-get install iptables-persistent

मुख्य OpenVPN पॅकेज स्थापित करत आहे:

apt-get install openvpn easy-rsa

प्रमाणपत्रांसाठी टेम्पलेट सेट करूया (तुमची मूल्ये बदला):

make-cadir ~/openvpn-ca
cd ~/openvpn-ca
ln -s openssl-1.0.0.cnf openssl.cnf

प्रमाणपत्र टेम्पलेट सेटिंग्ज संपादित करू:

mcedit vars

...
# These are the default values for fields
# which will be placed in the certificate.
# Don't leave any of these fields blank.
export KEY_COUNTRY="RU"
export KEY_PROVINCE="Krasnodar"
export KEY_CITY="Dinskaya"
export KEY_ORG="Own"
export KEY_EMAIL="[email protected]"
export KEY_OU="VPN"

# X509 Subject Field
export KEY_NAME="server"
...

सर्व्हर प्रमाणपत्र तयार करा:

cd ~/openvpn-ca
source vars
./clean-all
./build-ca
./build-key-server server
./build-dh
openvpn --genkey --secret keys/ta.key

चला अंतिम “client-name.opvn” फाइल्स तयार करण्याची क्षमता तयार करूया:

mkdir -p ~/client-configs/files
chmod 700 ~/client-configs/files
cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf ~/client-configs/base.conf
mcedit ~/client-configs/base.conf

# Client mode
client

# Interface tunnel type
dev tun

# TCP protocol
proto tcp-client

# Address/Port of VPN server
remote XX.XX.XX.X0 1194

# Don't bind to local port/address
nobind

# Don't need to re-read keys and re-create tun at restart
persist-key
persist-tun

# Remote peer must have a signed certificate
remote-cert-tls server
ns-cert-type server

# Enable compression
comp-lzo

# Custom
ns-cert-type server
tls-auth ta.key 1
cipher DES-EDE3-CBC

चला एक स्क्रिप्ट तयार करूया जी सर्व फाइल्स एकाच opvn फाइलमध्ये विलीन करेल.

mcedit ~/client-configs/make_config.sh
chmod 700 ~/client-configs/make_config.sh

#!/bin/bash

# First argument: Client identifier

KEY_DIR=~/openvpn-ca/keys
OUTPUT_DIR=~/client-configs/files
BASE_CONFIG=~/client-configs/base.conf

cat ${BASE_CONFIG} 
    <(echo -e '<ca>') 
    ${KEY_DIR}/ca.crt 
    <(echo -e '</ca>n<cert>') 
    ${KEY_DIR}/.crt 
    <(echo -e '</cert>n<key>') 
    ${KEY_DIR}/.key 
    <(echo -e '</key>n<tls-auth>') 
    ${KEY_DIR}/ta.key 
    <(echo -e '</tls-auth>') 
    > ${OUTPUT_DIR}/.ovpn

पहिला OpenVPN क्लायंट तयार करणे:

cd ~/openvpn-ca
source vars
./build-key client-name
cd ~/client-configs
./make_config.sh client-name

"~/client-configs/files/client-name.ovpn" फाइल क्लायंटच्या डिव्हाइसवर पाठविली जाते.

iOS क्लायंटसाठी तुम्हाला खालील युक्ती करावी लागेल:
"tls-auth" टॅगची सामग्री टिप्पण्यांशिवाय असणे आवश्यक आहे.
आणि "tls-auth" टॅगच्या आधी "की-दिशा 1" देखील ठेवा.

चला OpenVPN सर्व्हर कॉन्फिगर करूया:

cd ~/openvpn-ca/keys
cp ca.crt ca.key server.crt server.key ta.key dh2048.pem /etc/openvpn
gunzip -c /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz | tee /etc/openvpn/server.conf
mcedit /etc/openvpn/server.conf

# Listen port
port 1194

# Protocol
proto tcp-server

# IP tunnel
dev tun0
tun-ipv6
push tun-ipv6

# Master certificate
ca ca.crt

# Server certificate
cert server.crt

# Server private key
key server.key

# Diffie-Hellman parameters
dh dh2048.pem

# Allow clients to communicate with each other
client-to-client

# Client config dir
client-config-dir /etc/openvpn/ccd

# Run client-specific script on connection and disconnection
script-security 2
client-connect "/usr/bin/sudo -u root /etc/openvpn/server-clientconnect.sh"
client-disconnect "/usr/bin/sudo -u root /etc/openvpn/server-clientdisconnect.sh"

# Server mode and client subnets
server 10.8.0.0 255.255.255.0
server-ipv6 XXXX:XXXX:XXXX:XXXX:1:3::/80
topology subnet

# IPv6 routes
push "route-ipv6 XXXX:XXXX:XXXX:XXXX::/64"
push "route-ipv6 2000::/3"

# DNS (for Windows)
# These are OpenDNS
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"

# Configure all clients to redirect their default network gateway through the VPN
push "redirect-gateway def1 bypass-dhcp"
push "redirect-gateway ipv6" #For iOS

# Don't need to re-read keys and re-create tun at restart
persist-key
persist-tun

# Ping every 10s. Timeout of 120s.
keepalive 10 120

# Enable compression
comp-lzo

# User and group
user vpn
group vpn

# Log a short status
status openvpn-status.log

# Logging verbosity
##verb 4

# Custom config
tls-auth ta.key 0
cipher DES-EDE3-CBC

प्रत्येक क्लायंटसाठी स्थिर पत्ता सेट करण्यासाठी हे आवश्यक आहे (आवश्यक नाही, परंतु मी ते वापरतो):

# Client config dir
client-config-dir /etc/openvpn/ccd

सर्वात कठीण आणि मुख्य तपशील.

दुर्दैवाने, OpenVPN ला अद्याप क्लायंटसाठी IPv6 गेटवे स्वतंत्रपणे कसे कॉन्फिगर करावे हे माहित नाही.
तुम्हाला प्रत्येक क्लायंटसाठी हे "मॅन्युअली" फॉरवर्ड करावे लागेल.

# Run client-specific script on connection and disconnection
script-security 2
client-connect "/usr/bin/sudo -u root /etc/openvpn/server-clientconnect.sh"
client-disconnect "/usr/bin/sudo -u root /etc/openvpn/server-clientdisconnect.sh"

फाइल “/etc/openvpn/server-clientconnect.sh”:

#!/bin/sh

# Check client variables
if [ -z "$ifconfig_pool_remote_ip" ] || [ -z "$common_name" ]; then
        echo "Missing environment variable."
        exit 1
fi

# Load server variables
. /etc/openvpn/variables

ipv6=""

# Find out if there is a specific config with fixed IPv6 for this client
if [ -f "/etc/openvpn/ccd/$common_name" ]; then
        # Get fixed IPv6 from client config file
        ipv6=$(sed -nr 's/^.*ifconfig-ipv6-push[ t]+([0-9a-fA-F:]+).*$/1/p' "/etc/openvpn/ccd/$common_name")
        echo $ipv6
fi

# Get IPv6 from IPv4
if [ -z "$ipv6" ]; then
        ipp=$(echo "$ifconfig_pool_remote_ip" | cut -d. -f4)
        if ! [ "$ipp" -ge 2 -a "$ipp" -le 254 ] 2>/dev/null; then
                echo "Invalid IPv4 part."
                exit 1
        fi
        hexipp=$(printf '%x' $ipp)
        ipv6="$prefix$hexipp"
fi

# Create proxy rule
/sbin/ip -6 neigh add proxy $ipv6 dev eno1

फाइल “/etc/openvpn/server-clientdisconnect.sh”:

#!/bin/sh

# Check client variables
if [ -z "$ifconfig_pool_remote_ip" ] || [ -z "$common_name" ]; then
        echo "Missing environment variable."
        exit 1
fi

# Load server variables
. /etc/openvpn/variables

ipv6=""

# Find out if there is a specific config with fixed IPv6 for this client
if [ -f "/etc/openvpn/ccd/$common_name" ]; then
        # Get fixed IPv6 from client config file
        ipv6=$(sed -nr 's/^.*ifconfig-ipv6-push[ t]+([0-9a-fA-F:]+).*$/1/p' "/etc/openvpn/ccd/$common_name")
fi

# Get IPv6 from IPv4
if [ -z "$ipv6" ]; then
        ipp=$(echo "$ifconfig_pool_remote_ip" | cut -d. -f4)
        if ! [ "$ipp" -ge 2 -a "$ipp" -le 254 ] 2>/dev/null; then
                echo "Invalid IPv4 part."
                exit 1
        fi
        hexipp=$(printf '%x' $ipp)
        ipv6="$prefix$hexipp"
fi

# Delete proxy rule
/sbin/ip -6 neigh del proxy $ipv6 dev eno1

दोन्ही स्क्रिप्ट "/etc/openvpn/variables" फाइल वापरतात:

# Subnet
prefix=XXXX:XXXX:XXXX:XXXX:2:
# netmask
prefixlen=112

असं का लिहिलंय ते आठवणं मला अवघड जातं.

आता नेटमास्क = 112 विचित्र दिसते (ते तिथे 96 असावे).
आणि उपसर्ग विचित्र आहे, तो ट्यून0 नेटवर्कशी जुळत नाही.
पण ठीक आहे, मी ते जसेच्या तसे सोडतो.

cipher DES-EDE3-CBC

हे प्रत्येकासाठी नाही - मी कनेक्शन एन्क्रिप्ट करण्याची ही पद्धत निवडली.

OpenVPN IPv4 सेट करण्याबद्दल अधिक जाणून घ्या.

OpenVPN IPv6 सेट करण्याबद्दल अधिक जाणून घ्या.

============= पोस्टफिक्स =============

मुख्य पॅकेज स्थापित करणे:

apt-get install postfix

स्थापित करताना, "इंटरनेट साइट" निवडा.

माझे "/etc/postfix/main.cf" असे दिसते:

smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
biff = no

# appending .domain is the MUA's job.
append_dot_mydomain = no

readme_directory = no

# See http://www.postfix.org/COMPATIBILITY_README.html -- default to 2 on
# fresh installs.
compatibility_level = 2

# TLS parameters
smtpd_tls_cert_file=/etc/ssl/domain1.com.2018.chained.crt
smtpd_tls_key_file=/etc/ssl/domain1.com.2018.key
smtpd_use_tls=yes
smtpd_tls_auth_only = yes
smtp_bind_address = XX.XX.XX.X0
smtp_bind_address6 = XXXX:XXXX:XXXX:XXXX:1:1:1:1

smtp_tls_security_level = may
smtp_tls_ciphers = export
smtp_tls_protocols = !SSLv2, !SSLv3
smtp_tls_loglevel = 1

smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = domain1.com
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
myorigin = domain1.com
mydestination = localhost
relayhost =
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all
inet_protocols = ipv4

internal_mail_filter_classes = bounce

# Storage type
virtual_transport = lmtp:unix:private/dovecot-lmtp
virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual-mailbox-domains.cf
virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual-mailbox-maps.cf
virtual_alias_maps = mysql:/etc/postfix/mysql-virtual-alias-maps.cf

# SMTP-Auth settings
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes
smtpd_recipient_restrictions =
        permit_sasl_authenticated,
        permit_mynetworks,
        #reject_invalid_hostname,
        #reject_unknown_recipient_domain,
        reject_unauth_destination,
        reject_rbl_client sbl.spamhaus.org,
        check_policy_service unix:private/policyd-spf

smtpd_helo_restrictions =
        #reject_invalid_helo_hostname,
        #reject_non_fqdn_helo_hostname,
        reject_unknown_helo_hostname

smtpd_client_restrictions =
        permit_mynetworks,
        permit_sasl_authenticated,
        reject_non_fqdn_helo_hostname,
        permit

# SPF
policyd-spf_time_limit = 3600

# OpenDKIM
milter_default_action = accept
milter_protocol = 6
smtpd_milters = unix:var/run/opendkim/opendkim.sock
non_smtpd_milters = unix:var/run/opendkim/opendkim.sock

# IP address per domain
sender_dependent_default_transport_maps = pcre:/etc/postfix/sdd_transport.pcre

या कॉन्फिगरेशनचे तपशील पाहू.

smtpd_tls_cert_file=/etc/ssl/domain1.com.2018.chained.crt
smtpd_tls_key_file=/etc/ssl/domain1.com.2018.key

खाब्रोव्स्क रहिवाशांच्या मते, या ब्लॉकमध्ये "चुकीची माहिती आणि चुकीचे शोधनिबंध" आहेत.माझ्या करिअरच्या सुरुवातीच्या केवळ 8 वर्षानंतर मला SSL कसे कार्य करते हे समजू लागले.

म्हणून, मी SSL कसे वापरावे याचे वर्णन करण्याचे स्वातंत्र्य घेईन (“हे कसे कार्य करते?” आणि “ते का कार्य करते?” या प्रश्नांची उत्तरे न देता).

आधुनिक एन्क्रिप्शनचा आधार म्हणजे की जोडी (अक्षरांच्या दोन खूप लांब तार) तयार करणे.

एक “की” खाजगी आहे, दुसरी की “सार्वजनिक” आहे. आम्ही खाजगी की अतिशय काळजीपूर्वक गुप्त ठेवतो. आम्ही प्रत्येकाला सार्वजनिक की वितरीत करतो.

सार्वजनिक की वापरून, तुम्ही मजकूराच्या स्ट्रिंगला कूटबद्ध करू शकता जेणेकरून केवळ खाजगी कीचा मालक तो डीक्रिप्ट करू शकेल.
बरं, ते तंत्रज्ञानाचा संपूर्ण आधार आहे.

चरण # 1 - https साइट्स.
साइटवर प्रवेश करताना, ब्राउझर वेब सर्व्हरवरून शिकतो की साइट https आहे आणि म्हणून सार्वजनिक कीची विनंती करतो.
वेब सर्व्हर सार्वजनिक की देतो. ब्राउझर http-विनंती एनक्रिप्ट करण्यासाठी आणि पाठवण्यासाठी सार्वजनिक की वापरतो.
एचटीटीपी-विनंतीची सामग्री केवळ तेच वाचू शकतात ज्यांच्याकडे खाजगी की आहे, म्हणजेच फक्त सर्व्हर ज्यावर विनंती केली जाते.
Http-विनंतीत किमान एक URI आहे. म्हणून, जर एखादा देश संपूर्ण साइटवर नव्हे तर एका विशिष्ट पृष्ठावर प्रवेश प्रतिबंधित करण्याचा प्रयत्न करत असेल, तर https साइटसाठी हे करणे अशक्य आहे.

चरण #2 - कूटबद्ध प्रतिसाद.
वेब सर्व्हर एक उत्तर प्रदान करतो जे रस्त्यावर सहज वाचता येते.
उपाय अत्यंत सोपा आहे - ब्राउझर स्थानिक पातळीवर प्रत्येक https साइटसाठी समान खाजगी-सार्वजनिक की जोडी तयार करतो.
आणि साइटच्या सार्वजनिक कीच्या विनंतीसह, ते तिची स्थानिक सार्वजनिक की पाठवते.
वेब सर्व्हर ते लक्षात ठेवतो आणि, HTTP-प्रतिसाद पाठवताना, विशिष्ट क्लायंटच्या सार्वजनिक कीसह कूटबद्ध करतो.
आता http-प्रतिसाद केवळ क्लायंटच्या ब्राउझर प्रायव्हेट कीच्या मालकाद्वारे (म्हणजे क्लायंट स्वतः) डीक्रिप्ट केला जाऊ शकतो.

पायरी क्रमांक 3 - सार्वजनिक चॅनेलद्वारे सुरक्षित कनेक्शन स्थापित करणे.
उदाहरण क्रमांक २ मध्ये एक भेद्यता आहे - शुभचिंतकांना http-विनंती रोखण्यापासून आणि सार्वजनिक की बद्दल माहिती संपादित करण्यापासून काहीही प्रतिबंधित करत नाही.
अशा प्रकारे, संप्रेषण चॅनेल बदलेपर्यंत मध्यस्थ पाठवलेल्या आणि प्राप्त झालेल्या संदेशांची सर्व सामग्री स्पष्टपणे पाहतील.
हे हाताळणे अत्यंत सोपे आहे - फक्त ब्राउझरची सार्वजनिक की वेब सर्व्हरच्या सार्वजनिक कीसह एन्क्रिप्ट केलेला संदेश म्हणून पाठवा.
वेब सर्व्हर नंतर प्रथम "तुमची सार्वजनिक की अशी आहे" सारखा प्रतिसाद पाठवतो आणि त्याच सार्वजनिक कीसह हा संदेश एन्क्रिप्ट करतो.
ब्राउझर प्रतिसाद पाहतो - जर "तुमची सार्वजनिक की अशी आहे" संदेश प्राप्त झाला - तर ही 100% हमी आहे की हे संप्रेषण चॅनेल सुरक्षित आहे.
ते किती सुरक्षित आहे?
अशा सुरक्षित संप्रेषण चॅनेलची निर्मिती पिंग*2 च्या वेगाने होते. उदाहरणार्थ 20ms.
आक्रमणकर्त्याकडे पक्षांपैकी एकाची खाजगी की अगोदर असणे आवश्यक आहे. किंवा काही मिलिसेकंदांमध्ये खाजगी की शोधा.
सुपर कॉम्प्युटरवर एक आधुनिक खाजगी की हॅक करण्यासाठी अनेक दशके लागतील.

चरण # 4 - सार्वजनिक की चा सार्वजनिक डेटाबेस.
अर्थात, या संपूर्ण कथेत क्लायंट आणि सर्व्हरमधील संप्रेषण चॅनेलवर आक्रमणकर्त्याला बसण्याची संधी आहे.
क्लायंट सर्व्हर असल्याचे भासवू शकतो आणि सर्व्हर क्लायंट असल्याचे भासवू शकतो. आणि दोन्ही दिशांमध्ये कीच्या जोडीचे अनुकरण करा.
मग आक्रमणकर्त्याला सर्व रहदारी दिसेल आणि तो रहदारी "संपादित" करण्यात सक्षम असेल.
उदाहरणार्थ, पैसे कुठे पाठवायचे ते पत्ता बदला किंवा ऑनलाइन बँकिंगमधून पासवर्ड कॉपी करा किंवा “आक्षेपार्ह” सामग्री ब्लॉक करा.
अशा हल्लेखोरांचा मुकाबला करण्यासाठी, त्यांनी प्रत्येक https साइटसाठी सार्वजनिक की असलेला सार्वजनिक डेटाबेस तयार केला.
प्रत्येक ब्राउझरला अशा 200 डेटाबेसच्या अस्तित्वाबद्दल "माहित" आहे. हे प्रत्येक ब्राउझरमध्ये प्री-इंस्टॉल केलेले असते.
"ज्ञान" ला प्रत्येक प्रमाणपत्रातील सार्वजनिक की द्वारे समर्थित आहे. म्हणजेच, प्रत्येक विशिष्ट प्रमाणन प्राधिकरणाचे कनेक्शन बनावट असू शकत नाही.

आता https साठी SSL कसे वापरायचे याची साधी समज आहे.
जर तुम्ही तुमचा मेंदू वापरला तर हे स्पष्ट होईल की विशेष सेवा या संरचनेत काहीतरी हॅक कसे करू शकतात. परंतु यासाठी त्यांना भयंकर प्रयत्न करावे लागतील.
आणि NSA किंवा CIA पेक्षा लहान संस्था - VIP साठी देखील विद्यमान संरक्षण पातळी हॅक करणे जवळजवळ अशक्य आहे.

मी ssh कनेक्शन बद्दल देखील जोडेल. तेथे सार्वजनिक की नाहीत, मग तुम्ही काय करू शकता? समस्या दोन प्रकारे सोडवली जाते.
पर्याय ssh-बाय-पासवर्ड:
पहिल्या कनेक्शन दरम्यान, ssh क्लायंटने चेतावणी दिली पाहिजे की आमच्याकडे ssh सर्व्हरकडून एक नवीन सार्वजनिक की आहे.
आणि पुढील कनेक्शन दरम्यान, चेतावणी "ssh सर्व्हरवरील नवीन सार्वजनिक की" दिसल्यास, याचा अर्थ असा होईल की ते तुमच्याबद्दल ऐकण्याचा प्रयत्न करीत आहेत.
किंवा तुम्ही तुमच्या पहिल्या कनेक्शनवर ऐकले होते, परंतु आता तुम्ही मध्यस्थांशिवाय सर्व्हरशी संवाद साधता.
वास्तविक, वायरटॅपिंगची वस्तुस्थिती सहज, जलद आणि सहजतेने उघड झाल्यामुळे, हा हल्ला विशिष्ट क्लायंटसाठी केवळ विशेष प्रकरणांमध्येच वापरला जातो.

पर्याय ssh-बाय-की:
आम्ही फ्लॅश ड्राइव्ह घेतो, त्यावर ssh सर्व्हरसाठी खाजगी की लिहा (यासाठी अनेक अटी आणि महत्त्वपूर्ण बारकावे आहेत, परंतु मी एक शैक्षणिक प्रोग्राम लिहित आहे, वापरासाठी सूचना नाही).
आम्ही ssh क्लायंट असेल त्या मशीनवर सार्वजनिक की सोडतो आणि आम्ही ती गुप्त ठेवतो.
आम्ही फ्लॅश ड्राइव्ह सर्व्हरवर आणतो, त्यात समाविष्ट करतो, खाजगी की कॉपी करतो आणि फ्लॅश ड्राइव्ह बर्न करतो आणि राख वार्‍यावर विखुरतो (किंवा किमान शून्याने त्याचे स्वरूपित करतो).
हे सर्व आहे - अशा ऑपरेशननंतर असे ssh कनेक्शन हॅक करणे अशक्य होईल. अर्थात, 10 वर्षांत सुपरकॉम्प्युटरवर रहदारी पाहणे शक्य होईल - परंतु ही एक वेगळी कथा आहे.

ऑफटॉपिकबद्दल मी दिलगीर आहोत.

त्यामुळे आता सिद्धांत माहीत आहे. मी तुम्हाला SSL प्रमाणपत्र तयार करण्याच्या प्रवाहाबद्दल सांगेन.

“openssl genrsa” वापरून आम्ही एक खाजगी की आणि सार्वजनिक की साठी “रिक्त” तयार करतो.
आम्ही तृतीय-पक्ष कंपनीला "रिक्त जागा" पाठवतो, ज्याला आम्ही सर्वात सोप्या प्रमाणपत्रासाठी अंदाजे $9 भरतो.

काही तासांनंतर, आम्हाला या तृतीय-पक्ष कंपनीकडून आमची "सार्वजनिक" की आणि अनेक सार्वजनिक कळांचा संच प्राप्त होतो.

माझ्या सार्वजनिक कीच्या नोंदणीसाठी तृतीय-पक्ष कंपनीने पैसे का द्यावे हा एक वेगळा प्रश्न आहे, आम्ही त्याचा येथे विचार करणार नाही.

शिलालेखाचा अर्थ काय आहे हे आता स्पष्ट झाले आहे:

smtpd_tls_key_file=/etc/ssl/domain1.com.2018.key

“/etc/ssl” फोल्डरमध्ये ssl समस्यांसाठी सर्व फाईल्स असतात.
domain1.com — डोमेन नाव.
2018 हे मुख्य निर्मितीचे वर्ष आहे.
"की" - फाइल खाजगी की आहे असे पदनाम.

आणि या फाईलचा अर्थ:

smtpd_tls_cert_file=/etc/ssl/domain1.com.2018.chained.crt
domain1.com — डोमेन नाव.
2018 हे मुख्य निर्मितीचे वर्ष आहे.
साखळीबद्ध - सार्वजनिक की ची साखळी आहे असे पद (पहिली आमची सार्वजनिक की आहे आणि बाकीची सार्वजनिक की जारी करणाऱ्या कंपनीकडून आली आहे).
सीआरटी - एक तयार प्रमाणपत्र (तांत्रिक स्पष्टीकरणांसह सार्वजनिक की) असल्याचे पद.

smtp_bind_address = XX.XX.XX.X0
smtp_bind_address6 = XXXX:XXXX:XXXX:XXXX:1:1:1:1

ही सेटिंग या प्रकरणात वापरली जात नाही, परंतु उदाहरण म्हणून लिहिली आहे.

कारण या पॅरामीटरमधील त्रुटीमुळे तुमच्या सर्व्हरवरून (तुमच्या इच्छेशिवाय) स्पॅम पाठवला जाईल.

मग सर्वांसमोर सिद्ध करा की तुम्ही दोषी नाही.

recipient_delimiter = +

बर्‍याच लोकांना माहित नसेल, परंतु ईमेल रँकिंगसाठी हे एक मानक वर्ण आहे आणि ते बहुतेक आधुनिक मेल सर्व्हरद्वारे समर्थित आहे.

उदाहरणार्थ, तुमच्याकडे मेलबॉक्स असल्यास "[ईमेल संरक्षित]"वर पाठवण्याचा प्रयत्न करा"[ईमेल संरक्षित]"- बघा त्यातून काय येते.

inet_protocols = ipv4

हे गोंधळात टाकणारे असू शकते.

पण ते फक्त असेच नाही. प्रत्येक नवीन डोमेन डीफॉल्टनुसार फक्त IPv4 आहे, नंतर मी प्रत्येकासाठी स्वतंत्रपणे IPv6 चालू करतो.

virtual_transport = lmtp:unix:private/dovecot-lmtp
virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual-mailbox-domains.cf
virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual-mailbox-maps.cf
virtual_alias_maps = mysql:/etc/postfix/mysql-virtual-alias-maps.cf

येथे आम्ही निर्दिष्ट करतो की येणारे सर्व मेल dovecot वर जातात.
आणि डोमेन, मेलबॉक्स, उर्फ चे नियम - डेटाबेसमध्ये पहा.

/etc/postfix/mysql-virtual-mailbox-domains.cf

user = usermail
password = mailpassword
hosts = 127.0.0.1
dbname = servermail
query = SELECT 1 FROM virtual_domains WHERE name='%s'

/etc/postfix/mysql-virtual-mailbox-maps.cf

user = usermail
password = mailpassword
hosts = 127.0.0.1
dbname = servermail
query = SELECT 1 FROM virtual_users WHERE email='%s'

/etc/postfix/mysql-virtual-alias-maps.cf

user = usermail
password = mailpassword
hosts = 127.0.0.1
dbname = servermail
query = SELECT destination FROM virtual_aliases WHERE source='%s'

# SMTP-Auth settings
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes

आता पोस्टफिक्सला माहित आहे की डोव्हकोटसह अधिकृततेनंतरच मेल पुढील पाठवण्यासाठी स्वीकारला जाऊ शकतो.

हे येथे का डुप्लिकेट केले आहे हे मला खरोखर समजत नाही. "virtual_transport" मध्ये आवश्यक असलेली प्रत्येक गोष्ट आम्ही आधीच नमूद केली आहे.

परंतु पोस्टफिक्स सिस्टम खूप जुनी आहे - कदाचित ती जुन्या दिवसांपासून एक थ्रोबॅक आहे.

smtpd_recipient_restrictions =
        ...

smtpd_helo_restrictions =
        ...

smtpd_client_restrictions =
        ...

हे प्रत्येक मेल सर्व्हरसाठी वेगळ्या पद्धतीने कॉन्फिगर केले जाऊ शकते.

माझ्याकडे 3 मेल सर्व्हर आहेत आणि भिन्न वापर आवश्यकतांमुळे या सेटिंग्ज खूप भिन्न आहेत.

तुम्हाला ते काळजीपूर्वक कॉन्फिगर करणे आवश्यक आहे - अन्यथा स्पॅम तुमच्याकडे ओतला जाईल किंवा त्याहूनही वाईट - तुमच्याकडून स्पॅम ओतला जाईल.

# SPF
policyd-spf_time_limit = 3600

येणार्‍या अक्षरांचे SPF तपासण्याशी संबंधित काही प्लगइनसाठी सेट करणे.

# OpenDKIM
milter_default_action = accept
milter_protocol = 6
smtpd_milters = unix:var/run/opendkim/opendkim.sock
non_smtpd_milters = unix:var/run/opendkim/opendkim.sock

सेटिंग अशी आहे की आम्ही सर्व आउटगोइंग ईमेलसह DKIM स्वाक्षरी प्रदान करणे आवश्यक आहे.

# IP address per domain
sender_dependent_default_transport_maps = pcre:/etc/postfix/sdd_transport.pcre

PHP स्क्रिप्टमधून अक्षरे पाठवताना लेटर राउटिंगमधील हा एक महत्त्वाचा तपशील आहे.

फाइल “/etc/postfix/sdd_transport.pcre”:

/^[email protected]$/ domain1:
/^[email protected]$/ domain2:
/^[email protected]$/ domain3:
/@domain1.com$/             domain1:
/@domain2.com$/             domain2:
/@domain3.com$/             domain3:

डावीकडे रेग्युलर एक्सप्रेशन्स आहेत. उजवीकडे एक लेबल आहे जे अक्षर चिन्हांकित करते.
लेबलच्या अनुषंगाने पोस्टफिक्स - विशिष्ट अक्षरासाठी आणखी काही कॉन्फिगरेशन ओळी विचारात घेईल.

विशिष्ट अक्षरासाठी पोस्टफिक्सची पुनर्रचना कशी केली जाईल हे “master.cf” मध्ये सूचित केले जाईल.

ओळी 4, 5, 6 मुख्य आहेत. आम्ही पत्र कोणत्या डोमेनच्या वतीने पाठवत आहोत, आम्ही हे लेबल लावतो.
परंतु जुन्या कोडमधील PHP स्क्रिप्टमध्ये “from” फील्ड नेहमी सूचित केले जात नाही. मग वापरकर्तानाव बचावासाठी येतो.

लेख आधीच विस्तृत आहे - मी nginx+fpm सेट करून विचलित होऊ इच्छित नाही.

थोडक्यात, प्रत्येक साइटसाठी आम्ही स्वतःचे लिनक्स-वापरकर्ता मालक सेट करतो. आणि त्यानुसार तुमचा fpm-पूल.

Fpm-pool php ची कोणतीही आवृत्ती वापरते (त्याच सर्व्हरवर तुम्ही php च्या वेगवेगळ्या आवृत्त्या आणि अगदी वेगळ्या php.ini समस्यांशिवाय शेजारच्या साइट्ससाठी वापरू शकता तेव्हा ते छान आहे).

तर, विशिष्ट लिनक्स-वापरकर्ता “www-domain2” ची वेबसाइट domain2.com आहे. या साइटमध्ये फ्रॉम फील्ड निर्दिष्ट न करता ईमेल पाठवण्यासाठी एक कोड आहे.

तर, या प्रकरणातही, अक्षरे योग्यरित्या पाठविली जातील आणि स्पॅममध्ये कधीही संपणार नाहीत.

माझे "/etc/postfix/master.cf" असे दिसते:

...
smtp      inet  n       -       y       -       -       smtpd
  -o content_filter=spamassassin
...
submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
...
policyd-spf  unix  -       n       n       -       0       spawn
    user=policyd-spf argv=/usr/bin/policyd-spf

spamassassin unix -     n       n       -       -       pipe
    user=spamd argv=/usr/bin/spamc -f -e
    /usr/sbin/sendmail -oi -f ${sender} ${recipient}
...
domain1  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X1
   -o smtp_helo_name=domain1.com
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:1:1:1
   -o syslog_name=postfix-domain1

domain2  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X5
   -o smtp_helo_name=domain2.com
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:2:1:1
   -o syslog_name=postfix-domain2

domain3  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X2
   -o smtp_helo_name=domain3
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:1:5:1
   -o syslog_name=postfix-domain3

फाइल पूर्ण प्रदान केलेली नाही - ती आधीच खूप मोठी आहे.
मी फक्त काय बदलले ते लक्षात घेतले.

smtp      inet  n       -       y       -       -       smtpd
  -o content_filter=spamassassin
...
spamassassin unix -     n       n       -       -       pipe
    user=spamd argv=/usr/bin/spamc -f -e
    /usr/sbin/sendmail -oi -f ${sender} ${recipient}

या स्पॅमाससिनशी संबंधित सेटिंग्ज आहेत, त्याबद्दल नंतर अधिक.

submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject

आम्ही तुम्हाला पोर्ट 587 द्वारे मेल सर्व्हरशी कनेक्ट करण्याची परवानगी देतो.
हे करण्यासाठी, आपण लॉग इन करणे आवश्यक आहे.

policyd-spf  unix  -       n       n       -       0       spawn
    user=policyd-spf argv=/usr/bin/policyd-spf

SPF तपासणी सक्षम करा.

apt-get install postfix-policyd-spf-python

वरील SPF तपासण्यांसाठी पॅकेज स्थापित करूया.

domain1  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X1
   -o smtp_helo_name=domain1.com
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:1:1:1
   -o syslog_name=postfix-domain1

आणि ही सर्वात मनोरंजक गोष्ट आहे. विशिष्ट डोमेनसाठी विशिष्ट IPv4/IPv6 पत्त्यावरून अक्षरे पाठवण्याची ही क्षमता आहे.

हे rDNS च्या फायद्यासाठी केले जाते. rDNS ही IP पत्त्याद्वारे स्ट्रिंग प्राप्त करण्याची प्रक्रिया आहे.
आणि मेलसाठी, हे वैशिष्‍ट्य हे पुष्टी करण्‍यासाठी वापरले जाते की हेलो ज्‍या पत्‍त्‍यावरून ई-मेल पाठवले होते त्याच्या rDNS शी तंतोतंत जुळते.

ज्याच्या वतीने पत्र पाठवले होते त्या ईमेल डोमेनशी हेलो जुळत नसल्यास, स्पॅम पॉइंट दिले जातात.

Helo rDNS शी जुळत नाही - बरेच स्पॅम पॉइंट दिले जातात.
त्यानुसार, प्रत्येक डोमेनचा स्वतःचा IP पत्ता असणे आवश्यक आहे.
ओव्हीएचसाठी - कन्सोलमध्ये आरडीएनएस निर्दिष्ट करणे शक्य आहे.
tech.ru साठी - समस्येचे निराकरण समर्थनाद्वारे केले जाते.
AWS साठी, समस्येचे निराकरण समर्थनाद्वारे केले जाते.
“inet_protocols” आणि “smtp_bind_address6” - आम्ही IPv6 समर्थन सक्षम करतो.
IPv6 साठी तुम्हाला rDNS ची नोंदणी देखील करावी लागेल.
"syslog_name" - आणि हे लॉग वाचण्याच्या सुलभतेसाठी आहे.

प्रमाणपत्रे खरेदी करा मी येथे शिफारस करतो.

येथे postfix+dovecot लिंक सेट करत आहे.

एसपीएफ सेट करत आहे.

============= कबूतर =============

apt-get install dovecot-imapd dovecot-pop3d dovecot-lmtpd dovecot-mysql dovecot-antispam

mysql सेट करणे, पॅकेजेस स्वतः स्थापित करणे.

फाइल "/etc/dovecot/conf.d/10-auth.conf"

disable_plaintext_auth = yes
auth_mechanisms = plain login

अधिकृतता फक्त एनक्रिप्टेड आहे.

फाइल “/etc/dovecot/conf.d/10-mail.conf”

mail_location = maildir:/var/mail/vhosts/%d/%n

येथे आम्ही अक्षरांसाठी स्टोरेज स्थान सूचित करतो.

ते फायलींमध्ये संग्रहित केले जावे आणि डोमेननुसार गटबद्ध केले जावे अशी माझी इच्छा आहे.

फाइल "/etc/dovecot/conf.d/10-master.conf"

service imap-login {
  inet_listener imap {
    port = 0
  }
  inet_listener imaps {
    address = XX.XX.XX.X1, XX.XX.XX.X2, XX.XX.XX.X5, [XXXX:XXXX:XXXX:XXXX:1:1:1:1], [XXXX:XXXX:XXXX:XXXX:1:2:1:1], [XXXX:XXXX:XXXX:XXXX:1:1:5:1]
    port = 993
    ssl = yes
  }
}
service pop3-login {
  inet_listener pop3 {
    port = 0
  }
  inet_listener pop3s {
    address = XX.XX.XX.X1, XX.XX.XX.X2, XX.XX.XX.X5, [XXXX:XXXX:XXXX:XXXX:1:1:1:1], [XXXX:XXXX:XXXX:XXXX:1:2:1:1], [XXXX:XXXX:XXXX:XXXX:1:1:5:1]
    port = 995
    ssl = yes
  }
}
service lmtp {
  unix_listener /var/spool/postfix/private/dovecot-lmtp {
    mode = 0600
    user = postfix
    group = postfix
  }
}
service imap {
}
service pop3 {
}
service auth {
  unix_listener auth-userdb {
    mode = 0600
    user = vmail
  }

  unix_listener /var/spool/postfix/private/auth {
    mode = 0666
    user = postfix
    group = postfix
  }
  user = dovecot
}
service auth-worker {
  user = vmail
}
service dict {
  unix_listener dict {
  }
}

ही मुख्य डोव्हकोट कॉन्फिगरेशन फाइल आहे.
येथे आम्ही असुरक्षित कनेक्शन अक्षम करतो.
आणि सुरक्षित कनेक्शन सक्षम करा.

फाइल "/etc/dovecot/conf.d/10-ssl.conf"

ssl = required
ssl_cert = </etc/nginx/ssl/domain1.com.2018.chained.crt
ssl_key = </etc/nginx/ssl/domain1.com.2018.key
local XX.XX.XX.X5 {
  ssl_cert = </etc/nginx/ssl/domain2.com.2018.chained.crt
  ssl_key =  </etc/nginx/ssl/domain2.com.2018.key
}

ssl सेट करत आहे. आम्ही सूचित करतो की ssl आवश्यक आहे.
आणि प्रमाणपत्र स्वतः. आणि एक महत्त्वाचा तपशील म्हणजे "स्थानिक" निर्देश. कोणत्या स्थानिक IPv4 शी कनेक्ट करताना कोणते SSL प्रमाणपत्र वापरायचे ते सूचित करते.

तसे, IPv6 येथे कॉन्फिगर केलेले नाही, मी ही चूक नंतर दुरुस्त करेन.
XX.XX.XX.X5 (डोमेन2) - कोणतेही प्रमाणपत्र नाही. क्लायंट कनेक्ट करण्यासाठी तुम्हाला domain1.com निर्दिष्ट करणे आवश्यक आहे.
XX.XX.XX.X2 (domain3) - एक प्रमाणपत्र आहे, तुम्ही क्लायंट कनेक्ट करण्यासाठी domain1.com किंवा domain3.com निर्दिष्ट करू शकता.

फाइल "/etc/dovecot/conf.d/15-lda.conf"

protocol lda {
  mail_plugins = $mail_plugins sieve
}

भविष्यात स्पॅमासॅसिनसाठी याची आवश्यकता असेल.

फाइल "/etc/dovecot/conf.d/20-imap.conf"

protocol imap {
  mail_plugins = $mail_plugins antispam
}

हे अँटिस्पॅम प्लगइन आहे. "स्पॅम" फोल्डरमध्ये/वरून हस्तांतरित करताना स्पॅमाससिन प्रशिक्षणासाठी आवश्यक आहे.

फाइल "/etc/dovecot/conf.d/20-pop3.conf"

protocol pop3 {
}

अशीच एक फाईल आहे.

फाइल “/etc/dovecot/conf.d/20-lmtp.conf”

protocol lmtp {
  mail_plugins = $mail_plugins sieve
  postmaster_address = [email protected]
}

lmtp सेट करत आहे.

फाइल "/etc/dovecot/conf.d/90-antispam.conf"

plugin {
  antispam_backend = pipe
  antispam_trash = Trash;trash
  antispam_spam = Junk;Spam;SPAM
  antispam_pipe_program_spam_arg = --spam
  antispam_pipe_program_notspam_arg = --ham
  antispam_pipe_program = /usr/bin/sa-learn
  antispam_pipe_program_args = --username=%Lu
}

स्पॅम फोल्डरमध्ये/वरून हस्तांतरित करताना स्पॅमाससिन प्रशिक्षण सेटिंग्ज.

फाइल "/etc/dovecot/conf.d/90-sieve.conf"

plugin {
  sieve = ~/.dovecot.sieve
  sieve_dir = ~/sieve
  sieve_after = /var/lib/dovecot/sieve/default.sieve
}

येणार्‍या अक्षरांचे काय करायचे ते निर्दिष्ट करणारी फाइल.

फाइल "/var/lib/dovecot/sieve/default.sieve"

require ["fileinto", "mailbox"];

if header :contains "X-Spam-Flag" "YES" {
        fileinto :create "Spam";
}

तुम्हाला फाइल संकलित करणे आवश्यक आहे: "sievec default.sieve".

फाइल "/etc/dovecot/conf.d/auth-sql.conf.ext"

passdb {
  driver = sql
  args = /etc/dovecot/dovecot-sql.conf.ext
}
userdb {
  driver = static
  args = uid=vmail gid=vmail home=/var/mail/vhosts/%d/%n
}

अधिकृततेसाठी sql फाइल्स निर्दिष्ट करणे.
आणि फाइल स्वतः अधिकृततेची पद्धत म्हणून वापरली जाते.

फाइल "/etc/dovecot/dovecot-sql.conf.ext"

driver = mysql
connect = host=127.0.0.1 dbname=servermail user=usermail password=password
default_pass_scheme = SHA512-CRYPT
password_query = SELECT email as user, password FROM virtual_users WHERE email='%u';

हे पोस्टफिक्ससाठी समान सेटिंग्जशी संबंधित आहे.

फाइल "/etc/dovecot/dovecot.conf"

protocols = imap lmtp pop3
listen = *, ::
dict {
}
!include conf.d/*.conf
!include_try local.conf

मुख्य कॉन्फिगरेशन फाइल.
महत्त्वाची गोष्ट अशी आहे की आम्ही येथे सूचित करतो - प्रोटोकॉल जोडा.

============= SpamAssassin ==============

apt-get install spamassassin spamc

चला पॅकेजेस स्थापित करूया.

adduser spamd --disabled-login

चला कोणाच्या वतीने वापरकर्ता जोडूया.

systemctl enable spamassassin.service

आम्ही लोड केल्यावर स्वयं-लोडिंग स्पॅमसासिन सेवा सक्षम करतो.

फाइल "/etc/default/spamassassin":

CRON=1

नियमांचे स्वयंचलित अद्ययावतीकरण सक्षम करून “डीफॉल्टनुसार”.

फाइल “/etc/spamassassin/local.cf”:

report_safe 0

use_bayes          1
bayes_auto_learn   1
bayes_auto_expire  1
bayes_store_module Mail::SpamAssassin::BayesStore::MySQL
bayes_sql_dsn      DBI:mysql:sa:localhost:3306
bayes_sql_username sa
bayes_sql_password password

तुम्हाला mysql मध्‍ये "sa" वापरकर्त्यासह "पासवर्ड" पासवर्डसह डेटाबेस "sa" तयार करणे आवश्यक आहे (काहीतरी पुरेशी पुनर्स्थित करा).

रिपोर्ट_सेफ - हे पत्राऐवजी स्पॅम ईमेलचा अहवाल पाठवेल.
use_bayes ही spamassassin मशीन लर्निंग सेटिंग्ज आहेत.

उर्वरित spamassassin सेटिंग्ज लेखात पूर्वी वापरले होते.

सामान्य सेटिंग "स्पॅमसॅसिन".
नवीन स्पॅम ईमेल IMAP “स्पॅम” फोल्डरमध्ये हलवण्याबद्दल.
Dovecot + SpamAssassin च्या साध्या संयोजनाबद्दल.
इमॅप फोल्डरमध्ये अक्षरे हलवताना मी स्पॅमाससिन लर्निंग थिअरी वाचण्याची शिफारस करतो (आणि मी ते वापरण्याची शिफारस करत नाही).

============= समाजाला आवाहन =============

मी फॉरवर्ड केलेल्या पत्रांच्या सुरक्षिततेची पातळी कशी वाढवायची याबद्दल समुदायामध्ये एक कल्पना देखील टाकू इच्छितो. मी मेलच्या विषयात खूप मग्न असल्याने.

जेणेकरून वापरकर्ता त्याच्या क्लायंटवर (आउटलुक, थंडरबर्ड, ब्राउझर-प्लगइन, ...) की एक जोडी तयार करू शकेल. सार्वजनिक आणि खाजगी. सार्वजनिक - DNS वर पाठवा. खाजगी - क्लायंटवर बचत करा. विशिष्ट प्राप्तकर्त्याला पाठवण्यासाठी मेल सर्व्हर सार्वजनिक की वापरण्यास सक्षम असतील.

आणि अशा अक्षरांसह स्पॅमपासून संरक्षण करण्यासाठी (होय, मेल सर्व्हर सामग्री पाहण्यास सक्षम होणार नाही) - तुम्हाला 3 नियम लागू करावे लागतील:

अनिवार्य वास्तविक DKIM स्वाक्षरी, अनिवार्य SPF, अनिवार्य rDNS.
अँटिस्पॅम प्रशिक्षण विषयावरील न्यूरल नेटवर्क + क्लायंटच्या बाजूने त्याचा डेटाबेस.
एन्क्रिप्शन अल्गोरिदम असा असावा की पाठवणार्‍या बाजूने प्राप्त करणार्‍या बाजूपेक्षा 100 पट जास्त CPU पॉवर एन्क्रिप्शनवर खर्च करणे आवश्यक आहे.

सार्वजनिक पत्रांव्यतिरिक्त, "सुरक्षित पत्रव्यवहार सुरू करण्यासाठी" एक मानक प्रस्ताव पत्र विकसित करा. वापरकर्त्यांपैकी एक (मेलबॉक्स) दुसर्या मेलबॉक्सला संलग्नक असलेले पत्र पाठवते. पत्रात पत्रव्यवहारासाठी सुरक्षित संप्रेषण चॅनेल सुरू करण्याचा मजकूर प्रस्ताव आणि मेलबॉक्सच्या मालकाची सार्वजनिक की (क्लायंटच्या बाजूला खाजगी कीसह) आहे.

आपण प्रत्येक पत्रव्यवहारासाठी विशेषत: दोन की देखील बनवू शकता. प्राप्तकर्ता वापरकर्ता ही ऑफर स्वीकारू शकतो आणि त्याची सार्वजनिक की पाठवू शकतो (विशेषत: या पत्रव्यवहारासाठी देखील बनवलेला). पुढे, पहिला वापरकर्ता सेवा नियंत्रण पत्र पाठवतो (दुसऱ्या वापरकर्त्याच्या सार्वजनिक कीसह कूटबद्ध केलेले) - जे प्राप्त झाल्यानंतर दुसरा वापरकर्ता तयार केलेले संप्रेषण चॅनेल विश्वसनीय मानू शकतो. पुढे, दुसरा वापरकर्ता एक नियंत्रण पत्र पाठवतो - आणि नंतर पहिला वापरकर्ता तयार केलेल्या चॅनेलला सुरक्षित मानू शकतो.

रस्त्यावरील कळा रोखण्यासाठी, प्रोटोकॉलने फ्लॅश ड्राइव्ह वापरून किमान एक सार्वजनिक की प्रसारित करण्याची शक्यता प्रदान करणे आवश्यक आहे.

आणि सर्वात महत्वाची गोष्ट म्हणजे हे सर्व कार्य करते (प्रश्न "त्यासाठी कोण पैसे देईल?"):
10 वर्षांसाठी $3 पासून सुरू होणारी पोस्टल प्रमाणपत्रे प्रविष्ट करा. जे प्रेषकाला dns मध्ये सूचित करण्यास अनुमती देईल की "माझ्या सार्वजनिक कळा तेथे आहेत." आणि ते तुम्हाला सुरक्षित कनेक्शन सुरू करण्याची संधी देतील. त्याच वेळी, अशा कनेक्शन स्वीकारणे विनामूल्य आहे.
gmail शेवटी त्याच्या वापरकर्त्यांची कमाई करत आहे. $10 प्रति 3 वर्षांसाठी - सुरक्षित पत्रव्यवहार चॅनेल तयार करण्याचा अधिकार.

============= निष्कर्ष =============

संपूर्ण लेखाची चाचणी घेण्यासाठी, मी एका महिन्यासाठी समर्पित सर्व्हर भाड्याने घेणार आहे आणि SSL प्रमाणपत्रासह डोमेन खरेदी करणार आहे.

परंतु जीवन परिस्थिती विकसित झाली म्हणून ही समस्या 2 महिन्यांपर्यंत ओढली गेली.
आणि म्हणून, जेव्हा मला पुन्हा मोकळा वेळ मिळाला तेव्हा, प्रकाशन आणखी एक वर्ष खेचून जाण्याचा धोका पत्करण्याऐवजी मी लेख आहे तसा प्रकाशित करण्याचा निर्णय घेतला.

जर "परंतु याचे पुरेशा तपशीलात वर्णन केलेले नाही" असे बरेच प्रश्न असतील, तर कदाचित नवीन डोमेन आणि नवीन SSL प्रमाणपत्रासह समर्पित सर्व्हर घेण्याची आणि त्याचे अधिक तपशीलवार वर्णन करण्याची ताकद असेल आणि बहुतेक महत्त्वाचे म्हणजे, सर्व गहाळ महत्त्वाचे तपशील ओळखा.

मला पोस्टल प्रमाणपत्रांबद्दलच्या कल्पनांबद्दल अभिप्राय देखील मिळवायचा आहे. तुम्हाला कल्पना आवडल्यास, मी rfc साठी मसुदा लिहिण्याची ताकद शोधण्याचा प्रयत्न करेन.

लेखाचा मोठा भाग कॉपी करताना, या लेखाची लिंक द्या.
इतर कोणत्याही भाषेत भाषांतर करताना, या लेखाची लिंक द्या.
मी स्वतः ते इंग्रजीत अनुवादित करण्याचा प्रयत्न करेन आणि क्रॉस-रेफरन्स सोडेन.

स्त्रोत: www.habr.com

डेबियन + पोस्टफिक्स + डोव्हकोट + मल्टीडोमेन + SSL + IPv6 + OpenVPN + मल्टी-इंटरफेसेस + SpamAssassin-learn + Bind