🥇Debian + Postfix + Dovecot + Multidomain + SSL + IPv6 + OpenVPN + बहु-इन्टरफेस + SpamAssassin-learn + Bind

यो लेख आधुनिक मेल सर्भर कसरी सेटअप गर्ने बारे छ।
पोस्टफिक्स + डोभकोट। SPF + DKIM + rDNS। IPv6 सँग।
TSL एन्क्रिप्शन संग। धेरै डोमेनहरूको लागि समर्थनको साथ - वास्तविक SSL प्रमाणपत्रको साथ भाग।
एन्टिस्प्याम सुरक्षा र अन्य मेल सर्भरहरूबाट उच्च एन्टिस्प्याम रेटिंगको साथ।
धेरै भौतिक इन्टरफेस समर्थन गर्दछ।
OpenVPN को साथ, जसको जडान IPv4 मार्फत हुन्छ, र जसले IPv6 प्रदान गर्दछ।

यदि तपाइँ यी सबै प्रविधिहरू सिक्न चाहनुहुन्न, तर यस्तो सर्भर सेटअप गर्न चाहनुहुन्छ भने, यो लेख तपाइँको लागि हो।

लेखले सबै विवरणहरू व्याख्या गर्ने प्रयास गर्दैन। व्याख्या मानकको रूपमा कन्फिगर गरिएको छैन वा उपभोक्ताको दृष्टिकोणबाट महत्त्वपूर्ण छ भनेर जान्छ।

मेल सर्भर सेटअप गर्ने प्रेरणा मेरो लामो समयको सपना हो। यो मूर्ख लाग्न सक्छ, तर IMHO, यो तपाईंको मनपर्ने ब्रान्डबाट नयाँ कारको सपना देख्नु भन्दा धेरै राम्रो छ।

IPv6 सेटअप गर्नका लागि दुईवटा प्रेरणाहरू छन्। एक आईटी विशेषज्ञले बाँच्नको लागि निरन्तर नयाँ प्रविधिहरू सिक्न आवश्यक छ। म सेन्सरशिप विरुद्धको लडाईमा मेरो मामूली योगदान गर्न चाहन्छु।

OpenVPN सेटअप गर्नको लागि प्रेरणा भनेको स्थानीय मेसिनमा IPv6 काम गर्न मात्र हो।
धेरै भौतिक इन्टरफेसहरू सेटअप गर्नको लागि प्रेरणा भनेको मेरो सर्भरमा एउटा इन्टरफेस "ढिलो तर असीमित" र अर्को "छिटो तर ट्यारिफको साथ" छ।

Bind सेटिङहरू सेट अप गर्नको लागि प्रेरणा भनेको मेरो ISP ले एक अस्थिर DNS सर्भर प्रदान गर्दछ, र गुगल कहिलेकाहीं असफल हुन्छ। म व्यक्तिगत प्रयोगको लागि एक स्थिर DNS सर्भर चाहन्छु।

लेख लेख्नको लागि प्रेरणा - मैले 10 महिना अघि मस्यौदा लेखेको थिएँ, र मैले यसलाई दुई पटक हेरेको छु। लेखकलाई नियमित रूपमा आवश्यक भए पनि, अरूलाई पनि यसको आवश्यकता पर्ने उच्च सम्भावना हुन्छ।

मेल सर्भरको लागि कुनै विश्वव्यापी समाधान छैन। तर म केहि लेख्ने प्रयास गर्नेछु "यस गर्नुहोस् र त्यसपछि, जब सबै कुराले जस्तै काम गर्दछ, अतिरिक्त सामानहरू फ्याँक्नुहोस्।"

कम्पनी tech.ru सँग Colocation सर्भर छ। OVH, Hetzner, AWS सँग तुलना गर्न सम्भव छ। यो समस्या समाधान गर्न, tech.ru संग सहयोग धेरै प्रभावकारी हुनेछ।

डेबियन 9 सर्भरमा स्थापित छ।

सर्भरमा २ इन्टरफेस `eno2` र `eno1` छन्। पहिलो असीमित छ, र दोस्रो क्रमशः छिटो छ।

त्यहाँ ३ वटा स्थिर IP ठेगानाहरू छन्, XX.XX.XX.X3 र XX.XX.XX.X0 र XX.XX.XX.X1 `eno2` इन्टरफेसमा र XX.XX.XX.X1 `eno5` इन्टरफेसमा ।

उपलब्ध XXXX:XXXX:XXXX:XXXX::/64 IPv6 ठेगानाहरूको पूल जुन `eno1` इन्टरफेसमा तोकिएको छ र त्यसबाट XXXX:XXXX:XXXX:XXXX:1:2::/96 मेरो अनुरोधमा `eno2` लाई तोकिएको थियो।

त्यहाँ ३ डोमेनहरू `domain3.com`, `domain1.com`, `domain2.com` छन्। त्यहाँ `domain3.com` र `domain1.com` को लागि SSL प्रमाणपत्र छ।

मसँग एउटा Google खाता छ जसमा म मेरो मेलबक्सलाई लिङ्क गर्न चाहन्छु[ईमेल सुरक्षित]` (मेल प्राप्त गर्दै र सीधा जीमेल इन्टरफेसबाट मेल पठाउने)।
त्यहाँ मेलबक्स हुनुपर्छ[ईमेल सुरक्षित]`, इमेलको प्रतिलिपि जसबाट म मेरो जीमेलमा हेर्न चाहन्छु। र `को तर्फबाट केहि पठाउन सक्षम हुनु दुर्लभ छ[ईमेल सुरक्षित]वेब इन्टरफेस मार्फत।

त्यहाँ मेलबक्स हुनुपर्छ[ईमेल सुरक्षित]', जुन इभानोभले आफ्नो आईफोनबाट प्रयोग गर्नेछन्।

पठाइएका इमेलहरूले सबै आधुनिक एन्टिस्प्याम आवश्यकताहरू पूरा गर्नुपर्छ।
सार्वजनिक नेटवर्कहरूमा प्रदान गरिएको इन्क्रिप्सनको उच्चतम स्तर हुनुपर्छ।
पत्रहरू पठाउन र प्राप्त गर्न दुवैको लागि IPv6 समर्थन हुनुपर्छ।
त्यहाँ एक SpamAssassin हुनुपर्दछ जसले इमेलहरू कहिल्यै मेटाउँदैन। र यो या त बाउन्स हुनेछ वा छोड्नेछ वा IMAP "स्प्याम" फोल्डरमा पठाउनेछ।
SpamAssassin स्वत: सिकाइ कन्फिगर हुनुपर्छ: यदि मैले स्प्याम फोल्डरमा एउटा पत्र सार्नुभयो भने, यसले यसबाट सिक्नेछ; यदि मैले स्प्याम फोल्डरबाट एउटा अक्षर सार्नुभयो भने, यसले यसबाट सिक्नेछ। SpamAssassin तालिमको नतिजाले पत्र स्प्याम फोल्डरमा समाप्त हुन्छ कि हुँदैन भन्ने कुरालाई प्रभाव पार्छ।
PHP स्क्रिप्टहरू दिइएको सर्भरमा कुनै पनि डोमेनको तर्फबाट मेल पठाउन सक्षम हुनुपर्छ।
त्यहाँ IPv6 नभएको क्लाइन्टमा IPv6 प्रयोग गर्ने क्षमता भएको Openvpn सेवा हुनुपर्छ।

पहिले तपाईंले IPv6 सहित इन्टरफेस र राउटिङ कन्फिगर गर्न आवश्यक छ।
त्यसपछि तपाईंले OpenVPN कन्फिगर गर्न आवश्यक छ, जसले IPv4 मार्फत जडान गर्नेछ र ग्राहकलाई स्थिर-वास्तविक IPv6 ठेगाना प्रदान गर्नेछ। यस क्लाइन्टसँग सर्भरमा सबै IPv6 सेवाहरू र इन्टरनेटमा कुनै पनि IPv6 स्रोतहरूमा पहुँच हुनेछ।
त्यसपछि तपाईंले अक्षरहरू + SPF + DKIM + rDNS र अन्य समान साना चीजहरू पठाउन पोस्टफिक्स कन्फिगर गर्न आवश्यक छ।
त्यसपछि तपाइँ Dovecot कन्फिगर र Multidomain कन्फिगर गर्न आवश्यक हुनेछ।
त्यसपछि तपाईंले SpamAssassin कन्फिगर र प्रशिक्षण कन्फिगर गर्न आवश्यक हुनेछ।
अन्तमा, Bind स्थापना गर्नुहोस्।

============ बहु-इन्टरफेस =============

इन्टरफेसहरू कन्फिगर गर्न, तपाईंले यसलाई "/etc/network/interfaces" मा लेख्नुपर्छ।

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
allow-hotplug eno1
iface eno1 inet static
        address XX.XX.XX.X0/24
        gateway XX.XX.XX.1
        dns-nameservers 127.0.0.1 213.248.1.6
        post-up ip route add XX.XX.XX.0/24 dev eno1 src XX.XX.XX.X0 table eno1t
        post-up ip route add default via XX.XX.XX.1 table eno1t
        post-up ip rule add table eno1t from XX.XX.XX.X0
        post-up ip rule add table eno1t to XX.XX.XX.X0

auto eno1:1
iface eno1:1 inet static
address XX.XX.XX.X1
netmask 255.255.255.0
        post-up ip rule add table eno1t from XX.XX.XX.X1
        post-up ip rule add table eno1t to XX.XX.XX.X1
        post-up   ip route add 10.8.0.0/24 dev tun0 src XX.XX.XX.X1 table eno1t
        post-down ip route del 10.8.0.0/24 dev tun0 src XX.XX.XX.X1 table eno1t

auto eno1:2
iface eno1:2 inet static
address XX.XX.XX.X2
netmask 255.255.255.0
        post-up ip rule add table eno1t from XX.XX.XX.X2
        post-up ip rule add table eno1t to XX.XX.XX.X2

iface eno1 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:1::/64
        gateway XXXX:XXXX:XXXX:XXXX::1
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:1:1:1/64 dev $IFACE
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:1:1:2/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:1:1:1/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:1:1:2/64 dev $IFACE

# The secondary network interface
allow-hotplug eno2
iface eno2 inet static
        address XX.XX.XX.X5
        netmask 255.255.255.0
        post-up   ip route add XX.XX.XX.0/24 dev eno2 src XX.XX.XX.X5 table eno2t
        post-up   ip route add default via XX.XX.XX.1 table eno2t
        post-up   ip rule add table eno2t from XX.XX.XX.X5
        post-up   ip rule add table eno2t to XX.XX.XX.X5
        post-up   ip route add 10.8.0.0/24 dev tun0 src XX.XX.XX.X5 table eno2t
        post-down ip route del 10.8.0.0/24 dev tun0 src XX.XX.XX.X5 table eno2t

iface eno2 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:2::/96
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:2:1:1/64 dev $IFACE
        up   ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:2:1:2/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:2:1:1/64 dev $IFACE
        down ip -6 addr del XXXX:XXXX:XXXX:XXXX:1:2:1:2/64 dev $IFACE

# OpenVPN network
iface tun0 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:3::/80

यी सेटिङहरू tech.ru मा कुनै पनि सर्भरमा लागू गर्न सकिन्छ (समर्थनसँग थोरै समन्वयको साथ) र यसले तुरुन्तै जस्तै काम गर्नेछ।

यदि तपाइँसँग Hetzner, OVH को लागि समान चीजहरू सेटअप गर्ने अनुभव छ भने, यो त्यहाँ फरक छ। झन् गाह्रो।

eno1 नेटवर्क कार्ड #1 को नाम हो (ढिलो तर असीमित)।
eno2 नेटवर्क कार्ड #2 को नाम हो (छिटो, तर ट्यारिफ संग)।
tun0 OpenVPN बाट भर्चुअल नेटवर्क कार्डको नाम हो।
XX.XX.XX.X0 - eno4 मा IPv1 #1।
XX.XX.XX.X1 - eno4 मा IPv2 #1।
XX.XX.XX.X2 - eno4 मा IPv3 #1।
XX.XX.XX.X5 - eno4 मा IPv1 #2।
XX.XX.XX.1 - IPv4 गेटवे।
XXXX: XXXX: XXXX: XXXX::/64 - IPv6 सम्पूर्ण सर्भरको लागि।
XXXX:XXXX:XXXX:XXXX:1:2::/96 - eno6 को लागि IPv2, बाहिरबाट सबै कुरा eno1 मा जान्छ।
XXXX:XXXX:XXXX:XXXX::1 — IPv6 गेटवे (यो फरक तरिकाले गर्न सकिन्छ/हुनुपर्छ भनेर ध्यान दिन लायक छ। IPv6 स्विच निर्दिष्ट गर्नुहोस्)।
dns-nameservers - 127.0.0.1 संकेत गरिएको छ (किनभने bind स्थानीय रूपमा स्थापित छ) र 213.248.1.6 (यो tech.ru बाट हो)।

"टेबल eno1t" र "टेबल eno2t" - यी मार्ग-नियमहरूको अर्थ भनेको eno1 -> मार्फत प्रवेश गर्ने ट्राफिक यसबाट निस्कनेछ, र eno2 -> मार्फत प्रवेश गर्ने ट्राफिकहरू यसबाट छुट्नेछ। र सर्भर द्वारा सुरु गरिएको जडानहरू पनि eno1 मार्फत जान्छन्।

ip route add default via XX.XX.XX.1 table eno1t

यस आदेशको साथ हामी निर्दिष्ट गर्दछौं कि कुनै पनि बुझ्न नसकिने ट्राफिक जुन "टेबल eno1t" -> चिन्ह लगाइएको कुनै पनि नियम अन्तर्गत पर्दछ eno1 इन्टरफेसमा पठाइन्छ।

ip route add XX.XX.XX.0/24 dev eno1 src XX.XX.XX.X0 table eno1t

यस आदेशको साथ हामी निर्दिष्ट गर्दछौं कि सर्भर द्वारा सुरु गरिएको कुनै पनि ट्राफिक eno1 इन्टरफेसमा निर्देशित हुनुपर्छ।

ip rule add table eno1t from XX.XX.XX.X0
ip rule add table eno1t to XX.XX.XX.X0

यस आदेशको साथ हामीले ट्राफिक चिन्ह लगाउने नियमहरू सेट गर्छौं।

auto eno1:2
iface eno1:2 inet static
address XX.XX.XX.X2
netmask 255.255.255.0
        post-up ip rule add table eno1t from XX.XX.XX.X2
        post-up ip rule add table eno1t to XX.XX.XX.X2

यो ब्लकले eno4 इन्टरफेसको लागि दोस्रो IPv1 निर्दिष्ट गर्दछ।

ip route add 10.8.0.0/24 dev tun0 src XX.XX.XX.X1 table eno1t

यस आदेशको साथ हामीले XX.XX.XX.X4 बाहेक OpenVPN क्लाइन्टहरूबाट स्थानीय IPv0 मा मार्ग सेट गर्छौं।
म अझै बुझ्दिन किन यो आदेश सबै IPv4 को लागी पर्याप्त छ।

iface eno1 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:1::/64
        gateway XXXX:XXXX:XXXX:XXXX::1

यो जहाँ हामीले इन्टरफेसको लागि ठेगाना सेट गर्छौं। सर्भरले यसलाई "आउटगोइंग" ठेगानाको रूपमा प्रयोग गर्नेछ। फेरि कुनै पनि हालतमा प्रयोग गरिने छैन।

किन ":1:1::" यति जटिल छ? त्यसोभए OpenVPN सही र केवल यसको लागि काम गर्दछ। यस बारे पछि थप।

गेटवेको विषयमा - यो कसरी काम गर्दछ र त्यो ठीक छ। तर सही तरिका यहाँ सर्भर जडान भएको स्विचको IPv6 संकेत गर्नु हो।

यद्यपि, केही कारणले IPv6 ले काम गर्न रोक्छ यदि मैले यो गरें। यो शायद tech.ru समस्या को एक प्रकार हो।

ip -6 addr add XXXX:XXXX:XXXX:XXXX:1:1:1:1/64 dev $IFACE

यसले इन्टरफेसमा IPv6 ठेगाना थप्दैछ। यदि तपाईंलाई सय ठेगानाहरू चाहिन्छ भने, यसको मतलब यो फाइलमा सय लाइनहरू छन्।

iface eno1 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:1::/64
...
iface eno2 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:2::/96
...
iface tun0 inet6 static
        address XXXX:XXXX:XXXX:XXXX:1:3::/80

मैले यसलाई स्पष्ट पार्न सबै इन्टरफेसहरूको ठेगाना र सबनेटहरू नोट गरें।
eno1 - हुनुपर्छ "/64"- किनभने यो हाम्रो ठेगानाहरूको सम्पूर्ण पोखरी हो।
tun0 - सबनेट eno1 भन्दा ठूलो हुनुपर्छ। अन्यथा, OpenVPN क्लाइन्टहरूको लागि IPv6 गेटवे कन्फिगर गर्न सम्भव हुनेछैन।
eno2 - सबनेट tun0 भन्दा ठूलो हुनुपर्छ। अन्यथा, OpenVPN ग्राहकहरूले स्थानीय IPv6 ठेगानाहरू पहुँच गर्न सक्षम हुने छैनन्।
स्पष्टताको लागि, मैले 16 को सबनेट चरण रोजेको छु, तर यदि तपाइँ चाहनुहुन्छ भने, तपाइँ "1" चरण पनि गर्न सक्नुहुन्छ।
तदनुसार, 64+16 = 80, र 80+16 = 96।

अझ ठूलो स्पष्टताको लागि:
XXXX:XXXX:XXXX:XXXX:1:1:YYYY:YYYY ठेगानाहरू हुन् जुन eno1 इन्टरफेसमा विशिष्ट साइट वा सेवाहरूलाई तोक्नुपर्छ।
XXXX:XXXX:XXXX:XXXX:1:2:YYYY:YYYY ठेगानाहरू हुन् जुन eno2 इन्टरफेसमा विशिष्ट साइट वा सेवाहरूलाई तोक्नुपर्छ।
XXXX:XXXX:XXXX:XXXX:1:3:YYYY:YYYY ठेगानाहरू हुन् जुन OpenVPN ग्राहकहरूलाई तोक्नुपर्छ वा OpenVPN सेवा ठेगानाहरूको रूपमा प्रयोग गर्नुपर्छ।

नेटवर्क कन्फिगर गर्न, सर्भर पुन: सुरु गर्न सम्भव हुनुपर्छ।
कार्यान्वयन गर्दा IPv4 परिवर्तनहरू उठाइन्छ (यसलाई स्क्रिनमा लपेट्न निश्चित गर्नुहोस् - अन्यथा यो आदेशले सर्भरमा नेटवर्क क्र्यास गर्नेछ):

/etc/init.d/networking restart

फाइलको अन्त्यमा थप्नुहोस् "/etc/iproute2/rt_tables":

100 eno1t
101 eno2t

यो बिना, तपाइँ "/etc/network/interfaces" फाइलमा अनुकूलन तालिकाहरू प्रयोग गर्न सक्नुहुन्न।
संख्याहरू अद्वितीय र 65535 भन्दा कम हुनुपर्छ।

IPv6 परिवर्तनहरू रिबुट नगरी सजिलै परिवर्तन गर्न सकिन्छ, तर यो गर्नको लागि तपाईंले कम्तिमा तीन आदेशहरू सिक्नु आवश्यक छ:

ip -6 addr ...
ip -6 route ...
ip -6 neigh ...

सेटिङ "/etc/sysctl.conf"

# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.ip_forward = 1

# Do not accept ICMP redirects (prevent MITM attacks)
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0

# Do not send ICMP redirects (we are not a router)
net.ipv4.conf.all.send_redirects = 0

# For receiving ARP replies
net.ipv4.conf.all.arp_filter = 0
net.ipv4.conf.default.arp_filter = 0

# For sending ARP
net.ipv4.conf.all.arp_announce = 0
net.ipv4.conf.default.arp_announce = 0

# Enable IPv6
net.ipv6.conf.all.disable_ipv6 = 0
net.ipv6.conf.default.disable_ipv6 = 0
net.ipv6.conf.lo.disable_ipv6 = 0

# IPv6 configuration
net.ipv6.conf.all.autoconf = 1
net.ipv6.conf.all.accept_ra = 0

# For OpenVPN
net.ipv6.conf.all.forwarding = 1
net.ipv6.conf.all.proxy_ndp = 1

# For nginx on boot
net.ipv6.ip_nonlocal_bind = 1

यी मेरो सर्भरको "sysctl" सेटिङहरू हुन्। मलाई एउटा महत्त्वपूर्ण कुरा औंल्याउनुहोस्।

net.ipv4.ip_forward = 1

यो बिना, OpenVPN ले काम गर्दैन।

net.ipv6.ip_nonlocal_bind = 1

इन्टरफेस माथि भएपछि तुरुन्तै IPv6 (उदाहरणका लागि nginx) बाँध्न प्रयास गर्ने जो कोहीले त्रुटि प्राप्त गर्नेछन्। कि यो ठेगाना उपलब्ध छैन।

यस्तो अवस्थाबाट बच्न, यस्तो सेटिङ बनाइन्छ।

net.ipv6.conf.all.forwarding = 1
net.ipv6.conf.all.proxy_ndp = 1

यी IPv6 सेटिङहरू बिना, OpenVPN क्लाइन्टबाट ट्राफिक संसारमा जाँदैन।

अन्य सेटिङहरू या त सान्दर्भिक छैनन् वा मलाई याद छैन तिनीहरू केका लागि हुन्।
तर केवल केसमा, म यसलाई "जस्तै" छोड्छु।

सर्भर रिबुट नगरी यस फाइलमा परिवर्तनहरू उठाउनको लागि, तपाईंले आदेश चलाउन आवश्यक छ:

sysctl -p

"तालिका" नियमहरूको बारेमा थप विवरणहरू: habr.com/post/108690

============ OpenVPN =============

OpenVPN IPv4 iptables बिना काम गर्दैन।

मेरो iptables VPN को लागि यो जस्तै छन्:

iptables -A INPUT -p udp -s YY.YY.YY.YY --dport 1194 -j ACCEPT
iptables -A FORWARD -i tun0 -o eno1 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j SNAT --to-source XX.XX.XX.X0
##iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j MASQUERADE
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p udp --dport 1194 -j DROP
iptables -A FORWARD -p udp --dport 1194 -j DROP

YY.YY.YY.YY स्थानीय मेसिनको मेरो स्थिर IPv4 ठेगाना हो।
10.8.0.0/24 - IPv4 openvpn नेटवर्क। Openvpn ग्राहकहरूको लागि IPv4 ठेगानाहरू।
नियमहरूको एकरूपता महत्त्वपूर्ण छ।

iptables -A INPUT -p udp -s YY.YY.YY.YY --dport 1194 -j ACCEPT
iptables -A FORWARD -i tun0 -o eno1 -j ACCEPT
...
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p udp --dport 1194 -j DROP
iptables -A FORWARD -p udp --dport 1194 -j DROP

यो एक सीमा हो ताकि म मात्र मेरो स्थिर IP बाट OpenVPN प्रयोग गर्न सक्छु।

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j SNAT --to-source XX.XX.XX.X0
  -- или --
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eno1 -j MASQUERADE

OpenVPN क्लाइन्टहरू र इन्टरनेट बीच IPv4 प्याकेटहरू फर्वार्ड गर्न, तपाईंले यी आदेशहरू मध्ये एउटा दर्ता गर्न आवश्यक छ।

विभिन्न अवस्थामा, विकल्प मध्ये एक उपयुक्त छैन।
दुबै आदेशहरू मेरो केसको लागि उपयुक्त छन्।
कागजात पढेपछि, मैले पहिलो विकल्प रोजें किनभने यसले कम CPU प्रयोग गर्दछ।

रिबुट पछि सबै iptables सेटिङहरू उठाउनको लागि, तपाईंले तिनीहरूलाई कतै बचत गर्न आवश्यक छ।

iptables-save > /etc/iptables/rules.v4
ip6tables-save > /etc/iptables/rules.v6

त्यस्ता नामहरू संयोगले छानिएका थिएनन्। तिनीहरू "iptables-निरन्तर" प्याकेज द्वारा प्रयोग गरिन्छ।

apt-get install iptables-persistent

मुख्य OpenVPN प्याकेज स्थापना गर्दै:

apt-get install openvpn easy-rsa

प्रमाणपत्रहरूको लागि टेम्प्लेट सेट अप गरौं (तपाईंको मानहरू प्रतिस्थापन गर्नुहोस्):

make-cadir ~/openvpn-ca
cd ~/openvpn-ca
ln -s openssl-1.0.0.cnf openssl.cnf

प्रमाणपत्र टेम्प्लेट सेटिङहरू सम्पादन गरौं:

mcedit vars

...
# These are the default values for fields
# which will be placed in the certificate.
# Don't leave any of these fields blank.
export KEY_COUNTRY="RU"
export KEY_PROVINCE="Krasnodar"
export KEY_CITY="Dinskaya"
export KEY_ORG="Own"
export KEY_EMAIL="[email protected]"
export KEY_OU="VPN"

# X509 Subject Field
export KEY_NAME="server"
...

सर्भर प्रमाणपत्र सिर्जना गर्नुहोस्:

cd ~/openvpn-ca
source vars
./clean-all
./build-ca
./build-key-server server
./build-dh
openvpn --genkey --secret keys/ta.key

अन्तिम "client-name.opvn" फाइलहरू सिर्जना गर्ने क्षमता तयार गरौं:

mkdir -p ~/client-configs/files
chmod 700 ~/client-configs/files
cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf ~/client-configs/base.conf
mcedit ~/client-configs/base.conf

# Client mode
client

# Interface tunnel type
dev tun

# TCP protocol
proto tcp-client

# Address/Port of VPN server
remote XX.XX.XX.X0 1194

# Don't bind to local port/address
nobind

# Don't need to re-read keys and re-create tun at restart
persist-key
persist-tun

# Remote peer must have a signed certificate
remote-cert-tls server
ns-cert-type server

# Enable compression
comp-lzo

# Custom
ns-cert-type server
tls-auth ta.key 1
cipher DES-EDE3-CBC

सबै फाइलहरूलाई एकल opvn फाइलमा मर्ज गर्ने स्क्रिप्ट तयार गरौं।

mcedit ~/client-configs/make_config.sh
chmod 700 ~/client-configs/make_config.sh

#!/bin/bash

# First argument: Client identifier

KEY_DIR=~/openvpn-ca/keys
OUTPUT_DIR=~/client-configs/files
BASE_CONFIG=~/client-configs/base.conf

cat ${BASE_CONFIG} 
    <(echo -e '<ca>') 
    ${KEY_DIR}/ca.crt 
    <(echo -e '</ca>n<cert>') 
    ${KEY_DIR}/.crt 
    <(echo -e '</cert>n<key>') 
    ${KEY_DIR}/.key 
    <(echo -e '</key>n<tls-auth>') 
    ${KEY_DIR}/ta.key 
    <(echo -e '</tls-auth>') 
    > ${OUTPUT_DIR}/.ovpn

पहिलो OpenVPN ग्राहक सिर्जना गर्दै:

cd ~/openvpn-ca
source vars
./build-key client-name
cd ~/client-configs
./make_config.sh client-name

फाइल "~/client-configs/files/client-name.ovpn" क्लाइन्टको उपकरणमा पठाइन्छ।

आईओएस ग्राहकहरु को लागी तपाईले निम्न चाल गर्न आवश्यक छ:
"tls-auth" ट्यागको सामग्री टिप्पणीहरू बिना हुनुपर्छ।
र तुरुन्तै "tls-auth" ट्याग अघि "key-direction 1" राख्नुहोस्।

OpenVPN सर्भर कन्फिगर गरौं:

cd ~/openvpn-ca/keys
cp ca.crt ca.key server.crt server.key ta.key dh2048.pem /etc/openvpn
gunzip -c /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz | tee /etc/openvpn/server.conf
mcedit /etc/openvpn/server.conf

# Listen port
port 1194

# Protocol
proto tcp-server

# IP tunnel
dev tun0
tun-ipv6
push tun-ipv6

# Master certificate
ca ca.crt

# Server certificate
cert server.crt

# Server private key
key server.key

# Diffie-Hellman parameters
dh dh2048.pem

# Allow clients to communicate with each other
client-to-client

# Client config dir
client-config-dir /etc/openvpn/ccd

# Run client-specific script on connection and disconnection
script-security 2
client-connect "/usr/bin/sudo -u root /etc/openvpn/server-clientconnect.sh"
client-disconnect "/usr/bin/sudo -u root /etc/openvpn/server-clientdisconnect.sh"

# Server mode and client subnets
server 10.8.0.0 255.255.255.0
server-ipv6 XXXX:XXXX:XXXX:XXXX:1:3::/80
topology subnet

# IPv6 routes
push "route-ipv6 XXXX:XXXX:XXXX:XXXX::/64"
push "route-ipv6 2000::/3"

# DNS (for Windows)
# These are OpenDNS
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"

# Configure all clients to redirect their default network gateway through the VPN
push "redirect-gateway def1 bypass-dhcp"
push "redirect-gateway ipv6" #For iOS

# Don't need to re-read keys and re-create tun at restart
persist-key
persist-tun

# Ping every 10s. Timeout of 120s.
keepalive 10 120

# Enable compression
comp-lzo

# User and group
user vpn
group vpn

# Log a short status
status openvpn-status.log

# Logging verbosity
##verb 4

# Custom config
tls-auth ta.key 0
cipher DES-EDE3-CBC

प्रत्येक ग्राहकको लागि स्थिर ठेगाना सेट गर्न यो आवश्यक छ (आवश्यक छैन, तर म यसलाई प्रयोग गर्दछु):

# Client config dir
client-config-dir /etc/openvpn/ccd

सबैभन्दा कठिन र प्रमुख विवरण।

दुर्भाग्यवश, OpenVPN ले ग्राहकहरूको लागि IPv6 गेटवे कसरी स्वतन्त्र रूपमा कन्फिगर गर्ने भनेर अझै थाहा छैन।
तपाईंले प्रत्येक ग्राहकको लागि यसलाई "म्यानुअल रूपमा" फर्वार्ड गर्नुपर्छ।

# Run client-specific script on connection and disconnection
script-security 2
client-connect "/usr/bin/sudo -u root /etc/openvpn/server-clientconnect.sh"
client-disconnect "/usr/bin/sudo -u root /etc/openvpn/server-clientdisconnect.sh"

फाइल "/etc/openvpn/server-clientconnect.sh":

#!/bin/sh

# Check client variables
if [ -z "$ifconfig_pool_remote_ip" ] || [ -z "$common_name" ]; then
        echo "Missing environment variable."
        exit 1
fi

# Load server variables
. /etc/openvpn/variables

ipv6=""

# Find out if there is a specific config with fixed IPv6 for this client
if [ -f "/etc/openvpn/ccd/$common_name" ]; then
        # Get fixed IPv6 from client config file
        ipv6=$(sed -nr 's/^.*ifconfig-ipv6-push[ t]+([0-9a-fA-F:]+).*$/1/p' "/etc/openvpn/ccd/$common_name")
        echo $ipv6
fi

# Get IPv6 from IPv4
if [ -z "$ipv6" ]; then
        ipp=$(echo "$ifconfig_pool_remote_ip" | cut -d. -f4)
        if ! [ "$ipp" -ge 2 -a "$ipp" -le 254 ] 2>/dev/null; then
                echo "Invalid IPv4 part."
                exit 1
        fi
        hexipp=$(printf '%x' $ipp)
        ipv6="$prefix$hexipp"
fi

# Create proxy rule
/sbin/ip -6 neigh add proxy $ipv6 dev eno1

फाइल "/etc/openvpn/server-clientdisconnect.sh":

#!/bin/sh

# Check client variables
if [ -z "$ifconfig_pool_remote_ip" ] || [ -z "$common_name" ]; then
        echo "Missing environment variable."
        exit 1
fi

# Load server variables
. /etc/openvpn/variables

ipv6=""

# Find out if there is a specific config with fixed IPv6 for this client
if [ -f "/etc/openvpn/ccd/$common_name" ]; then
        # Get fixed IPv6 from client config file
        ipv6=$(sed -nr 's/^.*ifconfig-ipv6-push[ t]+([0-9a-fA-F:]+).*$/1/p' "/etc/openvpn/ccd/$common_name")
fi

# Get IPv6 from IPv4
if [ -z "$ipv6" ]; then
        ipp=$(echo "$ifconfig_pool_remote_ip" | cut -d. -f4)
        if ! [ "$ipp" -ge 2 -a "$ipp" -le 254 ] 2>/dev/null; then
                echo "Invalid IPv4 part."
                exit 1
        fi
        hexipp=$(printf '%x' $ipp)
        ipv6="$prefix$hexipp"
fi

# Delete proxy rule
/sbin/ip -6 neigh del proxy $ipv6 dev eno1

दुबै स्क्रिप्टहरूले "/etc/openvpn/variables" फाइल प्रयोग गर्दछ:

# Subnet
prefix=XXXX:XXXX:XXXX:XXXX:2:
# netmask
prefixlen=112

किन यस्तो लेखिएको हो मलाई याद गर्न गाह्रो छ।

अब नेटमास्क = 112 अनौठो देखिन्छ (यो त्यहाँ 96 हुनुपर्छ)।
र उपसर्ग अनौठो छ, यो tun0 नेटवर्कसँग मेल खाँदैन।
तर ठीक छ, म यसलाई त्यस्तै छोड्छु।

cipher DES-EDE3-CBC

यो सबैको लागि होइन - मैले जडान इन्क्रिप्ट गर्ने यो विधि रोजेको छु।

OpenVPN IPv4 सेटअप गर्ने बारे थप जान्नुहोस्।

OpenVPN IPv6 सेटअप गर्ने बारे थप जान्नुहोस्।

============= पोस्टफिक्स =============

मुख्य प्याकेज स्थापना गर्दै:

apt-get install postfix

स्थापना गर्दा, "इन्टरनेट साइट" चयन गर्नुहोस्।

मेरो "/etc/postfix/main.cf" यस्तो देखिन्छ:

smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
biff = no

# appending .domain is the MUA's job.
append_dot_mydomain = no

readme_directory = no

# See http://www.postfix.org/COMPATIBILITY_README.html -- default to 2 on
# fresh installs.
compatibility_level = 2

# TLS parameters
smtpd_tls_cert_file=/etc/ssl/domain1.com.2018.chained.crt
smtpd_tls_key_file=/etc/ssl/domain1.com.2018.key
smtpd_use_tls=yes
smtpd_tls_auth_only = yes
smtp_bind_address = XX.XX.XX.X0
smtp_bind_address6 = XXXX:XXXX:XXXX:XXXX:1:1:1:1

smtp_tls_security_level = may
smtp_tls_ciphers = export
smtp_tls_protocols = !SSLv2, !SSLv3
smtp_tls_loglevel = 1

smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = domain1.com
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
myorigin = domain1.com
mydestination = localhost
relayhost =
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all
inet_protocols = ipv4

internal_mail_filter_classes = bounce

# Storage type
virtual_transport = lmtp:unix:private/dovecot-lmtp
virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual-mailbox-domains.cf
virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual-mailbox-maps.cf
virtual_alias_maps = mysql:/etc/postfix/mysql-virtual-alias-maps.cf

# SMTP-Auth settings
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes
smtpd_recipient_restrictions =
        permit_sasl_authenticated,
        permit_mynetworks,
        #reject_invalid_hostname,
        #reject_unknown_recipient_domain,
        reject_unauth_destination,
        reject_rbl_client sbl.spamhaus.org,
        check_policy_service unix:private/policyd-spf

smtpd_helo_restrictions =
        #reject_invalid_helo_hostname,
        #reject_non_fqdn_helo_hostname,
        reject_unknown_helo_hostname

smtpd_client_restrictions =
        permit_mynetworks,
        permit_sasl_authenticated,
        reject_non_fqdn_helo_hostname,
        permit

# SPF
policyd-spf_time_limit = 3600

# OpenDKIM
milter_default_action = accept
milter_protocol = 6
smtpd_milters = unix:var/run/opendkim/opendkim.sock
non_smtpd_milters = unix:var/run/opendkim/opendkim.sock

# IP address per domain
sender_dependent_default_transport_maps = pcre:/etc/postfix/sdd_transport.pcre

यस कन्फिगरेसनको विवरणहरू हेरौं।

smtpd_tls_cert_file=/etc/ssl/domain1.com.2018.chained.crt
smtpd_tls_key_file=/etc/ssl/domain1.com.2018.key

खाब्रोभस्कका बासिन्दाहरूका अनुसार यस ब्लकमा "गलत जानकारी र गलत थेसिसहरू" छन्।मेरो क्यारियर सुरु भएको 8 वर्ष पछि मात्र मैले SSL ले कसरी काम गर्दछ भनेर बुझ्न थालें।

त्यसकारण, म SSL कसरी प्रयोग गर्ने भनेर वर्णन गर्ने स्वतन्त्रता लिनेछु ("यसले कसरी काम गर्छ?" र "यसले किन काम गर्छ?" प्रश्नहरूको जवाफ नदिई)।

आधुनिक ईन्क्रिप्शनको आधार कुञ्जी जोडी (क्यारेक्टरहरूको दुई धेरै लामो तार) को सिर्जना हो।

एउटा "कुञ्जी" निजी हो, अर्को कुञ्जी "सार्वजनिक" हो। हामीले निजी कुञ्जीलाई धेरै सावधानीपूर्वक गोप्य राख्छौं। हामी सबैलाई सार्वजनिक साँचो वितरण गर्छौं।

सार्वजनिक कुञ्जी प्रयोग गरेर, तपाईंले पाठको स्ट्रिङ इन्क्रिप्ट गर्न सक्नुहुन्छ ताकि निजी कुञ्जीको मालिकले मात्र यसलाई डिक्रिप्ट गर्न सक्छ।
खैर, त्यो प्रविधिको सम्पूर्ण आधार हो।

चरण # 1 - https साइटहरू।
साइट पहुँच गर्दा, ब्राउजरले वेब सर्भरबाट साइट https हो भनेर सिक्छ र त्यसैले सार्वजनिक कुञ्जी अनुरोध गर्दछ।
वेब सर्भरले सार्वजनिक कुञ्जी दिन्छ। ब्राउजरले http-अनुरोध इन्क्रिप्ट गर्न र पठाउन सार्वजनिक कुञ्जी प्रयोग गर्दछ।
http-अनुरोधको सामग्री केवल निजी कुञ्जी भएकाहरू द्वारा पढ्न सकिन्छ, अर्थात्, अनुरोध गरिएको सर्भर मात्र।
Http-अनुरोधमा कम्तिमा एउटा URI समावेश हुन्छ। त्यसकारण, यदि कुनै देशले सम्पूर्ण साइटमा होइन, तर विशेष पृष्ठमा पहुँच प्रतिबन्धित गर्ने प्रयास गरिरहेको छ भने, https साइटहरूको लागि यो गर्न असम्भव छ।

चरण # 2 - एन्क्रिप्टेड प्रतिक्रिया।
वेब सर्भरले सडकमा सजिलै पढ्न सकिने जवाफ प्रदान गर्दछ।
समाधान अत्यन्त सरल छ - ब्राउजरले स्थानीय रूपमा प्रत्येक https साइटको लागि समान निजी-सार्वजनिक कुञ्जी जोडी उत्पन्न गर्दछ।
र साइटको सार्वजनिक कुञ्जीको लागि अनुरोधको साथ, यसले यसको स्थानीय सार्वजनिक कुञ्जी पठाउँछ।
वेब सर्भरले यसलाई सम्झन्छ र, http-response पठाउँदा, यसलाई विशिष्ट क्लाइन्टको सार्वजनिक कुञ्जीसँग इन्क्रिप्ट गर्दछ।
अब http-प्रतिक्रिया क्लाइन्टको ब्राउजर निजी कुञ्जीको मालिकले मात्र डिक्रिप्ट गर्न सक्छ (अर्थात, ग्राहक आफैं)।

चरण नम्बर ३ - सार्वजनिक च्यानल मार्फत सुरक्षित जडान स्थापना गर्दै।
उदाहरण नम्बर २ मा एउटा जोखिम छ - कुनै पनि कुराले शुभचिन्तकहरूलाई http-अनुरोध रोक्न र सार्वजनिक कुञ्जीको बारेमा जानकारी सम्पादन गर्नबाट रोक्दैन।
यसैले, मध्यस्थकर्ताले संचार च्यानल परिवर्तन नभएसम्म पठाइएको र प्राप्त सन्देशहरूको सबै सामग्री स्पष्ट रूपमा देख्नेछ।
यससँग व्यवहार गर्नु एकदम सरल छ - वेब सर्भरको सार्वजनिक कुञ्जीसँग इन्क्रिप्ट गरिएको सन्देशको रूपमा ब्राउजरको सार्वजनिक कुञ्जी मात्र पठाउनुहोस्।
वेब सर्भरले पहिले "तपाईको सार्वजनिक कुञ्जी यस्तो छ" जस्तो प्रतिक्रिया पठाउँछ र उही सार्वजनिक कुञ्जीसँग यो सन्देश इन्क्रिप्ट गर्दछ।
ब्राउजरले प्रतिक्रिया हेर्छ - यदि सन्देश "तपाईको सार्वजनिक कुञ्जी यस्तो छ" प्राप्त भयो - तब यो 100% ग्यारेन्टी हो कि यो संचार च्यानल सुरक्षित छ।
यो कत्तिको सुरक्षित छ?
यस्तो सुरक्षित संचार च्यानलको धेरै सिर्जना पिंग * 2 को गतिमा हुन्छ। उदाहरण को लागी 20ms।
आक्रमणकारीसँग पहिले नै कुनै एक पक्षको निजी कुञ्जी हुनुपर्छ। वा मिलिसेकेन्डको एक जोडीमा निजी कुञ्जी फेला पार्नुहोस्।
एउटा आधुनिक निजी कुञ्जी ह्याक गर्न सुपर कम्प्युटरमा दशकौं लाग्छ।

चरण # 4 - सार्वजनिक कुञ्जीहरूको सार्वजनिक डाटाबेस।
जाहिर छ, यस सम्पूर्ण कथामा ग्राहक र सर्भर बीचको संचार च्यानलमा आक्रमणकर्तालाई बस्ने अवसर छ।
ग्राहकले सर्भर भएको बहाना गर्न सक्छ, र सर्भरले ग्राहक भएको बहाना गर्न सक्छ। र दुवै दिशामा कुञ्जीहरूको एक जोडी अनुकरण गर्नुहोस्।
त्यसपछि आक्रमणकारीले सबै ट्राफिक देख्नेछ र ट्राफिक "सम्पादन" गर्न सक्षम हुनेछ।
उदाहरणका लागि, पैसा पठाउने ठेगाना परिवर्तन गर्नुहोस् वा अनलाइन बैंकिङबाट पासवर्ड प्रतिलिपि गर्नुहोस् वा "आपत्तिजनक" सामग्री ब्लक गर्नुहोस्।
त्यस्ता आक्रमणकारीहरूसँग लड्न, तिनीहरू प्रत्येक https साइटको लागि सार्वजनिक कुञ्जीहरू सहितको सार्वजनिक डाटाबेसको साथ आए।
प्रत्येक ब्राउजरले लगभग 200 त्यस्ता डाटाबेसहरूको अस्तित्वको बारेमा "जान्दछ"। यो हरेक ब्राउजरमा पूर्व-स्थापित हुन्छ।
"ज्ञान" प्रत्येक प्रमाणपत्रबाट सार्वजनिक कुञ्जी द्वारा समर्थित छ। त्यो हो, प्रत्येक विशिष्ट प्रमाणीकरण प्राधिकरणको जडान नक्कली हुन सक्दैन।

अब त्यहाँ https को लागि SSL कसरी प्रयोग गर्ने भन्ने एक सरल बुझाइ छ।
यदि तपाइँ आफ्नो दिमाग प्रयोग गर्नुहुन्छ भने, यो स्पष्ट हुनेछ कि कसरी विशेष सेवाहरूले यस संरचनामा केहि ह्याक गर्न सक्छ। तर यसले तिनीहरूलाई राक्षसी प्रयासहरू खर्च गर्नेछ।
र NSA वा CIA भन्दा साना संगठनहरू - VIP को लागि पनि अवस्थित सुरक्षा स्तर ह्याक गर्न लगभग असम्भव छ।

म ssh जडानहरूको बारेमा पनि थप्नेछु। त्यहाँ कुनै सार्वजनिक कुञ्जीहरू छैनन्, त्यसैले तपाईं के गर्न सक्नुहुन्छ? समस्या दुई तरिकामा समाधान हुन्छ।
विकल्प ssh-द्वारा-पासवर्ड:
पहिलो जडानको समयमा, ssh क्लाइन्टले चेतावनी दिनुपर्छ कि हामीसँग ssh सर्भरबाट नयाँ सार्वजनिक कुञ्जी छ।
र थप जडानहरूको समयमा, यदि चेतावनी "ssh सर्भरबाट नयाँ सार्वजनिक कुञ्जी" देखा पर्यो भने, यसको मतलब तिनीहरूले तपाइँलाई छिर्न खोजिरहेका छन्।
वा तपाइँ तपाइँको पहिलो जडानमा सुन्नु भएको थियो, तर अब तपाइँ बिचौलिया बिना सर्भर संग संचार गर्नुहुन्छ।
वास्तवमा, वायरट्यापिङको तथ्य सजिलै, छिटो र सहज रूपमा प्रकट भएको तथ्यको कारणले गर्दा, यो आक्रमण विशेष ग्राहकको लागि मात्र विशेष अवस्थामा प्रयोग गरिन्छ।

विकल्प ssh-by-key:
हामी फ्ल्यास ड्राइभ लिन्छौं, यसमा ssh सर्भरको लागि निजी कुञ्जी लेख्छौं (त्यहाँ सर्तहरू र यसका लागि धेरै महत्त्वपूर्ण सूक्ष्मताहरू छन्, तर म शैक्षिक कार्यक्रम लेख्दै छु, प्रयोगको लागि निर्देशन होइन)।
हामी मेसिनमा सार्वजनिक कुञ्जी छोड्छौं जहाँ ssh ग्राहक हुनेछ र हामी यसलाई गोप्य राख्छौं।
हामी फ्ल्याश ड्राइभलाई सर्भरमा ल्याउँछौं, यसलाई घुसाउँछौं, निजी कुञ्जी प्रतिलिपि गर्छौं, र फ्ल्यास ड्राइभ जलाउँछौं र खरानीलाई हावामा छर्छौं (वा कमसेकम यसलाई शून्यसँग ढाँचामा)।
यो सबै छ - यस्तो अपरेशन पछि यस्तो ssh जडान ह्याक गर्न असम्भव हुनेछ। अवश्य पनि, १० वर्षमा सुपर कम्प्युटरमा ट्राफिक हेर्न सम्भव हुनेछ - तर त्यो फरक कथा हो।

म अफटोपिकको लागि माफी चाहन्छु।

त्यसैले अब सिद्धान्त थाहा छ। म तपाईंलाई SSL प्रमाणपत्र सिर्जना गर्ने प्रवाहको बारेमा बताउनेछु।

"openssl genrsa" प्रयोग गरेर हामी सार्वजनिक कुञ्जीको लागि निजी कुञ्जी र "खाली ठाउँहरू" सिर्जना गर्छौं।
हामी तेस्रो-पक्ष कम्पनीमा "खाली ठाउँहरू" पठाउँछौं, जसलाई हामी सरल प्रमाणपत्रको लागि लगभग $9 तिर्छौं।

केही घण्टा पछि, हामीले हाम्रो "सार्वजनिक" कुञ्जी र यो तेस्रो-पक्ष कम्पनीबाट धेरै सार्वजनिक कुञ्जीहरूको सेट प्राप्त गर्छौं।

मेरो सार्वजनिक साँचोको दर्ताको लागि तेस्रो-पक्ष कम्पनीले किन तिर्नु पर्छ एक अलग प्रश्न हो, हामी यसलाई यहाँ विचार गर्दैनौं।

अब यो शिलालेख को अर्थ के हो स्पष्ट छ:

smtpd_tls_key_file=/etc/ssl/domain1.com.2018.key

"/etc/ssl" फोल्डरले ssl मुद्दाहरूको लागि सबै फाइलहरू समावेश गर्दछ।
domain1.com - डोमेन नाम।
2018 प्रमुख सिर्जनाको वर्ष हो।
"कुञ्जी" - फाइल एक निजी कुञ्जी हो भनेर पदनाम।

र यो फाइल को अर्थ:

smtpd_tls_cert_file=/etc/ssl/domain1.com.2018.chained.crt
domain1.com - डोमेन नाम।
2018 प्रमुख सिर्जनाको वर्ष हो।
चेन गरिएको - पदनाम कि त्यहाँ सार्वजनिक कुञ्जीहरूको श्रृंखला छ (पहिलो हाम्रो सार्वजनिक कुञ्जी हो र बाँकी भनेको सार्वजनिक कुञ्जी जारी गर्ने कम्पनीबाट आएको हो)।
crt - एक तयार प्रमाणपत्र (प्राविधिक स्पष्टीकरण संग सार्वजनिक कुञ्जी) छ भनेर पदनाम।

smtp_bind_address = XX.XX.XX.X0
smtp_bind_address6 = XXXX:XXXX:XXXX:XXXX:1:1:1:1

यो सेटिङ यस अवस्थामा प्रयोग गरिएको छैन, तर उदाहरणको रूपमा लेखिएको छ।

किनभने यो प्यारामिटरमा त्रुटिले तपाईंको सर्भरबाट (तपाईंको इच्छाविना) स्प्याम पठाइनेछ।

त्यसपछि सबैलाई प्रमाणित गर्नुहोस् कि तपाईं दोषी छैन।

recipient_delimiter = +

धेरै मानिसहरूलाई थाहा नहुन सक्छ, तर यो श्रेणीकरण इमेलहरूको लागि एक मानक क्यारेक्टर हो, र यो धेरै आधुनिक मेल सर्भरहरू द्वारा समर्थित छ।

उदाहरणका लागि, यदि तपाईंसँग मेलबक्स छ "[ईमेल सुरक्षित]"पठाउन प्रयास गर्नुहोस्"[ईमेल सुरक्षित]"-हेर्नुहोस् के आउँछ।

inet_protocols = ipv4

यो भ्रमित हुन सक्छ।

तर, त्यति मात्रै होइन । प्रत्येक नयाँ डोमेन पूर्वनिर्धारित रूपमा IPv4 मात्र हुन्छ, त्यसपछि म प्रत्येकको लागि अलग-अलग IPv6 खोल्छु।

virtual_transport = lmtp:unix:private/dovecot-lmtp
virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual-mailbox-domains.cf
virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual-mailbox-maps.cf
virtual_alias_maps = mysql:/etc/postfix/mysql-virtual-alias-maps.cf

यहाँ हामी निर्दिष्ट गर्छौं कि सबै आगमन मेलहरू dovecot मा जान्छ।
र डोमेन, मेलबक्स, उपनामका लागि नियमहरू - डेटाबेसमा हेर्नुहोस्।

/etc/postfix/mysql-virtual-mailbox-domains.cf

user = usermail
password = mailpassword
hosts = 127.0.0.1
dbname = servermail
query = SELECT 1 FROM virtual_domains WHERE name='%s'

/etc/postfix/mysql-virtual-mailbox-maps.cf

user = usermail
password = mailpassword
hosts = 127.0.0.1
dbname = servermail
query = SELECT 1 FROM virtual_users WHERE email='%s'

/etc/postfix/mysql-virtual-alias-maps.cf

user = usermail
password = mailpassword
hosts = 127.0.0.1
dbname = servermail
query = SELECT destination FROM virtual_aliases WHERE source='%s'

# SMTP-Auth settings
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes

अब पोष्टफिक्सलाई थाहा छ कि मेल डभकोटसँग प्राधिकरण पछि मात्र थप पठाउनको लागि स्वीकार गर्न सकिन्छ।

म साँच्चै बुझ्दिन किन यो यहाँ दोहोरिएको छ। हामीले पहिले नै "भर्चुअल_ट्रान्सपोर्ट" मा आवश्यक पर्ने सबै कुरा निर्दिष्ट गरिसकेका छौं।

तर पोस्टफिक्स प्रणाली धेरै पुरानो छ - सायद यो पुरानो दिनहरु को एक थ्रोब्याक हो।

smtpd_recipient_restrictions =
        ...

smtpd_helo_restrictions =
        ...

smtpd_client_restrictions =
        ...

यो प्रत्येक मेल सर्भरको लागि फरक कन्फिगर गर्न सकिन्छ।

मसँग मेरो डिस्पोजलमा 3 मेल सर्भरहरू छन् र यी सेटिङहरू विभिन्न उपयोग आवश्यकताहरूको कारण धेरै फरक छन्।

तपाईंले यसलाई सावधानीपूर्वक कन्फिगर गर्न आवश्यक छ - अन्यथा स्पाम तपाईंमा खन्याइनेछ, वा अझ नराम्रो - तपाईंबाट स्प्याम बाहिर निस्कनेछ।

# SPF
policyd-spf_time_limit = 3600

आगमन पत्रहरूको SPF जाँच गर्न सम्बन्धित केही प्लगइनको लागि सेटअप।

# OpenDKIM
milter_default_action = accept
milter_protocol = 6
smtpd_milters = unix:var/run/opendkim/opendkim.sock
non_smtpd_milters = unix:var/run/opendkim/opendkim.sock

सेटिङ भनेको हामीले सबै बाहिर जाने इमेलहरूसँग DKIM हस्ताक्षर प्रदान गर्नुपर्छ।

# IP address per domain
sender_dependent_default_transport_maps = pcre:/etc/postfix/sdd_transport.pcre

यो PHP स्क्रिप्टहरूबाट पत्रहरू पठाउँदा लेटर रूटिङमा मुख्य विवरण हो।

फाइल "/etc/postfix/sdd_transport.pcre":

/^[email protected]$/ domain1:
/^[email protected]$/ domain2:
/^[email protected]$/ domain3:
/@domain1.com$/             domain1:
/@domain2.com$/             domain2:
/@domain3.com$/             domain3:

बायाँमा नियमित अभिव्यक्तिहरू छन्। दायाँमा एउटा लेबल छ जुन अक्षर चिन्ह लगाउँछ।
लेबल अनुसार पोस्टफिक्स - एक विशेष अक्षरको लागि केहि थप कन्फिगरेसन लाइनहरू खातामा लिनेछ।

विशिष्ट अक्षरको लागि पोष्टफिक्स कसरी पुन: कन्फिगर हुनेछ "master.cf" मा संकेत गरिनेछ।

लाइन 4, 5, 6 मुख्य हो। कुन डोमेनको तर्फबाट हामीले पत्र पठाउँदैछौं, हामीले यो लेबल राख्छौं।
तर "बाट" फिल्ड सधैं पुरानो कोडमा PHP स्क्रिप्टहरूमा संकेत गरिएको छैन। त्यसपछि प्रयोगकर्ता नाम उद्धारमा आउँछ।

लेख पहिले नै व्यापक छ - म nginx + fpm सेटअप गरेर विचलित हुन चाहन्न।

संक्षेपमा, प्रत्येक साइटको लागि हामीले यसको आफ्नै लिनक्स-प्रयोगकर्ता मालिक सेट गर्छौं। र तदनुसार तपाईंको fpm-पूल।

Fpm-pool ले php को कुनै पनि संस्करण प्रयोग गर्दछ (एउटै सर्भरमा तपाईले php को विभिन्न संस्करणहरू र समस्या बिना छिमेकी साइटहरूको लागि फरक php.ini प्रयोग गर्न सक्नुहुनेछ)।

त्यसोभए, एक विशिष्ट लिनक्स-प्रयोगकर्ता "www-domain2" को वेबसाइट domain2.com छ। यो साइटबाट क्षेत्र निर्दिष्ट नगरी इमेल पठाउनको लागि कोड छ।

त्यसोभए, यस अवस्थामा पनि, पत्रहरू सही रूपमा पठाइनेछ र स्प्याममा कहिल्यै समाप्त हुनेछैन।

मेरो "/etc/postfix/master.cf" यस्तो देखिन्छ:

...
smtp      inet  n       -       y       -       -       smtpd
  -o content_filter=spamassassin
...
submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
...
policyd-spf  unix  -       n       n       -       0       spawn
    user=policyd-spf argv=/usr/bin/policyd-spf

spamassassin unix -     n       n       -       -       pipe
    user=spamd argv=/usr/bin/spamc -f -e
    /usr/sbin/sendmail -oi -f ${sender} ${recipient}
...
domain1  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X1
   -o smtp_helo_name=domain1.com
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:1:1:1
   -o syslog_name=postfix-domain1

domain2  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X5
   -o smtp_helo_name=domain2.com
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:2:1:1
   -o syslog_name=postfix-domain2

domain3  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X2
   -o smtp_helo_name=domain3
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:1:5:1
   -o syslog_name=postfix-domain3

फाइल पूर्ण रूपमा प्रदान गरिएको छैन - यो पहिले नै धेरै ठूलो छ।
मैले के परिवर्तन भयो भनेर मात्र ध्यान दिएँ।

smtp      inet  n       -       y       -       -       smtpd
  -o content_filter=spamassassin
...
spamassassin unix -     n       n       -       -       pipe
    user=spamd argv=/usr/bin/spamc -f -e
    /usr/sbin/sendmail -oi -f ${sender} ${recipient}

यी स्प्यामासासिनसँग सम्बन्धित सेटिङहरू हुन्, त्यसमा पछि थप।

submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject

हामी तपाईंलाई पोर्ट 587 मार्फत मेल सर्भरमा जडान गर्न अनुमति दिन्छौं।
यो गर्नको लागि, तपाईंले लग इन गर्नुपर्छ।

policyd-spf  unix  -       n       n       -       0       spawn
    user=policyd-spf argv=/usr/bin/policyd-spf

SPF जाँच सक्षम गर्नुहोस्।

apt-get install postfix-policyd-spf-python

माथिको SPF जाँचहरूको लागि प्याकेज स्थापना गरौं।

domain1  unix -       -       n       -       -       smtp
   -o smtp_bind_address=XX.XX.XX.X1
   -o smtp_helo_name=domain1.com
   -o inet_protocols=all
   -o smtp_bind_address6=XXXX:XXXX:XXXX:XXXX:1:1:1:1
   -o syslog_name=postfix-domain1

र यो सबैभन्दा रोचक कुरा हो। यो विशिष्ट IPv4/IPv6 ठेगानाबाट विशिष्ट डोमेनको लागि अक्षरहरू पठाउने क्षमता हो।

यो rDNS को खातिर गरिन्छ। rDNS IP ठेगाना द्वारा स्ट्रिङ प्राप्त गर्ने प्रक्रिया हो।
र मेलको लागि, यो सुविधा हेलो ठेगानाको rDNS सँग मेल खान्छ भनेर पुष्टि गर्न प्रयोग गरिन्छ जुन इमेल पठाइएको थियो।

यदि हेलो इमेल डोमेनसँग मेल खाँदैन जसको तर्फबाट पत्र पठाइएको थियो, स्प्याम अंकहरू प्रदान गरिन्छ।

Helo rDNS सँग मेल खाँदैन - धेरै स्प्याम पोइन्टहरू प्रदान गरिन्छ।
तदनुसार, प्रत्येक डोमेनको आफ्नै IP ठेगाना हुनुपर्छ।
OVH को लागि - कन्सोलमा rDNS निर्दिष्ट गर्न सम्भव छ।
tech.ru को लागि - समस्या समर्थन मार्फत हल गरिएको छ।
AWS को लागि, समस्या समर्थन मार्फत हल गरिएको छ।
"inet_protocols" र "smtp_bind_address6" - हामी IPv6 समर्थन सक्षम गर्छौं।
IPv6 को लागी तपाईले rDNS दर्ता गर्न पनि आवश्यक छ।
"syslog_name" - र यो लगहरू पढ्न सजिलोको लागि हो।

प्रमाणपत्रहरू किन्नुहोस् म यहाँ सिफारिस गर्छु.

यहाँ postfix + dovecot लिङ्क सेट अप गर्दै.

SPF सेट गर्दै।

============= ढुकुर=============

apt-get install dovecot-imapd dovecot-pop3d dovecot-lmtpd dovecot-mysql dovecot-antispam

Mysql सेट अप गर्दै, प्याकेजहरू आफैं स्थापना गर्दै।

फाइल "/etc/dovecot/conf.d/10-auth.conf"

disable_plaintext_auth = yes
auth_mechanisms = plain login

प्राधिकरण मात्र इन्क्रिप्ट गरिएको छ।

फाइल "/etc/dovecot/conf.d/10-mail.conf"

mail_location = maildir:/var/mail/vhosts/%d/%n

यहाँ हामी अक्षरहरूको लागि भण्डारण स्थान संकेत गर्छौं।

म तिनीहरूलाई फाइलहरूमा भण्डारण र डोमेनद्वारा समूहबद्ध गर्न चाहन्छु।

फाइल "/etc/dovecot/conf.d/10-master.conf"

service imap-login {
  inet_listener imap {
    port = 0
  }
  inet_listener imaps {
    address = XX.XX.XX.X1, XX.XX.XX.X2, XX.XX.XX.X5, [XXXX:XXXX:XXXX:XXXX:1:1:1:1], [XXXX:XXXX:XXXX:XXXX:1:2:1:1], [XXXX:XXXX:XXXX:XXXX:1:1:5:1]
    port = 993
    ssl = yes
  }
}
service pop3-login {
  inet_listener pop3 {
    port = 0
  }
  inet_listener pop3s {
    address = XX.XX.XX.X1, XX.XX.XX.X2, XX.XX.XX.X5, [XXXX:XXXX:XXXX:XXXX:1:1:1:1], [XXXX:XXXX:XXXX:XXXX:1:2:1:1], [XXXX:XXXX:XXXX:XXXX:1:1:5:1]
    port = 995
    ssl = yes
  }
}
service lmtp {
  unix_listener /var/spool/postfix/private/dovecot-lmtp {
    mode = 0600
    user = postfix
    group = postfix
  }
}
service imap {
}
service pop3 {
}
service auth {
  unix_listener auth-userdb {
    mode = 0600
    user = vmail
  }

  unix_listener /var/spool/postfix/private/auth {
    mode = 0666
    user = postfix
    group = postfix
  }
  user = dovecot
}
service auth-worker {
  user = vmail
}
service dict {
  unix_listener dict {
  }
}

यो मुख्य dovecot कन्फिगरेसन फाइल हो।
यहाँ हामी असुरक्षित जडानहरू असक्षम पार्छौं।
र सुरक्षित जडानहरू सक्षम गर्नुहोस्।

फाइल "/etc/dovecot/conf.d/10-ssl.conf"

ssl = required
ssl_cert = </etc/nginx/ssl/domain1.com.2018.chained.crt
ssl_key = </etc/nginx/ssl/domain1.com.2018.key
local XX.XX.XX.X5 {
  ssl_cert = </etc/nginx/ssl/domain2.com.2018.chained.crt
  ssl_key =  </etc/nginx/ssl/domain2.com.2018.key
}

ssl सेट अप गर्दै। हामी संकेत गर्छौं कि ssl आवश्यक छ।
र प्रमाणपत्र आफैं। र एक महत्त्वपूर्ण विवरण "स्थानीय" निर्देशन हो। कुन स्थानीय IPv4 मा जडान गर्दा कुन SSL प्रमाणपत्र प्रयोग गर्ने संकेत गर्दछ।

वैसे, IPv6 यहाँ कन्फिगर गरिएको छैन, म पछि यो भूल सच्याउनेछु।
XX.XX.XX.X5 (domain2) - कुनै प्रमाणपत्र छैन। ग्राहकहरू जडान गर्न तपाईंले domain1.com निर्दिष्ट गर्न आवश्यक छ।
XX.XX.XX.X2 (domain3) - त्यहाँ एक प्रमाणपत्र छ, तपाईं domain1.com वा domain3.com ग्राहकहरूलाई जडान गर्न निर्दिष्ट गर्न सक्नुहुन्छ।

फाइल "/etc/dovecot/conf.d/15-lda.conf"

protocol lda {
  mail_plugins = $mail_plugins sieve
}

यो भविष्यमा spamassassin को लागि आवश्यक हुनेछ।

फाइल "/etc/dovecot/conf.d/20-imap.conf"

protocol imap {
  mail_plugins = $mail_plugins antispam
}

यो एक एन्टिस्प्याम प्लगइन हो। "स्प्याम" फोल्डरमा/बाट स्थानान्तरणको समयमा स्प्यामसासिन प्रशिक्षणको लागि आवश्यक छ।

फाइल "/etc/dovecot/conf.d/20-pop3.conf"

protocol pop3 {
}

त्यहाँ यस्तो फाइल मात्र छ।

फाइल "/etc/dovecot/conf.d/20-lmtp.conf"

protocol lmtp {
  mail_plugins = $mail_plugins sieve
  postmaster_address = [email protected]
}

lmtp सेट अप गर्दै।

फाइल "/etc/dovecot/conf.d/90-antispam.conf"

plugin {
  antispam_backend = pipe
  antispam_trash = Trash;trash
  antispam_spam = Junk;Spam;SPAM
  antispam_pipe_program_spam_arg = --spam
  antispam_pipe_program_notspam_arg = --ham
  antispam_pipe_program = /usr/bin/sa-learn
  antispam_pipe_program_args = --username=%Lu
}

स्प्याम फोल्डरमा/बाट स्थानान्तरणको समयमा स्प्यामासासिन प्रशिक्षण सेटिङहरू।

फाइल "/etc/dovecot/conf.d/90-sieve.conf"

plugin {
  sieve = ~/.dovecot.sieve
  sieve_dir = ~/sieve
  sieve_after = /var/lib/dovecot/sieve/default.sieve
}

एउटा फाइल जसले आगमन अक्षरहरूसँग के गर्ने भनेर निर्दिष्ट गर्दछ।

फाइल "/var/lib/dovecot/sieve/default.sieve"

require ["fileinto", "mailbox"];

if header :contains "X-Spam-Flag" "YES" {
        fileinto :create "Spam";
}

तपाईंले फाइल कम्पाइल गर्न आवश्यक छ: "sievec default.sieve"।

फाइल "/etc/dovecot/conf.d/auth-sql.conf.ext"

passdb {
  driver = sql
  args = /etc/dovecot/dovecot-sql.conf.ext
}
userdb {
  driver = static
  args = uid=vmail gid=vmail home=/var/mail/vhosts/%d/%n
}

प्राधिकरणको लागि sql फाइलहरू निर्दिष्ट गर्दै।
र फाइल नै प्राधिकरण को एक विधि को रूप मा प्रयोग गरिन्छ।

फाइल "/etc/dovecot/dovecot-sql.conf.ext"

driver = mysql
connect = host=127.0.0.1 dbname=servermail user=usermail password=password
default_pass_scheme = SHA512-CRYPT
password_query = SELECT email as user, password FROM virtual_users WHERE email='%u';

यो पोस्टफिक्सको लागि समान सेटिङहरूसँग मेल खान्छ।

फाइल "/etc/dovecot/dovecot.conf"

protocols = imap lmtp pop3
listen = *, ::
dict {
}
!include conf.d/*.conf
!include_try local.conf

मुख्य कन्फिगरेसन फाइल।
महत्त्वपूर्ण कुरा यो हो कि हामी यहाँ संकेत गर्छौं - प्रोटोकलहरू थप्नुहोस्।

============= SpamAssassin =============

apt-get install spamassassin spamc

प्याकेजहरू स्थापना गरौं।

adduser spamd --disabled-login

जसको तर्फबाट प्रयोगकर्ता थपौं।

systemctl enable spamassassin.service

हामीले लोडिङमा स्वत: लोडिङ स्पामसासिन सेवा सक्षम गर्छौं।

फाइल "/etc/default/spamassassin":

CRON=1

"पूर्वनिर्धारित रूपमा" नियमहरूको स्वचालित अद्यावधिक सक्षम गरेर।

फाइल "/etc/spamassassin/local.cf":

report_safe 0

use_bayes          1
bayes_auto_learn   1
bayes_auto_expire  1
bayes_store_module Mail::SpamAssassin::BayesStore::MySQL
bayes_sql_dsn      DBI:mysql:sa:localhost:3306
bayes_sql_username sa
bayes_sql_password password

तपाईले mysql मा प्रयोगकर्ता "sa" को पासवर्ड "पासवर्ड" को साथ डाटाबेस "sa" सिर्जना गर्न आवश्यक छ (पर्याप्त केहि संग प्रतिस्थापन गर्नुहोस्)।

रिपोर्ट_सेफ - यसले पत्रको सट्टा स्प्याम इमेलको रिपोर्ट पठाउनेछ।
use_bayes spamassassin मेसिन लर्निङ सेटिङहरू हुन्।

बाँकी spamassassin सेटिङहरू लेखमा पहिले प्रयोग गरिएको थियो।

सामान्य सेटिङ "स्पामासासिन".
नयाँ स्पाम इमेलहरू IMAP "स्प्याम" फोल्डरमा सार्ने बारे.
Dovecot + SpamAssassin को एक साधारण संयोजनको बारेमा.
म imap फोल्डरहरूमा अक्षरहरू सार्दा स्प्यामासासिन सिक्ने सिद्धान्त पढ्न सिफारिस गर्छु (र म यसलाई प्रयोग गर्न सिफारिस गर्दिन).

======================================================

फर्वार्ड गरिएका पत्रहरूको सुरक्षाको स्तर कसरी बढाउने भन्ने बारेमा पनि म समुदायमा विचार प्रस्तुत गर्न चाहन्छु। किनकि म मेलको विषयमा गहिरो रूपमा डुबेको छु।

ताकि प्रयोगकर्ताले आफ्नो क्लाइन्ट (आउटलुक, थन्डरबर्ड, ब्राउजर-प्लगइन, ...) मा कुञ्जीहरूको जोडी सिर्जना गर्न सक्छ। सार्वजनिक र निजी। सार्वजनिक - DNS मा पठाउनुहोस्। निजी - ग्राहक मा बचत। मेल सर्भरहरूले एक विशेष प्राप्तकर्तालाई पठाउन सार्वजनिक कुञ्जी प्रयोग गर्न सक्षम हुनेछ।

र त्यस्ता अक्षरहरूसँग स्प्याम विरुद्ध सुरक्षा गर्न (हो, मेल सर्भरले सामग्री हेर्न सक्षम हुनेछैन) - तपाईंले 3 नियमहरू लागू गर्न आवश्यक हुनेछ:

अनिवार्य वास्तविक DKIM हस्ताक्षर, अनिवार्य SPF, अनिवार्य rDNS।
एन्टिस्प्याम प्रशिक्षणको विषयमा एक तंत्रिका नेटवर्क + ग्राहक पक्षमा यसको लागि डाटाबेस।
इन्क्रिप्शन एल्गोरिथ्म यस्तो हुनुपर्छ कि पठाउने पक्षले प्राप्त पक्षको तुलनामा इन्क्रिप्सनमा 100 गुणा बढी CPU पावर खर्च गर्नुपर्छ।

सार्वजनिक पत्रहरूको अतिरिक्त, "सुरक्षित पत्राचार सुरु गर्न" एक मानक प्रस्ताव पत्र विकास गर्नुहोस्। प्रयोगकर्ता मध्ये एक (मेलबक्स) ले अर्को मेलबक्समा एट्याचमेन्ट सहितको पत्र पठाउँछ। पत्रमा पत्राचार र मेलबक्सको मालिकको सार्वजनिक कुञ्जी (ग्राहक पक्षमा निजी कुञ्जी सहित) को लागी एक सुरक्षित संचार च्यानल सुरु गर्न पाठ प्रस्ताव समावेश छ।

तपाइँ प्रत्येक पत्राचारको लागि विशेष गरी केहि कुञ्जीहरू पनि बनाउन सक्नुहुन्छ। प्राप्तकर्ता प्रयोगकर्ताले यो प्रस्ताव स्वीकार गर्न र आफ्नो सार्वजनिक कुञ्जी पठाउन सक्छ (यस पत्राचारको लागि विशेष गरी बनाइएको पनि)। अर्को, पहिलो प्रयोगकर्ताले सेवा नियन्त्रण पत्र पठाउँछ (दोस्रो प्रयोगकर्ताको सार्वजनिक कुञ्जीसँग इन्क्रिप्ट गरिएको) - जसको प्राप्तिमा दोस्रो प्रयोगकर्ताले गठन गरिएको सञ्चार च्यानललाई विश्वसनीय मान्न सक्छ। अर्को, दोस्रो प्रयोगकर्ताले नियन्त्रण पत्र पठाउँछ - र त्यसपछि पहिलो प्रयोगकर्ताले पनि गठन च्यानल सुरक्षित विचार गर्न सक्छ।

सडकमा कुञ्जीहरूको अवरोधसँग लड्न, प्रोटोकलले फ्ल्यास ड्राइभ प्रयोग गरेर कम्तिमा एउटा सार्वजनिक कुञ्जी प्रसारण गर्ने सम्भावना प्रदान गर्नुपर्छ।

र सबैभन्दा महत्त्वपूर्ण कुरा यो हो कि यो सबै काम गर्दछ (प्रश्न "यसको लागि कसले तिर्नेछ?"):
10 वर्षको लागि $ 3 बाट सुरु हुने हुलाक प्रमाणपत्रहरू प्रविष्ट गर्नुहोस्। जसले प्रेषकलाई dns मा संकेत गर्न अनुमति दिनेछ कि "मेरो सार्वजनिक कुञ्जीहरू त्यहाँ छन्।" र तिनीहरूले तपाईंलाई सुरक्षित जडान सुरु गर्ने अवसर दिनेछन्। एकै समयमा, त्यस्ता जडानहरू स्वीकार गर्न नि: शुल्क छ।
gmail अन्ततः आफ्ना प्रयोगकर्ताहरूलाई मुद्रीकरण गर्दैछ। $10 प्रति 3 वर्षको लागि - सुरक्षित पत्राचार च्यानलहरू सिर्जना गर्ने अधिकार।

============ निष्कर्ष ============

सम्पूर्ण लेख परीक्षण गर्न, म एक महिनाको लागि एक समर्पित सर्भर भाडामा र SSL प्रमाणपत्रको साथ डोमेन किन्न जाँदैछु।

तर जीवन परिस्थिति विकसित भयो त्यसैले यो समस्या 2 महिना सम्म तानियो।
र त्यसैले, जब मसँग फेरि फुर्सदको समय थियो, मैले प्रकाशनलाई अर्को वर्ष तान्ने जोखिमको सट्टा यस लेखलाई प्रकाशित गर्ने निर्णय गरें।

यदि त्यहाँ "तर यो पर्याप्त विवरणमा वर्णन गरिएको छैन" जस्ता धेरै प्रश्नहरू छन् भने, तब त्यहाँ सम्भवतः नयाँ डोमेन र नयाँ SSL प्रमाणपत्रको साथ समर्पित सर्भर लिन र यसलाई अझ विस्तृत रूपमा वर्णन गर्ने शक्ति हुनेछ र, धेरै जसो महत्त्वपूर्ण रूपमा, सबै छुटेका महत्त्वपूर्ण विवरणहरू पहिचान गर्नुहोस्।

म हुलाक प्रमाणपत्रहरू बारे विचारहरूमा प्रतिक्रिया प्राप्त गर्न चाहन्छु। यदि तपाईंलाई यो विचार मनपर्छ भने, म rfc को लागि मस्यौदा लेख्ने शक्ति खोज्ने प्रयास गर्नेछु।

लेखको ठूलो भाग प्रतिलिपि गर्दा, यो लेखको लिङ्क प्रदान गर्नुहोस्।
कुनै अन्य भाषामा अनुवाद गर्दा, यो लेखको लिङ्क प्रदान गर्नुहोस्।
म यसलाई अंग्रेजीमा अनुवाद गर्ने प्रयास गर्नेछु र क्रस-रेफरेन्स छोड्नेछु।

स्रोत: www.habr.com

Debian + Postfix + Dovecot + Multidomain + SSL + IPv6 + OpenVPN + बहु-इन्टरफेस + SpamAssassin-learn + Bind