Bem-vindo! Hoje vamos explicar como fazer a configuração inicial do gateway de e-mail – soluções da Fortinet para proteção de e-mail. Neste artigo, vamos abordar o layout com o qual estaremos trabalhando, e faremos a configuração , necessária para receber e verificar e-mails, além de testarmos sua funcionalidade. Baseando-se em nossa experiência, podemos afirmar com confiança que o processo é muito simples, e mesmo após uma configuração mínima, já é possível ver os resultados.
Vamos começar com o layout atual. Ele está representado na imagem abaixo.
À direita, vemos um computador de um usuário externo, a partir do qual vamos enviar e-mails para o usuário na rede interna. Na rede interna, está um computador de usuário, um controladora de domínio com um servidor DNS em funcionamento e um servidor de e-mail. Na borda da rede, há um firewall — FortiGate, cuja principal característica é a configuração do redirecionamento do tráfego SMTP e DNS.
Vamos prestar especial atenção ao DNS.
Para o roteamento de e-mails na Internet, são usadas duas entradas DNS — entrada A e entrada MX. Normalmente, essas entradas DNS são configuradas em um servidor DNS público, mas devido a restrições de layout, simplesmente redirecionamos o DNS através do firewall (ou seja, o endereço 10.10.30.210 está configurado como servidor DNS para o usuário externo).
A entrada MX — é a entrada que contém o nome do servidor de e-mail que atende ao domínio, além da prioridade desse servidor de e-mail. Em nosso caso, ela se apresenta assim: test.local -> mail.test.local 10.
A entrada A — é a entrada que traduz o nome do domínio em um endereço IP, que neste caso é: mail.test.local -> 10.10.30.210.
Quando nosso usuário externo tentar enviar um e-mail para o endereço an@test.local, ele solicitará a entrada MX do domínio test.local ao seu servidor DNS. Nosso servidor DNS responderá com o nome do servidor de e-mail — mail.test.local. Agora, o usuário precisa obter o endereço IP desse servidor, por isso ele consulta novamente o DNS para a entrada A e recebe o endereço IP 10.10.30.210 (sim, novamente ele :). Agora é possível enviar o e-mail. Portanto, ele tenta estabelecer uma conexão com o endereço IP recebido na porta 25. Com as regras no firewall, essa conexão é redirecionada para o servidor de e-mail.
Vamos verificar a funcionalidade do e-mail no estado atual do layout. Para isso, usaremos a ferramenta swaks no computador de um usuário externo. Com ela, podemos testar a funcionalidade do SMTP, enviando um e-mail ao destinatário com um conjunto de vários parâmetros. Preliminarmente, um usuário com a caixa de entrada an@test.local já foi cadastrado no servidor de e-mail. Vamos tentar enviar um e-mail para ele:
Agora vamos para a máquina do usuário interno e confirmar se o e-mail chegou:
O e-mail realmente chegou (ele está destacado na lista). Isso significa que o layout está funcionando corretamente. É hora de passar para o FortiMail. Vamos complementar nosso layout:
O FortiMail pode ser implantado em três modos:
- Gateway — atua como um MTA completo: recebe todo o e-mail, verifica e depois encaminha para o servidor de e-mail;
- Transparent — ou modo transparente. É instalado antes do servidor e verifica o e-mail de entrada e saída. Após isso, ele o encaminha para o servidor. Não requer alterações na configuração da rede.
- Server — neste caso, o FortiMail é um servidor de e-mail completo com a capacidade de criar caixas de correio, receber e enviar e-mails, além de outras funcionalidades.
Vamos implantar o FortiMail no modo Gateway. Acesse as configurações da máquina virtual. Login — admin, senha não definida. Na primeira entrada, é necessário definir uma nova senha.
Agora vamos configurar a máquina virtual para acesso à interface da web. Também é necessário que a máquina tenha acesso à Internet. Vamos configurar a interface. Precisamos apenas do port1. Com ele, vamos nos conectar à interface da web e também será usado para acesso à Internet. O acesso à Internet é necessário para a atualização de serviços (assinaturas de antivírus etc.). Para a configuração, insira os comandos:
config system interface
edit port 1
set ip 192.168.1.40 255.255.255.0
set allowaccess https http ssh ping
end
Agora vamos configurar o roteamento. Para isso, insira os seguintes comandos:
config system route
edit 1
set gateway 192.168.1.1
set interface port1
end
Ao digitar comandos, você pode usar a tecla de tabulação para não precisar digitá-los totalmente. Além disso, se você esqueceu qual comando deve vir a seguir, pode usar a tecla “?”.
Agora vamos verificar a conexão com a Internet. Para isso, faremos um ping no DNS do Google:
Como podemos ver, temos acesso à Internet. As configurações iniciais, características de todos os dispositivos Fortinet, foram concluídas; agora podemos prosseguir com a configuração através da interface web. Para isso, vamos abrir a página de gerenciamento:
Observe que precisamos acessar pelo link no formato /admin. Caso contrário, você não conseguirá acessar a página de gerenciamento. Por padrão, a página está no modo de configuração padrão. Para as configurações, precisaremos do modo Avançado. Vamos ao menu admin->View e mudaremos o modo para Avançado:
Agora precisamos carregar a licença de teste. Isso pode ser feito no menu Informações da Licença → VM → Atualizar:
Se você não tiver a licença de teste, pode solicitá-la entrando em contato com .
Após inserir a licença, o dispositivo deve reiniciar. A partir daí, ele começará a buscar atualizações de suas bases nos servidores. Se isso não acontecer automaticamente, você pode acessar o menu Sistema → FortiGuard e nas abas Antivírus, Antispam clicar no botão Atualizar Agora.
Se isso não funcionar, você pode mudar as portas usadas para atualizações. Normalmente, depois disso, todas as licenças aparecem. No final, isso deve ficar assim:
Vamos configurar o fuso horário correto, o que será útil na análise dos logs. Para isso, vamos ao menu Sistema → Configuração:
Também vamos configurar o DNS. Como servidor DNS principal, configuraremos o servidor DNS interno, e como servidor de backup, manteremos o servidor DNS fornecido pela Fortinet.
Agora chegamos à parte mais interessante. Como você deve ter notado, por padrão, o dispositivo está configurado no modo Gateway. Portanto, não precisamos alterá-lo. Vamos ao campo Domínio & Usuário → Domínio. Vamos criar um novo domínio que precisa ser protegido. Aqui precisamos apenas indicar o nome do domínio e o endereço do servidor de e-mail (pode também indicar seu nome de domínio; no nosso caso, mail.test.local):
Agora precisamos indicar um nome para nosso gateway de e-mail. Ele será usado nas entradas MX e A, que precisaremos alterar mais tarde:
Os itens Nome do Host e Nome do Domínio Local compõem o FQDN, que é utilizado nas entradas DNS. No nosso caso, FQDN = fortimail.test.local.
Agora vamos configurar a regra de recebimento. Precisamos que todos os e-mails que chegam de fora e são designados ao usuário do domínio sejam encaminhados para o servidor de e-mail. Para isso, vamos ao menu Política → Controle de Acesso. Um exemplo de configuração é mostrado abaixo:
Vamos olhar a aba Política de Destinatário. Aqui podemos estabelecer certas regras de verificação de e-mails: se o e-mail vem do domínio example1.com, precisamos verificá-lo com mecanismos configurados especificamente para esse domínio. Já há uma regra padrão para todos os e-mails, e no momento estamos satisfeitos com isso. Você pode ver essa regra na imagem abaixo:
Com isso, a configuração no FortiMail pode ser considerada concluída. Na verdade, há muito mais parâmetros possíveis, mas se começarmos a analisá-los todos — poderíamos escrever um livro :) E nosso objetivo é iniciar o FortiMail em modo de teste com o mínimo de esforço.
Resta fazer duas coisas — alterar os registros MX e A, e também mudar as regras de redirecionamento de portas no firewall.
O registro MX test.local -> mail.test.local 10 deve ser trocado para test.local -> fortimail.test.local 10. Mas geralmente, durante os testes, é adicionada uma segunda entrada MX com uma prioridade mais alta. Por exemplo:
test.local -> mail.test.local 10
test.local -> fortimail.test.local 5
Lembro que quanto menor o número ordinal de preferência do servidor de e-mail no registro MX, maior é sua prioridade.
O registro A não pode ser alterado, então vamos simplesmente criar um novo: fortimail.test.local -> 10.10.30.210. O usuário externo se conectará ao endereço 10.10.30.210 pela porta 25, e o firewall redirecionará a conexão para o FortiMail.
Para mudar a regra de redirecionamento no FortiGate, é necessário alterar o endereço no objeto Virtual IP correspondente:
Tudo pronto. Vamos verificar. Novamente, vamos enviar um e-mail do computador de um usuário externo. Agora vamos ao FortiMail no menu Monitor → Logs. No campo Histórico, você pode ver a entrada indicando que o e-mail foi recebido. Para obter mais informações, clique com o botão direito na entrada e selecione a opção Detalhes:
Para completar a imagem, vamos verificar se o FortiMail na configuração atual pode bloquear e-mails contendo spam e vírus. Para isso, vamos enviar um vírus de teste eicar e um e-mail de teste encontrado em uma das bases de e-mails de spam (http://untroubled.org/spam/). Depois disso, vamos novamente para o menu de visualização de logs:
Como podemos ver, tanto o spam quanto o e-mail com vírus foram identificados com sucesso.
Esta configuração é suficiente para fornecer proteção básica contra vírus e spam. Mas as funcionalidades do FortiMail não se limitam a isso. Para uma proteção mais eficaz, é necessário explorar os mecanismos disponíveis e ajustá-los às suas necessidades. No futuro, planejamos abordar outras funcionalidades mais avançadas deste gateway de e-mail.
Se você tiver dificuldades ou perguntas sobre a solução, escreva-as nos comentários e tentaremos responder rapidamente.
Você pode enviar um pedido para a licença de teste da solução .
Autor: Alexey Nikulin. Engenheiro de segurança da informação da Fortiservice.
Fonte: habr.com
