Zimbra och skydd av servern mot överbelastningar

E-post har etablerat sig som standard inom affärskommunikation. Tack vare den höga kostnadseffektiviteten hos e-post samt en rad funktioner som rör citering av text och bilagor, är e-post det mest lämpliga alternativet för dokumentutbyte och artig affärskommunikation. Dessa funktionen är också anledningen till att spammare har blivit så förtjusta i e-post. Som en följd av detta utgör e-post idag en enorm, stormig ocean av skräppost, där affärsbrev endast sällan dyker upp. Därför är en av de främsta uppgifterna för en administratör av vilken e-postserver som helst att skydda mot spam-utskick. Låt oss titta på vad vi kan göra med detta i Zimbra Collaboration Suite Open-Source Edition.

Trots att lösningen är gratis, kan Zimbra OSE erbjuda systemadministratörer ett antal extremt effektiva verktyg för att lösa problemet med oönskade e-postmeddelanden. Vi har redan skrivit om verktyg som Amavis, SpamAssassin, ClamAV och cbpolicyd, som gör det möjligt att på ett pålitligt sätt filtrera inkommande e-post, så att skräppost, samt infekterade och phishing-meddelanden sorteras bort. Trots detta har dessa verktyg en betydande nackdel, nämligen att de alla arbetar med e-postmeddelanden som redan har mottagits och förbrukar systemresurser på att filtrera bort oanvändbara meddelanden, vilket alltid kan användas mer effektivt. Men vad händer om ditt företag har blivit måltavla för ett stort botnät, som ständigt översvämmer din e-postserver med så stora mängder skräppost, att en stor del av serverkapaciteten MTA går åt enbart för att filtrera dem?

Teoretiskt kan man skydda sig mot detta genom att ansluta en molntjänst för filtrering av inkommande e-post, men i praktiken passar denna skyddsmetod långt ifrån alla företag, eftersom man i så fall måste anförtro tredje parter med hanteringen av både skräppost och affärskommunikation, vilket inte alltid är säkert och ofta direkt strider mot företagets säkerhetspolicy. Dessutom uppstår risker kopplade till pålitligheten av molnets skräppostfilter. En lösning på denna situation kan vara att organisera sitt eget serverförsvar. För detta ändamål har Zimbra integrerat verktyget Postscreen, som är avsett att skydda e-postservern från meddelanden som skickas av botnät utan att belasta e-postservern.

Essensen av Postscreen är att denna verktyg granskar alla anslutningsförfrågningar till e-posten servern och hindrar misstänkta klienter från att koppla upp sig mot servern. Eftersom statistiken visar att cirka 90 % av världens skräppost skickas av botnät, används Postscreen ofta som det första skyddet för e-postservern mot oönskad e-post. Tack vare detta kan e-postservern fungera stabilt utan överbelastningar även under tunga skräppostattacker från stora botnät.

Postscreen fungerar ganska enkelt, verktyget kan utföra en serie grundläggande kontroller av inkommande meddelanden innan de vidarebefordras till e-postservern eller andra tjänster som gör en mer djupgående och detaljerad kontroll av inkommande meddelanden. Var och en av kontrollerna kan antingen passera eller misslyckas. Baserat på resultaten av varje kontroll kan Postscreen vidta en av tre åtgärder beroende på vad administratören av Zimbra valt: Drop, Ignore eller Enforce. Åtgärden Drop avbryter tvingande anslutningen till klienten om kontrollen misslyckas, åtgärden Ignore tillåter att ignorera resultaten av kontrollen vid det slutgiltiga beslutet, men samlar samtidigt information och statistik om genomförda kontroller, medan åtgärden Enforce tillåter att beakta resultaten av genomförda kontroller vid det slutgiltiga beslutet, men fortsätter att utföra alla tester som systemadministratören har planerat.

En enkel arbetsprincip betyder inte enkelhet vid användning och konfiguration. Problemet är att en felkonfigurerad Postscreen kan bli orsaken till att en rad viktiga företagsmeddelanden inte når sin mottagare. Därför måste konfigurationen av ett så kraftfullt verktyg som Postscreen hanteras med stor försiktighet och kontrolleras kontinuerligt för beteenden i olika situationer.

Postscreen är aktiverat från början i Zimbra, men många kanske inte är nöjda med den ursprungliga konfigurationen. Nu ska vi se på den säkraste och mest riskfria inställningen av Postscreen. Poängen är att efter ett misslyckande i någon av kontrollerna kommer Postscreen inte omedelbart att bryta anslutningen med klienten, utan kommer att genomföra alla kontroller till slutet, och om dessa kontroller misslyckas, ge ett felmeddelande. Detta möjliggör att informera en verklig avsändare om att meddelandet inte levererades om Postscreen misstagit det för skräppost. Detta uppnås genom att ställa in värdet enforce i kontrollparametrarna. Detta värde tillåter att påbörjade kontroller avslutas, utan att bryta anslutningen vid det första misslyckandet, men ändå blockera skräppostmeddelandet efter att kontrollerna avslutats, utan att leverera det till servern.

För att aktivera nödvändiga kontroller, skriv följande kommandon:

zmprov mcf zimbraMtaPostscreenDnsblSites ‘b.barracudacentral.org=127.0.0.2*7’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[10;11]*8’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.[4..7]*6’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.3*4’ zimbraMtaPostscreenDnsblSites ‘zen.spamhaus.org=127.0.0.2*3’

Detta kommando tillåter att lägga till en DNS-kontroll av inkommande anslutningar mot de två mest populära offentliga skräppostdatabaserna och att betygsätta meddelanden baserat på vilken databas avsändaradressen hittas i. Ju fler straff «stjärnor» kunden samlar, desto mer troligt är det att han är en skräppostare.

zmprov mcf zimbraMtaPostscreenDnsblAction enforce

Detta kommando definierar åtgärden som utförs baserat på resultaten av DNS-kontrollen. I detta fall kommer resultatet av kontrollen att sparas, medan meddelandet fortsätter att genomgå ytterligare tester.

zmprov mcf zimbraMtaPostscreenGreetAction enforce

Eftersom i SMTP-protokollet, efter direkt anslutning, börjar servern först kommunikationen med klienten och därmed kan Postscreen skicka en hälsning till klienten. Tack vare att många skräppostklienter, utan att invänta slutet på hälsningen, börjar skicka kommandon, kan de lätt kännas igen. Detta kommando gör det möjligt att beakta resultaten från denna kontroll, men samtidigt fortsätta att utföra ytterligare tester.

zmprov mcf zimbraMtaPostscreenNonSmtpCommandAction drop

Inom ramen för denna kontroll möjliggör Postscreen att filtrera bort de anslutningar som inte kommer från e-postklienter. Eftersom de inte skickar några e-postmeddelanden kan man utan tvekan koppla bort dem från servern.

zmprov mcf zimbraMtaPostscreenPipeliningAction enforce

Denna kontroll baseras på att en klient som standard i SMTP-protokollet kan skicka endast ett kommando i taget och sedan vänta på serverns svar på detta kommando. Men många skräppost-botar beter sig annorlunda genom att skicka flera kommandon utan att vänta på ett svar från servern. Detta gör det nästan felfritt att identifiera en skräppost-bot.

I princip kommer dessa kontroller för Postscreen vara mer än tillräckliga för att filtrera bort den största delen av skräppost-botarna och uppnå en betydande minskning av lasten på din e-postserver. Samtidigt kommer riktiga människor att få meddelanden om att deras e-postmeddelande inte har levererats, vilket avsevärt minskar risken för att viktiga meddelanden går förlorade på grund av Postscreen-inställningar. Om detta inträffar kan du lägga till en pålitlig avsändare i Postscreen:s vitlista. För att skapa vita och svarta listor i Postscreen måste du först skapa en fil. /opt/zimbra/conf/postfix/postscreen_wblist.

I den kommer vi att lägga till en lista över tillåtna och förbjudna ip-adresser och delnät i CIDR-tabellformat. Som exempel Blockerar vi delnätet 121.144.169.*, men tillåter anslutningen för en enda IP-adressen från detta delnät:

# Rules are evaluated in the order as specified.
# Blacklist 121.144.169.* except 121.144.169.196.
121.144.169.196/32 permit
121.144.169.0/24 reject

Vi vill påpeka vikten av ordningen på posterna. Anledningen är att Postscreen kommer att skanna filen med vita och svarta listor tills den hittar den första matchningen, och om den blockerade delnätet står före den tillåtna ip-adressen kommer kontrollen helt enkelt inte att nå posten om att denna ip-adress är i vitlistan och anslutningen till servern kommer inte att ske.

När filen med de vita och svarta listorna har redigerats och sparats, kan den relevanta kontrollen aktiveras med hjälp av följande kommandon:

zmprov mcf zimbraMtaPostscreenAccessList «permit_mynetworks, cidr:⁄opt⁄zimbra⁄conf⁄postfix⁄postscreen_wblist»
zmprov mcf zimbraMtaPostscreenBlacklistAction enforce

Nu kommer Postscreen, förutom de kontroller vi redan angivit, också att hänvisa till filen med de vita och svarta listorna, vilket möjliggör för administratören att relativt enkelt lösa problem med anslutningssvårigheter för pålitliga avsändare.

Källa: habr.com