Erstellen eines eigenen Mailservers mit FreeBSD 11

• Überblick
• Ersteinrichtung
• Firewall-Setup
• OpenSMTPd
• Spam konfigurieren
• Taubenschlag
• Fazit

Das Betreiben eines eigenen E-Mail-Servers kann sehr lohnend sein. Sie sind für Ihre Daten verantwortlich. Es ermöglicht Ihnen auch mehr Flexibilität bei Ihren Lieferoptionen. Es gibt jedoch einige Herausforderungen. Sie laufen Gefahr, Ihren Server für Sicherheitslücken zu öffnen und Ihren Server zu einem potenziellen Relais für Spammer zu machen.

Nachdem dies aus dem Weg geräumt ist, können wir unseren eigenen Mailserver betreiben.

Überblick

Für die Installation sind drei erforderliche Softwareteile erforderlich, die nicht im FreeBSD-Basissystem enthalten sind:

• OpenSMTPd
• Taubenschlag
• Spam

OpenSMTPd ist ein Mail Transfer Agent (MTA) und Mail Delivery Agent (MDA). Dies bedeutet, dass es über das SMTPProtokoll mit anderen Mailservern kommunizieren kann und auch die Zustellung von E-Mails an die Postfächer der einzelnen Benutzer übernimmt. Wir werden OpenSMTPd so einrichten, dass es mit externen Servern (gefiltert durch Spam) kommunizieren und E-Mails an lokale Benutzer sowie lokale E-Mails von Benutzer zu Benutzer senden kann.

Dovecot ist ein MDA, der lokale Postfächer liest und sie über IMAP oder POP3 an die Benutzer weiterleitet. Es werden die Postfächer der lokalen Benutzer verwendet, um diesen Inhalt bereitzustellen.

Spamd ist ein E-Mail-Filterdienst. Wir können E-Mails über Spam weiterleiten und E-Mails werden anhand einer Vielzahl von Blacklists, Whitelists und einer Greylist gefiltert.

Die allgemeine Idee für diesen Mailserver erfordert einige verschiedene Pfade:

Outside world -> Firewall -> spamd -> OpenSMTPD -> User mail boxes
Outside world -> Firewall (spamd-whitelist) -> OpenSMTPD -> User mailboxes
Outside world -> Firewall (IMAP/POP3) -> Dovecot
Outside world -> Firewall (SMTPD submission)

In diesem Tutorial verwenden wir die FreeBSD-Version von OpenBSDs PF für unsere Firewall. Sie können auch verwenden ipfw, wenn die Konfiguration sehr ähnlich ist.

Hinweis: Vultr blockiert standardmäßig Port 25, der von SMTP-Servern überall verwendet wird. Wenn Sie einen voll funktionsfähigen E-Mail-Server ausführen möchten, müssen Sie diesen Port öffnen.

Ersteinrichtung

Zuerst müssen wir die erforderlichen Programme installieren.

Angenommen, Sie werden als Benutzer mit eingerichtetem Sudo-Zugriff ausgeführt, können wir die folgenden Befehle ausführen. Sie variieren je nachdem, ob Sie Ports oder Pakete verwenden.

Pakete (empfohlen)

Sofern Sie keine spezifischen Funktionen benötigen, die in diese Dienstprogramme integriert sind, wird empfohlen, die Installation über Pakete durchzuführen. Es ist einfacher, benötigt weniger Serverzeit und Ressourcen und bietet eine intuitive, benutzerfreundliche Oberfläche.

sudo pkg install opensmtpd dovecot spamd

Die folgenden makeBefehle bieten Ihnen viele Kompilierungsoptionen. Die Standardeinstellungen funktionieren einwandfrei. Ändern Sie diese nur, wenn Sie genau wissen, was Sie tun.

sudo portsnap fetch update   # or run portsnap fetch extract if using ports for the first time
cd /usr/ports/mail/opensmtpd  
make install  # Installs openSMTPd
make clean
cd /usr/ports/mail/dovecot
make install  # Installs dovecot
make clean
cd /usr/ports/mail/spamd
make install  # Installs spamd
make clean

Wir müssen die folgenden Zeilen hinzufügen /etc/rc.conf:

pf_enable="YES"
pf_rules="/usr/local/etc/pf.conf"
pflog_enable="YES"
pflog_logfile="/var/log/pflog"

obspamd_enable="YES"
obspamd_flags="-v"
obspamlogd_enable="YES"

dovecot_enable="YES"

Firewall-Setup

Um PF zu konfigurieren, können wir Folgendes erstellen /usr/local/etc/pf.conf:

## Set public interface ##
ext_if="vtnet0"

## set and drop IP ranges on the public interface ##
martians = "{ 127.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12, \
          10.0.0.0/8, 169.254.0.0/16, 192.0.2.0/24, \
          0.0.0.0/8, 240.0.0.0/4 }"

table <spamd> persist
table <spamd-white> persist

# Whitelisted webmail services
table <webmail> persist file "/usr/local/etc/pf.webmail.ip.conf"

## Skip loop back interface - Skip all PF processing on interface ##
set skip on lo

## Sets the interface for which PF should gather statistics such as bytes in/out and packets passed/blocked ##
set loginterface $ext_if

# Deal with attacks based on incorrect handling of packet fragments 
scrub in all


# Pass spamd whitelist
pass quick log on $ext_if inet proto tcp from <spamd-white> to $ext_if port smtp \
    -> 127.0.0.1 port 25
# Pass webmail servers
rdr pass quick log on $ext_if inet proto tcp from <gmail> to $ext_if port smtp \
    -> 127.0.0.1 port 25
# pass submission messages.
pass quick log on $ext_if inet proto tcp from any to $ext_if port submission modulate state
# Pass unknown mail to spamd
rdr pass log on $ext_if inet proto tcp from {!<spamd-white> <spamd>} to $ext_if port smtp \
    -> 127.0.0.1 port 8025 

## Blocking spoofed packets
antispoof quick for $ext_if

## Set default policy ##
block return in log all
block out all

# Drop all Non-Routable Addresses 
block drop in quick on $ext_if from $martians to any
block drop out quick on $ext_if from any to $martians

pass in inet proto tcp to $ext_if port ssh

# Allow Ping-Pong stuff. Be a good sysadmin 
pass inet proto icmp icmp-type echoreq

# Open up imap/pop3 support
pass quick on $ext_if proto tcp from any to any port {imap, imaps, pop3, pop3s} modulate state


# Allow outgoing traffic
pass out on $ext_if proto tcp from any to any modulate state
pass out on $ext_if proto udp from any to any keep state

Dies ist eine funktionierende PF-Konfiguration. Es ist relativ einfach, aber es gibt auch einige Macken, die erklärt werden müssen.

Zunächst definieren wir unsere $ext_ifVariable, die unser vtnet0Gerät später verwenden soll. Wir definieren auch ungültige IP-Adressen, die auf der externen Schnittstelle abgelegt werden sollen.

Wir definieren auch zwei Tabellen spamdund spamd-white- diese beiden Tabellen werden in der Standardkonfiguration von spamd erstellt. Außerdem definieren wir eine Tabelle mit dem Namen webmail, anhand derer wir einige wichtige Webmail-Anbieter durchlassen können.

Um eine Tabelle anzuzeigen, können Sie mit dem Befehl pfctl -t tablename -T showdie Elemente in einer Tabelle auflisten.

Wir haben einige PF-Regeln festgelegt: Überspringen der Verarbeitung auf der lokalen Schnittstelle, Aktivieren von Statistiken auf der externen Schnittstelle und Bereinigen eingehender Pakete.

Als nächstes kommt einer der wichtigsten Teile, in denen wir den Datenverkehr an Spamd oder OpenSMTPd weiterleiten.

An erster Stelle steht eine Umleitungsregel (beachten Sie die Syntax hier, FreeBSD 11 verwendet die ältere PF-Syntax (vor OpenBSD 4.6), sodass die Syntax möglicherweise seltsam erscheint. Wenn wir etwas auf SMTP von einem Host erhalten, der in der spamdTabelle aufgeführt oder nicht in aufgeführt ist In der spamd-whiteTabelle leiten wir die Verbindung an den Spamd-Daemon weiter, der sich mit diesen Verbindungen befasst. Die nächsten drei Regeln sind Passthrough-Regeln, damit wir tatsächlich E-Mails empfangen können. Wir leiten Nachrichten von den in der spamd-whiteund den webmailTabellen aufgeführten IPs direkt an weiter OpenSMTPd. Außerdem akzeptieren wir Nachrichten am Submission Port ( 587).

Dann gibt es ein paar Housekeeping-Regeln, um unsere Standardrichtlinie festzulegen und SSH- und ICMP-Nachrichten zu akzeptieren.

Wir übergeben dann IMAP und POP3 an unsere externe Schnittstelle, um auf Dovecot zuzugreifen.

Zuletzt erlauben wir den gesamten ausgehenden Verkehr. Wenn Sie zusätzliche Sicherheit hinzufügen möchten, können Sie die von Ihnen übergebenen Ports einschränken. Für einen Einwegserver ist es jedoch kein Problem, alles zu übergeben.

PF starten:

sudo service pf start

Nachdem wir unsere Firewall eingerichtet haben, können wir mit unserer Mailserverkonfiguration fortfahren.

OpenSMTPd

OpenSMTPd verfügt über eine sehr einfache und leicht lesbare Konfigurationssyntax. Eine gesamte Arbeitskonfiguration kann in 14 Zeilen passen, wie Sie unten sehen können:

#This is the smtpd server system-wide configuration file.
# See smtpd.conf(5) for more information.

ext_if=vtnet0

# If you edit the file, you have to run "smtpctl update table aliases"
table aliases   file:/etc/mail/aliases
table domains   file:/etc/mail/domains

# Keys
pki mail.example.com key "/usr/local/etc/letsencrypt/live/mail.example.com/privkey.pem"
pki mail.example.com certificate "/usr/local/etc/letsencrypt/live/mail.example.com/fullchain.pem"
# If you want to listen on multiple subdomains (e.g. mail.davidlenfesty) you have to add more lines
# of keys, and more lines of listeners

# Listen for local SMTP connections
listen on localhost hostname mail.example.com

# listen for filtered spamd connections
listen on lo0 port 10026

# Listen for submissions
listen on $ext_if port 587 tls-require auth pki mail.example.com tag SUBMITTED

# Accept mail from external sources.
accept from any for domain <domains> alias <aliases> deliver to maildir "~/mail"

accept for local alias <aliases> deliver to maildir "~/mail"
accept from local for any relay tls
accept tagged SUBMITTED for any relay tls

Zunächst definieren wir erneut unsere externe Schnittstelle sowie einige Tabellen, Aliase und Domänen. Anschließend wechseln wir zum SSL-Schlüssel und -Zertifikat für alle Domänen, unter denen wir E-Mails verarbeiten möchten.

Im nächsten Abschnitt definieren wir die Schnittstellen und Ports, die wir abhören möchten. Erstens warten wir auf localhost auf unsere mail.example.comDomain und auf lokale Verbindungen. Dann warten wir auf unsere Spamd-gefilterten Nachrichten und übermittelten Nachrichten auf der externen Schnittstelle. Zuletzt warten wir auf Übermittlungen, die auf dem Port stattfinden, 587und wir fordern sie aus Sicherheitsgründen zur Authentifizierung auf.

Zuletzt sind unsere acceptEinstellungen. Wir akzeptieren jede Nachricht für eine unserer in unserer domainsTabelle definierten Domänen für Aliase in unserer aliasesTabelle, um sie im maildirFormat an ihr Ausgangsverzeichnis zu senden . Dann akzeptieren wir alle lokalen Verbindungen für lokale Postfächer und leiten unsere Nachrichten weiter, damit wir E-Mails senden können. Zuletzt akzeptieren wir unsere übermittelten Nachrichten zur Weiterleitung. Wenn wir keine Authentifizierung für unseren Übermittlungsport benötigen würden, wäre dies ein großes Sicherheitsrisiko. Dadurch kann jeder unseren Server als Spam-Relay verwenden.

Aliase

FreeBSD wird mit einer Standard-Aliasdatei /etc/mail/aliasesim folgenden Format geliefert:

vuser1:  user1
vuser2:  user1
vuser3:  user1
vuser4:  user2

Dies definiert die verschiedenen Postfächer und wohin Nachrichten weitergeleitet werden sollen, die an diese definierten Postfächer gesendet werden. Wir können unsere Benutzer entweder als lokale Systembenutzer oder als externe Postfächer definieren, an die sie weitergeleitet werden sollen. Die Standard-FreeBSD-Datei ist sehr beschreibend, sodass Sie als Referenz darauf verweisen können.

Domänen

FreeBSD liefert keine Standarddomänendatei, aber das ist unglaublich einfach:

# Domains
example.com
mail.example.com
smtp.example.com

Dies ist nur eine einfache Textdatei mit jeder Domain, die Sie in einer neuen Zeile anhören möchten. Mit dem #Symbol können Sie einen Kommentar abgeben. Diese Datei existiert einfach, damit Sie weniger Konfigurationszeilen verwenden können.

SSL-Zertifikate

Es gibt zwei Möglichkeiten, um Ihre Kommunikation mit Ihrem Mailserver zu sichern: selbstsignierte und signierte Zertifikate. Es ist sicherlich möglich, Ihre Zertifikate selbst zu signieren. Dienste wie Let's Encrypt bieten jedoch kostenlose und unglaublich einfach zu verwendende Signaturen.

Zuerst müssen wir das certbot-Programm installieren.

sudo pkg install py-certbot

Alternativ kann es mit Ports installiert werden:

cd /usr/ports/security/py-certbot
make install
make clean

Um Ihr Zertifikat zu erhalten, müssen Sie sicherstellen, dass Sie den Port 80Ihrer externen Schnittstelle geöffnet haben . Fügen Sie die folgenden Zeilen irgendwo in Ihre Filterregeln ein /usr/local/etc/pf.conf:

pass quick on $ext_if from any to any port http

Führen Sie dann aus pfctl -f /usr/local/etc/pf.conf, um den Regelsatz neu zu laden.

Anschließend können Sie den Befehl für alle Domänen ausführen, für die Sie ein Zertifikat erhalten möchten:

certbot certonly --standalone -d mail.example.com

Es wird empfohlen, einen Crontab-Eintrag einzurichten, der certbot renewalle 6 Monate ausgeführt wird, um sicherzustellen, dass Ihre Zertifikate nicht ablaufen.

Anschließend können Sie für jede relevante Domäne die Zeilen so ändern, dass sie auf die richtige Schlüsseldatei verweisen:

pki mail.example.com key "/usr/local/etc/letsencrypt/live/mail.example.com/privkey.pem"
pki mail.example.com certificate "/usr/local/etc/letsencrypt/live/mail.example.com/fullchain.pem"

Bearbeiten Sie die Wertpapiere:

sudo chmod 700 /usr/local/etc/letsencrypt/archive/mail.example.com/*

Hinweis: Sie müssen dies für jede ursprüngliche Schlüsseldatei tun, sonst öffnet OpenSMTPd sie nicht.

Jetzt können wir den Dienst starten:

sudo service smtpd start

Spam konfigurieren

Hier verwenden wir den Spamd-Daemon von OpenBSD, um die Menge an Spam zu reduzieren, die wir aus dem Internet erhalten. Im Wesentlichen werden dadurch Nachrichten von IPs herausgefiltert, die aus verschiedenen Spam-Quellen als fehlerhaft bekannt sind, sowie (standardmäßig) eingehende Verbindungen "grau aufgelistet". Spamd versucht auch, die Zeit des Spammers zu verschwenden, indem er Verbindungen auf der schwarzen Liste und auf der grauen Liste "stottert", was bedeutet, dass die Antwort über mehrere Sekunden verteilt wird, wodurch der Client gezwungen wird, länger als gewöhnlich offen zu bleiben.

Das Greylisting einer Verbindung erfolgt, wenn eine neue IP-Adresse hergestellt wird, die nicht auf einer Blacklist oder Whitelist steht. Sobald die neue Adresse eine Verbindung hergestellt hat, löscht Spam die Nachricht mit einer harmlosen Fehlermeldung und fügt sie einer temporären Liste hinzu. Da Spammer für zugestellte Nachrichten bezahlt werden, versuchen sie es nicht erneut mit einem Fehler, wohingegen ein legitimer Dienst es relativ bald erneut versucht.

Zum Mounten müssen Sie Folgendes ausführen fdescfs:

mount -t fdescfs null /dev/fd

Dann müssen Sie diese Zeile hinzufügen zu /etc/fstab:

fdescfs     /dev/fd     fdescfs rw      0       0

Die Standardkonfigurationsdatei (gefunden in /usr/local/etc/spamd/spamd.conf.sample) funktioniert einwandfrei. Sie können es bearbeiten, um neue Quellen hinzuzufügen oder die von Ihnen verwendeten Quellen zu ändern:

sudo cp /usr/local/etc/spamd/spamd.conf.sample /usr/local/etc/spamd/spamd.conf

Wir können den Dienst wie folgt starten:

sudo service obspamd start

Zu diesem Zeitpunkt wird Spam eingerichtet.

Aktivieren von Webmail-Diensten

Ein Problem beim Greylisting-Ansatz besteht darin, dass große E-Mail-Dienste häufig E-Mails über einen von vielen verschiedenen Spools senden und nicht garantiert wird, dass jedes Mal derselbe Server die Nachricht sendet. Eine Lösung hierfür ist die Whitelist der IP-Bereiche, die von verschiedenen Webmail-Diensten verwendet werden. Dafür wird die Webmail-Tabelle in der PF-Konfiguration verwendet. Diese Strategie kann nach hinten losgehen, wenn Sie eine IP-Adresse angeben, die ein Spammer verwendet. Solange Sie jedoch vorsichtig sind, welche Bereiche Sie in die Tabelle aufnehmen, ist dies in Ordnung.

Um der Webmail-Tabelle einen E-Mail-Bereich hinzuzufügen, können Sie den folgenden Befehl ausführen:

pfctl -t webmail -T add 192.0.2.0/24

Taubenschlag

Wenn Benutzer auf ihre E-Mails zugreifen sollen, ohne sich über SSH anzumelden, benötigen Sie einen MDA, der IMAP und / oder POP3 unterstützt. Ein sehr beliebtes Programm ist Dovecot mit einer relativ einfachen Konfiguration und leistungsstarken Funktionen.

Wir können über die Standardkonfiguration kopieren:

cd /usr/local/etc/dovecot
cp -R example-config/* ./

Die Konfiguration besteht aus einigen verschiedenen Dateien. Führen Sie den folgenden Befehl aus, um die Unterschiede zwischen Ihrer Konfiguration und den Dovecot-Standardeinstellungen anzuzeigen:

sudo doveconf -n

Das Folgende ist eine einfache, funktionierende Konfiguration:

# 2.3.2.1 (0719df592): /usr/local/etc/dovecot/dovecot.conf
# OS: FreeBSD 11.2-RELEASE amd64  
# Hostname: mail.example.com
hostname = mail.example.com
mail_location = maildir:~/mail
namespace inbox {
  inbox = yes
  location = 
  mailbox Archive {
    auto = create
    special_use = \Archive
  }
  mailbox Archives {
    auto = create
    special_use = \Archive
  }
  mailbox Drafts {
    auto = subscribe
    special_use = \Drafts
  }
  mailbox Junk {
    auto = create
    autoexpunge = 60 days
    special_use = \Junk
  }
  mailbox Sent {
    auto = subscribe
    special_use = \Sent
  }
  mailbox "Sent Mail" {
    auto = no
    special_use = \Sent
  }
  mailbox "Sent Messages" {
    auto = no
    special_use = \Sent
  }
  mailbox Spam {
    auto = no
    special_use = \Junk
  }
  mailbox Trash {
    auto = no
    autoexpunge = 90 days
    special_use = \Trash
  }
  prefix = 
  separator = /
}
passdb {
  args = imap
  driver = pam
}
ssl = required
ssl_cert = </usr/local/etc/letsencrypt/live/mail.example.com/fullchain.pem
ssl_dh = </usr/local/etc/dovecot/dh.pem
ssl_key = </usr/local/etc/letsencrypt/live/mail.example.com/privkey.pem
userdb {
  driver = passwd
}

Die meisten Konfigurationsdateien befinden sich in conf.d

Die wichtigsten sind 10-auth.conf, 10-mail.confund 10-ssl.conf.

Sie können die verschiedenen Postfächer konfigurieren, in denen Sie verwenden 15-mailboxes.conf. Was Sie oben sehen, ist eine gute Konfiguration für viele Systeme, aber Ihr Kilometerstand kann variieren. Es wird empfohlen, mit so vielen verschiedenen Kunden wie möglich herumzuspielen.

Authentifizierung

Die meisten Standardeinstellungen sind korrekt. Wenn Sie die Systembenutzer zur Authentifizierung verwenden möchten, müssen Sie diese bearbeiten 10-auth.conf.

Kommentieren Sie die folgende Zeile aus:

! include auth-system.conf.ext

Verschlüsselung

Wir müssen Diffie-Hellman-Parameter generieren:

sudo nohup openssl dhparam -out /usr/local/etc/dovecot/dh.pem

Hinweis: Die Ausführung dauert lange. Viel länger als erwartet.

Wir können jetzt Dovecot starten:

sudo service dovecot start

Fazit

Derzeit verfügen wir über einen funktionierenden, sicheren und relativ spamfreien Mailserver.

Einige weitere Dinge, die Sie von hier aus untersuchen sollten, sind die Verwendung von SpamAssassin, um Spam heuristisch zu entfernen, sowie das Auffinden weiterer Spam-Blacklists, die von vertrauenswürdigen Quellen veröffentlicht wurden.