3 changed files with 388 additions and 2 deletions
@ -0,0 +1,384 @@ |
|||||||
|
--- |
||||||
|
title: Почтовый шлюз: задание со звёздочкой (Настройка самого exim'а) |
||||||
|
tags: mail, spam, exim |
||||||
|
--- |
||||||
|
|
||||||
|
Прежде чем накручивать внешние сервисы, нужно посмотреть, что можно сделать встроенными средствами самого exim'а. |
||||||
|
|
||||||
|
Далее идут куски конфига exim'а с пояснениями по месту. |
||||||
|
В случаях, когда опыт и стандарт не совпадают - предпочтение отдавалось опыту. |
||||||
|
|
||||||
|
--- |
||||||
|
|
||||||
|
Из конфига убрано всё лишнее, для удобства воспрятия. |
||||||
|
По большему счёту использовались только lookup'ы, особенности протокола, dnsbl и встроенный spf. |
||||||
|
|
||||||
|
Пару слов насчёт dnsbl: используйте. |
||||||
|
Как бы на них не ругались, нервные клетки, сэкономленные на отстреле всякой нечисти, |
||||||
|
стоят той небольшой их части, которую вы потратите на вытаскивание особо одарённых в исключения. |
||||||
|
|
||||||
|
Кроме того важен психологический момент: клиент **сам** попал в блэклист, |
||||||
|
и то что до нас не доходит его почта - соотвественно **его собственный** косяк. |
||||||
|
|
||||||
|
## --------------------------------------------------------- |
||||||
|
# общие настройки |
||||||
|
## --------------------------------------------------------- |
||||||
|
split_spool_directory |
||||||
|
rfc1413_query_timeout = 0s |
||||||
|
local_scan_timeout = 50s |
||||||
|
disable_ipv6 = true |
||||||
|
dns_ipv4_lookup = * |
||||||
|
untrusted_set_sender = * |
||||||
|
local_from_check = false |
||||||
|
message_size_limit = 15m |
||||||
|
ignore_bounce_errors_after = 45m |
||||||
|
|
||||||
|
# эти настройки специфичны для вашего дистрибутива |
||||||
|
exim_user = mailnull |
||||||
|
exim_group = mail |
||||||
|
trusted_users = mailnull : nobody |
||||||
|
|
||||||
|
# на этой опции основана одна из проверок для совсем тупых ботов. |
||||||
|
# при попытке использовать pipeline, когда мы его не анонсируем - |
||||||
|
# сбрасывать соединение |
||||||
|
# в postfix'е соответствует reject_unauth_pipeline |
||||||
|
pipelining_advertise_hosts = |
||||||
|
|
||||||
|
# не разрешать домены в виде @[ip-адрес] |
||||||
|
# в стандарте оно есть, но никто в здравом уме ими не пользуется |
||||||
|
allow_domain_literals = false |
||||||
|
|
||||||
|
# настройки smtp-соединений |
||||||
|
smtp_accept_queue_per_connection = 200 |
||||||
|
smtp_accept_max = 1000 |
||||||
|
smtp_accept_reserve = 200 |
||||||
|
smtp_accept_max_per_host = 10 |
||||||
|
smtp_reserve_hosts = +relay_from_hosts : +our_networks : +our_hosts |
||||||
|
|
||||||
|
# как представляться в EHLO общем случае |
||||||
|
primary_hostname = relay.example.com |
||||||
|
# на каких адресах принимать соединения |
||||||
|
local_interfaces = 4.3.2.1 : 192.168.15.2 |
||||||
|
# КРАЙНЕ ЖЕЛАТЕЛЬНО, чтобы в DNS PTR для первого адреса |
||||||
|
# было прописано relay.example.com |
||||||
|
# обратитесь к провайдеру |
||||||
|
|
||||||
|
host_lookup = * |
||||||
|
host_reject_connection = +include_unknown |
||||||
|
|
||||||
|
helo_allow_chars = _ |
||||||
|
helo_try_verify_hosts = * |
||||||
|
|
||||||
|
# уменьшает количество логов |
||||||
|
log_selector = \ |
||||||
|
-host_lookup_failed \ |
||||||
|
-lost_incoming_connection \ |
||||||
|
-queue_run |
||||||
|
|
||||||
|
# домены, почта для которых доставляется в пределах этой машины |
||||||
|
domainlist local_domains = relay.example.com |
||||||
|
|
||||||
|
# spam_domains - домены, от которых идёт только спам |
||||||
|
# known_domains - домены, с которыми работаем постоянно |
||||||
|
# не включайте сюда shared-мегапомойки типа @mail.ru! |
||||||
|
domainlist our_domains = /etc/exim/lists/our_domains |
||||||
|
domainlist spam_domains = /etc/exim/lists/spam_domains |
||||||
|
domainlist known_domains = /etc/exim/lists/known_domains |
||||||
|
|
||||||
|
# trusted_hosts - пропустить большнство проверок для этих хостов |
||||||
|
# relay_from_hosts - разрешить пересылку почты на внешние домены с этих адресов |
||||||
|
hostlist our_hostnames = relay.example.com |
||||||
|
hostlist relay_from_hosts = 127.0.0.1 : 192.168.15.4 |
||||||
|
hostlist our_hosts = /etc/exim/lists/our_hosts |
||||||
|
hostlist our_networks = /etc/exim/lists/our_networks |
||||||
|
hostlist trusted_hosts = /etc/exim/lists/trusted_hosts |
||||||
|
hostlist spam_hosts = /etc/exim/lists/spam_hosts |
||||||
|
hostlist helo_whitelist = /etc/exim/lists/helo_whitelist |
||||||
|
hostlist helo_spam_regexps = /etc/exim/lists/helo_spam_regexps |
||||||
|
|
||||||
|
## --------------------------------------------------------- |
||||||
|
acl_smtp_helo = check_helo |
||||||
|
acl_smtp_rcpt = check_rcpt |
||||||
|
acl_smtp_data = check_data |
||||||
|
|
||||||
|
begin acl |
||||||
|
## --------------------------------------------------------- |
||||||
|
# различные проверки хостов по helo/ehlo |
||||||
|
## --------------------------------------------------------- |
||||||
|
check_helo: |
||||||
|
drop message = HELO/EHLO require by SMTP RFC |
||||||
|
hosts = !+trusted_hosts |
||||||
|
condition = ${if eq{$sender_helo_name}{} {yes}{no}} |
||||||
|
|
||||||
|
drop message = IP address in HELO |
||||||
|
hosts = !+trusted_hosts |
||||||
|
condition = ${if match{$sender_helo_name}{\N^\[[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+\]?$\N} {yes}{no}} |
||||||
|
delay = 5s |
||||||
|
|
||||||
|
drop message = localhost in HELO/EHLO |
||||||
|
hosts = !+trusted_hosts |
||||||
|
condition = ${if match {$sender_helo_name} {\N^(127\.0\.0\.1|localhost(\.localdomain)?)$\N} {yes}{no}} |
||||||
|
delay = 5s |
||||||
|
|
||||||
|
drop message = HELO should be FQDN |
||||||
|
hosts = !+trusted_hosts |
||||||
|
condition = ${if !match{$sender_helo_name} {\N.*[A-Za-z0-9-]{2,}\.[A-Za-z]{2,6}$\N} {yes}{no}} |
||||||
|
delay = 5s |
||||||
|
|
||||||
|
accept message = Ignoring HELO/EHLO check, host was added to whitelist |
||||||
|
hosts = +trusted_hosts |
||||||
|
condition = ${lookup{$sender_helo_name}wildlsearch*{/etc/exim/lists/helo_whitelist} {yes}{no}} |
||||||
|
|
||||||
|
drop message = Dont like your hostname |
||||||
|
hosts = !+trusted_hosts |
||||||
|
condition = ${lookup{$sender_helo_name}wildlsearch*{/etc/exim/lists/helo_spam_regexps} {yes}{no}} |
||||||
|
delay = 5s |
||||||
|
|
||||||
|
drop message = Using my HELO is a bad idea |
||||||
|
!hosts = +trusted_hosts : +our_networks |
||||||
|
condition = ${if match{$sender_helo_name}{+our_hostnames} {yes}{no}} |
||||||
|
delay = 5s |
||||||
|
|
||||||
|
# если helo/ehlo прошло проверки, но не идеально - включаем грейлист |
||||||
|
warn !verify = helo |
||||||
|
set acl_m_greylist = 1 |
||||||
|
|
||||||
|
accept |
||||||
|
|
||||||
|
## --------------------------------------------------------- |
||||||
|
# различные проверки получателей |
||||||
|
## --------------------------------------------------------- |
||||||
|
check_rcpt: |
||||||
|
# эти получатели могут получать всю почту, несмотря ни на какие проверки |
||||||
|
accept local_parts = postmaster : admin |
||||||
|
domains = +our_domains |
||||||
|
|
||||||
|
# эти хосты могут слать почту куда угодно, |
||||||
|
# но только от нашего имени |
||||||
|
accept hosts = +relay_from_hosts |
||||||
|
sender_domains = +our_domains |
||||||
|
|
||||||
|
# "наши" хосты могут слать почту внутри "наших" доменов |
||||||
|
# без авторизации |
||||||
|
accept hosts = +our_networks : +our_hosts |
||||||
|
domains = +our_domains |
||||||
|
|
||||||
|
# различные виды блокировок особо настырных |
||||||
|
# сообщения намерено оставлены неинформативными |
||||||
|
deny message = You are blocked |
||||||
|
sender_domains = +spam_domains |
||||||
|
|
||||||
|
deny message = You are blocked |
||||||
|
hosts = +spam_hosts |
||||||
|
|
||||||
|
deny message = You are blocked |
||||||
|
senders = wildlsearch*@;/etc/exim/lists/spam_domain_regexps |
||||||
|
|
||||||
|
deny message = You are blocked |
||||||
|
senders = wildlsearch*@;/etc/exim/lists/spam_emails |
||||||
|
|
||||||
|
reject message = You are not allowed to use submission port |
||||||
|
condition = ${if eq {$interface_port}{587} {yes}{no}} |
||||||
|
!hosts = +relay_from_hosts |
||||||
|
|
||||||
|
# проверки обратного dns-имени |
||||||
|
# впринципе, их можно вынести в отдельный list и свернуть в одно правило, |
||||||
|
# но так отправляется вменяемое сообщение в отлупе |
||||||
|
warn message = Bad rev hostname (missing) |
||||||
|
hosts = !+trusted_hosts |
||||||
|
condition = ${if eq{$sender_host_name}{} {yes}{no}} |
||||||
|
set acl_m_greylist = 1 |
||||||
|
delay = 5s |
||||||
|
|
||||||
|
deny message = Bad rev hostname (ip address, dashes) |
||||||
|
hosts = !+trusted_hosts |
||||||
|
condition = ${if match{$sender_host_name} {[0-9]+-[0-9]+-[0-9]+-[0-9]+} {yes}{no}} |
||||||
|
delay = 5s |
||||||
|
|
||||||
|
deny message = Bad rev hostname (ip address, dots) |
||||||
|
hosts = !+trusted_hosts |
||||||
|
condition = ${if match{$sender_host_name} {\N[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+\N} {yes}{no}} |
||||||
|
delay = 5s |
||||||
|
|
||||||
|
deny message = Bad rev hostname (adsl, pool, ppp & etc) |
||||||
|
hosts = !+trusted_hosts |
||||||
|
condition = ${if match{$sender_host_name} {[ax]dsl|pool|dialup|peer|dhcp|gprs|broadband|dslam|dynamicip|ppp|pptp|pppoe} {yes}{no}} |
||||||
|
delay = 5s |
||||||
|
|
||||||
|
deny message = Bad rev hostname (vps) |
||||||
|
hosts = !+trusted_hosts |
||||||
|
condition = ${if match{$sender_host_name} {vps[-\\.]?[0-9]+|\\.vps} {yes}{no}} |
||||||
|
delay = 5s |
||||||
|
|
||||||
|
# проверки SPF - встроенная в exim, включается ключом при компиляции |
||||||
|
drop message = SPF for sender domain not allows mail from your host |
||||||
|
hosts = !+trusted_hosts |
||||||
|
spf = fail |
||||||
|
|
||||||
|
warn message = SPF softfail, greylisted |
||||||
|
hosts = !+trusted_hosts |
||||||
|
spf = softfail |
||||||
|
set acl_m_greylist = 1 |
||||||
|
|
||||||
|
# дубовая проверка на подделку отправителя |
||||||
|
deny message = Sender is in our domains, but host is not |
||||||
|
sender_domains = +our_domains |
||||||
|
!hosts = +our_networks : +our_hosts |
||||||
|
|
||||||
|
accept hosts = : +trusted_hosts |
||||||
|
domains = +our_domains |
||||||
|
|
||||||
|
deny message = Host is listed in $dnslist_domain |
||||||
|
dnslists = zen.spamhaus.org:bl.spamcop.net |
||||||
|
delay = 30s |
||||||
|
|
||||||
|
# если число несуществующих получателей больше семи - отлуп, |
||||||
|
# это явно какая-то автоспамилка |
||||||
|
deny message = Max $rcpt_fail_count failed recipients allowed |
||||||
|
condition = ${if > {${eval:$rcpt_fail_count}}{7}{yes}{no}} |
||||||
|
delay = ${eval: ($rcpt_fail_count) * 30}s |
||||||
|
log_message = $rcpt_fail_count failed recipient attempts |
||||||
|
|
||||||
|
# кто-то пытается злоупотребить доверием |
||||||
|
# потом эти строчки в логе светятся в eximstats'е как новогодняя ёлка |
||||||
|
warn log_message = External mail relaying from 'trusted' hosts |
||||||
|
hosts = +trusted_hosts |
||||||
|
domains = !+our_domains |
||||||
|
|
||||||
|
# проверять получателей сразу, методом коннекта к нашему внутреннему почтовику |
||||||
|
# не принимать письма, если у нас нет таких юзеров |
||||||
|
deny message = No such user |
||||||
|
domains = +our_domains |
||||||
|
!verify = recipient/callout=10s,defer_ok/no_details |
||||||
|
|
||||||
|
# пометить письма от доменов, с которыми мы работаем постоянно |
||||||
|
# учитывается антиспамом, смотри далее |
||||||
|
warn remove_header = x-known-domain |
||||||
|
sender_domains = +known_domains |
||||||
|
add_header = X-Known-Domain: $sender_address_domain |
||||||
|
|
||||||
|
# место для проверки грейлистингом |
||||||
|
|
||||||
|
accept domains = +local_domains |
||||||
|
accept domains = +our_domains |
||||||
|
|
||||||
|
deny message = relay not permitted |
||||||
|
delay = 10s |
||||||
|
|
||||||
|
## --------------------------------------------------------- |
||||||
|
# проверки тела письма |
||||||
|
## --------------------------------------------------------- |
||||||
|
check_data: |
||||||
|
# тут пока ничего нет, см дальше |
||||||
|
|
||||||
|
## --------------------------------------------------------- |
||||||
|
# маршрутизация |
||||||
|
## --------------------------------------------------------- |
||||||
|
begin routers |
||||||
|
|
||||||
|
local_mail: |
||||||
|
driver = accept |
||||||
|
check_local_user |
||||||
|
domains = +local_domains |
||||||
|
transport = local_delivery |
||||||
|
|
||||||
|
our_mail_server: |
||||||
|
driver = manualroute |
||||||
|
domains = +our_domains |
||||||
|
route_list = * mail.example.com byname |
||||||
|
transport = local_smtp |
||||||
|
|
||||||
|
lookuphost: |
||||||
|
driver = dnslookup |
||||||
|
domains = ! +local_domains |
||||||
|
ignore_target_hosts = 127.0.0.0/8 |
||||||
|
transport = remote_smtp |
||||||
|
no_more |
||||||
|
|
||||||
|
system_aliases: |
||||||
|
driver = redirect |
||||||
|
allow_defer |
||||||
|
allow_fail |
||||||
|
data = ${lookup{$local_part}lsearch{/etc/aliases}} |
||||||
|
file_transport = address_file |
||||||
|
group = mail |
||||||
|
pipe_transport = address_pipe |
||||||
|
retry_use_local_part |
||||||
|
user = mailnull |
||||||
|
|
||||||
|
userforward: |
||||||
|
driver = redirect |
||||||
|
check_ancestor |
||||||
|
check_local_user |
||||||
|
no_expn |
||||||
|
file = $home/.forward |
||||||
|
file_transport = address_file |
||||||
|
pipe_transport = address_pipe |
||||||
|
reply_transport = address_reply |
||||||
|
no_verify |
||||||
|
|
||||||
|
localuser: |
||||||
|
driver = accept |
||||||
|
check_local_user |
||||||
|
transport = local_delivery |
||||||
|
|
||||||
|
## --------------------------------------------------------- |
||||||
|
# способы доставки |
||||||
|
## --------------------------------------------------------- |
||||||
|
begin transports |
||||||
|
|
||||||
|
# в interface указан наш адрес в локальной сети |
||||||
|
local_smtp: |
||||||
|
driver = smtp |
||||||
|
no_delay_after_cutoff |
||||||
|
interface = 192.168.15.2 |
||||||
|
|
||||||
|
# в interface указан наш внешний internet-адрес |
||||||
|
remote_smtp: |
||||||
|
driver = smtp |
||||||
|
interface = 4.3.2.1 |
||||||
|
no_delay_after_cutoff |
||||||
|
|
||||||
|
local_delivery: |
||||||
|
driver = appendfile |
||||||
|
delivery_date_add |
||||||
|
envelope_to_add |
||||||
|
file = /var/mail/$local_part |
||||||
|
group = mail |
||||||
|
mode = 0660 |
||||||
|
return_path_add |
||||||
|
|
||||||
|
# не используется, оставлен для примера |
||||||
|
address_pipe: |
||||||
|
driver = pipe |
||||||
|
return_output |
||||||
|
|
||||||
|
# не используется, оставлен для примера |
||||||
|
address_file: |
||||||
|
driver = appendfile |
||||||
|
delivery_date_add |
||||||
|
envelope_to_add |
||||||
|
return_path_add |
||||||
|
|
||||||
|
# не используется, оставлен для примера |
||||||
|
address_reply: |
||||||
|
driver = autoreply |
||||||
|
|
||||||
|
# не используется, оставлен для примера |
||||||
|
filter_pipe: |
||||||
|
driver = pipe |
||||||
|
return_fail_output |
||||||
|
user = nobody |
||||||
|
|
||||||
|
## --------------------------------------------------------- |
||||||
|
# настройка повторов |
||||||
|
## --------------------------------------------------------- |
||||||
|
begin retry |
||||||
|
|
||||||
|
* * F,2h,15m; G,16h,1h,1.5; F,2d,8h |
||||||
|
|
||||||
|
После того у нас всё минимально работает, нужно усилить защиту сервера, чтоб ни одна сволочь не пролезла. |
||||||
|
|
||||||
|
--- |
||||||
|
|
||||||
|
[К оглавлению](/articles/2016/04/10/hardcore-mail-relay-1/) |
||||||
Loading…
Reference in new issue