Stavíme mailový server: Razor, DCC, Spamassassin a Amavis

Instalace perlových modulů

Spamassassin a Amavisd jsou programy napsané v perlu. Ke svému běhu potřebují mnoho modulů, které nejsou defaultně v systému nainstalovány. Proto je nyní musíme nainstalovat.

Instalaci provedeme interaktivně ze sítě perlových archivů CPAN. Spustíme příkaz

# perl -MCPAN -e shell

Když příkaz spustíme poprvé, budeme dotázáni na spoustu dotazů. Odpovíme následovně (kde není za hranatými závorkami nic uvedeno, jen zmáčkněte enter, čímž zvolíte odpověď nabízenou v hranatých závorkách):

Nyní se objeví příkazový řádek CPAN shellu:

cpan>

Příkazem install nainstalujeme následující perlové moduly. Pokud již nějaký modul je nainstalován, budeme na to upozorněni a můžeme pokračovat modulem dalším. Během instalace budeme občas něco muset potvrdit, občas budeme tázáni, jestli chceme do fronty instalovaných modulů také připojit nějaký modul, na kterém ten zrovna instalovaný závisí – odpovíme ano. Více informací o CPAN a perlu najdete na www.cpan.org.

• MD5
• LWP
• Mail::Internet
• Archive::Tar
• Archive::Zip
• IO::Wrap
• IO::Stringy
• Unix::Syslog
• MIME::Words
• MIME::Head
• MIME::Body
• MIME::Entity
• MIME::Parser
• Net::SMTP
• Net::DNS (pokud budeme dotázáni na povolení testů, odpovíme ne)
• Net::Ping
• Net::Server
• Net::Server::Pre­ForkSimple
• Convert::TNEF
• Convert::UUlib
• MIME::Decoder::Ba­se64
• MIME::Decoder::Bi­nary
• MIME::Decoder::Gzip64
• MIME::Decoder::NBit
• MIME::Decoder::Qu­otedPrint
• MIME::Decoder::UU
• Time::HiRes
• Digest::SHA1
• Digest::Nilsimsa
• Getopt::Long
• File::Copy
• Bit::Vector
• Date::Calc
• Mail::SpamAssas­sin

Během instalace posledního balíku budeme tázáni, zda-li si přejeme spustit Razor2 a DCC testy, odpovíme ne.

SpamAssassin

Tím jsme hotovi s instalací perlových modulů. Na příkazovou řádku CPAN shellu můžeme napsat q a odenterovat, čímž shell ukončíme.

Spamassassin jsme již do systému nainstalovali jako perlový modul. Stačí ho jen nakonfigurovat. Vytvoříme soubor /etc/mail/spa­massassin/local­.cf a opíšeme do něj následující nastavení z tohoto vzorového konfiguráku. Komentáře v souboru popisují, co která proměnná mění. Některé hodnoty (například doménu) musíte vyplnit.

Toť ke Spamassassinu vše. Ještě vytvoříme chrootový adresář, ve kterém poběží Amavis a Clamav:

mkdir -p /var/amavisd
chown _amavisd:_amavisd /var/amavisd
chmod 750 /var/amavisd
cd /var/amavisd
mkdir .spamassassin
touch .spamassassin/user_prefs
chown -R _amavisd:_amavisd .spamassassin

Razor a DCC

Nyní nainstalujeme klienty online spamových databází Razor a DCC. Stáhneme zdrojáky, zkompilujeme a nainstalujeme:

Pozor, poslední příkaz nainstaluje pomocné programy Razoru do /usr/bin.

Vytvoříme defaultní konfigurační soubory v /root/.razor:

# razor-client
# razor-admin -create

A zaregistrujeme se v síti Razor. Za parametr -user zadejte adresu vašeho postmastera:

# razor-admin -register -user postmaster@domain.org

Tím se vytvoří v adresáři /root/.razor konfigurační soubory. Pokud se registrace nepodaří, zkontrolujte, zda máte na firewallu povolený port TCP 2703 směrem ven.

Konfigurační soubory musíme zkopírovat do chrootu, kde poběží Amavis:

# cp -r /root/.razor /var/amavisd
# chown -R _amavisd:_amavisd /var/amavisd/.razor

Aby Razor správně fungoval, když je volán SpamAssassinem, musíme aplikovat patch. Pokud ho neaplikujeme, Razor se bude tvářit, že funguje, ale neoznačí žádnou zprávu. Patch aplikujeme následovně:

Razor máme nainstalovaný, nyní začneme instalovat DCC. Stáhneme a rozbalíme zdrojáky DCC:

Vlezeme do rozbaleného adresáře, který se jmenuje podle aktuální verze DCC (V době psaní článku byla aktuální verze 1.2.7), zkompilujeme a nainstalujeme. Po spuštění configure scriptu se nenechte znepokojit hláškami, že skript nenalezl includy k Sendmailu a že bez nich DCC nezkompilujete – není to pravda.

# cd dcc-dccd-1.2.7
# ./configure
# make
# make install

Po instalaci ozkoušíme, zda DCC funguje. Nezapomeňte se přesvědčit, že máte na firewallu povolený port 6277 UDP (obousměrně). Spusťte příkaz:

# /usr/local/bin/cdcc 'info'

Na obrazovce by se měla objevit odezva ve formě hromady řádků podobných těmto:

Protože DCC bude spouštěno z chrootovaného Amavisu, je nutné v chrootu /var/amavisd vytvořit adresářovou strukturu a binární soubory nakopírovat na příslušné místo do ní. Do chrootu také musíme přidat shell, který vyžaduje SpamAssassin pro správné pouštění DCC. Shell v chrootu není příliš bezpečný, ale je tam nutný.

Nakonec do chrootu ještě přidáme knihovny, které DCC používá. Příkazem ldd zjistíme, které knihovny DCC používá, a nakopírujeme je do chrootu do příslušného adresáře. Čísla verzí knihoven se mohou lišit, zde je příklad pro můj systém:

Instalace a konfigurace Amavisu

Instalace Amavisu je jednoduchá, protože celý Amavis je napsán v perlu a perl včetně všech modulů jsme si již připravili. Perl na druhou stranu přináší nevýhody ve formě nestability, snížené rychlosti a zbytečné zátěže procesoru.

Když se kouknete třeba na Freshmeat, najdete tři různé Amavisy, ale pokaždé se jedná o jiný software. My budeme instalovat Amavisd-new. Když budete stahovat Amavis, stáhněte poslední verzi, v době psaní článku byla aktuální verze amavisd-new-20030616-p5, přestože se jedná například o patch verzi. Amavis se stále vyvíjí, a proto poslední verze obsahuje nejnovější bugfixy. Stabilní verze Amavisu de-facto neexistuje.

Krom nakopírování příslušných perlových souborů ještě musíme nastavit přístupová práva a vytvořit potřebné adresáře. Těmito příkazy Amavis nainstalujete:

Teď přijde poněkud náročnější část – konfigurace Amavisu. Konfigurační soubor je podobný konfiguráku od Postfixu, opět se konfigurace provádí nastavováním spousty proměnných a opět konfigurační soubor obsahuje vysvětlující komentáře.

Otevřete si v editoru konfigurační soubor /etc/amavisd.conf a nastavte v něm konfigurační proměnné na uvedené hodnoty – zde je okomentovaný vzorový konfigurák (je zde uveden jen jako odkaz, protože by se z důvodů formátování do článku nevešel). Ve vzorovém konfiguráku jsem nepopisoval všechy proměnné, ale jen ty důležité. Význam ostatních proměnných je dostatečně vysvětlen v komentářích v originálním konfiguračním souboru. Proměnné jsou popisovány v pořadí, jak se objevují v konfiguráku.

Maximální počet serverů max_servers a maximální počet požadavkůmax_re­quests můžete dle potřeby změnit, mně uvedené hodnoty fungují dobře.

Logování je zapnuto pouze, než Amavis spustíme a ozkoušíme, že spolehlivě chodí. Pro lepší ladění je nastavena nejvyšší úroveň log_level 5. Než spustíme server „na ostro“, nastavíme úroveň na 0.

Maily se zakázaným obsahem (banned) jsou například spustitelné přílohy a další nežádoucí maily. Proměnná banned_filena­me_re popisuje, které maily budou považovány za zakázané. V originálním konfiguráku Amavisu je několik různých příkladů, podle čeho zakázaný mail určit. V mém vzorovém konfiguráku se rozhoduje podle přípon souborů (všechny spustitelné: exe, pif, vbs, …).

Propouštění a zahazování podezřelých mailů: Vzorová konfigurace, kterou jsem uvedl, propouští spamy a maily s poškozenou hlavičkou. Spamy jsou označeny a každý uživatel si je může individuálně odfiltrovat např. procmailem. Je to lepší než spamy hromadně zahazovat, neboť antispam může omylem označit za spam nějaký pro uživatele důležitý mail, který je jenom „blbě napsaný“. Maily s vadnou hlavičkou nesplňující RFC nejsou zahazovány, neboť mnoho mailových programů (zejména od nejmenovaného Microsoftu) prostě hlavičku podle RFC napsat neumí.

Viry a maily se zakázaným obsahem (spustitelné přílohy atd.) nejsou doručovány, ale po jejich přijetí mailserver odešle jak původci mailu, tak adresátovi upozornění, že takovýto „podezřelý“ mail přišel. Zavirované maily si navíc adresát může vyzvednout v karanténě (adresář, kde se zavirované maily archivují) na serveru. Hláška, která přijde původci/adresátovi mailu, se nastavuje pomocí proměnných notify_virus_sen­der_templ, notify_spam_sen­der_templ (a další např. pro spamy, …). Tyto soubory vytvoříme později.

Komu má přijít varovná hláška, to se nastavuje pomocí proměnných warnvirussender, warnvirusrecip atd. Jestliže má chodit postmasterovi notifikace o každém příchozím viru, nastavte postmasterovu adresu do proměnné virus_admin.

Proměnná warn_offsite musí být nastavena na 1, jestliže chceme varovat příjemce mailů, které nejsou lokální na serveru. Pokud máte jako já ještě druhý server, odkud si uživatelé čtou maily přes IMAP, a nenastavíte tuto proměnnou, začnete se divit, že vám varování o virech a spamech nechodí.

Proměnná warnbadhsender nastavuje, zda se má odesilatelům mailů, které nesplňují RFC a mají v hlavičce v adrese neenkapsulované non-ASCII (např. české) znaky, posílat varování. Když jsem tuto proměnnou zapnul, nestačil jsem se divit, kolik mi přišlo stížností od uživatelů, kteří posílají takovéto vadné maily, že jejich mail nebyl doručen. Amavis totiž ve varování píše, že mail byl zahozen (respektive je nedoručitelný), nehledě na nastavení proměnné $final_bad_he­ader_destiny. Proto buďto tuto proměnnou nenastavujte, nebo upravte varovací mail, aby informoval pravdivě.

Tím je konfigurace Amavisu hotová. Zbývá dotvořit chrootový adresář, spustit a odladit Amavis, nainstalovat Clamav a dodělat několik podpůrných drobností. Na to se můžete těšit v příštím dílu.