Recommended
More Related Content
Recently uploaded
Recently uploaded (11)
Featured
Featured (20)
メールサーバをちゃんとする
- 3. 今日話すこと 1. メールサーバ(MTA)の仕事 2. reject,deferをちゃんとする 3. メールキューをちゃんとする 4. セカンダリサーバをちゃんとする 5. Webアプリ送信方法をちゃんとする 6. まとめ
- 4. 1.メールサーバ(MTA)の仕事 送信 MUA MTA SMTP MTA SMTP MDA 今日はこの話 POP3/IMAP MUA・・・ thuderbird,Becky MTA ・・・ postfix,sendmail,qmail MDA・・・ maildrop等,(MTA)
- 11. 2.reject,deferをちゃんとする ● 自信が無かったらすぐには上げない 外部からの25番ポートへの受信を絶って落ち着いて確認 する #確認ホスト以外は25番をブロック iptables -A INPUT -s 192.0.2.0/24 -p tcp --dport 25 -j ACCEPT iptables -A INPUT -p tcp --dport 25 -j DROP
- 12. 2.reject,deferをちゃんとする ● SMTPを手で打ってちゃんと確認 (OP25Bの影響を受けないホストから確認する） OP25B = 大抵の個人向けISPは外向き25番の通信を禁止 している telnet 192.0.2.1 25 220 example.com ESMTP Postfix HELO postfix 250 example.com MAIL FROM: <test@example.com> 250 2.1.0 Ok RCPT TO: <hoge@example.com> 250 2.1.5 Ok
- 17. 3.メールキューをちゃんとする ● nagiosだと contactを新しく定義して、Gmail等の違う メールアドレスを使う ※一部抜粋 define service { host_name mail service_description SMTPS contact_groups admins_gmail check_command check_smtp } define contact{ contact_name gmail ..... email hoge@gmail.com, huga@gmail.com } define contactgroup{ contactgroup_name admins_gmail alias Nagios Administrators members gmail }
- 21. 4.セカンダリサーバをちゃんとする ● 後方散乱 (backscatter) RCPT TO: 存在しないアドレス MAIL FROM: SPAM送り先 1. primaryに送るも拒否される secondary 2. 送ってないのにbounceメールが届く
- 22. 4.セカンダリサーバをちゃんとする ● キューが詰まる RCPT TO: 存在しないアドレス MAIL FROM: 存在しないアドレス 1. primaryに送るも拒否される secondary 2. 送信先がいないのでキューに溜まる
- 23. 4.セカンダリサーバをちゃんとする ● RBL,SPFを使って怪しい人はrejectする smtpd_recipient_restrictions = permit_mynetworks, reject_unauth_destination, reject_rbl_client bl.spamcop.net, reject_rbl_client sbl.spamhaus.org, reject_rbl_client all.rbl.jp, check_policy_service unix:private/policy-spf
- 24. 4.セカンダリサーバをちゃんとする ● SPFの限定子はSoftFail(~)が多いので、対応できなさそ うならSoftFailもrejectする SPF例 v=spf1 include:spf01.softbank.ne.jp include:spf02.softbank.ne.jp include:spf99.softbank.ne.jp ~all v=spf1 +ip4:203.138.203.0/24 ~all 設定例 postfix-policyd-spf-python Mail_From_reject = SoftFail
- 25. 5.Webアプリ送信方法をちゃんとする ● サーバにpostfix入れるの('A`)メンドクセ アプリから直接送ろう ⇒突然の死（Gmailアカウント停止） config.action_mailer.smtp_settings = { :enable_starttls_auto => true, :address => 'smtp.gmail.com', :port => 587, :domain => 'example.com', :authentication => :plain, :user_name => 'hogeuser@example.com', :password => '123456' } ＿人人人人人人＿ ＞ 突然の死 ＜ ￣Y^Y^Y^Y^Y￣
- 27. 5.Webアプリ送信方法をちゃんとする ● sendmailコマンドで送る ⇒キューの管理が出来る ⇒よほどの理由がないかぎりMTAに任せたほうが無難 △ web-app → 外のMTA → 受信者 ○ web-app → MTA → 外のMTA(必要なら) → 受信者 ※外のMTA = Gmail等 config.action_mailer.delivery_method = :sendmail
- 28. 5.Webアプリ送信方法をちゃんとする ● 豆知識 web-app → MTA → 外のMTA(Gmailとか) → 受信者 突然のアカウント停止！ → Gmailから「535 authentication failed 」 → 5xx系エラーだからキューに溜まらない？ postfixの粋な計らいにより例外的にキューに入れて defer扱いにしてくれる （smtp_sasl_auth_soft_bounceオプションがデフォルトyes) postfix△！
- 29. 6.まとめ ● ● 監視大事 ⇒ MTAやMDA等キューが溜まりそうなところは全部見 る ⇒ 日々のbounce,reject,sent量も見ておく(普段と違うこ とに気付けるようにする) テスト大事 ⇒ SMTPはSimple、めんどくさがらないでちゃんと見る
- 31. 6.まとめ ● SMTPを確認する ⇒expectとかで工夫するとそんなに面倒じゃない require 'pty' require 'expect' describe "mail" do it "relay access denied" do PTY.spawn("telnet mail.example.com 25") do |r,w| w.sync = true r.expect(/ESMTP Postfix/) { w.puts "HELO postfix" } r.expect(/^250/) { w.puts "MAIL FROM: test@example.com" } r.expect(/^250/) { w.puts "RCPT TO: hoge@example.com" } r.expect(/^554/) { w.puts "QUIT" } r.readline.match(/Relay access denied/) end end end