[RESOLU] antispam Peut-on marquer les emails

jdh

Comment pouvez-vous écrire de telles absurdités ?

Vous avez quelqu'un qui a un niveau près de zéro en compétence réseaux (ce n'est pas une tare)
et vous lui conseillez d'utiliser des packages pfSense sans aucune garantie, c'est un façon bien pitoyable de répondre …

sauzey

Merci chris4916,

Donc il faut installer Postfix dorwarder (d’après le nom du paquet) et obligatoirement policyd et mailscanner ?
Désolé j'insiste un peu, mais les emails ne seront pas rejetés? Ils seront transmis avec une mention, par exemple spam dans l'objet ?

Merci en tout cas.

chris4916

@jdh:

Comment faut-il l'écrire ?

Tu peux ou pourrais par exemple écrire:
"je ne veux pas utiliser de package et donc je ne veux pas faire ça avec pfSense" ;)
ce qui est ton droit ben sûr.
Ceci étant, il y a plein de packages qui permettent d'étendre les fonction de pfSense avec d'autres services. Tu as le droit de penser que ce n'est pas bien et de le dire gentiment ;) mais si tout le monde ne pense pas comme toi, ce n'est pas grave, même si tu es persuadé d'avoir raison.

J'ai écris (et c'est la réalité) que tagger est affaire de serveur mail, et pfSense est un firewall.
Je n'écrirais pas en français ?

Mais tu n'as pas de problème avec le DNS, les serveurs VPN, le serveur DHCP, le portail captif, NTP…? et la gestion de comptes ?
Que de choses qui ne sont pas du strict "firewall" :P

…/... (et pas les stupidités de certains sur ce forum).

Il est évident que si je ne suis pas la voie unique du parti, c'est une stupidité ::)

chris4916

@jdh:

Comment pouvez-vous écrire de telles absurdités ?

;D ;D quel tact. J'apprécie :-*

Vous avez quelqu'un qui a un niveau près de zéro en compétence réseaux (ce n'est pas une tare)
et vous lui conseillez d'utiliser des packages pfSense sans aucune garantie,

De toute manière, l'utilisateur a déjà fait le choix de pfSense et va l'installer ou le configurer avec ou sans toi.
Bien que qu'intellectuellement, la bonne réponse est d'aller acheter les service d'une personne compétente mais je n'ai pas l'impression que ce soit le but de la question.
Rein ne t'empêche cependant de répondre ça, de manière courtoise.

Comment pouvez-vous écrire de telles absurdités ?

oui, je sais que je suis nul. ;)

chris4916

@sauzey:

Donc il faut installer Postfix dorwarder (d’après le nom du paquet) et obligatoirement policyd et mailscanner ?
Désolé j'insiste un peu, mais les emails ne seront pas rejetés? Ils seront transmis avec une mention, par exemple spam dans l'objet ?

Une question pourrait effectivement être de décider si tu veux faire tourner ce MTA sur la machine qui fait tourner le firewall ou pas. C'est ce qu'essaie de dire jdh qui pense que pfSense ne devrait faire tourner que le service firewall.
C'est un point de vue qui se défend tout à fait lorsque débattu avec des personnes ouvertes à la discussion.

Tu trouveras des réponses à tes questions techniques dans la section anglaise du forum consacrée aux packages mais, d'une manière générale, Postfix ne prend pas de décision seul: en utilisant un composant comme Amavis qui va gérer la redirection vers Spamassassin, le mail arrivé dans postfix (le MTA) va être analysé, via amavis, par spamassassin qui va le taguer en fonction de son score et le renvoyer à Postfix.
Si spamassassin détecte un spam, tu peux décider de le rejeter ou te le faire suivre dans Postfix (D_DISCARD vs. D_BOUNCE vs. D_PASS)

ccnet

@sauzey:

Merci chris4916,

Donc il faut installer Postfix dorwarder (d’après le nom du paquet) et obligatoirement policyd et mailscanner ?
Désolé j'insiste un peu, mais les emails ne seront pas rejetés? Ils seront transmis avec une mention, par exemple spam dans l'objet ?

Merci en tout cas.

Pfsense est un firewall traitant essentiellement ce qui se passe au niveau des couches 3 et 4.
Votre besoin relève d'un traitement applicatif couche 7.
Votre problème n'a RIEN À VOIR avec Pfsense. Même si vous installez un package ce sera du paramétrage Postfix.
Un package sur Pfsense est plutôt à proscrire pour des raisons de sécurité.
Donc :
Non Pfsense ne marquera jamais un mail spam.
Postfix et d'autres outils permettent de le faire (ce que je paramètre régulièrement), mais encore une fois Pfsense n'a rien à voir et ne peut rien pour vous. D'ailleurs, c'est plutôt spamassassin, ajouté à Postfix, qui fera le travail.
Lisez les docs Postfix et Spamassassin pour faire ce travail

sauzey

Super, merci beaucoup pour ces explications.
Je vais tester Pfsense, il devrait répondre à mes attentes.
Juste pour information, il servira de MTA.

Encore merci.

sauzey

Mince le précédant post répondait à chris4916,

Ça change la donne, du coup il peut ou pas ? ;D

Je viens de regarder les paquets dans Pfsense, et effectivement il n'y a pas d’Amavis et Spamassassin, mais en même temps plus haut nous parlions de mailscanner et policyd.
.

jdh

@sauzey :

votre question montre que votre compétence est très faible, ce qui n'est pas une tare.

Ce forum est destiné a aider ceux qui veulent accroitre leur expertise.
(Hélas, on peut tomber sur des gens qui racontent n'importe quoi …)

La réponse, très claire, à votre question est un relais mail (avant votre Exchange).
Je vous encourage à joindre les gens qui vous ont installé Exchange pour leur demander la prestation nécessaire.
(J'ai construit moi même quelques tels relais : Debian + Postfix + Amavis/Spamassasin ...)
Je doute que ces gens vous conseillerons de placer ce relais sur le firewall ...

NB : Tiens ccnet sursaute lui aussi sur les conseils stupides ...

chris4916

@sauzey:

Je viens de regarder les paquets dans Pfsense, et effectivement il n'y a pas d’Amavis et Spamassassin, mais en même temps plus haut nous parlions de mailscanner et policyd.

mailscanner=https://www.mailscanner.info/ contient un ensemble de composants pour vérifier virus et spam au niveau des mail, et donc spamassassin.

Attention cependant de bien lire cette remarque associée à ce package:

MailScanner is an e-mail security and anti-spam package for e-mail gateway systems.
This is a level3 mail scanning tool with high CPU load.

WARNING! This package bundles ClamAV that conflicts with 'Squid3', 'Dansguardian' and 'HAVP antivirus' packages! Installing these will result in a broken state.

Policyd est plutôt une couche de redirection permettant de bénéficier de différents moteurs pour vérifier virus et spam, dont Amavis qui va gérer le contrôle par clamAV (si besoin) et spamassassin.

chris4916

@ccnet:

Un package sur Pfsense est plutôt à proscrire pour des raisons de sécurité.

C'est effectivement à mon avis le seul point qui mérite un débat.

l'impact en terme de sécurité
la fiabilité et le suivi du développement

chris4916

@sauzey:

Juste pour information, il servira de MTA.

Utiliser pfSense juste comme MTA ou comme moyen de déployer un MTA n'est pas très adapté :

Sur un pfSense existant ou a déployer pour fournir des fonctions de FW, on peut se poser la question de comment déployer un MTA (de préférence sur une machine à part mais, comme pour le proxy, il y a des cas ou c'est acceptable sur la même machine)
si il y a déjà un autre FW et que le but est uniquement de disposer d'un MTA, pfSense n'est pas la bonne solution. Configurer Postfix + amavis + spamassassin n'est pas très compliqué et bien plus souple que ce que va présenter l'interface graphique de pfSense

ccnet

@sauzey:

Super, merci beaucoup pour ces explications.
Je vais tester Pfsense, il devrait répondre à mes attentes.
Juste pour information, il servira de MTA.

Encore merci.

Non, non et non !! Pfsense ne répond pas aux besoins. Vous avez besoin d'un relai SMTP avec des fonctionnalités de filtrage, de marquage et autres. Oubliez Pfsense et des packages pour ce travail. Regardez éventuellement du côté de ClearOS alias Clarkconnect, ou Artica

jdh

Pour comprendre ce qu'est un firewall (et par exemple pfSense), lire https://fr.wikipedia.org/wiki/Pare-feu_%28informatique%29 (comme d'hab wikipedia est assez complet).

Pour comprendre ce qu'est un serveur mail, lire https://fr.wikipedia.org/wiki/Serveur_de_messagerie_%C3%A9lectronique.
Bien comprendre, sur le schéma, qu'il peut y avoir plus de 2 MTA (étape 2).

Le principe du 'relais smtp' (dont ccnet et moi parlons) est décrit, avec schéma, dans http://www.akadia.com/services/sendmail_relay.html
Il faut (donc) utiliser un serveur de mail (p.e. Postfix) en y ajoutant amavis qui permetra d'utiliser clamav (antivirus) et spamassassin (antispam).
Un bon professionnel devrait être capable de vous mettre cela en place …
NB : Dans ma société actuelle, c'est une société qui a installé les Exchange, mais j'ai mis moi-même devant les relais smtp et je m'en félicite tous les jours !

Il est à noter qu'il n'existe que peu de solutions 'tout en un' comme passerelle mail :
un excellent exemple : https://www.proxmox.com/en/proxmox-mail-gateway/get-started
voir le remarquable document 'Proxmox Mail Gateway Deployement Guide'
voir l'image https://www.proxmox.com/images/proxmox/screenshots/Infrastructure_with_PMG-2013.png (qui indique bien les 2 machines distinctes entre Internet et le serveur de mail)

J'ignore quel 'imbécile' vous a dirigé vers pfsense pour marquer des mails ...
Et si vous voulez enfoncer des vis avec un marteau, suivez le spécialiste ...

sauzey

Bonjour,
J’ai pris un peu de retard pour vous répondre.
Merci déjà, même si je n’en demandais pas tant, un OUI ou un NON m’était largement suffisant.
Pour n’offenser personne, je ne demandais pas conseil.
Mais pour la petite histoire (vu qu’il y a débat) je ne connaissais pas Pfsense, ce logiciel me semble être un jolie couteau suisse, je pense que c’est le mot juste, un couteau suisse remplis plusieurs fonction, sur chaque élément qu’il présente il ne fera jamais aussi bien que les outils individuels.
Et pour le cas de Pfsense j’en serai le seul juge.

Merci à chris4916 qui a répondu à ma question. Sans préjugé sans haine etc…

jdh

Les choses (claires et réelles) à retenir sont

pfSense est un firewall.
pfsense n'est pas et ne sera pas un serveur de mail, et ne 'tagerra' pas de mails

En informatique, les couteaux suisses n'existent pas : quand une machine fait tout et trop, elle le fait mal.
Il y a donc 2 règles essentielles :

mettre en place le bon outil,
connaitre (à fond) la bonne utilisation d'un outil.
Cela suppose de connaitre la situation.
Et il n'y a rien de plus dangereux que d'utiliser (mal) le mauvais outil …

Concernant ce fil,

il est regrettable que vous n'ayez pas utilisé le formulaire, donc on ne connait pas précisément le contexte
ccnet et moi, nous vous avons clairement répondu, (et moi dès le premier fil)
objectivement, chris4916 vous a répondu 'qu'avec un marteau on pouvait enfoncer des vis' (pour rester dans les outils)

Il va falloir que ces choses changent car ce genre de fil devient intolérable.

sauzey

j'ai 2 minutes à perdre, je reprend ma question en utilisant le formulaire.

Contexte : Bonjour (j’aurais dû ajouter "pas de contexte")

Besoin : une réponse (je viens de le rajouter, il n’était pas dans mon 1er post)

Schéma :
Je schématise : emails venant de la toile >> réception (plutôt transition) Pfsense - décision du marquage - peu importe la décision >> Exchange

Question : J’aimerai savoir s'il est possible de marquer les emails, détecté en t’en que spam et ensuite, qu’il les transfère au serveur de messagerie ?

Pistes imaginées : Exemple de marquage : dans l'objet de l'email : SPAM!!!

Recherches : Pour le moment la question n’est pas la méthode de détection mais vraiment dans la partie de tagger un email et de le transmettre.

Logs et tests : Merci

En espérant que ça vous face plaisir Monsieur le premier ministre.

Suite à cette événement j’espère que vous ne créerait pas une loi, dite GAYSSOT.

chris4916

@sauzey: n'oublie pas de modifier le titre du premier message de ton post pour le marqué comme [RESOLU] si tu considère avoir obtenu une réponse à ta question ;)

baalserv

Bonsoir,

Je ne suis pas venu depuis plusieurs jours et n'ai pas suivi le fil.

Une réponsse hors sujet pour une question dans laquelle le but est de détourner pf de sa raison d'être ;) mais qui je pense devrai répondre à la vrai question (latente et mal formuler) de l'utilisateur : COmment mettre un filtre anti-spam devant exchange avec une distrib toute faite et une belle interface graphique ?

==> Si je ne dis pas bétise il existe toujours : SME

Mais je dis cela sans strictement rien connaitre ni des besoins réel ni de l'infra ni des contraintes (car non exposer dans ce fil de 2 pages) donc je suis surement à côté ^^

chris4916

@baalserv:

Une réponsse hors sujet pour une question dans laquelle le but est de détourner pf de sa raison d'être ;) mais qui je pense devrai répondre à la vrai question (latente et mal formuler) de l'utilisateur : COmment mettre un filtre anti-spam devant exchange avec une distrib toute faite et une belle interface graphique ?

==> Si je ne dis pas bétise il existe toujours : SME

Il y a effectivement d'autres solutions et si le besoin est uniquement un MTA filtrant, pfSense n'est pas la solution, pas plus que SME à mon avis. une plate-forme Linux avec Webmin si le coté interface graphique est indispensable (bien que je n'aime pas du tout cette approche) me parait plus efficace.

Si le besoin est également de disposer d'un firewall, compte tenu du nombre important de modules offerts par pfSense, il y a 2 écoles:

les adeptes du firewall ni ne fait que firewall (pour être plus précis, les adeptes de pfSense basé sur ce qui est actuellement intégré à pfSense)
ceux qui vont accepter, en fonction de leur besoin, de déployer des packages (add-on) supplémentaires avec pfSense.

Il est évident que dans la section française du forum, il n'y a pas de place pour la deuxième solution et n'importe quel commentaire dans cette direction est fortement et presque systématiquement rejeté. J'écris presque parce que si on regarde attentivement, l'emploi du formulaire permet de faire oublier, parfois, qu'on évoque un sujet hérétique ;D ;D ;D

Plus sérieusement, je ne suis pas contre l'idée qu'un pare-feu ne devrait idéalement servir que de pare-feu (c'est exactement ce que je fais dans mes propres déploiements) mais le minimum me semble être, plutôt que ce rejet systématique et dogmatique, d'expliquer les risques encourus lorsqu'il y en a.
Et il serait également bien d'aller porter cette bonne parole dans la section anglaise et auprès le staff pfSense pour lutter contre cette ouverture vers des packages.

Du coup, proposer SME, ça ressemble à "pas de ça chez moi": il ne faut pas déployer d'autres services que le pare-feu avec pfSense mais si tu veux le faire avec SME, tant que ce n'est pas ici, n'hésite pas 8)
Car SME, intègre également un pare-feu… :P

Alors pourquoi ce serait bien avec cette solution et pas avec pfSense ? A cause de l'approche "package" qui ne fait pas partie du noyau en terme de développement de pfSense ?
C'est un argument qui me parait tout à fait recevable et certainement à prendre en compte et à discuter... si discussion il y avait ::)

Joyeux Noël :)