Postifx mailrelay - pacote para antispam no pfsense



  • Ola pessoa,

    Acabei de publicar a versão 2.3 do pacote 'postfix forwarder' para o pfsense

    Esta versão inclui:

    • Anti zumbi (postscreen)

    • Verificação de cabeçalho

    • Verificação de corpo de mensagem

    • Listas de acesso

    • consulta a listas de rbl

    • consulta a registro spf

    • Suporte a Sqlite para armazenamento dos logs

    • opção de unificar o log de varias caixas em apenas uma

    • permissão para usuarios não admin de pesquisar email ou ver a fila online

    • aba com a fila do postfix

    • opção de export da pesquisa de email para csv

    • widget no dashboard com estatisticas de email

    • opções no widget para previnir estouro de memoria no dashboard

    • Ferramenta para pesquisa dos emails nas bases SQL

    • Algumas alterações na GUI para ajudar na configuração

    Além disso tudo ainda é possível encaminhar os emails a uma terceira verificação antispam como por exemplo mailscanner ou policydv2.

    nota: NUNCA tente instalar o pacote policydv2 do freebsd, ele vai acabar com seu pfsense.
    Se você planeja usar o policyd, faça isso em outro servidor ou em um jail.

    O tutorial(ou pacote) para o mailscanner está em desenvolvimento, por agora você pode configura-lo na mão depois de instalar com o comando pkg_add -r MailScanner.

    att,
    Marcello Coutinho













  • Oxa meus parabéns, assim que der vou fazer uns testes com certeza, agora uma perguntinha nada com o tópico, vi no github que tens trabalhado bastante, consegues alterar alguma coisa do pacote imspector, tens interesse, podemos conversar sobre valores, pois qualquer melhoria tem que ser recompensada…



  • Ainda não fiz nada no imspector, mas pode me passar em private o que voce esta pensando/precisando.

    Assim que eu terminar o mailscanner agente conversar.



  • Todas as opções da GUI tem links para o site do postfix(caso seja necessario entender melhor o recurso que esta habilitando).

    Na aba 'General' você:

    • Habilita o serviço

    • Define em quais interfaces você vai usar

    • Define aonde voce quer os logs

    • Configura os dominios locais

    Na aba 'Acls / Filter maps' você define:
    Que ips, dominios, assuntos, corpo de mensagem e remetentes você aceita ou rejeita receber.

    Na aba 'Valid Recipients' você define quais são suas caixas postais internas podendo configurar:

    • Extração dos emails via AD

    • apontamento para um arquivo local(no pfsense) com a lista de emails

    • colar uma lista com os endereços

    Na aba 'Antispam' você define o grau de restrição e verificação do postfix.
    recomendo:

    • Strong header check

    • Zombie blocker enabled with enforce

    • todas as opções de 'After greeting tests'

    • soft bounces no postcreen

    • buscar algumas listas de RBL na internet e bloquear ips que estão em pelo menos duas listas

    • bloquear ips que não passaram no teste de SPF

    O pacote do mailscanner ainda esta em desenvolvimento mas assim que estiver pronto, vai oferecer ainda mais recursos na luta contra o SPAM.

    na aba 'XML RPC SYNC' você replica as configurações do postfix para quantos pfsenses você quiser.

    Veja alguns screenshots no primeiro post deste topico.

    att,
    Marcello Coutinho



  • Buenas @marcelloc,

    Antes de mais nada, gostaria de lhe parabenizar novamente pelo seu trabalho com os pacotes para o pfSense!

    Bem, gostaria de saber se você tem algum benchmark em nível de equipamento (hardware/recursos) necessário para rodar o "Postifx Mailrelay" para uma rede que tenha entre 50 e 100 máquinas?

    Ainda em tempo, caso a rede em questão tenha um postfix rodando internamente, com as políticas de segurança já implementadas (SPF, checagem de blaclists RBL, Checagem de DNS Reverso), na sua opinião, quais fatores justificariam o uso do "Postifx Mailrelay" na frente deste MTA?

    Abraços!
    Jack



  • na sua opinião, quais fatores justificariam o uso do "Postifx Mailrelay" na frente deste MTA?

    Jack,

    As vantagens são:

    • Facilidade de configuração através da GUI

    • Extração de dados no AD, caso exista um

    • Interface para consultar o log do postfix

    • Export do log para Sqlite, abrindo um universo de possibilidades para relatórios

    • Widget com estatisticas e volume de email

    • Sincronia entre vários pfsenses

    Em relação a performance, o funcionamento será igual a um postfix com as mesmas opcões configuradas.

    A idéia deste pacote e de vários outros é dar ao pfsense o status de UTM firewall, ou seja, uma solução de segurança completa capaz filtrar pacotes inclusive na camada 7.

    aqui uma breve  explicação sobre o conceito de UTM que encontrei:

    Unified Threat Management (UTM) is a comprehensive solution that has recently emerged in the network security industry and since 2004, has gained widespread currency as a primary network gateway defense solution for organizations.[1] In theory, it is the evolution of the traditional firewall into an all-inclusive security product that has the ability to perform multiple security functions in one single appliance: network firewalling, network intrusion prevention and gateway antivirus (AV), gateway anti-spam, VPN, content filtering, load balancing, data leak prevention and on-appliance reporting.

    Com relação a requisitos de hardware, o postfix sem o mailscanner é muito leve. Você precisa basicamente de espaço em disco para armazenar as mensagens ate que sejam entregues ao servidor corporativo.



  • "Show of ball" Marcello!

    Vou executar alguns testes com o pacote afim de extrair alguns benchmarks baseados em fluxo de mensagens e número de usuários!

    Sem dúvida alguma, este tipo de pacote contribui efetivamente com a concepção de um UTM a partir do que já temos desenvolvido no pfSense. Recursos como WebSense (filtro de conteúdo http em tempo real), inspeção funcional de comunicadores, pfBlocker (que você também desenvolveu) e Mailscanner, tendem a trazer este status ao pfSense. Parabéns novamente!

    Eventuais e futuros resultados dos testes, postarei aqui mesmo! ;-)

    Abraços!
    Jack



  • Boa tarde a todos,

    acabei de publicar a versão 2.3 do pacote.

    as principais mudanças são:

    • nova estrutura do banco sqlite

    • novos campos de pesquisa

    • suporte a widlcard * na pesquisa

    • envio dos logs de varias caixas para uma unica, possibilitando a pesquisa de email centralizada

    • opção de export da pesquisa para csv

    • visualização da fila do postfix em tempo real

    • versão 2.8.7 para 64bits

    No primeiro post tem os screen shots da nova versão.

    att,
    Marcello Coutinho



  • Versão 2.3.1 inclui integração com o pacote do mailscanner.



  • quero testar este pacote, instalei, porem agora quero configurar, mas não quero fazer nada errado para o pessoal não ficar sem receber e-mails. hehe. alguém tem umas dicas ai da configuração.

    obrigado.



  • @suportefloripa:

    quero testar este pacote, instalei, porem agora quero configurar, mas não quero fazer nada errado para o pessoal não ficar sem receber e-mails. hehe. alguém tem umas dicas ai da configuração.

    O próprio Marcello dá dicas para a configuração aqui: http://forum.pfsense.org/index.php/topic,40624.msg222539.html#msg222539

    Nota: Não teste pacotes novos ou atualizações em máquinas que estejam em produção.

    Abraços!
    Jack



  • Obrigado. então acho q não vou testar. hehe



  • @suportefloripa:

    Obrigado. então acho q não vou testar. hehe

    Teste em uma VM ou máquina paralela… Isso é totalmente possível se você tiver como ligar o link de dados em mais de um equipamento ao mesmo tempo (pode usar um hub ou switch pra isso, desde que tenha mais outros IPs públicos vagos). ;)

    Nada impede de você testar "a quente" também... Estou certo de que o Marcello deve ter feito um bom trabalho com o pacote e testado antes. Mas é sempre aconselhável manter estruturas diferentes de produção e teste!

    Abraços!
    Jack



  • O postfix está estável, uso o pacote a mais de um mês em um ambiente gigante.

    O mailscanner começou 'seu caminho' a 5 dias.

    com o postfix, voce já elimina a maioria do lixo smtp(80% no mínimo).

    o mailscanner vai ajudar a identificar virus, empresas de spam, etc.

    Se acostuma com a interface primeiro para depois colocar em produção.

    o que voce usa hoje para filtrar email?



  • hoje não estou usando nada para filtrar e-mails, por isso meu interesse.
    Meu pfsense tem os seguintes pacotes: squid, squidGuard, Lightsquid, ntop, HAVP antivirus, darkstat, Avahi.

    Uso o pfsense em maq virtual. eu poderia instalar em uma nova maq. virtual mas uso proxy transparent acredito que vai dar confusão. o que vcs acham?



  • Eu uso email da locaweb, tem como usar esse software para filtrar os emails?

    se tiver tem um tutorial para a configuração do mesmo

    abs



  • Se Voce tiver um servidor de emails na sua empresa da para passa o filtro dos emails para o pfsense.

    Se mensagens ficam na locaweb nao da.



  • Boa noite a todos.

    Antes de mais quero dar os parabéns pelo excelente trabalho.  :)

    Tomei conhecimento do Pfsense quando procurava uma solução de firewall, proxy e spamblocker.

    Neste momento estou testando o Pfsense com o pacote postfix forwarder e queria perguntar ao Marcelloc se é possivel editar na aba de Domain o campo domain de forma a aceitar o endereço de email do usuário(ex:usuário1@domain.pt) e não apenas o domain. Isto porque para o mesmo domain pretendo ter dois servidores de email um exchange e outro linux(postfix). O servidor exchange reconhecerá um grupo de usuários e o linux reconhecerá outro grupo, mas os dois com o mesmo domain. Para isto ser possível é preciso que o postfix forwarder faça o roteamento para o servidor correto através da analise do ficheiro /usr/local/etc/postfix/transport que deverá conter os dados da seguinte forma (usuário1@domain.pt smtp:[ip do exchange]; usuário2@domain.pt smtp:[ip do linux(postfix)].

    Muito obrigado
    fscms



  • Isso não torna seu serviço de email um pouco confuso?

    Como os usuários do exchange enviarão emails para os usuários do linux uma vez que o exchange vai reconhecer o domínio como local?



  • Bom dia Marcelloc obrigado pelo reply.

    Peço desculpa mas não me expliquei bem. Os dois servidores estão em dominios diferentes (ex: exchange será ad.domain.pt e o linux domain.pt e reencaminham os email para postfix forwarder que os redistribuirá para o linux.

    No exchange será utilizado um smart host:

    Select Start  Program Files  Microsoft Exchange and select "System Manager."

    _Drill down to Corp (Exchange)  Servers  <your server="" name="">  Protocols  SMTP.

    Right-click the "Default SMTP Virtual Server" entry and select "Properties."

    In the "Default SMTP Virtual Server Properties" page, select the "Delivery" tab.

    On the "Delivery" tab, select "Advanced." In the "Advanced Delivery" page enter IP do Postfix Forwarder in the "Smart host" field.

    Click "OK" on the "Advanced Delivery" page.</your>_

    Para os email que o exchange não reconhece serão reencaminhados para o Postfix Forwarder, através da alteração do parâmetro "Forward all mail with unresolved recipients to host" na aba  "messages"  no "Default SMTP Virtual Server Properties".

    No exchange será acrescentado o domínio @domain.pt nas "Default Policies" para o reconhecimento deste domínio.

    No Linux o parâmetro "Set outgoing e-mail via host" será adicionado o IP do Postfix Forwarder e no parâmetro "Optional transport for unknown recipients" será alterado para smtp:ip Postfix Forwarder

    Marcelloc espero que se entenda melhor.

    Obrigado
    fscms



  • Boa tarde a todos,

    como se costuma dizer uma imagem vale mais que 1000 palavras, envio em anexo um esquema da minha presumível rede julgando que poderá facilitar uma possível resposta.

    Mais uma vez obrigado  :)

    fscms




  • fcms,

    Para incluir o que você precisa, consigo imaginar duas situações:

    • uma opção na aba recipients onde você pode marcar a opção para incluir a configuração no transport maps. (ficaria quase automatico)

    • um campo para custom transport_maps na aba de domínio (acho mais facil de implementar assim)

    você não pode fazer isso usando alias?

    configura um dominio no exchange e outro no linux?



  • @marcelloc:

    • um campo para custom transport_maps na aba de domínio (acho mais facil de implementar assim) -

    se você diz que é mais fácil então ficaria agradecido se pudesse implementar numa próxima versão.

    @marcelloc:

    você não pode fazer isso usando alias?

    Estes alias teriam de ser implementados no pfsense?

    @marcelloc:

    configura um dominio no exchange e outro no linux?

    Desculpe o que eu queria diser é que o ad.domain.com é apenas um subdomain.

    Obrigado mais uma vez

    Filipe



  • Como você vaix extrair a lista de recipientes válidos do linux?



  • Por agora irei introduzi-los manualmente. Mais tarde tentarei encontrar algum script que possa extrair esta lista.



  • Ele está em um arquivo de texto?
    Se tiver é fácil extrair.



  • Acabei de subir uma atualização para melhorar a importação da lista de emails validos.

    As opções agora são:

    • Importar a lista via url

    • Colar a lista direto na interface gráfica do pacote

    O teste de email válido reduz a carga do servidor corporativo, diminui a quantidade de emails a passar no mailscanner e reduz o consumo de banda já que a mensagem é cancelada durante a comunicação smtp.



  • Big Boy…

    Good Work my friend! ;)

    Abraços!
    Jack



  • E ai pessoal!

    Além de filtrar SPAM, um de meus clientes pediu para colocar "rastreadores", quando uma expressão for enviada ou recebida no corpo do e-mail ele quer receber notificações ou pelo menos um relatório.

    É possivel adaptar algo assim com Postfix? Ou alguma outra ferramenta no PFSense?



  • @JackL:

    Big Boy…

    Olha Jack… esse apelido cai como uma luva pro Marcello.  8)
    Não sei se você sabia, mas já tivemos uma grande figura pública com esse apelido que, por sinal, eu curtia muito!

    http://pt.wikipedia.org/wiki/Big_Boy

    Bem vindo à Terra de Gigantes, Marcello "Big Boy" Coutinho.  ;D



  • @LFCavalcanti:

    E ai pessoal!

    Além de filtrar SPAM, um de meus clientes pediu para colocar "rastreadores", quando uma expressão for enviada ou recebida no corpo do e-mail ele quer receber notificações ou pelo menos um relatório.

    É possivel adaptar algo assim com Postfix? Ou alguma outra ferramenta no PFSense?

    LFCavalcanti,

    O mailscanner faz isso e já esta portado para o pfsense  :)



  • @johnnybe:

    Não sei se você sabia, mas já tivemos uma grande figura pública com esse apelido que, por sinal, eu curtia muito!

    Não sabia não johnnybe… foi uma "feliz coincidência"!

    Será que o marcelloc leva jeito pra disc jockey também?! :D

    Abraços!
    Jack



  • @JackL:

    @johnnybe:

    Não sei se você sabia, mas já tivemos uma grande figura pública com esse apelido que, por sinal, eu curtia muito!

    Não sabia não johnnybe… foi uma "feliz coincidência"!

    Será que o marcelloc leva jeito pra disc jockey também?! :D

    Abraços!
    Jack

    Combinamos somente no revolucionário( e na modéstia  ;) )
    Só sou bom mesmo nos teclados ABNT e USB  :D



  • @marcelloc:

    @JackL:

    @johnnybe:

    Não sei se você sabia, mas já tivemos uma grande figura pública com esse apelido que, por sinal, eu curtia muito!

    Não sabia não johnnybe… foi uma "feliz coincidência"!

    Será que o marcelloc leva jeito pra disc jockey também?! :D

    Abraços!
    Jack

    Combinamos somente no revolucionário( e na modéstia  ;) )
    Só sou bom mesmo nos teclados ABNT e USB  :D

    Nem por isso deixa de ser Big Boy!


Log in to reply