Usando Linux para muchas cosas y disfrutando de videojuegos, en dispositivos moviles, consolas y pc. Using Linux for many things and enjoying video games, mobile devices, consoles and pc

Fortalece tu servidor de email Linux con Amavisd-new

El email ha pasado a ser el reemplazo del fax y muchas comunicaciones entre nosotros. Nos sirve para envió de trabajos, comunicarnos con la familia, etc. Para que esto funcione debe haber una serie de servidores haciendo tareas, uno de ellos que es vital es el servidor de email manejando mínimo 2 protocolos que son SMTP y POP3. Hoy veremos una forma relativamente sencilla de instalar y configurar paso a paso Amavisd-new, una aplicación que actúa en forma de filtro entre el MTA y los antivirus/antispam, en un servidor Linux Centos 7.

-Instalamos dependencias
yum -y install wget perl-CPAN gcc gcc-c++ make perl-Time-HiRes perl-Mail-SPF perl-Net-LibIDN openssl-devel gzip bzip2 pax cpio lzop mariadb mariadb-server mailx

-Iniciamos MariaDB y lo activamos para que ejecute cuando hagamos boot
systemctl start  mariadb.service
systemctl enable mariadb.service

-Aseguramos su configuracion
mysql_secure_installation

-Descargamos la ultima version disponible de amavisd
wget -c http://www.ijs.si/software/amavisd/amavisd-new-2.10.1.tar.xz

-Instalamos los siguientes módulos de perl. No tienes perl instalado. En este articulo te enseño como.
Archive::Zip
Compress::Zlib
Compress::Raw::Zlib
MIME::Base64
MIME::Parser
Mail::Internet
Net::Server
Digest::MD5
Time::HiRes
Unix::Syslog
Crypt::OpenSSL::RSA
Mail::DKIM
HTML::Parser
NetAddr::IP
Digest::SHA1
DB_File
Mail::SPF::Test
Geo::IP
Mail::SpamAssassin::Plugin::Razor2
IO::Socket::IP
IO::Socket::INET6
IO::Socket::SSL
DBI
LWP::UserAgent
Encode::Detect
Net::Patricia
Mail::SpamAssassin
DBD::mysql
IO::Stringy
Convert::BinHex
BerkeleyDB
Unix::Getrusage
Razor2::Client::Agent
Image::Info
Image::Info::GIF
Image::Info::JPEG
Image::Info::PNG
Image::Info::BMP
Image::Info::TIFF
Sys::Syslog

-Instalamos Clamav y lo activamos como explico en este articulo

-Creamos el directorio home de Amavis al crear su cuenta y grupo
adduser -b /var -m amavis

-Creamos el arbol de directorios de amavis y activamos sus permisos
mkdir /var/amavis/tmp /var/amavis/var /var/amavis/db /var/amavis/home
chown -R amavis:amavis /var/amavis
chmod -R 770 /var/amavis

-Descomprimimos el archivo de amavis y entramos al directorio
tar xf amavisd-new-2.10.1.tar.xz
cd amavisd-new-2.10.1

-Copiamos el script de amavis y cambiamos sus permisos
cp amavisd /usr/local/sbin/
chown root /usr/local/sbin/amavisd
chmod 755  /usr/local/sbin/amavisd

-Copiamos la configuracion a etc y cambiamos sus permisos
cp amavisd.conf /etc/
chown root:amavis /etc/amavisd.conf
chmod 640 /etc/amavisd.conf

-Creamos un directorio para los mails con virus que clamd vaya encontrando y activamos sus permisos
mkdir /var/virusmails
chown amavis:amavis /var/virusmails
chmod 750 /var/virusmails

-Modificamos la configuración de amavis. Por la gran cantidad de opciones, solo mostrare las que deberíamos cambiar. Las demás pueden quedar con sus valores por default
vi /etc/amavisd.conf
$daemon_user  = 'amavis';
$daemon_group = 'amavis';
$mydomain = 'example.com';
$MYHOME = '/var/amavis';
$TEMPBASE = "$MYHOME/tmp";
$QUARANTINEDIR = '/var/virusmails';
$db_home   = "$MYHOME/db";
$helpers_home = "$MYHOME/var";
$lock_file = "$MYHOME/var/amavisd.lock";
$pid_file  = "$MYHOME/var/amavisd.pid";
$myhostname = 'servidor.test.com';

$inet_socket_port = 10024;

$log_level = 5; #Mientras hacemos pruebas de que todo esta ok, después cambiar a valor 0

$sa_tag_level_deflt  = 2.0;
$sa_tag2_level_deflt = 6.2;
$sa_kill_level_deflt = 6.9;
$sa_dsn_cutoff_level = 10;
$sa_crediblefrom_dsn_cutoff_level = 18;

$sa_mail_body_size_limit = 400*1024;
$sa_spam_subject_tag = '***Spam*** ';

$notify_method  = 'smtp:[127.0.0.1]:10025';
$forward_method = 'smtp:[127.0.0.1]:10025';

@av_scanners = (
['ClamAV-clamd',
   \&ask_daemon, ["CONTSCAN {}\n", "/var/run/clamav/clamd.sock"],
   qr/\bOK$/m, qr/\bFOUND$/m,
   qr/^.*?: (?!Infected Archive)(.*) FOUND$/m ],
);

-Agregamos amavis al grupo clamav
usermod -a -G clamav amavis

-Editamos la configuracion de clamav y permitimos grupos suplementarios, así puede interactuar con amavis
vi /etc/clamd.conf
..
..
AllowSupplementaryGroups yes

-Verificamos
id clamav
uid=997(clamav) gid=995(clamav) groups=995(clamav),1001(amavis)

Spamassassin

-Instalamos spamassassin
yum install spamassassin

-Modificamos su configuración. Un puntaje mayor de 5 sera marcado spam
vi /etc/mail/spamassassin/local.cf
rewrite_header Subject *****SPAM*****
report_safe 0
required_score 5.0

-Nos creamos una cuenta y grupo para spamd. Activamos sus permisos
groupadd spamd
useradd -g spamd -s /bin/false -d /var/log/spamassassin spamd
chown spamd:spamd /var/log/spamassassin

-Actualizamos las reglas de spamassassin
/usr/local/bin/sa-update

-Ejecutamos amavis en modo debug buscando algún modulo que nos falte o error que debamos corregir antes de entrar en producción
/usr/local/sbin/amavisd debug

Postfix

-Instalamos Postfix. No sabes como configurarlo? En este articulo te muestro como

-Agregamos a main.cf de postfix
vi /etc/postfix/main.cf
strict_rfc821_envelopes = yes
mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain

-Ejecutamos. Apenas todo este funcionando correctamente, debemos devolverlo a no
postconf -e "soft_bounce = yes"
systemctl reload  postfix.service

-Modificamos
vi /etc/postfix/master.cf
amavisfeed unix    -       -       n        -      2     lmtp
     -o lmtp_data_done_timeout=1200
     -o lmtp_send_xforward_command=yes
     -o lmtp_tls_note_starttls_offer=no

127.0.0.1:10025 inet n    -       n       -       -     smtpd
     -o content_filter=
     -o smtpd_delay_reject=no
     -o smtpd_client_restrictions=permit_mynetworks,reject
     -o smtpd_helo_restrictions=
     -o smtpd_sender_restrictions=
     -o smtpd_recipient_restrictions=permit_mynetworks,reject
     -o smtpd_data_restrictions=reject_unauth_pipelining
     -o smtpd_end_of_data_restrictions=
     -o smtpd_restriction_classes=
     -o mynetworks=127.0.0.0/8
     -o smtpd_error_sleep_time=0
     -o smtpd_soft_error_limit=1001
     -o smtpd_hard_error_limit=1000
     -o smtpd_client_connection_count_limit=0
     -o smtpd_client_connection_rate_limit=0
     -o receive_override_options=no_header_body_checks,no_unknown_recipient_checks,no_milters
     -o local_header_rewrite_clients=
     -o smtpd_milters=
     -o local_recipient_maps=
     -o relay_recipient_maps=

-Reiniciamos postfix y verificamos no de error. Aun no se esta filtrando
systemctl reload  postfix.service
less /var/log/maillog

Pruebas de configuración

-Hacemos tres pruebas. Primera: Verificamos amavis
/usr/local/sbin/amavisd debug

telnet localhost 10024
Trying ::1...
Connected to localhost.
Escape character is '^]'.
220 [::1] ESMTP amavisd-new service ready
EHLO localhost
250-[::1]
250-VRFY
250-PIPELINING
250-SIZE
250-ENHANCEDSTATUSCODES
250-8BITMIME
250-SMTPUTF8
250-DSN
250 XFORWARD NAME ADDR PORT PROTO HELO IDENT SOURCE
quit
221 2.0.0 [::1] amavisd-new closing transmission channel
Connection closed by foreign host.

Funciono como el ejemplo arriba?, No? verifica si el daemon de amavis esta ejecutandose? El puerto es el correcto?

-Segunda prueba: Verificamos postfix
telnet 127.0.0.1 10025
Trying 127.0.0.1...
Connected to 127.0.0.1.
Escape character is '^]'.
220 veser7.mecatienda.com ESMTP Postfix
EHLO localhost
250-veser7.mecatienda.com
250-PIPELINING
250-SIZE 10240000
250-VRFY
250-ETRN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
quit
221 2.0.0 Bye
Connection closed by foreign host.

Fallo la prueba? Verifica que postfix se este ejecutando. Mira los logs en maillog. La ip y el port son los correctos? Tienes el firewall activo y esta bloqueando esta conexión?

-Tercera prueba: Verificamos el transporte, es decir, amavis filtra un email, lo verifica y se lo pasa a postfix para su entrega final. Usaremos el mail de ejemplo test-messages/sample-nonspam.txt dentro del directorio de amavis. Primero descomprimimos los mails de prueba
cd /root/amavisd-new-2.10.1/test-messages
perl -pe 's/./chr(ord($&)^255)/sge' <sample.tar.gz.compl | zcat | tar xvf -

-Ejecutamos
telnet localhost 10024
Trying ::1...
Connected to localhost.
Escape character is '^]'.
220 [::1] ESMTP amavisd-new service ready
HELO localhost
250 [::1]
MAIL FROM: <>
250 2.1.0 Sender <> OK
RCPT TO: <postmaster>
250 2.1.5 Recipient <postmaster> OK
DATA
354 End data with <CR><LF>.<CR><LF>
From: virus-tester
 To: undisclosed-recipients:;
 Subject: amavisd test - simple - no spam test pattern

 This is a simple test message from the amavisd-new test-messages.
.
250 2.0.0 from MTA(smtp:[127.0.0.1]:10025): 250 2.0.0 Ok: queued as 466C3CD319
quit
221 2.0.0 [::1] amavisd-new closing transmission channel

Fallo la prueba? Verifica logs en maillog y en los msg que arroja amavis en modo debug

-Si todo esta ok, agregamos a postfix
vi /etc/postfix/main.cf
strict_rfc821_envelopes = yes
soft_bounce = no
content_filter=amavisfeed:[127.0.0.1]:10024

-Modificamos amavisd.conf dejando logs a su nivel mínimo
vi /etc/amavisd.conf
$log_level = 0;

-Optimizacion: En la medida que nuestro servidor aumente su carga de emails pro procesar podemos ir aumentando la cantidad de procesos a ejecutar. No existe un numero mágico, es cuestión de observar la carga y así mismo decidir si aumentar los procesos o dejarlos como están. Recuerda, muchos procesos no quiere decir que así de rápido funcionara todo, mas bien si se acaban los recursos y colocas mas procesos harás que el servidor aumente su carga volviéndose mas lento.

-Copiamos el script de inicio al directorio init.d y modificamos la ruta donde debe ejecutarlo
cp /root/amavisd-new-2.10.1/amavisd_init.sh /etc/init.d/amavisd
vi /etc/init.d/amavisd
prog="/usr/local/sbin/amavisd"

-Cambiamos sus permisos, reiniciamos los servicios de amavisd y postfix y los activamos para ejecución al hacer boot
chmod 755 /etc/init.d/amavisd
systemctl restart  amavisd.service
systemctl enable amavisd.service

systemctl restart  postfix.service
systemctl enable postfix.service

Bien, con estos últimos pasos ya tenemos un servidor de email protegido contra virus y spam el cual puede ir creciendo con nuestros requerimientos, por ejemplo, ser multidominio, lo cual dejamos para otro articulo.
Conocías Amavisd-new? Lo usas, que tal te ha parecido? Usas otra alternativa parecida, cual?
Si te resulto útil este articulo, se social, haz un tweet, compártelo con otros por medio de los botones o sígueme en twitter google+facebook o email y podrás estar enterado de todas mis publicaciones.
Disfrútenlo.

Share/Bookmark

No hay comentarios:

Publicar un comentario

Dejame un comentario, aprecio la retroalimentacion. Leave me a comment, I appreciate the feedback.