Aby ograniczyć liczbę systemów, które mogą wysyłać nieuwierzytelnioną pocztę wychodzącą przez serwer MTA Zimbra, ustaw atrybut tego serwera zimbraMtaMyNetworksna krótką listę dozwolonych zaufanych adresów IP lub sieci CIDR. Zachowaj pętlę zwrotną na liście, zachowaj wszystkie istniejące zaufane hosty, które nadal wymagają przekaźnika, i usuń szerokie zakresy, którym nie zamierzasz już ufać. Następnie przeładuj Postfixa i przetestuj zarówno zatwierdzone, jak i niezatwierdzone źródło.
To ustawienie kontroluje zaufanych klientów SMTP, którzy mogą przekazywać wiadomości bez uwierzytelniania SMTP. Nie blokuje ono każdej wiadomości wychodzącej od uwierzytelnionego użytkownika Zimbra i nie ustawia serwera poczty następnego przeskoku. Jeśli chcesz wymagać uwierzytelniania dla mobilnych klientów poczty lub ograniczyć konta konkretnych użytkowników, użyj zamiast tego odpowiednich mechanizmów uwierzytelniania lub zasad poczty.
MTA Zimbry korzysta z Postfixa. W Postfixie klient, którego adres źródłowy jest zgodny, mynetworksjest traktowany jako zaufany do przekazywania. Zimbra udostępnia tę listę za pośrednictwem zimbraMtaMyNetworks. Host wymieniony na liście może przesyłać pocztę do odbiorców zewnętrznych bez uwierzytelniania, więc każdy wpis stanowi istotną decyzję o zaufaniu.
Nie należy mylić listy dozwolonych z zimbraMtaRelayHost. Lista dozwolonych decyduje, którzy klienci SMTP mogą przekazywać wiadomości przez ten serwer MTA. Host przekaźnikowy to serwer nadrzędny, do którego serwer MTA przekazuje wiadomości nielokalne, na przykład gdy dostawca sieci wymaga hosta inteligentnego. Zmiana jednego nie powoduje zmiany drugiego.
Strony Centrum Technicznego Zimbra opisują ten atrybut i odpowiednie polecenia, ale niektóre materiały są oznaczone jako prace w toku lub archiwalna dokumentacja. Przed zastosowaniem zmian należy sprawdzić działanie w odniesieniu do zainstalowanej wersji i projektu wdrożenia Zimbra. Poniższe przykłady wykorzystują narzędzia wiersza poleceń Zimbra jako zimbrakonto usługi, zgodnie z wytycznymi MTA Zimbra.
Użyj CIDR pojedynczego hosta, takiego jak /32adres IPv4. Na przykład, 198.51.100.25/32reprezentuje jeden host IPv4; ten adres dostępny tylko w dokumentacji jest przykładem i nie należy go kopiować jako rzeczywistego adresu serwera. Szerszy zakres, taki jak adres, /24ufa każdemu adresowi w danej podsieci. Nie dodawaj sieci publicznych ani dużych zakresów dostawców tylko po to, aby test zakończył się sukcesem.
Zaloguj się do hosta MTA i przełącz się na konto usługi Zimbra. Zastąp je mta.example.comdokładną nazwą serwera zwróconą przez polecenie instalacji zmhostname.
su - zimbra
zmhostname
zmprov gs mta.example.com zimbraMtaMyNetworks
postconf mynetworksPierwsze zapytanie odczytuje wartość zapisaną dla obiektu serwera Zimbra i postconfpokazuje efektywne ustawienie Postfix. Zapisz oba wyniki. Jeśli atrybut LDAP jest nieustawiony, Postfix może używać wartości domyślnej, więc nie zakładaj, że puste zapytanie oznacza brak zaufanych sieci. Przed kontynuowaniem sprawdź efektywną wartość i zachowanie konfiguracji swojej wersji.
Utwórz listę zawierającą pętlę zwrotną i każde źródło, które rzeczywiście potrzebuje nieuwierzytelnionego przekaźnika. Dla serwera, który powinien akceptować przekaźnik tylko z hosta lokalnego i jednego stałego hosta aplikacji, lista wyglądałaby następująco:
127.0.0.0/8 198.51.100.25/32Zastąp przykład rzeczywistym adresem widocznym dla MTA. Uwzględnij niezbędne lokalne interfejsy serwera lub dodatkowe zaufane usługi dopiero po potwierdzeniu ich potrzeby. Unikaj pozostawiania rozległej podsieci biurowej, jeśli tylko jeden serwer powinien być zaufany; w miarę możliwości ogranicz ją do wpisu hosta.
Użyj zmprov ms, aby ustawić atrybut na poziomie serwera. To polecenie zastępuje wartość, więc uwzględnij każdy wpis, który chcesz zachować, w tym pętlę zwrotną:
zmprov ms mta.example.com zimbraMtaMyNetworks '127.0.0.0/8 198.51.100.25/32'W przypadku wielu adresów IP, wpisz pełną listę zatwierdzonych adresów w cudzysłów, rozdzielając je spacjami. Nie uruchamiaj przykładowego polecenia bez zmian. Jeśli Twoja konfiguracja opiera się na wartości globalnej, nadpisaniach na poziomie serwera, IPv6, wielu MTA lub zachowaniu specyficznym dla wersji, przed ustawieniem atrybutu sprawdź, jak dziedziczenie i wygenerowana konfiguracja Postfix działają w danym wdrożeniu.
Po zmianie konfiguracji Zimbra załaduj ponownie Postfix jako konto usługi Zimbra, a następnie ponownie zapytaj o wartość efektywną:
postfix reload
postconf mynetworks
zmprov gs mta.example.com zimbraMtaMyNetworksWynik powinien być zgodny z zamierzoną listą dozwolonych, w tym z funkcją pętli zwrotnej. Jeśli Postfix zgłosi nieprawidłową sieć lub wartości będą się różnić, należy przerwać testowanie i rozwiązać problem z konfiguracją przed jego przetestowaniem. Wpisy CIDR muszą używać prawidłowej granicy sieci; w przypadku pojedynczego hosta należy użyć adresu hosta z /32, a nie maski sieci obejmującej sąsiednie hosty.
Przeprowadź test z kontrolowanego, autoryzowanego systemu, używając tej samej ścieżki sieciowej i nasłuchiwacza SMTP, co prawdziwa aplikacja. Wyślij wiadomość do kontrolowanej skrzynki pocztowej poza domenami Zimbra. Sprawdź, czy zatwierdzony host może ją wysłać i czy logi MTA wskazują na pomyślne przyjęcie lub dostarczenie. Aktywność MTA Zimbra jest często rejestrowana /var/log/zimbra.log; sprawdź odpowiedni znacznik czasu i źródłowy adres IP, zamiast polegać wyłącznie na komunikacie o pomyślnym dostarczeniu przez klienta poczty.
Następnie przetestuj z hosta, który nie znajduje się na liście dozwolonych i nie jest uwierzytelniony. Oczekiwanym rezultatem jest odmowa przekaźnika przy próbie wysłania wiadomości do odbiorcy spoza lokalizacji. Sprawdź dziennik MTA pod kątem odrzuconych połączeń i adresu źródłowego zaobserwowanego przez Postfix. Nieuwierzytelniony klient może nadal mieć możliwość wysyłania wiadomości do lokalnych odbiorców Zimbra; jest to normalne odbieranie poczty i nie dowodzi, że może przekazywać pocztę wychodzącą.
Przetestuj również każdą legalną aplikację, która znajdowała się na starej liście. Nieudane przesłanie aplikacji zazwyczaj oznacza, że na liście dozwolonych adresów pojawił się niewłaściwy adres źródłowy, usunięto starą, zaufaną zależność lub aplikacja wymaga uwierzytelnienia SMTP. Jeśli klienci przemieszczają się między sieciami lub ich wyjściowy adres IP jest niestabilny, uwierzytelnianie SMTP przez TLS jest zazwyczaj łatwiejsze w zarządzaniu niż wielokrotne zmienianie listy dozwolonych adresów IP.
Jeśli zatwierdzone aplikacje przestaną wysyłać, przywróć dokładną zapisaną wartość zamiast dodawać zgadniętą podsieć. Zastosuj ją za pomocą zmprov ms, przeładuj Postfix i potwierdź wartość poprawną za pomocą postconf mynetworks. Sprawdź, czy moduł równoważenia obciążenia, brama NAT, host kontenera lub serwer proxy wychodzący nie zmieni adresu źródłowego przed dotarciem do MTA.
Odpowiedź Relay access deniedmoże również oznaczać, że klient nie jest uwierzytelniony, a jego źródłowy adres IP nie znajduje się na liście zaufanych. W przypadku zwykłych użytkowników poczty e-mail należy skonfigurować wysyłanie SMTP z uwierzytelnianiem, zamiast dodawać wszystkie sieci użytkowników do listy zimbraMtaMyNetworks. Szerokie listy dozwolonych adresów tworzą większą powierzchnię przekaźnikową bez uwierzytelniania i mogą narazić serwer na nadużycia, jeśli zaufana sieć zawiera niezarządzane urządzenia.
Jeśli wartość MTA wydaje się prawidłowa, ale zachowanie się nie zmienia, sprawdź, czy edytowałeś serwer, który zaakceptował połączenie, czy przeładowanie zakończyło się powodzeniem i czy żadna inna instancja Postfix ani urządzenie sieciowe nie obsługuje SMTP. Nie edytuj plików Postfix wygenerowanych przez Zimbra bezpośrednio w celu trwałej naprawy; zarządzanie konfiguracją może je ponownie wygenerować. Sprawdź dokumentację administracyjną Zimbra lub kanał wsparcia dla swojej wersji, aby poznać procedury specyficzne dla danej wersji, gdy wartość LDAP i konfiguracja środowiska wykonawczego się nie zgadzają.
postconf mynetworkswyświetla tylko pętlę zwrotną i docelowe zaufane adresy źródłowe lub sieci.Ta metoda zawęża nieuwierzytelnione przekierowanie według źródłowego adresu IP. Nie zastępuje uwierzytelniania SMTP, TLS, kontroli prędkości, zabezpieczeń kont ani monitorowania i nie rozróżnia poszczególnych aplikacji współdzielących jeden publiczny adres NAT. Używaj jej jako jednej, skoncentrowanej kontroli i sprawdzaj listę dozwolonych za każdym razem, gdy zmienia się ruch wychodzący z sieci lub role MTA.
Porównaj 10 narzędzi do pingowania, które umożliwiają szybkie wykrywanie sieci LAN, skanowanie międzyplatformowe i zarządzanie adresami IP. Dowiedz się, co narzędzie pingujące może Ci powiedzieć, a czego nie.
Porównaj sześć narzędzi do zarządzania siecią służących do monitorowania wydajności, obejmujących zasięg SNMP, mapowanie, alerty, modele wdrażania i kompromisy kosztów.
Porównaj siedem darmowych i otwartych monitorów pingów — od kompletnych pakietów sieciowych po ukierunkowane sondy opóźnień — i wybierz odpowiedni monitor pod kątem dostępności, utraty pakietów i historii.
Dowiedz się, co oznacza QoS w sieciach, w jaki sposób oznaczenia DSCP i kolejki ruchu nadają priorytet aplikacjom głosowym, wideo i biznesowym oraz czego QoS nie jest w stanie naprawić.
Porównaj niezawodne oprogramowanie serwera SFTP dla systemów Windows i Linux, w tym OpenSSH, Bitvise, SolarWinds i SFTPGo. Znajdź rozwiązanie odpowiednie dla swoich potrzeb w zakresie bezpieczeństwa i transferu plików.
Porównaj siedem narzędzi do zarządzania adresami IP służących do wykrywania podsieci, koordynacji DNS i DHCP, inwentaryzacji sieci i otwartego oprogramowania IPAM.
Porównaj sześć narzędzi do monitorowania systemu Windows Server pod kątem zbierania danych systemu Windows, widoczności aplikacji, modelu wdrażania i licencjonowania, aby znaleźć odpowiednie rozwiązanie.
Porównaj narzędzia do skanowania sieciowego umożliwiające szybkie wykrywanie urządzeń, skanowanie adresów IP na wielu platformach oraz zarządzanie IPAM w przedsiębiorstwie. Znajdziesz tu wskazówki dotyczące dopasowania każdej opcji do swojej sieci.
Zbuduj praktyczny monitoring sieci z przejrzystym zakresem urządzeń, przydatnymi wskaźnikami wydajności, przydatnymi alertami oraz porównaniem SolarWinds NPM, PRTG i OpManager.
Użyj opcji --traceroute programu Nmap, aby mapować przeskoki do autoryzowanego hosta, zrozumieć dane wyjściowe dotyczące przeskoków i czasu RTT oraz rozwiązywać problemy z brakującymi odpowiedziami bez nadmiernego skanowania.
