Cum să restricționezi retransmiterea e-mailurilor de ieșire prin adresa IP în Zimbra

Pentru a limita sistemele care pot trimite e-mailuri neautentificate printr-un Zimbra MTA, setați atributul serverului respectiv zimbraMtaMyNetworksla o listă scurtă de adrese IP sau rețele CIDR de încredere. Păstrați loopback-ul în listă, păstrați orice gazde de încredere existente care încă necesită retransmitere și eliminați intervalele largi în care nu mai intenționați să aveți încredere. Apoi, reîncărcați Postfix și testați atât o sursă aprobată, cât și una neaprobată.

Această setare controlează clienții SMTP de încredere care pot retransmite mesaje fără autentificare SMTP. Nu blochează fiecare mesaj trimis de un utilizator Zimbra autentificat și nu setează serverul de e-mail next-hop. Dacă obiectivul dvs. este să solicitați autentificarea pentru clienții de e-mail în roaming sau să restricționați anumite conturi de utilizator, utilizați în schimb controalele corespunzătoare de autentificare sau de politică de e-mail.

Ce controlează lista de IP-uri permise?

MTA-ul Zimbra folosește Postfix. În Postfix, un client a cărui adresă sursă se potrivește mynetworkseste tratat ca fiind de încredere pentru retransmitere. Zimbra expune această listă prin zimbraMtaMyNetworks. O gazdă listată poate trimite e-mailuri către destinații externe fără autentificare, astfel încât fiecare intrare reprezintă o decizie de încredere semnificativă.

Nu confundați lista de permise cu zimbraMtaRelayHost. Lista de permise decide ce clienți SMTP pot retransmite prin acest MTA. O gazdă de retransmisie este serverul din amonte către care MTA redirecționează mesaje non-locale, de exemplu atunci când un furnizor de rețea necesită o gazdă inteligentă. Schimbarea uneia nu îndeplinește funcția celeilalte.

Paginile Centrului Tehnic Zimbra descriu acest atribut și comenzile relevante, dar unele materiale sunt marcate ca lucrări în curs sau documentație de arhivă. Confirmați comportamentul în raport cu versiunea instalată de Zimbra și designul de implementare înainte de a aplica modificările. Exemplele de mai jos utilizează instrumentele din linia de comandă Zimbra ca și zimbracont de serviciu, în conformitate cu îndrumările MTA Zimbra.

Înainte de a schimba setarea

• Identificați gazda MTA care primește trimiteri SMTP de la sistemele pe care intenționați să le permiteți. Într-un mediu cu mai multe MTA, determinați ce MTA-uri gestionează aceste conexiuni și planificați modificarea pe fiecare server relevant.
• Găsiți adresa IP sursă fixă ​​pe care MTA-ul o vede de fapt. Dacă aplicația se află în spatele NAT, utilizați adresa sa publică de ieșire, nu adresa sa LAN privată. Dacă adresa IP se schimbă frecvent, o listă de acces permisă doar pentru IP-uri va necesita întreținere continuă.
• Înregistrați atributul Zimbra curent și valoarea Postfix efectivă. Nu înlocuiți o listă existentă doar cu noua adresă până când nu ați verificat ce servicii depind de intrările curente.
• Stabiliți o fereastră de întreținere sau o fereastră de modificare corespunzătoare serviciului dvs. de e-mail și păstrați o copie a valorii originale exacte.

Folosiți un CIDR pentru o singură gazdă, cum ar fi /32pentru o adresă IPv4. De exemplu, 198.51.100.25/32reprezintă o gazdă IPv4; această adresă, disponibilă doar în documentație, este un exemplu și nu trebuie copiată ca adresă de server reală. Un interval mai larg, cum ar fi [numele rețelei], /24are încredere în fiecare adresă din acea subrețea. Nu adăugați rețele publice sau intervale mari de furnizori doar pentru a face un test să reușească.

Cum se configurează lista de permisiuni pentru retransmisia Zimbra

1. Verificați valorile configurate și efective

Conectați-vă la gazda MTA și comutați la contul de serviciu Zimbra. Înlocuiți mta.example.comcu numele exact al serverului returnat de comanda instalării zmhostname.

su - zimbra
zmhostname
zmprov gs mta.example.com zimbraMtaMyNetworks
postconf mynetworks

Prima interogare citește valoarea stocată pentru obiectul serverului Zimbra; postconfafișează setarea Postfix efectivă. Salvați ambele ieșiri. Dacă atributul LDAP nu este setat, este posibil ca Postfix să utilizeze o valoare implicită, așa că nu presupuneți că o interogare goală înseamnă că nu există rețele de încredere. Verificați valoarea efectivă și comportamentul de configurare al versiunii dvs. înainte de a continua.

2. Construiți cea mai mică listă completă

Creați o listă care să conțină loopback-ul plus fiecare sursă care are nevoie cu adevărat de retransmisie neautentificată. Pentru un server care ar trebui să accepte retransmisii doar de la localhost și o gazdă fixă ​​a aplicației, forma ar fi:

127.0.0.0/8 198.51.100.25/32

Înlocuiți exemplul cu adresa reală vizibilă pentru MTA. Includeți interfețele locale necesare ale serverului sau serviciile suplimentare de încredere numai după ce confirmați că acestea sunt necesare. Evitați să lăsați o subrețea extinsă de birou dacă trebuie să aveți încredere într-un singur server; reduceți-o la o intrare gazdă acolo unde este practic.

3. Setați valoarea pe MTA-ul corect

Folosește zmprov mspentru a seta atributul la nivel de server. Această comandă înlocuiește valoarea, deci include fiecare intrare pe care intenționezi să o păstrezi, inclusiv loopback-ul:

zmprov ms mta.example.com zimbraMtaMyNetworks '127.0.0.0/8 198.51.100.25/32'

Pentru IP-uri multiple, plasați lista completă aprobată în interiorul valorii ghilimele, separate prin spații. Nu executați o comandă exemplu neschimbată. Dacă configurația se bazează pe o valoare globală, suprascrieri la nivel de server, IPv6, MTA-uri multiple sau comportament specific versiunii, verificați cum funcționează moștenirea și configurația Postfix generată în implementarea respectivă înainte de a seta atributul.

4. Reîncărcați Postfix și confirmați setarea activă

După modificarea configurației Zimbra, reîncărcați Postfix ca cont de serviciu Zimbra, apoi interogați din nou valoarea efectivă:

postfix reload
postconf mynetworks
zmprov gs mta.example.com zimbraMtaMyNetworks

Rezultatul ar trebui să corespundă listei permise dorite, inclusiv loopback-ul. Dacă Postfix raportează o rețea incorectă sau valorile diferă, opriți și rezolvați problema de configurare înainte de a testa fluxul de e-mailuri. Intrările CIDR trebuie să utilizeze limita corectă a rețelei; pentru o singură gazdă, utilizați adresa gazdei cu /32, în loc de o mască de rețea care include gazdele vecine.

Cum se verifică dacă restricția funcționează

Testați de pe un sistem controlat și autorizat, utilizând aceeași cale de rețea și același listener SMTP ca și aplicația reală. Trimiteți un mesaj către o cutie poștală pe care o controlați în afara domeniilor Zimbra. Confirmați că gazda aprobată îl poate trimite și că jurnalele MTA arată acceptarea sau livrarea cu succes. Activitatea Zimbra MTA este de obicei înregistrată /var/log/zimbra.log; inspectați marcajul temporal relevant și adresa IP sursă, în loc să vă bazați doar pe mesajul de succes al unui client de e-mail.

Apoi, testați de pe o gazdă care nu se află pe lista de acces permis și nu este autentificată. Rezultatul așteptat este o refuzare a retransmiterii atunci când încearcă să trimită către un destinatar non-local. Verificați jurnalul MTA pentru conexiunea respinsă și adresa sursă observată de Postfix. Un client neautentificat poate avea în continuare permisiunea de a trimite către destinatari Zimbra locali; aceasta este o recepție normală de e-mail și nu dovedește că poate retransmite e-mailul trimis.

Testați și orice aplicație legitimă care se afla pe lista veche. O trimitere eșuată a aplicației înseamnă, de obicei, că adresa sursă greșită a fost inclusă pe lista permisă, că o dependență veche de încredere a fost eliminată sau că aplicația necesită autentificare SMTP. Dacă clienții se deplasează între rețele sau adresa lor IP de ieșire nu este stabilă, autentificarea SMTP prin TLS este, în general, mai ușor de gestionat decât modificarea repetată a unei liste de adrese IP permise.

Cum se revine la versiunea anterioară sau cum se depanează

Dacă aplicațiile aprobate nu mai trimit, restaurați valoarea exactă salvată în loc să adăugați o subrețea ghicită. Aplicați-o cu zmprov ms, reîncărcați Postfix și confirmați valoarea efectivă cu postconf mynetworks. Verificați dacă un echilibrator de sarcină, un gateway NAT, o gazdă de container sau un proxy de ieșire modifică adresa sursă înainte ca aceasta să ajungă la MTA.

Un Relay access deniedrăspuns poate însemna, de asemenea, că clientul nu este autentificat și că adresa IP sursă lipsește din lista de încredere. Pentru utilizatorii obișnuiți de e-mail, configurați trimiterea SMTP cu autentificare, în loc să adăugați toate rețelele utilizatorilor la zimbraMtaMyNetworks. Listele largi de acces permis creează o suprafață de retransmitere neautentificată mai mare și pot expune serverul la abuzuri dacă o rețea de încredere conține dispozitive negestionate.

Dacă valoarea MTA pare corectă, dar comportamentul nu se modifică, confirmați că ați editat serverul care a acceptat conexiunea, că reîncărcarea a reușit și că nicio altă instanță Postfix sau dispozitiv de rețea nu gestionează SMTP. Nu editați fișierele Postfix generate de Zimbra direct ca o soluție permanentă; gestionarea configurației le poate regenera. Consultați documentația de administrare Zimbra sau canalul de asistență al versiunii dvs. pentru procedurile specifice versiunii atunci când valoarea LDAP și configurația runtime nu sunt în concordanță.

Cum arată un rezultat reușit

• postconf mynetworkslistează doar loopback-ul și adresele sau rețelele sursă de încredere prevăzute.
• Aplicația aprobată, neautentificată, poate trimite către o cutie poștală de testare externă.
• O gazdă neautentificată și neaprobată primește un refuz de retransmisie pentru un destinatar extern.
• Utilizatorii autentificați și e-mailul local primit continuă să funcționeze conform așteptărilor.
• Valoarea de rollback înregistrată și lista de servicii dependente sunt păstrate pentru modificări viitoare.

Această metodă restrânge retransmiterea neautentificată în funcție de adresa IP sursă. Nu înlocuiește autentificarea SMTP, TLS, controalele de viteză, securitatea contului sau monitorizarea și nu poate distinge aplicațiile individuale care partajează o singură adresă NAT publică. Folosiți-o ca un control concentrat și revizuiți lista de permisiuni ori de câte ori se modifică ieșirea din rețea sau rolurile MTA.

Surse

• Centrul Tehnic Zimbra: ZimbraMtaMyNetworks
• Centrul Tehnic Zimbra: Zimbra MTA
• Centrul tehnic Zimbra: Identificarea și rezolvarea problemelor legate de fluxul de e-mail
• Manualul Postfix: rețelele mele