View source for Mailgw.fjfi.cvut.cz

{{Servers}}

=Základní informace=

;Správce : [http://nms.fjfi.cvut.cz/user/who.php?uid=vokacpet Petr Vokáč]
;HW : Intel(R) Pentium(R) 4 CPU 3.00GHz, 1GB RAM, 2x120GB HDD (RAID1) - 2x (Břehová+Trojanova)
;OS : [http://www.centos.org CentOS7]
;Využití : mailová brána (antivir+antispam) + SMTP AUTH server smtp.fjfi.cvut.cz, RADIUS server pro [http://eduroam.fjfi.cvut.cz/ Eduroam]
;Konto : pro autentizované odesílání mailů přes smtp.fjfi.cvut.cz použijte hlavní uživatelské jméno/heslo, pro Eduroam je potřeba [https://nms.fjfi.cvut.cz/?p=wifi&sp=eduroam nadefinovat samostatné heslo]

=[[Mailgw Admin|Informace pro správce]]=

* standardní (minimální) instalace operačního systému
* standardní puppet konfigurace pro server (certifikáty, logging, monitoring, ...)
 rpm -Uvh http://mirror.slu.cz/epel/7/x86_64/e/epel-release-7-5.noarch.rpm
 yum install puppet
 # use mailgw puppet client certificates from backup
 # of the /var/lib/puppet/ssl
 cat >> /etc/puppet/puppet.conf <<EOF
 [main]
     # puppet server name must be in config file, because new puppet
     # client doesn't support passing this information from environmet
     # of the startup script
     server = puppet.fjfi.cvut.cz
 
     # distribute custom facts and types from
     # the server to managed clients automatically
     pluginsync = true
 EOF
 # apply puppet configuration
 puppet agent --test --debug --waitforcert=120
 # enable and start puppet daemon
 systemctl enable puppet
 systemctl start puppet
==mailgw==
* instalace [https://fedoraproject.org/wiki/EPEL EPEL] repository

===postfix===
* používá se opatchovaná verze postfixu umožňující specifikovat jiný limit na velikost mailů pro lokální stroje
** zkompilovaná ze src.rpm balíčku + postfix-2.11.0-local_message_limit.patch
** aktuálně používána verze 3.0 (podpora SMTPUTF8 z RFC 6531..6533)
* konfigurace v <tt>/etc/postfix</tt>
** postfix klade důraz na zachování kompatibility konfiguračních souborů
** pokud není potřeba měnit chování mailserveru stačí zkopírovat konfigurační soubory
** z cronu jsou automaticky updatovány některé konfigurační soubory dle informací z AD
* konfigurace SASL autentizace
** instalace potřebných knihoven<pre>yum install cyrus-sasl</pre><pre>systemctl enable saslauthd</pre><pre>systemctl start saslauthd</pre>
** nutná správná konfigurace kerbera v <tt>/etc/krb5.conf</tt>
** postfix autentizace proti kerberu v <tt>/etc/pam.d/smtp.postfix</tt>

====milter pluginy====
* opendkim
** instalace <pre>yum install opendkim</pre>
** konfigurace <tt>/etc/opendkim</tt> a <tt>/etc/opendkim.{sign,verify}.conf</tt>
** <pre>semanage port -a -t milter_port_t -p tcp 10039</pre>
** <pre>semanage port -a -t milter_port_t -p tcp 10040</pre>
* srs-milter<pre>rpm -Uvh srs-milter-0.0.2-1.x86_64.rpm libspf2-1.2.10-0.el7.centos.x86_64.rpm libsrs2-1.0.18-1.x86_64.rpm</pre>
* sid-milter<pre>rpm -Uvh sid-milter-1.0.0-0.el7.centos.x86_64.rpm</pre>

====policy delegation====
* postfix poskytuje [http://www.postfix.org/SMTPD_POLICY_README.html policy delegation] protokol pro zpracovaní mailů na základě jejich envelope (CONNECT, HELO, MAIL FROM, RCPT TO, DATA)
* použitá implementace [https://github.com/vokac/ppolicy ppolicy] (Python Postfix Policy Server)
** umožňuje psát pravidla pro zpracování mailu v pythonu 
** využívá python-twisted framework a dle konfigurace závisí i na dalších python balíčcích <pre>yum install python-twisted-core MySQL-python python-dns python-GeoIP</pre>
** instalace z připraveného RPM<pre>rpm -Uvh ppolicy-2.7.0-0beta19.noarch.rpm</pre>
** konfigurace resp. python script řídící chování ppolicy <tt>/etc/postfix/ppolicy.conf</tt>
** před prvním startem je nutné vytvořit MySQL databázi a zpřístupnit ji uživateli z konfiguračního souboru (detaily v <tt>ppolicy.sql</tt>)

===amavis===
* používá se opatchovaná verze nejnovější verze
** přidává specifické hlavičky <tt>X-CTU-FNSPE</tt> s informacemi o běhu amavisu/spamassassinu
** vylepšená podpora CRM114
** několik bugfixů týkajících se LDAP
** přidáno RPM pro p0f (systemd service file, script wrapper)
** detaily ve zdrojovém balíčku <tt>amavisd-new-2.xx.xx.src.rpm</tt>
* závislost na řadě balíčků z [https://fedoraproject.org/wiki/EPEL EPEL] + dalších potřebných (perl) modulů zkompilovaných z Fedora src.rpm balíčků
 yum install spamassassin
 yum install altermime arj bzip2 cabextract clamav-server clamav-server-systemd \
     freeze lrzip lzop lz4 nomarch p7zip p7zip-plugins tmpwatch unzoo
 yum install perl-Archive-Tar perl-Archive-Zip perl-Authen-SASL perl-BerkeleyDB \
     perl-Convert-TNEF perl-Convert-UUlib perl-DBD-SQLite perl-DBI perl-Digest-SHA \
     perl-Digest-SHA1 perl-Mail-DKIM perl-Mail-SPF perl-Net-DNS perl-Net-Server \
     perl-NetAddr-IP perl-Socket6 perl-Time-HiRes perl-Unix-Syslog perl-Razor-Agent \
     perl-LDAP
 # missing CentOS7+EPEL packages
 rpm -Uvh perl-File-LibMagic-1.00-4.el7.centos.x86_64.rpm unrar-4.0.7-1.el7.centos.x86_64.rpm
 # install and enable amavisd
 rpm -Uvh amavisd-new-2.10.1-1.el7.centos.noarch.rpm amavisd-new-p0f-2.10.1-1.el7.centos.noarch.rpm
 systemctl enable amavisd.service
 systemctl enable amavisd-p0f.service
* konfigurace <tt>/etc/amavisd/</tt>
* informace o mailech zpracovaných amavisem se ukládají do MariaDB
** nutné vytvořit příslušnou databázi
** potřebné informace v nainstalovaném README.sql-mysql
** pro zjednodušení práce s databází jsou tabulky v <tt>ppolicy</tt> databázi

==== spamassassin ====
* lokální pravidla v <tt>/etc/mail/spamassassin/99_zzzz_my.cf</tt>
* FuzzyOCR
 yum install giflib-utils netpbm-progs
 rpm -Uvh spamassassin-FuzzyOcr-3.6.0-6.el7.centos.noarch.rpm \
          perl-String-Approx-3.27-6.el7.centos.x86_64.rpm \
          ocrad-0.24-1.el7.centos.x86_64.rpm \
          gifsicle-1.87-1.el7.centos.x86_64.rpm
* Mail::SpamAssassin::Plugin::RelayCountry
 rpm -Uvh perl-IP-Country-utils-2.26-4.el7.centos.noarch.rpm \
          perl-IP-Country-2.26-4.el7.centos.noarch.rpm \
          perl-Geography-Countries-2009041301-13.el7.centos.noarch.rpm

==== CRM114 ====
 yum install tre
 rpm -Uvh crm114-0-8.14.20100106.el7.centos.x86_64.rpm

==== antivir ====
* KAV<pre>rpm -Uvh klms-8.0.1-705.i386.rpm; yum install glibc.i686</pre>
** (první) konfigurace pomocí <tt>/opt/kaspersky/klms/bin/klms-setup.pl</tt>
** každoročně je nutné importovat nový licenční soubor<pre>/opt/kaspersky/klms/bin/klms-control --licenser --install-additional-key "license".key</pre>
* clamav<pre>yum install clamav-server-systemd clamav-update</pre>

===ostatní===
* mariadb
** databáze využívána amavisem, ppolicy a radius serverem
** instalace
 yum install mariadb-server
 systemctl enable mariadb.service
 systemctl start mariadb.service
** konfigurace v <tt>/etc/my.cnf.d</tt> (per database innodb file, SSL connection support)
* unbound
** mailserver provádí hodně DNS dotazů a tak je rozumné provozovat cachovací DNS lokálně
** cachovací DNS server s forwardery na oficiální FJFI/ČVUT DNS servery
** instalace <pre>yum install unbound</pre>
** konfigurace <tt>/etc/unbound/unbound.conf</tt>
*** zkonfigurovat <tt>access-control</tt> pouze pro ČVUT adresy
*** nastavit <tt>forward-zone</tt> "." na naše (cachovací) DNS
* snmp
** pro export základních informací o postfix frontě (počet mailů, velikost, ...)
** používáno Nagiosem pro monitoring
** konfigurace v <tt>/etc/snmp</tt>
* dinfo
** lokální daemon poskytující remote rozhraní pro různé služby
** aktivní modul "mail"
** (do budoucna v plánu nahradit nejakým standardním nástrojem, např. mcollective, RESTful API, ...)

==radius==
===freeradius===

* instalace<pre>yum install freeradius freeradius-utils freeradius-ldap freeradius-mysql</pre>
* konfigurace <tt>/etc/raddb</tt> dle [http://www.eduroam.cz/ Eduroam návodu] resp. aktuálních FJFI konfigurací
* nutné výtvořit MariaDB databázi podle <tt>/etc/raddb/mods-config/sql/main/mysql</tt>
 mysql -e 'CREATE DATABASE radius'
 mysql radius < schema.sql
 mysql radius < setup.sql 
* skripty pro registraci zařízení přihlášených přes Eduroam potřebují další python moduly<pre>yum install python-ldap MySQL-python</pre>

===radsecproxy===

* vytvořen RPM balíček <tt>radsecproxy-1.6.6-0.el7.centos.x86_64.rpm</tt>
* konfigurace <tt>/etc/radsecproxy.conf</tt>

==firewall==
 # trusted hosts
 firewall-cmd --permanent --zone=trusted 
 firewall-cmd --permanent --zone=trusted --add-source=147.32.9.2
 firewall-cmd --permanent --zone=trusted --add-source=2001:718:2:1901::2
 firewall-cmd --permanent --zone=trusted --add-source=147.32.9.3
 firewall-cmd --permanent --zone=trusted --add-source=2001:718:2:1900::3
 firewall-cmd --permanent --zone=trusted --add-source=147.32.9.67
 firewall-cmd --permanent --zone=trusted --add-source=2001:718:2:1800::3
 # internal (FNSPE) network
 #firewall-cmd --permanent --zone=internal --add-source=147.32.4.0/22
 #firewall-cmd --permanent --zone=internal --add-source=147.32.8.0/22
 #firewall-cmd --permanent --zone=internal --add-source=147.32.22.0/24
 #firewall-cmd --permanent --zone=internal --add-source=147.32.25.0/24
 #firewall-cmd --permanent --zone=internal --add-source=2001:718:2:1800::/56
 #firewall-cmd --permanent --zone=internal --add-source=2001:718:2:1900::/56
 #firewall-cmd --permanent --zone=internal --remove-servce=ipp-client
 #firewall-cmd --permanent --zone=internal --remove-servce=mdns
 #firewall-cmd --permanent --zone=internal --remove-servce=dhcpv6-client
 #firewall-cmd --permanent --zone=internal --remove-servce=samba-client
 # work (CTU) network
 firewall-cmd --permanent --zone=work --add-source=147.32.0.0/16
 firewall-cmd --permanent --zone=work --add-source=2001:718:2::/48
 firewall-cmd --permanent --zone=work --add-service=dns
 firewall-cmd --permanent --zone=work --remove-service=ipp-client
 firewall-cmd --permanent --zone=work --remove-service=dhcpv6-client
 # public services
 firewall-cmd --permanent --zone=public --add-service=smtp
 firewall-cmd --permanent --zone=public --add-port=465/tcp
 firewall-cmd --permanent --zone=public --add-port=587/tcp
 firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="147.32.5.0/26" service name="radius" accept'
 firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="147.32.7.0/26" service name="radius" accept'
 firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="147.32.22.224/27" service name="radius" accept'
 firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="195.113.187.22" service name="radius" accept'
 # apply changes in firewall configuration
 firewall-cmd --reload