\nJe pars d’ailleurs d’une machine avec un postfix minimaliste sachant envoyer et recevoir des mails.
\nVous pouvez vous reporter \u00e0 ma doc Debian<\/a> pour ce cas l\u00e0, elle d\u00e9crit en plus de postfix :
\n– la mise en place de postgrey (voyez l’int\u00e9r\u00eat ici<\/a>)
\n– la mise en place de quelques blocages par blacklists (RBL & co)
\n– procmail
\nJe ne parle pas non plus du montage d’un backup MX. Probablement lors d’un prochain article.<\/p>\n
Enfin, je colle tous les \u00e9l\u00e9ments de ce serveur sur une unique machine physique. Vous pourriez s\u00e9parer les \u00e9l\u00e9ments. A ce moment-l\u00e0, un peu de raisonnement et une lecture des documentations officielles que je cite me para\u00eet judicieux. Cet article se limiterait alors,pour vous, \u00e0 comprendre le r\u00f4le de chaque morceau, \u00e0 appr\u00e9hender la configuration de base et \u00e0 partir du coup dans la bonne direction.<\/p>\n
Comme \u00e0 mon habitude, je d\u00e9cris aussi quelques b\u00eatises et oublis que j’ai p\u00fb rencontrer, \u00e7a aidera \u00e0 d\u00e9bugger et \u00e7a explique des choses.<\/p>\n
Pr\u00e9-requis<\/h1>\n
Etre sur une Debian stable (Lenny) avec le d\u00e9p\u00f4t Debian \u00ab\u00a0volatile\u00a0\u00bb op\u00e9rationnel (pour les mises \u00e0 jour de clamav).
\nLe d\u00e9p\u00f4t \u00ab\u00a0volatile\u00a0\u00bb, c’est \u00e7a :<\/p>\n
moi@srv:~$ cat \/etc\/apt\/sources.list | grep vola\r\ndeb http:\/\/volatile.debian.org\/debian-volatile lenny\/volatile main contrib non-free<\/pre>\nC’est un d\u00e9p\u00f4t cr\u00e9\u00e9 pour palier aux probl\u00e8mes des applications mises \u00e0 jour constamment (les bases anti-virus par exemple, tout autant que des outils de mssageries instantan\u00e9es qui voient les protocoles sous-jascents \u00e9voluer r\u00e9guli\u00e8rement). Si on restait sur le rythme Debian (tous les 2 ans ; bient\u00f4t 6 mois<\/a>), on aurait des applications inutiles.<\/p>\n
R\u00f4le de chaque \u00e9l\u00e9ment<\/h1>\n
D’abord le sch\u00e9ma qui va bien :
\nCheminement du mail<\/figcaption><\/figure><\/p>\n 1. Postfix re\u00e7oit donc la connexion d’un serveur voulant envoyer un mail.
\n2. Gr\u00e2ce \u00e0 postgrey, il va filtrer d\u00e9j\u00e0 un bon paquet de spams qui n’atteindra pas la suite des composants (et donc pas de charge r\u00e9seau\/cpu inutile).
\n3. Donc au besoin, le mail revient plus tard, suite \u00e0 greylisting.
\n4. Postfix passe le relai \u00e0 amavisd-new qui orchestre les appels \u00e0 :
\n5. ClamAV qui fait ce qu’il a \u00e0 faire
\n6. et \u00e0 spamassassin, lui-m\u00eame g\u00e9rant pyzor\/razor
\n7. Retour du mail nettoy\u00e9 (disons, avec les en-t\u00eates qui vont bien) vesr postfix
\n8. Postfix livre le mail (dans la bo\u00eete de l’utilisateur, au backend, \u00e0 je ne sais quel autre \u00e9l\u00e9ment en aval.<\/p>\nDoc officielle, doc compl\u00e9mentaire<\/h1>\n
Lire
\/usr\/share\/doc\/amavisd-new\/README.postfix.gz<\/code> est un passage oblig\u00e9, je trouve. Je me base dessus et je fais certains choix qui pourraient ne pas \u00eatre les votres. Je n’invente pas grand chose, tout est quasiment dedans.
\nSi vous \u00eates sur une installation d\u00e9j\u00e0 en production, vous pourriez \u00eatre int\u00e9ress\u00e9s par le param\u00e8tresoft_bounce<\/code>, voyez ici<\/a> via un :
\npostfix -e \"soft_bounce = yes\"<\/code><\/p>\nAutre doc int\u00e9ressante : http:\/\/www200.pair.com\/mecham\/spam\/spamfilter20090215.html. A noter : l’auteur n’utilise pas trop le boulot de Debian, donc beaucoup de choses \u00e0 reparam\u00e9trer dans son cas, sans compter les manips \u00e0 la main : r\u00e9cup\u00e9rer le fichier de conf X, prendre tel binaire postfix plut\u00f4t que celui de la distrib. Bref, pas tr\u00e8s Debian-style \u00e0 mon go\u00fbt.
\nMais au moins il donne une bonne explication de certains param\u00e8tres, \u00e0 vous de voir.
\nEnfin, cette doc d\u00e9crit le montage complet d’une Debian, installation, serveur DNS etc. On s’en fout pas mal dans le cas pr\u00e9sent. Commencez donc \u00e0 lire cette doc \u00e0 partir du mot \u00ab\u00a0postfix anti-spam settings:\u00a0\u00bb. A peu pr\u00e8s au milieu.
\nVous verrez passer dans les chapitres qui suivent cet endroit quelques param\u00e8tres importants sur le comportement des diff\u00e9rents outils, les destinataires des notifications de mails v\u00e9rol\u00e9s etc, quelques optimisations sur les niveaux de spam acceptables etc. Mon article reprend certaines de ces suggestions et de ma propre exp\u00e9rience.
\nCette doc va aussi plus loin : installation de DCC (Distributed Checksum Clearinghouses) et des outils de statistiques. Je n’en parle pas (pour l’instant), on verra avec des articles ult\u00e9rieurs.<\/p>\nBon, allez, on installe tout \u00e7a.<\/p>\n
Installation des logiciels<\/h1>\n
aptitude install clamav clamav-daemon clamav-freshclam\r\naptitude install amavisd-new\r\naptitude install lha arj rar unrar nomarch lzop cabextract razor pyzor p7zip-full pax zip unzip lha zoo<\/pre>\nCertains des paquets ici sont discutables, pour les pros du \u00e7a-pue-c-est-pas-libre-(tm). Moi je veux simplement analyser un maximum de contenu de mails, pi\u00e8ces jointes en format moins courants y compris.
\nLes outils type \u00ab\u00a0d\u00e9compression\u00a0\u00bb serviront \u00e0 ClamAV pour analyser les contenus de pi\u00e8ces jointes.<\/p>\nLes parties postfix, postgrey, spamassassin et les Maildir sont d\u00e9j\u00e0 expliqu\u00e9s dans mes docs\/blog \u00e0 diff\u00e9rents endroits.
\nDeux nuances tout de m\u00eame :
\nJe suppose enfin que votre spamassassin est en mode daemon (donc \u00ab\u00a0spamd\u00a0\u00bb tourne) car vous avez mis \u00e0 1 le param\u00e8tre ENABLED dans\/etc\/default\/spamassassin<\/code>.
\nPar rapport \u00e0 ce que j’explique sur procmail, j’ai opt\u00e9 pour une conf standard pour tous dans\/etc\/procmailrc<\/code> plut\u00f4t que dans chaque~\/.procmailrc<\/code>.<\/p>\nParam\u00e9trage de base<\/h1>\n
Configuration postfix <=> amavis<\/h2>\n
D’abord, on configure un canal de communication postfix => amavis en mode SMTP et pas LMTP (voir le \/usr\/share\/doc\/amavisd-new\/README.postfix.gz). J’ajoute \u00e0 la fin de
\/etc\/postfix\/master.cf<\/code> des lignes suivantes :<\/p>\namavisfeed unix - - n - 2 smtp\r\n -o smtp_data_done_timeout=1200\r\n -o smtp_send_xforward_command=yes\r\n -o smtp_tls_note_starttls_offer=no<\/pre>\nLe nom \u00ab\u00a0amavisfeed\u00a0\u00bb est libre. Mais c’est le nom du tuyau que vous venez de cr\u00e9er. Il faudra utiliser ce nom plus bas (dans
main.cf<\/code>)<\/p>\nPuis le canal retour (message reinjection), toujours \u00e0 la fin de
\/etc\/postfix\/master.cf<\/code> :<\/p>\n127.0.0.1:10025 inet n - n - - smtpd\r\n -o content_filter=\r\n -o smtpd_delay_reject=no\r\n -o smtpd_client_restrictions=permit_mynetworks,reject\r\n -o smtpd_helo_restrictions=\r\n -o smtpd_sender_restrictions=\r\n -o smtpd_recipient_restrictions=permit_mynetworks,reject\r\n -o smtpd_data_restrictions=reject_unauth_pipelining\r\n -o smtpd_end_of_data_restrictions=\r\n -o smtpd_restriction_classes=\r\n -o mynetworks=127.0.0.0\/8\r\n -o smtpd_error_sleep_time=0\r\n -o smtpd_soft_error_limit=1001\r\n -o smtpd_hard_error_limit=1000\r\n -o smtpd_client_connection_count_limit=0\r\n -o smtpd_client_connection_rate_limit=0\r\n -o receive_override_options=no_header_body_checks,no_unknown_recipient_checks,no_milters\r\n -o local_header_rewrite_clients=\r\n -o smtpd_milters=\r\n -o local_recipient_maps=\r\n -o relay_recipient_maps=<\/pre>\nEnfin, on active le tuyau postfix => amavisd-new pour permettre l’analyse : (pas de tri, on balance tout ; on pourrait restreindre par domaine, adresse \u00e9mettrice etc). C’est dans
\/etc\/postfix\/main.cf<\/code> :<\/p>\ncontent_filter=amavisfeed:[127.0.0.1]:10024<\/pre>\n
\nDans cette configuration par d\u00e9faut, il faut que les ports 10024 et 10025 (localement) soient libres. Les param\u00e8tres sont d\u00e9crits dans la doc en .gz mentionn\u00e9e ci-dessus. L’id\u00e9e, en gros, est de cr\u00e9er un autre serveur SMTP, local uniquement sur le port 10024, avec une conf postfix ind\u00e9pendante et vierge – en gros – car on sait que les messages arrivant l\u00e0 seront pass\u00e9s par amavis, donc ils seront propres\/nettoy\u00e9s. Cette seconde instance postfix sera la porte d’entr\u00e9e pour les retours d’amavisd-new.<\/p>\nTests des briques de la communication postfix <=> amavisd-new<\/h2>\n
L\u00e0, on peut tenter un
\/etc\/init.d\/postfix reload<\/code>.<\/p>\nEcoute de amavis<\/h3>\n
Le 10024 r\u00e9pondait d\u00e9j\u00e0 (car c’est le port d’\u00e9coute de amavis, lanc\u00e9 depuis qu’on l’a install\u00e9) :<\/p>\n
# telnet localhost 10024\r\nTrying 127.0.0.1...\r\nConnected to localhost.localdomain.\r\nEscape character is '^]'.\r\n220 [127.0.0.1] ESMTP amavisd-new service ready<\/pre>\nEcoute du 2\u00e8 postfix (la voie de retour d’amavis)<\/h3>\n
![\"Cheminement](\"https:\/\/michauko.org\/blog\/wp-content\/uploads\/2009\/09\/amavisd-new.png\" "\\"amavisd-new\\"")