Emailové služby: Základy pro provozování (diskuse)

[Mailerka]

Nejaka prakticka zkusenost a postrehy z provozu https://github.com/docker-mailserver/docker-mailserver, popr. https://github.com/mail-in-a-box/mailinabox?

[Max]

Nějak si nedovedu dnešní provoz představit bez nějakého web ksichtu (né kvůli správci, ale kvůli uživatelům). OSS světu dnes vládne ISPConfig, ale ten asi není připraven na takové rozházení služeb do kontejnerů. Takže kdo to reálně používá?
Jinak občas sleduji projekt devilbox.org, který je podle mě dost daleko v tom, mít všechno fakt rozházený do kontejnerů a plně oddělený od sebe.
Zdar Max

[hydrandt]

Pouzivam uz par let mailcow a za me super.

[JiK]

Uplne se v tom neorientuju, ale prijde mi, ze dnes neni k dispozici jednoduche reseni idealne treba docker, ktere by umoznilo protozovat mail a okolni podprurne veci na vlastni domene? ani levne placene ani free?

[Max]

iRedMail nebo ISPConfig ti to přednastaví. Ale přednastaví ti to na úrovni serveru. Doménu, klíče a další věci si musíš nastavit sám, to je myslím jasné, když je to mimo server u nějakého správce domény / dns.
A pak sám musíš řešit případné problémy.
Zdar Max

[Max]

Ještě dodám, že vždy musíš vědět, co děláš. A každá aplikace, co ti něco ulehčuje, vyžaduje hlubší znalosti.
Docker ti přidává jen další vrstvu. Kromě znalosti jednotlivých služeb tedy musíš znát navíc i docker, aby jsi byl schopný řešil problémy, který jsou na docker vázány.
Podobně ISPConfig. Aby jsi ho byl schopný používat, musíš znát nejen služby, které konfiguruje, ale i samotný ISPconfig.
Kubernetes to samé. Když konfiguruješ ingress, tak musíš znát syntaxy Ngixn a navíc znát i syntaxy Kubernetu, který ten Nginx generuje.
A tak bych mohl pokračovat. Každá přidaná vrstva nad core aplikací vyžaduje hlubší a hlubší znalosti.
Ty vrstvy nad tím, nebo pod tím, ti sice zesložiťují práci a vyžadují po tobě hlubší znalosti, ale zase ti na oplátku nabídnou třeba klikátko pro klienty, nebo plnou automatizaci.
Je to tedy něco za něco a je na tobě, zda ti ta přidaná vrstva ve finále práci ulehčí / nebo ti to pomůže, nebo ne.
Zdar Max

[Pepan]

Tak, tak. A nejlepší jsou takoví co nechtějí ty vrstvy pod tím řešit ani jim rozumět, nainstalují si super-duper-mail-server.docker a pak brečí v blogu, že provozovat dnes mailserver na vlastní triko nejde.

[_]

a pak sou taci, co pouziji gmail, a nemusi resit nic

[xxx]

A do jaky hloubky by tomu meli rozumnet? Protoze by me fakt zajimalo, co si Max, nebo ty, predstavujete jako normlani znalosti, pro rozjeti zakladni sluzby jak jo E-Mail (vcetne webksichtu, spravy uzivatelu, etc.)? Ja to treba vidim jako kralyk, protoze prokousavat se (zdokumentovanym) nastavenim bych jeste dal, ale resit nejakou na empirie postavenou magii, kdy to jeste funguje, a kdy uz ne, tak na to se muzu vybodnout. A pordit si GApps.

Za par let se pak tradicionalisti budou divit, proc tady existuje par propojenych megacloudu, kteri milostive poskytuji (zatim) nejakou SMTP gateway do jejich systemu, ktery uz vnitrne ale pobezi na jinych protokolech. Pricemz jedina obrana tradicionalistu proti tomuto scenari je, ze se to lidi maji naucit vsechno nastavit.

[Max]

Do té hloubky, aby věděli, jak to funguje, protože pak lze řešit problémy, které nastávají. Pokud máš pocit, že mailové služby jsou primitivní záležitost, tak proč tě šokuje nutnost znalostí?

Každopádně těžko říci, do jaké úrovně je cloud výsledkem složitosti, ale určitě je výsledkem absence lidí. V IT dlouhodobě lidí chybí a budou chybět víc a víc. Je to kvůli tomu, že automatizace a další věci naskakují takovým tempem, že společnost nedokáže vytvářet odpovídající počet lidí, kteří by to pokryli. Ono když si vezmeš cenu licencí a další věci, tak pak přijdeš na to, že místo placení si lokálních serverů a lokálního člověka dáváš ty stejné prachy, spíše více, někomu jinému.
Zdar Max

[xxx]

Ja jsem nenapsal, ze mailove sluzby jsou primitivni zalezitost. Ja jsem napsal, ze E-Mail je zakladni sluzba. Coz ma nejake implikace ohledne toho, kdo ji bude poskytovat, a jake lze mit ocekavani na takove poskytovatele.

A absence lidi je dusledkem ceho? Ze by te slozitosti, pro jejiz prekonani je potreba znalstni investice, ktera je stejna pro spravu 1, 10, 100 a mozna i nizsich 1000 uctu?

[David Heidelberg]

Osobně zvažuju Mailu nebo velkou migraci na Apache James (má i JMAP)

[Max]

Jen za zajímavosti, jaké důvodu k tomu máš? Nebo resp. co máš teď, že chceš přejít?
Zdar Max

[zvedavec]

Mozna prave ten JMAP? Drzet krok s dobou - nebo bych mel napsat "o krok napred pred konkurenci"?

[David Heidelberg]

Spíš utéct minulosti. Od doby telefonů, LTE + WiFi atd. je IMAP zlo. JMAP je jediný ne-proprietární protokol (a k tomu ještě poměrně rozumně navržený). Zbytek poskytovatelů mají svoje protokoly, protože IMAP/SMTP na komunikaci s koncovými zařízeními 'nikdo' nepoužívá.

[trekker.dk]

Od doby telefonů, LTE + WiFi atd. je IMAP zlo.

Proč? Zrovna na LTE a wifi (relativně rychlé a spolehlivé připojení s nízkou latencí) by to mělo fungovat dobře, ne?

[David Heidelberg]

viz. FAQ https://jmap.io/index.html

[plostenka]

JMAP je jediný ne-proprietární protokol.

Co je proprietarniho na RFC?

[David Heidelberg]

nic. Každopádně zkoušel jsem hledat článek o revizi 2, nikde nic. Odhaduji, že podpora serverů i klientů bude polovičatá. Pokud máš nějaký lidský souhrn, o čem je rev2, rád si to přečtu.

[Max]

ActiveSync má otevřenou specifikaci a je podporován snad na všem (jak klient, tak backendová řešení). Takže v čem je problém u ActiveSyncu?
Zdar Max

[David Heidelberg]

upřímně nevím. Je tam nějaký háček? Proč běžné OSS řešení ActiveSync nepoužívají?

[Max]

Běžné OSS řešení ActiveSync používají. IMAP = pouze emaily, pro kontakty je CarDAV, pro kalendáře je CalDAV atd. ActiveSync zastřešuje vše. Tomu se pak říká groupware řešení. OSS implementací je několik, SOGo je třeba jednoduchý a velmi dobrý open source groupware bez omezení, další je Horde, Zimbra, pak Zarafa / Kopano atd.
Pokud bych si měl vybrat, jaký groupware provozovat, tak SOGo (preferuji kvůli napojení na standardní služby jako postfix, dovecot apod.) nebo Horde. Pokud by to bylo firemní prostředí, které je zatížené na MS Outlook, tak bych pak řešil něco, co má vhodný addin do outlooku (CalDavSync je nedostatečné řešení, potřebuješ něco na sdílení a celkové propojení).

ActiveSync byl dříve zatížen licenčně, což MS nakonec zrušil a vydal specifikaci. V současné době je zatížen sw patenty, což už dnes bývá sporné.
Jen upozorňuji, že můj názor na celou problematiku je čistě profesní, je to rozšířené, implementací už existuje hodně atd. Idál by byl, kdyby ten protokol nebyl patenty zatížen vůbec, ale bohužel.
Ještě je třeba upozornit, že není ActiveSync a ActiveSync. To, přes co komunikuje moderní MS Outlook je také ActiveSync protokol, ale proprietární. To, o čem se bavíme my, je to, co je v mobilech, tabletech apod., viz wiki.
Zdar Max

[David Heidelberg]

díky za shrnutí

[David Heidelberg]

protože mi běží mailserver na Gentoo, a aktualizovat to je zlo. Dokud jsem si s Gentoo hrál každý den, tak pohoda, ale teď když už jsem všechno přemigroval na Debian, jen partička dovecot+postfix zůstala.

[trekker.dk]

9) ... na gmail dorazí email, který se bude tvářit jako od "franta@seznam.cz", ale nepřijde od seznam serveru, ale z jiného. To bude vyhodnoceno jako spam.

Špatný příklad IMO. Seznam nemá restriktivní SPF, takže není důvod takový mail označit jako spam. Plus by bylo hezké zmínit SRS. Rada "prostě to nedělejte" je bohužel k ničemu, pokud spravujete schránky zákazníkům a ne uživatelům.

12) Gmail mi odmítá emaily a nevím proč

To neví nikdo, nechávají si to pro sebe. Ale třeba čerstvě spuštěný mailserver na nové IP adrese má smolíka. Jo a ještě jedna chyba - neodmítá, to by ještě bylo dobrý, ale v tichosti zahazuje do spamu.

16) Greylisting

Plus existují servery, které první opakovaný pokus udělají po 2 sekundách a druhý opakovaný pokus po 3 hodinách.

Osobně nechápu, jak třeba ta Čína řeší spam.

AFAIK v Asii tak nějak obecně považují spam za normální věc, která není nijak negativní. Existovaly RBL, které blokovaly IP adresy pro Jižní Koreu, protože odtud se spamovalo ve velkém. Prostě letáková kampaň, akorát levnější a pro jistotu do celého světa. O indických mailech od PM Modiho (https://en.wikipedia.org/wiki/Narendra_Modi) ani nemluvě.

[Pepan]

Ad 9) navíc Seznam používá SRS.

[Max]

To, že seznam používá srs, je k ničemu, když v tom příkladu ten email nepřeposílá seznam :)
Zdar Max

[Max]

V bodě 9) to ale není jen o SPF, ale třeba i chybném dkim.

16) souhlas, i špatné nastavení intervalu pro další pokus o doručení nemusí být ideálně nastaven.

ad SRS) Uživatel neví, zda server podporuje SRS, on ani neví, co to SRS je a většina serverů jej nemá nastaveno. Setkávám se s tím dost často, že uživatel někomu pošle email a přijde mu NDR od někoho jiného.
Zdar Max

[trekker.dk]

V bodě 9) to ale není jen o SPF, ale třeba i chybném dkim.

Na to zas existuje ARC (ale to je všechno, co o tom vim)

[MP]

ad 12] Skutecne ma novy mailserver u googlu smolika? Tomu se mi nechce verit, to by neslo udelat dnes zadny novy mailserver

ad 16] nejlepsi zkusenost mam s polaky. jejich greylisting odmita pro jistotu i opakovane zaslani mailu. tatari.

[henk]

12) Asi jo, před časem firma koupila nové IPv4 rozsahy a pošta z nich nechodila. Nikde žádné info, nikde nic na blacklistu, ticho po pěšině. Nakonec nás zachránil "kamarád kamaráda kamaráda" co měl alespoň nějaký kontakt na Google. Nevím, co bysme jinak dělali ...

[Max]

Je možné, že původní majitel ipv4 byl třeba spammer, nebo něco a dostal to tak krásně daleko, že ty ip mely šíleně špatnou reputaci. Každopádně kontaktovat i ten Google je možné, viz kontaktní formulář v zápisku.
Zdar Max

[trekker.dk]

Je možné, že původní majitel ipv4 byl třeba spammer

Stane se vám to, i když dostanete fungl nový IP blok přidělený od RIPE. Teda ten dneska už nedostanete, ale princip asi platí furt - IP adresy, které Google neviděl, považuje za nedůvěryhodné, dokud z nich nepřijde dost mailů, u kterých si příjemci stěžují, že jim zprávy padají do spamu.

V době, kdy ještě šlo dostat nový IP blok, Google AFAIK kontaktovat nešlo

[MP]

No to mam radost...zrovna dotahujeme testovani novych mailserveru na novych ip...

[Mayhem]

Super clanek, dekuji.

Btw jak resite situaci, kdy se vam IP smtp serveru dostane na blacklist? Vim, ze u nich jde zadat o brzke vyrazeni, nebo pripadne jen pockat, nez uplyne lhuta. Co ale delat v tu dobu, co je clovek na blacklistu? Mit vice IP adres a rotovat je? Toto mi vzdy prislo frustrujici.

[Max]

Dřív jsme to vyčekali, protože reálně se to týkalo jen menší části komunikace (né všechny mailservery hned blokují příchozí komunikaci na základě členství v blacklistu). Nu a spoustu let se nám to už nestalo, protože lepší a lepší techniky pro zabepečení i eliminovaly související problémy. Provoz mail server na oddělené IP hodně ušetřil, lepší politiky na mailové gw totálně eliminovaly proklouznutí škodlivého sw přes maily. Lepší nastavení na proxy serveru také + nějaká prevence nastavení na AV a vesměs si nepamatuji za posledních hafec let nějaký incident (spamování, zavirovaná stanice, ransomware apod.).
Zdar Max

[Mayhem]

Super, dekuji za zkusenosti.

[MMMMMMMMM]

Já mám v internetu VPS, které jsem asi dvakrát použil jako relay pro firemní poštovní server, když se tento dostal na blacklist (kvůli prolomenému heslu k účtu). Show must go on.

[kralyk z abclinuxu]

Má smysl v dnešní době provozovat vlastní smtp?

Měl jsem původně v úmyslu nahodit si vlastní, ale postupně jsem vyhodnotil, že to smysl nemá (pro jednotlivce, firma je smaozřejmě něco jiného). Důvodem je hlavně bod 6, tj. že by mailový provoz měl být oddělenný od ostatního, s čimž naprosto souhlasim. Tzn. musel bych zřídit separátní hosting pouze pro e-mail a nemohl bych ho použít už na nic jiného. Jednotlivci mají typicky tendenci tohle pravidlo porušovat, protože když má člověk server (ať už vlastní nebo hostovaný u někoho) na kterým má mail, hrozně to svádí si tam hodit ještě třeba nějakou storage na data nebo webovky/blogísek nebo VCS a podobně, čímž se kombinuje provoz, přivádí to na ten server pozornost a podstatně se zvětšuje attack surface. Plus si to samozřejmě člověk musí všechno spravovat a neustále si po sobě kontrolovat, že to opravdu dělá dobře a někde na něco nezapomněl - přijde mi to jako docela stres, pokud se tomu člověk nevěnuje primárně / nepracuje jako admin těchto věcí.

Naštěstí existuje ProtonMail, což je pro mě docela spása Mam u nich placenou verzi na vlastní doméně - vyhodnotil jsem, že dokonce ani mailovou doménu nechci přepoužívat pro další věci. Místo toho, abych si to nějak pytlíkoval sám a trávil tim čas, raději podpořim tento projekt a uštřim si trable. Mají to zpracované pěkně, pro nastavení vlastní domény mají průvodce, který člověku říká, jak nastavit všechny ty potřebné DNS záznamy od AAAA až po ZZ-Top, a zároveň to testuje a postupně "odfajfkovává" ty, které už jsou nastaveny správně.

[Provozovatelka emailu]

No takhle s tim pruvodcem a odfajfkovavanim funguje prave ten mail-in-a-box (MiaB) zmineny v prvnim prispevku.

[alkoholik]

Ad 9) koukam, ze Max jeste neobjevil Authenticated Received Chain (ARC). Postfix s OpenARC forwarduje na GMail naprosto bez problemu.

[Max]

Já to myslel obecně podle toho, jak co má kdo nastaveno, resp. skoro nikdo nemá a většinou vrcholem konfigurace je nastavený SPF.
Zdar Max

[X]

Bude i pokracovani = nasazeni antispamu? Uz se v tom aktualne tolik neorinetuji. Znam spamassasin, rspamd, clamav. Jeste neco nevejsiho? Aktualni trendy? etc.

[Max]

Cílem bylo upozornit na naprosté základy. Nevím, zda chci sepisovat kompletní step2step howto, jak nastavit vlastní mailserver.
Zdar Max

[X]

Ok.

[Petr Fiedler]

Nevím, zda chci sepisovat kompletní step2step howto, jak nastavit vlastní mailserver.

No to bys právě mohl

Jinak super zápis, díky.

[Max]

Včera, velká firma, poskytuje cloudové služby, má nevalidní spf záznam, protože překročila počet dns lokupů a pak je problém, protože SPF je nevalidní. DMARC mají vypnutý, takže ten to nijak neovlivní, ale kdyby byl aktivní, byl by asi o problém navíc.
Zdar Max

[trekker.dk]

protože překročila počet dns lokupů

naprosto běžnej jev

[trekker.dk]

a některé validátory to ignorují

[Max]

Tak nic, prostě si to neopraví. Dlabou na to. Tomuto přístupu nerozumím.
Zdar Max

[tttttttt]

Přeposílání by měl řešit ARC. Má někdo zkušenost, jestli to velké servery akceptují?