Dotaz: lokalni MAIL server - zacatecnik

[petrfm]

Ahoj, na zaklade vsech dotazu a odpovedi jsem se rozhodl, postavit si "plnotucny" mail server s fetchmailem. Jde o to, ze chci, aby se mi na server ve firme (verejna IP, VPNka, virtualizace proxmox a par firemnich aplikaci + ubuntu server, ale moznost vypadku) stahovala posta z hostingu. Mam par domen, na kterych mam od hostingu email s imapem, ale omezenym ulozistem a debilnimi spam filtry. Proto to chci tahat na svuj server fetchmailem a pristupovat k tomu az tam - nastavim si svoje filtry, apod. Soucasne mi zustane zachovana funkcnost emailovych schranek, kdyby mi vypadla elektrika, internet a kdesi cosi. Proto nechci stavet plnohodnotny server, na ktery bych nastavil MX, ale jen takove firemni uloziste posty.

Nasel jsem clanky, kde doporucuji postfix + dovecot. Jako webmail asi rounducube - libi se mi. Otazka zni, zda ma vubec v takovem pripade smysl, povolovat pristup na IMAP z venku. Jsem linuxova lama co se postupne uci a nerad bych, aby mi to nekdo kompletne napadnul

1) Proto prosim o Vas nazor, zda ma smysl, nepovolovat IMAP z internetu a pristupovat k nemu jen pres VPN, pripadne pracovat s postou pres roundcube, ktery pobezi na tom samem serveru, ale vlastne pres web. (nevyhodou je, ze bych se k poste dostal pres mobil jenom po pripojeni VPNky, nebo pres webmail, coz je omezujici. Ted pouzivam android s email klientem a posta se stahuje hezky sama)

2) Na serveru se snazim sluzby rozdelovat na samostatne virtualni servery, abych usnadnil zalohovani a soucasne co nejvice omezil dopady nejakeho utoku / spatneho nastaveni na jine bezici sluzby. Mam tam ale ubuntu server, na kterem mi bezi LAMP a je dostupny z internetu - firemni php aplikace + owncloud a dalsi PHP aplikace. Mam dat ten email na nej, nebo radeji vytvorit dalsi virtualni JEN EMAIL SERVER - treba debian (pres OpenVZ)? Mohl bych to udelat tak, ze bych na nem spustil dovecot se schrankami, ktery by nebyl dostupny z internetu a na tom ubuntu bych nainstalovat roundcube, abych nemusel pouzivat reverzni proxy - mam totiz pres router pristup na 80tku port smerovany JENOM na ten server s ubuntu. Takze by se roundcube pripojoval na MAIL server v lokalni siti, ale na "jine (virtualni) masine" a zpristupnoval tak postu pres 80tku port (webmail) do netu.

Nebo vymyslim blbosti a mam normalne primo na to ubuntu, kde uz mam ty jine sluzby nahodit postfix, dovecot, proroutovat porty skrze mikrotika na verejnou IP a pristupovat k tomu klasicky pres SSL sifrovany IMAP a koupit si prasky na paranoiu? (asi bych mel aspon vytvorit extra uzivatele pro postu, ze? Predpokladam, ze tam budou max. tri schranky, i kdyz fetchmail bude stahovat cca 5-10 uctu ruzne na netu, ale budu si je hazet jen do slozek v jednom z tech hlavnich uctu.)

Snazim se proste drzet hesla, ze cim mene sluzeb dostupnych z netu, tim mensi zajem o muj server mezi pripadnymi utocniky. Bojim se, ze kdyz vystavim postovni sluzby, tak se o nej hackeri poperou, aby si z nej udelali SPAM server No a protoze jsem lama, tak se bojim, ze to nedokazu zabezpecit tak, aby mi ho neroznesli na kopytech. To mne desi ne proto, ze by si poslali par spamu, ale ze by se soucasne dostali k ostatnimu firemnimu obsahu.

Poradte profici Diky.

Odpovědi

[Petr Šobáň]

Pokud pouze potřebuješ kopírovat data tak je nejednoduší použít fetchmail na stahování k sobě a dovecot který bude vlastně mít na starosti schránky. (postfix nepotřebuješ pokud ten stroj nemá přijímat maily z internetu a nebo je do internetu odesílat)

Ale pořád nechápu jaký to bude mít smysl když pořád na tom kde ty maily máš budou nastavené nesmyslné restrikce a některé maily ten smtp nepřijme a taky nevyřešíš problém s velikostí když správy budeš mít i na tom hostingu aby to fungovalo jako záloha.

Samozřejmě pokud budeš správy na hostingu mazat vyřešíš problém s velikostí - u sebe můžeš mít schránku jak chceš velkou.

Jinak pokud k sobě budeš chtít přistupovat z internetu budeš potřebovat veřejnou IP.

Jinak podle mě to není k ničemu, ano kdysy jsem to používal na telefonní lince když bylo vytáčené spojení že jsem si při jednom spojení postahoval všechny maily k sobě, všechny z fronty odeslal a odpojil se a pak si to četl u sebe - dnes to podle mě nemá smysl - jedině pro zálohu že v pravidelných intervalech se bude provádět záloha tvých mailů na internetu na soukromý stroj.

[Josef Kufner]

Každý unixový server by měl mít funkčního poštovního démona (např. postfix), neboť po e-mailech si mnoho služeb stěžuje na problémy.

[petrfm]

1) Urcite bych zpravy na hostingu mazal, jakmile se presunou na muj server. Jde o to, ze muj server MA VYPADKY. Dost casto - je to klasicky PC s linuxem normalne zavreny v kanclu. Kdyz to prezenu, tak uklizecka ho vynda ze zasuvky a jsem bez posty...

2) Navic nemam stackou IP. Jednou za 3 mesice se zmeni. Pak by byl problem, nez se zmena projevi v DNS, ze by posta nedorazila. To si nemuzu dovolit. Proto chci puvodni schranky zachovat na hostingu.

3) mam hafo freemail schranek na seznam, atlas, centrum, apod. Nechce se mi, prihlasovat se do kazde extra a soucasne se mi nechce, kdyz nastavuju email klienta, nastavovat vsechny jmena, hesla, apod. Takhle by se mi fetchmailem stahovaly do schranky ja@firma.cz a tam bych mel slozky freemail1@seznam, apod. Slibuju si od toho zjednoduseni prace s postou z jednoho mista.

4) SMTP - tady bych nejdradsi, kdyby se dalo zaridit, ze muj server vezme email a preda ho SMTP seznamu / meho hostingu / apod. stejne, jako by byl mejlovy klient. Abych v mejl klientu nastavil jediny SMTP na smtp.mujserver.cz Da se to nejak udelat? Nebo budu muset nastavovat pokazde jako SMTP server toho poskytovatele fremailu, potazmo hostingu? Cetl jsem, ze nekteri provideri blokuji SMTP. Takhle bych mohl na mobilu otevrit VPN do firmy a odesilat pohodlne skrze server, ktery by to predaval SMTPckam dale. Tim bych SMTP na cestach "zabalil" do VPN a nemusel resit blokovane porty a kdesi cosi.

[Josef Kufner]

Takle mi funguje můj domácí server.

IP adresu má dynamickou a automaticky aktualizuje svůj záznam pomocí dyndns. Na tento dyndns záznam vede CNAME z mé domény, takže můžu snadno změnit poskytovatele dyndns služby. MX záznamy odkazují na tento CNAME, takže tam už to je v pohodě.

Všechny možné staré schránky mám přesměrované na moji primární schránku. Fetchmail to navíc vybírá, aby neexpirovaly, případně aby pobral, co se zasekne.

Klienta mám nasměrovaného jen na mou primární schránku. Mám v něm však více identit, abych mohl používat i pár dalších adres, ne jen tu primární.

Ad 4: Tomu se říká SMTP relay. Viz návod.

SMTP port č. 25 bývá blokován, ale 465 už nikoliv.

Při konfiguraci VPN použij stejný trik s CNAME záznamem, ať pak můžeš dělat změny bez úprav na klientech.

[pavlix]

SMTP port č. 25 bývá blokován, ale 465 už nikoliv.

Ani 587 (smtp submission port).

[Josef Kufner]

Na svůj server nainstaluj postfix a dovecot. Postfix nastav tak, aby tvou doménu přijímal jako svou vlastní, a ty hostingy použij jako relay pro odesílání pošty a nastav na nich přesměrování všeho na tvůj server. Pro jistotu pak nastav i fetchmail, aby čas od času stáhnul, co se tam omylem zaseklo.

IMAPS v klidu zvenčí povol. IMAP bez SSL zakaž.

Výchozí konfigurace Postfixu v Debianu je v podstatě to, co potřebuješ. Tedy až na seznam tvých domén.

[Josef Kufner]

Jo a MX záznamy nech ukazovat na ty hostingy. Pošta tedy zvenčí poteče přes ně. Až budeš mít server vyaděný, klidně je přesměruj přímo na tvůj server.

[petrfm]

a ty hostingy použij jako relay pro odesílání pošty a nastav na nich přesměrování všeho na tvůj server

nejsem zadny velky odbornik.. jak tohle dokazat? nejsou to VPSky, je to obycejny, hloupy multihosting, kde jsem rad, ze nastavim autoreply... Jak tedy myslis relay? Nastavit presmerovani z info@firma.cz na inf@mujserver.firma.cz?

[Josef Kufner]

Na přesměrování stačí nastavit filtr ve schránce – to umí každý freemail. Na odesílání viz odkazovaný návod výše – tvůj postfix se pak připojí stejně jako běžný klient.

[petrfm]

perfektni, to jsem potreboval. Presne, jak pises to chci resit i ja... Dokonce i s tim dyndns, protoze tam mam mikrotika, ktery se da nastavit ,aby sam tu dnsku aktualizoval - nemusi to bezet ani na serveru. Zatim jsem to ale neresil, mam stejnou IP uz asi pul roku, takze ji mam v CNAME danou rucne.

To se da MX zaznam nastavit na cname, ktera vede na dyndns? Nedela to neplechu? Takze ty mas defakto plnohodnotny mail server na masine s dynamickou IP? funguje to dobre? A hosting vubec nepouzivas, nebo ho mas jako zalozni MX?

Ono udajne kdyz spadne net, nebo masina, tak ty mejly zustavaji ve fronte a doruci se az to najede - klidne za pul dne.

[petrfm]

Divam se na ten navod na tu SMTP relay a chapu spravne, ze se to da pouzit na presmerovani SMTP pro hlavni domeny? Tzn. aby treba seznamu nevadilo, ze odesilam emaily z IP adresy lokalniho providera a ne z IP, ke ktere ma ta domena reverzni zaznam.

ALE - da se nastavit vice smtp tak, aby fungovaly jako identity? Tzn. kdyz budu odpovidat na email s hlavickou TO : neco@seznam.cz , aby to neodchazelo pres SMTP smtp.firma.cz ale smtp.seznam.cz ? To by resilo muj problem uplne excelentne a komplexne

[Josef Kufner]

Pro odchozí poštu používám slušný SMTP server, neboť spoustě jiných serverů vadí dynamická a domácí IP adresa. Takže všecko, co můj domácí server odesílá jde na "velký" server a odtamtud to teprve jde k příjemci.

Identity jsou záležitostí SMTP klienta (Thunderbird). Prostě do hlavičky From napíše něco jiného a pošle to přes ten samý SMTP server, který však nemá s obsahem hlavičky From nic společného. Relay server to veme a přepošle, protože tvůj server se prokázal heslem.

[petrfm]

Jo, tohle je mi jasne, ale mam treba zkusenost, ze pokud posilam nekomu neco na seznam a posilam to z adresy jmeno@seznam.cz a misto smtp.seznam.cz pouziju smtp meho hostingu, pak mi to seznam vrati. Maji celkem prisnou politiku na reverzni IP zaznamy. Chteji, aby emaily odchazely z SMTP serveru, ktery spravuje postu na domenu. Aspon tak to chapu.

Takze pak by to chtelo, aby to posilalo firemni emaily z firemniho SMTP (hostingu) a jine emaily zase z jejich SMTP. Jasne, muzu to nastavit primo v klientovi, ale to si muzu nastavit i pro ten hlavni email a nemusim vubec pouzivat relay, je tak?

[petrfm]

Tak mi to nedalo a zkoumal jsem to, protoze vim, ze kdyz jsem posilal nekomu email a ten clovek mel presmerovanou schranku na seznam, tak se mi vratila chyba z toho presmerovani. No a ono to nebylo proto, ze by to odchazelo z jineho, nez seznamackeho SMTP, ale proto, ze mam pro domeny nastaveny SPF zaznam a tak server seznamu tu IP odmitl.

Cili ted jsem zkousel pouzit SMTP meho hostingu pro zaslani zpravy z atlasu na seznam a proslo to v pohode. Hadam, ze mi tedy fakt bude stacit jeden jediny SMTP pro vsechny schranky, maximalne tam, kde bych chtel "skryt identitu" si nastavim SMTP primo v klientovi a bude to...

Jeste se tedy pro jistotu jednou zeptam, protoze to asi zapadlo v tom textu - pokud mas nastaveny ten MX na ddns adresu a provozujes takhle server doma, na lokalni masine s dynamickou IP, neztraceji se ti emaily a nedela to bordel? Hraju si totiz s myslenkou, ze bych teda zkusil postavit plnohodnotny server a ten u providera nastavit v MX jako zalozni. Odpadly by ty cachry s fetchmailem. Ale zase si na server pritahnu pozornost

[rADOn]

Ja bych rekl ze hledate ETRN