Dotaz: VPS jako tunel na lokalni server a SMTP

[petrfm]

Ahoj, mam v praci docela slusne pripojeni s verejnou IP a 24/7 bezici maly server. Rad bych si na nem postavil postovni server, abych mel veskere emaily u sebe na disku a ne na hostingu, kde je omezena kapacita.

To by nebyl takovy problem, kdyby muj provider neblokoval SMTP porty a znemoznoval tak vytvoreni EMAIL serveru primo na pripojce v praci. Pouzivat servery hostingu (kde mam domeny) a stahovat z nich postu fetchmailem mi prijde jako blbost - zase vsechny emaily pujdou pres hostera.

Napadlo mne, ze bych si pronajal nejakou zakladni VPSku s verejnou IP a udelal si tunel (jaky?) mezi VPSkou a lokalni virtualkou s MAIL serverem na mem serveru. Bude takove reseni spolehlive a jaky tunel byste vyuzili? Da se treba iniciovat spojeni s VPS pomoci SSH tunelu na tom serveru s mailem? Proste nahodim virtualku na serveru, ta se pomoci ssh spoji s VPSkou a otevre sifrovany tunel, takze email, ktery dorazi na IP VPSky zpracuje muj server?

Odblokovat SMTP u meho ISP - nejde a jiny ISP taky ne, takze tohle prosim nenavrhujte.

Diky za nazory,

P.

Odpovědi

[petrfm]

Jeste koukam, ze se da poridit vpn hosting. Cili pronajmout si jen IP adresu s pristupem pres VPNku. Mate s tim nekdo zkusenost a umite doporucit levnou a dobrou sluzbu?

Na te verejne IP mam mikrotika, cili by se mohl k te vpnce pripojovat on a primo mi poskytovat tu verejnou IP na nekterem z ethernet portu. Do serveru bych jen pridal dalsi sitovku a pripojil ji kabelem k tomu portu s VPN IP na mikrotiku. Tim bych si mohl zavlect primo do te virtualky tu verejnou IP a nemusel bych vubec resit VPN klienta na urovni toho mail serveru, cimz by se mi to cele zjednodusilo, je to tak? Po vypadku site a obnoveni napajeni by se mikrotik sam pripojil k VPNce a vsechno se to hezky rozjelo. Ma to nejaky hacek, nebo je to dobry napad?

P.

[Filip Jirsák]

Proč jako poštovní server pro vaše domény neuvedete v DNS rovnou ten váš server v práci?

[GeorgeWH]

Odblokovat SMTP u meho ISP - nejde a jiny ISP taky ne, takze tohle prosim nenavrhujte.

pokial mu isp neblokuje akykolvek trafik na porte 25, tak by to mozno aj slo...

[Filip Jirsák]

Já jsem to pochopil tak, že „můj ISP“ je ISP, u kterého má hostovaný ten VPS. Tedy že nemůže předávat e-maily z VPS do práce standardně SMTP protokolem. On ten ISP pravděpodobně blokuje jen port 25, takže by stačilo si ty e-maily předávat na jiném portu, ale je otázka, proč by tam měl být ten mezistupeň VPS, když ten server v práci má veřejnou IP adresu, běží 24×7 a zřejmě má dostatečnou konektivitu.

[GeorgeWH]

z tohto Napadlo mne, ze bych si pronajal nejakou zakladni VPSku mi vyplyva, ze vps este nema, takze jeho isp bude isp v pravom zmysle slova.

kedze chce maily len prijimat, tak by mu stacilo povolit 25 smerom na jeho ip a von prepustat len related/established spojenia. ale ci mu aspon v tom jeho isp vyhovie...?

[petrfm]

Moj ISP v pravem smyslu slova- ten v praci mi nevyhovie. Jsem na to mala ryba, mam hodne rychly internet pres optiku a maji zavedeny urcity system. Je moznost ziskat jine pripojeni, kde neni blokace, ale vychazi to misto 500/mes na 1500/mes coz je NESMYSL. Za pronajem ip pres vpnku bych dal 100/mes takze bych sel radsi touto cestou, pokud neni moc krkolomna.

[petrfm]

Panove, ani jedno. MUJ ISP - to znamena ten, pres ktereho jsem v praci pripojen, blokuje SMTP port. Kvuli sireni spamu, atd. Proste kdyz si v praci rozbeham mail server, tak se na nej z venku pres 25ku nepripojim. Proto potrebuji nejak obejit tuhle vadu na krase a udelat si tunel skrze verejnou IP, ktera nema blokovane zadne porty.

[Filip Jirsák]

Pokud ISP blokuje příchozí provoz na portu, není to určitě kvůli šíření spamu – ale nanejvýš kvůli vlastní neschopnosti (pokud by s epokoušeli blokovat odchozí provoz a zablokovali omylem i příchozí). Ale silně o tom pochybuju, nikdy jsem neslyšel o ISP, který by blokoval příchozí provoz na portu 25. Pokud máte jiný počítač s veřejnou IP adresou, můžete si z něj tunelovat port 25 na váš server skrze VPN nebo SSH tunel, můžete si příchozí provoz pomocí DNATu a SNATu přesměrovat na váš server na jiný port (ale ztratíte informaci o IP adrese odesílatele e-mailu), nebo můžete na tom jiném počítači provozovat poštovní server a e-maily přeposílat na ten váš server v práci na jiném portu.

[petrfm]

Ja si vazne nedelam srandu - http://www.802.cz/index.php?sec=podpora&sub=51&view=102

Zkousel jsem uz vlastni SMTP rozchodit a proste jsem se k nemu nepripojil. Mam sice dynamickou IP, ale meni se jednou za rok, takze by nebyl problem tam smtp server mit. Ale bohuzel tu blokaci nevyresim, jedine to obejit nejakym tunelem. Bohuzel jiny pocitac s verejnou IP k dispozici nemam a davat si k nekomu nejaky bazmek na tunelovani je uplne na nic. Potrebuju sluzbu, ktera bezi nekde v netu, takze pronajem IP skrze VPN je idealni, pripadne VPSka, ale tam asi musim rozbehat nejaky OpenVPN, nebo se to da resit jednoduseji?

Jde mi o konkretni reseni, ktere bude nejjednodussi na nastaveni i naslednou udrzbu, nikdy jsem VPSku pronajatou nemel, takze nevim, co by to obnaselo.

[GeorgeWH]

Dalšími případně zablokovanými porty jsou porty protokolu SMTP: TCP 25 a 465... a to ve směru PŘÍCHOZÍM k uživateli...

aha, takze podla nich je viac uzivatelov, co maju open relay, ako zavirenych spamujucich kompov...

ked uz budes mat vps, tak nema zmysel to zase niekam preposielat. rozbehaj si smtp server rovno na vps-ke, a maily budes mat stale online. pripadne si z toho v praci urob zalozny mx, a pripadne aj fetchuj maily z vps ako zalohu...

[Filip Jirsák]

Blokovat příchozí provoz na portu 25 a ne odchozí, údajně kvůli open relay serverům, to je opravdu geniální řešení… Jak už jsem psal, napadá mne některá z těchto 4 možností:

• VPN na VPS a skrze VPN tunelovat příchozí provoz na port 25 VPS na váš server
• VPS a skrze SSH tunelovat příchozí provoz na port 25 VPS na váš server
• VPS a skrze DNAT + SNAT přesměrovat veškerý příchozí provoz na port 25 VPS na nějaký neblokovaný port na vašem serveru
• VPS, na něm rozchodit SMTP server a z něj e-maily přeposílat na váš server na neblokovaném portu

Z hlediska SMTP je nejčistší čtvrtá varianta, můžete rovnou na VPS e-maily filtrovat a na váš server posílat jenom ty, které chcete. Navíc když umíte nakonfigurovat poštovní server na svém serveru, umíte ho nakonfigurovat i na VPS. Nejjednodušší je asi vytvořit tunel přes SSH, ale chtělo by to nějak hlídat, že je ten tunel stále otevřený.

[petrfm]

Proto se mi libi varianta, ze bych si pronajal jen VPN hosting, na ktery bych nastavil mikrotika, ktery si to uz pohlida sam - da se to hlidat i skriptem na nem.

Jinak k tomu ISP - ja si spis myslim, ze to blokuji proto, aby si clovek na tom pripojeni nemohl udelat server a musel si priplatit. Ale fakt je ten, ze to opravdu blokuji.

A reseni s emailem na VPS - ja jsem veliky odpurce cloudu. Nemam rad sva data nekde venku. Proto bych byl rad, kdybych mohl mit veskere emaily u sebe na serveru. Navic, za ty roky jsou jich desitky GB a to neumerne zvysuje naklady na VPSku. Navic, nejvice s emailem pracuji v kanclu a tam mam spoj PC-SERVER 1Gbps. Kdyz vypadne net a potrebuju nacist nejaky email, objednavku, apod, nic mne nerozhazi. Jasne, kdyz mi spadne net a nepipojim se na svuj server, jsem v prd-eli, ale vzdycky muzu sednout a zajet primo na firmu.

Mozna resim hlouposti, ale skutecne bych to mel radeji u sebe.

[Filip Jirsák]

Podle mne to jenom s VPN hostingem nepůjde, protože tam nebudete mít právo vytvořit proces naslouchající na portu tcp/25. VPS s cloudem nijak nesouvisí. V mém návrhu by desítky GB mailů byly na vaše serveru, ne na VPS - na VPS by byly jenom e-maily ve frontě, než by se přeposlaly na váš server. Navíc by to mělo tu výhodu, že když bude váš server chvíli nedostupný, počkají e-maily ve frontě na vašem VPS a odešlou se, až bude váš server dostupný.

[petrfm]

Aha, neprecetl jsem si to poradne. Popravde, uz hledam VPSku, protoze vychazeji levneji, nez klasicka VPN - to je asi produkt pro masy, kde se plati za to, ze si to jen clovek naklika do mobilu / PC a jede.

Daji se sehnat VPSky za 50CZK /mes ktere by asi vykonem stacily, na tech par emailu.

Takze by tam nebezelo nic jineho, nez postfix a fungovalo by to, jako SMTP relay, chapu to spravne? Jeste jsem zadny mail server nestavel, tak v tom trochu plavu a potreboval bych jen poradit, kde zacit a co si nastudovat.

BTW : u adresy IP se da nastavit reverzni zaznam. Jaky zaznam se nastavuje, kdyz mam emaily na domena1.cz domena2.cz domena3.cz ...? Nastavim reverz treba jen na domena1.cz ? Nebo se tam nastavi cokoliv a to cokoliv musi souhlasit s nejakym zaznamem, ktery mam v DNS u domeny?

Diky za Vas cas a ochotu,

P.

[Filip Jirsák]

Ano, na tom VPS by byl jen SMTP relay.

Poštovní server je dnes podle mne nejméně vděčná věc na správu, protože už se to moc neřídí standardy, ale tím, co se někdo rozhodně implementovat jako antispam. Navíc u ostatních serverů obvykle při chybné konfiguraci způsobíte problémy jen svým uživatelům, ale poštovní server může při chybné konfiguraci působit problémy široko daleko - tím, že bude rozesílat spam nebo viry. Takže k přečtení doporučuju určitě RFC pro e-mailovou zprávu a pro SMTP (RFC 2822 a RFC 2821). A pak určitě něco o tom, jakým způsobem se e-mailem šíří spam a viry. A pokud byste e-maily přes váš server chtěl i odesílat, pročtěte si nějaké diskuse, ať víte, co všechno jsou někteří administrátoři ochotni udělat pro to, aby nedostávali e-maily (a jaká jejich pravidla budete muset splnit, abyste měl šanci, že e-maily od vás k nim projdou).

S doménami, které poštovní server obsluhuje, by reverzní záznam správně nemusel nijak souviset - i když kdo ví, zda to nějaký pilný spamobijec nějak neporovnává. Reverzní záznam má ukazovat na jméno toho serveru - a pro tohle jméno má zase existovat A záznam, který ukazuje zpět na danou IP adresu.