Для того, чтобы снизить риск попадания исходящей почты в спам, используется популярная связка SPF, DKIM и DMARC. Данные технологии направлены на борьбу с поддельными почтовыми сообщениями. Рассмотрим практическую реализацию этих технологий на почтовом сервере, сконфигурированном в статье Postfix Dovecot LDAP.
Для лучшего понимания, обратимся к примеру отправки почтового сообщения через утилиту telnet.
Все, что находится до команды DATA, является конвертом сообщения. С этой информацией работает SPF. То, что находится после команды DATA, является заголовком сообщения, с этой информацией работает DKIM. DMARC является результирующей политикой, определяющей дальнейшую судьбу сообщения, опираясь на результаты SPF и DKIM проверок. Результаты SPF, DKIM и DMARC проверок записываются в заголовок сообщения, и в дальнейшем могут быть использованы антиспам фильтрами.
Установка и настройка postfix-policyd-spf-python
Для того, чтобы Postfix мог проводить SPF проверки для входящей почты нужно установить пакет postfix-policyd-spf-python
# apt install postfix-policyd-spf-python
В конец файла master.cf нужно добавить следующие строки
# nano /etc/postfix/master.cf . . . policyd-spf unix - n n - 0 spawn user=policyd-spf argv=/usr/bin/policyd-spf
Добавим поддержку postfix-policyd-spf-python в Postfix
# nano /etc/postfix/main.cf . . . smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination check_policy_service unix:private/policyd-spf . . . policyd-spf_time_limit = 3600
Здесь важна последовательность. Параметр check_policy_service unix:private/policyd-spf активирует SPF проверку в Postfix. Он должен быть последним в списке ограничении smtpd_relay_restrictions. Параметр policyd-spf_time_limit = 3600 может находится в любом месте, он определяет временной предел проверки сообщения.
Откроем конфигурационный файл postfix-policyd-spf-python и добавим в конец это файла следующие строки
# nano /etc/postfix-policyd-spf-python/policyd-spf.conf . . . Header_Type = AR Authserv_Id = mail.4skill.ru
Параметр Header_Type указывает метод документирования результатов SPF проверки в проверяемых сообщениях. По умолчанию используется метод SPF. Смена метода SPF на AR используется для совместимости с OpenDMARC. Параметр Authserv_Id определяет имя идентификатора, которое используется при создании поля результатов проверки в заголовке сообщения. Обычно в качестве идентификатора указывается полное доменное имя сервера, на котором производится проверка. Более подробное описание всех параметров можно найти на странице Ubuntu manuals. Детальное описание настройки SPF изложено в статье Postfix настройка SPF.
Перезапустим Postfix
# postfix reload
Теперь Postfix будет производить SPF проверку для всех входящих писем. Осталось добавить SPF запись для домена 4skill.ru. Перейдем в консоль своего DNS провайдера и добавим туда запись типа TXT для домена 4skill.ru.
@ TXT v=spf1 mx ~all
В начале указывается версия SPF записи (v=spf1), затем разрешения. В данном случае осуществлять отправку почты от имени домена 4skill.ru могут хосты, указанные в MX записи для данного домена (mx). Почта от иных хостов будет принята с пометкой о неудачной проверке(∼all). Более подробное описание синтаксиса и примеры SPF записей можно найти на странице SPF Record Syntax, или в начале статьи Postfix настройка SPF.
Установка и настройка OpenDKIM
Для того, чтобы Postfix мог проводить DKIM проверки для входящей почты, нужно установить пакеты OpenDKIM и OpenDKIM-Tools. Последний нужен для генерации ключей.
# apt install opendkim opendkim-tools
После установки данных пакетов, заменим оригинальный конфигурационный файл OpenDKIM на следующий
# nano /etc/opendkim.conf AutoRestart yes AutoRestartRate 10/1h Canonicalization relaxed/relaxed ExternalIgnoreList refile:/etc/opendkim/trusted_hosts InternalHosts refile:/etc/opendkim/trusted_hosts KeyTable refile:/etc/opendkim/key_table SigningTable refile:/etc/opendkim/signing_table On-BadSignature accept ReportAddress noreply-dkim@4skill.ru SendReports yes SignHeaders From,To,Subject,Date,Message-ID Syslog yes SyslogSuccess yes #LogWhy yes UMask 002
- AutoRestart — автоматический перезапуск сервиса в случае падения.
- AutoRestartRate — допустимая частота падений сервиса. В данном случае не более 10 раз за 1 час.
- Canonicalization — канонизация для заголовка/тела сообщения. Подробнее об это тут.
- ExternalIgnoreList — список внешних хостов, которые могут производить пересылку почты от имени подписываемого домена без аутентификации.
- InternalHosts — список внутренних хостов, чья исходящая почта не должна проверяться, но должна быть подписана.
- KeyTable — список ключей, используемых для подписи.
- SigningTable — список доменов, сопряженных с ключами из KeyTable.
- On-BadSignature — что делать с письмом в случае неудачной проверки. Возможны варианты:
∘ accept — пропустить(по умолчанию);
∘ discard — отбросить сообщение без уведомления;
∘ quarantine — поместить сообщение в спам;
∘ reject — отбросить сообщение;
∘ tempfail — выдать сообщение об ошибке. - ReportAddress — адрес, от имени которого будет происходить рассылка отчетов о неудачных проверках.
- SendReports — включение рассылки отчетов о неудачных проверках.
- SignHeaders — набор полей заголовка сообщения, которые будут включены в подпись.
- Syslog — запись логов в syslog.
- SyslogSuccess — включение в лог информации об успешных подписях и проверках.
- LogWhy — включение более детального логирования.
- UMask — маска прав для Socet файла.
Подробное описание всех параметров можно найти на странице opendkim.conf.
Создадим каталок для хранения ключей
# mkdir -p /etc/opendkim/keys/4skill.ru
Добавим ключи для домена 4skill.ru
# opendkim-genkey -D /etc/opendkim/keys/4skill.ru -d 4skill.ru -s mail
Ключ -D определяет каталог для записи ключей. Ключ -d указывает название домена. Ключ -s указывает название селектора. Селектор может быть произвольным. Обычно селектор отражает название сервиса, дату создания ключа, или битность ключа. В данном случае это название сервиса.
Пользователь, от имени которого работает сервис OpenDKIM, должен иметь доступ к закрытому ключу
# chown opendkim /etc/opendkim/keys/4skill.ru/*.private
Открытый ключ находится в файле с расширением .txt
# cat /etc/opendkim/keys/4skill.ru/*.txt mail._domainkey IN TXT ( "v=DKIM1; k=rsa; " "p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDMtyLiYLXF0ywByDzfnQmdI+OMBsr6dg0OfXnejQtKwwCKmxLdxdk7dXXca7ZaO10b35deSX2XQuCuKp0ZeVsRAQsEu4dAYrJ/5Km7Rh3V45uLv1w7ksky128u6oiqllL5iVg+MWWQYtbedO7hT/Rod+aXb7DV3NjNAIl53ZdPtQIDAQAB" ) ; ----- DKIM key mail for 4skill.ru
Добавим его на DNS сервер своего провайдера в виде TXT записи
mail._domainkey.4skill.ru TXT v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDMtyLiYLXF0ywByDzfnQmdI+OMBsr6dg0OfXnejQtKwwCKmxLdxdk7dXXca7ZaO10b35deSX2XQuCuKp0ZeVsRAQsEu4dAYrJ/5Km7Rh3V45uLv1w7ksky128u6oiqllL5iVg+MWWQYtbedO7hT/Rod+aXb7DV3NjNAIl53ZdPtQIDAQAB
Создадим файл, определяющий от кого подписывать почту
# nano /etc/opendkim/trusted_hosts ::1 127.0.0.1
Даже если явно не указывать ::1 или 127.0.0.1, почта сформированная почтовыми клиентами пользователей, прошедших аутентификацию на сервере будет подписана. Явное указание адреса петлевого интерфейса дает возможность подписи почты, сформированной утилитой telnet на почтовом сервере(# telnet localhost 25). На практике в данный файл записываются адреса серверов, использующих Postfix в качестве сервера пересылки(relay), с целью подписи транзитных сообщений.
Создадим файл, определяющий список закрытых ключей
# nano /etc/opendkim/key_table mail._domainkey.4skill.ru 4skill.ru:mail:/etc/opendkim/keys/4skill.ru/mail.private
Каждый ключ прописывается отдельной строкой и имеет формат
<название ключа> <название домена>:<название селектора>:<путь к закрытому ключу>
Создадим файл, сопоставляющий закрытый ключ с именем домена
# nano /etc/opendkim/signing_table *@4skill.ru mail._domainkey.4skill.ru
Формат записи следующий
<название домена> <название ключа из key_table>
Укажем SOCKET для подключения к OpenDKIM
# nano /etc/default/opendkim
Закоментируем строку
#SOCKET="local:/var/run/opendkim/opendkim.sock"
Раскоментируем строку
SOCKET="inet:12345@localhost"
Укажем Postfix как подключаться к OpenDKIM. Для этого добавим к конец main.cf следующие строки
# nano /etc/postfix/main.cf . . . smtpd_milters = inet:localhost:12345 non_smtpd_milters = $smtpd_milters
Перезапустим OpenDKIM
# service opendkim restart
Перезапустим Postfix
# postfix reload
Более детальная настройка OpenDKIM описана в статье Postfix OpenDKIM.
Установка и настройка OpenDMARC
Для того, чтобы Postfix мог проводить DMARC проверки для входящей почты, нужно установить пакет OpenDMARC
# apt install opendmarc
Заменим оригинальный конфигурационный файл OpenDMARC на следующий
# nano /etc/opendmarc.conf AuthservID mail.4skill.ru AutoRestart yes AutoRestartRate 10/1h FailureReports yes FailureReportsSentBy noreply-dmarc@4skill.ru HistoryFile /var/run/opendmarc/opendmarc.dat IgnoreHosts /etc/opendkim/trusted_hosts IgnoreAuthenticatedClients yes RejectFailures no Syslog yes UMask 002
- Authserv_Id — имя идентификатора, которое используется при создании поля результатов проверки в заголовке сообщения. Обычно в качестве идентификатора указывается полное доменное имя сервера, на котором производится проверка.
- AutoRestart — автоматический перезапуск сервиса в случае падения.
- AutoRestartRate — допустимая частота падений сервиса. В данном случае не более 10 раз за 1 час.
- FailureReports — включение рассылки отчетов о неудачных проверках.
- FailureReportsSentBy — адрес, от имени которого будет происходить рассылка отчетов о неудачных проверках.
- HistoryFile — расположение файла, в который записывается информация, используемая для создания сводных отчетов.
- IgnoreHosts — расположение файла, содержащего список имен хостов, IP адресов и CIDR выражений, которые нужно исключить из проверки.
- IgnoreAuthenticatedClients — исключение из проверки аутентифицированных клиентов.
- RejectFailures — действие в случае неудачной проверки. Возможные варианты:
∘ yes — отклонить письмо;
∘ no — пропустить письмо и добавить в заголовок сообщения поле с результатами проверки (поведение по умолчанию). - Syslog — запись логов в syslog.
- UMask — маска прав для Socet файла.
Подробное описание всех параметров можно найти на странице opendmarc.conf.
Укажем SOCKET для подключения к OpenDMARC, для этого добавим следующую строку в файл /etc/default/opendmarc
# echo 'SOCKET="inet:12346@localhost"' >> /etc/default/opendmarc
Укажем Postfix как подключаться к OpenDMARC. Для этого отредактируем файл /etc/postfix/main.cf
# nano /etc/postfix/main.cf
Заменим строку (сочетание клавиш Alt+R)
smtpd_milters = inet:localhost:12345
На
smtpd_milters = inet:localhost:12345 inet:localhost:12346
Здесь важна последовательность. В начале указывается SOCET для подключения к OpenDKIM, затем к OpenDMARC.
Перезапустим службу OpenDMARC
# service opendmarc restart
Перезапустим службу Postfix
# postfix reload
Еще одна полезная функция OpenDMARC это рассылка сводных отчетов. Сводный отчет содержит в себе статистику принятых писем от определенных доменов, с процентным соотношением удачных и неудачных проверок SPF, DKIM и DMARC. Изначально статистика по входящей почте записывается в файл, определенный параметром HistoryFile. Затем скриптом opendmarc-import статистика импортируется в базу данных MySQL. Далее используется скрипт opendmarc-reports, который достает статистику из базу данных MySQL, формирует письмо с прикрепленным отчетом и осуществляет отправку письма. Заключительным этапом является запуск скрипта opendmarc-expire, который очищает базу данных MySQL от устаревших записей.
Установка и настройка MySQL
Для установки MySQL выполним команду
# apt install mysql-server
В процессе установки появится окно с запросом указания пароля для пользователя root. Это не системный пользователь Linux, а одноименный корневой администратор базы данных MySQL. На данном этапе можно ничего не указывать и оставить поле пустым, так как в дальнейшем пароль будет определен конфигурационным скриптом для настройки MySQL
После установки базы данных MySQL, нужно запустить конфигурационный скрипт mysql_secure_installation
# mysql_secure_installation Securing the MySQL server deployment. Connecting to MySQL using a blank password. VALIDATE PASSWORD PLUGIN can be used to test passwords and improve security. It checks the strength of password and allows the users to set only those passwords which are secure enough. Would you like to setup VALIDATE PASSWORD plugin? Press y|Y for Yes, any other key for No: n Please set the password for root here. New password: Re-enter new password: By default, a MySQL installation has an anonymous user, allowing anyone to log into MySQL without having to have a user account created for them. This is intended only for testing, and to make the installation go a bit smoother. You should remove them before moving into a production environment. Remove anonymous users? (Press y|Y for Yes, any other key for No) : y Success. Normally, root should only be allowed to connect from 'localhost'. This ensures that someone cannot guess at the root password from the network. Disallow root login remotely? (Press y|Y for Yes, any other key for No) : y Success. By default, MySQL comes with a database named 'test' that anyone can access. This is also intended only for testing, and should be removed before moving into a production environment. Remove test database and access to it? (Press y|Y for Yes, any other key for No) : y - Dropping test database... Success. - Removing privileges on test database... Success. Reloading the privilege tables will ensure that all changes made so far will take effect immediately. Reload privilege tables now? (Press y|Y for Yes, any other key for No) : y Success. All done!
В начале предлагается использовать плагин проверки сложности пароля. Далее указывается пароль для пользователя root базы данных MySQL. Затем предлагается удалить анонимного пользователя. Потом предлагается выключить возможность удаленного подключения пользователя root к базе данных MySQL. После чего предлагается удалить тестовую базу. В заключении предлагается обновить таблицы прав пользователей.
Далее нужно отключить режимы STRICT_TRANS_TABLES, NO_ZERO_IN_DATE и NO_ZERO_DATE. Если этого не сделать, то при импорте схемы OpenDMARC вылетит ошибка
ERROR 1067 (42000) at line 20: Invalid default value for 'lastsent'
Для отключения выше указанных режимов нужно добавить в файл /etc/mysql/my.cnf следующие строки
# nano /etc/mysql/my.cnf . . . [mysqld] sql-mode = ONLY_FULL_GROUP_BY,ERROR_FOR_DIVISION_BY_ZERO,NO_AUTO_CREATE_USER,NO_ENGINE_SUBSTITUTION
и перезапустить службу MySQL
# service mysql restart
В файле схемы нужно раскоментировать две последние строки
# nano /usr/share/doc/opendmarc/schema.mysql . . . CREATE USER 'opendmarc'@'localhost' IDENTIFIED BY 'changeme'; GRANT ALL ON opendmarc.* to 'opendmarc'@'localhost';
Первая команда создаст пользователя opendmarc с паролем changeme. Вторая команда назначит все доступные привилегии пользователю opendmarc на базу opendmarc.
Теперь можно импортировать схему OpenDMARC в MySQL
# mysql -u root -p < /usr/share/doc/opendmarc/schema.mysql Enter password:
При выполнении данной команды нужно указать пароль пользователя root базы данных MySQL.
Далее отредактируем скрипт /usr/sbin/opendmarc-reports
# nano /usr/sbin/opendmarc-reports
Заменим строку (сочетание клавиш Alt+R)
$answer = ${${*$smtp}{'net_cmd_resp'}}[1];
На
$answer = ${${*$smtp}{'net_cmd_resp'}}[1] || $smtp->message() || 'unknown error';
Данная замена нужна для предотвращения ошибки #134.
Use of uninitialized value $answer in scalar chomp at /usr/sbin/opendmarc-reports line 938. Use of uninitialized value $answer in concatenation (.) or string at /usr/sbin/opendmarc-reports line 939.
Далее нужно создать связующий скрипт
# nano /etc/cron.daily/opendmarc-report
#!/bin/bash
DB_SERVER='localhost' # Адрес MySQL сервера
DB_USER='opendmarc' # Пользователь для подключения к базе данных
DB_PASS='changeme' # Пароль пользователя для подключения к базе данных
DB_NAME='opendmarc' # Имя базы данных
WORK_DIR='/var/run/opendmarc' # Директория, в которую записывается HistoryFile
REPORT_EMAIL='noreply-dmarc@4skill.ru' # Адрес, от имени которого происходит рассылка сводных отчетов
REPORT_ORG='4skill.ru' # Название домена, от имени которого происходит рассылка сводных отчетов
mv ${WORK_DIR}/opendmarc.dat ${WORK_DIR}/opendmarc_import.dat -f
touch ${WORK_DIR}/opendmarc.dat
chown opendmarc:opendmarc ${WORK_DIR}/opendmarc.dat
/usr/sbin/opendmarc-import --dbhost=${DB_SERVER} --dbuser=${DB_USER} --dbpasswd=${DB_PASS} --dbname=${DB_NAME} --verbose < ${WORK_DIR}/opendmarc_import.dat
/usr/sbin/opendmarc-reports --dbhost=${DB_SERVER} --dbuser=${DB_USER} --dbpasswd=${DB_PASS} --dbname=${DB_NAME} --verbose --interval=86400 --report-email=${REPORT_EMAIL} --report-org=${REPORT_ORG}
/usr/sbin/opendmarc-expire --dbhost=${DB_SERVER} --dbuser=${DB_USER} --dbpasswd=${DB_PASS} --dbname=${DB_NAME} --verbose
Сделаем скрипт исполняемым
# chmod +x /etc/cron.daily/opendmarc-report
Идея скрипта взята с сайта njae.me.uk. Скрипт будет выполняться раз в сутки.
Заключительным этапом будет добавление DMARC записи для домена 4skill.ru. Для этого в DNS оснастке своего провайдера нужно добавить TXT запись следующего вида
_dmarc.4skill.ru TXT v=DMARC1; p=none; rua=mailto:dmarc@4skill.ru; ruf=mailto:dmarc@4skill.ru
- v - версия записи.
- p - политика, может иметь значения:
∘ none - не принимать никаких действий;
∘ quarantine - отправить сообщение в спам;
∘ reject - не принимать сообщение. - rua - адрес для получения сводных отчетов.
- ruf - адрес для получения отчетов о неудачных проверках.
Описание всех доступных параметров DMARC записи и примеры можно найти на странице help.mail.ru.
В первое время лучше использоваться политику none, чтобы исключить потерю легитимной исходящей почты и изучить сводные отчеты DMARC, полученные от других почтовых систем. Далее можно изменить политику на более агрессивную, либо оставить none, в случае использования антиспам фильтров. Как правило современные антиспам системы используют SPF, DKIM и DMARC заголовки в своих проверках, что обеспечивает высокую вероятность попадания поддельной почты в спам. Сводный отчет представляет из себя файл с расширением .xml. Для его просмотра можно использовать XML to Human Converter.
Чтобы убедиться что все вышло, и исходящая почта проходит SPF, DKIM и DMARC проверки, можно отправить тестовое письмо на сторонний почтовый сервер, поддерживающий данные типы проверок, и посмотреть на нем оригинал письма. На примере gmail.com это выглядит следующим образом, нужно открыть отправленное письмо, и в правой части экрана нажать на кнопку, изображенную на картинке ниже
Далее из всплывающего меню выбрать "Показать оригинал". В верхней части открывшегося окна буду представлены результаты проверок
Также можно воспользоваться онлайн сервисом mail-tester.com.