{"id":67,"date":"2016-06-15T13:20:52","date_gmt":"2016-06-15T16:20:52","guid":{"rendered":"http:\/\/www.tonev.pro.br\/?p=67"},"modified":"2016-06-15T13:20:52","modified_gmt":"2016-06-15T16:20:52","slug":"antispam-appliance","status":"publish","type":"post","link":"https:\/\/www.tonev.pro.br\/?p=67","title":{"rendered":"AntiSpam Appliance"},"content":{"rendered":"

Para quem precisa de um servi\u00e7o de anti-spam, recomendo o EFA (\u00a0<\/span><\/span><\/span>https:\/\/efa-project.org\/<\/span><\/span><\/span><\/a>\u00a0). O appliance criado pelo projeto tem tudo que \u00e9 necess\u00e1rio, a instala\u00e7\u00e3o \u00e9 f\u00e1cil e o uso praticamente imediato.<\/span><\/span><\/span><\/p>\n

 <\/p>\n

Para come\u00e7ar, recomendo que mantenha relays separados para envio e recebimento. Se tiver sistemas que enviam e-mails, crie relay separado para eles. Assim o envio de e-mails dos sistemas n\u00e3o vai concorrer com o de seus usu\u00e1rios. Se tiver fluxo realmente grande ou apenas querer redund\u00e2ncia, pode aumentar o n\u00famero de acordo com as necessidades. Para refer\u00eancia, uma m\u00e1quina virtual com 8GB de RAM e 8 processadores consegue processar em torno de 200.000 e-mails por dia.<\/span><\/span><\/span><\/p>\n

 <\/p>\n

Nesse post vou descrever somente a op\u00e7\u00e3o de relay de recebimento. Os pr\u00f3ximos ser\u00e3o de relay de sa\u00edda, <\/span>SPF e DKIM.<\/span><\/span><\/span><\/span><\/p>\n

 <\/p>\n

Para come\u00e7ar, baixe a imagem Vmware ou Hyper-V e fa\u00e7a o deploy. Somente uma placa de rede \u00e9 necess\u00e1ria. A m\u00e1quina j\u00e1 vem com 25GB de espa\u00e7o para a quarentena de e-mail. Considere salvar todas as mensagens que passam pelo relay na quarentena para que seja poss\u00edvel submeter algumas para aprendizado de spam do sistema. Como as parti\u00e7\u00f5es s\u00e3o LVM, \u00e9 poss\u00edvel acrescentar espa\u00e7o depois sem a necessidade de reparticionamento.<\/span><\/span><\/span><\/p>\n

 <\/p>\n

No primeiro boot, logue na m\u00e1quina com os dados fornecidos ( geralmente \u00e9 usu\u00e1rio “root” e senha “EfaPr0j3ct”. Logo em seguida ser\u00e1 iniciado o processo de configura\u00e7\u00e3o, ser\u00e3o solicitados alguns dados para configura\u00e7\u00e3o do appliance.<\/span><\/span><\/span><\/p>\n

 <\/p>\n

    \n
  1. Teclado – pode deixar em “U.S. International”;<\/span><\/span><\/span><\/li>\n
  2. Hostname – especifique o nome da m\u00e1quina sem o dom\u00ednio ( ex. srvantispam01 );<\/span><\/span><\/span><\/li>\n
  3. Dom\u00ednio – especifique o nome do seu dom\u00ednio ( ex. tonev.pro.br);<\/span><\/span><\/span><\/li>\n
  4. E-mail do administrador – informe o e-mail para qual devem ser enviados alertas e informativos sobre o funcionamento da m\u00e1quina;<\/span><\/span><\/span><\/li>\n
  5. E-mail do postmaster – informe o e-mail do administrador do sistema de e-mail para alertas do postfix – pode ser o mesmo do administrador;<\/span><\/span><\/span><\/li>\n
  6. Endere\u00e7o IP da placa de rede – informe o endere\u00e7o IP que ser\u00e1 usado. Voc\u00ea pode publicar o EFA na sua rede interna ou na rede externa, dependendo da estrutura;<\/span><\/span><\/span><\/li>\n
  7. M\u00e1scara de rede – informe a m\u00e1scara da rede em qual o EFA est\u00e1 sendo instalado;<\/span><\/span><\/span><\/li>\n
  8. Gateway – Informe o default gateway que o \u00a0EFA utilizar\u00e1 para acesso \u00e0 internet. Dependendo da sua rede, poder\u00e1 ser necess\u00e1rio cadastrar mais de um gateway;<\/span><\/span><\/span><\/li>\n
  9. Recursive DNS – Responda com “Y” e se for necess\u00e1rio libere a m\u00e1quina para consultar DNS externamente. Algumas funcionalidades de RBL dependem das consultas DNS e se voc\u00ea usar um forwarder pode apresentar problemas;<\/span><\/span><\/span><\/li>\n
  10. Usu\u00e1rio de administra\u00e7\u00e3o – informe o login que pretende usar para acesso administrativo ao EFA, tanto SSH como console web. N\u00e3o utilize o caractere ponto no login;<\/span><\/span><\/span><\/li>\n
  11. Senha – informe a senha para a conta administrativa;<\/span><\/span><\/span><\/li>\n
  12. Senha – informe a senha para o usu\u00e1rio “root”. Pode ser igual do administrador, por\u00e9m n\u00e3o \u00e9 recomend\u00e1vel;<\/span><\/span><\/span><\/li>\n
  13. O script de instala\u00e7\u00e3o tentara detectar se a m\u00e1quina est\u00e1 sendo executada no Vmware para efetuar os justes necess\u00e1rios;<\/span><\/span><\/span><\/li>\n
  14. Hor\u00e1rio – responda com “Y” para confirmar o UTC;<\/span><\/span><\/span><\/li>\n
  15. Time zone – especifique a localidade do time zone, no caso do Brasil, escolha a “2”;<\/span><\/span><\/span><\/li>\n
  16. Time zone – especifique o pa\u00eds – no caso do Brasil, escolha a op\u00e7\u00e3o “9”;<\/span><\/span><\/span><\/li>\n
  17. Time zone – especifique o fuso hor\u00e1rio – para hor\u00e1rio oficial escolha o “8”;<\/span><\/span><\/span><\/li>\n
  18. Confirme o fuso escolhido;<\/span><\/span><\/span><\/li>\n
  19. YANA – informe o c\u00f3digo do pa\u00eds,\u00a0no caso do Brasil, escolha a op\u00e7\u00e3o “br”;<\/span><\/span><\/span><\/li>\n
  20. Mail server – o EFA \u00e9 apenas um relay que vai servidor como servidor de entrega\/recebimento. Informe o endere\u00e7o IP do seu servidor de e-mail onde as caixas postais dos usu\u00e1rios est\u00e3o hospedadas. N\u00e3o utilize o FQDN, pois a resolu\u00e7\u00e3o de DNS do EFA \u00e9 externa ( item 9 ) e n\u00e3o vai conseguir achar o seu servidor na rede interna;<\/span><\/span><\/span><\/li>\n
  21. Organiza\u00e7\u00e3o – informe o nome da organiza\u00e7\u00e3o, empresa, dom\u00ednio, etc.;<\/span><\/span><\/span><\/li>\n
  22. Auto-update – Se quiser que o seu EFA verifique mensalmente se foi lan\u00e7ado um novo release e se atualize automaticamente, pode ativar essa op\u00e7\u00e3o. Caso contr\u00e1rio o processo de upgrade ter\u00e1 que ser feito manualmente. Isso se aplica somente ao release, as bases de antiv\u00edrus, anti-spam, phishing, etc. s\u00e3o atualizados automaticamente;<\/span><\/span><\/span><\/li>\n
  23. Resumo – ser\u00e3o apresentadas todas as op\u00e7\u00f5es escolhidas. Se tido estiver correto, apenas confirme.<\/span><\/span><\/span><\/li>\n
  24. Nesse ponto a m\u00e1quina vai aplicar as configura\u00e7\u00f5es, iniciar alguns servi\u00e7os e realizar as atualiza\u00e7\u00f5es necess\u00e1rias.<\/span><\/span><\/span><\/li>\n
  25. Gera\u00e7\u00e3o do certificado SSL – a interface de gerenciamento \u00e9 acessada atrav\u00e9s de https, portanto \u00e9 necess\u00e1rio gerar um certificado. Assim que for iniciada a gera\u00e7\u00e3o, responda:<\/span><\/span><\/span>\n
      \n
    1. Country name : BR<\/span><\/span><\/span><\/li>\n
    2. State or Province Name: Distrito Federal ( seu estado )<\/span><\/span><\/span><\/li>\n
    3. Locality Name: Bras\u00edlia ( sua cidade )<\/span><\/span><\/span><\/li>\n
    4. Organization Name: tonev.pro.br ( nome da\u00a0organiza\u00e7\u00e3o, empresa, dom\u00ednio, etc. )<\/span><\/span><\/span><\/li>\n
    5. Organization Unit: TI ( departamento )<\/span><\/span><\/span><\/li>\n
    6. Common Name:\u00a0srvantispam01.tonev.pro.br ( FQDN do seu servidor. Necess\u00e1rio para acesso ao munin )<\/span><\/span><\/span><\/li>\n
    7. Email Address: admin@tonev.pro.br ( e-mail do administrador de rede )<\/span><\/span><\/span><\/li>\n<\/ol>\n<\/li>\n
    8. Por fim, a m\u00e1quina vai solicitar permiss\u00e3o para reiniciar.<\/span><\/span><\/span><\/li>\n<\/ol>\n

       <\/p>\n

      Nesse ponto a m\u00e1quina j\u00e1 est\u00e1 apta a servir de relay de e-mail, verificando para presen\u00e7a de spam, v\u00edrus e RBL. Porem antes de colocar a m\u00e1quina em produ\u00e7\u00e3o \u00e9 recomend\u00e1vel atualizar o sistema operacional, conferir o DNS.<\/span><\/span><\/span><\/p>\n

       <\/p>\n

      Se voc\u00ea estiver instalando um relay de sa\u00edda e n\u00e3o quiser ter problemas de bloqueios dos seus e-mails com RBL, tem que conferir o DNS reverso e o SPF, al\u00e9m de instalar o DKIM ( pr\u00f3ximo post a fazer ).<\/span><\/span><\/span><\/p>\n

       <\/p>\n

      O processo de atualiza\u00e7\u00e3o \u00e9 o padr\u00e3o de qualquer CentOS. \u00c9 necess\u00e1rio executar ”\u00a0<\/span><\/span><\/span>yum clean all ; yum update ; yum upgrade<\/b><\/span><\/span><\/span><\/strong>\u00a0“. Aplique todas as atualiza\u00e7\u00f5es e reinicie.<\/span><\/span><\/span><\/p>\n

       <\/p>\n

      Apos o boot, edite os arquivos “<\/span><\/span><\/span>\/etc\/sysctl.conf<\/b><\/span><\/span><\/span><\/strong>” e “<\/span><\/span><\/span>\/etc\/mail\/spamassassin\/local.cf<\/b><\/span><\/span><\/span><\/strong>” e adicione\/altere as linhas abaixo. Isso n\u00e3o \u00e9 obrigat\u00f3rio, por\u00e9m apos alguns meses acompanhando o desempenho da ferramenta, esses foram os par\u00e2metros que adicionei para melhorar o desempenho e filtragem dos spams.<\/span><\/span><\/span><\/p>\n

       <\/p>\n

      \/etc\/sysctl.conf<\/span><\/span><\/span><\/strong><\/p>\n

      vm.swappiness = 1
      \nfs.file-max = 1048576<\/span><\/span><\/span><\/p>\n

       <\/p>\n

      \/etc\/mail\/spamassassin\/local.cf<\/span><\/span><\/span><\/strong><\/p>\n

      required_score 3.7
      \nbayes_token_sources all
      \nbayes_expiry_max_db_size 3000000
      \nbayes_token_ttl 30w
      \nbayes_seen_ttl 80d
      \nifplugin Mail::SpamAssassin::Plugin::Shortcircuit
      \nendif # Mail::SpamAssassin::Plugin::Shortcircuit
      \nscore RCVD_IN_RP_CERTIFIED 0 0 0 0
      \nscore RCVD_IN_RP_SAFE 0 0 0 0
      \nscore RCVD_IN_DNSWL_NONE 0 0 0 0
      \nscore RCVD_IN_DNSWL_LOW 0 0 0 0
      \nscore RCVD_IN_DNSWL_MED 0 0 0 0
      \nscore RCVD_IN_DNSWL_HI 0 0 0 0
      \nscore RCVD_IN_DNSWL_BLOCKED 0 0 0 0
      \nscore RP_MATCHES_RCVD -0.3
      \nscore BAYES_99 0 0 4.2 3.9
      \nscore BAYES_999 0 0 1.2 1.7
      \nscore RCVD_IN_BRBL_LASTEXT 0 2.1 0 1.8
      \nscore MISSING_HEADERS 7 7 7 7
      \nscore MISSING_MID 1 1 1 1
      \nscore HTML_MISSING_CTYPE 7 7 7 7
      \nscore MISSING_DATE 7 7 7 7
      \nscore MISSING_MIMEOLE 4 4 4 4
      \nscore MISSING_SUBJECT 7 7 7 7
      \nscore MISSING_MIME_HB_SEP 7 7 7 7
      \nscore FREEMAIL_FROM 1
      \nscore FREEMAIL_FORGED_FROMDOMAIN 1 1 1 1
      \nscore DCC_CHECK 2 2 2 2
      \nscore LOTS_OF_MONEY 2 2 2 2
      \nscore T_DKIM_INVALID 2 2 2 2
      \nscore URIBL_GREY 0.6 1.6 0.6 0.6
      \nscore HEADER_FROM_DIFFERENT_DOMAINS 0.5 0.5 0.5 0.5
      \nscore MPART_ALT_DIFF_COUNT 3.2 1.9 1.5 1.5
      \nscore URIBL_RED 0.5 0.5 0.5 0.5
      \nscore HTML_FONT_LOW_CONTRAST 0.4 0.4 0.4 0.4
      \nscore MIME_HTML_ONLY_MULTI 0.15 0.15 0.15 0.15
      \nscore T_REMOTE_IMAGE 1 1 1 1
      \nscore T_KAM_HTML_FONT_INVALID 0.3 0.3 0.3 0.3
      \nscore MIME_QP_LONG_LINE 0.3 0.3 0.3 0.3
      \nscore HTML_IMAGE_RATIO_02 2.7 1.3 1.7 0.9
      \nscore HTML_IMAGE_RATIO_04 2.5 1.1 1.1 1
      \nscore HTML_IMAGE_RATIO_06 0.5 0.5 0.5 0.5
      \nscore HTML_IMAGE_RATIO_08 0.5 0.5 0.5 0.5
      \nscore FROM_MISSP_SPF_FAIL 7 7 7 7
      \nscore T_FROM_MISSP_DKIM 5 5 5 5
      \nscore UNPARSEABLE_RELAY 3 3 3 3
      \nscore SUBJECT_NEEDS_ENCODING 1 1 1 1
      \nscore KAM_HUGEIMGSRC 1 1 1 1
      \nscore SPF_NEUTRAL 1 1 1 1
      \nscore MIME_HEADER_CTYPE_ONLY 1 1 1 1
      \nscore RAZOR2_CF_RANGE_51_100 1 1 1 1
      \nscore RAZOR2_CF_RANGE_E4_51_100 1.5 1.5 1.5 1.5
      \nscore RAZOR2_CF_RANGE_E8_51_100 2.5 2.5 2.5 2.5
      \nscore KAM_LOTSOFHASH 1 1 1 1
      \nscore URIBL_DBL_ABUSE_REDIR 3 3 3 3
      \nscore INVALID_MSGID 3 3 3 3
      \nscore MSGID_SHORT 3 3 3 3
      \nscore URIBL_BLACK 3 3 3 3
      \nscore RCVD_IN_IADB_DK 0 0 0 0
      \nscore RCVD_IN_IADB_OPTIN 0 0 0 0
      \nscore RCVD_IN_IADB_RDNS 0 0 0 0
      \nscore RCVD_IN_IADB_SPF 0 0 0 0
      \nscore RCVD_IN_IADB_LISTED 0 0 0 0
      \nscore RCVD_IN_IADB_SENDERID 0 0 0 0
      \nscore RCVD_IN_IADB_VOUCHED 0 0 0 0
      \nscore FORGED_TELESP_RCVD 3 3 3 3
      \nscore FORGED_HOTMAIL_RCVD2 3 3 3 3
      \nscore FORGED_YAHOO_RCVD 3 3 3 3<\/span><\/span><\/span><\/p>\n

       <\/p>\n

      Para verificar o DNS do seu dom\u00ednio:<\/span><\/span><\/span><\/p>\n

        \n
      1. Abra um terminal e execute “<\/span><\/span><\/span>nslookup<\/b><\/span><\/span><\/span><\/strong>“;<\/span><\/span><\/span><\/li>\n
      2. No prompt especifique um servidor de DNS na Internet ( n\u00e3o pode ser o seu ), com o da Google com o comando “server 8.8.8.8”;<\/span><\/span><\/span><\/li>\n
      3. No prompt especifique que vai consultar o servidor de recebimento com “set type=mx” ;<\/span><\/span><\/span><\/li>\n
      4. Informe\u00a0o nome do seu dom\u00ednio, como resposta deve receber o FQDN do seu servidor de e-mail que por sua vez deve resolver para o IP valido em que o seu servidor est\u00e1 publicado;<\/span><\/span><\/span><\/li>\n<\/ol>\n

         <\/p>\n

        Se tudo estiver em ordem, publique o seu servidor na Internet e aproveite a ferramenta. Existem algumas configura\u00e7\u00f5es que podem ser feitas apenas via console, para isso logue como root na maquina e use o menu apresentado. Outras podem ser feitas pelo console web. Antes de usar, navegue pelas op\u00e7\u00f5es e conhe\u00e7a a ferramenta. Se precisar, pode editar diretamente a configura\u00e7\u00e3o do MailScanner (\u00a0\/etc\/MailScanner\/MailScanner.conf<\/strong> ).<\/span><\/span><\/span><\/p>\n

         <\/p>\n

        Se tiverem alguma d\u00favida, podem enviar para o e-mail ivo@tonev.pro.br. Dependendo do caso ser\u00e1 um novo post ou atualiza\u00e7\u00e3o desse.<\/span><\/span><\/span><\/p>\n

         <\/p>\n

         <\/p>\n","protected":false},"excerpt":{"rendered":"

        Para quem precisa de um servi\u00e7o de anti-spam, recomendo o EFA (\u00a0https:\/\/efa-project.org\/\u00a0). O appliance criado pelo projeto tem tudo que \u00e9 necess\u00e1rio, a instala\u00e7\u00e3o \u00e9 f\u00e1cil e o uso praticamente imediato.   Para come\u00e7ar, recomendo…<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2],"tags":[],"class_list":["post-67","post","type-post","status-publish","format-standard","hentry","category-rede"],"_links":{"self":[{"href":"https:\/\/www.tonev.pro.br\/index.php?rest_route=\/wp\/v2\/posts\/67","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.tonev.pro.br\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.tonev.pro.br\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.tonev.pro.br\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.tonev.pro.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=67"}],"version-history":[{"count":0,"href":"https:\/\/www.tonev.pro.br\/index.php?rest_route=\/wp\/v2\/posts\/67\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.tonev.pro.br\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=67"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.tonev.pro.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=67"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.tonev.pro.br\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=67"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}