Newsgroup: it.comp.os.linux.sys
Titolo: mail server.

Dovrei installare un mail server.
Tale server dovrebbe essere utilizzato sia dall'interno della lan che da 
internet.
Per una questione di sicurezza pensavo di configurare un server interno
ed uno posto in dmz.
Tale server in dmz ricevera' le mail dall'esterno che poi verranno prelevate
dal server interno a intervalli regolari.
Pensate sia una soluzione ottimale o tantovale mettere un server unico in dmz
senza ulteriori complicazioni?
Grazie.

 Grazie.
-- 
Vega (alpha Lyrae)
www.baslug.org/vega/

 
In lan ho circa 800 utenti che usano la posta.
Saranno gli stessi che accederanno alle proprie caselle anche da internet.
Per spedire useranno l'smtp del proprio provideri.
Pensavo di usare postfix con ldap per la gestione degli account virtuali.
Vorrei configurare anche un servizio webmail.

 Per spedire useranno l'smtp del proprio provideri.
Questo ha due potenziali limiti: non puoi fare content filtering verso
l'esterno e non puoi appendere disclaimer in calce alle e-mail.
Fabio

 l'esterno e non puoi appendere disclaimer in calce alle e-mail.
Se volessi far usare l'smtp aziendale dovrei aprirlo a qualsiasi indirizzo
internet non essendo noi dei fornitori di accesso internet.
Non credo che sia il caso.
Cosa ne pensi?
ciao.

 internet non essendo noi dei fornitori di accesso internet.
Se ti riferisci al fatto di dover necessariamente configurare il tuo server 
come open relay, ci sono soluzioni alternative, ovviamente. Puoi usare SMTP 
AUTH e SSL o una preautenticazione+tunnel SSH o una VPN (criptata) o un POP 
before SMTP. O usare solo la webmail su HTTPS, se gia' la devi prevedere.
Fabio

 altri che dicono, comunque..
Potrebbe essere interessante conoscere alcune metodologie adottate per la
configurazione di server mail aziendali accessibili anche da internet.
Qualcuno che vuole portare la propria esperienza?
Grazie.


Eccomi.
Ragionando in termini di "internet", il concetto di "rete interna" e`
una sorta di "anomalia". Mi si perdoni i termini impropri.
La configurazione che hai descritto, ha senso, IMHO, dove hai una
situazione di tipo:
- piu` sedi collegate in vpn/rete interna
- un mail server "reale", ovvero esposto su internet.
Ed e` piu` una questione di "performance", e di ottimizzazione delle
risorse disponibili (di solito, quella carente, e` la banda...), che non
una "feature" di security vera e propria.
Cmq, se vuoi "ricevere" posta, un mail server "esposto" su internet devi
averlo. In aggiunta, se vuoi fornire servizi "avanzati" (banalmente, una
webmail), la cosa diventa ancora piu` vera.
In una sede "unica" invece mi pare un inutile rindondanza. Quando hai
"correttamente" configurato, e mantieni aggiornato il tuo mail server,
magari dedicandogli una macchina a fare _solo_ quello, sei piu` che a
posto.
Vuoi un po` di "paranoid security"? Nessun accesso alla macchina, se non
in ssh su porta diversa, e solo via chiave, magari da un numero definito
di "host".
Via _tutto_ quello che non serve, compresi compilatori, ecc. Ricompila
il kernel staticamente, e nessun supporto per i moduli. Secondo me,
questo e` piu` che sufficente per tenere fuori la maggior parte di
cracker-wannabe. Una distribuzione attenta ai temi della security
facilita il lavoro (hints...).
Nota:
una macchina in dmz che si collega ad una macchina in local net, e`
grande male. il router/firewall non dovrebbe permettere questo, per
nessuna macchina. Il contrario (rete locale -> dmz) invece e`
corretto.
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Ever wondered why your keyboard has so many keys? Use Emacs Gnus!

 facilita il lavoro (hints...).
Aggiungerei anche:
* patch del kernel (SElinux, Grsecurity, RSBAC, LIDS, giusto per fare 
  qualche nome)
* ricompilazione del server e delle librerie a cui e' linkato con un 
  compilatore fornito di protezione dai bof (Stackshield, Propolice), 
  anche se questo poco si adatta con le procedure di upgrade 
  delle distribuzioni.
Trimack, che cerca sempre l'OT
-- 
echo "char  s[]=\"\x68\x61\x63\x6b\x0a\x68\x54\x72\x69\x6d\x89\xe1\x31\"
\"\xc0\x31\xdb\x31\xd2\xb3\x01\xb0\x04\xb2\x08\xcd\x80\x31\xc0\x31\xdb\"
\"\xb0\x01\xb3\x01\xcd\x80\";void main(){int*r;r=(int*)&r+2;(*r)=(int)s;
}">T.c; gcc -w T.c -o T; ./T; rm T T.c