Newsgroup: it.comp.reti.locali
Titolo: relay host nella lan aziendale

Spero di non essere off topic ... d'altra parte, essendo abbastanza generica 
la mia domanda non saprei quale gruppo scegliere.
Situazione attuale:
- Lan aziendale con una quarantina di client tutti windows
- collegamento ad internet in fibra attraverso un router con ip fisso (per 
il momento utilizziamo solo questo  ip ma ne abbiamo a disposizione altri)
- firewall Zywall 50 che protegge la LAN e funge da nat
- Server win2003 con AD che gestisce dominio (su tale macchina "gira" 
Exchange 2003 per la posta aziendale)
- Server win2000 con AD come DC aggiuntivo (su tale macchina è attivo un 
server PPTP per la vpn)
- Sito web (in hosting) e posta internet (35 mailboxes) gestite da un 
provider diverso dal fornitore della connessione in fibra ottica.
L'idea era quella di gestire la posta internet al nostro interno utilizzando 
un altro mail server da rendere pubblico. All'uopo pensavamo ad un vecchio 
server con installato una Debian woody. Per quanto riguarda il mail server 
aspetto qualche suggerimento da parte vostra tenendo in considerazione che 
vorremmo mantenere l'attuale gestione della posta interna affidata 
completamente ad Exchange. In sostanza il server linux dovrebbe diventare il 
mail/pop server dei vari outlook presenti in azienda. Se avete qualche link 
da indicarmi o consiglio (soprattutto circa la messa in opera di situazioni 
simili alla mia) da darmi ve ne sarei molto grato
Saluti a tutti

 simili alla mia) da darmi ve ne sarei molto grato
Qualche domanda:
- di exchange usate solo la posta o anche le feature di groupware?
- devi rendere la posta accessibile e usufruibile anche da fuori rete 
locale?
- il motivo dello spostamento del servizio è legato solo a questioni di 
sicurezza (non ti fidi a lasciare il server pubblicamente visibile) o 
anche di prestazioni (togli il servizio perchè la macchina inizia a 
faticare)?
-- 
cat: .signature: No such file or directory

 provider diverso dal fornitore della connessione in fibra ottica.
Se non ho capito male, l'installazione di un'altro mailserver
è solo per "eliminare" il mailserver esterno in "hosting" presso
un provider, in pratica exchange continuerebbe a fungere da
mailserver "aziendale" per la sola mail "interna" mentre il nuovo
mailserver dovrebbe prendere in carico le 35 mailbox che ora
sono ospitate dal server esterno e gestire il traffico e.mail da e
verso internet; in questo caso direi che una macchinetta con
sopra una woody dovrebbe andare più che bene, a questo
punto più che links "particolari" direi che potresti "studiare" i
manuali di qmail/postfix e spamassassin (che non farà male)
Ciao

 faticare)?
La prima che hai detto....e l'intenzione non è di togliere alcun servizio. 
In pratica non "dovrebbe" cambiare nulla.
Saluti 

 manuali di qmail/postfix e spamassassin (che non farà male)
Va bene. Da quanto dici mi sembra di capire che per te qmail o postfix sono 
equivalenti.
Non è necessario anche un server pop?
saluti

 In pratica non "dovrebbe" cambiare nulla.
Allora.
Potrebbe interessarti la possibilità, come suggerito dal buon Obiwan, di 
usare un relayhost che sia visibile all'esterno in luogo dell'exchange, 
e che gli rigiri la posta. In tal modo Exchange mantiene sia le 
funzionalità che le configurazioni. Realizzare "un exchange su linux" è 
fattibile ma tutt'altro che banale.
Se vuoi farlo con postfix riferisciti al suo sito cercando i termini che 
non capisci (eventualmente poi ripassa, magari su it.comp.os.linux.sys o 
altro NG dedicato a unix più in topic), io ti dico soltanto come deve 
essere e a cosa porre attenzione.
1) il relayer mettilo in una DMZ, che è il suo posto. In tal modo chi 
dovesse entrarci ottiene solo il privilegio di leggere la posta e 
contattare l'exchange della rete interna.
2) configura postfix per avere in transport_maps (man 5 transport) una 
cosa tipo:
tuodominio.ltd        smtp:[1.2.3.4]
dove ovviamente in [] ci sta l'ip della exchange. Se ci stan più domini 
metti una riga per dominio
3) devi avere transport_maps in relay_domains.
4) mynetworks deve contenere l'ip da cui il relayer vede arrivare la 
macchina exchange
5) imposta il relayer come relay_host di exchange (in modo che passi di 
lì anche la posta in uscita).
Aggiungo inoltre che (non necessari al funzionamento del tutto ma son 
cose che aiutano):
- così il relayer accetta tutto il dominio senza sapere se poi l'utente 
esiste o no, causando bounce da backscatter.
http://www.postfix.org/ADDRESS_VERIFICATION_README.html#recipient
 ti 
fornisce una soluzione, ma è da usare con cautela, solo per il tuo 
dominio e richiede postfix > 2.1 (woody no, ma lo puoi pigliare da 
backports)
- potrebbe essere un buon posto in cui cacciare un amavisd-new+clamd 
(sempre backports)
- chiudi, se possibile, la 25 in uscita a tutti tranne il relayer (sul 
firewall, intendo), per evitare listing per infezione dei PC della rete 
interna.
 >>- devi rendere la posta accessibile e usufruibile anche da fuori rete
 >>locale?
 >
 > Sì... solo per quei pochi utenti esterni (4/5) che non hanno una 
mailbox in
 > Exchange
Questo punto potrebbe essere invece più fastidioso da risolvere. Poichè 
la posta di costoro sta su exchange e non su 'sta macchina qui, devi 
"toccare" qualcosa per girarci attorno.
Si va dall'uso di virtual_maps per dirigere questi utenti su altro 
dominio gestito localmente (ovvero il nome della macchina, per dire) con 
annesso servizio pop3 pubblicato, all'uso di pop/imap proxy per fornire 
accesso esterno al server exchange, per arrivare all'uso di un servizio 
webmail che faccia da frontend alle mailbox su exchange.
Dipende da quale vedi come più indicato e da quanto te la cavi.


 interna.
Questa la darei come "obbligatoria", visto il numero di worms/bestiacce
che hanno la cattiva abitudine di inviare mail a mezzo mondo.. anzi, direi
che oltre a questo, il server SMTP "visibile" dalla LAN dovrebbe utilizzare
l'autenticazione in modo da evitare l'invio di e-mail da un qualsiasi
programma
(o verme) attivo sulla LAN
Ciao

 post originale... l'idea č quella di spostare un 35 accounts "esterni"
[...]
Boh.. io l'avevo intesa in quella maniera lě, ma magari ho capito male..
L'ultima parola all'amico Ced <g>


 Dipende da quale vedi come più indicato e da quanto te la cavi.
saluti e mille grazie per il prezioso aiuto

 sulla LAN.
Oki, quindi avevo capito una mazza :-) In tal caso vale il discorso virtual:
avrai i domini "esterni" come mydestination, mentre gli altri in 
relaydomains (e transport_maps).
Usi virual per mapparli sugli utenti di sistema (o utenti virtuali se 
preferisci quella strada) e installi un server pop/imap di tua scelta.
No more...
Mandi ;-)


 preferisci quella strada) e installi un server pop/imap di tua scelta.
Non solo, come giustamente accennavi, potrebbe essere utile
usare il mailserver su "woody" (ed in DMZ) anche come relay
per il server exchange, oltre che come vero e proprio mailserver
per quelle 35 caselle di e-mail di cui si parlava, in questo modo
si potrebbe utilizzare (es.) spamassassin per filtrare tutta la mail
in ingresso da internet (anche quella verso exchange) cosa che
imho non guasterebbe
Per quanto riguarda il discorso "bloccare la 25"; come avevo già
scritto nell'altro post e come giustamente hai scritto anche tu, l'idea
di base è che, a parte il (o i) mailserver nessuna delle macchine
sulla LAN abbia la possibilitià di accedere a servers SMTP posti
su internet, in pratica i client LAN potranno solo utilizzare Exchange
(o al limite postfix o quello che utilizzerai) come server SMTP ma
NON potranno assolutamente utilizzare qualsivoglia server esterno
(regola deny per traffico dalla LAN verso la porta 25) in questo modo
si eviterà la diffusione di spam/bestiacce da eventuali macchineLAN
che potessero infettarsi e/o essere compromesse; come ulteriore
misura di sicurezza consiglierei la scansione  AV anche delle e-mail
in uscita (dai clients LAN) in questo modo un'eventuale client infetto
non riuscirà ad inviare mail "infette" a mezzo mondo
Ciao

 No more...
Grazie di nuovo e risaluti