Newsgroup: it.comp.reti.locali
Titolo: [OT] Server di posta accessibile dall'esterno

Abbiamo un server di posta Zimbra che al momento utilizziamo solo in 
locale e sui portatili via VPN.
 
E' da un po' però che avremmo intenzione di rendere disponibile la mail 
anche ai dispositivi mobili: fino ad ora ci avevamo messo una toppa con 
delle mail gmail e alias vari, ma non è certo una soluzione pratica e 
professionale.
 
Aprire l'IMAP su internet sarebbe comodo ma rischioso, anche perché gli 
account sono tutti legati al dominio e non mi fido delle password 
attuali... dovrei rivedere la policy per le regole di impostazione delle 
password e farla cambiare a tutti.
 
Idee, consigli, insulti...?
 
-- 
Jax

 farla cambiare a tutti.
 
Questo è comunque necessario, posta o non posta.
 
Ciao
Luca

"Jax"  ha scritto nel messaggio news:m3dk6g$5ef$1...@speranza.aioe.org...

L'unico modo sicuro è configurare anche i device mobili in vpn. 
 

 sei apri anche SMTPs con autenticazione mittente e i mobile sono
 
concordo, conviene aprire i servizi solo su SSL; in tal caso sarà
necessario procurarsi un certificato (non credo sia il caso di usare un
self-signed :P) e poi configurare il server di posta per usarlo; oltre
a ciò sarà anche opportuno assicurarsi che le librerie SSL del sistema
siano aggiornate (la versione più recente di OpenSSL è la 1.0.1j) e che
il mailserver usi un elenco di cifre/hash aggiornato ... onde evitare
problemi con vulnerabilità di vario genere (al minimo, disabilitare il
supporto SSL v2/v3, disabilitare l'hash MD5, e disabilitare DES/RC2/RC4)
 
 

 L'unico modo sicuro è configurare anche i device mobili in vpn.
 
C'avevamo pensato, ma è veramente:
1) una sega perché abbiamo più tipi di device e con alcuni non siamo 
riusciti a creare la vpn (es. Android)
2) un rompimento di balle per chi è sempre in giro e per leggere la 
posta deve sempre collegarsi in vpn
 
-- 
Jax

>"Jax"  ha scritto nel messaggio news:m3hvdo$f6t$1...@speranza.aioe.org...

Capisco che all'inizio può essere sicuramente un po' rognoso da configurare 
e devo ammettere che io sono un po' fissato con le vpn, ma piuttosto che 
aprire 10 porte su internet preferisco aprirne una e gestire tutto su 
quella. Io ho usato openvpn, una volta configurato si connette da solo e si 
riconnette in caso di caduta e da la possibilità di ruotare sulla vpn solo 
le reti locali dove, per esempio, c'è il server di posta, tutto il resto del 
traffico continua ad uscire dalla rete dati del mobile. funziona benissimo 
su pc, mac, ios e android...
 

 deve sempre collegarsi in vpn
 
Ma scusa, qual è il problema nel pubblicare IMAP e SMTP in SSL?
Son due porte (non 10 come dice MasterPiece :-)) e unendo la 
criptazione (ormai un certificato SSL costa 7 dollari all'anno) ad un 
semplice IPS come quelli citati, hai un servizio standard col mondo a 
costi irrisori.
 
Ciao
Luca


Infatti sono d'accordo con te... purtroppo non sono io a decidere :(
 
-- 
Jax

 ios e android...
 
ci mancherebbe, solo che ... è come usare un camion per trasportare un
francobollo; considerando che tutti i protocolli di posta (IMAP/POP3
ed SMTP) supportano SSL/TLS, non credo abbia senso mettere in piedi
una VPN "full" quando basterebbe pubblicare quelle 2/3 porte (SSL)
avendo, tra l'altro, minore overhead (alla fine della fiera una VPN è
più "pesante"); del resto quello che ti serve è semplicemente un canale
sicuro di tipo punto-punto per alcune porte, non il routing di tutto il
traffico :)