В данной статье мы рассмотрим настройку почтового сервера в части, касающейся политики SMTP MTA Strict Transport Security (MTA-STS). MTA-STS — стандарт, который был разработан для обеспечения использования TLS для подключений между почтовыми серверами. Крупные провайдеры почтовых служб, такие как Google, давно используют политику MTA-STS, описанную в стандарте RFC 8461. В нашей стране, среди первых оказалась служба Mail.ru, которая с 2020 года начала применять MTA-STS.
Мы рассмотрим лишь частный случай настройки собственного почтового сервера, касающийся только приема вхдящей почты. Известно, что не все OpenSource почтовые серверы поддерживают политику MTA-STS при передаче исходящей почты.
Допустим вы имеете доменное имя, например, yahoo.com и и ваш регистратор предоставляет вам возможность редактирования DNS-зоны на собственном DNS-сервере. Также вы имеете выделенный внешний IP-адрес, например, 74.6.143.25, который предоставлен вашим Internet-провайдером.
Reverse Lookup
Вы также решили, что ваш почтовый сервер будет иметь доменное имя mail.yahoo.com и первое, что вам необходимо сделать, это попросить вашего Internet-провайдера сделать обратную DNS-запись:
25.143.6.74.in-addr.arpa. 86400 IN PTR mail.yahoo.com.которая преобразует IP-адрес в имя сервера.
Postfix
Таким образом в настройках почтового сервера (здесь и далее, мы будем рассматривать postfix), в файле /etc/postfix/main.cf, необходимо указать имя сервера и имя домена, следующим образом:
myhostname = mail.yahoo.com mydomain = yahoo.comОтметим сразу, вам понадобятся SSL-сертификаты для субдоменов mail и mta-sts. Получить их проще всего с помощью утилиты certbot (Let’s Encrypt).
Важным здесь является то, что сервер исходящей почты должен иметь сертификаты, выпущенные для субдомена mail.yahoo.com. Поэтому, в файле /etc/postfix/main.cf, необходимо прописать именно следующие пути:
smtpd_tls_cert_file = /etc/letsencrypt/live/mail.yahoo.com/fullchain.pem smtpd_tls_key_file = /etc/letsencrypt/live/mail.yahoo.com/privkey.pem smtpd_tls_CAfile = /etc/letsencrypt/live/mail.yahoo.com/chain.pemесли речь идет о стандартном расположении сертификатов, полученных с помощью certbot.
Nginx
MTA-STS политика должна быть доступна по адресу:
https://mta-sts.yahoo.com/.well-known/mta-sts.txtЭто простой текстовый файл, где каждая запись располагается в отдельной строке. End-of-line символами могут быть, как символ ‘\n’, так и последовательность ‘\r\n’ (как было принято в MS Windows). Сам файл должен заканчиваться пустой строкой.
Проще всего, организовать публикацию MTA-STS политики с помощью Nginx:
# # MTA-STS server: # server { listen 80; listen [::]:80; server_name mta-sts.yahoo.com; return 301 https://mta-sts.yahoo.com$request_uri; } server { listen 443 ssl http2; listen [::]:443 ssl http2; server_name mta-sts.yahoo.com; error_log /var/log/nginx/mta-sts.yahoo.com-error.log; access_log /var/log/nginx/mta-sts.yahoo.com-access.log; ssl_certificate /etc/letsencrypt/live/mta-sts.yahoo.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/mta-sts.yahoo.com/privkey.pem; ssl_trusted_certificate /etc/letsencrypt/live/mta-sts.yahoo.com/chain.pem; location = /.well-known/mta-sts.txt { default_type text/plain; return 200 "version: STSv1\nmode: enforce\nmx: mail.yahoo.com\nmax_age: 604800\n"; } } Такая организация виртуального сервера не требует создания файла mta-sts.txt в файловой системе машины, на которой работает Nginx.
SSL-сертификаты для субдомена mta-sts.yahoo.com, также необходимо получить с помошью certbot.
DNS Records
Теперь, для того чтобы на ваш почтовый сервер доставлялись сообщения от таких почтовых служб как gmai.com и mail.ru, необходимо выполнить самое важное, а именно сделать записи в вашей DNS-зоне.
С указанием IP-адресов виртуалных серверов все достаточно просто:
mail A 74.6.143.25 mta-sts A 74.6.143.25Далее необходимо сделать следующие записи:
_mta-sts TXT v=STSv1; id=20241109025300Z; _smtp._tls TXT v=TLSRPTv1; rua=mailto:support@yahoo.comОб этом достаточно много информации в Internet. Единственно, на что следует обратить снимание, это id в записи _mta-sts. Если вы меняете политику, то есть содержимое файла:
https://mta-sts.yahoo.com/.well-known/mta-sts.txtследует также обновить id, например, назначив новую дату id=20241109035700Z.
Дополнительно можно задать:
imap CNAME yahoo.com. pop CNAME yahoo.com. smtp CNAME yahoo.com.И вот теперь, самое важное. Ключевым моментом является MX-запись:
@ MX 0 mail.yahoo.com.или в стиле bind сервера:
yahoo.com. IN MX 0 mail.yahoo.com.MX-запись позволяет получить имя сервера получателя по доменному имени почты и здесь важна обратная DNS-запись, о создании которой вы просили вашего Internet-провайдера.
Иными словами MX-запись должа отсылать к имени вашего почтового сервера mail.yahoo.com и, кроме того, PTR-запись должна, по IP-адресу вашего домена, возвращать тоже самое имя, то есть mail.yahoo.com.
Выгрузив вашу DNS-зону на всеобщее обозрение, вам будет необходимо подождать один или несколько дней поскольку TTL у всех разные, а в зоне .ru (как говорят специалисты mail.ru) NS записи отдаются с TTL равным TTL=345600 (четверо суток). На практике, если вы все сделали правильно, время ожидания не превысит и получаса, так как DNS-серверы регистраторов довольно быстро выгружают зоны.
Test Receiver
Проверить результаты своей работы можно по адресу:
https://www.checktls.com/TestReceiverЗдесь необходимо ввести доменное имя yahoo.com и включить проверку MTA-STS.
Запустив тест, путем нажатия на кнопку Run Test, надо будет немного подождать получения результатов тестирования:
seconds lookup result [000.000] DNS LOOKUPS [000.001] SEARCHLIST 168.63.129.16,1.1.1.1,8.8.8.8 [000.747] MTASTS policy-->url https://mta-sts.yahoo.com/.well-known/mta-sts.txt [000.747] MTASTS policy-->status 200 OK [000.748] MTASTS policy-->version STSv1 [000.748] MTASTS policy-->mode enforce [000.748] MTASTS policy-->max_age 604800 [000.748] MTASTS policy-->mx mail.yahoo.com [000.875] _mta-sts.yahoo.com v=STSv1 [000.876] _mta-sts.yahoo.com id=20241108125700Z [001.123] _smtp._tls.yahoo.com v=TLSRPTv1 [001.124] _smtp._tls.yahoo.com rua=mailto:support@yahoo.com [001.696] MX-->yahoo.com (0) mail.yahoo.com {MTASTS OK} [001.943] MX:A-->mail.yahoo.com 74.6.143.25 . . . Важно обратить внимание на строки:
. . . Cert VALIDATED: ok Cert Hostname VERIFIED (mail.yahoo.com = mail.yahoo.com | DNS:mail.yahoo.com) Not Valid Before: Oct 20 04:08:11 2024 GMT Not Valid After: Jan 18 04:08:10 2025 GMT . . .Когда мы говорили о SSL-сертификате сервера исходящей почты (smtpd), мы имели ввиду важность того, что сертификаты должны быть выпущены именно для сервера mail.yahoo.com.
Mandatory TLS
Электронная почта в Интернете, как и сам Интернет, спроектирована так, чтобы быть надежной и позволяющей обойти проблемы. В случае с электронной почтой это означает отправку электронного письма в виде обычного текста, если с шифрованием что-то пойдет не так. Сегодня, к сожалению, это может противоречить политике, контрактным обязательствам и быть незаконным.
Системы электронной почты поддерживают «Обязательный» («Принудительный» или «Требуемый») TLS (англ. transport layer security — Протокол защиты транспортного уровня). Такие системы позволяют вам вести список доменов, которые ДОЛЖНЫ использовать шифрование. Если что-то пойдет не так с шифрованием, сообщение электронной почты либо будет ждать и повторит попытку позже, либо вернется обратно отправителю.
Протестировать собственный сервер в режиме Mandatory TLS также можно на ресурсе:
https://www.checktls.com/Для этого необходимо выбрать пункт меню «//email/testMandatoryTo:» или набрать в строке поиска браузера:
https://www.checktls.com/TestReceiver?ASSURETLSЗатем выполнить тестирование как обычно, выбрав необходимые тесты.
Источники:
Enjoy.
ссылка на оригинал статьи https://habr.com/ru/articles/857556/
Добавить комментарий