4月 « 2007 « 管理人のヒトリゴト -もみんぎゅぅ-

Archive for 4月, 2007

4月

Postfixのスパムメール対策Ver3

by cmf@ohtan管理人

————————————

※(2007/7/18追記)
本スパムメール対策は基本的に海外ホストからの非スパムメールを受取ることがほとんど無く、
国内ホストからのスパムメールが少ない環境の方ならば幸せになれるかもしれません、
それ以外の環境で使用すると思わぬ弊害(reject_unknown_clientによるREJECT等)や逆効果といった自体を
招く可能性がありますので、導入される場合はPostfixのスパムメール対策の説明を一通り目を通して頂き、貴殿の運用ポリシーに合っているか等十分検討して下さい。

本記事の詳細についてはPostfixのスパムメール対策をご覧下さい。

————————————

CIDRを算出するスクリプトを作ってみた。で作成したcidr_tableをPostfixに導入してみました。

現在のpostfixのスパムメール対策でも十分スパムを排除できてきるのですが、maillogを見ていてウチに来るスパムメールはほとんどが海外から来ていて国内からはほとんど来ていないということに気が付いたのです。

続きを読む… »

日本語のスパムメールもほとんどが中国、韓国だったりします。恐らく国内から来るスパムメールは全体の1%に満たないと思います。

そこでsmtpd_client_restrictions部分にcidr_tableを追加して、国内のIPだった場合は以降のsmtpd_client_restrictionsの評価はパスして、海外のIPだった場合のみ以降のsmtpd_client_restrictionsの評価を継続するという手法を取り入れてみることにしました。

現在のmain.cfの主な設定は以下のとおりです。

#strict_rfc821_envelopes = yes
disable_vrfy_command = yes

smtpd_client_restrictions =
  permit_mynetworks
  check_client_access btree:/etc/mail/dracd
  check_client_access cidr:/etc/postfix/client_cidr
  reject_unknown_client
  check_client_access regexp:/etc/postfix/client_restrictions
  reject_unlisted_recipient
  reject_unauth_destination

smtpd_helo_required = yes

smtpd_sender_restrictions =
  permit_mynetworks
  check_sender_access regexp:/etc/postfix/sender_restrictions
  reject_unknown_sender_domain
  reject_non_fqdn_sender
  reject_unverified_sender

#smtpd_helo_restrictions =
#  permit_mynetworks
#  reject_invalid_hostname
#  reject_non_fqdn_hostname
#  reject_unknown_hostname

smtpd_recipient_restrictions =
  permit_mynetworks
  check_client_access btree:/etc/mail/dracd
  reject_unauth_destination

check_client_access cidr:/etc/postfix/client_cidr部分がcidr_tableによるフィルタリングです。

予めclient_cidrを/etc/postfixに移動してpostmap /etc/postfix/client_cidrを実行しておきます。

またRFCで必須としていない逆引き設定ですが、今回海外のIPに限定できるので、reject_unknown_clientも追加しました。

それと非スパムなメールにエンベロープ内のフォーマット間違いが意外と多いので、strict_rfc821_envelopesとsmtpd_helo_restrictionsはコメントしました。

smtpd_client_restrictions部分について流れを説明すると、

permit_mynetworks#自ホストからの接続はOK
check_client_access btree:/etc/mail/dracd#pop before smtpで認証済みホストからの接続はOK
check_client_access cidr:/etc/postfix/client_cidr#国内からの接続はOK
———ここまででOKなら以下は評価しない——–
以下省略

という条件になります。

smtpd_sender_restrictions、smtpd_recipient_restrictions等は別途評価されます。

今回のフィルタリングの特徴は国内からの接続には優しく海外からの接続には厳しくってところでしょうか、言い換えるなら国内からのスパムが多いサーバーでは返って逆効果だということです。

また私が作成した国内のIPを集めたclient_cidrですが、正直すべての国内のIPを網羅しているのかわかりませんし海外のIPが混ざっているかもしれません、ただclient_cidrはマッチしたIPをOKとしているだけなので、仮に国内のIPが欠如していてもcheck_client_access cidr:/etc/postfix/client_cidr以下の評価対象となるだけですので、差ほどリスキーな状況になることはありません。（海外のIPならその逆になるだけ）

それとこれを導入するにあたり本格的に統計をとってみようと思い、WEB上から確認できるツールを作成しました。

↑はmaillogとprocmailのログを日毎に集計しているものです。1時間おきに更新しています。

上段がpostfixでのフィルタリングを通過したメールをprocmailのログから非スパムなメール数、スパム判定（bsfilterとDNSBL、URLBL）されたメール数を表示しています。
中段がpostfixでREJECTされたメールの一覧を表示しています。
下段がREJECTの内容毎の集計を表示しています。

ちなみに今日21：00現在の統計を見てみると、
現在までにREJECTした総数は833
逆引きできないIPによるREJECTが225
S25R（改）によるREJECTが188
宛先不明によるREJECTが185
FROMのアドレスの不正によるREJECTが142
FROMのドメインが不正によるREJECTが51
FROMのアドレスが存在しないことによるREJECTが21
その他のREJECTが21（設定変更後に私自身がオープンリレーテストを行った結果）

配送されたメールの総数が15
非スパム判定が7
bsfilter、DNSBL、URLBLによるスパム判定が8

いずれも誤判定は0

配送された8通のスパムはすべてが国内から送られたものです。
最初にほとんど国内からのスパムは来ないと書きましたが、唯一仕事で使用しているwebmasterメール（いわゆる同胞メール）宛てに送られてきたスパムが転送されてきたものなのです。（ヘッダーを見るとこれらも元は海外から発送されています。）

総数833から宛先不明185、その他21を差し引いて、配送されたスパム8を足した数が635、これを単純に計算するとPostfixのみのREJECT率は約98.5%、リトライによる再送もあるので実数はもう少し低いかもしれませんが実用レベルに十分達している感じです。

これで1ヶ月間の統計をとったら、postfixのスパムメール対策を更新しようと思います。
（↑の統計ツールもいっしょにアップする予定です。）

1ヵ月後が楽しみです：）

« 閉じる

4月

CIDRを算出するスクリプトを作ってみた。

by cmf@ohtan管理人

IPアドレスとネットマスクからCIDRを算出するスクリプトを作ってみました。
いったい何のために？？？というのも、まだ試してはいないのですが、Postfixのsmtpd_client_restrictions部分にcidr_tableを導入してみようかと思ったのです。

続きを読む… »

4月

XPのデスクトップテーマを変えてみる。

by cmf@ohtan管理人

私は普段Win2000を使っているわけですが、昨年秋に自宅サーバーを新しく入れ替えたので、4年間365日がんばってくれた旧サーバー機をオーバーホールして使うことのなかったXPを入れてみました。

XPを入れて終わりというのもイマイチつまらないので、デスクトップテーマをカッコイイヤツに変えてみることに。

続きを読む… »

4月

最近傍識別？？？スパムメール対策？？？

by cmf@ohtan管理人

最近傍識別を用いたスパムメール対策がかなり精度が高いらしいです。

そもそも最近傍識別は何て読むのか∩(・∀・)∩

続きを読む… »

4月

びびりバイオハザード

by cmf@ohtan管理人

私は初代PS以降ゲーム機を買っていないのですが、この動画を見て久々に爆笑しましたｗ

続きを読む… »

4月

ルーターを換えたのです。

by cmf@ohtan管理人

1ヶ月以上前の話ですが、自宅サーバーにしてからずっと使ってたルーター（BA8000PRO）が最近になって、ほぼ毎週ハングアップするようになってしまったのです。

続きを読む… »

この際だからLINUXでルーター専用機でも構築しようかと思ったのですが、狭い部屋なのでさすがにスペース的に無理があるので、ちょっと高いけど評判のよかったYAMAHAのRT58iを買ってみました。

ってことで自宅サーバー向け（静的IPマスカレード）の設定方法をここで紹介します。

[トップ] ＞ [詳細設定と情報] ＞ [基本接続の詳細な設定] ＞ [プロバイダの修正(PP[01])]
の「静的IPマスカレード関連(フィルタの自動定義：80番〜89番)」を追加していきます。

1.www(tcp80番)
2.ftp(tcp21番),ftpdata(tcp20番)
3.pop3(tcp110番),smtp(tcp25番)
4.domain(tcp53番)
5.domain(udp53番)
6/7.passive port(10020-10023)
8.https(tcp443番)からssh(tcp22番)へフォワード

「使用ホストIPアドレス」はサーバーのローカルIPです。

※↑では小分けにしてますが範囲指定（10020-10023のように）も可能です。
※6/7はFTPでPASV接続した場合に使用するポートです。
※8は会社からssh接続する場合に、会社側でsshポートが閉じられているためにhttpsポートを使用してルーターで22番ポートへフォワードしています。

基本的には1~7の設定をすれば終わりなのですが8のようなポートフォワードを行った場合は
[トップ] ＞ [詳細設定と情報] ＞ [ファイアウォールの設定] ＞ [IPv4 ファイアウォールの設定[PP01]
の「IPv4 静的IPフィルタの一覧」で22番ポートに穴を開けないといけません。

※80番〜86番は「静的IPマスカレード関連(フィルタの自動定義：80番〜89番)」の設定で自動的に追加されます。
※4番が22番ポートを開放した設定です。

自宅サーバー向けの設定は以上です。

あと個人的には1週間に1度ルーターを再起動するように設定しています。

schedule at 1 */Mon 06:30 * restart

毎週月曜日の朝6時半に再起動する設定です。

« 閉じる

4月

Opteron154に。

by cmf@ohtan管理人

ウチで使っているPCのM/BはSocket939のA8N-SLI Premiumなのですが、すでに世間ではSocket AM2に移行してる為、年内にはSocket 939なCPUは無くなってしまうのではなかろうか？と思ったので、思い切ってシングルコア最速のOpteron154を買ってみました。

続きを読む… »

4月

イカした画像のポップアップPLUGIN

by cmf@ohtan管理人

このブログの本文中に埋め込んだ画像をイカしたポップアップで表示したかったのでsLightboxというのを入れてみました。

こんな感じに表示されます。
http://cmf.ohtanz.com/blog/archives/36

続きを読む… »

4月

IlohaMailその後

by cmf@ohtan管理人

先日設置したIlohaMailですが、バグが多くて使用を断念しました・・・○刀乙

不具合を見つけては修正を繰り返していたんですが、ソースを追いかけるのに疲れました(´・ω・｀)

続きを読む… »

4月

IlohaMailを使ってみた。

by cmf@ohtan管理人

会社から自宅サーバーのメールを読むのにメーラーから受信できればよいのですが、会社側で110番ポートが閉じられているためメーラーで受信することができません、そこで自宅サーバーにPOP3プロトコルに対応したWEBメーラーを探して設置してみることに。

続きを読む… »

ザーっと調べてみて以下をそれぞれチェックしてみました。

■RoundCube
・インタフェースはカッコイイ！
・PHP
・今流行りのAjax！
・日本語対応
・まだまだ開発途上のもよう
・IMAPのみ

■SquirrelMail
・インタフェースはカッコイイ！
・PHP
・プラグインが充実？
・日本語対応
・POP3も使えるが、IMAPが必須

■OpenWebmail
・インタフェースはまあまあ
・Perl
・日本語対応？？？
・POP3対応？？？
・Perlモジュールたくさん必要そう

■OverLook Webmail
・SquirrelMailのインタフェースを変えただけ？

■Personal WebMail
・インタフェースはカッコイイ！
・PHP
・日本語非対応の可能性大
・POP3に対応
・実際設置してみたけど動かなかった

■IMP
・インタフェースはカッコイイ！
・PHP
・日本語対応版は存在するが開発とまってるっぽい
・POP3対応
・過去に仕事で設置したことがあったけどかなり設置が面倒くさかった

■SocketMail
・インタフェースはカッコイイ！
・PHP？？？？
・日本語非対応の可能性大
・POP3対応
・フリーじゃないかも？

■Null Webmail
・インターフェースはイマイチ
・C言語
・日本語非対応の可能性大
・POP3対応

■IlohaMail
・インタフェースはなかなか！
・PHP
・日本語対応
・POP3対応
・開発途上な感じ

ということで総合的に1番よさげなIlohaMailに決定！！さっそくIlohaMail-0.9-20050415をダウンロードしてみました：）

どうでもいいことですが、国産のツールじゃないのになんで「いろはメール」なんだ？？？って不思議に思っていたら作者様は日系の方だそうです。：）

実際に設置してみた感想ですが、一部表記がおかしかったり日本語の添付ファイルの扱いがおかしかったりとやはり開発途上なだけにまだまだ不具合は多いです。

まあそれでも自分で修正してなんとか使えるようにしましたどネ：）

IlohaMailを設置してみて気が付いた不具合は
1.受信メールの日本語な添付ファイルをダウンロードする際にファイル名が文字化けする
2.日本語な添付ファイル付きの受信メールを転送しようとすると日本語な添付ファイル名がBase64デコードされずにそのまま表示される
3.カレンダーが文字化け（文字コードをEUCにしているのにUTF8になってしまう）
4.アドレス帳の表題の脇が[][]となっている（本来はエクスポート、インポート）
5.「添付」が「てん付」になってる
6.設定のWhitelistでPHPのNoticeが出てる

1はsource/view.phpの
$name = str_replace(“/”,”.”,iml_GetPartName($structure, $part));
の下に
$name = shell_exec(“echo -n ‘$name’ | nkf -me”);
を追加しました。（PHPのbase64_decodeではダメだった）

2はinclude/mod_base64.incの
return base64_decode(str_replace(“_”, “/”, $str));
を
return shell_exec(“echo -n ‘”.base64_decode(str_replace(“_”, “/”, $str)).”‘ | nkf -me”);
に修正しました。

3はsource/calender.phpの
$override_cs = ‘UTF8′;
を
$override_cs = ”;
に修正しました。

カレンダー以外にも
source/bookmarks.php
source/edit_calender.php
source/edit_folders.php
source/news.php
の$override_cs部分を同じように修正しました。

4はlang/jp/contacts.incに
$cStrings["export"] = “エクスポート”;
$cStrings["import"] = “インポート”;
を追加しました。

5はsource/jp/read_message.incの
$rmStrings[6] = “てん付”;
を
$rmStrings[6] = “添付”;
に修正しました。

6についてはまだ調べてないので放置中！！

スクリーンショット