Configuration du relayage de courrier électronique à l INT.

Transcription

1 Configuration du relayage de courrier électronique à l INT. Éric Doutreleau v0.04, 20/01/2004 Table des matières 1 Problématique. Aujourd hui l un des gros problèmes du courrier éléctronique sur Internet est la Spam ou courrier élctronique non sollicité. Une des priorités des spammeurs est de trouver des complices qui vont les aider malgré eux à envoyer leur courrier. Ils utilisent en effet des relais SMTP sur des sites sur internet qui vont leur permettre d inonder en toute impunité internet avec leur spam. Il convient donc sur les serveurs SMTP de ne pas permettre le relayage de courrier. On se trouve alors dans le cas suivant ( voir 1) Internet FIG. 1 Relai SMTP interdit Intranet Portable itinérant Serveur SMTP INT Serveur SMTP distant Connexion SMTP qui échoue Portable itinérant Connexion SMTP qui réussit 1

2 2 Solutions TABLE DES MATIÈRES Un PC portable pourra envoyer du courrier électronique vers Internet quand il sera à l intérieur de l INT mais pas quand il sera à l extérieur car alors il se trouvera dans une position de relayage abusif. Une solution possible est de définir alors sur le même poste deux configurations : Une configuration interne à utiliser lorsque l on se trouve à l INT. Une ( ou plusieurs ) configurations lorsque l on se promène. Cela devient vite ingérable 2 Solutions Pour résoudre ce problème il faut d une manière où d une autre autoriser le relayage de mail afin de permettre aux utilisateurs d un protable itinérant d utiliser toujours le même serveur de mail. Nous allons considérer ici les diverses solutions : 2.1 Ouverture totale du relayage Cette solution a le mérite de la simplicité. En effet aucune manipulation n est nécéssaire sur les clients et les manipulations sur le serveur SMTP sont triviales. Néanmoins elle n est pas envisageable car on va se retrouver la cible des spammeurs. 2.2 Ouverture de type Before SMTP authentification Ici on va autoriser le relayage des adresses IP qui auront fait précedement une connexion authentifiée sur le serveur pop ou le serveur Imap. Cette autorisation va être valable un certain temps configurable. Cette méthode entraine néanmoins les desagrement suivants : Il faut en général patcher le serveur IMAP pour qu ils préviennent le serveur SMTP d ouvrir le relayage. Ce n est donc pas une méthode tres saine. Durant le laps de temps où l envoi est autorisé n importe qui provenant de la même machine peut utiliser induement notre serveur SMTP. 2.3 Authentification SMTP Dans cette méthode on utilise une fonction native du serveur SMTP qui va autoriser le relayage si le client s authentifie auprès du serveur. On va utiliser une authentification basée sur le serveur LDAP On va forcer une connexion SSL afin d éviter que l on puisse intercepter le login et le mot de passe sur le réseau. On obtient donc le schéma de fonctionnement suivant : (voir??) Le portable itinérant est dans tous les cas autorisée à utiliser le serveur SMTP à la condition expresse qu il s authentifie lors de la connexion SMTP.

3 3 Implémentation sur le serveur. TABLE DES MATIÈRES Internet FIG. 2 Connexion SMTP autorisée Intranet Portable itinérant Serveur SMTP INT Serveur LDAP Serveur SMTP distant Connexion SMTP qui réussit Portable itinérant Connexion LDAP 3 Implémentation sur le serveur. 3.1 postfix On va installer sur le serveur smyrne une version de postfix 1.12 avec l activation des fonctionnalités suivantes : LDAP SASL2 TLS Voici la configuration de postfix adéquate smtpd_sasl_auth_enable = yes smtpd_sasl_security_options = noanonymous smtpd_sasl_local_domain = broken_sasl_auth_clients = yes smtpd_recipient_restrictions=permit_sasl_authenticated,\ permit_mynetworks,check _relay_domains ## TLS #smtpd_use_tls = yes smtpd_tls_auth_only = yes smtpd_tls_key_file = /etc/postfix/newreq.pem smtpd_tls_cert_file = /etc/postfix/newcert.pem smtpd_tls_cafile = /etc/postfix/cacert.pem smtpd_tls_loglevel = 2 smtpd_tls_received_header = yes smtpd_tls_session_cache_timeout = 3600s tls_random_source = dev :/dev/urandom Il est également à remarquer que l on va utiliser postfix en se restreignant à une adresse spécifique.

4 3.2 Configuration de la partie authentification TABLE DES MATIÈRES 3.2 Configuration de la partie authentification saslauthd Le mécanisme d authentification pour postfix est délégué au démon saslauthd. Celui ci est lancé dans le fichier /etc/init.d/saslauthd avec le mécanisme PAM Configuration de pam On trouve dans le répertoire /etc/pam.d la configuration spécifique au demon smtpd dans le fichier smtpd. En voici le contenu auth sufficient /lib/security/pam_ldap.so \ config=/etc/imapldap.conf auth required /lib/security/pam_unix_auth.so \ try_first_pass account sufficient /lib/security/pam_ldap.so \ config=/etc/imapldap.conf account required /lib/security/pam_unix_acct.so session sufficient /lib/security/pam_ldap.so\ config=/etc/imapldap.conf session required /lib/security/pam_unix_acct.so On voit donc qu on va utiliser LDAP avec une configuration spécifique contenu dans le fichier /etc/imapldap.conf Configuration LDAP Voici la configuration LDAP host pompei.int-evry.fr base dc=int-evry,dc=fr ldap_version 3 binddn cn=********,ou=system,dc=int-evry,dc=fr bindpw ******** scope sub pam_login_attribute uid pam_lookup_policy no pam_password md5 ssl no Le serveur hébergeant smtp-ext se trouvant dans la DMZ il faut utiliser pompei comme serveur LDAP 3.3 Configuration TLS. Afin d éviter que quelqu un puisse écouter le réseau on force l établissement du connexion TLS entre le client et le serveur SMTP. Si celle ci n est pas possible le client ne peut pas se connecter Configuration sur le serveur Pour pouvoir utiliser SMTP en mode serveur avec TLS nous avons besoin des choses suivantes : Une clée privée pour le serveur Une cle publique pour le serveur signée par une autorité de certification Le certificat de l autorité de certification.

5 3.3 Configuration TLS. TABLE DES MATIÈRES Pour des raisons pratiques nous allons être notre propre autorité de certification. Nous allons voir plus loin ce que cela implique. Toutes les opérations ultérieures se passent dans le répertoire /usr/share/ssl/misc Création du certificat du CA Il faut lancer script CA./CA -newca CA certificate filename (or enter to create) Making CA certificate... Using configuration from /usr/share/ssl/openssl.cnf Generating a 1024 bit RSA private key writing new private key to./democa/private/./cakey.pem Enter PEM pass phrase : Verifying password - Enter PEM pass phrase : You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter., the field will be left blank Country Name (2 letter code) [GB] :FR State or Province Name (full name) [Berkshire] :Essonne Locality Name (eg, city) [Newbury] :Evry Organization Name (eg, company) [My Company Ltd] :INT Organizational Unit Name (eg, section) [] :MCI Common Name (eg, your name or your server s hostname) [] :smtp-ext.int-evry.fr Address [] :admin@int-evry.fr Nous avons donc creer le certificat de notre autorité de certification Création des clés publiques et privées Si l on veut que postfix démarre automatiquement il ne faut pas protéger par un mot de passe la clé privée utilisée par postfix. Il faut donc appliquer le patch suivant au script CA. -- CA Thu Aug 1 20 :23 : CA_nodes Fri Jan :39 :24 -49,13 ; ; -newcert) # create a certificate - $REQ -new -x509 -keyout newreq.pem -out newreq.pem $DAYS + $REQ -new -nodes -x509 -keyout newreq.pem -out newreq.pem $DAYS RET=$? echo "Certificate (and private key) is in newreq.pem" ; ; -newreq) # create a certificate request - $REQ -new -keyout newreq.pem -out newreq.pem $DAYS + $REQ -new -nodes -keyout newreq.pem -out newreq.pem $DAYS RET=$? echo "Request (and private key) is in newreq.pem" ; ; Une fois le patch appliquée on lance la commande CA -newreq

6 3.3 Configuration TLS. TABLE DES MATIÈRES./CA_nodes -newreq Using configuration from /usr/share/ssl/openssl.cnf Generating a 1024 bit RSA private key writing new private key to newreq.pem You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter., the field will be left blank Country Name (2 letter code) [GB] :FR State or Province Name (full name) [Berkshire] :Essonne Locality Name (eg, city) [Newbury] :Evry Organization Name (eg, company) [My Company Ltd] :INT Organizational Unit Name (eg, section) [] :MCI Common Name (eg, your name or your server s hostname) [] :smtp-ext.int-evry.fr Address [] :admin@int-evry.fr Please enter the following extra attributes to be sent with your certificate request A challenge password [] : An optional company name [] : Request (and private key) is in newreq.pem [root@smyrne /usr/share/ssl/misc] Signature du certificat On va donc maintenant devoir signer la clé publique de notre serveur postfix avec le certificat de notre autorité de certification. Cela se fait en lançant la commande suivante./ca -sign./ca_nodes -sign Using configuration from /usr/share/ssl/openssl.cnf Enter PEM pass phrase : Check that the request matches the signature Signature ok The Subjects Distinguished Name is as follows countryname :PRINTABLE : FR stateorprovincename :PRINTABLE : Essonne localityname :PRINTABLE : Evry organizationname :PRINTABLE : INT organizationalunitname :PRINTABLE : MCI commonname :PRINTABLE : smtp-ext.int-evry.fr address :IA5STRING : admin@int-evry.fr Certificate is to be certified until Jan :41 : GMT (365 days) Sign the certificate? [y/n] :y 1 out of 1 certificate requests certified, commit? [y/n]y Write out database with 1 new entries Data Base Updated [...] CQEWEWFkbWluQGludC1ldnJ5LmZyggEAMA0GCSqGSIb3DQEBBAUAA4GBAEceDkeS pfgnqhxf/s8iedkvtj+frdzklhwu8wpx+9dgr9zachgm5x8had557vwlj3bnshfl 07KHZmMg8Pcf6k3WIIxQuiSNV74KrkforLl4Qoiwy8Jo4Xye8+ESkAGuen5lLqWp QzB/5sa8lT1AG8kuTn9g8XerWkvLFQioTm0s -----END CERTIFICATE----- Signed certificate is in newcert.pem Copie des données On copie alors les données générées aux endroits ou postfix va les récupérer. cp democa/cacert.pem /etc/postfix/cacert.pem cp newcert.pem newreq.pem /etc/postfix/

7 4 Configuration des clients TABLE DES MATIÈRES Propagation du certificat de l autorité de certification Pour que tout ceci fonctionne il est obligatoire que le client de mail possède le certificat de l autorité de certification. On va donc l installer dans le client en lançant le script suivant : http :// Voici le source de ce script #!/usr/bin/perl -T require ; use strict ; use CGI ; my $cert_dir = "/etc/postfix" ; my $cert_file = "cacert.pem" ; my $query = new CGI ; my $kind = $query->param( FORMAT ); if($kind eq DER ) { $cert_file = "CAcert.der" ; } my $cert_path = "$cert_dir/$cert_file"; open(cert, "<$cert_path") ; my $data = join, <CERT> ; close(cert) ; print "Content-Type : application/x-x509-ca-cert\n"; print "Content-Length : ", length($data), "\n\n$data" ; 1 ; Nous verrons plus tard?? ce que cela donne pour les clients. 4 Configuration des clients 4.1 Chargement du certificat dans les clients On va pointer le navigateur sur le script suivant : http :// On va voir comment cela se passe pour différents clients de mail Mozilla Voila la fenêtre qu on obtient pour mozilla (voir??) FIG. 3 Chargement du certificat pour Mozilla Il suffit alors d accepter le certificat.

8 4.2 Configuration des clients TABLE DES MATIÈRES Netscape Pour netscape le processus est un peu moins ramassé. Voici de façon exhaustive les fenêtres que l on obtient.(voir????????????) FIG. 4 Netscape étape1 : Chargement du certificat Outlook Voici la procédure pour charger le certificat ( voir??) Il faut lancer Internet explorer et charger l url Il faut alors cliquer sur Ouvrir. On obtient alors la fenêtre suivante : (voir??) Il faut alors installer le certificat. On obtient alors la fenêtre suivante : (voir??) On clique sur suivant : on obtient alors (voir?? ) On clique sur Suivant : on obtient alors (voir??) On clique alors sur Terminer : On obtient alors la fenêtre suivate : (voir??) On clique sur Oui et ouf on a fini. On obtient le fenêtre suivante : (voir??) 4.2 Configuration des clients Nous allons décrire ici comment configurer les clients. Nous prendrons comme hypothèse que un compte de messagerie est déja configuré de façon classique ; c est à dire sans authentification SMTP Mozilla Pour mozilla il faut aller dans la fenêtre de l outil de messagerie, sélectionnez le nom du compte de messagerie puis cliquez dans le menu View settings for this account comme indiqué ( voir??) Unr fois qu on a cliqué sur ce menu on obtient alors la fenêtre suivante (voir??)

9 4.2 Configuration des clients TABLE DES MATIÈRES FIG. 5 Netscape étape2 : Chargement du certificat FIG. 6 Netscape étape3 : Chargement du certificat

10 4.2 Configuration des clients TABLE DES MATIÈRES FIG. 7 Netscape étape4 : Chargement du certificat FIG. 8 Netscape étape5 : Chargement du certificat

11 4.2 Configuration des clients TABLE DES MATIÈRES FIG. 9 Netscape étape6 : Chargement du certificat FIG. 10 Outlook Etape 1 : Chargement du certificat

12 4.2 Configuration des clients TABLE DES MATIÈRES FIG. 11 Outlook Etape2 : Chargement du certificat

13 4.2 Configuration des clients TABLE DES MATIÈRES FIG. 12 Outlook Etape3 : Chargement du certificat FIG. 13 Outlook Etape4 : Chargement du certificat

14 4.2 Configuration des clients TABLE DES MATIÈRES FIG. 14 Outlook Etape5 : Chargement du certificat FIG. 15 Outlook Etape6 : Chargement du certificat

15 4.2 Configuration des clients TABLE DES MATIÈRES FIG. 16 Outlook Etape7 : Chargement du certificat FIG. 17 Mozilla etape1 : Configuration

16 4.3 En action TABLE DES MATIÈRES FIG. 18 Mozilla etape2 : Configuration Il faut alors entrer les informations comme indiqué en remplaçant évidement le login gaboret par son propre login Netscape Pour Netscape il suffit d ouvrir le menu Edition puis Préférences on obtient alors la fenêtre suivante : ( voir??) Il suffit alors de remplir de façon adéquate la partie concernant le serveur SMTP Outlook Il faut ouvrir le menu Outils puis Comptes. On obtient alors la fenêtre suivante en séléctionnait l onglet Courrier : (voir??) On séléctionne alors son compte de courrier et on affiche les Propriétés. On obtient alors les fenêtres suivantes en séléctionnant les onglets adéquats : (voir????) Il faut alors cliquer le bouton Paramètres : (voir ) 4.3 En action Je vais décrire ici ce que l on obtient comme message pour les différents lecteurs de mail Mozilla On demande la saisie du mot de passe (voir??)

17 4.3 En action TABLE DES MATIÈRES FIG. 19 Netscape : Configuration FIG. 20 Outlook Etape 1 : Configuration

18 4.3 En action TABLE DES MATIÈRES FIG. 21 Outlook Etape2 : configuration

19 4.3 En action TABLE DES MATIÈRES FIG. 22 Outlook Etape3 : configuration

20 4.3 En action TABLE DES MATIÈRES FIG. 23 Outlook Etape4 : configuration FIG. 24 Mozilla : Saisie du mot de passe

21 4.3 En action TABLE DES MATIÈRES Si vous décider d utiliser le gestionnaire de mot de passe de Mozilla il est impératif que ceux soit protégé par un mot de passe général Netscape On demande la saisie du mot de passe (voir??) FIG. 25 Netscape : Saisie du mot de passe Outlook On demande la saisie du mot de passe (voir??) FIG. 26 Outlook : Saisie du mot de passe

22 5 Conclusion TABLE DES FIGURES 5 Conclusion On voit que dans tous les cas la configuration du lecteur de courrier électronique peut être un peu pénible. Il est donc inutile d utiliser cette fonctionnalité juste pour faire joujou. On réservera donc cette configuration à des portables qui sont nomades. A Annexe Table des figures