Installation d'un serveur de messagerie

Posté par  . Modéré par Fabien Penso.
Étiquettes : aucune
0
4
sept.
2001
Doc
J'ai rédigé un article décrivant l'installation détaillée d'un serveur de messagerie autonome. Entièrement fonctionnel et automatique pour gérer une messagerie interne et externe d'un réseau local.

Sont utilisés: Postfix, Fetchmail, PPP et une Mandrake.

N'hésitez pas à m'envoyer vos commentaires.

Aller plus loin

  • # pas mal :)

    Posté par  (site web personnel) . Évalué à 0.

    C'est assé detaillé et fonctionnel (utilisation a distances..)

    Peut etre juste un peut trop detaillé justement, si on veut faire ça tres rapidement...

    [moua]
    • [^] # Re: pas mal :)

      Posté par  (site web personnel) . Évalué à 1.

      >Peut etre juste un peut trop detaillé justement
      Y'a toujours des grognons :)
      • [^] # Re: pas mal :)

        Posté par  . Évalué à 2.

        Non franchement c'est sympa ! Ca va permettre de mieux comprendre certains mécanismes. Je me rapelle la doc de Jacoboni sur Sendmail elle était plus toufu, non ?
      • [^] # Et ssh was :Re: pas mal :)

        Posté par  (site web personnel) . Évalué à 4.

        Bon alors moi, je suis un mega parano en plus d'etre un grognon ;)

        Et là que vois-je telnet ? SSH n'est pas la panace mais quand meme, faire un document aussi interressant qui encourage telnet.

        Bon voila, donc parle de ssh plutot que de telnet et ta doc sera excellente
        • [^] # Re: Et ssh was :Re: pas mal :)

          Posté par  . Évalué à 0.

          Réponse de l'auteur du document:

          Je dois avouer que je ne connaissais pas très bien SSH avant la rédaction de ce document : cela sera le premier changement de la prochaine version.
    • [^] # Re: pas mal :)

      Posté par  (site web personnel) . Évalué à 1.

      la doc est bien faite .... c'est un bon How to ... Cool ..
  • # Ouais pas trop mal, mais...

    Posté par  . Évalué à -7.

    En tout cas il est pas doyé pour le html ce gars, puisque son site foire completement (j'ai essayé Netscape 6.1 et Mozilla 9.2)

    J'aime bien sa façon de decrire ses experiences.

    C'est toujours utile pour ceux qui voudront faire ça dans leur companie et se ramasser de la tune.

    En tout cas chapeau bas. Si il le faut je lui contribue mes connaissances html (avec du javascript c'est tellement plus beau)

    a+
    • [^] # Re: Ouais pas trop mal, mais...

      Posté par  . Évalué à 5.

      Je n'ai jamais eu aucun problème avec linux-france. Avec toutes les version de mozilla 0.8 à 0.9.3 :p
      C'est un des premiers sites de documentation nunux qui a éxisté en français, et regorge encore (en cherchant un peu c'est vrai) d'excellents articles / Howtos. Tout le monde n'est pas sorti d'une école informatique, tout simplement parce qu'on peut se passionner pour linux sans être développeur, admnistrateur ou webmaster. D'où l'intérêt de cet article et pas forcément pour se ramasser de la tune.
      Alors ton javascript en s'en fout un peu ....
      • [^] # IL FAUT DE TOUT POUR FAIRE UN MONDE...

        Posté par  . Évalué à -7.

        Je voulais dire que, si j'etais pas etudiant dans une putain d'ecole d'ingénieur qui utilise Windows et etudie Java grace à J++ (qui se base sur JDK 1.1.7, la honte !) et bien je contribuerai sur les points qui me sont fort :

        - Marketing : annoncer a tout le monde l'existence de tel ou tel projet
        - Le Website : Je maitrise le HTML et un peu le JavaScript. Je me suis mis ces derniers temps moi meme au vrai Java grace a Forte et SDK 1.3.1 sous Linux
        - J'aiderai un peu a faire de la paperasse et surtout serai envieux d'apprendre comment on configure un serveur de mails, de fichiers, d'images, d'applications...


        J'ai dejà vu ce qu'etais un driver avec les sources mais là franchement c'est trop compliqué pour pouvoir apprendre en une semaine (Exemple : le driver USB du volant a retour de force : que c'est fumeux ! je comprend un peu le C mais là on peut dire que ça depasse mes connaissances)

        Ce que je peux dire c'est que les langages appris par moi meme (JavaScript, C, HTML) je les retiens tandis que ceux appris à l'ecole (Java, Visual Basic, Putain d'Access...) ça rentre pas meme si Access est la BdD la plus simple.

        Maintenant j'apprend le Java et je veux contribuer à l'Open Source meme si je suis pas une lumiere.
        (J'aide d'ailleurs des gars sur Lea Linux, Fcolc...)

        Mon prochain projet et de vendre des PC Linux ready pour mes voisins. Comme ça ils acheteront des jeux Loki et d'autres applis pour Noel.


        ALORS ARRETE D'ETRE AGRESSIF , SI ON SERRE PAS LES COUDE ET BIEN LINUX ON EST PLUS PRET DE LE REVOIR...
    • [^] # Re: Ouais pas trop mal, mais...

      Posté par  . Évalué à 0.

      > En tout cas il est pas doyé pour le html ce gars, puisque son site foire completement (j'ai essayé Netscape 6.1 et Mozilla 9.2)

      On dit "doué", et son site marche sans problème,
      apparamment c'est plutôt toi le kékos.

      > J'aime bien sa façon de decrire ses experiences. C'est toujours utile pour ceux qui voudront faire ça dans leur companie et se ramasser de la tune.

      C'est vrai que son introduction est un légèrement sur-gonflé (au niveau des chevilles), mais tu n'es pas obligé de lui vomir dessus.
      C'est sale et aprés faut nettoyer.

      PS : le lien "Repondre" ne marche pas sous Opera, faut passer par ouvrir dans un nouveau document (UPDATE: l'ajout de commentaire ne marche pas sous Opera :/).

      --
      Un anonyme
      • [^] # Re: Ouais pas trop mal, mais...

        Posté par  . Évalué à 6.

        Je ne sais pas qui est le kékos entre vous deux mais l'arbitre dit que la page n'est pas valide donc c'est normal que ça plante sur certains navigateurs:

        http://validator.w3.org/check?uri=http%3A%2F%2Fwww.linuxfr-france.org.invalid(...)

        Les développeurs de navigateurs doivent surement passer beaucoup de temps à faire en sorte que les pages mal foutues soient bien rendues et ça me navre. Ca coute pas cher pourtant de faire des vraies pages HTML (essayez de valider linuxfr.org, vous verrez comme c'est beau).
        • [^] # Re: Ouais pas trop mal, mais..., oui mais

          Posté par  . Évalué à 1.

          Il faudrait plutôt se plaindre de Jade et non de l'auteur de la doc. Visiblement, la doc a été écrite en DocBook, puis transformée en HTML à partir de ce format. Et malheureusement, Jade découpe les tags SGML d'une manière qui rend le HTML non valide, sous la forme
          <HTML
          ><HEAD
          ><TITLE
          >Un titre

          De plus, une fois les > remis à leur place, si le HTML n'est toujours pas valide, il faut s'en prendre aux stylesheets DocBook et toujours pas à l'auteur.

          (PS: Je n'ai pas d'actions sur le nom de l'auteur ;)
          • [^] # Re: Ouais pas trop mal, mais..., oui mais

            Posté par  . Évalué à 3.

            Je ne pense pas que les tags du genre

            <HTML
            >

            soient invalides... et je n'ai rien contre l'auteur du document.

            A chaque fois que je fais remarquer que le code HTML d'un site n'est pas bon, on me dit "c'est pas ma faute, c'est le générateur de pages"... et ben soit le générateur de page est libre auquel cas il faut le réparrer, soit il n'est pas libre et il faut le laisser tomber (on peut demander aux développeurs de le corriger mais faut pas rêver).
            Le validateur du W3C est très simple et rapide à utiliser, c'est quand même malheureux de ne pas s'en servir.
          • [^] # Re: Ouais pas trop mal, mais..., oui mais

            Posté par  . Évalué à 0.

            De l'auteur:

            Je n'ai pas d'entreprise donc pas d'actions à vous vendre.

            Pour le HTML, je ne peux effectivement me retourner que contre Jade.
  • # ADSL ?

    Posté par  . Évalué à 2.

    Hello, ce post est plus une question qu'un commentaire ... mais c'est dans le sujet.

    Pour mettre en place un serveur d'email sur adsl, avec un mappeur nom de domaine <=> ip dynamique, vous ferriez comment ?

    Si j'ai bien compris, il y a deux solutions, soit tout part vers le smtp du provider, mais il peut refuser des emails avec le header "from:" qui mappe sur sur le domaine dynamique, soit on envoit chaque email à son serveur de destination directement (mais il y a le risque que la plage ip soit blacklisté ?).

    RTFM oui, mais d'abord, dites moi quels softs ?
    (postfix peut aussi le faire ?) et si possible une ou deux urls en français.

    Merci.

    nux
    • [^] # Re: ADSL ?

      Posté par  . Évalué à 1.

      Ha oui je suis interéssé moi aussi par l'éventuelle réponse...
    • [^] # Re: ADSL ?

      Posté par  . Évalué à 7.

      Je ne comprend pas bien tes inquietudes.
      Effectivement pour le courier sortant tu as le choix entre le router via la passerelle smtp de ton provider si il l'autorise (cf plus bas), soit d'envoyer le courier directement au serveur destinataire.
      Quand aux IP blacklistées a mon avis tu te mélanges les pinceaux:
      1/ les black-list sont des liste d'adresses IP de serveurs DE QUI il ne faut pas accepter le mail (mais on peut leur en envoyer)
      2/ ton serveur n'est pas obligé (par défaut il ne le fera pas d'ailleurs) de respecter ces black-lists.

      Par contre pour recevoir du mail avec un nom de domaine a toi (genre plug@nowhere.com), il faut
      1/ acheter le domaine en question
      2/ faire heberger (heberger soi meme) le DNS de ce domaine [il existe des solutions gratos genre minidns.net et autres, google est ton ami !!]
      3/ enregistrer l'IP de la passerelle smtp de ce domaine dans le DNS en question (champ MX du DNS).
      A la suite de quoi quand quelqu'un ecrira à plug@nowhere.com, le mail sera envoyé en smtp directement a la passerelle smtp de nowhere.com.
      C'est la que le blacklistage des IP peut t'embeter plus: si ton serveur est mal configuré (open relai), tu risque de voir l'adresse IP de ta passerelle smtp black-listée et tu ne recevra plus les mails passant par des passerelles qui se confortents aux black-lists en question.

      plus-bas:
      wanadoo pour le moment accepte de relayer le courier sortant de ses abonnés. Mais cela risque de changer car certains abonnés ont placés des serveurs smtp open-relai qui routent le mail via les passerelles de wanadoo. résultat les passerelles de wanadoo apparaissent dans certaines black-lists (on en a deja parlé). Comme solution wanadoo enviseage de ne plus relayer le mail de ses abonnés si le mail vient d'une passerelle smtp.

      ai-je répondu a ta question ??
      • [^] # petite précision

        Posté par  . Évalué à 5.

        - Tu ne peux pas héberger le dns toi même si tu n'as pas d'ip fixe, car celle ci doit être enregistrée dans la base de l'icann.

        3/ enregistrer l'IP de la passerelle smtp de ce domaine dans le DNS en question (champ MX du DNS).

        Ici, ce n'est pas l'ip qu'il faut metre, mais un nom de machine :
        nowhere.com. MX 10 mail-nowhere.dyndns.org.

        et un compte chez dyndns pour que mail-nowhere.com pointe vers l'ip dynamique.

        Cependant durant les déconnections, tu peux perdre des mails, donc c'est bien de pouvoir avoir un serveur secondaire qui garde le mail au chaud le temps que ton serveur se reconnecte et que le dns dynamique soit mis a jour. Enfin de toutes façon c'est pas une très bonne idée de fouttre un serveur mail sur IP dynamique :-)
        • [^] # Re: petite précision

          Posté par  . Évalué à 3.

          effectivement, merci pour ces corrections (ces imprécisions en plus des fotes d'ortaugraf ... j'aurai du me relire !!)

          a mon tour donc de paufiner (ensuite y aura plus qu'a ajouter un résumé de ce thread dans la doc au dessus :-))
          1/pendant les deconnections, les serveurs smtp vont ré-éssayer plusieurs fois d'envoyer le mail donc à moins de ne pas etre connecté pendant plusieurs jours (durée habituelle des ré-émissions), normalement il n'y aura pas de perte de courier. De plus quelqu'un ayant l'adsl et se lancant dans ce genre de manip prévoit certainement de laisser la machine up tout le temps (onduleur, 2 machines en vrrp ...).
          2/dyndns ou minidns.net ou d'autres effectivement il faut un compte chez un fournisseur de dns gratuit et dynamique.

          C'est pas une bonne idée effectivement car les infos contenues dans les "DNS dynamiques" ne sont pas gardées en cache par les autres DNS (pour faciliter la mise à jour), du coup le serveur (dyndns ou minidns ou autre) se tape une requete à chaque mail recu (et même envoyé si le nom de domaine est validé ...).
          • [^] # Re: petite précision

            Posté par  (site web personnel, Mastodon) . Évalué à 1.

            Moi ce que je fais, histoire de bien me marrer, c'est de faire tourner un daemon Perl sur le port 25 qui écoute et récupère tout ce qu'on lui envoie. Comme ca quand je change d'IP (ADSL Wanadoo), si je récupère une IP d'une ancienne personne qui utilisait un système comme vous indiquez, et que les DNS ne sont pas rafraichis, je récupère ses mails. Je sais c'est salaud, mais tellement amusant.

            Bref, ne faites pas ça. Utilisez UUCP+ssh qui est 1. compressé 2. optimisé 3. sécure. et de plus les personnes de l'autres côtés ne voient pas votre IP d'origine. Ok ça demande un serveur avec uucp et ssh... (on peut aussi utiliser postfix+ssl ou des trucs dans le genre).
      • [^] # Re: ADSL ?

        Posté par  . Évalué à 0.

        Tout d'abord, merci pour ta reponse !!!

        une question:

        1/ les black-list sont des liste d'adresses IP de serveurs DE QUI il ne faut pas accepter le mail (mais on peut leur en envoyer)

        Est-ce que l'ip que va te me donner wanadoo sera black-listée, même si je "ferme" le relay ?

        J'avais entendu dire que toutes les plages dynamiques et de dial-up etaient black-listées ...

        merci

        nux
      • [^] # Re: ADSL ?

        Posté par  (site web personnel, Mastodon) . Évalué à 1.

        wanadoo pour le moment accepte de relayer le courier sortant de ses abonnés. Mais cela risque de changer car certains abonnés ont placés des serveurs smtp open-relai qui routent le mail via les passerelles de wanadoo. résultat les passerelles de wanadoo apparaissent dans certaines black-lists (on en a deja parlé). Comme solution wanadoo enviseage de ne plus relayer le mail de ses abonnés si le mail vient d'une passerelle smtp.


        Wanadoo ils me pêtent les couilles tout court. La majorité des SPAMS que je reçois viennent de chez eux. Je ne peux pas les blacklister sur linuxfr, ça englobe une quantité trop importante de personnes, mais putain qu'est-ce que j'en ai envie.

        En attendant j'ai fait http://perso.linuxfr.org/penso/spam.html(...) qui n'est pas terminé, mais fonctionne déjà.
    • [^] # Re: ADSL ?

      Posté par  . Évalué à 1.

      Utilises un compte dyndns.
      Tu auras alors un nom de machine toto.dyndns.org (par exemple) que tu updateras lorsque ton ip changera ou que ta connexion adsl sera relancée.
      Ensuite si tu pourras recevoir les emails @toto.dyndns.org directement chez toi.
      Voila une solution.
  • # oui mais ...

    Posté par  . Évalué à 4.

    OK, c'est une bonne initiative d'ecrire des docs en francais. Je trouve cependant que cette doc n'apporte pas grand chose, meme si il faut encourager ce genre de comportement communautaire.

    la doc pourrait aborder les problemes comme:
    -comment creer des comptes mails sans creer de compte UNIX pour la personne. (un serveur de mail autonome n'a pas besoin d'avoir autant de comptes avec des password bidons la plupart du temps ...). d'ailleur ou est l'install de imap/popd et comment choisir entre les 2 ?
    -comment filtrer avec un anti-virus les messages recus et envoyés
    -quel hardware pour quelle charge ?
    -utilisation de ssl
    bref des trucs qui ne seraient pas dans le man quoi.


    Merci quand meme à l'auteur qui aura toujours passé du temps a partager !!
    • [^] # Re: oui mais ...

      Posté par  (site web personnel) . Évalué à 5.

      Oui, c'est vrai. Néanmoins :

      * Créer des comptes Unix permet de gérer les utilisateurs très simplement (avec les commandes standard : useradd, userdel, passwd, usermod). Ce que la doc ne devrait pas oublier c'est qu'il faut leur attribuer /bin/(false|true) comme shell de login et rajouter lesdits « shells » dans /etc/shells. D'un autre côté, il est impossible dans ces conditions d'avoir des serveurs de mail redondants sauf à répliquer les comptes en permanence ou à utiliser un serveur d'authentification. Mais bon, c'était pas trop le but d'une doc pour débutants...
      * Le filtrage des mails est assez controversé, et de toute manière, AMaViS ( http://www.amavis.org/(...) ) l'explique de manière assez claire.
      * D'accord pour le hardware. Encore que, vu les bécanes qu'on vend aujourd'hui, quoi que le gars choisisse, ça marchera bien pour le petit réseau que semble cibler cette doc...
      * SSL ? Hum, si on est à se préoccuper de ce genre de trucs, on n'a plus besoin d'une doc de ce genre, on sait RTFMer dans le texte ;-))

      Je précise que je taffe dans un (petit) FAI, et que le serveur de mail utilise bien des comptes Unix (c'est d'autant moins critique que le hosts.(deny|allow) et le firewall réduisent largement les possibilités d'intrusion)...

      Mes 0,03 ?

      WSA

      Envoyé depuis mon PDP 11/70

    • [^] # telnet -> ssh

      Posté par  . Évalué à 4.

      Au chapitre 3.1.1, conseiller d'utiliser telnet pour un accès distant en root, c'est pas très malin.

      Je suis peut etre un peut parano, je sais que l'exemple se passe dans un réseau local. Mais c'est pas bon de donner de mauvaises habitudes à ceux qui débutent.

      Il faudrait pas qu'ils pensent :
      accès distant en root ? -> telnet !
      Plutot :
      telnet -> histoire de l'informatique :) -> de nos jours remplacé par ssh
      • [^] # Re: telnet -> ssh

        Posté par  . Évalué à 0.

        Et pour etre encore un peu plus pointilleux, il faudrait recommander un acces distant en user + ssh puis un su root !!!


        A +

        VANHU, qui signe pas pour qu'on vote pour lui pour qu'on voie que c'est un message de lui (c'est clair ?)
        • [^] # Re: telnet -> ssh

          Posté par  . Évalué à 0.

          pourquoi ?

          Je comprend pas non plus pourquoi faire un su avec telnet. Il faut peut-etre un "sniffer" plus compliqué entre les deux postes, un truc qui cherche des su en plus de regarder le login. Mais sinon ...

          toute explication est bien venue.
          • [^] # Re: telnet -> ssh

            Posté par  . Évalué à 2.

            si tu autorise de faire directement:
            ssh root@tamachine

            quand qqun se connecte tu ne sais pas QUI se connecte (dans les log tu as juste l'IP ca peu suffire ou pas selon le cas).
            avec su tu as "user bidule su to root" dans ton log.

            maintenant, si tu n'utilises pas les mot de passe (autentification seulement par clefs ssh), tu peux faire logguer le proprietaire de la clef utilisée dans ton log.
            du coup, quand qqun se connecte root tu sais QUI et en plus tu peux gerer les access plus finement (revoquer le droit root pour un seul ancien admin)
            bon je sais c'est pas terrible non plus (rien ne prouve que l'ancien admin n'a pas eu le temps d'installer une back-door puisque qu'il etait admin) mais vous connaissez beaucoup de boites qui ré-installent tout quand elles changent d'admin vous ?
    • [^] # Re: oui mais ...

      Posté par  . Évalué à 3.

      Pour les comptes, c'est pas trop un problème. Tu peux chrooter le serveur mail et ne mettre les comptes des utilisateurs mails uniquement dans le chroot jail, de cette manière, ils ne pourrons pas se logger sur la machine. Tu peux aussi tout simplement gérer ça avec PAM : par exemple, seul les membres du groupe real_account peuvent se logger, les autres n'ont le droit que pour imap et pop.

      Quand à la question quel hardware pour quel charge, si tu en est au point ou un pentium 90 ne suffit pas à gérer le serveur smtp et pop, c'est que tu as beaucoup d'utilisateurs et la, tu dois être capable d'écrire cette doc toi même :-)
      • [^] # Re: oui mais ...

        Posté par  . Évalué à 1.

        effectivement, je faisait juste la remarque que tout cela n'etait pas traité dans le document. une petite ligne pour dire qu'un 486 suffit, un paragraphe pour la sécurité (ssh,ssl,chroot jail,pam) ca ferait pas de mal au document.
        l'auteur demandait des commentaires ...
        • [^] # Re: oui mais ...

          Posté par  . Évalué à 0.

          De l'auteur:
          <br>
          J'ai répondu pour le HTML : Jade et cela n'est pour l'instant pas dans mes compétences de le modifier.<br>
          Pour Telnet : promis je vais le remplacer par SSH (que je n'ai testé qu'après la rédaction de ce document)<br>
          Pour savoir sur quelle machine (...) : Pentium (Mandrake) et le serveur fonctionne pour 10 personnes (au-delà je ne sais pas mais un modem 56K devient un peu limite je pense)<br>
          Merci pour ces remarques constructives.
  • # Et si la ligne telephonique est occupee ?

    Posté par  . Évalué à 0.

    il se passe quoi dans ce cas ?
    • [^] # Re: Et si la ligne telephonique est occupee ?

      Posté par  . Évalué à 1.

      elle va se libérer car ta belle mère ne va pas aimer le crachouilli du protocole ppp en parallele avec sa fille dans le combiné :-))

      bon évidement si la ligne est occupée, cela ne marchera pas. mais aucun mail n'est perdu car les mails arrivant restent sur le serveur pop de ton FAI et les mails sortants restent dans la mail queue de ton serveur smtp.
  • # :)

    Posté par  . Évalué à 1.

    Article intéréssant mais je n'ai pas trouvé a la réponse a une question qui me hante depuis des jours : comment dire a postfix que quand un user poppe son compte (via qpopper dans mon cas), son ip doit être ajoutée à la liste des relaying hosts allowed pendant 10 minutes ? Quelqu'un a un script basique ?
    • [^] # Re: :)

      Posté par  . Évalué à 1.

      pourquoi 10 minutes ?
      cela me semble une valeur arbitraire ...
      le relaying authentifié par adresses IP c'est bien si tu maitrise ces adresses (ton LAN, ou alors c'est toi qui les fournis (tu est FAI)).
      sinon il vaudrait mieux authentifier les connections smtp autrement (clefs).
      • [^] # Re: :)

        Posté par  . Évalué à 1.

        Bah il me semble qu'un systéme de obligation de pop avant de smtp est assez secure. Tu peux développer l'histoire des clefs ?
        • [^] # Re: :)

          Posté par  . Évalué à 2.

          SMTP + SASL, Cf RFC2554

          voici un extrait illustrant le concept:
          Examples:

          S: 220 smtp.example.com ESMTP server ready

          C: EHLO jgm.example.com

          S: 250-smtp.example.com

          S: 250 AUTH CRAM-MD5 DIGEST-MD5

          C: AUTH FOOBAR

          S: 504 Unrecognized authentication type.

          C: AUTH CRAM-MD5

          S: 334

          PENCeUxFREJoU0NnbmhNWitOMjNGNndAZWx3b29kLmlubm9zb2Z0LmNvbT4=

          C: ZnJlZCA5ZTk1YWVlMDljNDBhZjJiODRhMGMyYjNiYmFlNzg2ZQ==

          S: 235 Authentication successful.
  • # Première ligne

    Posté par  . Évalué à 1.

    heuuu ça veut dire quoi ca ?
    Mon expérience LaTeX à travers des exemples, des solutions mais aussi quelques mises en reliefs de packages LaTeX.
    C'est sur la 1ere page.

    Sinon pour ceux que ca branche, et puisqu'on parle de postfix, j'ai baclé une doc en innegliche sur l'installation d'Amavis avec Postfix (testé sur une MDK). C'est un peu crado mais la doc "officielle" est assez incomplète. A toutes fins utiles...


    Installing Amavis with Postfix on Mandrake Linux, using Sophos.
    V 0.01 20010904 - 12:22

    1 - Install Antivirus
    1.1 Install Sophos from http://www.sophos.com(...) (need Login + passwd, see
    http://www.sophos.com/downloads/products/(...) ).
    # ./install.sh -ni

    1.2 Install Sophos updates (.ide files) in /usr/local/sav

    2 - Install Amavis
    2.1 Required software

    These are software *not* provided with Mandrake Linux (2 CDs set)

    cf http://www.amavis.org/amavis.html(...)

    arc ftp://rpmfind.net/linux/contrib/libc6/i386/arc-5.21e-4.i386.rpm(...)
    lha http://www2m.biglobe.ne.jp/~dolphin/lha/prog/lha-114i.tar.gz(...)
    zoo ftp://rpmfind.net/linux/contrib/libc6/i386/zoo-2.10-4.i386.rpm(...)
    unrar ftp://rpmfind.net/linux/Mandrake-devel/contrib/RPMS/unrar-2.50-1md(...)

    Perl modules (perl -MCPAN -e shell). You'll need perl-devel and Lynx.
    Unix/Syslog Unix::Syslog
    Convert/UUlib Convert::UUlib
    Convert/TNEF Convert::TNEF
    Archive/Tar Archive::Tar
    Archive/Zip Archive::Zip

    2.2 Install Amavis

    Modify the files "admin", "recip" and "sender" in /<your source dir>/amavisd-<version>/amavis/notify/ if you wish to change the
    default warning message.

    # adduser vscan
    # rm -rf /home/vscan

    Edit /etc/passwd to remove home directory for vscan
    *LEAVE* a valid shell (/bin/bash is good, rbash does not work) !
    Edit /etc/shadow to change the password for vscan to prevent direct login ("*" is a good one).
    Check that somebody gets vscan's mail (/etc/aliases). While you're there, check that somebody gets virusalert's and postmaster's mail.

    # killall amavisd
    # make clean && make distclean
    # ./configure --enable-postfix --with-sophos-ide=/usr/local/sav --enable-syslog --with-amavisuser=vscan --enable-smtp --with-smtp-port=10025 --with-warnsender --with-warnrecip --with-warnadmin
    # make && make install
    # service postfix stop
    # su vscan -c /usr/sbin/amavisd
    # service postfix start
    # su vscan -c 'make check'

    Add
    content_filter = vscan:
    to /etc/postfix/main.cf

    Add
    vscan unix - n n - 10 pipe user=vscan argv=/usr/sbin/amavis ${sender} ${recipient}
    localhost:10025 inet n - n - - smtpd -o content_filter=
    to /etc/postfix/master.cf.

    # service postfix restart

    3 - Test

    $ echo "X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*" > /tmp/eicar.com
    Send a mail with the file /tmp/eicar.com. It should be detected as a virus and get bounced back to the sender and the admin with a
    warning message.
    You can also try with a "real" virus. Back Orifice is available here : http://www.mut3x.com/cdc/bo120.zip.(...) It should be detected even
    when zipped.

    4 - Tuning

    4.1 Automatically update antivirus files

    Try this in some crontab file

    ---------------------------------< cut here
    #!/bin/bash

    #cd $SAV_IDE
    cd /usr/local/lib/sweep-IDE

    /usr/bin/wget -q -N `/usr/local/bin/sweep -v |/usr/bin/grep "Product version"
    |/usr/bin/sed -e "s/.*: \(.\)\.\(..\)$/
    http:\/\/www.sophos.com\/downloads\/ide\/\1\2_ides.zip/"`
    /usr/bin/unzip -q -n "???_ides.zip"

    chmod 644 *
    ---------------------------------< cut here

    4.2 Start amavisd on startup

    Start it *before* postfix.
    Put this in /etc/init.d/amavisd :
    ------------------------------------------------------< cut here
    #!/bin/sh
    #
    # amavisd This shell script takes care of starting and stopping
    # the amavis daemon (mail antivirus).
    #
    # chkconfig: 2345 60 40
    #
    # description: Amavisd is the daemon that interracts with the antivirus to
    # check mails for wiruses
    #

    # Source function library.
    . /etc/rc.d/init.d/functions

    # Source networking configuration.
    . /etc/sysconfig/network

    # Check that networking is up.
    [ ${NETWORKING} = "no" ] && exit 0

    [ -f /usr/sbin/amavisd ] || exit 0

    # See how we were called.
    case "$1" in
    start)
    # Start daemons.
    echo -n "Starting amavisd: "
    /bin/su vscan -c /usr/sbin/amavisd
    touch /var/lock/subsys/amavisd
    ;;
    stop)
    # Stop daemons.
    echo -n "Shutting down amavisd: "
    /usr/bin/killall amavisd 2>/dev/null
    echo amavisd
    rm -f /var/lock/subsys/amavisd
    ;;
    restart)
    $0 stop
    $0 start
    ;;
    *)
    echo "Usage: $0 {start|stop|restart}"
    exit 1

    esac

    exit 0
    --------------------------------------------------------< cut here

    #chkconfig amavisd --reset



    Si vous avez réussi à lire jusqu'ici, n'hésitez pas à m'envoyer un mail pour me faire part de vos commentaires ...

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.