Choix de solution pour passerelle de messagerie

[loicb]

Bonjour,

Je dois construire une passerelle sécurisée de messagerie, et j'aimerais vos conseils sur la base de départ à adopter.

Les besoins :
- Postfix + ClamAV + SpamAssassin
- Load-balancing entre deux lignes ADSL
- Détection de lien mort (on hésite encore entre connecter les modems ADSL directement à la machine, ou mettre des routeurs ADSL derrière les cartes réseau) et failover (dial d'une connexion RTC en cas de perte des deux liens ADSL)
- Accès et configuration de tout ça via une interface d'administration
- Interface d'administration en anglais et français, au minimum.

Je pensais donc partir d'un IPCop, et "greffer" dessus les éléments dont j'ai besoin. Il me semble qu'il y a des mods qui font ça, en tout ou partie : lesquels me recommandez-vous (copfilter ? et ... ??) ?

Je me doute bien que tout ne sera pas forcément disponible, préintégré, fonctionnant out-of-the-box. Je cherche simplement la solution qui en soit le plus proche possible, je rajouterai ensuite autour ce qu'il manque.

Corollaire : il faut que les sources soient disponibles, modifiables, et la licence d'utilisation gratuite. C'est principalement pour ça que je pensais partir d'IPCop.

Pour l'instant j'en suis là :
- Copfilter semble approprié pour la messagerie, mais si j'ai bien compris il n'intègre pas postfix.
- Niveau connectivité le load-balancing a déjà été fait (j'ai trouvé des ressources sur le net) mais ça reste du bricolage à la main, donc c'est côté intégration dans l'interface qu'il y a tout à faire puisque IPCop ne gère qu'une seule interface RED (là dessus si un mod existe déjà je suis très fortement intéressé, mais pour l'instant j'ai pas trouvé).

Si d'autres produits vous semblent plus appropriés qu'IPCop, je suis ouvert aux suggestions.
Mais apparement :
- ClarkConnect fait le load-balancing en natif, mais n'est pas gratuit à ma connaissance (et pour les sources c'est pas gagné)
- Endian intègre les fonctions de messagerie dans l'interface graphique, mais n'est pas dispo en Français.

Merci de vos conseils.

[loicb]

J'oubliais de préciser qu'il me faudrait aussi superviser tout ça par SNMP depuis une machine sur GREEN. Et pour l'instant je n'ai pas trouvé de plugin qui le propose (packaging de net-snmp et d'une interface utilisateur).

Si vous avez une idée...

[kinkey]

Alors pour commencer si tu veux vraiment un truc sécurisé oublie tout de suite snmp. Ensuite IpCop est un firewall. Dans ton cas autant partir d'une distri vierge (Debian, CentOS...) et le faire toi même.

[loicb]

Merci, je sais tout ça. C'est à peu près le discours que j'ai tenu à mon boss quand il m'a expliqué ce qu'il voulait.

Je t'épargne la liste des contraintes qui font que je dois tout mettre sur la même machine. Ainsi que celles qui font que je ne peux pas utiliser de distribution linux "standard".

[jdh]

Bon allez participons à cette question.

Il y a 2 buts principalement :

- gérer le lien vers @ avec load-balancing, liens morts, ...
- passerelle mail avec antivirus, ...

Je pense qu'il serait "non professionnel" d'essayer de tout faire avec une et une seule machine. La gestion du lien vers Internet peut être assuré par un "vieux" micro, récupéré avec un matériel en fin de vie en renouvellement de parc (64M suffisent et 128M semble idéal). Par contre, le relais de mails nécessite plus de puissance notamment pour l'antivirus et l'antispam, très gourmand en terme de mémoire et puissance processeur (256M est un petit minimum).

Ensuite, utilisez 2 machines permet de séparer et de procéder par étapes. Je note que le load-balancing est particulièrement difficile à mettre en oeuvre de façon fiable. Je suis presque sur que des boitiers existent et ce soit LA solution pragmatique.

Personnellement, je mets en oeuvre des solutions de ce type à partir de distrib standard. Et je ne crois pas possible qu'une distrib "packagé avec interface web" soit toujours parfaitement adapté exactement à ce que je veux.

De plus les how-to ne manquent pas pour des distrib standards pour ces 2 domaines.

S'il y a, en plus, des conditions de rapidité de mise en oeuvre, je pense que c'est un projet assez irréaliste.

[phaby]

Pour le double WAN ==> Xincom