SME dédié aux mails

[gaetancop]

bonjour tout le monde,

tout d'abord merci pour cette mine d'information qui m'a été très utile pour l'installation et la configuration d'IPCop et de la SME.
Mais voila je bloque sur le un point : la configuration du serveur mail.

ma config :

internet
||
||
||
BOX
||
||
||'''''''''''''''''''''''''''''''''''''''''''''''''''SRV WEB
IPCop====DMZ=======SME srv Mail
||'''''''''''''''''''''''''''''''''''''''''''''''''''SRV FTP
||
||
SME controleur de domaine et srv fichier (en serveur privé et passerelle)
||
||
||
postes de travail


en fait je voudrait dédier pour la partie Mail au serveur SME qui se trouve sur la DMZ.
Si l'utisateur ENVOIE un mail ou TELECHARGE ses mails (qu'ils soit sur @neuf.fr, gmail.com ou MONdomaine.com), toutes ses requettes doivent se faire par le SME de la DMZ. La SME controleur de domaine ne doit servir qu'à réorienter les requettes.

Question :
Est-ce possible ?
Quelles sont les configuration à mettre sur les 2 SME et les différentes réorientation de port à faire ?
à quel endroit faut-il mettre le SMTP de mon FAI ?
quelle configuration particuliere pour les clients de messagerie ?
Y-a-t-il quelquechose à faire sur IPCop ? (je sait, ce n'est pas le bon forum mais je pense que vous devait tout de meme maitriser le sujet)

[gaetancop]

Sinon pourquoi ne pas utiliser une autre distribution pour le serveur mail... mais reste toujours la configuration du controleur de domaine SME et de l'ipcop pour les diverses réorientation.

[gaetancop]

petit UP SVP

merci

[jdh]

Je ne suis ni spécialiste IPCOP ni spécialiste SME.

Néanmoins, je ne comprends pas pourquoi la SME interne est configuré en serveur+passerelle. S'il y a un IPCOP, il n'y a NUL besoin d'un firewall supplémentaire. Cela n'apporte AUCUNE sécurité supplémentaire, et cela complexifie inutilement les choses.

Si le SME en DMZ est la seule machine autorisée à faire du mail, c'est sur l'IPCOP qu'il faut configurer cela. Et cela doit être configuré AVEC BOT, AMHA c'est obligatoire.


Par ailleurs, je déconseille toujours de recevoir ses mails en local quand on a une petite expérience. Il vaut mieux, avant d'être aguerri dans la config de MX, laisser ce job à des pros, ce qui, d'ailleurs ne coute vraiment pas cher.


Enfin j'ignore s'il est possible de synchroniser les bases utilisateurs de la SME interne et de la SME en DMZ.

Cela dit, il est possible et assez facile de construire un bon serveur de mail avec une Debian en suivant par exemple l'excellent howto de http://workaround.org .

[gaetancop]

merci pour cette réponse,

pour te répondre :
le SME en passerelle dans la zonne verte n'est en effet pas très utile en passerelle vu qu'IPCop dans bien faire ce travail (voir mieux ?), par contre sont role ici est d'etre serveur de domaine. Qu'elle utilité pour un particulier .. me dira tu ? pour le fun et découvrir les profils itinérants.


sinon que veut-tu dir par : "Si le SME en DMZ est la seule machine autorisée à faire du mail, c'est sur l'IPCOP qu'il faut configurer cela. Et cela doit être configuré AVEC BOT, AMHA c'est obligatoire. "

De meme qu'appel tu MX ?

étant pourtant dans le milieu, je n'ai pas encore entendu ce jargon ! lol

pourquoi déconseilles-tu la reception des mail sur une machine local ? Perso, je compte toujours laisser une copie sur le serveur (comme je le fait depuis longtemps) afin de pouvoir les télécharger des mes diférents postes fixes ou portable. En fait, ici je ne fait que télécharger une copie de mes mail de mes différentes boites et les envoyer sur une seul et meme boite de mon domaine. Les mails originaux reste alors en copie sur les différents serveur wanadoo, neuf, gmail ...

Sinon, ce que je fait ici relève plus du fun que de l'utile mais le but est d'avoir un systeme sécurisé et complet fonctionnel afin de maitriser le sujet si besoin est.

[jdh]

Il y a du travail !

MX = Mail eXchanger = l'adresse ip du(es) serveur(s) recevant les mails pour le compte du domaine.

Je me suis mal exprimé :

Je déconseille d'être MX de son domaine : il y a des hébergeurs qui le font bien et pour pas cher. Cela dépend du nombre de boites mail et de l'expertise. Ce n'est pas infaisable mais cela exige des connaissances pour ne pas faire de bétises ....

Comme la question est celle d'un particulier, il serait étonnant que tu possèdes ton domaine, je ne vois donc pas d'intérêt d'avoir un serveur de mail (MX ou pas).


Laisser les mails sur le serveur (sur Internet) ? Ok, le premier client mail type Outlook/Thunderbird va récupérer le premier mail non lu et le laisser sur le serveur tout en le marquant comme lu. Le second client mail ne verra plus le message comme non lu et ne le récupérera pas. Par contre un webmail sur le serveur (sur Internet) verra les mails lus.

[gaetancop]

Il y a du travail !
Comme la question est celle d'un particulier, il serait étonnant que tu possèdes ton domaine, je ne vois donc pas d'intérêt d'avoir un serveur de mail (MX ou pas).

oui, je "possède" un "domaine" ... en dyndns ... mais bon ca reviens au meme, meme si ca ne fait pas pro

Laisser les mails sur le serveur (sur Internet) ? Ok, le premier client mail type Outlook/Thunderbird va récupérer le premier mail non lu et le laisser sur le serveur tout en le marquant comme lu. Le second client mail ne verra plus le message comme non lu et ne le récupérera pas. Par contre un webmail sur le serveur (sur Internet) verra les mails lus.

pourtant, actuellement je fonctionne comme ca et ca marche bien :
je configure outlook (sur tout les postes) pour qu'il laisse une copie de mon mail sur le serveur de wanadoo.
admétons que :
j'ai 10 mail dans ma BAL,
le PC1 a déja téléchargé les mail de 1 à 5, il va finir de me télécharger les mail de 5 à 10
ensuite, le PC1 qui a déja les mail de 1 à 8 , il va me télécharger les mail de 8 à 10 (malgrés qu'il ai déja été téléchargé par le PC1)

Et bien là je voudrai pouvoir faire le meme avec des mails en @MonDomaine.dyndns.org et si possible que mes mails wanadoo soit téléchargé et automatiquement et renvoyé sur MonCompte@MonDomaine.dyndns.org.
Je voudrai également que cette tache soit effectué par un serveur de ma DMZ (SME si cela est possible sinon merci de m'en conseiller un autre).
Et également connaitre :
-les configuration à apporter au SME "controleur de domaine"
-s'il y a possibilité de récupérer le LDAP du sme controleur de dommaine pour ce serveur ou s'il ne faut pas "simplement" le déplacer dans la DMZ

[jibe]

Salut,

S'il y a un IPCOP, il n'y a NUL besoin d'un firewall supplémentaire. Cela n'apporte AUCUNE sécurité supplémentaire, et cela complexifie inutilement les choses.

Ca ne semble pas l'avis de tout le monde... mais ça me fait plaisir de le lire

IPCop doit bien faire ce travail (voir mieux ?)

En fait, cela dépend... de l'admin réseau ! S'il connait très bien son boulot, il pourra affiner le firewall Ipcop de façon parfaitement adaptée à ses besoins précis. Mais si c'est un apprenti-sorcier ou s'il n'est pas très à l'aise avec la configuration d'un firewall, celui configuré automatiquement de la SME sera la garantie d'une très bonne sécurité.

Pour ton problème de mails, je pense (jamais testé cette config => à vérifier) qu'il te suffit de déclarer sur ta SME LAN que c'est la SME DMZ qui est serveur de courrier déléguée (ça se fait par le server-manager dans la section courriers : adresse du serveur de courrier délégué). Et pour rapatrier tes mails Wanadoo (et ceux de ton domaine si tu suis le conseil de jdh), tu installes l'excellente contrib de sibsib

[gaetancop]

merci à vous pour ces pistes !


comme tu le dis, la config d'un firewall n'est pas une mince affaire !
Rien de tel (à mon avis ) qu'un "simple" débian et d'une bonne cure d'arrachage de cheveux pour le configurer en iptables en commenceant par deny all from all (ou un truc dans le genre)

je me rappel du TP où on avait commencé un firrewall en iptables mais bon ... j'ai pas envie de perdre mes cheveux (ca va etre l'hiver) donc j'utilise des distrib bien faites et toutes prete !

[jdh]

Bon, Debian, c'est bien. Mais quand à écrire un script iptables, je pense qu'il y a mieux à faire, et surtout moins risqué compte tenu de l'expérience d'un débutant.

Il vaut mieux regarder Shorewall qui est simple à configurer, et qui permet de faire correctement les choses pour un firewall.

Bien sur c'est moins simple en ligne de commande qu'avec un interface web type IPCOP, MNF (tien aussi Shorewall), ou pfSense (bah non c'est du bsd).

[gaetancop]

sinon pour en revenir au serveur mail, je n'arrive pas à autoriser l'envoi de mail vers l'extèrieur.

mes parametres SME DMZ (serveur uniquement):

méssagerie électronique :
accés uniquement POP3S
accés uniquement IMAPS
accé interface WEB: HTTPS

detection virus : activé
filtre anti pouriel activé
blocage des piece jointe exe activé

méthode de récupération des couriels : standard (SMTP)
authentification SMTP : désactivé

couriels déstiné à des inconus : envoyer à anonymous
adresse du serveur de messagerie délégué : vide
adresse du serveur de messagerie du FAI : smtp.wanadoo.fr
authentification SMPT auprès du FAI : désactivé
compte de messagerie : vide
mdp de messagerie : vide



mes parametres SME LAN (serveur privé et passerel):

méssagerie électronique :
accés POP : désactivé
accés IMAP : désactivé
accé interface WEB: désactivé

detection virus : activé
filtre anti pouriel désactivé
blocage des piece jointe exe désactivé

méthode de récupération des couriels : Multipoint
authentification SMTP : désactivé

couriels déstiné à des inconus : envoyer à anonymous
adresse du serveur de messagerie délégué : <adresse IP du SME de la DMZ>
adresse du serveur de messagerie du FAI : smtp.wanadoo.fr
authentification SMPT auprès du FAI : désactivé
compte de messagerie : vide
mdp de messagerie : vide


lorsque j'envoie un mail à Mister@wanadoo.fr avec outlook express, il a un refus de l'adresse par le serveur
sinon l'envoie et la reception de mail avec mon compte wanadoo fonctionne depuis le LAN

une piste ? ou encore mieux : la solution ?

[gaetancop]

nouvelle précisions :

pour envoyer vers wanadoo : je doit configurer mon client avec smtp.wanadoo.fr
pour envoyer ver mondomaine : je doit configurer mon client avec mail.mondomaine.org en serveur smtp
et l'inverse ne fonctionne pas pour les 2 cas !


comment puis-je homogénéiser cela ?

[Gandalf]

Regarde les DNS que tu emploies, en fonction d'eux la résolution de smtp.wanadoo.fr est différente ... et peut aboutir à un smtp relay denied, j'ai déjà vu ça sur une conf d'une copine.

[gaetancop]

tu me conseilles de mettre quelle IP pour le DNS ? wanadoo ? ma livebox ? ipcop ? ou encore mon DNS qui pointe sur ma LB ? (j'avoue que la dessusil me manque encore des notions !)

ah aussi, il faut que les configures sur quel poste ? car là, j'ai testé avec le DNS de wanadoo sur IPCop et les 2 SME et rien ne change.

[Gandalf]

Alors, si j'ai bien compris ta SME est dans la DMZ d'un IPCOP, je crois savoir que dans cette zone il y a une sombre histoire qui dit que IPCOP n'arrive pas à résoudre les noms. Normalement tu devrais avoir comme DNS l'IP d'IPCOP dans cette zone ( ça devrait être comme ça ), mais IPCOP n'y arrive pas. Il faut donc d'autres DNS, et en fonction de ce que tu mets tu peux avoir un relay SMTP denied quand ton FAI est Wanadoo.
Le mieux est de voir ton adresse IP publique que t'attribue ton FAI et de mettre les mêmes DNS sur ta SME. Ensuite sur tes PCs clients tu mets ta SME en tant que DNS, et ça devrait rouler.
J'ai eu le cas avec une station alone, je lui avais claqué les DNS d'Oléane ( FAI = Wanadoo ), tout fonctionnait ( surf ... ) sauf qu'elle pouvait pas envoyer de mail vers d'autres domaines. Toutes les adresses en xxxxx@wanadoo.fr ou orange.fr c'était bon, mais les autres nadas !

Voilà, j'espère que ça peut t'aider !

@ +++