Início / server / Perguntas / 957154
Accepted
Esa Jokinen
Asked: 2019-03-08 01:21:51 +0800 CST

OpenDMARC com vários MX: configuração correta para confiança entre servidores

  • 772

Existem muitos tutoriais sobre como configurar o OpenDMARC em sua versão favorita do Linux, mas todos eles se concentram em configurações de servidor único. Meu objetivo era manter os servidores MX secundários de backup, mas fazer RejectFailures truecom que o DMARC p=rejectfosse realmente satisfeito.

Isso levou a um problema: a configuração de exemplo tem TrustedAuthservIDs HOSTNAMEfontes SPF e DKIM de upstream. Se isso fosse usado para listar servidores MX secundários, permitiria ignorar completamente as verificações do OpenDMARC no MX primário com um único cabeçalho forjado.

Authentication-Results: <HOSTNAME>;
        dkim=pass (1024-bit key; unprotected) header.d=example.com [email protected];

Como configurar a confiança entre o MX primário e o secundário sem essa falha?

Esta é uma reescrita de outra pergunta no Security Stack Exchange para o escopo de falha do servidor.

dmarc

1 respostas

  1. Best Answer

    Resumidamente:

    • O OpenDMARC pode e deve verificar o SPF de forma independente.
    • O OpenDKIM deve validar a assinatura mesmo que já esteja "validada". (Em um único MX também!)
    • A confiança entre os servidores MX não deve depender do cabeçalho, mas da conexão SMTP.

    Como configurar isso?

    1. Você pode seguir um tutorial para configuração inicial de (SPF,) OpenDKIM e OpenDMARC.

      (Depois disso, o Postfix tem o OpenDKIM e o OpenDMARC configurados como filtros SMTP.)

    2. Alterações na configuração do OpenDMARC/etc/opendmarc.conf para todos os servidores MX :

      • Use o milter OpenDMARC para rejeições de estágio de conexão (o padrão é false):

        RejectFailures true

      • Não confie em verificações externas de SPF de pypolicyd-spf ou alternativa. Realize a própria verificação:

        SPFIgnoreResults true
SPFSelfValidate true

    3. OpenDKIMGenericName deve ser configurado para adicionar cabeçalho mesmo quando já existe. /etc/opendkim.conf:

      AlwaysAddARHeader yes

    4. Uma vez que cada MX tenha o #1-#3 configurado, o OpenDMARC no MX primário pode confiar nas verificações feitas por outros servidores MX; e-mails falsificados já devem ser rejeitados pelo MX secundário. Não os liste noTrustedAuthservIDs , porque é vulnerável à falsificação de cabeçalho. Há outra opendmarc.confopção mais adequada para isso:

      IgnoreHosts (corda)

      Especifica o caminho para um arquivo que contém uma lista de nomes de host, endereços IP e/ou expressões CIDR que identificam hosts cujas conexões SMTP devem ser ignoradas pelo filtro. Se não for especificado, o padrão é 127.0.0.1apenas.

      IgnoreHosts /etc/opendmarc-ignorehosts.conf

      ...e liste os endereços IP dos servidores MX secundários nesse novo arquivo de configuração.

    • 2

relate perguntas