El sistema de correo consiste en 1 Servidor de Seguridad, conectado en la DMZ, que valida y enruta los mensajes de entrada desde la Internet, 2 servidores (Servidores 1 y 2) para usuarios del dominio ejemplo.com atendiendo las dos regiones geográficas principales de X empresa, y 1 servidor para el dominio ejemplo2.com.mx. Adicionalmente a los 4 servidores anteriores que están en producción, se tienen configurados 2 servidores de respaldo, con la configuración de los Servidores 1 y 2.

En los mismos servidores de correo configuró los servicios de DNS para atender peticiones internas y externas, con control de los dominios de Internet.

Los usuarios se encuentran en un sistema de directorio operando con Open LDAP, se replica con un
esquema de maestro-esclavo, con la funcion de maestro operando en el Servidor 1 y esclavo en el Servidor 2. (Los archivos de configuración correspondientes se encuentran en el directorio root_backup/openldap del respaldo anexo de los Servidores 1 y 2)
1.1 Direcciones IP de servidores:

• Servidor 1 - 10.65.0.100

• Respaldo Servidor 1 - 10.61.0.7

• Servidor 2 - 10.70.0.100

• Respaldo Servidor 2 - 10.86.0.181

• Servidor de seguridad - IP externa

• Infotel - IP externa

1.2 Archivos anexos

• paquetes_servidor_1.txt, paquetes_servidor_seguridad.txt – lista completa de paquetes registrados en los servidores
• respaldos.tar.bz2 – respaldos de configuraciones

• scripts.tgz – respaldos de scripts para administración de usuarios, envío de mensajes a grupos de usuarios, reportes

2 Software instalado en los servidores

2.1 Principales componentes

Sistema Operativo: Enterprise Linux Enterprise Linux Server release (Carthage)

Postfix: x.x.x

BIND: bind-x.x.x-x.x.x.P1.elx_x

Apache: httpd-x.x.x-x.x.x.elx_x.x

Courier: courier-imap-x.x.x

Squirrel: x.x.x

OpenLDAP: openldap-x.x.x-x.elx_x.x

Antivirus Kaspersky: kav4lms-x.x-x

Cyrus-sasl: cyrus-sasl-x.x.xx-x

PHP: php-x.x.x-xx.elx

GNARWL: gnarwl-x.x.tgz

2.2 SOFTWARE

POSTFIX

Postfix es un Agente de Transporte de Correo (MTA) de software libre y código abierto, un programa informático para el enrutamiento y envío de correo electrónico, creado con la intención de que sea una alternativa más rápida, fácil de administrar y segura al ampliamente utilizado Sendmail.

Postfix es el agente de transporte por omisión en diversas distribuciones de Linux y en las últimas versiones del Mac OS X.

COURIER IMAP

El servidor de correo Courier es un agente de transferencia de correo (MTA) del servidor que proporciona ESMTP, IMAP, POP3, SMAP, correo electrónico, y servicios de listas de correo con los componentes individuales. Es mejor conocido por su componente de servidor IMAP.

APACHE

El servidor HTTP Apache es un servidor web HTTP de código abierto para plataformas Unix (BSD, GNU/Linux, etc.), Microsoft Windows, Macintosh y otras, que implementa el protocolo HTTP y la noción de sitio virtual.

GNARWL

Gnarwl es una respuesta automática de correo electrónico, un programa para responder automáticamente a mensajes entrantes con un mensaje de texto predefinido. Por lo general se utiliza para poner en práctica el "fuera de la oficina", por ejemplo, cuando los usuarios se van de vacaciones, para que haga saber a los clientes, que su correo electrónico fue recibido o para permitir a los usuarios saber que una dirección de correo electrónico específica ya no está en uso activo.

OPENLDAP

OpenLDAP es una implementación de software libre y de código abierto es liberado bajo su propia licencia tipo BSD llamado OpenLDAP Public License. LDAP es un protocolo independiente de la plataforma. Comunmente Linux incluye software OpenLDAP para el soporte LDAP. El software también funciona en variantes BSD, así como AIX, Android, HP-UX, Mac OS X, Solaris, Microsoft Windows (NT y derivados, por ejemplo, 2000, XP, Vista, Windows 7.

SQUIRELL MAIL

SquirrelMail es una aplicación webmail escrita en PHP. Puede ser instalado en la mayoría de servidores web siempre y cuando esten con soporte PHP y el servidor web tenga acceso a un servidor IMAP y a otro SMTP.

SquirrelMail sigue el standard HTML 4.0 para su presentación, haciéndolo compatible con la mayoría de servidores web tambien está diseñado para trabajar con plugins, lo cual hace más llevadera la tarea de agregar nuevas características entorno al núcleo de la aplicación.

Trabaja bajo licenciada bajo la GNU y está disponible en más de 40 lenguajes.

KASPERSKY

Kaspersky Anti-Virus for Linux Mail Server provee protección antivirus efectiva para el tráfico de correo corporativo. La aplicación se integra como un módulo adicional dentro del sistema de correo existente y provee escaneo del tráfico de correo SMTP en tiempo real, buscando códigos maliciosos tambien escanea bajo demanda los sistemas de archivos del servidor, y es compatible con las soluciones más utilizadas, como Postfix, Sendmail, Qmail y Exim.

BIND

BIND “Berkeley Internet Name Domain” es el servidor de DNS más comúnmente usado en Internet, especialmente en sistemas Unix, en los cuales es un Estándar de facto. Es patrocinado por la Internet Systems Consortium.

Bind 9, Es una nueva versión de BIND que fue escrita desde cero en parte para superar las dificultades arquitectónicas presentes anteriormente para auditar el código en las primeras versiones de BIND, y también para incorporar DNSSEC (DNS Security Extensions), incluye entre otras características importantes: TSIG, notificación DNS, nsupdate, IPv6, rndc flush, vistas, procesamiento en paralelo, y una arquitectura mejorada en cuanto a portabilidad. Es comúnmente usado en sistemas GNU/Linux.

SYSLOGD

Es un software que permite comprobar que el sistema corra correctamente y alerta de problemas potenciales, permiten monitorizar diferentes aspectos del sistema e informan sobre aspectos como los niveles de uso o intentos de intrusión.

Resgistra los mensajes de dos tipos:

-system logs: logs generados por el kernel y procesos del sistema

-software logs: logs generados por aplicaciones.

En la mayoría de los UNIX, la gestión de logs está centralizada a través de la función syslog y el demonio syslogd, es decir, la función syslog es la encargada de enviar los mensajes a syslogd, que puede añadir los mensajes a un fichero de log, enviar los mensajes al root o a un grupo de usuarios, escribir los mensajes en consola o enviar los mensajes al demonio syslogd de otro host.

La comunicación entre las aplicaciones y el demonio syslogd se realiza normalmente a través del socket /dev/log. El kernel no habla directamente con syslogd sino que lo hace a través del demonio klogd

LOGROTATE

Logrotate es una aplicación diseñada para facilitar la administración de los sistemas que generan un gran número de archivos de registro. Se permite la rotación automática, compresión, remoción y envío de archivos de registro. Cada archivo de registro puede ser manejado todos los dias, semanal, mensualmente o cuando se hace muy grande.

Normalmente, logrotate se ejecuta como una tarea diaria y no modifica un registro varias veces al día al menos que el criterio para ese registro se incremente en función del tamaño del archivo entonces logrotate se ejecuta varias veces por día.

2.2.2 ARCHIVOS DE CONFIGURACIONES

DNS DIRECTORIO
/etc/namedb
ARCHIVO PRINCIPAL
named.conf
ARCHIVOS DE ZONAS
0.65.10.rev
0.68.10.rev
0.69.10.rev
0.70.10.rev
0.72.10.rev
0.79.10.rev
0.86.10.rev
1.200.10.rev
14.1.128.rev
xxx.xxx.xxx.rev
xx.xx.xxx.rev
xx.xx.xxx.rev
3.77.10.rev
38.1.128.rev
ZONA ROOT
named.root
SMTP DIRECTORIO
/etc/postfix

ARCHIVOS PRINCIPALES
main.cf
master.cf

COPIA OCULTA EN HORARIo de 8:30 A 18:00 HRS
oficina
oficina1

COPIA OCULTA
recipient_bcc

REESCRITURA DE DIRECCIONES

recipient_canonical.regexp
usuarios_ant

EXPRESIONES REGULARES PARA BLOQUEO ARCHIVOS EJECUTABLES, AUDIO Y VIDEO
regexp.body

ARCHIVO PARA BLOQUEO DE DOMINIOS
smtpd_client_restrictions

DOMINIOS VIRTUALES LOCALES Y EXTERNOS
transport
POP3 / IMAP
ARCHIVO PRINCPAL
/usr/local/etc/authlib/authdaemonrc
INTEGRACION CON LDAP
/usr/local/etc/authlib/authldaprc
SCRIPT DE INICIO DE SERVICIO
/etc/init.d/courier
ANTIVIRUS
CONFIGURACION BASE
/etc/opt/kaspersky/kav4lms.conf
CONFIGURACION DE PERFIL GENERAL
/etc/opt/kaspersky/kav4lms/groups.d/default.conf

INTEGRACION EN POSTFIX EN MASTER.CF
#kav4lms-filter-begin
kav4lms_filter unix - - n - 10 smtp
-o smtp_send_xforward_command=yes
127.0.0.1:10026 inet n - n - 10 smtpd
-o content_filter=
-o receive_override_options=no_unknown_recipient_checks,no_header_body_checks,no_addr ess_mappings
-o smtpd_helo_restrictions=
-o smtpd_client_restrictions=
-o smtpd_sender_restrictions=
-o smtpd_recipient_restrictions=permit_mynetworks,reject
-o mynetworks=127.0.0.0/8,[::1]/128
-o smtpd_authorized_xforward_hosts=127.0.0.0/8,[::1]/128
#kav4lms-filter-end

INTEGRACION EN MAIN.CF
#kav4lms-filter-begin
content_filter = kav4lms_filter:127.0.0.1:10025
#kav4lms-filter-end
GARWL
ARCHIVO DE CONFIGURACION
/usr/local/etc/gnarwl.cfg

INTEGRACION EN MAIN.CF DE POSTFIX
always_bcc=gnarwl@mailserver1.xx.ejemplo.com

LDAP CONFIGURACION
/etc/openldap/slapd.conf

SCHEMAS REQUERIDOS
/etc/openldap/schema/core.schema
/etc/openldap/schema/cosine.schema
/etc/openldap/schema/nis.schema
/etc/openldap/schema/courier.schema
/etc/openldap/schema/inetorgperson.schema
APACHE CONFIGURACIONES
/etc/httpd/conf.d/

CONFIGURACIONES PARA DIRECTORIO ESTADISTICAS
stats.conf

CONFIGURACION PARA SOLICITUD DE PASSWORD A DIRECTORIOS RESTRIGIDOS
permisos.conf

CONFIFURACION DE CERTIFICADOS SSL
ssl.conf

ARCHIVOS DE CERTIFICADOS SSL NETWORK SOLUTIONS
/etc/httpd/xx.ejemplo-xx/STAR.XX.EJEMPLO.COM.crt
/etc/httpd/xx.ejemplo-xx/server-EJEMPLO2.key
/etc/httpd/xx.ejemplo-xx/Apache_Plesk_Install.txt
/etc/httpd/xx.ejemplo-xx/NetworkSolutions_CA.crt

CONFIGURACION DE DOMINIOS VIRTUALES
virtual.conf
DATOS

DIRECTORIO PRINCIPAL
/var/www/html/ DIRECTORIO DE WEBMAIL
/var/www/html/mail
DIRECTORIO DE ADMINISTTACION DE USUARIOS
/var/www/html/usuarios
/var/www/html/usuariosspcc
PHP ARCHIVO DE CONFIFURACION
/etc/php.ini
WEBMAIL DIRECTORIO BASE
/var/www/html/mail
CONFIFURACION BASICA
config/config.php
ARCHIVOS DE PERFILES DE USUARIOS Y TEMPORALES
data/

PLUGINS EXTRAS NECESARIOS
CAMBIO DE SERVIDOR IMAP SEGUN CORRESPONDA AL USUARIO
plugins/miplugin/
REDIRECCION DE HTTP A HTTPS EN AUTOMATICO
plugins/https/
BARRA INDICADORA DE ESPACIO UTILIZADO
plugins/espacio/
CAMBIO DE PASSWORD
plugins/cp/
CONFIFURACION DE FORWARD Y VACACIONES
plugins/fv/
Syslog
ARCHIVO DE CONFIFURACION
/etc/syslog.conf
ARCHIVO DE CONFIGURACION DE LOGROTATE
/etc/logrotate.conf
/etc/logrotate.d/

2.3 Compilación de postfix

postfix está compilado manualmente por las dependencias necesarias. Las instrucciones están a continuación:

Aplicar parche http://vda.sourceforge.net/

zcat postfix-2.4.0-vda.patch.gz | patch -p0

compilar con soporte para TLS y LDAP (ver archivos TLS_README y LDAP_README de postfix)

% make tidy # if you have left-over files from a previous build

% make makefiles CCARGS="-DUSE_TLS -I/usr/local/include" AUXLIBS="-L/usr/local/lib -lssl -lcrypto"

% make makefiles CCARGS="-I/usr/local/include -DHAS_LDAP" AUXLIBS="-L/usr/local/lib -lldap
-L/usr/local/lib -llber"

2.4 BITACORAS

Archivos de LOG
Apache
/var/log/httpd/access_log
/var/log/httpd/ssl_access_log
/var/log/httpd/error_log
Postfix
/var/log/maillog
Courier-Imap
/var/log/maillog
Kaspersky
/var/log/kaspersky/kav4lms/keepup2date.log
Bind
/var/log/messages

2.5 TAREAS PROGRAMADAS

2.5.1 Servidor 1

Minuto 1 de cada hora actualizacion de antivirus
1 * * * * /opt/kaspersky/kav4lms/bin/kav4lms-keepup2date

Sincronizacion de la hora con servidor de tiempo

5 */6 * * * /opt/kav/5.5/kav4mailservers/bin/uptime.sh

Ejecucion de script para modificar las copias ocultas de usuarios a partir de las 8:30hrs

30 8 * * * /root/bccoficina/inicio.sh

Desactivación de copias ocultas en horario de oficina a las 18:01 hrs

1 18 * * * /root/bccoficina/fin.sh

Respaldo de BD LDAP a la 1:01 de todos los viernes

1 1 * * 5 /root/ldapbk.sh

Revision de espacio utilizada por los usuarios casa 15 minutos

0,15,30,45 * * * * /var/www/html/usuarios/espacio.sh

2.5.2 Sincronizacion de directorios en servidor de respaldo

#sync apache

1 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /var/www/html 10.61.0.7:/var/www

#sync root

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /root 10.61.0.7:/root/root_backup

#sync conf postfix

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /etc/postfix 10.61.0.7:/root/root_backup

#sync conf apache

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /etc/httpd 10.61.0.7:/root/root_backup

#sync conf bind

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /etc/namedb 10.61.0.7:/root/root_backup

#sync conf openldap

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /etc/openldap 10.61.0.7:/root/root_backup

#sync courier-imap conf

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /usr/lib/courier-imap/etc 10.61.0.7:/root/root_backup/courier-imap

#sync /usr/local/etc

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /usr/local/etc 10.61.0.7:/root/root_backup

#sync /var/backups_bases_ldap

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /var/backups_bases_ldap 10.61.0.7:/root/root_backup

#sync kaspersky conf

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /etc/opt/kaspersky 10.61.0.7:/root/root_backup

#sync datos buzones de correo

30 3,14,19 * * * rsync -q -ae 'ssh -p xxxx' --delete /home/vmail/domains 10.61.0.7:/home/vmail

2.5.3 Servidor 2

Actualización de Antivirus cada hora

1 * * * * /opt/kaspersky/kav4lms/bin/kav4lms-keepup2date

Sincronizacion de la hora con servidor de tiempo

5 */6 * * * /opt/kav/5.5/kav4mailservers/bin/uptime.sh

Revision de espacio utilizada por los usuarios casa 15 minutos

0,15,30,45 * * * * /var/www/html/usuarios/espacio.sh

Sincronizacion de directorios en servidor respaldo

#sync apache

1 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /var/www/html/mail 10.86.0.181:/var/www/html

#sync root

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /root 10.86.0.181:/root/root_backup

#sync conf postfix

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /etc/postfix 10.86.0.181:/root/root_backup

#sync conf apache

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /etc/httpd 10.86.0.181:/root/root_backup

#sync conf bind

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /etc/namedb 10.86.0.181:/root/root_backup

#sync conf openldap

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /etc/openldap 10.86.0.181:/root/root_backup

#sync courier-imap conf

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /usr/lib/courier-imap/etc 10.86.0.181:/root/root_backup/courier-imap

#sync /usr/local/etc

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /usr/local/etc 10.86.0.181:/root/root_backup

#sync kaspersky conf

15 2 * * * rsync -q -ae 'ssh -p xxxx' --delete /etc/opt/kaspersky 10.61.0.7:/root/root_backup

#sync datos buzones de correo

30 3,14,19 * * * rsync -q -ae 'ssh -p xxxx' --delete /home/vmail/domains 10.86.0.181:/home/vmail

2.5.4 Servidor de seguridad

Forzar a la cola de correo ser entregada

0-59/6 * * * * /usr/sbin/postfix flush

Actualización de antivirus

1 * * * * /opt/kaspersky/kav4lms/bin/kav4lms-keepup2date

Actualización de la hora de sistema con un servidor de tiempo

5 */6 * * * /opt/kav/5.5/kav4mailservers/bin/uptime.sh

2.5.5 Servidor X

Actualización de las hora de sistema

5 */6 * * * /opt/kav/5.5/kav4mailservers/bin/uptime.sh

Respaldo de la BD de LDAP

1 1 * * 1,3,5 /root/ldapbk.sh

Actualización de Antivirus

1 * * * * /opt/kaspersky/kav4lms/bin/kav4lms-keepup2date

2.6 SCRIPTS y COMANDOS

2.6.1 Administración de directorio de usuarios

Comando: /usr/bin/ldapsearch -x -b "dc=mm,dc=ejemplo.com" -D "cn=Manager,dc=mm,dc=ejemplo.com" -w ***** >
archivo.ldif

Comando para respaldar la base de datos de LDAP, es necesario indicarle la ruta del archivo donde se va a guardar la información.

Comando: /usr/bin/ldapadd -x -D "cn=Manager,dc=mm,dc=ejemplo.com" -w ***** -f archivo.ldif

En caso de tener que restaurar la BD de LDAP se utiliza este comando especificándole el archivo de donde se obtendrán los datos.

2.6.2 Envío de mensajes a grupos de usuarios

Script: /root/mensajes/envio.sh

Este script envia mensajes de correo electrónico a todos los usuarios del servidor 1 o 2 según se le especifique. (Es recomendable que se ejecute en el servidor correspondiente para evitar que genere trafico entre ambos servidores), modo de ejecutarse:

./envio.sh from [adjunto]

from remitente del mensaje

archivo archivo texto plano con el cuerpo del mensaje subject asunto del mensaje
server 1 o 2

adjunto archivo para adjuntar (opcional)

ejemplo:

./envio.sh "webmaster@xx.ejemplo.com" aviso.txt "Aviso importante" 1

Script: /root/mensajes/grupos/envio.sh

Este script envia mensajes de correo electrónico a una lista especifica de destinos. Así se debe ejecutar:

./envio.sh

./envio.sh [archivo ...]

remitente Remitente del mensaje subject Asusnto del mensaje
cuerpomensaje Archivo texto plano con el cuerpo del mensaje

destinatarios Archivo texto plano con los destinatios, un destinatario por renglon.

archivo Archivos a anexar al mensaje

Ejemplo: ./envio.sh webmaster@mail.xx.ejemplo.com "Aviso importante" mensaje.txt destinatarios.txt file1.doc file2.xls file3.txt

2.6.3 SCRIPTS ADMINISTRACION DE USUARIOS

Directorio: /var/www/html/usuarios

Scripts:

add.php Script PHP que agrega a la BD de LDAP los datos del usuario

agregar.php Pagina para la captura de datos del usuario de correo electrónico

en.php Script que enlista a todos los usuarios y permite editarlos o eliminarlos

del.php Elimina a usuarios de la BD de LDAP

edit.php Muestra los valores de un usuario de LDAP

espacio.sh Script que genera una lista del tamaño de los buzones de los usuarios

mod.php Modifica los valores de un usuario de LDAP

quota.php Muestra el uso espacio utilizado por los usuarios

2.7 Respaldos y Restauración

En el procedimiento que se ejecuta para respaldar la información, se detallan los archivos de configuración. Se anexa una copia de las configuraciones de todos los servidores respaldos.tar.bz2

2.7.1 Respaldos

Los respaldos de los servidores tanto de configuraciones como datos se sincronizan en los servidores de respaldo correspondientes, en el Servidor 1, Servidor 2 y Servidor 1-backup se encuentran en el crontab los comandos para la sincronización de la información. Para el caso de los datos de los buzones se realizan 3 veces al dia 3:30, 14::30 y 19:30hrs y las demás configuraciones a las 2:15hrs

2.7.2 Restauración

Postfix
A) Configuraciones
- Se reemplaza el directorio completo de /root/root_backup /postfix de cada respaldo
- Se deben generar los archivos hash. Cambiarse al directorio /etc/postfix y ejecutar postmap hash:archivo para cada archivo hash (transport, usuarios_ant, senderAccess , access, smtpd_client_restrictions, generic, recipient_bcc, oficina)
-

B) Buzones (no aplica para Servidor de seguridad)
Los buzones están sincronizados en el directorio correcto /home/vmail/domains no es necesario realizar ningún proceso

Courier-IMAP
Este servicio no aplica para Servidor de seguridad
A) Configuraciones
Se deberá reemplazar el directorio /usr/lib/courier-imap/etc si es necesario
B) Iniciar servicio
/etc/init.d/courier start

LDAP
A) Configuraciones
Las configuraciones estan listas en los servidores de respaldo, si fuera necesario se reemplzan los archivos del directorio /root/root_backup/openldap del servidor de respaldo correspondiente

B) Cargar la BD
- Dar de baja openldap /etc/init.d/ldap stop
- Borrar la BD existente rm /var/lib/ldap/*
- cargar la BD del respaldo ldapadd -x -D "cn=Manager,dc=mm,dc=ejemplo.com" -w *** -f ldif-respaldo

Antivirus
A) Configuraciones
Los archivos a reemplazar son
kaspersky/kav4lms.conf y kaspesky/kav4lms/groups.d/default.conf

B) Actializaciones ejecutar
/opt/kaspersky/kav4lms/bin/kav4lms-keepup2date -e

C) Iniciar servicio ejecutar
/etc/init.d/kav4lms restart
/etc/init.d/kav4lms-filters restart

Apache
A) Configuraciones
Reemplazar los archivos /etc/httpd del respaldo correspondiente
B) Datos
Reemplazar el directorio /var/www del respaldo que le corresponde
BIND
A) Configuraciones
Reemplazar los archivos /etc/bind del respaldo correspondiente

NOTAS:

1. Los servidores de respaldo de Servidor 1 y Servidor 2 tienen las configuraciones listas para entrar en producción, el único proceso que haría falta es el levantamiento de la BD de LDAP del respaldo de BD.

2. Para Servidor 1 y Servidor 2 los servicios con cambios mas frecuentes son BIND y Postfix, es recomendable revisar que archivos son los que tienen cambios para reemplazarlos

3. Importante mantener encendidos los servidores de respaldos para garantizar la recuperación de la información