Какую спаморезку использовать перед Exchange 2019? Postfix + calmav какойнить либо proxmox mail gateway или?

Question

[bassoon48]

Оказывается с ORF лавочку прикрыли и для 2019 версии халявной больше нет. Нужно что-то линуксовое думать.

Основной сервер Exchange 2019 будет (щас пока что 2010, готовлюсь к миграции).

Ну вот и заранее думаю чем и как буду резать спам, чё та опенсорное нужно рассматривать или торрент-эдишн чё нить))

П. С. 2022 уже можно бесплатно использовать чангу или пока на 2019 сидим и с поднятым Роджером?

Нада опенсорное и бесплатное или торрент эдишн

Answer 1

[Евгений Хлебников]

для начала - попробуйте встроенные в Exchange агенты фильтрации спама, если у вас нет предпочтений. Когда я в последний раз работал с ними они были слабоваты, но MS улучшает многое в корпоративных продуктах, так что может быть и зайдет вам
Если нет - rspamd, clamav. Про касперского говорят еще хорош (но тут платить придется :D)
Еще вариант - использовать внешний сервис для фильрации, раньше был сервис "спаморезка" но давно почтой организации не занимался, не знаю куда делась )

Comments

[bassoon48]

Я пробовал. Встроенные агенты спама конченные и НЕ НАСТРАИВАЮТСЯ. Работают КАК ИМ ВЗДУМАЕТСЯ)

Опыт ужасный, но это лучше чем ничего. Мне нужна полная власть и прозрачность

[bassoon48]

Proxmox Mail Gateway вариант?

А под что развораивать rspamd и clamav? Под postfix или чё та вменяемое есть более менее? И на чём? centos debian, freebsd, gentoo, redhat? ubuntu?)

[Евгений Хлебников]

bassoon48,

Мне нужна полная власть

мне нравится ваш подход )

[bassoon48]

Мне нада торрент эдишн либо опен отсосорсное но вменяемое типа Proxmox Mailg Gateway + прикрутить бесплатный репозиторий

[Евгений Хлебников]

bassoon48,

Proxmox Mail Gateway вариант?

А под что развораивать rspamd и clamav? Под postfix или чё та вменяемое есть более менее? И на чём? centos debian, freebsd, gentoo, redhat? ubuntu?)

с каким MTA и OS умеете работать - там и разворачивайте. Один фиг скорее всего в докере запускаться будете.

[bassoon48]

Евгений Хлебников, неа)) ESXI 6.7 ))

Тоже надо мигрировать на 7 хотя бы, но пока патчи 2024 года есть на 6.7 устраивает

[bassoon48]

Евгений Хлебников, хочется и функциональное и не особо геморное, в консоли без GUI или WEB будет ооооочкеь тяжело. очень

[Евгений Хлебников]

bassoon48, ну тут "на вкус или цвет все фломастеры разные" в смысле удобства
пробуйте

[bassoon48]

Евгений Хлебников, короче говоря сделал следующее

Мигрировал Exchange 2010 с Windows server 2008 r2 на Windows Server 2012 R2

Это нужно было для того чтоб сменить имя сервера. Раньше адрес почты и имя сервера локального совпадали и был гемор.

Щас у меня условно ссылка это mail.example.ru

А сам сервак SRV-EXCH2010.example.ru

DAG не стал делать ибо смысла 0% лишь лишний геморой когда ты 1 админ.

А вот спаморезку Proxmox Mail gateway решил поставить уже сейчас и это ИМБА!!!!

[bassoon48]

Евгений Хлебников, следующий этап будет миграция на 2016.

Дальше буду думать либо на 2019 прыгать либо ждать 2025 чангу и сразу на неё прыгать.

П. С. спаморезка прям ваще имба, считай и постфикс и спамассасин и Clamav. А чё ещё надо? всё что надо есть и удобство чанги и безопасность линуха.

Answer 2

[Роман Безруков]

Нада опенсорное и бесплатное

Postfix + calmav какойнить либо proxmox mail gateway

что больше известно, предлагает больше удобств/возможностей (у Proxmox, например, готовый ISO-образ) и т.д.
из платного:
- KSMG (Kaspersky Secure Mail Gateway, тоже готовый ISO-образ), внутри - Debian, Postfix & Co с добавками от Касперского и т.д.
- встроенная роль Exchange Edge Server, ставится отдельно от других

P.S. с Ex2010 до Ex2019 прямого обновления нет...

Comments

[bassoon48]

Про 2010 и 2019 в курсе. Edge не вариант чета не особо хвалят да и редко используют.

Платные решения типа касперского это гуд.

Но нужны либо опенсорс либо платные торрент эдишн Весёлый Роджер.

Мы же все таки не госы (соболезную им, такую парашу российскую хавать это капец для сис админов)

[Роман Безруков]

bassoon48, забесплатно

Postfix + calmav какойнить либо proxmox mail gateway

[bassoon48]

Роман Безруков, я в курсе про это тоже.

Что лучше? Удобная веб морда в proxmox Mail gateway или древнючий позорный cli в potfix, и когда у тебя 1000 ящиков ты сутками будешь траблшутить. Вот и хз что лучше.

[bassoon48]

Роман Безруков, все таки cli для траблшутинга в 24 столетии это немного зашквар.

Я как то поднимал potfix и dovecot на redhat с включённым selinux.

Весь обплевался. Миллиард проблем было и постоянно логи читать надо было в уродской cli

[Роман Безруков]

bassoon48, еще есть Kaspersky Security for Exchange (KSE) - платный антиспам/антивирус (по кол-ву ящиков), ставится прямо на сервер Exchange...помимо проверки входящей/исходящей почты также умеет проверять почтовые базы

[bassoon48]

Роман Безруков, слышал и предлагали.

Нету торрент эдишн поэтому не пойдёт

Answer 3

[Sasha Odarchuk]

Proxmox Mail Gateway

Answer 4

[nikerossxp]

hMail mail server

только надо немного по форуму поковыряться, найти там топик с релиз-кандидат сборками, они там много пофиксили относительно стабильной ветки, а проблем не добавили

плюсы: очень гибкий, поддерживает clamav, можно поставить на тот же сервер, что и exchange (назначить нестандартные порты) и т.д.

минусы: работает либо с sqlite, либо с mysql. Нет версии для линухов.

Comments

[bassoon48]

В минусы я бы ещё записал, то что работает совместно с Exchange на одном сервере. После курения мануалов понял что лучше Exchange ставить ПЕРЕД любой спаморезкой или релеем

[nikerossxp]

bassoon48,

не знаю что за мануалы такие и в чём логика: если на exch надо отрезать лишний спам более удобной спаморезкой, то как она будет работать после него?

у меня спокойно не один год работают несколько доменов в такой связке: hMail чистит почту и пересылает валидную на учётки exch
или в обратном порядке - почта с exch идёт через релей hMail.

[bassoon48]

nikerossxp, ну потому что спаморезка у тебя в DMZ зоне например куда всякий мусор и триппер сыпется из интернета, торчит опой в мир.

Можно и без DMZ, даже без будет более секьюрно и безопасно.

А сам экчендж в безопасном влане внутри сети. И даже если спаморезка ляжет - postfix, proxmox mail gateway или любое другое решение платное, то с внутренним серваком них не будет.

Плюс это тупо удобнее - веб морда, все письма видишь куда чё идёт, можешь подглядывать и пересылать тайно начальству, можно DKIM сделать ОДНИМ ЩЕЛЧКОМ 21 пальца.

То что у тебя спойно чё то там работает, это не говорит о том что ТАК НАДО делать всем.

Почитай форумы, абсолютное большинство всегда ставят ПЕРЕД чангой спаморезку. Ну кто то через эдж сервера мутит, но на линуксе круче и функциональнее и бесплатно

[bassoon48]

nikerossxp, проксирование ВСЕГДА безопаснее торчания голой жопой. ЭТо просто best practice у тут спорить смысла 0.

Хошь линух ставь хоть эдж хоть ещё чё.

Можешь и ORF если денег полно, так как на чангу 2019 и выше его тупо нет халявного.

Хз я предпочитаю разделять и властвовать. Чем когда тебе нае сервисы и у тебя всё посыпется как овно

[bassoon48]

nikerossxp,

работать после него

и не ПОСЛЕ, а ПЕРЕД! Учи матчать

Плюс если ты обратил внимание при установке Чанги ставится несколько ролей. Это не говорит о том что все роли НАДО ставить на один сервер, это для того чтоб как раз таки роли разделять и повышать отказоустойчивость.

Зачем?

Почитай тут же на хабре

[nikerossxp]

какую-то чушь ты тут принёс сам себе... эксченж перед спаморезкой, прокси, разные роли серверов exchange....

Разъясняю: спаморезка висит наружу портами 25, 587, 465 (устарел)
Принимает на себя все письма для указанного домена. Ответы о недоступности можно удалять правилами. Прогоняет через clamav, dns blacklist, surbl списки или вообще использует политику серых списков. Дополнительно можно сделать правило, которое будет по ключевикам типа "вам подарок", "купить крипту" сообщение помечать внутри заголовков спамом или удалять с концами. Так же для спама гибко настраиваются пороги помечания спамом и полного удаления без пересылки.
Плюс встроенный fail2ban, от попыток неавторизованных отправок.
Далее, если письмо прошло проверки, оно отправляется на exchange, в котором можно настроить правила проверки наличия пометки на спам в заголовке, что бы уже внутри экща письмо помечалось нежелательным и летело в соответствующую папку.
Более того, это работает и в обратную сторону - если наружу ехщ отправляет письма через спаморезку, то их можно подвергать анализу на ключевики и вирусы.
Итого - exchange наружу вообще не смотрит. А если нужна его веб-морда и возможность подрубать outlook - вот уже тут можно прокси вкорячить, например nginx.

Почему то, что hmail можно поставить на тот же сервер что и эхщ - плюс? Потому что экономия ресурсов, не нужно отдельную систему для этого поднимать. А можно и на отдельной тачке поднять, я подчеркнул исключительно гибкость системы.

[bassoon48]

nikerossxp, не надо мне разъяснять, всё, усохни.

Я даже читать не стал твою хрень, хватило. Все нормальные админы ставят спаморезку и релей в DMZ. Сам сервак внутри локалки.

Потому что когда твой сраный хмаил ломанут за ним уйдёт и DAG. А так сдохнет релей и х с ним.

Остальное нагуглишь, студент. Правила админов написаны вазелином, безопасности много не бывает.

П. С. такие как ты ставят 1С/SQL/RDS на одном сервере и гордятся этим. А я этих админов лишаю премий и увольняю, заставляя всё переделывать. Либо делаю сам

[nikerossxp]

bassoon48,

спасибо, посмеялся! ничего не знает, делает всё сам, и премии кого-то лишает (видимо, себя).

[bassoon48]

nikerossxp, а что по твоему все начальники белоручки только бумажки подписывают?