Mail u sebe doma

[Filip Jirsák]

Ze sem chrlite hromadu textu jeste neznamena, ze jde o validni argumenty.

Vida, takže argumenty vidíte. Teď ještě abyste pochopil, že když se vám nějaký argument nelíbí, neznamená to, že neexistuje.

[Reklama]

[arrange]

Správa SMTP serveru a klienta je otrava a ztráta času pro toho, koho to nebaví. Za tu dobu, co to tady rozebíráme, by průměrný programátor naprogramoval kostru SMTP serveru.

Takže z mých zkušeností bych doporučoval udělat ještě jeden krok dál a naprogramovat si to sám. Udržovat konfigurační soubory a aktualizace je hrozná nuda, ale hrábnout do kódu a udělat si to přesně tak, jak chci, to teprve přináší pocity uspokojení  Možná ještě více pro toho, kdo není profesionální programátor.

Výhoda SMTP je, že kód nemusí být nějak zvlášť optimalizovaný a rychlý. U emailů si vždycky můžeš dát voraz.
Dále: základ SMTP je děsivě primitivní: HELO - OK - MAIL FROM - OK - RCPT TO - OK - DATA - OK - QUIT. 
Je dobré oddělit démona pro příjem a odesílání pošty, a každého si pohlídat zvlášť. Např. SMTP klient samozřejmě přijímá požadavky jen přímo ode mne, ošetřené např. přes firewall a pak přímo v kódu. Je dobré všechny kontroly duplikovat a pak ještě sledovat logy.

Když uslyšíš o nějaké zranitelnosti v jiných klientech, hned přemýšlíš - mohlo by se to stát i mně? Někdy zjistíš, že jo, a musíš to celé přepsat. Opruz! Anebo zábava To už má každý jinak.

Tento přístup má ale jednu velkou nevýhodu: jakmile se ti to povede, máš chuť si pak programovat sám všechno: web server, šifrování, imap,... Protože žádná aplikace nikdy nebude přesně taková, jakou chceš a potřebuješ, a musíš si ji pak napsat sám. 

[_Tomáš_]

Spravujeme v týmu několik desítek mailových serverů pro klienty. Starat se o to nemusím, pokud posílám a přijímám minimum emailů, jakmile ale chci psát kdekomu, začíná to správný kolečko.

Dovecot má CVE skoro každý měsíc, zejména poslední dobou, jsou to různé chyby parsování, zaměnitelné UTF-8, chyby oprávněné. Roboti, kteří to zkouší jsou děsně rychlí, na některých prostředích trvalo hodiny než došlo k využití zranitelnosti. Pak to jsou hodiny práce udělat čistku postiženého prostředí.

Např. deset let staré nastavení nejspíš neobsahuje DKIM, to se objevilo později, je to jeden z důležitých bezpečnostních mechanismů při posílání emailů.

Hodně bude záležet s kým si píši emaily. Nejvíce času tráví kluci s řešením nedoručování emailů (na obou stranách). Běžně končí na různých gray listech (zdravím virusfree.cz) a vzniká zpoždění. Občas druhá strana má nevalidně nastavený email (řada malých společností to má v dezolátním stavu), takže je nutné jim napsat, zajistit nějaký workaround. MS Office 365 má hodně přísná pravidla a vyplňujeme jeho hlášení často. Velký problém je blokování celých subnetů, takže stačí neukázněný soused a kolečko odstranění ze spam listů trvá (ne každý má na vlastní AS nebo celý subnet). Byl bych opatrný v tvrzení, že emailový server nepotřebuje pozornost, zejména, když nevím dopředu s kým budu komunikovat a jak často.

Mít ho na příjem pár newsletterů, pár notifikací a poslání několika emailů, proč ne, ale ta nejistota při poslání emailu, jestli se odeslal mě občas ničí. Běžně je odchozí log plný hromady chyb při posílání, pořád hlídat, jestli můj email odešel je prostě nepříjemné a pokud to někdo nesleduje, rád bych ty logy ze zajímavosti viděl, co vlastně obsahují.

Teď třeba u některých řešíme úpravu, kdy se nám díky relay objevuje v hlavičkách Received from: localhost, což se některým spam filtrům nelíbí a chtějí tam mít IP adresu serveru. Dříve to nebylo potřeba, nově je.

Spam, velikosti schránek, push notifikace a připojení z různých klientů ani nezmiňuji. Další velký problém vlastního řešení je kontrola a upozornění na podvodné emaily, některé umí být hodně zdařilé, dnešní emailoví klienti strašně rádi cokoliv rovnou otevírají a načítají, pak stačí jednoduchý cílený útok a mám díru do vlastního systému, zpravidla o tom úspěšném ani nevím...

[PanVP]

Myslím si, že to je přesně to, za co tu naše partaj (vedená vůdcem Filipem Jirsákem) naráží.
Tak to prostě je.

[RDa]

Např. deset let staré nastavení nejspíš neobsahuje DKIM, to se objevilo později, je to jeden z důležitých bezpečnostních mechanismů při posílání emailů.

DKIM neresi spam, ale podvrzene/modifikovane maily. Prevazna vetsina doruceneho spamu u me ma spravny DKIM... spammeri si udelaj domenu, zaplati VPS a vesele posilaji svoje h**na.

Hodně bude záležet s kým si píši emaily. Nejvíce času tráví kluci s řešením nedoručování emailů (na obou stranách). Běžně končí na různých gray listech (zdravím virusfree.cz) a vzniká zpoždění. Občas druhá strana má nevalidně nastavený email (řada malých společností to má v dezolátním stavu), takže je nutné jim napsat, zajistit nějaký workaround. MS Office 365 má hodně přísná pravidla a vyplňujeme jeho hlášení často. Velký problém je blokování celých subnetů, takže stačí neukázněný soused a kolečko odstranění ze spam listů trvá (ne každý má na vlastní AS nebo celý subnet). Byl bych opatrný v tvrzení, že emailový server nepotřebuje pozornost, zejména, když nevím dopředu s kým budu komunikovat a jak často.

Takze vy mate nejvetsi problem s profesionalama od takoveho majkrosoftu? A jste jim vyplnujete nejake lejstra?? wtf??? To zcela vyvraci predpoklad Filipa, ze potizisti jsme my - mali samodomo spravci. Vy mate taky problemy se sousednima IP? Bozemuj, co jste to za providera?? To bych cekal jedine u na kolene udelaneho MTA. Zpozdeni emailu je ale normalni - nikde neni dano, ze email ma byt nahrazka IM sluzby. A ze jini profici zpozduji vsechno (a ja jenom ty, ktere se me nelibi..) zcela vyvraci predpoklady zdejsiho panacka jirsacka.. ktery tak strasne rad kyda sva pseudomoudra proti me.

Takze si to zhrnme - prvni profesional co se tady vyjadril - ma omnoho vetsi problemy jako bezny franta admin (aka RDa), se svyma mejlama :) tak to je docela k smichu tedy :)) Nemyslite? Myslim ze neco delate hooodne spatne, pokud je nase skore takove, jake je. Nechtete prozradit, co jste to za sluzbu? At se vam vsichni obloukem vyhnou.

[Reklama]

[David]

Není moc zřejmé, jestli píšete se sarkasmem nebo ne. Ale Tomáš to popsal dobře, tak to je. Minimálně nějakou dobu po nastavení serveru musíte logy sledovat a být si jistý, že e-maily odchází. Dojít může k mnoha problémům a že má nějaký velký poskytovatel nějaké své řešení antispamu, to je nakonec váš problém, protože vašim uživatelům e-maily neodejdou (a kdyby použili jiného poskytovatele, tak by to fungovalo) - takže to musí fungovat i u vás. Pak jdete a ověřujete doménu, přidáváte TXT do DNS a děláte všechno možné...

[Filip Jirsák]

Takze si to zhrnme - prvni profesional co se tady vyjadril - ma omnoho vetsi problemy jako bezny franta admin (aka RDa), se svyma mejlama tak to je docela k smichu tedy Nemyslite? Myslim ze neco delate hooodne spatne, pokud je nase skore takove, jake je. Nechtete prozradit, co jste to za sluzbu? At se vam vsichni obloukem vyhnou.

Jasně, když už jste do toho šlápl, tak se v tom ještě pořádně vyválejte…

Mýlíte se ovšem v tom, že je rozdíl, kdo jaké problémy má. Ne, rozdíl je v tom, kdo o problémech ví.

Nicméně i to je zpráva pro WIFTa. Pokud nejste takový mistr světa jako RDa, který provozuje domácí mail server a poučuje o správě poštovního serveru LinkedIn, eBay nebo správce desítek poštovních serverů, pak s provozem poštovního serveru můžete mít docela voser.

[PanVP]

Pokud nejste takový mistr světa

Zase nemusíš být hnusnej, oba popisujete dvě strany stejné mince.

[Filip Jirsák]

Pokud nejste takový mistr světa

Zase nemusíš být hnusnej, oba popisujete dvě strany stejné mince.

Já hnusnej nejsem. Hnusnej je RDa, když zesměšňuje _Tomáše_ a jeho kolegy. Jenom proto, že _Tomáš_ pravdivě popsal něco, o čem RDa nic neví.

[virtualtomas79]

Celé jsem to nečetl, ale osobně se mi osvědčil jeden opensource produkt. A tím je ISPConfig. Webhosting a Emaily a vše co je k tomu třeba na jednom serveru a je vystaráno. Chce to samozřejmě taky vlastní zkušenosti s konfigurací, ale ISPConfig značně usnadní pozdější správu subdomén, aliasů apod. Jsem s tím již roky spokojený.

[RDa]

Není moc zřejmé, jestli píšete se sarkasmem nebo ne. Ale Tomáš to popsal dobře, tak to je. Minimálně nějakou dobu po nastavení serveru musíte logy sledovat a být si jistý, že e-maily odchází.

Logy sleduji treba porad (tedy, sleduje je za me stroj). Co by to byl za admina, kdyby resil dohled nad svoji sluzbou jen pri instalaci a behem produkcniho provozu se na to vykaslal.

Casto jsou ale situace, kdy v logu mam ze protistrana vrati 200 OK, ale pak to krutoprisnej filtr zamete do spamu - treba kvuli priloham (pdf, firmware binarky, a pod). Mam jednoho UK zakaznika, kteri outsourcuji mailove sluzby a nejsem jedinej, u koho si musi davat pozor. Bohuzel nedokazou prijit na to, proc se to deje, ale nastesti mame i jine kanaly, nez mail, kdyz se neco aktivne resi. (mx je pod smtp-engine.com)

[Filip Jirsák]

Casto jsou ale situace, kdy v logu mam ze protistrana vrati 200 OK

Jestli e-maily zkoušíte doručovat ostatním serverům přes HTTP, leccos to vysvětluje…

(Určitě se zase dozvíme, že to byl jenom překlep, vždyť pětka je tak blízko nule. Ale když vy v téhle diskusi máte na tyhle drobnosti takovou smůlu…)

[RDa]

Casto jsou ale situace, kdy v logu mam ze protistrana vrati 200 OK

Jestli e-maily zkoušíte doručovat ostatním serverům přes HTTP, leccos to vysvětluje…

(Určitě se zase dozvíme, že to byl jenom překlep, vždyť pětka je tak blízko nule. Ale když vy v téhle diskusi máte na tyhle drobnosti takovou smůlu…)

Vynechal jsem tecky z 2.0.0 dsn .. proto beru 200 jako success kod k doruceni

status=sent (250 2.0.0 Mail 600467936 queued for delivery in session 7dac0000002b.)

viz:

Kód: [Vybrat]

2.0.0 – Email has been delivered to the Inbox.
Ale ne vzdy to plati ze to je v Inboxu (muze to byt prave ve spamfolderu), to se pak blbe ladi kdyz MTA lze :-)

[veskotskujehnusne]

Ne, tak to není. Já pracoval u nejmenované společnosti asi před deseti lety, neprovozovali jsme desítky e-mail serverů, spíš tisíce, takže zkušenost mám také. A ano, neustále jsme něco řešili, ale dokola to bylo to, že někomu uhodli heslo 1234, ten rozeslal spam a IP se dostala na blacklisty. Nevím, jestli se doba o tolik změnila, ale záplatovat CVE jsme do druhého dne nemuseli... Pokud udržuje člověk e-mail pro pár lidí a nemá tam masy troubů, co si neumí nastavit heslo, ten problém prostě není. Skóre mám 10/10 při odesílání pryč a při tomto skóre mi dojde naprosto všechno a všude. Pokud by něco takového někdo zahodil, neprošlo by mu nic a toho by si asi všimli.

Pokud máte nízké skóre při odesílání, protože vám něco chybí nebo podobně, je to prostě vaše chyba.

Myslím si, že to je přesně to, za co tu naše partaj (vedená vůdcem Filipem Jirsákem) naráží.
Tak to prostě je.

[Filip Jirsák]

Skóre mám 10/10 při odesílání pryč a při tomto skóre mi dojde naprosto všechno a všude. Pokud by něco takového někdo zahodil, neprošlo by mu nic a toho by si asi všimli.

To je skóre doručení do inboxu? Jak ho víte? Nebude ono to spíš skóre e-mailů, které vám protistrana neodmítne?

Víte co je zajímavé? Jak všichni, kteří se chlubí 100% úspěšností při odesílání e-mailů nebo eliminaci spamu, ani nevědí, co   vlastně znamená který ukazatel.