Корпоративная почтовая система на базе высокодоступного кластера

­         средства удаленного управления LO 100i снижают время простоя сервера;

­         Модуль TPM позволяет использовать аппаратное шифрование и проверку подлинности для дополнительной защиты данных.

Следующим компонент системы это сетевое устройство хранения или RAID-массив. В данном случае можно обойтись первым. На рисунке 2.9 представлено устройство хранения, удовлетворяющее всем потребностям разрабатываемой почтовой системы. Жесткие диски SeaGate с широкими возможностями модернизации обеспечивают надежное и безопасное хранение данных, соответственно являются приемлемым решением для корпоративного сектора. В таблице 2.14 даны характеристики устройства.

Рисунок 2.9 – Seagate FreeAgent GoFlex Net STAK200

Таблица 2.14 – Характеристики Seagate FreeAgent GoFlex Net STAK200

Чтобы обезопасить систему от скачков напряжения следует снабдить сервер источником бесперебойного питания. ИБП Back-UPS RS обеспечивает высокопроизводительную защиту компьютерных систем для бизнеса и офиса. Он обеспечивает батарейную поддержку, позволяющую продолжить работу при отключениях энергоснабжения средней и большой продолжительности. Кроме того, устройство защищает оборудование от разрушительных скачков и перепадов напряжения, проникающих через электрические и телефонные линии, а также через линию локальной сети. На рисунке 2.10 представлен выранный ИБП. В аблице 2.15 даны его характеристики.

Рисунок 2.10 – APC Back-UPS RS BR550GI 550ВА Black

Таблица 2.15 – Характеристики APC Back-UPS RS BR550GI 550ВА Black

2.8 Обоснование выбора программных продуктов используемых в почтовой системе

CentOS (Community ENTerprise Operating System) — дистрибутив Linux, основанный на коммерческом Red Hat Enterprise Linux компании Red Hat и совместимый с ним. Red Hat Enterprise Linux состоит из свободного ПО с открытым кодом, но доступно в виде дисков с бинарными пакетами только для платных подписчиков. Как требуется в лицензии GPL и других, Red Hat предоставляет все исходные коды. Разработчики CentOS используют данный исходный код для создания окончательного продукта, очень близкого к Red Hat Enterprise Linux и доступного для скачивания. Существуют и другие клоны Red Hat Enterprise Linux, созданные на основе этого кода.

Postfix – агент передачи почты (MTA — mail transfer agent). Является свободным программным обеспечением. Postfix создавался как альтернатива Sendmail. Считается, что Postfix быстрее работает, легче в администрировании, более защищён и, что важно, совместим с Sendmail.

OpenLDAP - открытая реализация LDAP, разработанная проектом OpenLDAP Project. Распространяется под собственной лицензией, называемой OpenLDAP Public License. LDAP — платформенно-независимый протокол. В числе прочих есть реализации для различных модификаций BSD, а также Linux, AIX, HP-UX, Mac OS X, Solaris, Microsoft Windows (NT и наследники — 2000, XP, Vista, Windows 7) и z/OS.

Dovecot – свободный IMAP- и POP3-сервер, разрабатываемый в расчёте на безопасность, гибкость настройки и быстродействие. Первый релиз состоялся в 2002 году.

Clam Antivirus – пакет антивирусного ПО, работающий во многих операционных системах, включая Unix-подобные ОС, OpenVMS, Microsoft Windows и Apple Mac OS X. Выпускается под GNU General Public License и является свободным программным обеспечением.

ClamSMTP – это SMTP-фильтр, который позволяет взаимодействовать Postfix и ClamAV.

SpamAssassin - эффективное средство для фильтрации спама, основанное на взаимодействии ключевых компонентов — оценочного сервиса, транспортного агента и базы шаблонов писем. SpamAssassin использует Байесовскую фильтрацию, обработку DNSBL, Sender Policy Framework, DomainKeys, DKIM, Razor и другие методы распознавания спама. Является проектом верхнего уровня в Apache Software Foundation.

OpenSSL – криптографический пакет с открытым исходным кодом для работы с SSL/TLS. Позволяет создавать ключи RSA, DH, DSA и сертификаты X.509, подписывать их, формировать CSR и CRT. Также имеется возможность шифрования данных и тестирования SSL/TLS соединений. Доступна для большинства UNIX-like операционных систем (включая Solaris/OpenSolaris, Linux, Mac OS X, QNX4, QNX6 и четырех операционных систем BSD с открытым исходным кодом), а также для OpenVMS и Microsoft Windows. Распространяется по лицензии OpenSSL License, SSLeay License.

Squirrelmail — это клиент для работы с электронной почтой с веб-интерфейсом, написанный на PHP с использованием CSS и XHTML и технологии AJAX. Squirrelmail устанавливается практически на любой сервер с поддержкой PHP и MySQL и предоставляет возможность работы с почтовыми ящиками по протоколам IMAP и SMTP. Выпускается под лицензией GPL и является свободным программным обеспечением.

DRBD (Distributed Replicated Block Device — «Распределённое Копируемое Блочное Устройство») – это блочное устройство, обеспечивающее синхронизацию (RAID1) между локальным блочным устройством и удалённым. Одним из применений является построение отказоустойчивых кластерных систем на операционной системе с ядром Linux. Распространяется по лицензии GPL.

Heartbeat – продукт проекта Linux-HA, позволяющий реализовать механизм безотказной  работы  отдельных частей кластера. Отвечает за обнаружение выпадения узла из кластера.

BIND (Berkeley Internet Name Domain, до этого: Berkeley Internet Name Daemon) – открытая и наиболее распространённая реализация DNS-сервера, обеспечивающая выполнение преобразования DNS-имени в IP-адрес и наоборот. Распространяется по лицензии BSD-License.

3 Реализация корпоративной почтовой системы

3.1 Этапы установки и настройки компонент почтвой системы

Установка всех компонент системы, всех сервисов, включенных в проект производится в командной строке. Для установки требуются права суперпользователя, следовательно, можно производить установку только пользователем root. Далее приведены все команды для установки и параметры, которые необходимо изменить в конфигурационных файлах.

3.1.1 Установка и настройка DNS-сервера BIND

Master DNS-сервер – главный DNS-сервер для зоны, только он имеет право вносить в нее изменения, другие могут получать и хранить у себя, отдавая на запросы клиентов. Здесь ключевое отличие в возможности редактировать файл зоны, изменять список NS-серверов для нее и прочие записи.

Пакет bind-chroot содержит необходимую структуру каталогов для chroot-окружения, пакет caching-nameserver содержит все необходимые файлы. Все остальное, что понадобится в работе будет установлено как зависимости.

Необходимо установить пакеты bind-chroot и caching-nameserver. Установка выполняется через командную строку. Делается это следующим образом:

# yum -y install bind-chroot caching-nameserver

Команда chkconfig добавит программу в автозагрузку.

# chkconfig named on

Настраивать named рекомендуется в chroot-окружение, это когда для сервиса создана своя рабочая среда, в рамках которой он работает. Он нечего не знает о внешней системе и не может туда выбраться, и в случае проблем с безопасностью это никак не повлияет на систему в целом. Поэтому и выбран пакет bind-chroot.

Файл /var/named/chroot/etc/named.conf

options

{

        directory «/var/named»;

        dump-fi  le               «data/cache_dump.db»;

        statistics-fi  le         «data/named_stats.txt»;

        memstatistics-fi  le      «data/named_mem_stats.txt»;

        version «Made in USSR»;

        listen-on {localhost; 192.168.146.132; };

        allow-transfer{192.168.147.132; };

        allow-query{trusted-networks; };

        allow-recursion {trusted-networks; };

        forwarders {192.168.146.2; };

};

logging

{

        channel default_ch {

                file «data/named-base.log»;

                severity info;

                print-time yes;

                print-category yes;

        };

        channel security_ch {

                file «data/named-security.log»;

                severity info;

                print-time yes;

                print-category yes;

        };

category default { default_ch; };

category security { security_ch; };

};

acl «trusted-networks» {localhost; 192.168.146.0/24; 192.168.147.0/24; };

zone «postfix-2011.org» IN {

        type master;

        file «postfix-2011.org»;

};

zone «168.192.in-addr.arpa» {

    type master;

    file «168.192.rev»;

};

include «/etc/named.rfc1912.zones»;

В подключенном файле named.rfc1912.zones находятся служебные зоны, он остается неизменным.

Файл зоны postfix-2011.org (все файлы зон расположены в /var/named/chroot/var/named)

@        IN      SOA     ns1.postfix-2011.org.  support.postfix-2011.org. (

                                1 ; serial

                                28800 ; refresh

                                7200 ; retry

                                604800 ; expire

                                86400 ; ttl

                                )

             IN      NS                 ns1.postfix-2011.org.

             IN      NS                 ns2.postfix-2011.org.

             IN      MX      10      mail.postfix-2011.org.

@          IN      A       192.168.146.132

ns1        IN      A       192.168.146.132

ns2        IN      A       192.168.147.132

mail       IN      A       192.168.146.132

www     IN      A       192.168.146.132

Файл обратных зон для нашей сети 192.168.146.0/24 будет таким:

@       IN      SOA     ns1.postfix-2011.org.  support.postfix-2011.org. (

                                1 ; serial

                                28800 ; refresh

                                7200 ; retry

                                604800 ; expire

                                86400 ; ttl

                                )

              IN      NS              ns1.postfix-2011.org.

              IN      NS              ns2.postfix-2011.org.

132.146 IN      PTR             postfix-2011.org.

Если сервер запускается первый раз, то следует выполнить команду:

# service named start

Если он уже работает и обслуживает зоны, то достаточно перезагрузить файл конфигурации.

# rndc reload

DNS-сервер готов к использованию. Теперь на любом клиенте в доверенных сетях в файл /etc/resolv.conf нужно прописать DNS-сервер.

# cat /etc/resolv.conf

nameserver 192.168.146.132

Для более надежной работы помимо основного Master-сервера следует установить подчиненный Slave DNS-сервер.