nicht angemeldet
was ist gut als mailserver?
Hallo Admins,
ich hab zwar ein wenig Ahnung von Linux, aber ich habe mich noch nie drangetraut einen vernünftigen Mailserver aufzusetzen. Ich habe das in naher Zukunft vor, daher wende ich mich an euch in der Hoffnung, dass ihr mich an eurer Erfahrung teilhaben lässt.
Ziel ist folgendes. Ich habe eine Maschine gemietet, die Zukünftig als Webserver (apache, CGI, mysql) und als Mailserver dienen soll und mit einer Firewall gesichert ist. Als Mailserver denke ich an einen IMAP Server mit Squirrelmail.
Mit SuSE habe ich recht viel Erfahrung, den Webserver und die Firewall kriege ich gut hin. Aber der Mailserver macht mir sorgen. Ich habe von diversen Ecken gehört, dass sich SuSE nicht besonders gut als Mailserver eignet.
Was meint ihr? Für welche Distribution soll ich mich entscheiden? Wie funktioniert es dann mit der Firewall wenn es nicht SuSE ist? Welche Software ist besonders gut als IMAP Server geeignet? Ich höre immer Cyrus, soll aber auf SuSE kaum hinzukriegen sein. Kennt ihr ein paar gute Anleitungen (gerne auch englisch)?
Bin für allerlei Tipps dankbar.
Gruß,
Cruz
-
Moin!
Ziel ist folgendes. Ich habe eine Maschine gemietet, die Zukünftig als Webserver (apache, CGI, mysql) und als Mailserver dienen soll und mit einer Firewall gesichert ist. Als Mailserver denke ich an einen IMAP Server mit Squirrelmail.
Auf der Maschine ist ein Betriebssystem drauf. Das wirst du kaum mehr ändern können - also lerne damit zu leben. (Selbstverständlich könntest du, bevor du wichtige Dinge drauf installierst, remote ein Gentoo Linux drauf installieren - dann hättest du auch weniger Probleme mit Updates deiner Software - das aber nur am Rande.)
Thema Firewall: Warum eine Firewall? Du hast einen einzeln stehenden Server, kein Netzwerk. Alle Dienste, die du anbietest, müssen so oder so sicher sein, also die aktuellen Programmversionen - alles andere wäre fahrlässig. Darüber hinaus bietest du keine Dienste an. Was soll da also eine Firewall noch helfen?
Sicher, man könnte den IP-Bereich, der die Erlaubnis zum SSH-Kontakt hat, einschränken. Wenn du keine feste IP hast, kannst du aber keine einzelne IP angeben, sondern mußt den gesamten möglichen IP-Bereich deines Providers angeben. Im Falle von T-Online, Freenet oder 1&1 dürfest du damit wohl jeweils halb Deutschland freischalten. Macht nicht wirklich viel Sinn.
Abgesehen davon ist das Firewall-Dasein durchaus eine Performancefrage. Hier auf dem Selfserver ist deshalb keine Firewall installiert, weil man zum Filtern eines 100MBit-Links schon die gesamte verfügbare CPU-Power dieses Rechners einsetzen könnte - dann bleibt aber nichts mehr für die restlichen Aufgaben übrig.
Mit SuSE habe ich recht viel Erfahrung, den Webserver und die Firewall kriege ich gut hin. Aber der Mailserver macht mir sorgen. Ich habe von diversen Ecken gehört, dass sich SuSE nicht besonders gut als Mailserver eignet.
SuSE ist von daher recht komisch, als dass es sich eine eigene Verzeichnisstruktur erfunden hat. Wenn man innerhalb der angebotenen Fertigpakete bleibt, ist das kein Problem - eigene Installationen aus Quellcode hingegen dürften sich, es sei denn, man forciert es (was im Grunde kein Problem ist, macht nur den ersten Installationsschritt "./configure" etwas aufwendiger), munter ganz woanders im System verteilen.
Was meint ihr? Für welche Distribution soll ich mich entscheiden?
Welche steht zur Auswahl? Im Zweifel würde ich für Internet-Server immer Gentoo nehmen. Als Alternative dazu (wenn Gentoo nicht zur Verfügung steht und du ein remote-install über eine existierende Installation irgendeines Linux nicht wagen willst) Debian "woody".
Wie funktioniert es dann mit der Firewall wenn es nicht SuSE ist?
Verzichte auf die Firewall. Sie hilft dir nichts, sie stört nur. Deine angebotenen Internetdienste müssen von alleine sicher sein.
Welche Software ist besonders gut als IMAP Server geeignet? Ich höre immer Cyrus, soll aber auf SuSE kaum hinzukriegen sein. Kennt ihr ein paar gute Anleitungen (gerne auch englisch)?
Es gibt diverse IMAP-Server. Cyrus ist einer von denen, Courier wäre eine Alternative.
Cyrus hat die "Nettigkeit", dass er sich über LMTP von Postfix aus füttern läßt und ebenfalls auf den für SMTP-Authentifizierung notwendigen SASL-Bibliotheken beruht. SMTP-Versand und IMAP-Zugriff ließen sich also aus der gleichen UserDB speisen.
Courier gibts auch in Einzelteilen - wahlweise aber auch als Komplettpaket.
Zu beiden kann ich ansonsten keine Aussagen machen, da ich beide nur mal kurz "angetestet" habe. Als SMTP-Server hingegen würde ich definitiv Postfix empfehlen.
- Sven Rautenberg
-
Hallo Sven,
auf jeden Fall schon mal Danke für die ausführliche Antwort.
Auf der Maschine ist ein Betriebssystem drauf. Das wirst du kaum mehr ändern können - also lerne damit zu leben. (Selbstverständlich könntest du, bevor du wichtige Dinge drauf installierst, remote ein Gentoo Linux drauf installieren - dann hättest du auch weniger Probleme mit Updates deiner Software - das aber nur am Rande.)
Ich habe einen dedicated Server mit root Rechten bei Hetzner, also kann ich mir so ziemlich alles darauf installieren lassen. Mit Gentoo habe ich bis jetzt überhaupt keinen Kontakt gehabt, aber ich schlage mal nach was es so auf sich hat.
Thema Firewall: Warum eine Firewall?
Nun ja, abgesehen von der Absicherung der einzelnen Dienste bietet die Firewall durch die Abdeckung der Ports ein zusätzliches Sicherheitsniveau. Mir ist schon mal ein Server gehackt worden und dazu benutzt worden eine DNS Attacke auf einen zentralen Router vorzunehmen. Die Performance wäre vielleicht ein Argument dagegen, aber es geht ja weniger darum wie gut ein Server angebunden ist, als wie viel der Server selbst kommuniziert. Beim selfhtml Server kann ich mir schon vorstellen, dass massenweise Traffic zu scannen ist. Aber ich glaube nicht, dass der eher laue Traffic meines Servers den Prozessor wirklich auslasten kann. Naja, ich werde es jedenfalls versuchen und wenn es nicht geht dann schalte ich die Firewall ab. Aber wenn es kein Problem ist, warum sollte ich dann auf die Firewall verzichten?
Welche steht zur Auswahl? Im Zweifel würde ich für Internet-Server immer Gentoo nehmen. Als Alternative dazu (wenn Gentoo nicht zur Verfügung steht und du ein remote-install über eine existierende Installation irgendeines Linux nicht wagen willst) Debian "woody".
Wie gesagt ich bin Gentoo-Jungfrau, aber ich probiere es gerne mal aus. Ist nicht dass erste mal, dass es mir empfohlen wird. Woody habe ich mir einmal angetan, war aber nicht so begeistert. In den Manuals klang die Paketverwaltung sehr schön, aber in der Realität hat überhaupt nichts reibungslos funktioniert. Nach tagelanger Fehlersuche habe ich es dann aufgegeben und bin doch wieder zu SuSe zurückgekehrt.
Es gibt diverse IMAP-Server. Cyrus ist einer von denen, Courier wäre eine Alternative.
Courier habe ich nicht gehört, also danke für den Tipp, schau ich mir an. UW ist während meiner Suche im Internet häufiger mal aufgetaucht, weisst du etwas darüber?
Danke nochmal,
Cruz-
Moin!
Ich habe einen dedicated Server mit root Rechten bei Hetzner, also kann ich mir so ziemlich alles darauf installieren lassen. Mit Gentoo habe ich bis jetzt überhaupt keinen Kontakt gehabt, aber ich schlage mal nach was es so auf sich hat.
Hetzner bietet SuSE und Debian an.
Ich habe mich für Debian entschieden. Apache, PHP und dazugehörige Librarys habe ich allerdings im Quellcodes auf den Server geladen und selbst kompiliert. Debian ist ganz nett für Programme, die man nicht täglich braucht. Auch für Serverdienste mit untergeordneter Bedeutung (solange man sie aktualisiert hält - geht mit Debian relativ einfach). Aber Debian Woody ist eben versionsmäßig einfach uralt, weil die Jungs in erster Linie die Systemstabilität ihres "stable"-Zweiges sehr ernst nehmen, und mit dem Testen nicht hinterherkommen. Ist ja irgendwie auch verständlich - nur leider für die Praxis nicht in jedem Fall brauchbar.
Thema Firewall: Warum eine Firewall?
c Nun ja, abgesehen von der Absicherung der einzelnen Dienste bietet die Firewall durch die Abdeckung der Ports ein zusätzliches Sicherheitsniveau.
Nein.
Entweder laufen Dienste auf dem Server, die offene Ports verursachen, oder die Ports sind geschlossen. Es gibt kein Zwischending. Eine Firewall kann an diesem Grundsatz nichts verändern. Bestenfalls kann verhindert werden, dass ein neuer Dienst, der gestartet wird, nach außen einen offenen Port anbietet.
Allerdings solltest du dich in dieser Situation eher fragen, wie so ein Dienst überhaupt gestartet werden kann. Schließlich sollte das in deinem Sicherheitskonzept ausgeschlossen sein: Es dürfen nur definierte Dienste laufen. Wenn Angreifer weitere Dienste starten können, ist es sowieso schon zu spät, dann werden sie mit Sicherheit auch die Firewall-Regeln "anpassen" können.
Mir ist schon mal ein Server gehackt worden und dazu benutzt worden eine DNS Attacke auf einen zentralen Router vorzunehmen.
Tja, genau das ist das Problem mit Freizeit-Admins, die lediglich über ein gefährliches Halbwissen verfügen.
Dass einem der Server gehackt wird, ist schlecht. Aber dass man hinterher nicht untersucht und feststellt, woran das gelegen hat, ist noch hundertmal schlechter!
Also: Woran hat es gelegen? Sicherlich nicht daran, dass du keine Firewall hattest. Die typischen Einfallstore auf Servern sind eher schlecht geschriebene PHP-Skripte. Und DIE kann man mit einer Firewall keinesfalls absichern.
Die Performance wäre vielleicht ein Argument dagegen, aber es geht ja weniger darum wie gut ein Server angebunden ist, als wie viel der Server selbst kommuniziert. Beim selfhtml Server kann ich mir schon vorstellen, dass massenweise Traffic zu scannen ist. Aber ich glaube nicht, dass der eher laue Traffic meines Servers den Prozessor wirklich auslasten kann. Naja, ich werde es jedenfalls versuchen und wenn es nicht geht dann schalte ich die Firewall ab. Aber wenn es kein Problem ist, warum sollte ich dann auf die Firewall verzichten?
Faustregel für Server: Alles unnötige abschalten! Je komplizierter ein System ist, desto mehr Ansatzpunkte für einen Angriff ergeben sich.
Also: Wenn die Firewall dir grundsätzlich nicht helfen kann - warum dann damit arbeiten? Sie macht das System einen Schritt komplizierter - auch wenn nicht unbedingt anzunehmen ist, dass der Linux-Firewallcode gleich so anfällig ist, wie die Firewalls von Symantec (siehe http://www.heise.de/newsticker/result.xhtml?url=/newsticker/meldung/47316&words=Firewall) - das ist aber ein schönes Beispiel dafür, wie man durch angeblich mehr Sicherheit erst so richtig anfällig wurde. Mit einer sauberen Konfiguration der erreichbaren Dienste auf jedem Rechner würde sowas nicht passieren. :)
Wie gesagt ich bin Gentoo-Jungfrau, aber ich probiere es gerne mal aus.
Gentoo solltest du zuerst mal zuhause probieren. Grundsätzlicher Unterschied zu allen anderen Distributionen: Gentoo lädt bis auf wenige Ausnahmen immer den Quellcode herunter und kompiliert ihn dann erst. Das dauert je nach CPU-Leistung logischerweise etwas länger.
Hetzner selbst wird dir Gentoo nicht installieren. Und ich kann dir nicht raten, dein allererstes Gentoo-System remote ohne Einflußmöglichkeit auf den Server zu installieren. Dabei geht mit einiger Sicherheit einiges schief, und das Resultat ist, dass Hetzner nochmal das Grundsystem aufspielen muß. Kostet dich unnötig Geld, muß also nicht sein.
Es gibt diverse IMAP-Server. Cyrus ist einer von denen, Courier wäre eine Alternative.
Courier habe ich nicht gehört, also danke für den Tipp, schau ich mir an. UW ist während meiner Suche im Internet häufiger mal aufgetaucht, weisst du etwas darüber?
Nichts, was ich hier zusätzlich berichten könnte. Ich selbst werde auf eine Kombination aus Cyrus und Postfix setzen - da Debian nur Postfix 1.x anbietet, eine vergleichsweise alte Version, wird also auch hier demnächst "compile it yourself" angesagt sein. Ist auf Debian aber wesentlich angenehmer, als auf SuSE, weil Debian die Pfade gemäß des Standards verwendet.
- Sven Rautenberg
-
Hallo, Sven Rautenberg!
Also: Wenn die Firewall dir grundsätzlich nicht helfen kann - warum dann damit arbeiten? Sie macht das System einen Schritt komplizierter - auch wenn nicht unbedingt anzunehmen ist, dass der Linux-Firewallcode gleich so anfällig ist, wie die Firewalls von Symantec (siehe http://www.heise.de/newsticker/meldung/47316) - das ist aber ein schönes Beispiel dafür, wie man durch angeblich mehr Sicherheit erst so richtig anfällig wurde. Mit einer sauberen Konfiguration der erreichbaren Dienste auf jedem Rechner würde sowas nicht passieren. :)
aus den kommentaren dazu: *gg*
"Haette man in Redmond weiterhin Tabak angebaut, waere uns viel erspart geblieben!" ;-)freundl. Grüsse aus Berlin, Raik
-
Hallo,
Ist auf Debian aber wesentlich angenehmer, als auf SuSE, weil Debian die Pfade gemäß des Standards verwendet.
Bist Du Dir hier sicher? Der einzige Standard in dem Bereich duerfte LSB sein (zumindest kenne ich nur den). Suse war afaik die erste Distri, die den komplett umgesetzt hatte; Problem ist halt, dass dieser Standard ziemlich viele Freiheiten laesst ("/opt") und Suse sehr viel patcht - wobei Debian z.B. im Bereich xfree auch vieles aendert.
Gruss
Thomas
-
-
-