Preciso de conselhos: servidor de e-mail linux de pequena pegada de memória com filtragem de spam

8

Eu tenho um VPS originalmente destinado a ser um servidor da web, mas também é necessário implantar alguns recursos mínimos de correio, incluindo o envio e o recebimento como servidor independente.

A configuração atual é a seguinte:

  • O Postfix recebe o correio, os usuários estão em tabelas virtuais, armazenadas no MySQL
  • na conexão, todos os servidores são testados com o serviço policyd-weight contra alguns DNSBLs
  • todo o correio é executado através do SpamAssassin spamd com a ajuda do cliente spamc
  • o correio é entregue com o Dovecot 2 'LDA (agente de entrega local), usuários virtuais e

Como você viu ...

  • não há scanner de vírus em execução, e por um motivo: o clamav consome toda a memória possível e também, os e-mails de vírus são filtrados com essa configuração (testei o mesmo com o ClamAV ativado por 1,5 anos, nenhum e-mail de vírus) chegou ao ClamAV)
  • Eu não uso o amavisd e realmente não quero. Você só precisa desse monstro se tiver muita memória e muitos scanners simultâneos. Também é um pesadelo afinar à mão.
  • Eu executo policyd-weight em vez de policyd e DNSBLs nativos no postfix. Não gosto de mandar alguém embora porque um único serviço os listou.

Declaração importante: tudo funciona bem. Recebo uma quantidade muito pequena de spam, quase nunca recebo um falso positivo e a maior parte do e-mail incorreto é interrompida pelo peso da política. O único "problema" em que sinto os serviços no total utiliza um pouco de memória em geral.

Eu já cortei os módulos do spamassassin (veja abaixo), mas gostaria de ouvir alguns conselhos sobre como reduzir o espaço ocupado pela memória o mais baixo possível, principalmente: quais plug-ins o SpamAssassin realmente precisa e quais são mais ou menos inúteis, em relação à minha configuração atual de postfix e políticad-weight ?

As regras do SpamAssassin também são compiladas com sa-compile (a sa-update é executada uma vez por semana a partir do cron, a compilação é executada logo após)

Estas são algumas das configurações atuais que podem ser importantes, por favor me diga se você precisa de mais alguma coisa.

postfix/master.cf (apenas peças)

dovecot   unix  -       n       n        -      -       pipe
  flags=DRhu user=vmail:vmail argv=/usr/bin/spamc -e /usr/lib/dovecot/deliver -d ${recipient} -f {sender}

postfix/main.cf (apenas peças)

smtpd_helo_required = yes
smtpd_helo_restrictions = permit_mynetworks,
        reject_invalid_hostname,
        permit

smtpd_recipient_restrictions =  permit_mynetworks,
        permit_sasl_authenticated,
        reject_invalid_hostname,
        reject_non_fqdn_hostname,
        reject_non_fqdn_recipient,
        reject_unknown_recipient_domain,
        reject_unauth_pipelining,
        reject_unauth_destination,
        check_policy_service inet:127.0.0.1:12525,
        permit

policyd-weight.conf (apenas peças)

$REJECTMSG = "550 Mail appeared to be SPAM or forged. Ask your Mail/DNS-Administrator to correct HELO and DNS MX settings or to get removed from DNSBLs";

$REJECTLEVEL = 4;
$DEFER_STRING = 'IN_SPAMCOP= BOGUS_MX=';
$DEFER_ACTION = '450';
$DEFER_LEVEL  = 5;
$DNSERRMSG = '450 No DNS entries for your MTA, HELO and Domain. Contact YOUR administrator';

# 1: ON, 0: OFF (default)
# If ON request that ALL clients are only checked against RBLs
$dnsbl_checks_only = 0;

# 1: ON (default), 0: OFF
# When set to ON it logs only RBLs which affect scoring (positive or negative)
$LOG_BAD_RBL_ONLY  = 1;

## DNSBL settings
@dnsbl_score = (
        # host,                 hit,    miss,   log name
        'dnsbl.ahbl.org',       3,      -1,     'dnsbl.ahbl.org',
        'dnsbl.njabl.org',      3,      -1,     'dnsbl.njabl.org',
        'dnsbl.sorbs.net',      3,      -1,     'dnsbl.sorbs.net',
        'bl.spamcop.net',       3,      -1,     'bl.spamcop.net',
        'zen.spamhaus.org',     3,      -1,     'zen.spamhaus.org',
        'pbl.spamhaus.org',     3,      -1,     'pbl.spamhaus.org',
        'cbl.abuseat.org',      3,      -1,     'cbl.abuseat.org',
        'list.dsbl.org',        3,      -1,     'list.dsbl.org',
);

# If Client IP is listed in MORE DNSBLS than this var, it gets REJECTed immediately
$MAXDNSBLHITS  = 3;

# alternatively, if the score of DNSBLs is ABOVE this level, reject immediately
$MAXDNSBLSCORE = 9;

$MAXDNSBLMSG = '550 Az levelezoszerveruk IP cime tul sok spamlistan talahato, kerjuk ellenorizze! / Your MTA is listed in too many DNSBLs; please check.';

## RHSBL settings
@rhsbl_score = (
        'multi.surbl.org',              4,      0,      'multi.surbl.org',
        'rhsbl.ahbl.org',               4,      0,      'rhsbl.ahbl.org',
        'dsn.rfc-ignorant.org',         4,      0,      'dsn.rfc-ignorant.org',
#       'postmaster.rfc-ignorant.org',  0.1,    0,      'postmaster.rfc-ignorant.org',
#       'abuse.rfc-ignorant.org',       0.1,    0,      'abuse.rfc-ignorant.org'
);

# skip a RBL if this RBL had this many continuous errors
$BL_ERROR_SKIP = 2;

# skip a RBL for that many times
$BL_SKIP_RELEASE = 10;

## cache stuff
# must be a directory (add trailing slash)
$LOCKPATH = '/var/run/policyd-weight/';

# socket path for the cache daemon.
$SPATH = $LOCKPATH.'/polw.sock';

# how many seconds the cache may be idle before starting maintenance routines
#NOTE: standard maintenance jobs happen regardless of this setting.
$MAXIDLECACHE = 60;

# after this number of requests do following maintenance jobs: checking for config changes
$MAINTENANCE_LEVEL = 5;

# negative (i.e. SPAM) result cache settings ##################################

# set to 0 to disable caching for spam results. To this level the cache will be cleaned.
$CACHESIZE = 2000;

# at this number of entries cleanup takes place
$CACHEMAXSIZE = 4000;

$CACHEREJECTMSG  = '550 temporarily blocked because of previous errors';

# after NTTL retries the cache entry is deleted
$NTTL = 1;

# client MUST NOT retry within this seconds in order to decrease TTL counter
$NTIME = 30;

# positve (i.,e. HAM) result cache settings ###################################

# set to 0 to disable caching of HAM. To this number of entries the cache will be cleaned
$POSCACHESIZE = 1000;

# at this number of entries cleanup takes place
$POSCACHEMAXSIZE = 2000;

$POSCACHEMSG = 'using cached result';

#after PTTL requests the HAM entry must succeed one time the RBL checks again
$PTTL = 60;

# after $PTIME in HAM Cache the client must pass one time the RBL checks again.
#Values must be nonfractal. Accepted time-units: s, m, h, d
$PTIME = '3h';

# The client must pass this time the RBL checks in order to be listed as hard-HAM
# After this time the client will pass immediately for PTTL within PTIME
$TEMP_PTIME = '1d';


## DNS settings

# Retries for ONE DNS-Lookup
$DNS_RETRIES = 1;

# Retry-interval for ONE DNS-Lookup
$DNS_RETRY_IVAL  = 5;

# max error count for unresponded queries in a complete policy query
$MAXDNSERR = 3;

$MAXDNSERRMSG = 'passed - too many local DNS-errors';

# persistent udp connection for DNS queries.
#broken in Net::DNS version 0.51. Works with Net::DNS 0.53; DEFAULT: off
$PUDP= 0;

# Force the usage of Net::DNS for RBL lookups.
# Normally policyd-weight tries to use a faster RBL lookup routine instead of Net::DNS
$USE_NET_DNS  = 0;

# A list of space separated NS IPs
# This overrides resolv.conf settings
# Example: $NS = '1.2.3.4 1.2.3.5';
# DEFAULT: empty
$NS  = '';

# timeout for receiving from cache instance
$IPC_TIMEOUT  = 2;

# If set to 1 policyd-weight closes connections to smtpd clients in order to avoid too many
#established connections to one policyd-weight child
$TRY_BALANCE  = 0;

# scores for checks, WARNING: they may manipulate eachother
# or be factors for other scores.
#  HIT score, MISS Score
@client_ip_eq_helo_score = (1.5, -1.25 );
@helo_score  = (1.5, -2 );
@helo_score  = (0, -2 );
@helo_from_mx_eq_ip_score= (1.5, -3.1  );
@helo_numeric_score= (2.5,  0 );
@from_match_regex_verified_helo= (1,-2 );
@from_match_regex_unverified_helo = (1.6, -1.5  );
@from_match_regex_failed_helo  = (2.5,  0 );
@helo_seems_dialup = (1.5,  0 );
@failed_helo_seems_dialup= (2, 0 );
@helo_ip_in_client_subnet= (0,-1.2  );
@helo_ip_in_cl16_subnet  = (0,-0.41 );
#@client_seems_dialup_score  = (3.75, 0 );
@client_seems_dialup_score  = (0, 0 );
@from_multiparted  = (1.09, 0 );
@from_anon= (1.17, 0 );
@bogus_mx_score = (2.1,  0 );
@random_sender_score  = (0.25, 0 );
@rhsbl_penalty_score  = (3.1,  0 );
@enforce_dyndns_score = (3, 0 );

spamassassin/init.pre (Eu juntei os arquivos .pre)

loadplugin Mail::SpamAssassin::Plugin::Hashcash
loadplugin Mail::SpamAssassin::Plugin::SPF
loadplugin Mail::SpamAssassin::Plugin::Pyzor
loadplugin Mail::SpamAssassin::Plugin::Razor2
loadplugin Mail::SpamAssassin::Plugin::AutoLearnThreshold
loadplugin Mail::SpamAssassin::Plugin::MIMEHeader
loadplugin Mail::SpamAssassin::Plugin::ReplaceTags
loadplugin Mail::SpamAssassin::Plugin::Check
loadplugin Mail::SpamAssassin::Plugin::HTTPSMismatch
loadplugin Mail::SpamAssassin::Plugin::URIDetail    
loadplugin Mail::SpamAssassin::Plugin::Bayes
loadplugin Mail::SpamAssassin::Plugin::BodyEval
loadplugin Mail::SpamAssassin::Plugin::DNSEval
loadplugin Mail::SpamAssassin::Plugin::HTMLEval
loadplugin Mail::SpamAssassin::Plugin::HeaderEval
loadplugin Mail::SpamAssassin::Plugin::MIMEEval
loadplugin Mail::SpamAssassin::Plugin::RelayEval
loadplugin Mail::SpamAssassin::Plugin::URIEval
loadplugin Mail::SpamAssassin::Plugin::WLBLEval
loadplugin Mail::SpamAssassin::Plugin::VBounce
loadplugin Mail::SpamAssassin::Plugin::Rule2XSBody

spamassassin/local.cf (partes)

use_bayes                       1
bayes_auto_learn                1
bayes_store_module              Mail::SpamAssassin::BayesStore::MySQL
bayes_sql_dsn                   DBI:mysql:db:127.0.0.1:3306
bayes_sql_username              user
bayes_sql_password              pass
bayes_ignore_header             X-Bogosity
bayes_ignore_header             X-Spam-Flag
bayes_ignore_header             X-Spam-Status

### User settings
user_scores_dsn                 DBI:mysql:db:127.0.0.1:3306
user_scores_sql_password        user
user_scores_sql_username        pass
user_scores_sql_custom_query    SELECT preference, value FROM _TABLE_ WHERE username = _USERNAME_ OR username = '$GLOBAL' OR username = CONCAT('%',_DOMAIN_) ORDER BY username ASC

# for better speed
score DNS_FROM_AHBL_RHSBL       0
score __RFC_IGNORANT_ENVFROM    0
score DNS_FROM_RFC_DSN          0
score DNS_FROM_RFC_BOGUSMX      0
score __DNS_FROM_RFC_POST       0
score __DNS_FROM_RFC_ABUSE      0
score __DNS_FROM_RFC_WHOIS      0

ATUALIZAÇÃO 01

Como o adaptador recomendou, removo o peso da política e a tela do postfix configurada, isso resultou em aproximadamente 15 a 20 MB do uso da RAM e em um trabalho muito mais rápido. Não sei se está funcionando com capacidade total, mas parece promissor.

linux postfix email-server spamassassin policyd petermolnar
fonte
1
Atualize para o postfix 2.8+; O postscreen evita praticamente a necessidade de peso de política: inclui lista completa de listas brancas e negras de DNSBL e RHSBL e pontuação de DNSBL ponderada.
adaptr 22/03
@adaptr parece que eu tenho o postfix 2.8.5-2 ~ build1, o servidor é o ubuntu 11.10. Eu não notei essa nova função no postfix, mas parece promissora - o único problema que não consigo encontrar nenhum exemplo de configuração e a página de manual é uma espécie puritana. Você pode apontar ou postar um exemplo, por favor?
Petermolnar
OK, eu o configurei mais ou menos, exceto que não tenho certeza de que ele também esteja atento às conexões SMTP. Se alguém puder responder, as perguntas detalhadas estão aqui: serverfault.com/questions/372448/…
petermolnar
A documentação oficial da tela de postagem deve ser suficiente para começar; é claro, você precisa entender como configurar o postfix em geral para usá-lo.
adaptr 22/03/2012

Respostas:

2

Eu recomendaria que você atualize para o postfix 2.8+ e implante o postscreen ; isso foi projetado especificamente como um servidor de triagem zombie / DNSBL e lida com várias listas negras em alta velocidade.

Também oferece pontuação de lista negra / lista de permissões totalmente ponderada, lista de permissões explícita e muito mais.

Com relação à sua segunda pergunta, sugiro que você verifique spamass-milter ; um ordenador em linha é muito mais eficiente que um processo externo.

adaptr
fonte
Não quero parecer precipitado, mas depois de algumas horas rodando com a tela de posts ativada e o peso da política com uso da RAM parece notavelmente mais baixo. Sou muito gentil com a dica, mas ainda gostaria de ouvir dicas sobre o SpamAssassin.
Petermolnar 22/03/12