Notas preliminares

Sistema Operativo: Debian estable.

Servicios:

• Postfix (SMTP)
• Dovecot (IMAP/POP3)
• MySQL (autentificación)
• DSPAM (anti-spam)

Proceso de instalación

MySQL

Vamos a utilizar la siguiente estructura de base de datos:

Para crear una cuenta de correo nueva es necesario realizar los siguientes pasos:

• Crear el maildir del usuario usando el comando maildirmake.dovecot
• Asignar el usuario del sistema usado para los servicios de correo como propietario del maildir.
• Añadir el usuario a la tabla de usuarios en el MySQL

Dovecot

Instalamos el servidor:

$ apt-get install dovecot-imapd dovecot-pop3d

Editamos el fichero /etc/dovecot/dovecot.conf:

protocols = imap pop3
listen = *
disable_plaintext_auth = no
login_greeting_capability = yes
log_path = /var/log/mail.log
info_log_path = /var/log/mail.info
log_timestamp = "%Y-%m-%d %H:%M:%S "

# Esta opción especifica el lugar donde se encuentra
# el directorio de correo del usuario. Está establecido
# de forma que la ruta del maildir del usuario se obtiene
# en la consulta SQL, en el campo userdb_home.
mail_location = maildir:%h

mail_extra_groups = mail
protocol imap {
    # Activamos esta opción para solucionar problemas con
    # Outlook Express.
    imap_client_workarounds = outlook-idle
    mail_plugins = quota imap_quota
}
protocol pop3 {
    pop3_uidl_format = %08Xu%08Xv
    # Activamos esta opción para solucionar problemas con
    # Outlook Express.
    pop3_client_workarounds = outlook-no-nuls oe-ns-eoh
    mail_plugins = quota
}
auth default {
    mechanisms = plain login digest-md5 cram-md5
    passdb sql {
        args = /etc/dovecot/dovecot-sql.conf
    }
    # Activando esta opción sólo es necesaria una consulta
    # SQL para autentificar al usuario y obtener los datos
    # del mismo.
    userdb prefetch {
    }
    user = root
    # Esta opción abre un socket que Postfix utilizará para
    # la autentificación SMTP.
    socket listen {
        master {
            path = /var/spool/postfix/private/auth-master
            mode = 0600
            user = postfix
            group = postfix
        }
        client {
            path = /var/spool/postfix/private/auth-client
            mode = 0660
            user = postfix
            group = postfix
        }
    }
}
dict {
}
plugin {
}

Editamos el fichero /etc/dovecot/dovecot-sql.conf:

driver = mysql
connect = dbname=maildb host=localhost user=usermail password=passwordmail
# Esta opción especifica qué tipo de huella contiene el campo crypt.
# En nuestro caso es el valor del campo clear pasado a la función MD5().
default_pass_scheme = PLAIN-MD5
password_query = SELECT id AS user, crypt AS password,
    CONCAT(home, '/', maildir) AS userdb_home, uid AS userdb_uid,
    gid AS userdb_gid, CONCAT('maildir:storage=', FLOOR(quota / 1024)) AS userdb_quota
    FROM users WHERE id = '%u' OR id2 = '%u'

Nos aseguramos de que los campos uid y gid de la tabla de usuarios coinciden con el usuario y grupo propietarios de los directorios del correo. Dovecot se cambiará a ese usuario y grupo cuando tenga que acceder al maildir de ese usuario.

Por último, reiniciamos Dovecot:

$ invoke-rc.d dovecot restart

Postfix

Instalamos el servidor, aplicándole de paso el parche para cuotas:

$ apt-get install build-essential dpkg-dev fakeroot debhelper
$ apt-get build-dep postfix
$ cd /usr/src
$ apt-get source postfix
$ wget http://vda.sourceforge.net/VDA/postfix-2.3.8-vda.patch.gz
$ gunzip postfix-2.3.8-vda.patch.gz
$ patch -p0 < postfix-2.3.8-vda.patch
$ cd postfix-2.3.8
$ dpkg-buildpackage
$ cd ..
$ dpkg -i postfix_2.3.8-2_i386.deb
$ dpkg -i postfix-mysql_2.3.8-2_i386.deb
$ dpkg -i postfix-pcre_2.3.8-2_i386.deb

Editamos el fichero /etc/postfix/main.cf:

smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
biff = no
append_dot_mydomain = no
myhostname = example.com
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
myorigin = /etc/mailname
mydestination = localhost
mynetworks = 127.0.0.0/8, 192.168.0.0/16, 172.16.138.0/24
mailbox_command =
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
broken_sasl_auth_clients = no
smtpd_recipient_restrictions =
    reject_unauth_pipelining,
    reject_non_fqdn_recipient,
    reject_unknown_recipient_domain,
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unauth_destination,
    warn_if_reject,
    reject_non_fqdn_sender,
    reject_invalid_hostname,
    reject_rbl_client list.dsbl.org,
    reject_rbl_client sbl-xbl.spamhaus.org,
    permit

# Estas dos opciones configuran Postfix de forma que la
# autentificación se realiza a través del Dovecot, mediante
# el socket que éste crea.
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth-client

home_mailbox = Maildir/
disable_dns_lookups = no
delay_warning_time = 4h
unknown_local_recipient_reject_code = 450

# Opciones para la conexión con MySQL
virtual_mailbox_base = /mail
virtual_mailbox_maps = mysql:/etc/postfix/mysql_mailbox.cf
virtual_mailbox_limit_maps = mysql:/etc/postfix/mysql_quotas.cf
virtual_mailbox_limit_override = yes
virtual_mailbox_limit_inbox = yes
virtual_maildir_extended = yes
virtual_create_maildirsize = yes
virtual_maildir_limit_message = "La cuenta del destinatario está llena."
virtual_overquota_bounce = yes
virtual_uid_maps = mysql:/etc/postfix/mysql_uid.cf
virtual_gid_maps = mysql:/etc/postfix/mysql_gid.cf
virtual_alias_maps = mysql:/etc/postfix/mysql_alias.cf
virtual_mailbox_domains = mysql:/etc/postfix/mysql_domains.cf

Editamos los ficheros de configuración para conectar Postfix con MySQL:

# /etc/postfix/mysql_alias.cf
hosts=127.0.0.1
user=usermail
password=passwordmail
dbname=maildb
query=SELECT destination FROM aliases WHERE mail='%s' AND enabled='1'

# /etc/postfix/mysql_domains.cf
hosts=127.0.0.1
user=usermail
password=passwordmail
dbname=maildb
query=SELECT domain FROM domains WHERE domain='%s' AND enabled='1'

# /etc/postfix/mysql_gid.cf
hosts=127.0.0.1
user=usermail
password=passwordmail
dbname=maildb
query=SELECT gid FROM users WHERE id='%s' OR id2='%s'

# /etc/postfix/mysql_mailbox.cf
hosts=127.0.0.1
user=usermail
password=passwordmail
dbname=maildb
query=SELECT maildir FROM users WHERE id='%s' OR id2='%s'

# /etc/postfix/mysql_uid.cf
hosts=127.0.0.1
user=usermail
password=passwordmail
dbname=maildb
query=SELECT uid FROM users WHERE id='%s' OR id2='%s'

# /etc/postfix/mysql_quotas.cf
hosts=127.0.0.1
user=usermail
password=passwordmail
dbname=maildb
query=SELECT quotas FROM users WHERE id='%s' OR id2='%s'

Por último, reiniciamos Postfix:

$ invoke-rc.d postfix restart

DSPAM

La distribución estable de Debian no tiene los paquetes de DSPAM, sino que deben instalarse desde los backports. En el siguiente enlace se dan instrucciones para agregar los backports al gestor de paquetes:

http://backports-master.debian.org/Instructions/

Instalamos los paquetes necesarios:

$ apt-get install dspam libdspam7-drv-mysql postfix-pcre

Editar el fichero /etc/dspam/dspam.conf:

Home /var/spool/dspam
StorageDriver /usr/lib/dspam/libmysql_drv.so
DeliveryHost 127.0.0.1
DeliveryPort 10026
DeliveryIdent localhost
DeliveryProto SMTP
OnFail error
Trust root
Trust dspam
Trust mail
Trust postfix
Trust www
#Debug *
TrainingMode teft
TestConditionalTraining on
Feature chained
Feature whitelist
Algorithm graham burton
PValue graham
Preference "spamAction=tag"
Preference "signatureLocation=headers"  # 'message' or 'headers'
Preference "showFactors=on"
Preference "spamSubject=[SPAM]"
AllowOverride trainingMode
AllowOverride spamAction spamSubject
AllowOverride statisticalSedation
AllowOverride enableBNR
AllowOverride enableWhitelist
AllowOverride signatureLocation
AllowOverride showFactors
AllowOverride optIn optOut
AllowOverride whitelistThreshold
Notifications   off
PurgeSignatures 14          # Stale signatures
PurgeNeutral    90          # Tokens with neutralish probabilities
PurgeUnused     90          # Unused tokens
PurgeHapaxes    30          # Tokens with less than 5 hits (hapaxes)
PurgeHits1S     15          # Tokens with only 1 spam hit
PurgeHits1I     15          # Tokens with only 1 innocent hit
LocalMX 127.0.0.1
SystemLog on
UserLog   on
#Opt in
ProcessorBias on
ParseToHeaders on
ChangeModeOnParse on
ChangeUserOnParse full
ServerPID /var/run/dspam.pid
ServerParameters "--deliver=innocent,spam"
ServerIdent "localhost"
Include /etc/dspam/dspam.d/

Editar el fichero /etc/dspam/dspam.d/mysql.conf:

MySQLServer       127.0.0.1
MySQLUser         libdspam7-drv-my
MySQLPass         password-de-mysql
MySQLDb           libdspam7drvmysql

Editar el fichero /etc/dspam/default.prefs:

trainingMode=TEFT
spamAction=tag
spamSubject=[SPAM]
enableBNR=on
enableWhitelist=on
statisticalSedation=5
signatureLocation=message
whitelistThreshold=10
showFactors=on

Agregar las siguientes líneas al fichero /etc/postfix/master.cf:

Crear el fichero /etc/postfix/dspam_client_access:

/./ FILTER dspam:dspam

Ejecutar la siguiente orden para generar el filtro:

$ postmap /etc/postfix/dspam_client_access

Aplicar el siguiente parche al fichero /etc/postfix/main.cf:

Lo siguiente es entrenar a DSPAM. Para ello vamos a utilizar ficheros de corpus que pasaremos por el DSPAM para que los aprenda.

Lo primero que debemos hacer es crear un grupo global en el DSPAM, de forma que enviemos a ese grupo todos los mensajes del corpus y así tener una base para todos los usuarios.

Para crear un grupo de clasificación global en el DSPAM editamos el fichero /var/spool/dspam/group:

global:merged:*

Una vez creado el fichero, reiniciamos DSPAM:

$ invoke-rc.d dspam restart

Y ya podemos empezar a entrenarlo con los corpus.

Los corpus son conjuntos de miles de mensajes recopilados para entrenar filtros antispam. Vamos a utilizar los que hay en la página de SpamAssassin:

http://spamassassin.apache.org/publiccorpus/

En esa página hay varios ficheros de spam y de ham. Vamos a coger dos de spam y dos de ham, lo más actuales posible.

Ahora extraemos un fichero de spam y otro de ham, y nos aseguramos de que se extraen en los directorios spam y ham respectivamente. Si el tar crea un directorio que se llame distinto lo renombramos y listo. Vamos a usar los ficheros de spam y ham uno por uno: sacamos uno de spam y uno de ham, los entrenamos y luego sacamos los otros dos.

Además de los ficheros de corpus, sería conveniente entrenar como ham todos los mensajes de una cuenta de correo existente que sepamos que está totalmente limpia de spam, para así alimentar el filtro con mensajes en español además de en inglés.

Para el proceso de entrenamiento y posterior afinación del DSPAM, vamos a crear un script que recogerá un fichero de mensaje como parámetro y lo entrenará como spam o como ham según le digamos:

Ahora vamos a pasarle todos los mensajes al script para que los aprenda:

$ find /ruta/al/ham/ -name "*" ! -type d -exec \
> /ruta/al/dspam_corpus innocent '{}' \;

$ find /ruta/al/spam/ -name "*" ! -type d -exec \
> /ruta/al/dspam_corpus spam '{}' \;

Y ya sólo queda montar alguna forma de que los usuarios puedan realimentar mensajes que hayan sido marcados incorrectamente hacia el DSPAM. Para ello vamos a crear dos carpetas IMAP en todas las cuentas de correo y suscribiremos automáticamente a todas ellas a esas dos carpetas. Para crear automáticamente las carpetas de spam en todas las cuentas podemos usar el siguiente script:

Luego estableceremos una tarea programada en el crontab para entrenar todos los mensajes que hayan sido copiados a esas carpetas, usando dos scripts para realizar el proceso de clasificación y advertencia a cada usuario en caso de que se intente reentrenar un mensaje que ha sido correctamente marcado. Este es el primero:

Y este el segundo:

Y, por último, esto es lo que introducimos en el crontab para realizar el reentrenamiento, basándonos en las gráficas de entradas al correo para tomar las horas en las que hay poca actividad y por tanto es más seguro el realizar el proceso:

Scripts de ayuda

Para crear cuentas de correo nuevas

El proceso de creación de cuentas de correo se puede automatizar con el siguiente script:

Para consultar las contraseñas de las cuentas de correo

En el puesto del administrador se puede utilizar el siguiente script que genera una interfaz gráfica simple —usando Zenity— para consultar las contraseñas de las cuentas de correo: