Privater Mail-Server

Hallo,
ich möchte mir, hauptsächlich fürs Backup, einen eigenen Mail-Server einrichten.
Vorgesehen habe ich dazu eine VM unter Debian Wheezy.
Da diese Maschine nicht permanent online sein wird und um nicht zur Spamschleuder zu werden soll dieser Server nur Mails innerhalb des eigenen LANs (192.168.x.0) versenden dürfen.
Abholen soll er aber die Mails von etlichen Accounts und die auch transparent den Usern anbieten.
Momentan verwende ich Pop3-Konten bei den Hostern.
Geplant wäre lokal auf IMAP umzustellen und die Mailverzeichnisse regelmäßig zu sichern.
Die User sollen ihre Mails ins WAN nach wie vor nur über den jeweiligen Hoster verschicken können.

Ist das vom Ansatz her sinnvoll und vor Allem auch realisierbar?

Klar kann ich die SW (Postfix, Dovecot, Spamassassin, Fetchmail, Squirrel) installieren und möglicherweise auch einrichen.
Was ist an SW noch sinnvoll und empfehlenswert bzw. welche Alternativen wären eure erste Wahl?
Es gibt dazu auch genügend Anleitungen im Netz. Leider sind die oft veraltet oder widersprüchlich.

Was ich mir von euch erhoffe ist eine wie auch immer geartete Checkliste wie man am besten vorgeht.
Am wichtigsten wäre mir aber wenn ich deutliche Warnungen bekäme wo die Fallstricke für so ein Konstrukt sind.

Danke im Vorraus
Grüsse max

Halllo,

ich möchte mir, hauptsächlich fürs Backup, einen eigenen
Mail-Server einrichten.
Vorgesehen habe ich dazu eine VM unter Debian Wheezy.
Da diese Maschine nicht permanent online sein wird und um
nicht zur Spamschleuder zu werden soll dieser Server nur Mails
innerhalb
des eigenen LANs (192.168.x.0) versenden dürfen.

Du meinst Mails, die aus dem eigenen LAN kommen? Oder?

Abholen soll er aber die Mails von etlichen Accounts und die
auch transparent den Usern anbieten.

„Transparent“? Was meinst Du damit genau?

Momentan verwende ich Pop3-Konten bei den Hostern.
Geplant wäre lokal auf IMAP umzustellen und die
Mailverzeichnisse regelmäßig zu sichern.

Prima Idee.

Die User sollen ihre Mails ins WAN nach wie vor nur über den
jeweiligen Hoster verschicken können.

Ich verstehe nicht, was Du genau damit meinst, aber das klingt mir so, als wäre es eher schwer realisierbar. Und möglicherweise auch eher weniger sinnvoll.

Ist das vom Ansatz her sinnvoll und vor Allem auch
realisierbar?

In meinen Augen: ja. Hier läuft das so.

Klar kann ich die SW (Postfix, Dovecot, Spamassassin,
Fetchmail, Squirrel) installieren und möglicherweise auch
einrichen.
Was ist an SW noch sinnvoll und empfehlenswert bzw. welche
Alternativen wären eure erste Wahl?

Mein persönliches Setup: Postfix, fetchmail, courier-imap. dovecot ist zu letzterem bestimmt eine gute Alternative. Web-Interfaces nutze ich nicht, ich werfe nochmal sqwebmail und roundcube in die Runde. Beides habe ich vor 142 Jahren (gefühlt) mal genutzt.

Es gibt dazu auch genügend Anleitungen im Netz. Leider sind
die oft veraltet oder widersprüchlich.

Alles nacheinander machen :smile:. Postfix und $IMAP-Server installieren, konfigurieren und testen.

„Maildir“ ist das von mir bevorzugte Speicherformat für die Ornder (mit genügend Mails pro Folder kann das aber echt lahm werden).

Sich auf eine Art der Nutzerverwaltung festlegen (ich habe hier für jeden Mail-Nutzer einen System-User angelegt, möglicherweise ist für Dich eine „virtuelle“ Nutzerverwaltung einfacher).

Wenn das läuft: fetchmail konfigurieren. Ich habe eine zentrale fetchmail-Konfiguration, in der die Daten für alle abzufragende Accounts stehen.

Als letzter Schritt: Web-Interface installieren und testen.

Was ich mir von euch erhoffe ist eine wie auch immer geartete
Checkliste wie man am besten vorgeht.

Einfach mal anfangen, bei Fragen wiederkommen. Viel lesen (Dokumentation, Howtos, man pages und Log-Dateien)

Am wichtigsten wäre mir aber wenn ich deutliche Warnungen
bekäme wo die Fallstricke für so ein Konstrukt sind.

Ich sehe keine Fallstricke. Wenn Du alles Schritt für Schritt machst, liest und verstehst, was Du machst.

HTH,

Sebastian

Halllo,

Du meinst Mails, die aus dem eigenen LAN kommen? Oder?

richtig und die auch nur ins eigene LAN weiterleiten.

Abholen soll er aber die Mails von etlichen Accounts und die
auch transparent den Usern anbieten.

„Transparent“? Was meinst Du damit genau?

Nun ja, mir fällt keine bessere Bezeichnung ein.
Für den User soll es bei seinem jeweiligen Mail-Client so aussehen, als ob er von seinem „original Hoster“ Mails abruft. So was wie ein „Mail-Proxy (?)“.

Die User sollen ihre Mails ins WAN nach wie vor nur über den
jeweiligen Hoster verschicken können.

Ich verstehe nicht, was Du genau damit meinst, aber das klingt
mir so, als wäre es eher schwer realisierbar. Und
möglicherweise auch eher weniger sinnvoll.

Angenommen der User erhält über den internen Mailserver eine Nachricht, die urprünglich von aussen kommt. Will er antworten, so soll der Hoster dieses Accounts das Versenden übernehmen und nicht der interne Mail-Server. Analog soll bei einer selbst erstelltem Mail nach 0.0.0.0 nicht der interne Mail-Server senden.

Meine Absicht ist hauptsächlich zu verhindern, dass der interne Mail-Server als Spam-Relay mißbraucht werden kann.
Ob das eleganter zu lösen ist?

Mein persönliches Setup: Postfix, fetchmail, courier-imap.
dovecot ist zu letzterem bestimmt eine gute Alternative.
Web-Interfaces nutze ich nicht, ich werfe nochmal sqwebmail
und roundcube in die Runde. Beides habe ich vor 142 Jahren
(gefühlt) mal genutzt.

Kannst du mir bitte kurz sagen weshalb du dich für Courier entschieden hast, das war nämlich auch auf meiner Liste.
Den Webmailer wollte ich nur als „Reserve“ einrichten.
Sqwebmail kenne ich nicht, werde ich mir mal genauer anschauen. So weit ich vorläufig gesehen habe ist das ein Courier-Ableger. Liese der sich auch mit Dovecot nutzen?
Roundcube kenne ich von meinem jetzigen Hoster, da werde ich nicht richtig warm mit.

Alles nacheinander machen :smile:. Postfix und $IMAP-Server
installieren, konfigurieren und testen.

Testen der Funktion, klar. Aber wie testet man die Sicherheit?

„Maildir“ ist das von mir bevorzugte Speicherformat für die
Ornder (mit genügend Mails pro Folder kann das aber echt lahm
werden).

Hatte ich auch vor. Eine große Anzahl Mails erwarte ich nicht. Dagegen schon eine größere Datenmenge, weil oft Bilder im Anhang sein werden. Bremst das maildir auch aus?

Sich auf eine Art der Nutzerverwaltung festlegen (ich habe
hier für jeden Mail-Nutzer einen System-User angelegt,
möglicherweise ist für Dich eine „virtuelle“ Nutzerverwaltung
einfacher).

Was meinst du mit „virtuelle“ Nutzerverwaltung?
Zu meinem Plan: Da eh ein LAMPP installiert sein wird (ob in einer zweiten VM oder in jaildirs muss ich noch entscheiden), bietet sich MySQL für die Authentifizierung an. Die User-Namen müssten dann nicht gleichzeitig System-User sein. Ist das richtig?

Wenn das läuft: fetchmail konfigurieren. Ich habe eine
zentrale fetchmail-Konfiguration, in der die Daten für alle
abzufragende Accounts stehen.

Wäre auch meine Absicht. Ich habe dazu bisher noch keine, für mich brauchbare (verständliche), Anleitung im Netz gefunden. Hast du ev. einen Link?

Einfach mal anfangen, bei Fragen wiederkommen. Viel lesen
(Dokumentation, Howtos, man pages und Log-Dateien)

Mein Problem ist, dass mein Englisch ziemlich eingerostet ist. Es ist deshalb sehr mühsam diesen Texten zu folgen. Eine deutsche Doku wäre also wesentlich besser verständlich.

Danke für die bisherige Mühe.

Grüsse max

Ich verstehe nicht, was Du genau damit meinst, aber das klingt
mir so, als wäre es eher schwer realisierbar. Und
möglicherweise auch eher weniger sinnvoll.

Das ist doch nicht schwer realisierbar! Imap zeigt bei allen identisch auf den internen Server, smtp hingegen auf den smtp-Server des jeweiligen Providers.

Nur der postfix passt da nicht so recht rein. Wenn der für die interne Kommunikation zuständig sein soll, benötigt jeder Anwender ein zweites Konto - und das wird mit Sicherheit in Konfusion enden…

Gruß

Hallo,

Nur der postfix passt da nicht so recht rein. Wenn der für die
interne Kommunikation zuständig sein soll, benötigt jeder
Anwender ein zweites Konto - und das wird mit Sicherheit in
Konfusion enden…

Ein zweites, internes Konto möchte ich gerne vermeiden. Die diversen externen Accounts sind mir schon komplex genug.
Brauche ich denn keinen MTA?
Was würdest du empfehlen?

Grüsse max

Brauche ich denn keinen MTA?

Einen MTA brauchst du nicht. Du benötigst schließlich weder nach aussen noch nach innen einen smtp-Dienst. Aber wenn ich das richtig sehe, kann zum einen Fetchmail nicht direkt an Dovecot ausliefern, zum anderen arbeitet wohl auch Spamassassin weder mit Fetchmail noch mit dovecot unmittelbar zusammen. Daher musst du wohl doch postfix dazwischensetzen.

Man könnte auf die Idee kommen, den postfix für den Versand als Relay zu verwenden. Auf diese Weise würden Mails nach aussen ebenfalls über eine zentrale Instanz laufen. Allerdings ist es m. W. nicht ohne weiteres möglich, den Postfix dergestalt als Relay einzurichten, dass er in Abhängigkeit von der Absenderadresse an verschiedene Server relayed. Kann man zwar basteln, z. B. indem man verschiedene Postfix-Instanzen laufen lässt. Aber das ist dann ein sehr, sehr statisches Setup, welches ständiger Anpassung bedarf, sobald einer der User den Provider wechselt oder der Provider seine Regeln ändert…

Gruß

Hallo,

Daher musst du wohl doch postfix dazwischensetzen.

Man könnte auf die Idee kommen, den postfix für den Versand
als Relay zu verwenden. Auf diese Weise würden Mails nach

User den Provider wechselt oder der Provider seine Regeln
ändert…

Ich verstehe deine Bedenken und meine auch, dass das keine gangbare Lösung wäre.
Die ursprüngliche Idee dahinter war, zu verhindern, dass der lokale Mailserver in irgend einer Form als Spamschleuder mißbraucht werden kann. Das Senden nach außen zu unterbinden erschien mir dabei der einfachste Weg.
Gibt es denn andere Ansätze und hast du ev. (einen) Link(s) wo ich mich einlesen könnte.

Grüsse max

Die ursprüngliche Idee dahinter war, zu verhindern, dass der
lokale Mailserver in irgend einer Form als Spamschleuder
mißbraucht werden kann. Das Senden nach außen zu unterbinden
erschien mir dabei der einfachste Weg.

Der postfix neigt in keiner Weise dazu, sich als open relay oder in anderer Weise als Spamschleuder missbrauchen zu lassen. Bei einem Standard-Setup müsste ein Angreifer für diesen Zweck schon von innen kommen.

Tatsächlich spielen offene Relays für den Spamversand heute keine Rolle mehr. Spams werden entweder über kriminelle bzw. kriminellenfreundliche Hoster wie z. B. die französische OVH oder die schwedische Fa. Crystone versendet, oder die Spammer nutzen Botnets.

Selbst wenn innerhalb deines Netzwerks ein PC als Teil eines Botnetzes fungieren würde, würde dieser PC dazu nicht auf den postfix zugreifen, sondern direkt nach aussen agieren.

Insofern wäre es sinnvoller, allen Mailverkehr zentral über den postfix abzuwickeln und ansonsten Port 25 an der Firewall dichtzumachen. Aber so etwas beschneidet natürlich die Möglichkeiten der Anwender innerhalb deines Netzes, auch würden sie so nach aussen nicht mehr mit ihren privaten Mailadressen agieren (allenfalls per Webmail). Ob das bei dir geht, weiss ich nicht.

Gruß

Hallo,
danke für die Tipps.

… würden sie so nach aussen nicht mehr mit ihren privaten
Mailadressen agieren (allenfalls per Webmail). Ob das bei dir
geht, weiss ich nicht.

Das ist ein kritischer Punkt. Wir sind hier nur eine lose Gruppe, keine Firma, mit „gewachsenen“, z.T langjährigen, E-Mail Accounts. Da ist bestimmt Diskussionsbedarf.

Wie ginge das per Webmail?

Mir kommt gerade ein Gedanke - könnte man die bisherigen Email-Adressen in irgend einer Form als Alias eintragen?
Ein Hinweis in der Signatur geht auf jeden Fall - ob das den Leuten reichen würde muss ich klären.

Grüsse max

Mir kommt gerade ein Gedanke - könnte man die bisherigen
Email-Adressen in irgend einer Form als Alias eintragen?

Ne. Eingehend sind Aliase auf dritte Domains nur dann sinnvoll, wenn man selbst Eigentümer dieser Domains ist. Ausgehend könnte man zwar mit fremder Domainkennung über den eigenen Server gehen, allerdings werden Spamfilter da leicht hellhörig.

Bliebe der Eintrag eines reply to:, also Versand mit neuer, einheitlicher Domain, Antworten jedoch bitte an bekannte alte Adresse. Macht wenig Sinn, wenn mit der ganzen Aktion auf Dauer auch ein einheitlicher Auftritt nach aussen realisiert werden soll.

Gruß


Ausgehend könnte man zwar mit fremder Domainkennung über den
eigenen Server gehen, allerdings werden Spamfilter da leicht
hellhörig.

Eingehend macht für mich keinen Sinn und ist nicht auch nicht angedacht.
Ausgehend war mein Gedanke, aber so wie das klingt ist das mit Sicherheit recht komplex umzusetzen. Wenn es dann auch zu Problemen bei der Zustellung geben kann ist das eher suboptimal.

Bliebe der Eintrag eines reply to:, also Versand mit neuer,
einheitlicher Domain, Antworten jedoch bitte an bekannte alte
Adresse. Macht wenig Sinn, wenn mit der ganzen Aktion auf
Dauer auch ein einheitlicher Auftritt nach aussen realisiert
werden soll.

Gerade der einheitliche Auftritt ist nicht gewünscht.
Einzig die Überlegung die Mails zentral zu speichern und ein regelmäßiges Backup zu fahren war Ausgangspunkt meiner Überlegungen.

Wir werden hier noch mal eine Diskussion führen müssen.
Ich danke dir für deine Anregungen.

Grüsse max