В изменяющемся мире технологий количество почтового спама увеличивается быстрее, чем многие системы электронной почты могут его контролировать. В 2004 г. почти 9 млрд. дол. было потрачено корпорациями США на борьбу со спамом. Компании выпустили продукты для идентификации и изоляции предполагаемых спам-сообщений. Исследование показало, что спам составляет более 40% всей электронной почты, при этом в среднем приходится по 6 сообщений на пользователя ежедневно. Если, вы думаете, что это плохо, то ожидаемый прирост спама в 2007 г. составит 63%. Подобную статистику можно найти на сайте Spam Filter Review.
Начиная с Lotus Domino 4, Lotus искал пути для борьбы с почтовым спамом и для ввода ограничений для сообщений Simple Mail Transfer Protocol (SMTP). В Lotus Domino 4 появились многочисленные параметры Notes.ini для контроля передачи сообщений, входящих соединений и доменов отправителей. Lotus Domino 5 предоставил графический пользовательский интерфейс (Graphical User Interface - GUI), через который администраторы Domino могли управлять значениями в документе Configuration Settings (Параметры конфигурации). Это упростило настройку SMTP для администраторов Domino и уменьшило затраты пользователей.
Lotus Domino 6 улучшил технологию путем интеграции процессов обмена сообщениями ввода и двух способов фильтрации: черный список DNS (DNSBL) и фильтрация по содержанию. Это статья показывает многочисленные решения, разработанные IBM, для ограничения количества нежелательной почты с сервера, также здесь рассматриваются средства управления спамом в Lotus Domino 7. В первой части статьи рассматриваются установки документа Сonfiguration Server и правила обмена почтой на сервере с целью контроля спама. Во второй части рассматриваются настройки документа Server и переменные Notes.ini, контролирующие спам. Для ознакомления со статьей вам надо быть опытным администратором Domino, знающим Lotus Notes и Domino 6.
Установки SMTP в Domino
Многие пользователи Notes предпочитают, чтобы не они, а их администратор фильтровал и удалял нежелательный спам. Проще всего остановить спам, не пустив сообщение в ваше окружение. Для этого надо настроить SMTP и маршрутизатор. Вы можете конфигурировать их в файле Configuration Settings, файле Server и файле Notes.ini сервера Domino.
Задача SMTP - контролировать SMTP-приемник информации с сервера Domino. По умолчанию в случае перезапуска сервиса SMTP, и через каждые две минуты после этого, сервис SMTP автоматически проверяет файлы Notes.ini, документ Configuration Settings и документ Server, не изменились ли в них установки. Если сервис видит изменение установок, он перенастраивает свою внутреннюю конфигурацию, чтобы соответствовать изменениям.
Документ Configuration Settings
Наиболее эффективно контролировать SMTP-трафик через документ Configuration Settings. Документ Configuration Settings содержит закладки, позволяющие фильтровать электронную почту через SMTP, сокращая количество спама. На закладке Router/SMTP - Restrictions and Controls - SMTP Inbound Controls находятся шесть дополнительных разделов для настройки протокола SMTP.
Средства управления входящим потоком
В этом разделе указываются интернет-домены, с которыми Domino разрешит либо запретит обмен сообщениями, как показано на рисунке 1. Если не сконфигурировать ваш сервера Domino для передачи сообщений, то он может быть занесен в черный список, и у вас не будет возможности отправлять SMTP сообщения на домены, использующие сервис черного списка.
В полях Deny (отменить), звездочка (*) не позволяет Domino передавать сообщения на внешние интернет-домены с любых внешних интернет-хостов или IP-адресов. Также звездочкой (*) можно обозначить подсеть любого IP-адреса. Любой IP-адрес или хост, записанный в поле "Allow messages to be sent only to the following external internet domains" (Сообщения могут быть отправлены только на следующие внешние интернет-домены) главенствует над полем "Deny messages to be sent to the following external internet domains" (Сообщения НЕ могут быть отправлены на следующие внешние интернет-домены).
Рисунок 1. SMTP Inbound Relay Controls
Любое значение в поле "Allow messages only from the following internet hosts to be sent to external internet domains" (Сообщения, которые могут быть отправлены со следующих интернет-хостов на внешние интернет-домены) главенствует над полем "Deny messages from the following internet hosts to be sent to external internet domains" (Сообщения, которые НЕ могут быть отправлены со следующих инетрнет-хостов на внешние интернет-домены). В прошлых версиях Domino содержимое в полях запрета главенствовало над полями разрешения при возникновении конфликтной ситуации.
Если вы хотите вернуться к алгоритму 5й версии, вам нужно конфигурировать переменную Notes.ini SMTPRelayHostsandDomains=value. Значение по умолчанию - 0. Эта переменная не дает серверам использовать правила Domino 5 для разрешения конфликтов между содержимым полей разрешения и запрета в средствах управления входящими потоками SMTP.
- 0 - Содержимое полей разрешения главенствует над полями запрета в случае конфликта между ними. Например, при заданном содержимом, хост mail.ibm.com может передавать сообщения на любые адреса, включая адреса на домене lotus.com
Поле Содержимое Deny messages to be sent to the following external internet domains lotus.com Allow messages only from the following internet hosts to be sent to external internet domains mail.ibm.com - 1 - Содержимое полей запрета главенствует над полями разрешения в случае конфликта между ними. Используя вышестоящий пример, если вы поставите отказ для передачи на lotus.com, хост mail.ibm.com не сможет передавать на запрещенные домены.
Слежение за входящими потоками
Этот раздел показывает продвинутые опции для управления передачей сообщений. Следующие три поля показывают дополнительные опции передачи SMTP, показанные на рисунке 2.
Рисунок 2. SMTP Inbound Relay Enforcement
Perform Anti-Relay enforcement for these connecting hosts (Применение ограничения в передаче потоков для данных хостов)
В этом поле указываются связи, для которых сервер использует средства управления внешними потоками, заданными в SMTP inbound relay controls, которые показаны на рисунке 1. Вам нужно выбрать одну из предлагаемых опций:
- Внешние хосты (по умолчанию): Сервер применяет контроль за входящими потоками только для внешних хостов. На хосты локального домена Internet не распространяются ограничения по приёму потоков. Локальный домен определяется документом Global Domain, если он существует, либо как домен сервера хоста.
- Все хосты: Сервер применяет контроль за входящими потоками для всех хостов, которые могут передавать почту на внешние интернет-домены.
- Внимание: Сервер игнорирует установки в средствах управления входящими потоками. Все хосты могут передавать сообщения.
Exclude these connecting hosts from anti-relay checks (Не проверять указанные хосты на запрет передач)
Вы можете создать список исключений, который будет содержать IP адреса или имена хостов, которые смогут передавать почту на разрешенные домены. Для каждого специфицированного исключения средства управления внешней передачи не используются. Введите IP адреса и имена хостов, которые будут освобождены от ограничений, указанных в разделе управления внешними потоками на рисунке 1. При вводе IP адресов, заключите их в квадратные скобки.
Exceptions for authenticated users (Исключения для аутентифицированных пользователей)
Это поле может использоваться для определения, свободны ли пользователи, которые имеют логин на сервер, от проверок. Вам нужно выбрать из следующего:
- Выполнять проверку передачи почты для аутентифицированных: Сервер не делает исключений для аутентифицированных пользователей. Для аутентифицированных и не аутентифицированных пользователей используется одинаковые проверки.
- Разрешите всем аутентифицированным пользователям передачу: Пользователи, которые заходят под зарегистрированным именем и паролем, освобождаются от проверок средствами управления внешними потоками. Используйте это для разрешения работы пользователям, которые соединяются с сетью извне локального домена Internet через протоколы POP3 или IMAP,.
Фильтры черного списка DNS
Этот раздел определяет необходимость использования фильтров черного списка DNS, как показано на рисунке 3. Если он активизирован, то когда Domino получает запрос на соединение SMTP, он проверяет, занесен ли пытающийся подсоединиться хост в черный список на указанном сайте. Если хост будет найден в списке, Domino сообщает об этом через консоль и через поле Mail Routing Events лога Notes. В консольном сообщении и записи указываются имя хоста и IP адреса сервера, а также сайт, где сервер занесён в чёрный список. Если Domino находит хост в одном из черных списков, он не ищет дальше на остальных указанных сайтах.
Рисунок 3. Фильтры чёрного списка DNS 
Вы можете выбирать среди множества бесплатных и платных сервисов, которые предоставляют черные списки (DNS blacklists). При использовании публичных сервисов черного списка, Domino выполняет DNS запросы через интернет. В некоторых случаях, получение ответа на запрос DNS с сайта в интернете может занять очень много времени. Если задержка DNS запроса замедляет работу, лучше заключить соглашение с приватным сервисом, который допускает передачу областей, так что Domino быстро выполнит DNS запрос на локальном хосте. Во время передачи областей содержимое файла DNS на сервисе копируется на DNS сервер в локальной сети.
Каждый черный список имеет свои критерии добавления в него серверов. Сайты черных списков используют автоматические тесты и другие способы, чтобы определить, посылает ли этот сервер спам и использует ли открытую передачу почты. Более жесткие черные списки добавляют серверы, в случае если сервер не проходит тест, независимо от того, определен он как источник спама или нет. Другие менее жесткие списки добавляют сервер, если его администратор не закрывает сервер для посторонней передачи после определенного периода, если сервер поддерживает хосты спаммеров.
Вы можете ввести текст сообщения об ошибке при отказе соединения, потому что хост найден в черном списке DNS. По умолчанию в сообщении об ошибке говорится, что отказ был выполнен, исходя из стратегических причин. Вы можете использовать формат %s, чтобы указать IP адрес заблокированного хоста и сайт черных списков DNS, где хост был найден Domino.
Например, вы вводите следующее:
Your host %s was found in the DNS Blacklist at %s
Когда Domino отказывает в соединении, он направляет ошибку на хост, где он заменяет первый %s IP адресом хоста, а второй %s именем сайта черного списка DNS. Так что если вы ввели текст согласно примеру, заблокированный хост получает такое сообщение об ошибке:
Your host 127.0.0.2 was found in the DNS Blacklist at ibmdnsbl.mail-abuse.org
Выполняемое действие, если хост найден в чёрном списке DNS
Вы должны выбрать одну из опций для чёрного списка DNS:
- Запись: Если Domino находит хост в черном списке, он принимает сообщение с хоста и записывает имя хоста и IP адрес соединяющегося сервера и имя сайта, где упоминается сервер.
- Запись и добавление сообщения: Если Domino находит соединяющийся хост в черном списке, он принимает сообщение с хоста и записывает имя хоста, IP адрес сервера и имя сайта, где сервер был упомянут и добавляет запись $DNSBLSite к каждому принятому сообщению. Значение $DNSBLSite - это сайт с чёрным списком, где упоминается хост. Администраторы могут использовать запись $DNSBLSite для обработки сообщений, полученных с хостов, занесенных в черные списки.
- Запись и отклонение сообщения: Если Domino обнаруживает, что хост - в черном списке, он отказывает в соединении и отправляет на хост сообщение об ошибке.
Вы можете получить статистику от Domino Administrator, либо используя команду SHOW STAT SMTP через консоль сервера. Вы можете расширить статистику, чтобы узнать, сколько раз данный IP адрес был найден на одном из указанных DNSBL. Для получения дополнительной информации надо задать переменную SMTPExpandDNSBLStats в файле Notes.ini на сервере.
SMTPExpandDNSBLStats=value
Используйте эту опцию для создания статистики фильтра DNS для каждого соединяющегося хоста, заданного на сайте с чёрным списком DNS.
- 0 означает, что статистика фильтра хостов DNS не генерируется сервером SMTP.
- 1 означает, что сервер SMTP генерирует статистику по хостам фильтра черного списка DNS, которая показывает общее число совпадений данных на сайте DNSBL с IP адресом соединяющегося хоста.
Эта опция Notes.ini обращается к серверам Domino. В случае отсутствия этой опции SMTP выдает статистику, которая показывает общее число совпадающих хостов в комбинированном DNSBL всех сайтов вместе со статистикой о том, сколько раз они были найдены в DNSBL на каждом из указанных сайтов.
Переменная SMTPDebugSearchAllDNSBLSites=value показывает общее количество совпадений с DNS blacklist для каждого из указанных сайтов, если задать значение 1. Значение по умолчанию - 0. Не забывайте об этой переменной. Важно собирать статистику по всем выбранным сайтам.
Средства управления внешним соединением
Средства могут быть использованы для запрета хостам и IP адресам соединяться с вашим сервером Domino. Вы можете настроить Domino на обратный просмотр DNS для любого соединяющегося сервера. Это обязывает Domino проверить имя соединяющегося хоста путем выполнения обратного просмотра DNS. Domino проверяет DNS на предмет совпадения PTR записи, соответствующей IP-адресу хоста, с именем хоста. Если Domino не сможет определить имя удаленного хоста, потому что DNS не доступен или запись PTR не существует, он не позволит хосту передавать почту.
Вы можете также ввести имя хоста и/или IP адреса с разрешением или запретом на соединение с сервисом SMTP на этом сервере, как показано на рисунке 4. Содержание имени хоста может быть полным, включающим точное имя определенного хоста, или сокращенным, и означать существование группового символа (wildcard). Например, в поле "Allow connections only from the following SMTP internet host names/IP addresses" (Позволить соединение только со следующими SMTP-хостами/IP-адресами), если ввести ibm.com, Domino разрешит соединения с почтовыми службами домена *ibm.com, так что оно примет только имена, заканчивающиеся на ibm.com, включая us.ibm.com и server.ibm.com. Domino отклонит все другие запросы на соединение.
Рисунок 4. SMTP Inbound Connection Controls
Контроль за отправителями входящей почты
Этот раздел касается отправителей входящих SMTP-сообщений. Вы можете активизировать обратный DNS-просмотр на домене отправителя, как показано на рисунке 5. Если активизирован, Domino проверяет, существует ли домен отправителя, проверяя на MX, CNAME, или запись А, соответствующую доменной части адреса в полученной от отправляющего хоста команде MAIL FROM. Если они не совпадают, Domino отказывает в принятии почты с хоста.
Вы можете узнать интернет-адреса, с которых сервер позволяет либо нет получать сообщения. Во время SMTP диалога, SMTP-приемник Domino сравнивает адрес в команде MAIL FROM, полученной от соединяющегося хоста с содержимым этих полей.
Рисунок 5. Контроль за отправителями входящей почты 
Средства контроля за указанными получателями
Этот раздел позволяет оградить список получателей от входящих SMTP-сообщений. Его полезная особенность - поле "Verify that local domain recipient exist in the Domino Directory" (Проверка наличия локального домена получателя в Domino Directory). Этим указывается, что SMTP-приемник сравнивает имена получателей, указанных в командах RCPT TO, с содержимым Domino Directory. При активации часть адреса домена, указанная в команде SMTP RCPT TО сравнивается с одним из указанных локальных доменов; SMTP-приемник проверяет все директории, чтобы определить, является ли данный получатель достоверным пользователем. Если поиск завершён и совпадений с именем нет, сервер SMTP возвращает ошибку 550, сообщая, что пользователь не известен:
550 bad_user@yourdomain.com ... No such user
Использование этой опции не позволит отправить сообщения на несуществующие адреса (например, спам и сообщения пользователям, покинувшим организацию) и "мертвой" почте накапливаться в Mail.box. Чтобы избежать ограничения сообщений в результате недоступности директории, Domino принимает сообщения, если просмотр директорий не был успешно завершен. Для дополнительной информации посмотрите рисунок 6.
Рисунок 6. Средства контроля за указанными получателями 
Вы можете указать адреса в данном локальном домене интернета, которым разрешено или запрещено получать почту из интернета. Вы также может создать в Notes-группу, содержащую список адресов, которые могут получать или отклонять почту из интернета и ввести в это поле имя группы.
Замечание: В некоторых из указанных разделов есть поля Allow messages… и Deny messages…. Эти поля взаимно исключают друг друга. Любые поля запрета сообщений будут игнорировать соответствующие поля разрешения.
Почтовые правила сервера
Вы можете создать правила фильтрации для сервера, которые определят действия для всех сообщений. Когда новое сообщение с указанной характеристикой попадет в почтовый ящик, Domino автоматически выполнит соответствующее действие. Условия правил основываются на содержимом заголовка или содержимом сообщения. Путем настройки набора условий и установок вы можете изменять правила, чтобы помогать блокировать спам и перехватывать сообщения с сомнительным содержанием. Кроме тех случаев, когда это оговорено правилами, Domino не извещает отправителя или получателя, что правила не позволяют сообщению дойти до места назначения.
Если почтовый ящик получает зашифрованное сообщение (Notes encrypted, S/MIME, PGP и так далее), почтовые правила сервера используют все условия, основанные на незашифрованной информации в пакете сообщения, такие как пользователь, важность, получатели, но не используют условия, основанные на зашифрованной части сообщения. Многие условия правил основаны на информации в пакете сообщения. Сервер не записывает случаи, в которых правила не могут проверить сообщения.
Domino сохраняет созданные правила в таблице Configuration Settings Router/SMTP - Restrictions and Controls - Rules. При загрузке каждый сервер берёт почтовые правила из соответствующего документа Configuration Settings и регистрирует их в качестве монитора для почтового ящика. Когда почтовый ящик получает новое сообщение из любых источников, таких как SMTP, маршрутизатор с другого сервера или просто клиент, отправляющий сообщение, сервер оценивает различные поля сообщения в соответствии с установленными правилами. Каждое сообщение оценивается один раз.
Создание почтовых правил сервера
Когда вы добавляете новое правило, сервер начинает его использовать только после перезагрузки почтовых правил. Перезагрузка осуществляется автоматически, когда Сервер замечает изменение в правилах при проведении регулярной проверки файла Configuration Settings. Эта проверка выполняется примерно каждые 5 минут, также перезагрузка может быть запущена из консоли Domino.
При создании почтовых правил сервера стоит кое-что учесть. Когда установлено много правил, вы можете отсортировать их по значимости. Наиболее часто встречающиеся слова постарайтесь разместить в начале правила, так чтобы при их нахождении не было необходимости просматривать все остальные условия. Без необходимости не просматривайте тело сообщения. Просмотр тела наиболее влияет на загрузку CPU и памяти сервера и может привести сервер Domino к непредсказуемым последствиям. Максимальное количество почтовых правил - 100, но оно может быть настроено переменной Notes.ini.
Рисунок 7. Диалоговое окно нового правила
Прежде чем создать почтовое правило сервера, нужно определить элемент сообщения, в соответствии с которым будут указаны условия. Вы можете выбрать из
- Sender
- Subject
- Body
- Importance
- Delivery priority
- To
- CC
- BCC
- To or CC
- Body or subject
- Internet domain
- Size (in bytes)
- All documents
- Attachment name
- Number of attachments
- Form
- Recipient count
- Any recipient
Выбрав элемент сообщения для проверки, вам нужно установить логический оператор или классификатор. Опцию нужно выбрать из:
- Содержит (для значений текстовых полей)
- не содержит (для значений текстовых полей)
- есть
- нет
- Меньше чем (для числовых значений)
- Больше чем (для числовых значений)
Также можно модифицировать почтовые правила сервера и добавить больше условий, таких как И, ИЛИ. Также в качестве условия можно добавить исключение.
Следующим шагом создания правил почты сервера нужно указать действие, выполняемое с сообщением, которое соответствует установленным в правилах условиям. Выбрать можно из вариантов в таблице A.
Таблица A. укажите действия для почтовых правил сервера.
| Действие | Описание |
| Внести сообщение в журнал | Маршрутизатор отправляет копию сообщения в указанную базу данных почтового журнала и передаёт почту по назначению. Ведение журнала должно быть активировано на закладке Router/SMTP - Advanced - Journaling. |
| Переместить в базу данных | Маршрутизатор извлекает сообщение из почтового ящика и отправляет его в указанную в отдельном поле базу данных, например, junkmail.nsf. База данных должна уже существовать. Сообщение не передается по назначению. Размещение сообщений в "макулатурной почте" позволяет вам проверить их на предмет обнаружения ненужной или вредоносной информации. |
| Не принимать сообщение | Domino не принимает сообщение, но маршрутизатор не генерирует сообщение об ошибке. В зависимости от источника сообщения, отправитель может получить или не получить ответ о неполучении (NDR) или другое сообщение о том, что сообщение не доставлено. Когда Domino не принимает входящее SMTP-сообщение, он возвращает ошибку на отправляющий сервер, сообщая, что сообщение не принято по стратегическим причинам. Постоянные ошибки SMTP (ошибки 500-й серии) возникают при повторной попытке отправителя послать сообщение на этот адрес.
В зависимости от конфигурации клиента и сервера отправителя, автор письма может получить отчет об ошибке. Для сообщений, полученных через Notes, Domino отправляет отчет об ошибке, сообщая, что сообщение нарушило почтовое правило. Для сообщений, отправленных пользователями Notes, отправитель получает отчет об ошибке, сообщающий, что сообщение нарушило почтовое правило. |
| Не доставлять сообщение | Domino принимает сообщение, но вместо отправления его по назначению, он обрабатывает его в соответствии с такими настройками:
|
| Изменить режим маршрутизации | Domino принимает сообщение, но не доставляет его. Вместо этого, он помечает его удерживаемым, изменяя значение режима маршрутизации (RoutingState item) для сообщения на УДЕРЖАНИЕ. Это изменение режима маршрутизации приводит к тому, что маршрутизатор удерживает сообщение в Mail.box, ожидая указания на удаление или освобождение удерживаемого сообщения. |
Команды и расширения входящего SMTP
Lotus Domino поддерживает некоторые обычные команды и расширения SMTP (ESMTP - Extended Simple Mail Transfer Protocol). В большинстве случаев многие из них конфигурируются через файл Server Configuration Settings document через вкладку Router/SMTP - Restrictions and Controls - Advanced - Commands and Extensions. Каждая команда ESMTP поддерживается отдельным запросом на комментарий (Request For Comment - RFC). В таблице B описаны внешние команды и расширения ESMTP, поддерживаемые SMTP-приемником.
Таблица B. Команды и расширения входящего SMTP
| Расширение SIZE (RFC 1427) |
|
| Расширение конвейеризации (RFC 1854) |
|
| Расширение DSN (RFC 3461) ) |
|
| Расширение 8-bit MIME (RFC 1652) |
|
| Команда HELP |
|
| Команда VRFY (RFC 821 section 3.3) |
|
| Команда EXPN (RFC 821 section 3.3) |
|
| Команда ETRN(RFC 1985) |
|
| SSL через порт TCP/IP (RFC 2487 and RFC 3207) |
После принятия команды STARTTLS с удаленного сервера Domino использует опции SSL-порта сервера, чтобы управлять аутентификацией сессии. Чтобы Domino аутентифицировал удаленные хосты, которые используют команду SMTP AUTH команду, аутентификация по имени и паролю должна быть активирована для Domino SSL-порта. Вопрос касательно конфигурации серверного SSL-порта раскрывается во второй части этой статьи. |
Выводы
Итак, в этой статье описаны настройки SMTP в Domino, которые можно установить в файле Server Configuration Settings, включая средства управления входящей передачей, черные списки, команды и расширения входящего SMTP. Мы также обсудили почтовые правила сервера и ведение почтового журнала -- два новых пути для борьбы со спамом. Во второй части статьи мы рассмотрим настройки документа Server и переменные Notes.ini, которые влияют на SMTP. Позже мы рассмотрим новинки, которые появятся в Lotus Notes/Domino 7.