由於 Mail Server 是使用Fedora 11 的版本.最近某個使用者帳號被破解.
導致被入侵發送大量廣告信. 目前除了將所有帳號密碼做修改之外. 也查詢
一些黑名單網站. 看是否被列入黑名單需要解除封鎖. 但時效上有些慢. 想
更換Mail Server 網路IP. 除了DNS 網域位置及網卡 IP 需要調整外. 還需
修改那些相關地方? 以便一次修改完成. 因使用上只會用 Webmin 做管理
. 不會下文字指令修改. 敬請賜教.
2011-10-14 19:25:50 補充
感謝 ayu 的指導.因上次利用Webmin修改網路組態的網路介面IP及去網址註冊的DNS網域名稱修改IP.導致Mail Server 無法正常運作.一直不確定要修改的全部範圍.故請教 ayu 所指的zone file 地方是 Reverse Address 記錄及 Address 記錄.這是之前沒有一起做修改的地方.至於序號必須至少加1.不知是指哪個地方.是否方便舉例以便對照.再次謝謝您的指導.
2011-10-15 15:04:59 補充
感謝意見者ayu的指導,可否把意見轉到回答欄,再次感謝您的指導,謝謝.
2011-10-16 10:06:05 補充
是在TWNIC 的註冊DNS 設定/代管.Mail Server 主機也有設定授權給自己架設的DNS server去管理.因平常僅作帳號之管理.其他地方較少涉獵.故對於修改主機IP較陌生.Reverse Address 記錄及 Address 記錄於下次修改時會注意到這地方.感謝您的指導,.再請您將把意見轉到回答欄.謝謝.
2011-10-16 11:15:00 補充
感謝意見者ayu的指導,謝謝所有贊助者,非常感謝大家,祝福大家天天開心.
er">
版主的提問看似單純, 實際上牽涉的環節很多,
且不同的mail處理架構, 要注意的地方又不盡相同,
真要認真講起來差不多可以寫一本手冊了.
因此僅就一般常見狀況(只有一部主機同時擔任MX+mail_server+smtp_server+
dns sever), 提出個人的概略見解.
就mail server本身而言, 更換IP並沒有什麼特別需要留意之處,
除了用系統內建的工具 或 webmin 去修改網卡IP,
再留意 /etc/hosts 及相關設定檔例如 /etc/mail/access
(若以sendmail為 mail daemon), 是否有將主機名稱與IP給訂住了,
以及是否有跟著修改.
但, 真正的麻煩之處, 通常在於週邊的配合,
光是 DNS 這一環節, 就足以引發一連串問題.
1) client端指定的 DNS (resolver), 必然是以IP方式指定,
若 server 端改了IP, 那麼client端的DNS resolver也勢必要改.
如果client端都是用DHCP方式取得IP, 則可以在DHCP server那邊
做設定異動, 不然可得一個一個改.
2) DNS cache
每一個網路上的服務主機, 其 DNS resource record 都會有個有效期限
(Time-To-Live, 簡稱TTL), 這是為了整體效能考量下的設計,
只要DNS server裡的cache有你要的答案,
在有效期限內都可以直接回應, 而不用每次都一定要從 root-servers 開始
一路查詢直到答案解析出來.
因此, 當我們改變mail server IP之後, 對外界而言, 並不會立刻知道,
理論上, 要等TTL過期了, 再去進行一次解析流程, 才會知道IP已經改了.
實務上, 大約要1-2天的時間, 才能確定改變.
3) 新舊IP並陳
為了避免DNS cache引發的困擾, 其中一個有效的解法是,
讓mail server暫時綁新舊兩個IP, 過個幾天後才只用新的IP.
其它:
1) 內部電腦掃毒抓木馬
網路上有著太多的惡意網頁與病毒信, 稍不留神打開病毒信, 或是被吸引
點進看似安全實則惡意的網址, 不知不覺中被植入程式可能就成了殭屍電腦,
請記得電腦並不是一定要透過mail/smtp server才能寄信,
殭屍電腦是可以自己再對外進行散播病毒信的, 並不需要什麼帳號密碼.
2) DNS自管/代管
自管/代管宜擇一而行, 絕對不是"只要能通就好", ayu遇過很多單位
因為這樣的認知, 平常可能覺得還好, 臨時有大接單大案子卻又出
大狀況, 懷疑這個、猜測那個, 結果沒一個是對的, 徒然延誤時機.
3) 安全/機密/成本考量
其實打從一開始, ayu實在不認為改換IP是好辦法, 與其這樣不如把真正的
原因徹底找出來解決, 否則好不容易換了IP也未必有幫助.
能夠把架構做得更好, 就資安上當然是好事, 但成本也是重要考量,
如果實在沒有經費去補強, 至少可在mail server上裝個clamav免費防毒,
spamassassin則好像是幾年前開始就有內建的了.
又或者如果沒有什麼高度機密的信件往來, 帳號也不多的話,
可以考慮用Google Apps.
[其它參考]
停電時, Mail Server不中斷的規劃
http://ithelp.ithome.com.tw/question/10074351?aid=164850#164850
留言列表
