Bien configurer sa passerelle SMTP : les points à suivre.

J’occupe actuellement à un poste d’administrateur réseau où je gère aussi bien le réseau LAN WAN, la sécurité, ainsi que les passerelles SMTP (Routage SMTP, Filtrage virus et spams).

Les différents points expliqués par la suite sont ceux que j’applique dans la société pour laquelle je travaille.

Le flux mail représente environ 50′000 mails / jour pour environ 400 boîtes aux lettres.

Les enregistrements DNS

  • Les MX Records

Un domaine doit posséder des MX records pour recevoir des emails : les MX records renseignent les serveurs distants sur quel hostname/IP envoyer les emails.

Admettons que le domaine soit “mydomain.xyz“, un enregistrement MX sera du type :

mydomain.xyz MX 10 smtp.mydomain.xyz

“10″ représente la priorité du serveur : admettons qu’il existe une 2ème passerelle SMTP, un enregistrement avec une priorité 20 indique qu’il est possible d’envoyer des emails vers cette passerelle, mais l’envoi doit se faire en priorité sur la passerelle d’un poids inférieur.

smtp.domain.xyz représente le hostname de la gateway SMTP du domaine. Evidemment, ce serveur doit avoir un enregistrement DNS type A, qui renseigne sur son adresse IP .

A savoir : la passerelle de priorité 20 recevra principalement du spam et très peu de mails utiles. Cela fait partie des techniques des spammeurs qui envoient sur les passerelles secondaires, car celles-ci sont parfois moins bien configurés ou un peu oubliés par l’administrateur.

  • Le Reverse DNS

Toute passerelle SMTP doit posséder un enregistrement PTR permettant d’effectuer une vérification type ReverseDNS.

Exemple : Une gateway SMTP possède l’enregistrement type A suivant :

smtp.domain.xyz IN A 1.2.3.4

L’enregistrement PTR correspondant sera du type :

4.3.2.1.in-addr.arpa smtp.domain.xyz

Il est important et même nécessaire d’avoir un enregistrement PTR pour tout les serveurs MX.

Actuellement, mes systèmes sont configurés pour rejeter tout serveur ne possédant pas d’enregistrement PTR. Ceci pour la raison suivante : contrairement à l’administrateur d’un site légal, un spammeur utilisant des techniques de spoofing n’a pas la possibilité (administrative) d’enregistrer un PTR pour un domaine qu’il ne possède pas.

A suivre…