Amavis

Amavis to oprogramowanie pośredniczące integrujące skanery antywirusowe i antyspamowe z serwerem pocztowym.

Amavis jako warstwa pośrednia w obsłudze poczty

Amavis, spotykany obecnie przede wszystkim jako amavisd-new, jest usługą pośredniczącą między agentem transportu poczty a programami analizującymi zawartość wiadomości. Nie jest samodzielnym serwerem SMTP przeznaczonym do dostarczania poczty i nie zastępuje MTA, takiego jak Postfix, Sendmail lub Exim. Jego zadaniem jest przyjęcie wiadomości od serwera pocztowego, przygotowanie jej do kontroli, uruchomienie odpowiednich skanerów oraz przekazanie wyniku z powrotem do dalszej części przepływu pocztowego.

W typowej instalacji Amavis współpracuje z ClamAV jako skanerem antywirusowym oraz ze SpamAssassin jako silnikiem oceny spamu. Amavis może także sprawdzać nagłówki, typy MIME, załączniki, archiwa i reguły dotyczące niedozwolonych formatów wiadomości. Oprogramowanie koordynuje te operacje, ale nie należy przypisywać mu własnej bazy sygnatur wirusów ani własnego, niezależnego silnika klasyfikacji spamu. Skuteczność kontroli zależy między innymi od konfiguracji Amavis, aktualności podłączonych skanerów oraz sposobu obsługi wyniku przez MTA.

Przepływ wiadomości przez amavisd-new

Najczęściej Amavis działa w modelu filtrowania po umieszczeniu wiadomości w kolejce serwera pocztowego. Postfix przekazuje wiadomość do usługi Amavis za pomocą połączenia SMTP, zwykle do lokalnego adresu i portu skonfigurowanego w plikach usług Postfixa. Amavis analizuje przesłaną kopię, a następnie przekazuje wiadomość z powrotem do osobnego punktu nasłuchującego MTA. Taki układ rozdziela przyjęcie wiadomości od jej kontroli i pozwala serwerowi pocztowemu zachować własną kolejkę w przypadku chwilowego przeciążenia lub niedostępności skanera.

W konfiguracji należy prawidłowo rozdzielić port wejściowy Amavis od portu reiniekcji wiadomości do Postfixa. Po ponownym przekazaniu wiadomość nie może zostać skierowana ponownie do tego samego filtra, ponieważ powstałaby pętla filtrowania. Dlatego usługa reiniekcji jest zwykle definiowana z wyłączonym filtrem treści albo z inną ścieżką transportową. Błąd w tym miejscu może powodować wielokrotne skanowanie jednej wiadomości, powiększanie kolejki, opóźnienia dostarczania lub odrzucanie poczty z powodu przekroczenia limitów.

Skanowanie załączników, spamu i podpisów wiadomości

Amavis rozpoznaje strukturę wiadomości MIME i może przekazywać poszczególne elementy do skanera antywirusowego. Dotyczy to między innymi treści tekstowej, załączników oraz plików znajdujących się w archiwach, o ile obsługę danego formatu zapewniają użyte programy pomocnicze i ustawienia limitów. Skanowanie archiwów wymaga kontroli głębokości rozpakowywania, liczby elementów i rozmiaru danych po rozpakowaniu. Bez takich ograniczeń specjalnie przygotowana wiadomość może nadmiernie obciążyć procesor, pamięć lub przestrzeń tymczasową.

Współpraca ze SpamAssassin polega na przekazaniu wiadomości do analizy regułami antyspamowymi i odebraniu wyniku punktowego oraz dodatkowych informacji diagnostycznych. Na tej podstawie Amavis może oznaczyć wiadomość jako spam, zmienić jej nagłówki albo zastosować decyzję określoną w konfiguracji. Wynik nie powinien być utożsamiany z pewnym rozpoznaniem: klasyfikacja spamowa jest oceną opartą na regułach, a nie dowodem pochodzenia wiadomości. W środowiskach używających DKIM trzeba również uwzględnić kolejność modyfikacji i weryfikacji, ponieważ zmiana treści lub wybranych nagłówków po podpisaniu może unieważnić podpis.

Ważną częścią diagnostyki są komunikaty logów Amavis i współpracującego MTA. Powinny pozwalać powiązać identyfikator wiadomości, nadawcę, odbiorcę, wynik skanowania, czas trwania operacji oraz ewentualny błąd z konkretnym etapem przepływu. Sam wpis o odrzuceniu załącznika nie oznacza awarii Amavis; może wynikać z reguły blokującej dany typ MIME, zainfekowanego pliku, przekroczenia limitu albo niedostępności zewnętrznego skanera. Rozróżnienie tych przypadków jest konieczne przed zmianą konfiguracji.

Konfiguracja i rozpoznawanie problemów z Amavis

Podczas uruchamiania Amavis należy sprawdzić zgodność wersji i sposobu komunikacji między MTA, amavisd-new, ClamAV oraz SpamAssassin. Istotne są uprawnienia użytkownika usługi, katalogi tymczasowe, limity rozmiaru wiadomości, liczba procesów roboczych oraz dostępność gniazd lub portów używanych przez poszczególne komponenty. Jeśli Postfix przyjmuje pocztę szybciej, niż Amavis może ją przetwarzać, wiadomości będą narastały w kolejce, nawet gdy żaden program nie zgłasza błędu składni konfiguracji.

Objaw „connection refused” zwykle wskazuje na zatrzymaną usługę, błędny adres nasłuchiwania albo niezgodny port. Komunikat o przekroczeniu czasu oczekiwania może oznaczać zawieszenie skanera, zbyt duży załącznik, powolne rozpakowywanie archiwum lub zbyt małą pulę procesów. Z kolei wiadomości pozostające w kolejce po pozytywnym skanowaniu często kierują uwagę na konfigurację reiniekcji w Postfixie, a nie na samą analizę antywirusową. Weryfikacja powinna obejmować logi obu usług, status procesów, dostępność ClamAV i SpamAssassin oraz rzeczywisty kierunek przekazywania wiadomości.

Amavis jest więc elementem infrastruktury serwera pocztowego, którego poprawne działanie zależy od całego łańcucha: przyjęcia wiadomości przez MTA, przekazania jej do filtra, wykonania kontroli, podjęcia decyzji i bezpiecznego zwrotu do kolejki. Przy diagnozowaniu problemu należy analizować ten łańcuch jako jeden przepływ, sprawdzając zarówno konfigurację, jak i obciążenie usług oraz limity skanowania.