mail gateway

Mail gateway to serwer pośredniczący filtrujący i przekazujący ruch pocztowy wchodzący do organizacji.

Rola mail gateway w przepływie poczty

Mail gateway to system pośredniczący między Internetem a wewnętrzną infrastrukturą pocztową organizacji. Odbiera wiadomości kierowane do domeny firmowej, sprawdza ich podstawowe parametry i dopiero potem przekazuje je do właściwego serwera pocztowego. W ruchu wychodzącym może działać w odwrotnym kierunku: przyjmuje wiadomość od serwera wewnętrznego, wykonuje kontrole bezpieczeństwa i dostarcza ją do serwera odbiorcy. Gateway nie musi być pojedynczym komputerem. W praktyce może składać się z kilku usług działających na jednym hoście albo z wielu serwerów pracujących za wspólnym adresem.

Przy dostarczaniu poczty przychodzącej serwer nadawcy odczytuje rekord MX w DNS domeny odbiorcy. Rekord ten wskazuje nazwę hosta obsługującego pocztę, a następnie połączenie jest zwykle nawiązywane z usługą SMTP na porcie TCP 25. Mail gateway odpowiada wtedy jako serwer przyjmujący wiadomości dla danej domeny, sprawdza między innymi adres odbiorcy oraz możliwość przyjęcia przesyłki, a po zakończeniu transmisji przekazuje ją do dalszego systemu. Połączenie szyfrowane za pomocą STARTTLS może być użyte, jeżeli obie strony je obsługują, ale sam fakt obecności STARTTLS nie oznacza automatycznie pełnej weryfikacji tożsamości drugiego serwera.

Kontrole antyspamowe i antyphishingowe

Jednym z głównych zadań bramy pocztowej jest ocena, czy wiadomość pochodzi z wiarygodnego źródła. Weryfikacja SPF polega na porównaniu adresu IP serwera wysyłającego z rekordem TXT SPF opublikowanym dla domeny użytej w mechanizmie envelope-from. SPF nie potwierdza samodzielnie, że treść wiadomości jest autentyczna, ponieważ sprawdza ścieżkę techniczną określoną przez adres koperty. Z kolei DKIM dodaje do wiadomości podpis kryptograficzny w nagłówku DKIM-Signature. Gateway pobiera klucz publiczny z DNS i sprawdza, czy podpis pasuje do treści oraz wybranych nagłówków, które nie zostały zmienione po podpisaniu.

DMARC łączy wyniki SPF i DKIM z wymaganiem zgodności domeny widocznej w nagłówku From z domeną uwierzytelnioną przez SPF lub DKIM. Polityka DMARC może wskazywać, jak traktować wiadomości niespełniające tych warunków, między innymi przez dyrektywę p=none, p=quarantine albo p=reject. Gateway może także stosować reputację adresów IP, analizę częstotliwości wysyłania, listy blokad, reguły dotyczące domen i ocenę treści. Filtry antyspamowe często badają nagłówki Received, adresy URL, typy załączników, podobieństwo do wcześniejszych kampanii oraz zachowanie nadawcy, ale wynik jest oceną ryzyka, a nie matematycznym dowodem, że wiadomość jest szkodliwa.

Skanowanie załączników i przekazywanie wiadomości

Brama pocztowa może przekazywać wiadomości przez skaner antywirusowy oraz moduły analizujące załączniki. Typowe kontrole obejmują rozpoznanie typu pliku na podstawie zawartości, rozpakowanie archiwów, sprawdzenie zagnieżdżonych archiwów i wykrywanie makr lub aktywnych elementów w dokumentach. Skuteczność zależy od użytego silnika, aktualności sygnatur i konfiguracji limitów. Zbyt mały limit rozmiaru wiadomości albo głębokości rozpakowywania może powodować odrzucanie legalnych przesyłek, natomiast zbyt liberalne ustawienia zwiększają obciążenie i utrudniają ochronę przed plikami przygotowanymi do przeciążenia skanera.

Po pomyślnym przejściu kontroli gateway przekazuje wiadomość do wskazanego serwera docelowego, często przez SMTP na porcie 25 albo przez skonfigurowane połączenie wewnętrzne. Jeżeli serwer odbiorcy chwilowo odmawia przyjęcia z powodu błędu tymczasowego, nadawca powinien zastosować ponawianie zgodne z klasą odpowiedzi SMTP 4xx. Odpowiedzi 5xx oznaczają błąd trwały i zwykle kończą próbę dostarczenia bez dalszego automatycznego ponawiania. W logach warto rozróżniać te klasy odpowiedzi, identyfikator kolejki, nadawcę, odbiorcę, czas obsługi oraz przyczynę decyzji filtra. Sam wpis o przyjęciu wiadomości nie dowodzi jeszcze, że została ona dostarczona do skrzynki użytkownika.

Diagnostyka działania bramy pocztowej

Diagnostykę mail gateway rozpoczyna się od sprawdzenia DNS, w szczególności rekordów MX, rekordów A lub AAAA wskazanych hostów oraz rekordów TXT używanych przez SPF, DKIM i DMARC. Następnie analizuje się możliwość zestawienia połączenia TCP z właściwym portem i przebieg rozmowy SMTP: odpowiedź powitalną, komendę EHLO, negocjację STARTTLS, MAIL FROM, RCPT TO oraz wynik DATA. W środowiskach korzystających z szyfrowania należy sprawdzić ważność certyfikatu, nazwę hosta i obsługiwane wersje protokołu TLS zgodnie z polityką konkretnego wdrożenia. Błędy DNS, niedostępność portu 25, niezgodność certyfikatu i odrzucenia na etapie RCPT TO wskazują na różne klasy problemów i wymagają odrębnej korekty.

Ważnym elementem jest kontrola kolejki pocztowej. Wiadomości oczekujące przez długi czas mogą oznaczać niedostępność serwera docelowego, błędną trasę, problemy z rozwiązywaniem nazw albo odrzucanie przez odbiorcę. Należy porównać czas pierwszej próby, kolejne odpowiedzi SMTP i plan ponawiania. Przydatne są także nagłówki Received, ponieważ pokazują kolejne przeskoki między serwerami, chociaż ich zawartość należy interpretować z uwzględnieniem tego, że wcześniejsze nagłówki mogą zostać sfałszowane przez nadawcę. Prawidłowo skonfigurowany gateway powinien ograniczać relaying do uprawnionych hostów i użytkowników; otwarty relay pozwalałby obcym nadawcom wysyłać pocztę przez cudzą infrastrukturę, co szybko prowadzi do wpisania adresu na listy blokad.