Contenu

Question :

Question :

Comment utiliser le LDAP recevez la requête pour valider les destinataires des messages d'arrivée utilisant la Microsoft Active Directory (LDAP) ?

Remarque: L'exemple suivant intègre avec un déploiement standard de Microsoft Active Directory, bien que les principes puissent être appliqués à beaucoup de types de réalisations de LDAP.

Vous créerez d'abord une entrée de serveur LDAP, laquelle au point vous devez spécifier votre serveur de répertoire aussi bien que la requête que l'appliance de sécurité du courrier électronique exécutera.  La requête est alors activée ou appliquée sur votre auditeur (public) entrant. Ces configurations de serveur LDAP peuvent être partagées par différents auditeurs et d'autres parties de la configuration telles que l'accès de quarantaine d'utilisateur.

Pour faciliter la configuration des requêtes de LDAP sur votre appliance d'IronPort, nous recommandons que vous utilisiez un navigateur de LDAP, qui te permet pour prendre à un regarder votre schéma aussi bien que tous les attributs sur contre lesquels vous pouvez questionner.

Pour Microsoft Windows, vous pouvez utiliser :

- Navigateur du LDAP de Softterra

- LDP

- Adsiedit

Pour le Linux ou l'UNIX, vous pouvez utiliser la commande de ldapsearch.

D'abord, vous devez définir le serveur LDAP pour questionner. Dans cet exemple, le surnom de « PublicLDAP » est donné pour le serveur LDAP de myldapserver.example.com. Des requêtes sont dirigées vers le port TCP 389 (le par défaut).

REMARQUE: Si votre implémentation de Répertoire actif contient des sous-domaines, vous ne pourrez pas questionner pour des utilisateurs dans un sous domaine utilisant le DN de base du domaine de racine. Cependant, en utilisant le Répertoire actif, vous pouvez également questionner le LDAP contre le serveur global de catalogue (CHROMATOGRAPHIE GAZEUSE) sur le port TCP 3268. La CHROMATOGRAPHIE GAZEUSE contient les informations partielles pour des objets de *all* dans la forêt de Répertoire actif et fournit des références au sous-domaine en question quand les informations supplémentaires sont exigées. Si vous ne pouvez pas « trouver » des utilisateurs dans vos sous-domaines, laissez le DN de base à la racine et placez l'IronPort pour utiliser le port de CHROMATOGRAPHIE GAZEUSE.

GUI :

1. Créez un nouveau profil de serveur LDAP avec des valeurs situées précédemment de votre serveur de répertoire (administration système > LDAP).  Exemple :

- Nom de profil de serveur : PublicLDAP

- Nom de l´hôte : myldapserver.example.com

- Méthode d'authentification : Mot de passe d'utilisation : Activé

- Nom d'utilisateur : cn=ESA, cn=Users, dc=example, dc=com

- Mot de passe : mot de passe

- Type de serveur : Active Directory

- Port : 3268

- BaseDN : dc=example, dc=com

Veillez à utiliser le bouton « de serveurs de test » pour vérifier vos configurations avant la continuation.  La sortie réussie devrait ressembler à :

Connecting to myldapserver.example.com at port 3268

Bound successfullywithDNCN=ESA,CN=Users,DC=example,DC=com

Result: succeeded

2. Utilisez le même écran pour définir le LDAP reçoivent la requête.  L'exemple suivant vérifie l'adresse réceptive contre les attributs plus communs, l'un ou l'autre « messagerie » OU « proxyAddresses » :

- Nom : PublicLDAP.accept

- QueryString : (|(mail= {a}) (proxyAddresses=smtp : {a}))

Vous pouvez utiliser le bouton « de requête de test » pour vérifier vos résultats de retours de requête de recherche pour un compte valide.  La sortie réussie recherchant l'adresse « esa.admin@example.com » du compte des services devrait ressembler à :

Query results for host:myldapserver.example.com

Query (mail=esa.admin@example.com) >to server PublicLDAP (myldapserver.example.com:3268)

Query (mail=esa.admin@example.com) lookup success, (myldapserver.example.com:3268) returned 1 results

Success: Action: Pass

3. Appliquez ce nouveau reçoivent la requête à l'auditeur d'arrivée (réseau > auditeurs).  Développez les requêtes de LDAP d'options > reçoivent, et choisissent votre requête PublicLDAP.accept.

4. En conclusion, commettez les modifications pour activer ces configurations.

CLI :

1. D'abord, vous utilisez la commande de ldapconfig de définir un serveur LDAP pour que l'appliance lie à, et des requêtes pour l'acceptation réceptive (commande secondaire de ldapaccept), conduisant (commande secondaire ldaprouting), et déguisant (commande secondaire de mascarade) sont configurées.

mail3.example.com> ldapconfig

No LDAP server configurations.

Choose the operation you want to perform:

- NEW - Create a new server configuration.

[]> new

Please create a name for this server configuration (Ex: "PublicLDAP"):

[]> PublicLDAP

Please enter the hostname:

[]> myldapserver.example.com

Use SSL to connect to the LDAP server? [N]> n

Please enter the port number:

[389]> 389

Please enter the base:

[dc=example,dc= com]>dc=example,dc=com

Select the authentication method to use for this server configuration:

1. Anonymous

2. Password based

[1]> 2

Please enter the bind username:

[cn=Anonymous]>cn=ESA,cn=Users,dc=example,dc=com

Please enter the bind password:

[]> password

Name: PublicLDAP

Hostname: myldapserver.example.com Port 389

Authentication Type: password

Base:dc=example,dc=com

2. En second lieu, vous devez définir la requête pour exécuter contre le serveur LDAP que vous avez juste configuré.

Choose the operation you want to perform:

- SERVER - Change the server for the query.

- LDAPACCEPT - Configure whether a recipient address should be accepted or bounced/dropped.

- LDAPROUTING - Configure message routing.    - MASQUERADE - Configure domain masquerading.

- LDAPGROUP - Configure whether a sender or recipient is in a specified group.

- SMTPAUTH - Configure SMTP authentication.

[]> ldapaccept

Please create a name for this query:

[PublicLDAP.ldapaccept]> PublicLDAP.ldapaccept

Enter the LDAP query string:

[(mailLocalAddress= {a})]>(|(mail={a})(proxyAddresses=smtp:{a}))

Please enter the cache TTL in seconds:

[900]>

Please enter the maximum number of cache entries to retain:

[10000]>

Do you want to test this query? [Y]> n

Name: PublicLDAP

Hostname: myldapserver.example.com Port 389

Authentication Type: password

Base:dc=example,dc=com

LDAPACCEPT: PublicLDAP.ldapaccept

3. Une fois que vous avez configuré la requête de LDAP, vous devez s'appliquer la stratégie de LDAPaccept à votre auditeur d'arrivée.

example.com> listenerconfig

Currently configured listeners:

1. Inboundmail (on PublicNet, 192.168.2.1) SMTP TCP Port 25 Public

2. Outboundmail (on PrivateNet, 192.168.1.1) SMTP TCP Port 25 Private

Choose the operation you want to perform:

- NEW - Create a new listener.

- EDIT - Modify a listener.

- DELETE - Remove a listener.

- SETUP - Change global settings.

[]> edit

Enter the name or number of the listener you wish to edit.

[]> 1

Name: InboundMail

Type: Public

Interface: PublicNet (192.168.2.1/24) TCP Port 25

Protocol: SMTP

Default Domain:

Max Concurrency: 1000 (TCP Queue: 50)

Domain Map: Disabled

TLS: No

SMTP Authentication: Disabled

Bounce Profile: Default

Use SenderBase For Reputation Filters and IP Profiling: Yes

Footer: None

LDAP: Off

Choose the operation you want to perform:

- NAME - Change the name of the listener.

- INTERFACE - Change the interface.

- LIMITS - Change the injection limits.

- SETUP - Configure general options.

- HOSTACCESS - Modify the Host Access Table.

- RCPTACCESS >- Modify the Recipient Access Table.

- BOUNCECONFIG - Choose the bounce profile to use for messages injected on this listener.

- MASQUERADE - Configure the Domain Masquerading Table.

- DOMAINMAP - Configure domain mappings.

- LDAPACCEPT - Configure an LDAP query to determine whether a recipient address should be

accepted or bounced/dropped.

- LDAPROUTING - Configure an LDAP query to reroute messages.

[]> ldapaccept    Available Recipient Acceptance Queries

1. None

2. PublicLDAP.ldapaccept

[1]> 2

Should the recipient acceptance query drop recipients or bounce them?

NOTE: Directory Harvest Attack Prevention may cause recipients to be

dropped regardless of this setting.

1. bounce

2. drop

[2]> 2

Name: InboundMail

Type: Public

Interface: PublicNet (192.168.2.1/24) TCP Port 25

Protocol: SMTP

Default Domain:

Max Concurrency: 1000 (TCP Queue: 50)

Domain Map: Disabled

TLS: No

SMTP Authentication: Disabled

Bounce Profile: Default

Use SenderBase For Reputation Filters and IP Profiling: Yes

Footer: None

LDAP: ldapaccept (PublicLDAP.ldapaccept)

4. Pour lancer les modifications apportées à l'auditeur, commettez vos modifications.