快速搭建实用型企业邮局

2016-03-14 16:10

网络安全和信息化 2016年8期

引言：在企业网络运维中，往往需要架设专用的邮件服务器，来满足用户收发邮件的需求。使用Exchange等专业的邮件服务器，虽然功能强大，不过价格不菲，对网络配置要求也比较高。这里就教大家如何使用WinWebMail这款精悍的软件来快速搭建实用型企业邮局。

对于日常工作来说，收发电子邮件是最常见最重要的任务之一。使用WinWebMail这款精悍的软件，完全可以毫不费力的架设功能强大的邮件服务器。

安装和使用WinWebMail

在本例中，在企业内网域环境中使用一台Windows Server 2003服务器来安装 WinWebMail，作为邮件服务器使用，邮件服务器通过防火墙为外界提供邮件服务，其配置的硬盘容量应该满足不同数量邮箱的使用需求。在DC域控制器上安装了DNS服务，域名为xxx.com，DC内网IP为192.168.2.1。防火墙的外网地址为100.29.90.191，内网地址为192.168.2.253，WinWebMail邮件服务器内网IP为192.168.2.6，域名为v v ip.x x x.com。首先在WinWebMail邮件服务器上打开本地连接属性窗口，双击“Internet 协议（TCP/IP）”项，选择“使用下列的IP”项，设置器IP为192.168.2.6，子网掩码为 255.255.255.0，默认网关为192.168.2.245，首选和备用的DNS服务器为192.168.2.1和192.168.2.2。

运行NewSID程序，在“Rename the Computer”窗口中选择“Tename the computer to”项，将计算机名称修改为“mailserv”或者别的名称。插入Windows Server 2003光盘或者加载其安装镜像文件，在自动打开的欢迎界面中点击“安装可选的Windows组件”项，在Windows组件向导窗口中取消“Internet Explorer增强的安全配置”项的选择，选择“应用程序服务器”项，在打开窗口中选择“ASP.net”，“Internet 信息服务”，“启用网络COM+”等项，双击“Internet信息服务”项，取消“SMTP Service”项的选择，因为在WinWebMail中已经提供了SMTP服务。

之后运行WinWebMail安装程序，该程序体积很小巧，最好为其规划一个空间合适的独立磁盘。例如配置100个邮箱，每一个容量为5GB，那么就至少为其配置一个容量不小于500GB的磁盘。在Internet信息服务管理器左侧选择“Web服务扩展”项，在右侧选择“Active Server Pages”项，点击“允许”按钮将其激活。可以使用默认的网站或者创建新的网站，在其属性窗口中的“主目录”面板中点击“浏览”按钮，选择为WinWebMail的Web文件夹。例如“D:WinWebMailWeb”。选择“脚本资源访问”项，点击确定按钮保存配置。打开WinWebMail所在分区（例如D盘），在其属性窗口中的“安全”面板中点击“添加”按钮，在弹出窗口中依次点击“高级”，“立即查找”按按钮，找到并导入以“IUSR”开头后面跟随主机名称的账户，并为其分配完全控制的权限。

为了让内网中的主机可以使用WinWebMail提供的邮件服务，需要配置合适的DNS信息。在DC控制器上打开DNS管理器，在左侧选择“DNS”→“主机名”→“正向查找区域”→“xxx.com”项，在其右键菜单上点击“新建主机（A或AAAA）”项，在弹出窗口中的“名称”栏中输入合适的名称（例如“email”），在“IP 地址”栏中输入邮件服务器地址192.168.2.6，选择“创建相关的指针（PTR）记录”项，点击“添加主机”按钮，完成新建主机操作。之后在上述菜单上点击“新建邮件交换器”项，在弹出窗口中的“主机或子域”栏中输入“vvip”，点击“浏览”按钮，选择上述“email”记录项，点击确定按钮，完成相关的DNS配置。为了让Internet用户访问该邮件服务器，可以进入相关域名管理网站，输入域名和管理密码，在管理界面中打开域名自助解析之类的界面，清除已经存在的Email记录项，之后为其设置合适的地址，这里为防火墙的外网地址。

创建一个新的MX记录，将主机名设置为“vvip”，邮件主机地址指向防火墙外网地址。当管理员员需要对WinWebMail服务器进行管理时，可以采用Web远程登录的方式或者在WinWebMail控制台上进行操作。前者可以在任何主机上施行，后者只能在WinWebMail邮件服务器上进行。对其前者来说，如果在服务器上启用了Windows防火墙的话，需要在Windows防火墙管理窗口中点击“添加端口”按钮，在弹出窗口中输入规则名称，在“端口”栏中输入80，点击确定按钮，允许客户端对其进行访问。同理，开启25，110等端口。在内网某主机上访问网址“http://192.168.2.6”，在登录界面中输入管理员名称和密码（默认均为“admin”），点击确定按钮，在管理界面左侧点击“用户管理”项，在右侧点击“添加”按钮，可以创建普通账户或者含域名的账户，输入用户名，密码，域名等参数，点击“提交”按钮，创建所需的账户。

在账户列表中的“修改”列中点击目标账户，可以对其属性进行修稿，包括更改其密码，设置器邮箱大小，访问方式，是否允许对其邮件监控。在左侧点击“系统设置”项，在右侧点击“重要设置”项，在其中的的“DNS地址”栏设置合适的DNS服务器地址，在“外发邮件时Helo命令后的内容”栏中输入“email.xxx.com”，选择“启用SMTP域名认证功能”，可以提高安全性。具体的设置项目很多，可以根据实际情况进行调整。在“系统设置”界面中可以设置一些系统属性，包括允许发送的邮件最大长度，允许接收的邮件的最大长度，缺省邮箱大小，邮箱最多邮件数，发送重试间隔时间，普通邮件的最大发送次数，普通邮件的最大发送天数，启用邮件防伪造功能，启用SMTP加密传输服务，启用POP3加密传输服务。设置SMTP端口，设置POP3端口，启用IMAP4加密传输服务，选择加密通讯协议，启用信任账号功能，启用邮件列表功能，启用邮件群发功能，选择备份方式，启用邮件监控功能，启用用户自动清理功能，启用自动过滤垃圾信功能，启用邮件Catch All功能，启用连续攻击保护，启用日志记录，启用邮件防病毒功能等等。

在域设置界面中点击“添加”按钮，输入“vvip.xxx.com”，并将其移动到域管理列表顶部，便于外部用户对其访问。在域名控制界面中可以对目标域名进行设置，包括最大用户数，最大空间数，域管理员账户，到期时间等。选择“允许域管理员分配空间”项，点击保存按钮保存配置信息。在“域邮件Catch All”界面可以设置当邮件发送失效时，将邮件发送到哪个邮箱中。在对应域名（例如“vvip.xxx.com”）的“接收账号”栏中设置合适的邮箱地址。例如收信人地址写错的话，可以将邮件投递到指定的邮箱中。当然，前提是必须先在重要设置界面启用“启用邮件Catch All功能”方可。在资源使用设置界面中可以设置允许创建的最大私人文件夹数，允许创建的最大POP3下载数，允许创建的最大签名数，是否启用公共文件夹，启用共享文件夹功能，启用账号保留功能，是否允许公开申请邮箱，设置激活账户地址（例如“http://email.xxx.com/actionit,asp?accode=%accode%”）。

此外，在系统设置中可以对主题关键字过滤，邮箱申请审批，多ISP接收设置，主题关键字过滤，管理监控，日志管理，系统拒收设置，系统恢复设置，邮件列表管理，广告，拒绝Web登录设置，空间占用管理，保留账号，域邮件监控，邮件内容过滤，设置注册信息，邮件采集，新用户设置模板，接收概率限制，域缺省邮箱大小，不受限IP地址，附件名称或类型过滤，外发地址定向解析，设置信任账号，设置提醒信息等设置功能。对于广告管理，可以在发送的邮件末尾添加预设的广告信息。对于域邮件监控来说，通过设置接收账号，只要本域中的相关邮件账号设置了监控功能，其收发的邮件全部处于被监控状态，自动会将这些邮件保存到预设的监控邮箱中。当然，前提是必须先在重要设置界面中启用邮件监控功能，在监控管理中针对目标账户启用监控功能。可以看到，WinWebMail提供了丰富的配置功能，体现了其强大的功能。

配置WinWebMail各项属性

在WinWebMail邮件服务中，不同邮箱账户的权限存在差异，对于默认创建的邮箱账户来说，其拥有的是普通用户权限，可以正常收发邮件。对于拥有域管理员级别的用户来说，可以对自己所属邮件域或者系统管理员指定的邮件域进行管理。邮件域管理员可以在自己控制的域中执行创建，删除邮箱，设置邮箱大小，修改用户名等操作。对于系统管理员来说，其拥有的权限是最大的，拥有对WinWebMail邮件服务完全的控制权限，还可以指定某一普通用户为域管理员。系统管理员可以通过域名控制功能，为不同的域设置对应的管理账户，让域管理员可以对其所属的邮件域进行管理，这样就实现了分级管理功能。

在域名控制设置界面中可以为选定的域配置管理员，在域用户管理模块中，允许域管理员对本域中的邮箱账户进行添加，删除，禁用，启用。修改邮箱属性等操作。例如，访问网址“http://192.168.2.6”，输入域管理员账户和密码，在管理界面左侧点击“域设置”项，在右侧可以对域节日设置，域邮件 Catch All，域欢迎邮件，域广告，域邮件群发，邮件列表管理等模块进行配置。在左侧点击“域用户管理”项，可以添加或者删除本域中的邮箱账户，深入调整邮箱账户的各项属性。在IIS中，默认无法上传超过200KB的附件，无法下载超过4MB的附件。为此可以运行“services.msc”程序，打开服务管理器，关闭其中的“IIS admin Service”服务。

进入“CWindowssystem32inetsrv”目录，使用记事本打开其中的“metabase.xml”文件，在“ASPM ax RequestEntityAllowed”项可以看到其默认值为204800，即 200KB，可以根据需要对其修改，例如将其修改为20480000，即允许上传20MB的附件。在“ASPBufferinglimit”项中存储着允许下载的附件大小，可以根据需要对其修改，例如将其设置为20480000，即允许下载超过20MB的附件。之后保存文件，重新启动“IIS admin Service”服务。当然，也可能是因为IIS的脚本超时时间设置存在问题，导致无法上传超过4MB的附件，为此在IIS管理器中打开邮件服务站点的属性窗口，在“主目录”面板中点击“配置”按钮，在“选项”面板中“ASP脚本超时”项设置为合适的数值，例如600秒。

当然，必须保证WinWebMail邮件服务器支持所需的附件大小，以管理员身份登录WinWebMail服务器，在系统设置界面中将“Web下允许发送的附件总长度”项设置为合理的数值，例如40000KB。如果忘记了WinWebMail系统管理员密码，可以在WinWebMail服务器桌面的系统托盘中打开WinWebMail右键菜单，点击其中的“系统设置”项，在弹出窗口中的“用户管理”面板中选择管理员（或者其他账户），在“密码”栏中重设密码，点击“修改”按钮即可。也可以进入WinWebMail安装目录，使用记事本打开其中的“Sysinfo.ini”文件，将“useLogonPass”项的值修改为“0”，保存文件后，直接运行“easymail.exe”程序，就可以进入其管理界面了。

很多网站都在页面中直接嵌入了Web邮箱登录界面，让用户可以很轻松的进入邮箱。WinWebMail也提供了这一功能，可以从其网站上下载“html→ logon.zip”或者“asp→ logon.zip”文件，分别应用于HTML或者ASP页面。例如，将“html→ logon.zip”解压后，使用记事本打开“html→ logon.html”文件，将其中的“

”中的网址替换为您的实际网站。例如“

向Internet用户开放邮件服务

为了让Internet上的用户可以顺利访问内网中的WinWebMail服务器，就可以让邮件数据顺利穿越防火墙。例如，对于Forefront TMG防火墙来说，需要进行必要的配置，来实现上述访问需求。在防火墙主机上打开Forefront TMG管理界面，在左侧选择“防火墙策略”项，在右键菜单上点击“新建”→ “邮件服务器发布规则”项，在向导界面中输入规则名称（例如“Mailgz”），在下一步窗口中选择“客户端访问 :RPC，IMAP，POP3，SMTP”项，点击下一步按钮，根据实际需要选择访问类型，例如“POP3”，“SMTP”，“IMAP4”项，如果采用了安全连接的话，可以选择“POP3(secure port)”，“SMTP(secure port)”，“IMAP4(secure port)”项。

在下一步的“服务器IP地址”栏中输入邮件服务器内网 IP，例如 192.168.2.6。在下一步窗口中的“侦听来自这些网络的请求”列表中选择“外部”项，点击“地址”按钮，在弹出窗口中选择“在所选网络上的Forefront TMG计算机中指定的IP地址”项，在“可用的IP地址”列表中显示防火墙拥有的所有外网IP，选择合适的IP，点击“添加”按钮，将其添加进来。点击“完成”按钮，按成本规则的创建。注意，根据选择的访问类型不同，实际可以创建多条规则。例如可以创建针对SMTP和POP3的规则等。在Forefront TMG控制台左侧选择“防火墙策略”项，在其右键菜单上点击“新建”→“网站发布规则”项，在向导界面中输入本规则名称（例如“Webmailgz”），点击下一步按钮，选择“允许”项，允许处理与本规则条件匹配的传输请求。

之后选择“发布单个网站或负载平衡器”项，在下一步的服务器连接安全窗口中选择“使用不安全的连接发布的Web服务器或服务器场”项，点击下一步按钮，输入内部站点名称（例如“email.xxx.com”），选择“使用计算机名称或IP地址连接到发布的服务器”项，在“计算机名称或IP地址”栏中输入WinWebMail服务器内网IP。在下一步的内部发布详细信息窗口中的“路径”栏中输入“/*”，点击下一步按钮，在“公用名称”栏中输入实际的域名，例如“email.xxx.com”。在选择Web侦听器窗口中的“Web侦听器”列表中选择“Web Lists”项，点击下一步按钮，在身份验证委派列表中选择“无委派，但是客户端可以直接进行身份验证”，点击“完成”按钮，创建该规则。

在Forefront TMG规则列表中选择该规则，在其属性窗口中的“到”面板中选择“使请求显示为来自初始客户端”项，点击“测试规则”按钮，来查看该规则是否正常。点击规则列表顶部的“应用”按钮，来激活上述规则。在控制台左侧选择“网络连接”项，在右侧的“任务”面板中点击“创建网络规则”链接，在向导界面中输入本规则名称（例如“NATgz”），在下一步网络通讯源窗口中点击“添加”按钮，在添加网络实体窗口中点击菜单“新建”→“计算机”项，在打开窗口中的“名称”栏中输入名称（例如“email.xxx.com”），在“计算机IP地址”栏中输入WinWebMail主机的内网IP，输入描述信息，点击确定按钮，添加该计算机。之后将该计算机添加到网络通讯源列表中，在下一步的网络通讯目标窗口中点击“添加”按钮，在添加网络实体窗口中选择“网络”→“外部”项，将其添加到目标列表。点击下一步按钮，在网络关系窗口中选择“网络地址转换(NAT)”项，点击下一步按钮，选择“使用指定的IP地址”项，在列表中显示防火墙的所有外部IP，如果防护墙拥有的地址不止一个，可以选择用于收发邮件信息的IP。点击完成按钮，创建所需的规则，点击应用按钮激活该规则。

经过以上设置,当用户使用WinWebMail发送邮件时，不会被Internet上的其他的邮件服务器将其视为垃圾邮件。这样，当Internet上的用户使用Outlook，Foxmail等客户端时，可以新建一个账户邮箱，将其SMTP和POP3服务器设置为“email.xxx.com”，就可以顺利的收发邮件了。如果遇到无法访问内网邮件服务器80端口的情况，可以在Forefront TMG防火墙上选择“防火墙策略”节点的右键菜单上点击“新建”→“非Web服务器协议发布规则”项，在向导窗口中输入规则名称（例如“Portgz”）一个网站发布规则，在下一步窗口中输入邮件服务器内网IP，在选择协议窗口中选择“TCp_In_02”项。

点击“端口”按钮，在弹出窗口中选择“在此端口而不是在默认端口上发布”项，设置所需端口（例如“8100”），选择“将请求发送到发布的服务器上的此端口”项，设置端口号为“80”。在下一步的网络侦听器IP地址窗口中选择“外部”项，点击“地址”按钮，在弹出窗口中选择“在所选网络上的Forefront TMG计算机中指定的IP地址”项，在“可用的IP地址”列表中显示防火墙拥有的所有外网IP，选择合适的IP，点击“添加”按钮，将其添加进来。点击“完成”按钮，创建该规则。点击“应用”按钮激活该规则。这样，就实现了对访问端口的修改。Internet上的用户访问“http://emial.xxx.com:8100”地址，就可以在线登录邮箱管理邮件了。

加密邮件，防止黑客窃密

为了防止发送的邮件被黑客非法拦截，可以对对邮件进行签名和加密处理。对邮件加密，即发信人和收信人都拥有拥有自己的证书，拥有对方的公钥。发信人使用自己的私钥对邮件签名，并使用对方的公钥加密邮件，当收件人收到邮件后，使用其私钥进行解密。例如发信人使用Foxmail客户端，在其中建立一个新邮箱，配置好各项参数。之后执行证书申请操作，这里为了便于说明，在域中某台主机上安装证书服务角色，当然，也可以向第三方证书颁发结构申请证书。

访问“h t t p://192.168.2.2/certsrv”地址，在页面中点击“申请证书”→“电子邮件保护证书”链接，在申请界面中输入姓名（即所有者），电子邮件（即使用的邮箱地址），公司，部门，市/县，省，国家/地区等信息，点击“提交”按钮，执行申请操作。之后点击“安装此证书”链接，安装该证书。在Foxmail中打开邮箱的属性窗口，在左侧选择“安全”项，在右侧点击“选择”按钮，选择申请的证书，该证书必须与当前邮箱对应。在加密列表中选择合适的加密方式。点击确定按钮，保存配置信息。同理，在收信人一方也需要申请证书，在其使用的Foxmail中也需要绑定证书。

发信人新建一封电子邮件，设置收信人地址，输入主题和邮件内容，点击按钮菜单“选项”→“数字签名”项，之后将该信发送出去。在收件人端使用Foxmail接收该邮件，在该邮件内容栏中点击“继续”按钮，可以显示实际的邮件内容，点击带有签名印章的按钮，在弹出窗口中点击“添加到地址薄”按钮，这样收件人就拥有了发件人的公钥信息。按照同样的方法，收件人也将自己的公钥发送给收件人。这样，双方就可以互发加密邮件了。方法是新建一封电子邮件，设置收信人地址，输入主题和邮件内容，点击按钮“选项”，在弹出菜单中选择→“数字签名”和“加密”项，输入对方邮箱，设置主题，内容和附件，就可以发送加密邮件了。在Foxmail中点击菜单“工具”→“系统设置”项，在设置窗口中的“安全”面板中点击“高级”按钮，在高级窗口中的“加密邮件”列表中选择加密的等级。