1.3 Cài đặt Certificate cho Nginx

Sau khi load được certificate về ta tiến hành cài  đặt lên web server (ở đây tôi đặt chung web server với mail server luôn).

Trong bài lab nầy mình sài Nginx,  vì vậy mình làm theo template SSL của Nginx

sudo nano /etc/nginx/templates/ssl.tmpl

Tìm tới 2 dòng nầy:

ssl_certificate /etc/ssl/certs/iRedMail.crt;
ssl_certificate_key /etc/ssl/private/iRedMail.key;

Thay nó bằng:

ssl_certificate /etc/letsencrypt/live/mail.your-domain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/mail.your-domain.com/privkey.pem;

Sau đó đóng file ssl.tmpl lại và reload lại nginx

sudo nginx -t

sudo systemctl reload nginx

Giờ check lại webmail của bạn xem đã hết bị lỗi màu đỏ ngòm chưa.

1.4 Cấu hình certificate cho  Postfix và Dovecot

Xong phần SSL cho web, ta tiến hành cấp certificate cho postfix và devecot luôn để người dùng mail client như outlook, thunderbird không bị cảnh báo certificate không an toàn.

Bạn tiến hành edit file:

sudo nano /etc/postfix/main.cf

Tìm tới 3 dòng. (dòng 95, 96, 97).

smtpd_tls_key_file = /etc/ssl/private/iRedMail.key
smtpd_tls_cert_file = /etc/ssl/certs/iRedMail.crt
smtpd_tls_CAfile = /etc/ssl/certs/iRedMail.crt

Thay nó bằng:

smtpd_tls_key_file = /etc/letsencrypt/live/mail.your-domain.com/privkey.pem
smtpd_tls_cert_file = /etc/letsencrypt/live/mail.your-domain.com/cert.pem
smtpd_tls_CAfile = /etc/letsencrypt/live/mail.your-domain.com/chain.pem

Save file và đóng nó lại, sau đó reload lại postfix.

sudo postfix reload

Tiếp theo ta làm cho devecot.

sudo nano /etc/dovecot/dovecot.conf

Tìm đến 2 dòng . (dòng 47, 48)

ssl_cert = </etc/ssl/certs/iRedMail.crt
ssl_key = </etc/ssl/private/iRedMail.key

Thay thế nào bằng:

ssl_cert = </etc/letsencrypt/live/mail.your-domain.com/fullchain.pem
ssl_key = </etc/letsencrypt/live/mail.your-domain.com/privkey.pem

Save lại sau đó đóng file và reload lại devecot

sudo dovecot reload

Bây giờ trình duyệt mail client đã hoạt động tốt, không bị cảnh báo nữa.

1.5 Auto Renew Certificate

Để auto renew certificate bạn đăng nhập bằng user root và vào crontab file set lịch để nó tự động renew.

sudo crontab -e

Và add dòng lệnh nầy vào.

@daily letsencrypt renew --quiet && /usr/sbin/postfix reload && /usr/sbin/dovecot reload && systemctl reload nginx

Do tôi sử dụng Nginx nên gõ lệnh systemctl reload nginx. để reload lại nginx. Trường hợp bạn sài apache thì trong đoạn code crontab bạn dùng systemctl reload apache2

2. Tạo PTR, SPF, DKIM Records

Để chống email của bạn bị đánh vào cờ spam bạn phải tạo PTR, SPF và DKIM record.

2.1 PTR record

Như trong bài lab trước tôi có đề cập, việc tạo PTR bạn phải nhờ nhà mạng tạo giúp bạn. Yêu cầu bạn trỏ địa chỉ IP mail server về địa chỉ domain email của bạn. Ví dụ như tôi trỏ IP của tôi là 

103.37.33.248 -> mail.itforvn.edu.vn

2.2 SPF Record

Tại DNS management  của bạn, bạn tạo TXT record giống như bên dưới.

Trong  DNS management interface, tạo một TXT record như bên dưới

TXT  @   v=spf1 mx mx:mail.itforvn.edu.vn ~all

Hình 2: Giải quyết vấn đề spam cho mail server

Giải thích:

• TXT để chỉ định đây là  TXT recod
• Enter @ trong field name.
• v=spf1cho biết đây là bản ghi SPF và phiên bản bản ghi SPF là SPF1.
• mx nghĩa là tất cả các host listed MX records được cho phép gửi email từ domain của bạn và host khác thì không được.
• ~allcho thấy rằng email từ domain của bạn chỉ nên đến từ các máy chủ được chỉ định trong bản ghi SPF. Email từ các máy khác sẽ bị gắn cờ là giả mạo.

Chú ý rằng một vài DNS managers yêu cầu bạn phải điền SPF như bên dưới

TXT  @   "v=spf1 mx mx:mail.itforvn.edu.vn ~all"

Để check lại SPF record CỦA BẠN có được quảng bá trên internet hay không bạn sử dụng công cụ dig trong linux như bên dưới

dig mail.itforvn.edu.vn txt

2.3 DKIM Record

iRedMail đã có script để tự động cấu hình DKIM cho serer của bạn. Và nó đã được tạo bạn chỉ việc tạo DKIN trên DNS management been ngoài là xong. mở iRedMail.tips file dưới  thư mụciRedMail-0.9.7

sudo nano iRedMail.tips

Kéo tới DNS record cho DKIM và copy nó

Hình 3: Giải quyết vấn đề spam cho mail server

Sau đó mở DNS của bạn lên tạo record dkim

Gõ dkim._domainkey trong name field. Paste đoạn vừa copy ở trên ra value, nhớ khúc đầu đuôi không có khoảng trắng.

Hình 4: Giải quyết vấn đề spam cho mail server

IV. Kiểm tra, trouble shoot hệ thống email của bị khi bị rơi vào spam, từ đó đưa ra cách giải quyết vấn đề spam cho mail server

Sau khi tạo xong PTR, SPF, DKIM record, bạn vào  https://www.mail-tester.com. để kiểm tra email bạn được chấm mấy điểm, DKIM , PTR, SPF có hoạt động hay chưa.

Hình 5: Giải quyết vấn đề spam cho mail server