Mailserver für die Familie (imap, cal&webDAV, webinterface?)

D

dhuuk

New Member
Hallo liebe Gemeinde!

Ich habe die Nase voll von GMail und Konsorten und würde gerne mit meiner Familie umsteigen. Ich habe einige Erfahrungen mit Rootservern schon gemacht und bin bisher ohne Zwischenfälle davon gekommen :rolleyes:. Mittlerweile bin ich aber vorsichtiger geworden. Die letzte Woche habe ich viel gelesen. Mich informiert und versucht schlau zu machen. Bei dem mannigfaltigem Angebot kein leichtes unterfangen.

Ich bin nun an den Punkt gelangt, euch um Hilfe zu fragen. Ich lese viel über Serversicherheit, dies ist ein permanentes Geschäft, soviel ist mir klar. Ich würde meinen Server mit Debian 7 laufen lassen mit der minimal Distribution von Hosteurope. Folgende Schritte werden daraufhin eingeleitet

  • root login sperren und port ändern
  • fail2ban installieren
  • china ip ranges aussperren, es sei denn wir verreisen in die region :D
  • psad installieren
  • logwatch installieren
  • mit iptables alles dicht machen (leider keine hardware fw)
  • rkhunter installieren
  • system checken mit lynis bis ich einen vernünftigen hard factor habe

Daraufhin will ich die eierlegende Wollmilchsau als Server. Natürlich! :)

Erst einmal will ich einen Mailserver für mich und meine Familie, da wir viel Reisen wäre ein Webinterface sehr schön. Dies würde ich zusätzlich über htaccess schützen wollen (Bringt das was?). Funktionen die das Mailsystem haben müsste wären:

*Mail Push mit imap und optimalerweise Kalender und Kontakt sync.

Dafür habe ich mich verschiedene Lösungen angeschaut:

Zarafas Webapp
OX Websuite
SquirrelMail (leider zu dünn)

Hat jemand von euch noch Ideen? Ist meine Grundidee gut? Wie steht es um die Sicherheit?

Prinzipiell würde nur auf geänderten Ports ein Mailserver laufen. Minimale Angriffsfläche also... oder übersehe ich was? Das Webinterface könnte eine Schwachstelle sein, auch darüber habe ich mir schon Gedanken gemacht. Eine Möglichkeit wäre es den Mailserver über meinen eigenen Server laufen zu lassen und das Webinterface auf eine kleine von einem Anbieter gehosteten Webspace auszulagern. Damit ich mir die PHP Angriffsfläche und Abschottung sparen kann.

Warum mache ich das ganze? Ich finde leider keinen Anbieter der ordentliche Sync Einstellungen CalDAV, CardDAV zu einem günstigen Preis für 10-20 Postfächer anbietet. Abgesehen davon, liebe ich die Konsole und bastel gerne darin rum.

Ich danke euch im Vorfeld für euren Input!
 
Das sperren von Ports per iptables wird dir eher wenig Sicherheitsgewinn bringen - Ports, auf denen kein Dienst lauscht, sind ohnehin geschlossen. Eher läufst du Gefahr, daß du zuviel sperrst und dadurch Sachen nicht vernünftig laufen.
Bezüglich Diensten auf Non-Standard-Ports: Zumindest SMTP muß auf Port 25 laufen, sonst empfängst du keine Mails. Außerdem ist der Sicherheitsgewinn eher gering (wenn dich gezielt angreift, wird das auch auf einem Non-Standard-Port machen) - ist eher was, um die Logs sauber zu halten, also mehr kosmetischer Natur.
Ich persönlich verwende ein Postfix/Dovecot-Gespann auf meinem Server und nutze als Groupware darauf aufbauend Horde - Sync ist dann per CardDAV, CalDAV, SyncML und ActiveSync möglich. Und dank pear ist Horde auch recht gut auf dem aktuellen Stand zu halten.
Der Schutz des Webinterface per htaccess dürfte für die Sync-Protokolle problematisch sein - und ist ein Komfortverlust.
Die Meinungen über Tools wie fail2ban gehen auseinander, aber gut eingestelltes Fail2ban sperrt dir die meisten Passwort-Attacken aus. Und sichere Passwörter sind natürlich auch ein wichtiger Faktor - in Horde lassen sich für den Passwort-Wechsel z.B. Regeln für den Aufbau des Passwortes festlegen.
 
Danke schonmal! Horde schaue ich mir mal an, klingt interessant. Passwörter sind natürlich kritisch. Für den Server nutze ich kein Passwort unter 30 Zeichen (Zahlen,Sonderzeichen, nicht phonetisch). Ich denke das sollte reichen, lass mich aber gerne eines besseren belehren.

User Passwörter sind hier in der Familie eine Katastrophe, ich werde schon der General genannt, weil ich hier 10 stellige Passwörter als Pflicht einführe :D
 
Als Alternative würde ich uberspace.de in die Runde werfen. Dort bekommst Du einen Linux-Account inkl. Horde. Über ein paar Regeln, die Du wie gewünscht über die Konsole bearbeitest :), kannst Du die Mails auf verschiedene Postfächer verteilen.
Ich nutze das seit über einem Jahr als Maildienst und es funktioniert einwandfrei, auch mit Smartphonezugriff. Allerdings müsstest Du mal checken, ob der Multiuser-Betrieb so funktioniert, wie Du Dir das vorstellst.

Vorteil: Günstiger als ein Rootserver (je nachdem, welche Betrag zu zahlst) und die Jungs sind top, was ihre Wartung und Support angeht.
Nachteil: Du hast keinen Aufwand mit Serverwartung :p
 
uberspace klingt ziemlich interessant. ich denke ich werds mit in den mx record knallen als backup falls mein server zerschossen werden sollte.

aber eine frage an Dich fdasasdf: In welcher Beziehung stehst Du zu uber? Du bewirbst es ja hier schon fast im Forum? :)

Grüße
 
dhuuk said:
aber eine frage an Dich fdasasdf: In welcher Beziehung stehst Du zu uber? Du bewirbst es ja hier schon fast im Forum? :)
Click to expand...

Ich habe nur die Beziehung als zufriedener Kunde. Für bestimmte Zwecke finde ich das Angebot klasse und ich glaube, in der Form gibt es das auch nicht oft (Webspace inkl. Mail *mit Konsolenzugriff*).
 
Also ich schaue mir das auf jeden Fall mal an. 10GB sind mir leider zu wenig. Muss mal mit dem Support schreiben ob ich gegen Aufpreis aufstocken kann.

Grüße
 
dhuuk said:
ich denke ich werds mit in den mx record knallen als backup falls mein server zerschossen werden sollte.
Click to expand...

Ein Backup MX macht nur Sinn, wenn der darauf laufende Mail-Server mit den gleichen Schutzmechanismen versehen ist, die auch das primäre System hat (Spamabwehr, Blacklists, Virenscan, etc.) und der Backup-MX muß auch genau wissen, welche eMail-Adressen es auf dem primären System gibt, um Backscatter zu verhindern.
 
Hmm,

ich werf da mal https://mailbox.org ein.
Für 4,50€ kriegst du sogar 25 Mailboxen und Outlook Konnektor.
Läuft auf OX.

Wäre vielleicht ne alternative.
Allerdings dann ohne eignenen MX.

Aber vielleicht könnt ihr darauf verzichten.

gruss,
delta544
 
You must log in or register to reply here.
Back
Top