Re: [EDUC] Pourquoi Gmail est massivement utilisé chez les libristes ?

[Julien TDN <julien.beauvais AT tdn-fai.net>]

Le 11/07/2017 à 09:59, Jonathan BOUSSOIR a écrit :

Bonjour Julien,

Salut,

Merci pour ton message fort intéressant.

J'ai déjà configuré différents types de serveur et c'est vrai que c'est la galère d'autant que je ne fais pas cela tout les jours donc j'oublie très vite et dès qu'il faut refaire quelques choses... c'est toujours dure de se replonger.

Si j'ai bien compris Yunuhost permet d'installer rapidement un serveur

YunoHost est un outil qui vous permet d’installer et d’utiliser facilement votre propre serveur.

iRedMail pour installer un serveur mail

au niveau de la sécurisation

J'ai vu que YunoHost installe fail2ban (c'est très bon)

L'accès est simplifié via les utilisateurs sur les modules installés

Je n'ai pas vu de bloqueur de ports comme par exemple Portsentry (Cet utilitaire permet de bloquer en temps réel la plupart des scans de port connus)

Ni non plus de détecteur de rootkit et de backdoors (Rkhunter) 
Ni , de détection d’intrusions (Snort )
Ni de visualisateur rapide de log (Logwatch)
et ni une prise en a distance du serveur (webmin)

Yunohost se veut être le juste milieu entre simplicité et sécurité (la sécurité simple n'existe pas), c'est pourquoi par de Portsentry/Rkhunter/Snort/Logwatch.
Webmin serait en double usage avec l'interface de Yunohost et pour les partie supplémentaire elle sont en dehors de l'usage fait par la cible utilisateur de Yunohost (les non-technique dont je ne fait pas parti). De plus je considère Webmin comme inutile, quand on maîtrise un minimum les outils géré par Webmin (nécessaire pour savoir ce qu'on fait vraiment) alors on peut se passer de Webmin (un bon SSH et c'est bon !).
Pour avoir tout ce qui est cité précédemment rien n'est plus efficace de prendre le temps de tout installer sur une distribution Linux nue (pour ma part Debian depuis plus de 10 ans).

iRedMail est conçu pour s'installer sur une Distribution GNU/Linux nue et fournis un serveur mail la partie sécurité est laissé a l'admin car touchant plus large que le mail (utiliser Rkhunter signifie scanner tout les mail des utilisateurs ce qui n'est pas forcément désirable).

Comment tu fais pour gérer les attaques, la prise a distance du serveur ?

Yunohost est destiné a l'auto-hébergement en priorité, sur des machines qui sont des petites cibles donc pas le plus souvent la cible d'attaque sophistiqué, mais le système est tout de même un minimum sécurisé.
Pour l'administration distante un VPN vers le serveur pour être dans le réseau local et l'interface web locale est disponible. (Sinon SSH depuis n'importe ou)

Je suis toujours à la recherche de système plus efficace (et plus simple) pour bien gérer un serveur...

Simple ne veut pas forcément dire efficace et inversement (en général je passe plus de temps a installer, configurer et sécuriser mes serveurs/services, que mes utilisateurs a apprendre a s'en servir).

Merci d'avance pour tes précisions.

Avec plaisir !

Cordialement,

Jonathan

Le 11 juillet 2017 à 01:39, Julien TDN <julien.beauvais AT tdn-fai.net> a écrit :

Le 10/07/2017 à 08:13, david96 a écrit :

Bonjour,

Merci pour ce retour d'expérience.

Ce matin, je lisais cet article :

Pourquoi les petites entreprises peuvent-elles faire mieux que les grandes ?

http://jeromebarthelemy.blogspot.fr/2014/02/pourquoi-les-petites-entreprises_7.html

En résumé, voilà la conclusion du billet :  « En bref, les petites entreprises ne sont pas condamnées lorsqu’un secteur d’activité est dominé par de grandes entreprises. Si elles arrivent au bon moment et si elles parviennent à se positionner différemment (en jouant par exemple la carte de l’authenticité), tous les espoirs leur sont permis. »

Je trouve l'analyse judicieuse. Entendez-vous ce son de cloche ?

Message envoyé via mon logiciel de messagerie : thunderbird.

Cordialement.

ET David Prudhon.
Site : www.emploitheque.org

Le 09/07/2017 à 14:57, julien a écrit :

Salut à tous

Je suis sysadmin d'une SCOP (société coopérative) qui emploie une quarantaine de personnes.

Pour le mail nous avons notre propre serveur linux (serveur virtualisé chez gandi), avec Dovecot, postfix et roundcube.

Mon retour d'expérience:

1/ Comme cela a pu être dit, les gros hébergeurs ont une politique antispam qui fait la misère aux petits hébergeurs et aux gens qui veulent leur propre serveur.

Tu as beau avoir une ip n'ayant jamais envoyé de spam, avoir configuré le SPF et le DKIM, tes mails passent en spam chez hotmail et gogole.. Il faut que google et Hotmail voient des mails arriver de ton serveur un certain temps (et un temps certain) avant de ne plus les passer en SPAM. Ça dure plusieurs mois à une année... Hotmail vendait à l'époque la possibilité d'être accrédité plus vite moyennant le versement d'une coquette somme chaque année.

Bref maintenant nous n'avons plus ce problème, mais ça a pris du temps. Cette politique de la part des "gros" n'est bien sûr par dénuée d’intérêt pour eux puisqu'elle découragent les gens de se passer d'eux, et freinent l'arrivée d'un potentiel nouvel entrant sur le marché. Tes mails passent en spam et les gens pensent naturellement que le problème vient de chez toi, vu que qu'ils ne rencontrent pas ce problème avec les hébergeurs qu'ils connaissent qui sont aussi des gros.

Nous communiquons également avec des pro et des institution qui, ayant leur propre infra mail, peuvent aussi avoir ce genre de problème. Cela a peut être redu les gens plus indulgent à l’époque où nous avions ce problème.


2/ On doit filtrer énormément de spam, virus, et co.
La solution choisie a été de bloquer les expéditeur en se basant sur des RBL (real time blocking lists), qui nous permettent de vérifier si un ip émettrice est répertoriée ou non comme spammeuse avant d'accepter un courrier.

Le problème: certains de nos contacts passent par des relais laxistes, via lesquels du spam transite... donc le relais est signalé comme spammeur et notre serveur n'accepte plus les messages desdits contacts. En cas de refus, postfix averti bien sûr l'expéditeur en mentionnant la raison (son relais envoie du spam) mais l'expéditeur ne le lit pas dans 90% des cas, (ça ressemble à une erreur d'expéditeur inexistant mais c'est en anglais de surcroit).. De manière générale, inutile de tenter d'expliquer de c'est la faute de l'expéditeur qui passe par un serveur tout pourri, ça doit marcher point barre :-)

La solution qu'on a trouvé, c'est de mettre une liste blanche d'adresses email qui ne passent pas par le filtrage (postfix à cette fonctionnalité). Un script alimente cette liste en analysant les logs du serveur et en y extrayant toutes les adresses vers lesquelles on a envoyé du courrier pour les mettre en liste blanche. Pour aller plus vite, cette liste est automatiquement alimentée avec la liste des mails extraite de notre base client. Tous les mails de cette liste sont exemptés de filtrage. Ça élimine 99% de faux positif, mais ça ne marche pas dans le cas d'un client qui nous contacte pour la première fois.

A une époque, j'avais aussi mis en place postgrey, qui demande a un serveur inconnu de réexpédier son message en lui revoyant un code d'erreur temporaire, puis en acceptant le message à la seconde tentative. Les spammeurs ne réexpédient généralement pas leurs mails, alors qu'un serveur légitimé, doit *en principe* toujours le faire. Par ailleurs, le délai permet de laisser le temps à ce que qqn enregistre dans le RBL une IP nouvellement émettrice de spam, et donc que notre serveur l'éjecte à la seconde tentative. Dans la pratique, les serveur légitimes peuvent tarder a renvoyer le mail (parfois plusieurs heures, voir plus), alors que les gens s'attendent à ce que cela arrive instantanément... Cela peut s'accompagner de l'envoie d'un avertissement d'erreur temporaire à l'expéditeur, qui peut penser que qqch cloche...

En mixant les RBL et les listes blanche (+ éventuelement postgrey), on arrive a une solution où il y a rarement de faux positif, ou de faux négatif, bien que cela se produise encore de temps à autres. (moins d'une fois par mois). C'est pas parfait, mais ça reste acceptable...


3/ Le cout

Le cout du serveur en soit n'est pas énorme, on s'en sort avec une petite vingtaine d'euros par mois. Le gros du cout, c'est la charge salariale liée à la maintenance. Or ce coût à ne varie peu en fonction du nombre de boites mail administrées.

Bref il est intéressant financièrement d'avoir son propre serveur si on a envie de se lancer d'ans l'aventure, à partir du moment où commence à avoir un certain nombre d'utilisateurs. Selon moi, si on a moins de 20 à 30 boites mail, ça ne vaut pas le coup. (financièrement je parle, pour la curiosité, ça vaut toujours le coup ;-))


4/ Clients mail utilisés

Roundcube (la version livrée avec debian 7), n'a pas convaincu les foules... Je n'ai pas testé avec zimbra. Les gens qui veulent passer par webmail utilisent souvent leur webmail perso, donc... gmail pour une bonne partie. Gmail ne propose plus la synchro imap (j'imagine qu'elle est réservée aux comptes pro) et seulement la récupération par pop, donc j'éssaie d'expliquer aux gens que gmail est tout pourri, car ils doivent trier leur mails deux fois (une fois chez gmail, une fois dans la boite).
Thunderbird est notre client mail "officiel" depuis longue date pour les personnels administratifs, et personne ne s'en plaint ou ne réclame outlook.
On a également de plus en plus de salariés qui reçoivent leur mail via leur smartphonne. Pas de soucis de ce coté là.


Pour finir :-)

Il y a une dizaine d'années, il était normal que quelques spams passent, et que quelques mails se perdent. Aujourd'hui les "gros" comcom gmail ont des algos de filtrage assez efficaces qui bloquent quasi 100% des spams. Nous sommes donc confrontés à ce standard là, qu'il est difficile d'atteindre, bien qu'on arrive a quelque chose d'acceptable à la longue.

De manière générale, une solution libre ne peut jamais être 100% identique à la solution propriétaire à laquelle les gens sont habitués. Pour qu'elle ne soit pas perçue par les gens comme quelque chose de "gratuit mais pas aussi bien que", il me semble important de ne pas seulement tenter de répondre à ce qu'il manque selon les utilisateur (qui veulent la même chose que celle à laquelle ils sont habitués), mais de proposer des plus, qu'ils n'auront pas avec la solution propriétaire qu'ils connaissent.
Par exemple, sur notre serveur, nous proposons l'ajout automatique d'une jolie signature en HTML lorsque les mails sont envoyés (exchange sait le faire aussi, mais pas aussi bien que quand on peut personnaliser les scripts pour adapter réellement la chose à nos besoins).
Sur Thunderbird il existe une myriade de modules complémentaires qui peuvent alléger la charge de travail des gens. Par exemple, l'ajout automatique de phrases type).
Bref il me parait important de ne pas être seulement réactif mais d'être aussi proactif pour faire aimer les solutions libres :-)

Julien


--
Malinux Télé
Donner l’accès aux logiciels libres éducatifs aux enfants du Mali et d’ailleurs
http://malinuxtele.tuxfamily.org

Le 09/07/2017 à 07:51, JF Lemoine a écrit :

Bonjour,

Je me suis débarrassé de Gmail il y a déjà quelques années. Après avoir tenté de maintenir moi-même un serveur de messagerie, j’ai renoncé en raison des raisons déjà évoquées.

En cherchant un hébergeur pour le courriel uniquement, j’ai trouvé Web4all qui proposait dans son offre d’hébergement web mutualisé des comptes zimbra, donc : courriel, calendrier, partage de documents et de contacts, etc. Je ne reviendrai pas en arrière. Web4all s’est transformé cette année et son activité a été reprise par yulPa, mais le service reste identique.

Plus d’informations : https://yulpa.io/hosting-shared-focus-emails-zimbra.html

Comme on dit habituellement : « je ne travaille pas, ne conseille pas, ne possède pas de parts, ne reçoit pas de fonds d’une organisation qui pourrait tirer profit de ce message. »

Librement vôtre.
Jean-François Lemoine

Bonjour, En tant que Libriste (et fière de l'être) je considère que les utilisateurs de Gmail ne peuvent être des Libristes. Si il y as bien une chose dont je suis sur (AMHA) c'est que si on est/se dit Libriste alors on n'utilise pas de produit Google du tout (null zero nada), ni de tout autre GAFAM, cela me semble logique. Je considère (peut être a tord, mais je ne pense pas finalement) que si on peut être extrême sur certain sujet, on ne peut pas l'être au sujet du Libre, c'est Libre ou ça ne l'est pas.

Concernant l'hébergement de mail, la seule solution viable (AMHA a nouveau) reste l’auto-hébergement (ne pas oubliez qu'une adresse mail c'est utilisateur@machine a la base). Cela fait plus de 10 ans que j'ai commencé l'auto-hébergement et pour moi les Chatons doivent être des auto-hébergés hébergeurs. Ceci afin de donner une première marche a franchir au public, la seconde étant de s'impliquer dans son Chatons et la troisième d’auto-héberger progressivement ses services en finissant par le mail. Non pas que le mail soit le plus compliqué mais le plus complexe (notez la nuance) a héberger, du fait que le mail touche plusieurs sous-domaine de l'hébergement simultanément (mx, dns, web pour un webmail optionnel), si on commence a s'auto-héberger dans un ordre raisonnable ces sous-domaines sont normalement déjà acquis ! De plus avec des outils tels que Yunohost et iRedMail la marche technique est grandement réduite, tellement qu'un adminsys aujourd'hui ne peut pas prétendre ne pas savoir installer un serveur mail ! (a moins de pas savoir lire une doc !) Notamment avec IredMail, oú il ne reste a faire manuellement que la configuration DNS (relativement simple car prémâche par iRedMail).

Je ne prétend pas qu'une personne x ou y imperméable a l'informatique comprendra du premier coup (que ce soit pour du mail ou autre chose) mais plutôt que avec de la volonté n'importe qui peut finir par comprendre. Les Chatons, Fablab, GULL/LUG, ... tant de lieux oú nous Libristes devons faire naître cette volonté par des arguments, des démonstrations, des explications, ... de l’éducation populaire en somme, pour que les personnes qui ignorent qu'il existe des alternatives (coucou Alternatiba) ou les connaissent mal ne peuvent pas comparez correctement et encore moins choisir la meilleur solution pour eux (ne pas imposer le Libre même par la peur des affreux GAFAM, le rendre accessible, attrayant et meilleurs est bien plus pérenne dans le temps).

Alors bien sur ça ne se fera pas en 1 jour, mais rassurez-vous la voie est Libre !

-- Librement, Julien Beauvais, -- Administrateur Systèmes et Réseaux, Webmestre, Fondateur Touraine Data Network (http://www.tdn-fai.net), Votre Fournisseur d'Accès Internet Associatif en Touraine et région Centre, Association membre de la Fédération FDN (http://www.ffdn.org). Hébergeur Libre A-Hébergement (https://www.chatons.org/chaton/a-hébergement). Membre d'ADeTI, Groupe d'Utilisateurs de Logiciels Libres de Tours (http://www.adeti.org). Membre de l'APRIL (http://www.april.org). Modérateur de l'Agenda du Libre (http://www.agendadulibre.org). -- «Soyez le changement que vous voulez voir dans le monde.», Mahatma Gandhi (1869-1948).

Attachment: signature.asc
Description: OpenPGP digital signature