Admins

En attendant, mesure curative manuelle :

(April) root@mail:~# free -m
              total        used        free      shared  buff/cache   available
Mem:           1994         721         166          20        1107        1073
Swap:           951         650         301
(April) root@mail:~# systemctl restart clamav-daemon.service 
(April) root@mail:~# free -m
              total        used        free      shared  buff/cache   available
Mem:           1994         641         239          19        1114        1154
Swap:           951          84         867

(April) root@mail:~# swapoff -a && swapon -a
(April) root@mail:~# free -m
              total        used        free      shared  buff/cache   available
Mem:           1994        1276          74          20         643         520
Swap:           951           0         951

Situation du 06/03/2020 vers 23h43 :

23:41 < vivivi[5]> [04] mail:SWAP is CRITICAL: SWAP CRITICAL - 2% free (9 MB out of 951 MB)

(April) root@mail:~# psswap |head
clamd 10283 756196 kB
/usr/sbin/amavi 7168 89912 kB
systemd-journal 246 64296 kB
/usr/sbin/amavi 10508 53268 kB
/usr/sbin/amavi 10513 49880 kB
postgrey --pidf781 16916 kB
opendkim 616 11264 kB

(April) root@mail:~# free -m
              total        used        free      shared  buff/cache   available
Mem:           1994         588         353          20        1052        1208
Swap:           951         941          10

A priori, tout est dans les buffers…

Situation après un clearswap :

(April) root@mail:~# free -m
              total        used        free      shared  buff/cache   available
Mem:           1994        1378         162          14         453         428
Swap:           951          74         877

Clamav bloque bien quelques menaces même si elles ne sont pas nombreuses.
Depuis le 23 février il y a eu 16 blocages :

Amavis dans sa configuration liste d'autres antivirus mais aucun ne semble plus adapté :

Le passage à Rspamd pourrait simplifier la configuration mais je ne pense pas qu'il réduira la consommation en mémoire comme il faut tout de même un Antivirus derrière. La doc sur https://rspamd.com/doc/modules/antivirus.html semble indiquer que le choix naturel est aussi Clamav.

L'occupation en mémoire de clamavd semble être lié à la taille de la base de signature qu'il utilise. Je n'ai pas trouvé de version officielle d'une base qui pourrait être plus légère avec un jeu de signature plus restreint.

Le passage en mode lancement à la demande (clamscan) plutôt que démon pourrait permettre d'éviter une occupation permanente de la mémoire. Mais vu la quantité de mail que nous recevons, les lancements répétés pourraient avoir un impact encore plus négatif sur les performances.

Aujourd'hui Clamav analyse les mails qui vont vers les adresses mails internes et pour les redirections. Pour les adresses redirigées, les adresses cibles ont certainement déjà un système antivirus plus fiable que notre Clamav. Pour les adresses internes, les quelques menaces bloquées par Clamav ne semble pas vraiment nous concerner.

Vu le peu de chose que nous apporte Clamav et notre manque de RAM disponible, nous allons tester de le désactiver pendant 1 mois pour voir comment se comporte le serveur.

Ajout dans /etc/amavis/conf.d/50-user de :

# Disable Clamav (#4218)
@bypass_virus_checks_maps = (1);

Désactivation des deux services clamav :

systemctl stop clamav-freshclam
systemctl stop clamav-daemon
systemctl disable clamav-freshclam
systemctl disable clamav-daemon

Désactivation des services ClamAV et Amavis sur admin dans /etc/icinga2/zones.d/master/cluster/mail.conf.
Désactivation des services ClamAV et Amavis sur galanga dans /etc/icinga/objects/hosts/cluster-vms/mail.cfg.
Le service Clamav vérifiait la bonne mise à jour de Clamav et Amavis envoyait un email EICAR pour tester le bon fonctionnement du blocage de Clamav.