Postfix
Используемые константы:
%user% - имя пользователя в MySQL
%password% - пароль в MySQL
%dbname% - база MySQL
%hosts% - хост MySQL
cyrus-sasl2
SASL - (Simple Authentication and Security Layer) служит для авторизации входящих соединений от пользователей.
Сборка
| Code Block |
|---|
|
cd /usr/ports/security/cyrus-sasl2
make USE_MYSQL_VERSION=5 WITHOUT_OTP=yes WITHOUT_NTML=yes && make install |
Конфигурация
Создаем файл /usr/local/lib/sasl2/smtpd.conf
| Code Block |
|---|
|
pwcheck_method: saslauthd auxprop
mech_list: login plain
auxprop_plugin: sql
sql_engine: mysql
mysqlsql_user: %dbuser%
mysqlsql_passwd: %dbpasswd%
mysqlsql_database: %dbname%
mysqlsql_hostnames: %dbhost%
mysqlsql_statementselect: SELECT DECODE(mb.password, 'test12345678901234567890') FROM mail_boxes mb, mail_domains md WHERE CONCAT(mb.username, '@', md.domain)='%u@%r' and mb.domain_id=md.id and mb.status = '0' and (mb.expire = '0000-00-00' or mb.expire > curdate()) |
Далее
| Code Block |
|---|
|
chmod 750 /usr/local/lib/sasl2
chgrp mail /usr/local/lib/sasl2 |
Автостарт saslauthd при запуске системы FreeBSD
| Code Block |
|---|
|
echo saslauthd_enable=\"YES\" >> /etc/rc.conf |
проверить механизм авторизации
Postfix
Postfix При установке postfix в меню выбираем поддержку SASL2, VDA, TLS и MYSQL.
| Code Block |
|---|
|
cd /usr/ports/mail/postfix && make install clean |
Проверяем собран ли Postfix c поддержкой Cyrus-SASL
Если включён должна присутствовать строка:
Проверяем собран ли Postfix c поддержкой Mysql
Если включён должна присутствовать строка:
После установки
main.cf должен содержать:
| Code Block |
|---|
|
debug_peer_level = 2
command_directory = /usr/local/sbin
daemon_directory = /usr/local/libexec/postfix
#mydestination = $myhostname
disable_vrfy_command = yes
smtpd_helo_required = yes
smtpd_helo_restrictions = permit_mynetworks,
reject permit_sasl_authenticated,
reject_invalid_hostname,
reject_unknown_hostname,
reject_non_fqdn_hostname
smtpd_recipient_restrictions = permit_mynetworks,
permit_sasl_authenticated,
reject_unauth_destination,
reject_unknown_recipient_domain,
reject_non_fqdn_recipient,
reject_unauth_destination
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
smtpd_sender_restrictions = permit_mynetworks,
permit_sasl_authenticated,
reject_unknown_sender_domain,
check_sender_access mysql:/usr/local/etc/postfix/sql/access.cf
# reject_rhsbl_sender dsn.rfc-ignorant.org
transport_maps = mysql:/usr/local/etc/postfix/sql/transport.cf
virtual_alias_maps = mysql:/usr/local/etc/postfix/sql/aliases.cf
virtual_gid_maps = static:1005
virtual_mailbox_base = /var/spool/virtual
virtual_mailbox_domains = mysql:/usr/local/etc/postfix/sql/virtual_domains.cf
virtual_mailbox_maps = mysql:/usr/local/etc/postfix/sql/virtual_mailbox.cf
virtual_mailbox_limit = 51200000
virtual_minimum_uid = 1005
virtual_uid_maps = static:1005
# Additional for quota support for virtual transport
#virtual_create_maildirsize = yes
#virtual_mailbox_extended = yes
#virtual_mailbox_limit_maps = mysql:/usr/local/etc/postfix/sql/virtual_mailbox_limits.cf
#virtual_mailbox_limit_override = yes
#virtual_maildir_limit_message = Sorry, the user's maildir has overdrawn his diskspace quota, please try again later.
#virtual_overquota_bounce = yes
maildrop_destination_recipient_limit=1
readme_directory = no
sample_directory = /usr/local/etc/postfix
sendmail_path = /usr/local/sbin/sendmail
html_directory = no
setgid_group = maildrop
manpage_directory = /usr/local/man
newaliases_path = /usr/local/bin/newaliases
mailq_path = /usr/local/bin/mailq
queue_directory = /var/spool/postfix
mail_owner = postfix |
Для TLS авторизации создаём сертификат x509 добавляем в конфиг main.cf:
| Code Block |
|---|
|
# tls config
smtp_use_tls = yes
smtpd_use_tls = yes
smtp_tls_note_starttls_offer = yes
smtpd_tls_key_file = /usr/abills/Certs/smtpd.key
smtpd_tls_cert_file = /usr/abills/Certs/smtpd.cert
smtpd_tls_CAfile = /usr/abills/Certs/smtpd.pem
smtpd_tls_loglevel = 1
smtpd_tls_received_header = yes
smtpd_tls_session_cache_timeout = 3600s
tls_random_source = dev:/dev/urandom |
Создание сертификата
| Code Block |
|---|
|
/usr/abills/misc/certs_create.sh postfix_tls |
Обратите внимание! Что virtual uid и gid имеют статическую привязку и эти значения следует изменить на uid и gid юзера, от которого будет работать maildrop. В моем случае, это юзер vmail с uid 1005 и gid 1005. Транспорт virtual не поддерживает квоты, в отличии от maildrop, поэтому, если вы хотите включить поддержку квот для virtual, установите патч VDA
Создайте пользователя vmail с UID 1005 и GID 1005
Каталог для виртуальных хостов
| Code Block |
|---|
|
# mkdir /var/spool/virtual
# chown -R vmail:vmail /var/spool/virtual
# chmod -R 771 /var/spool/virtual |
| Code Block |
|---|
| language | bash |
|---|
| title | transport.cf |
|---|
|
user = %dbuser%
password = %dbpasswd%
dbname = %dbname%
hosts = %dbhost%
query = SELECT transport FROM mail_domains WHERE domain='%d' |
| Code Block |
|---|
| language | bash |
|---|
| title | access.cf |
|---|
|
user = %dbuser%
password = %dbpasswd%
dbname = %dbname%
hosts = %dbhost%
query = SELECT action FROM mail_access WHERE pattern='%s' |
| Code Block |
|---|
| language | bash |
|---|
| title | aliases.cf |
|---|
|
user = %dbuser%
password = %dbpasswd%
dbname = %dbname%
hosts = %dbhost%
query = SELECT goto FROM mail_aliases WHERE address='%s' |
| Code Block |
|---|
| language | bash |
|---|
| title | virtual_domains.cf |
|---|
|
user = %dbuser%
password = %dbpasswd%
hosts = %dbhost%
dbname = %dbname%
query = SELECT domain FROM mail_domains WHERE domain='%s' AND backup_mx='0' AND status='0' |
| Code Block |
|---|
| language | bash |
|---|
| title | virtual_mailbox.cf |
|---|
|
user = %dbuser%
password = %dbpasswd%
dbname = %dbname%
hosts = %dbhost%
query = SELECT CONCAT(md.domain,'/',mb.username,'/') FROM mail_boxes mb, mail_domains md WHERE CONCAT(mb.username, '@', md.domain)='%s' and mb.domain_id=md.id and mb.status = '0' and (mb.expire = '0000-00-00' or mb.expire > curdate()) |
| Code Block |
|---|
| language | bash |
|---|
| title | virtual_mailbox_limits.cf |
|---|
|
user = %dbuser%
password = %dbpasswd%
hosts = %dbhost%
dbname = %dbname%
query = SELECT box_size * 1048576 FROM mail_boxes mb, mail_domains md WHERE CONCAT(mb.username, '@', md.domain)='%s' and mb.domain_id=md.id and mb.status = '0' |
| Code Block |
|---|
| language | bash |
|---|
| title | Автозагрузка при старте /etc/rc.conf |
|---|
|
# Не запускать sendmail
sendmail_enable="NONE"
mta_start_script=""
sendmail_outbound_enable="NO"
sendmail_submit_enable="NO"
sendmail_msp_queue_enable="NO"
# Запуск postfix
postfix_enable="YES" |
maildrop
http://www.courier-mta.org/maildrop
maildrop является альтернативой широко используемому procmail и имеет гораздо большие возможности - поддержка mysql и ldap, поддержка квот, более мощный язык фильтрации, повышенная безопасность, поддержка формата Maildir++. Более подробная документации в директории /usr/local/share/doc/maildrop
| Code Block |
|---|
|
cd /usr/ports/mail/maildrop
make WITH_AUTHLIB=yes MAILDROP_TRUSTED_USERS=vmail MAILDROP_SUID=1005 MAILDROP_SGID=1005
make install |
После сборки запустите maildrop -v. Должны быть следующие строки
Courier Authentication Library extension enabled.
Maildir quota extension enabled.
В
| Info |
|---|
# если ругается на AUTHLIB multi, select at least one option, то собираем так:
make WITH="AUTHLIB" WITH="AUTH_MYSQL" MAILDROP_TRUSTED_USERS=vmail MAILDROP_SUID=1005 MAILDROP_SGID=1005
make install |
После сборки запустите maildrop -v. Должны быть следующие строки
Courier Authentication Library extension enabled.
Maildir quota extension enabled.
В /usr/local/etc/postfix/master.cf измените конфиг maildrop на
| Code Block |
|---|
|
maildrop unix - n n - - pipe
flags=Rhu user=vmail argv=/usr/local/bin/maildrop -w 90 -d ${recipient} |
Создаем файл /var/spool/virtual/.mailfilter со следующим содержанием
| Code Block |
|---|
|
SHELL=/bin/sh
UMASK=077
mail=tolower($mail)
LOGNAME=tolower($LOGNAME)
VERBOSE=7
user=`echo $LOGNAME|sed s/\@/\ /| awk '{print $1}'`
domain=`echo $LOGNAME|sed s/\@/\ /| awk '{print $2}'`
MAILDIR="$HOME/$domain/$user/"
#Make maildir if not exists
`test -d $MAILDIR`
if ($RETURNCODE!=0)
{
`test -d $HOME/$domain/`
if ($RETURNCODE!=0)
{
`mkdir "$HOME/$domain/"`
}
`/usr/local/bin/maildirmake $MAILDIR`
#Make spam dir
`/usr/local/bin/maildirmake -f Spam $MAILDIR`
}
#Filter check system
# Check user filter if exist use filter
FILTERDIR="$HOME/.mailfilters/$LOGNAME"
`test -d $FILTERDIR`
if ($RETURNCODE!=0)
{
to "$MAILDIR"
}
else
{
include "$HOME/.mailfilters/$LOGNAME"
} |
Ставим права на запись и чтение только пользователю иначе maildrop откажется работать.
| Code Block |
|---|
|
chmod 600 /var/spool/virtual/.mailfilter
chown vmail:vmail /var/spool/virtual/.mailfilter |
Создаем директорию /var/spool/virtual/.mailfilters
| Code Block |
|---|
|
mkdir -m 700 /var/spool/virtual/.mailfilters
chown vmail:vmail /var/spool/virtual/.mailfilters |
Для включения пользовательского фильтра, который будет раскладывать почту по дополнительным ящикам, создаем include файл в формате user@domain соответствующему переменной $LOGNAME /var/spool/virtual/.mailfilters/user@test.local.net со следующим содержанием
| Code Block |
|---|
|
user=`echo $LOGNAME|sed s/\@/\ /| awk '{print $1}'`
domain=`echo $LOGNAME|sed s/\@/\ /| awk '{print $2}'`
MAILDIR="$HOME/$domain/$user/"
if ( /^X-Spam-Status: Yes/:h )
{
to "$MAILDIR/.Spam"
# или отправляем в /dev/null
# to "| cat - >/dev/null"
}
to $MAILDIR |
Файл /var/spool/virtual/.mailfilters/user@test.local.net - предоставляет возможность maildrop выбрать нужный конфиг для пользователя, используя его логин, который берется из переменной $LOGNAME (user@domain). В директории .mailfilters хранятся конфиги для каждого виртуального юзера. Maildrop будет искать конфиг в формате user@domain и использовать его.
Можно написать скрипт, который при создании maildir, автоматически создает нужный конфиг с дефолтными опциями в .mailfilters.
В данном примере maildrop отбирает почту с заголовком X-Spam-Status: Yes, который генерирует spamassassin, установка которого будет рассмотрена ниже, и кладет ее в папку Spam. Остальная почта направляется в INBOX. Примеры фильтров для maildrop можно найти на mdropspammailfilter
Создаем файл /usr/local/etc/quotawarnmsg.
courier-authlib
Демон авторизации для dropmail, courier-imap, courier-pop3d
| Code Block |
|---|
|
cd /usr/ports/security/courier-authlib && make && make install |
Для доступа к спулу почты /var/spool/virtual courier работает от юзера vmail (uid 1005,gid 1005)
| Code Block |
|---|
|
pw group mod vmail -m courier |
Правим конфигурационный файл для courier-authlib /usr/local/etc/authlib/authmysqlrc
| Code Block |
|---|
|
MYSQL_CLEAR_PWFIELD DECODE(mb.password, '%secretkey%')
MYSQL_DATABASE %dbname%
MYSQL_PASSWORD %dbpasswd%
MYSQL_USERNAME %dbuser%
MYSQL_SERVER %dbhost%
MYSQL_GID_FIELD '1005'
MYSQL_HOME_FIELD CONCAT('/var/spool/virtual/')
MYSQL_LOGIN_FIELD CONCAT(mb.username, '@', md.domain)
MYSQL_MAILDIR_FIELD CONCAT('/var/spool/virtual/', md.domain,'/',mb.username,'/')
MYSQL_NAME_FIELD CONCAT(mb.username, '@', md.domain)
MYSQL_OPT 0
MYSQL_PORT 3306
MYSQL_QUOTA_FIELD CONCAT(mb.box_size * 1048576,'S')
MYSQL_UID_FIELD '1005'
MYSQL_USER_TABLE mail_boxes mb, mail_domains md
MYSQL_WHERE_CLAUSE mb.status='0' AND mb.domain_id=md.id |
Убедитесь что использована табуляция, а не пробелы, иначе конфиг не будет работать.
Делаем возможность доступа пользователя vmail к сокету авторизации
| Code Block |
|---|
|
chown vmail /var/run/authdaemond/ |
Автозагрузка при старте системы /etc/rc.conf
| Code Block |
|---|
|
courier_authdaemond_enable="YES" |
Установка Courier-imap
Courier-imap
Courier Authentication Library
| Code Block |
|---|
|
cd /usr/ports/mail/courier-imap && make WITH_CRAM=yes WITH_MYSQL=yes install clean
chmod 700 /usr/local/etc/courier-imap/
chown vmail:vmail /var/run/authdaemond/ |
Создаем SSL сертификат (для работы в защищённом режиме)
| Code Block |
|---|
|
cd /usr/local/etc/courier-imap/
cp /usr/local/etc/courier-imap/imapd.cnf.dist /usr/local/etc/courier-imap/imapd.cnf
mkimapdcert
cp /usr/local/etc/courier-imap/pop3d.cnf.dist /usr/local/etc/courier-imap/pop3d.cnf
mkpop3dcert
cp /usr/local/etc/courier-imap/imapd.dist /usr/local/etc/courier-imap/imapd
cp /usr/local/etc/courier-imap/pop3d-ssl.dist /usr/local/etc/courier-imap/pop3d-ssl |
В /usr/local/etc/courier-imap/imapd меняем
| Code Block |
|---|
|
TCPDOPTS="-nodnslookup -noidentlookup" |
на
| Code Block |
|---|
|
TCPDOPTS="-nodnslookup -noidentlookup -user=vmail" |
Для автозагрузки при старте систему прописываем в /etc/rc.conf
Для IMAP сервера:
| Code Block |
|---|
|
courier_imap_imapd_enable="YES" |
Для POP3 сервера
| Code Block |
|---|
|
courier_imap_pop3d_enable="YES" |
Данная установка рассчитана на мультидоменные почтовые системы, по этому в качестве логина для авторизации при получении почты нужно использовать связку логин@домен.
/etc/rc.conf
| Code Block |
|---|
|
courier_imap_pop3d_ssl_enable="YES"
courier_imap_imapd_ssl_enable="YES" |
