Installing and configuring SSL on Postfix/Dovecot mail server – SSL Certificates –

Устанавливаем пакет dovecot-postfix который автоматически установит dovecot и настроит postfix на использование SASL. Также этот пакет настроит dovecot для IMAP, IMAPS, POP3, и POP3S.

apt-get install dovecot-postfix

Приступаем к настройке dovecot.

Создадим пользователя для почты

useradd -d /bin/false vmail

Создадим папку для почты и установим на неё права

mkdir /home/mail && chown vmail:mail /home/mail

Зайдём в папку dovecot

cd /etc/dovecot

На данный момент dovecot не настроен на использование виртуальных пользователей из ldap, а так же пакет dovecot-postfix разделил конфигурацию dovecot на несколько файлов

dovecot.conf
auth.d/01-dovecot-postfix.auth
conf.d/01-dovecot-postfix.conf

лично мне это не удобно, поэтому я сделал копию текущего dovecot.conf

mv dovecot.conf dovecot.conf.bak1

и создал свой dovecot.conf

> dovecot.conf

следующего содержания

# Поддерживаемые протоколы
protocols = imap pop3 imaps pop3s managesieve

log_timestamp = "%Y-%m-%d %H:%M:%S "
mail_privileged_group = mail

# Отключаем  plaintext аутентификацию
disable_plaintext_auth = yes
# Включаем ssl
ssl = yes
ssl_cert_file = /etc/ssl/certs/mydovecot.pem
ssl_key_file = /etc/ssl/private/server.key
ssl_ca_file = /etc/ssl/certs/cacert.pem
ssl_cipher_list = ALL:!LOW:!SSLv2:ALL:!aNULL:!ADH:!eNULL:!EXP:RC4 RSA: HIGH: MEDIUM
# Место нахождения почтовых папок
mail_location = maildir:/home/mail/%d/%u
# Символы используемые для аутентификации
auth_username_chars = abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ01234567890.-_@
# Допустимый интервал UID для пользователей
first_valid_uid = 1000
last_valid_uid = 50000
# Интервал для группы. Минимальный GID для группы у меня выставлен в 8, т.к. под этим номером у
# меня находится группа mail.
first_valid_gid = 8
last_valid_gid = 50000
# Пользователь и группа от которых будет работать dovecot с почтой
mail_uid = vmail
mail_gid = mail
# Пути к логам dovecot
log_path = /var/log/dovecot.log
info_log_path = /var/log/dovecot_info.log
# Конфигурация  IMAP протокола
protocol imap {
    mail_max_userip_connections = 10
    imap_client_workarounds = outlook-idle delay-newmail
    mail_plugins = quota imap_quota
}
# Конфигурация POP3 протокола
protocol pop3 {
    pop3_uidl_format = XuXv
    mail_max_userip_connections = 10
    pop3_client_workarounds = outlook-no-nuls oe-ns-eoh
    mail_plugins = quota                                                                                                                                                            
}                                                                                                                                                                                   
# Конфигурация LDA протокола
protocol lda {                                                                                                                                                                      
    postmaster_address = postmaster@citramon.donetsk.ua                                                                                                                             
    mail_plugins = sieve quota                                                                                                                                                      
    quota_full_tempfail = yes                                                                                                                                                       
    deliver_log_format = msgid=%m: %$                                                                                                                                               
    rejection_reason = Your message to <%t> was automatically rejected:%n%r                                                                                                         
}                                                                                                                                                                                   
protocol managesieve {                                                                                                                                                              
}                                                                                                                                                                                   
auth default {
# Механизмы аутентификации                                                                                                                                                                      
    mechanisms = plain login                                                                                                                                                        
# База паролей
    passdb ldap {                                                                                                                                                                   
      args = /etc/dovecot/dovecot-ldap.conf                                                                                                                                         
    }
# База пользователей                                                                                                                                                                               
    userdb ldap {                                                                                                                                                                   
      args = /etc/dovecot/dovecot-ldap.conf
    }
    socket listen {
        master {
            path = /var/run/dovecot/auth-master
            mode = 0600
            user = vmail
            group = mail
        }
        client {
            path = /var/spool/postfix/private/dovecot-auth
            mode = 0660
            user = postfix
            group = postfix
        }
    }
    user = vmail
}

dict {
}
# Конфигурация плагинов
plugin {
    sieve=/home/mail/%d/%u/.dovecot.sieve
    sieve_dir=/home/mail/%d/%u/sieve
    quota = maildir:User quota
    quota_rule = *:storage=0B
    quota_rule2 = Trash:ignore
}

# Эти опции включают отладочные сообщения, раскоментируйте их
# на стадии тестирования, но потом их лучше отключить
#mail_debug = yes
#verbose_ssl = yes
#auth_verbose = yes
#auth_debug = yes
#auth_debug_passwords = yes

Теперь необходимо настроить подключение к ldap, переименовываем файл настроек ldap

mv dovecot-ldap.conf dovecot-ldap-example.conf

и создаём свой dovecot-ldap.conf

> dovecot-ldap.conf

слеждующего содержания

# Хост на котором работает ldap
uris = ldaps://ldap.example.com
# Админ ldap и его пароль
dn = cn=admin,dc=example,dc=com
dnpass = secret
# Пути к сертификатам для tls соединения
tls_ca_cert_file = /etc/ssl/certs/ mail_server_ldap_ca.pem
tls_ca_cert_dir = /etc/ssl/certs
tls_cert_file = /etc/ssl/certs/mail_server_ldap_cert.pem
tls_key_file = /etc/ssl/private/mail_server_ldap_key.pem
# Отладочные сообщения при соединении с ldap, после окончания тестирования лучше отключить
#debug_level = -1
# Поиск в ldap будет проходить не от пользователя проходящего аутентификацию
auth_bind = no
# Версия протокола ldap
ldap_version = 3
# Где искать пользователя
base = dc=example,dc=com
deref = never
scope = subtree
# Соответствие ldpa и dovecot переменных (слева ldap, справа dovecot)
pass_attrs = mail=user,userPassword=password
# Фильтр для проверки паролей
pass_filter = (&(objectClass=gosaMailAccount)(mail=%u))
# Здесь переменным home, uid, gid присваиваются фиксированные значения, а значение  quota_rule
# берётся в ldap из параметра gosaMailQuota, 1001 и 8 это uid пользователя vmail и gid группы mail 
user_attrs =  
    =home=/home/mail/%d/%u,  
    =uid=1001,  
    =gid=8,  
    gosaMailQuota=quota_rule=?:storage=%$B
# Фильтр для выборки пользователей
user_filter = (&(objectClass=gosaMailAccount)(mail=%u))
# Метод шифрования паролей в ldap
default_pass_scheme = MD5

Не знаю с чем это связано но для того чтоб dovecot смог соединиться с ldap на другом сервере по tls, необходимо чтоб на сервере с dovecot присутствовал файл /etc/ldap/ldap.conf в котором находится строка

TLS_CACERT /etc/ssl/certs/mail_server_ldap_ca.pem

в ubuntu 10.04 этот файл присутствует, поэтому просто добавляем в него выше указанную строку.

echo "TLS_CACERT /etc/ssl/certs/mail_server_ldap_ca.pem" >> /etc/ldap/ldap.conf

Перезагружаем dovecot

/etc/init.d/dovecot restart

Конфигурируем main.cf

# Настраиваем tls и SASL
postconf -e 'smtpd_tls_key_file = /etc/ssl/private/server.key'
postconf -e 'smtpd_tls_cert_file = /etc/ssl/certs/postfix.pem'
postconf -e 'smtpd_tls_CAfile = /etc/ssl/certs/cacert.pem'
postconf -e 'smtpd_tls_loglevel = 1'
postconf -e 'smtpd_tls_session_cache_timeout = 3600s'
postconf -e 'smtp_tls_note_starttls_offer = yes'
postconf -e 'smtpd_sasl_local_domain ='
# Почта будет находится в каталоге /home/mail/domain/user_mail поэтому значение home_mailbox
# должно быть пустым, mailbox_command выполняться не будет поэтому тоже пусто
postconf -e 'home_mailbox ='
postconf -e 'mailbox_command ='
# Домен почтового сервера
postconf -e 'mydomain = example.com'
postconf -e 'myorigin = $mydomain'
# Отклонять команду ETRN
postconf -e 'smtpd_etrn_restrictions = reject'
# Дополнительные ограничения, применяемые сервером Postfix в контексте команды MAIL FROM
postconf -e 'smtpd_sender_restrictions = reject_sender_login_mismatch, reject_unlisted_sender, reject_unknown_sender_domain'
# Дополнительные ограничения, применяемые сервером Postfix в контексте команды RCPT TO
postconf -e 'smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_non_fqdn_hostname, reject_non_fqdn_sender, reject_non_fqdn_recipient, reject_unverified_recipient, reject_invalid_hostname, reject_multi_recipient_bounce, reject_unknown_sender_domain, reject_unknown_recipient_domain, reject_unauth_pipelining, reject_unauth_destination'
# Настройка виртуальных пользователей, здесь 1001 и 8 это uid и gid пользователя vmail и группы mail
postconf -e 'virtual_mailbox_base = /home/mail'
postconf -e 'virtual_mailbox_domains = ldap:/etc/postfix/ldap_virtual_domains_maps.cf'
postconf -e 'virtual_mailbox_maps = ldap:/etc/postfix/ldap_virtual_mailbox_maps.cf'
postconf -e 'virtual_alias_maps = ldap:/etc/postfix/ldap_virtual_alias_maps.cf'
postconf -e 'virtual_uid_maps = static:1001'
postconf -e 'virtual_gid_maps = static:8'
postconf -e 'virtual_minimum_uid = 1000'
# Устанавливаем dovecot в качестве транспорта
postconf -e 'virtual_transport = dovecot'
postconf -e 'mailbox_transport = dovecot'
postconf -e 'dovecot_destination_recipient_limit = 1'
# Настраиваем квоту
postconf -e 'virtual_create_maildirsize = yes'
postconf -e 'virtual_maildir_extended = yes'
postconf -e 'virtual_mailbox_limit_override = yes'
postconf -e 'virtual_overquota_bounce = yes'
postconf -e 'virtual_mailbox_limit_maps = ldap:/etc/postfix/ldap_virtual_mailbox_limit_maps.cf'
postconf -e 'virtual_maildir_limit_message = Sorry, the users mailbox is full, please try again later.'
# Здесь к значениям по умолчанию добавляются $virtual_mailbox_limit_maps и
# $smtpd_sender_login_maps
postconf -e 'proxy_read_maps = $local_recipient_maps $mydestination $virtual_alias_maps $virtual_alias_domains $virtual_mailbox_maps $virtual_mailbox_domains $relay_recipient_maps $relay_domains $canonical_maps $sender_canonical_maps $recipient_canonical_maps $relocated_maps $transport_maps $mynetworks $sender_bcc_maps $recipient_bcc_maps $smtp_generic_maps $lmtp_generic_maps $virtual_mailbox_limit_maps $smtpd_sender_login_maps'
# Не разрешает отправку сообщений от другого пользователя
# Логин пользователя для отправки сообщений и MAIL FROM должны совпадать
postconf -e 'smtpd_sender_login_maps = ldap:/etc/postfix/ldap_logins.cf'
# Отключаем команду VRFY
postconf -e 'disable_vrfy_command = yes'
# Ставить исходящие сообщения в очередь
postconf -e 'defer_transports=smtp'

Теперь заходим в файл /etc/postfix/master.cf, убираем комментарий со строк

smtps     inet  n       -       -       -       -       smtpd
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject

и добавляем в конец файла строки

dovecot   unix  -       n       n       -       -       pipe
  flags=DRhu user=vmail:mail argv=/usr/lib/dovecot/deliver -d ${recipient}

Осталось создать файлы запросов к LDAP серверу
К сожалению мне не удалось подключиться к LDAP по защищённому соединению ldaps. При попытке подключения по ldaps или start_tls в логах появляются строки

warning: process /usr/lib/postfix/trivial-rewrite pid 1289 killed by signal 6
warning: /usr/lib/postfix/trivial-rewrite: bad command startup — throttling

и postfix наотрез отказывается принимать почту. В связи с эти файлы запросов соединяются с ldap через не защищённое соединение. Если кто решил данную проблему или знает с чем это связано, поделитесь пожалуйста буду очень признателен. Лично я перерыл весь инет но решение так и не нашёл.
И так создаём файлы запросов в папке /etc/postfix

Файл ldap_logins.cf

# адрес LDAP-сервера
server_host = ldap://ldap_server_ip/
# где искать людей
search_base = ou=Users,dc=example,dc=com
# версия протокола
version = 3
# какие записи отфильтровывать
# брать только тех, у кого создан почтовый акаунт
query_filter = (&(objectClass=gosaMailAccount)(|(mail=%s)(gosaMailAlternateAddress=%s)))
# требуемый атрибут
result_attribute = mail
# DN-запись для подключения к LDAP
bind_dn = cn=admin,dc=example,dc=com
bind_pw = secret

Файл ldap_virtual_alias_maps.cf

# адрес LDAP-сервера
server_host = ldap://ldap_server_ip/
# где искать людей
search_base = ou=Users,dc=example,dc=com
# версия протокола
version = 3
# какие записи отфильтровывать
# брать только тех, у кого создан почтовый акаунт
query_filter = (&(objectClass=gosaMailAccount)(|(mail=%s)(gosaMailAlternateAddress=%s)))
# требуемый атрибут - мы забираем mail
result_attribute = mail
# DN-запись для подключения к LDAP
bind_dn = cn=admin,dc=example,dc=com
bind_pw = secret

Файл ldap_virtual_domains_maps.cf

# адрес LDAP-сервера
server_host = ldap://ldap_server_ip/
# где искать домены
search_base = ou=servers,ou=systems,dc=example,dc=com
# версия протокола
version = 3
# какие записи отфильтровывать
# брать только текущий почтовый сервер, ip указывается текущего почтового сервера
query_filter = (&(objectClass=goMailServer)(ipHostNumber=192.168.0.2)(postfixMyDestinations=%s))
# требуемый атрибут - мы забираем список доменов
result_attribute = postfixMyDestinations
# DN-запись для подключения к LDAP
bind_dn = cn=admin,dc=example,dc=com
bind_pw = secret

Файл ldap_virtual_mailbox_limit_maps.cf

# адрес LDAP-сервера
server_host = ldap://ldap_server_ip/
# где искать пользователей
search_base = ou=Users,dc=example,dc=com
# версия протокола
version = 3
# какие записи отфильтровывать
# брать только тех, у кого создан почтовый акаунт
query_filter = (&(objectClass=gosaMailAccount)(|(mail=%s)(gosaMailAlternateAddress=%s)))
# требуемый атрибут - мы забираем квоту
result_attribute = gosaMailQuota
# DN-запись для подключения к LDAP
bind_dn = cn=admin,dc=example,dc=com
bind_pw = secret

Файл ldap_virtual_mailbox_maps.cf

# адрес LDAP-сервера
server_host = ldap://ldap_server_ip/
# где искать людей
search_base = ou=Users,dc=example,dc=com
# версия протокола
version = 3
# какие записи отфильтровывать
# брать только тех, у кого создан почтовый акаунт
query_filter = (&(objectClass=gosaMailAccount)(mail=%s))
# требуемый атрибут - мы забираем mail и gosaMailForwardingAddress
result_attribute = mail, gosaMailForwardingAddress
# по каким путям будет создаваться папка для юзера и подпапки (%d/ будет создаваться подпапка с
# доменом вида domain.dom/mail_adress/)
result_format = %d/%s/
# DN-запись для подключения к LDAP
bind_dn = cn=admin,dc=example,dc=com
bind_pw = secret

Перезагружаем postfix

/etc/init.d/postfix restart

Разрешим группе mail писать логи в файлы dovecot.log и dovecot_info.log, если этого не сделать postfix не будет принимать почту

chown root:mail /var/log/dovecot* && chmod 660 /var/log/dovecot* 

На этом настройка postfix и dovecot закончена.