PSPのdevのフックをインストールする方法

mech_list: plain login

という行を追加する。なお、plain loginを使う場合は必ずTLSを有効にしてパスワードを盗聴されないようにすること。

TLSを使って経路を安全にする

main.cfでTLSの使用を有効にします。

smtpd_use_tls = yes

まずCAを作成する。
openSUSE 10.0の場合は、適当な作業用ディレクトリを作りそこで

# /usr/share/ssl/misc/CA.pl -newca
CA certificate filename (or enter to create)

Making CA certificate ...
Generating a 1024 bit RSA private key
..................................++++++
....++++++
writing new private key to './demoCA/private/cakey.pem'
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
Verify failure
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:JP
State or Province Name (full name) [Some-State]:Tokyo
Locality Name (eg, city) []:Chiyodaku
Organization Name (eg, company) [Internet Widgits Pty Ltd]:HogeCompany
Organizational Unit Name (eg, section) []:Huga
Common Name (eg, YOUR name) []:boo
Email Address []:fo/p>

FC4の場合は

# /etc/pki/tls/misc/CA.pl -newca

すると、そのディレクトリにdomeCA以下のディレクトリが作成される。

次にサーバ証明書を作成する。

# openssl req -new -nodes -keyout mailkey.pem -out mailreq.pem -days 3650
Generating a 1024 bit RSA private key
.......++++++
....................++++++
writing new private key to 'mailkey.pem'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:JP
State or Province Name (full name) [Some-State]:Tokyo
Locality Name (eg, city) []:Chiyodaku
Organization Name (eg, company) [Internet Widgits Pty Ltd]:HogeCompany
Organizational Unit Name (eg, section) []:Physics
Common Name (eg, YOUR name) []:boo
Email Address []:fop>Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

次にこの証明書に署名する。今回は自分で署名する。

# openssl ca -out mail_signed_cert.pem -infiles mailreq.pem
Using configuration from /etc/ssl/openssl.cnf
Enter pass phrase for ./demoCA/private/cakey.pem:
Check that the request matches the signature
Signature ok
Certificate Details:
Serial Number:
af:73:8a:75:84:e0:14:5c
Validity
Not Before: Mar 6 02:31:11 2006 GMT
Not After : Mar 6 02:31:11 2007 GMT
Subject:
countryName = JP
stateOrProvinceName = Tokyo
organizationName = HogeCompany
organizationalUnitName = Huga
commonName = boo
emailAddress = fobr/> X509v3 extensions:
X509v3 Basic Constraints:
CA:FALSE
Netscape Comment:
OpenSSL Generated Certificate
X509v3 Subject Key Identifier:
3D:2E:F3:49:A1:D0:39:A1:F8:CF:C1:85:8E:46:24:BE:0E:72:53:F0
X509v3 Authority Key Identifier:
keyid:AD:A9:89:7C:DC:39:D3:19:E8:2A:6D:07:D5:94:AD:CF:17:20:CF:76
DirName:/C=JP/ST=Tokyo/L=Chiyodaku/O=HogeCompany/OU=Huga/CN=boo/emailAddress=fobr/> serial:AF:73:8A:75:84:E0:14:5B

Certificate is to be certified until Mar 6 02:31:11 2007 GMT (365 days)
Sign the certificate? [y/n]:y

1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated

そして作成されたファイルをここではpostfixのディレクトリにコピーする

# cp -p mailkey.pem /etc/postfix
# cp -p mail_signed_cert.pem /etc/postfix
# cp -p /demoCA/cacert.pem /etc/postfix

今コピーしたファイルをmain.cfの中で指定してやる。

smtpd_tls_key_file = /etc/postfix/mailkey.pem  smtpd_tls_cert_file = /etc/postfix/mail_signed_cert.pem  smtpd_tls_CAfile = /etc/postfix/cacert.pem

そして、master.cf内の

smtps    inet  n       -       n       -       -       smtpd    -o smtpd_tls_wrappermode=yes -o smtpd_sasl_auth_enable=yes

と

tlsmgr    unix  -       -       n       1000?   1       tlsmgr

の各行のコメントをはずす。

#tlsmgr   fifo  -       -       n       300     1       tlsmgr

ckme postfix/tlsmgr[19400]: fatal: unsupported transport type: fifo

tlsmgr    unix  -       -       n       1000?   1       tlsmgr

さらに、CA証明書をクライアントパソコンにインストールする。

まず、Linux上で

# openssl x509 -inform pem -in ./demoCA/cacert.pem -outform der -out ./demoCA/ca_example.der

できたca_example.derをクライアントパソコンに移し、インストールする。

dovecotのファイルを使ってお手軽設定（FC5）

FC4やFC5でdovecotをインストールすると

/etc/pki/dovecot/private/dovecot.pem  /etc/pki/dovecot/certs/dovecot.pem

にTLSに必要なファイルがすでにできている。（最新のdovecotではディレクトリの場所が違うので注意）これらをmain.cf内で指定してやれば、上記のような作業は不要である。具体的には、main.cf内に

smtpd_use_tls = yes  smtpd_tls_key_file = /etc/pki/dovecot/private/dovecot.pem  smtpd_tls_cert_file = /etc/pki/dovecot/certs/dovecot.pem

（FC4の場合は）

占星術ソフトウェア干支xファイル昏睡

smtpd_use_tls = yes  smtpd_tls_key_file = /etc/pki/dovecot/private/dovecot.pem  smtpd_tls_cert_file = /etc/pki/dovecot/dovecot.pem

を追加し、master.cf内の

smtps    inet  n       -       n       -       -       smtpd    -o smtpd_tls_wrappermode=yes -o smtpd_sasl_auth_enable=yes

と

tlsmgr    unix  -       -       n       1000?   1       tlsmgr

の各行のコメントをはずし、再起動すれば、postfixでTLSが使えるようになる。

サブミッションポートを用意する

master.cf内の下記の行のコメントを外す。

submission inet n       -       -       -       -       smtpd    -o smtpd_enforce_tls=yes    -o smtpd_sasl_auth_enable=yes    -o smtpd_client_restrictions=permit_sasl_authenticated,reject

OB25B対策

OB25Bがなされていて自サーバから直接送信できない場合は、プロバイダのメールサーバをル要する必要がある。
また、ダイナミックIPの場合、hotmailなどは受け付けない仕様になっているので、この場合もプロバイダなどの固定IPのメールサーバを経由する必要がある。なお、ダイナミックIPでのメールサーバの運用は基本的に推奨されない。

まず、main.cfに

relayhost = プロバイダのメールサーバ

を記述する。次に、現在のたいていのプロバイダではSMTP AUTHで認証してから送る形式になっている場合が多いが、その場合は下記を追加する。

smtp_sasl_auth_enable=yes  smtp_sasl_password_maps = hash:/etc/postfix/outgoingsmtpauth  smtp_sasl_security_options=noanonymous

次に、/etc/postfix/ディレクトリにoutgoingsmtpauthというファイルを新規作成し、エディタで

SMTPサーバー名 ユーザー名:パスワード

と記入したテキストファイルを作成する。なお、このファイルにはパスワードが直接書かれているので、

#chmod 640 /etc/postfix/outgoingsmtpauth

としておく。最後に

#postmap outgoingsmtpauth

として、postfix用のデータベースに変換して、postfixをreloadすればよい。

Dovecotの設定

Dovecotの設定は、postfixに比べるとはるかに簡単である。（ただし、仕様がまだ固まっていないようで、バージョンによって設定方法がかなり違うので注意。）

Fedoraの場合は

/etc/dovecot.conf

openSUSE 10.0の場合は、

/etc/dovecot/dovecot.conf

で全体の設定を行う。

dovecotは、Unixアカウントを使う場合、インストールした状態のデフォルトのままでほぼ動く。
ubuntu7.10では、プレーンテキスト認証はデフォルトではオフになっているので、メールクライアント側でSSLをオンにする必要がある。

openSUSE 10.0では、証明書が用意されていない場合、TLS関係で起動時にエラーが出るので、TLSをオフにする。

ssl_disable = yes

Dovecotの起動、停止

起動は

# /etc/init.d/dovecot start

停止は

# /etc/init.d/dovecot stop

コンピュータの起動時に自動起動するように設定するには、

# chkconfig dovecot on

TLSを使用する

DovecotではデフォルトでTLSが使用可能になっている。APOPを使用しても本文は暗号化されないので、メールソフトが対応しているならばTLSの使用を勧める。

TLSを使用可能にするには、下記の設定をする。

ssl_disable = no

FC4、FC5の場合は、証明書の正当性さえ気にしなければ、そのまま使える。openSUSE 10.0の場合は証明書がないので、postfixの項を参考にして、証明書を作成する必要がる。FC4の場合も証明書の検証でひっかからないようにするためには必要である。

ここではpostfixで作成した物をそのまま流用するとして、dovecot.confに下記のように書く。

ssl_key_file = /etc/postfix/mailkey.pem  ssl_cert_file = /etc/postfix/mail_signed_cert.pem

下記のパラメータはバージョン0.99ではサポートされていないようだ。

#ssl_ca_file = /etc/postfix/cacert.pem  #ssl_verify_client_cert = no

もし、TLSを使った接続以外を受け付けないようにしたいのなら

protocols = imap imaps pop3 pop3s

を

protocols = imaps pop3s

に書き換える。

クライアントからサーバがdovecotであることを隠す

メールクライアントソフトが、dovecotサーバに接続すると、最初に

+OK dovecot ready.

の様なメッセージが出るが、セキュリティを高めるために、これを消したい場合がある。これは、設定ファイルの中で、

login_greeting = POP3 ready.

のように書くことによって、変更することが出来る。

なおこれは、dovecotのバージョンが1以上で可。

APOPを使う

クライアントソフトが対応していないなどの理由で、TLSが使用できない場合、次善の策として、APOPを使用する。

dovecot.confのauth default内のmechanismsにapopを加える。

auth default {    mechanisms = plain apop       ....    }

なおこれは、dovecotのバージョンが1以上で可。

LDAPでユーザー管理をする

（現在、作成中）

postfixとLDAP

（現在、作成中）

まず、postfixとLDAPを連携する方法であるが、psotfixがLDAPをサポートしているか下記のコマンドを打ち込んで調べる。

# postconf -m
btree
cidr
environ
hash
ldap
nis
pcre
proxy
regexp
sdbm
static
tcp
unix

このように、出力の中にldapが含まれていれば、サポートされている。

DovecotとLDAP

（現在、作成中）

つぎに、DovecotとLDAPを連携する方法であるが、

複数のMXを設定して、バックアップサーバを設定する

DNSで複数のMX値を設定すると、優先度の高い（MX値の小さい）サーバがダウンした際に、別のサーバ（MX値の大きい）サーバに配送し、サーバが復旧した後に、そのサーバへ転送するようにすることができる。
これにより、サーバがダウンした際に、メールが配送不能エラーで相手に返っていくことを極力防ぐことができる。

MXの一番小さいサーバに関しては、MXが1しかない場合と同様に設定しておく。

次にバックアップサーバすなわちMXの大きなサーバであるが、リレーを設定すればとりあえず使える。

relay_domains = example.com

しかしながら、セキュリティを考慮すると、単にリレーするだけではだめである。
バックアップサーバも有効なユーザ名を把握している必要がある。理由は、スパム。すべてのユーザー名を受け入れてしまうと、存在しないユーザーが大量に存在するスパムを受け取った場合、大量のエラーメールが、送信者とされた人（たいていは偽物）のところへ行くことになる。そこで、次のように設定する。

次の行のコメントを外す。

relay_recipient_maps = hash:/etc/postfix/relay_recipients

/etc/postfix/relay_recipientsというファイル（テキストファイル）にリレーするユーザー名を書いていく。具体的には

fodummy

dummyのところは何でも良いが、何かを書かなければならない。

そして、

# postmap /etc/postfix/relay_recipients

と打つ。これでpostfixを再起動する。

トラブルシューティング

anvilに関する警告

ログファイル内に次のような警告が出る場合は、anvil行がmaster.cfに書いていない可能性がある。

May  9 16:15:50 ckme postfix/smtpd[10707]: warning: connect to private/anvil: Connection refused  May  9 16:15:50 ckme postfix/smtpd[10707]: warning: problem talking to server private/anvil: Connection refused  May  9 16:15:51 ckme postfix/smtpd[10707]: warning: connect to private/anvil: Connection refused  May  9 16:15:51 ckme postfix/smtpd[10707]: warning: problem talking to server private/anvil: Connection refused

master.cfに次の行を加える

anvil     unix  -       -       n       -       1       anvil

qmgrに関する警告

ログファイル内の次のような警告は、qmgrに新しいものを使ってくれと警告している。

May  9 16:29:56 ckme postfix/nqmgr[10996]: warning: please update the /etc/postfix/master.cf file; the new queue manager  May  9 16:29:56 ckme postfix/nqmgr[10996]: warning: (old name: nqmgr) has become the standard queue manager (new name: qmgr)  May  9 16:29:56 ckme postfix/nqmgr[10996]: warning: support for the name old name (nqmgr) will be removed from Postfix

master.cfに書いてあるnqmgrをqmgrに書き換える。

qmgr     fifo  n       -       n       300     1       nqmgr

を

qmgr      fifo  n       -       n       300     1       qmgr  

にする。

（おまけ）telnetでメールを送信する

telnetを使って、直接コマンドをたたいてメールを送信する方法を示す。

赤い太字が入力するコマンド、白い太字部分はそれぞれ書き換えてください。以下はfohogehoge"という内容のメールを送信する例。

$ telnet localhost 25
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
220 example.com ESMTP Postfix
HELO example.com
250 example.com
MAIL FROM:fo/strong>
250 Ok
RCPT TO:bo/strong>
250 Ok
DATA
354 End data with .
hogehoge
.
250 Ok: queued as 76694DCCE
quit
221 Bye
Connection closed by foreign host.