Ky6uk's Blog » Debian http://ky6uk.org Очередной прыщебложик... :3 Wed, 02 Nov 2011 20:49:51 +0000 en hourly 1 http://wordpress.org/?v= Почтовый SMTP / IMAP сервер своими руками. http://ky6uk.org/pochtovyj-smtp-imap-server-svoimi-rukami?utm_source=rss&utm_medium=rss&utm_campaign=pochtovyj-smtp-imap-server-svoimi-rukami http://ky6uk.org/pochtovyj-smtp-imap-server-svoimi-rukami#comments Sun, 09 Jan 2011 21:10:10 +0000 Ky6uk http://ky6uk.org/?p=914 Давненько я не писал в свой уютненький ничего полезного. Вернее, не писал сюда вообще ничего. Думаю, что пришло время это изменить.

За прошедшее время набралось по крайней мере три темы, которые я хотел бы осветить в блоге. Начать решил с установки и настройки своего полноценного почтового сервера на связке Postfix + Dovecot + MySQL в системе Debian Squeeze.

Оглавление

Инструментарий ↑

В качестве MTA я выбрал Postfix по нескольким причинам: мне он показался самым простым в настройке, обладающим всем необходимым функционалом, активно разрабатывается, имеет хорошую документацию и, самое главное, умеет работать с Dovecot из коробки.

MDA был выбран Dovecot за свою хорошую документацию, простоту конфигурирации и возможность тесно работать с Postfix.

Чтобы обеспечить максимальную гибкость, я решил связать почтовую систему с базой данных. Трудностей в выборе СУБД не возникло, так как и Postfix и Dovecot могут работать практически с любой хорошо известной (PostgreSQL, SQLite, MySQL). Здесь я взял первое что пришло в голову — MySQL.

С выбором операционной системы в которой все это дело будет работать проблемы так же не появилось. Выбрать я мог одно из двух: Debian или Ubuntu, с которыми я достаточно хорошо знаком. Debian был проверен временем и все необходимое для настройки было в репозиториях, поэтому я остановился на нем. Squeeze — потому, что stable морально устарел, а testing уже несколько месяцев в заморозке перед релизом.

Подготовка ↑

Установим необходимые пакеты:

~$ sudo aptitude install postfix postfix-mysql dovecot-imapd mysql-server

Подготовим mysql:

-- создаем нового пользователя mailuser@localhost с паролем mailpassword
CREATE USER 'mailuser'@'localhost' IDENTIFIED BY 'mailpassword';

-- создадим базу данных mailserver
CREATE DATABASE IF NOT EXISTS `mailserver`;

-- дадим созданному пользователю все права на созданную БД
GRANT ALL PRIVILEGES ON `mailserver`.* TO 'mailuser'@'localhost';

-- выбираем созданную БД
USE mailserver;

-- создаем таблицу для хранения виртуальных доменов
CREATE TABLE `virtual_domains` (
id INT NOT NULL AUTO_INCREMENT PRIMARY KEY,
name VARCHAR( 50 ) NOT NULL
) ENGINE = INNODB;

-- создаем таблицу для виртуальных пользователей
CREATE TABLE `virtual_users` (
id INT( 11 ) NOT NULL AUTO_INCREMENT PRIMARY KEY,
domain_id INT( 11 ) NOT NULL,
user VARCHAR( 40 ) NOT NULL,
PASSWORD VARCHAR( 32 ) NOT NULL,
CONSTRAINT UNIQUE_EMAIL UNIQUE (
domain_id,
user
),
FOREIGN KEY ( domain_id ) REFERENCES virtual_domains( id ) ON DELETE CASCADE
) ENGINE = INNODB;

-- создаем таблицу для хранения виртуальных алиасов
CREATE TABLE `virtual_aliases` (
id INT( 11 ) NOT NULL AUTO_INCREMENT PRIMARY KEY,
domain_id INT( 11 ) NOT NULL,
source VARCHAR( 40 ) NOT NULL,
destination VARCHAR( 80 ) NOT NULL,
FOREIGN KEY ( domain_id ) REFERENCES virtual_domains( id ) ON DELETE CASCADE
) ENGINE = INNODB;

-- создаем виртуальную таблицу с пользовательскими аккаунтами
CREATE VIEW `view_users` AS SELECT CONCAT(virtual_users.user, '@', virtual_domains.name ) AS email, virtual_users.password
FROM virtual_users
LEFT JOIN virtual_domains ON virtual_users.domain_id = virtual_domains.id;

-- создаем виртуальную таблицу с алиасами
CREATE VIEW `view_aliases` AS SELECT CONCAT( virtual_aliases.source, '@', virtual_domains.name ) AS email, destination
FROM virtual_aliases
LEFT JOIN virtual_domains ON virtual_aliases.domain_id = virtual_domains.id;

Первичная настройка Postfix ↑

Создадим файл /etc/postfix/mysql_virtual_domains.cf со следующим содержанием:

user = mailuser
password = mailpassword
hosts = 127.0.0.1
dbname = mailserver
query = SELECT 1 FROM virtual_domains WHERE name='%s'

Добавим в файл /etc/postfix/main.cf опцию virtual_mailbox_domains.
Эта опция проверяет список доменов с которыми Postfix может работать. В данном случает результат будет взят из MySQL:

virtual_mailbox_domains = mysql:/etc/postfix/mysql_virtual_domains.cf

Добавим в базу новый виртуальный домен:

INSERT INTO virtual_domains (name) VALUES ('example.com');

Если все настроено верно, то следующая команда выдаст в качестве результата единицу:

~$ sudo postmap -q example.com mysql:/etc/postfix/mysql_virtual_domains.cf

Создадим файл /etc/postfix/mysql_virtual_maps.cf:

user = mailuser
password = mailpassword
hosts = 127.0.0.1
dbname = mailserver
query = SELECT 1 FROM view_users WHERE email='%s'

Добавим в файл /etc/postfix/main.cf опцию virtual_mailbox_maps.
Эта опция проверяет существование почтовых адресов на сервере:

virtual_mailbox_maps = mysql:/etc/postfix/mysql_virtual_maps.cf

Добавим в базу нового пользователя username с паролем password на домене example.com:

INSERT INTO `virtual_users` (domain_id, user, password) VALUES (1, 'username', MD5('password'));

Проверим результат:

~$ sudo postmap -q username@example.com mysql:/etc/postfix/mysql_virtual_maps.cf

Создадим файл /etc/postfix/mysql_virtual_alias_maps.cf:

user = mailuser
password = mailpassword
hosts = 127.0.0.1
dbname = mailserver
query = SELECT destination FROM view_aliases WHERE email='%s'

Добавим в файл /etc/postfix/main.cf опцию virtual_alias_maps.
Эта опция получает список адресов на которые будет пересылаться вся корреспонденция:

virtual_alias_maps = mysql:/etc/postfix/mysql_virtual_alias_maps.cf

Добавим в базу новый алиас для только что созданного почтового ящика:

INSERT INTO `virtual_aliases` ( domain_id, source, destination )
VALUES ( 1, 'username', 'copy@example.com' );

и проверим результат:

~$ sudo postmap -q username@example.com mysql:/etc/postfix/mysql_virtual_alias_maps.cf

Теперь укажем Postfix использовать Dovecot в качестве локального агента доставки почты.
Для этого добавим следующие строки в /etc/postfix/master.cf:

dovecot unix - n n - - pipe
flags=DRhu user=nobody:nogroup argv=/usr/lib/dovecot/deliver -d ${recipient}

Так же добавим в /etc/postfix/main.cf:

virtual_transport = dovecot
dovecot_destination_recipient_limit = 1

Настройка Dovecot ↑

Файл конфигурации /etc/dovecot/dovecot.conf в общем виде:

# протоколы, с которыми будет работать Dovecot
protocols = imap imaps

# директория, куда будет складываться почта
# %d - имя домена, %n - имя пользователя
mail_location = maildir:/var/spool/virtual/%d/%n

# настройка авторизации
auth default {
# механизмы авторизации
mechanisms = plain login

# получает адрес и пароль из БД для авторизации
passdb sql {
# файл, в котором описывается подключение к БД и сам запрос
args = /etc/dovecot/dovecot-sql.conf
}

# права на директорию с почтой
userdb static {
args = uid=65534 gid=65534 home=/var/spool/virtual/%d/%n allow_all_users=yes
}

# сетевые настройки аутентификации
socket listen {
# для аутентификации подключений к самому Dovecot
master {
path = /var/run/dovecot/auth-master
mode = 0600
user = nobody
}

# для аутентификации внешних приложений ( у нас для Posfix )
client {
path = /var/spool/postfix/private/auth
mode = 0660
user = postfix
group = postfix
}
}
}

# настройка локального агента доставки почты
protocol lda {
# путь до сокета для авторизации
auth_socket_path = /var/run/dovecot/auth-master

# адрес администратора почтового сервера
postmaster_address = postmaster@example.com
}

Файл с описанием подключения к БД для получения данных о пользователе /etc/dovecot/dovecot-sql.conf:

# используем подключение к MySQL
driver = mysql

# параметры MySQL авторизации
connect = host=127.0.0.1 dbname=mailserver user=mailuser password=mailpassword

# формат, в которых хранятся пароли в БД ( у нас это MD5 )
default_pass_scheme = PLAIN-MD5

# запрос, возвращающий пользователя и пароль
password_query = SELECT email as user, password FROM view_users WHERE email='%u';

И не забываем включить сам сервис Dovecot, указав в файле /etc/default/dovecot:

ENABLED=1

Иначе он не будет запускаться.

Заключительная настройка Postfix ↑

Так как авторизация пользователей Postfix у нас производится с помощью Dovecot, то добавим следующие строки в /etc/postfix/main.cf:

smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes

Так же добавим некоторые правила фильтрации почты, чем отбросим большую часть спам-ботов и им сочувствующих.
Добавим в /etc/postfix/main.cf:

smtpd_client_restrictions =
permit_mynetworks
permit_sasl_authenticated
reject_unknown_client_hostname

smtpd_helo_restrictions =
permit_mynetworks
permit_sasl_authenticated
reject_invalid_helo_hostname
reject_non_fqdn_helo_hostname
reject_unknown_helo_hostname

smtpd_sender_restrictions =
permit_mynetworks
permit_sasl_authenticated
reject_non_fqdn_sender
reject_unknown_sender_domainАга,
reject_unverified_sender

smtpd_recipient_restrictions =
permit_mynetworks
permit_sasl_authenticated
reject_non_fqdn_recipient
reject_unlisted_recipient
reject_unauth_destination

Заключение ↑

Теперь можно смело перезапустить наши сервисы:

~$ sudo invoke-rc.d dovecot restart
~$ sudo invoke-rc.d postfix restart

Вся информация по работе почтовой системы логируется в файлы:

/var/log/mail.log
/var/log/mail.err
/var/log/mail.warn
/var/log/mail.info

Что еще можно сделать с сервером? Скажу, что целую массу полезного и интересного. Из того, что вспомнил, могу предложить проверку на вирусы с помощью ClamAV, «серые» списки с помощью Postgrey, фильтрацию спама с помощью SpamAssassin, Web-клиент для работы с почтой типа RoundCube и многое другое. О части из перечисленного я планирую рассказать, но когда это будет — неизвестно даже мне. :)

Любые предложения и замечания жду в комментариях.

Используемые ресурсы ↑

Дополнения ↑

Описание используемых флагов smtpd_*_restrictions

permit_mynetworks — разрешает любые запросы с IP адресов, указанных в параметре mynetworks.

permit_sasl_authenticated — разрешает любые запросы для пользователей, успешно прошедших аутентификацию на сервере.

reject_unknown_client_hostname — отклоняет все запросы от клиента в одном из трех случаев:

  1. IP адрес клиента не имеет PTR записи на DNS.
  2. Доменное имя клиента не имеет A записи на DNS.
  3. А запись клиента не соответствует его IP адресу.

reject_invalid_helo_hostname — отклоняет запросы от клиентов с неверным FQDN в HELO запросе.

reject_non_fqdn_helo_hostname — отклоняет клиентов с не FQDN в HELO запросе.

reject_unknown_helo_hostname — отклоняет клиентов с неизвестным FQDN в HELO запросе.

reject_non_fqdn_sender — отклоняет клиентов с не FQDN в адресе отправителя.

reject_unknown_sender_domain — отклоняет клиентов с неизвестным FQDN в адресе отправителя.

reject_unverified_sender — проверяет существование адреса отправителя на его сервере и отклоняет запрос если проверка не удалась

reject_non_fqdn_recipient — отклоняет клиентов с не FQDN в адресе получателя.

reject_unlisted_recipient — отклоняет запрос если получатель не существует.

reject_unauth_destination — отклоняет запросы от неавторизованных пользователей сервера.

Утилиты

Для упрощения работы с данным почтовым сервером я написал несколько небольших скриптов.
Взять их можно тут git://github.com/Ky6uk/scripts.git

Похожие статьи

]]> http://ky6uk.org/pochtovyj-smtp-imap-server-svoimi-rukami/feed 24 Использование нескольких SSH ключей http://ky6uk.org/ispolzovanie-neskolkix-ssh-klyuchej?utm_source=rss&utm_medium=rss&utm_campaign=ispolzovanie-neskolkix-ssh-klyuchej http://ky6uk.org/ispolzovanie-neskolkix-ssh-klyuchej#comments Sat, 31 Jul 2010 19:36:52 +0000 Ky6uk http://ky6uk.ugatu.net/?p=867 Порой бывает необходимо иметь несколько различных ключей для авторизации на разных серверах. Вот и у меня возникла похожая ситуация.

Единственный ключ

1. Генерируем пару ключей

~$ ssh-keygen -t rsa -f ~/.ssh/id_rsa -C "My RSA key"

2. Копируем публичную часть ключа на удаленный сервер

~$ ssh-copy-id user@remote

3. Настраиваем на удаленном сервере авторизацию по ключу

Обычно авторизация по ключу включена автоматически. Просто попробуйте зайти на удаленный хост через SSH и проверить это.

Если авторизация по публичному ключу отключена, то необходимо включить её. В файле /etc/ssh/sshd_config на сервере должны присутствовать следующие строки:

RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile %h/.ssh/authorized_keys

На этом все. Теперь на сервер можно попасть через SSH без пароля, используя приватную часть авторизованного ключа.

Несколько ключей

При использовании нескольких ключей необходимо произвести все вышеперечисленные действия с небольшими отличиями.

1. Генерируем пары ключей в разные файлы

~$ ssh-keygen -t rsa -f ~/.ssh/id_rsa.work -C "My key for Work"
~$ ssh-keygen -t rsa -f ~/.ssh/id_rsa.home -C "My key for Home"

2. Копируем публичные части на удаленные сервера

~$ ssh-copy-id -i ~/.ssh/id_rsa.work.pub user@work
~$ ssh-copy-id -i ~/.ssh/id_rsa.home.pub user@home

3. Настраиваем удаленные сервера как показано выше

4. Настраиваем на нашем компьютере SSH авторизацию

Создадим файл конфигурации SSH клиента:

~$ touch ~/.ssh/config
~$ chmod 600 ~/.ssh/config

И добавим в него информацию о наших удаленных хостах:

Host my.work
    IdentityFile ~/.ssh/id_rsa.work

Host *.home
    IdentityFile ~/.ssh/id_rsa.home
    User root
    Port 44

Теперь на указанные сервера можно заходить через SSH без ввода пароля, причем для каждого хоста будет использоваться соответствующий файл ключа.

Используемый материал

UPD: Благодаря товарищу kstep с ресурса welinux.ru открыл для себя скрипт ssh-copy-id, который производит копирование и установку публичного ключа на удаленный хост автоматически. Заметка соответствующим образом изменена.

Похожие статьи

]]> http://ky6uk.org/ispolzovanie-neskolkix-ssh-klyuchej/feed 1 VTun: организация VPN между двумя точками http://ky6uk.org/vtun-organizaciya-vpn-mezhdu-dvumya-tochkami?utm_source=rss&utm_medium=rss&utm_campaign=vtun-organizaciya-vpn-mezhdu-dvumya-tochkami http://ky6uk.org/vtun-organizaciya-vpn-mezhdu-dvumya-tochkami#comments Mon, 12 Jul 2010 19:39:15 +0000 Ky6uk http://ky6uk.ugatu.net/?p=814 Имеем задачу: организовать безопасное соединение между двумя удаленными узлами сети. Сделать это можно с помощью VPN между этими узлами. Для решения подобных задач существует множество протоколов, таких как PPTP, GRE, L2TP, IPSec, PPPoE, OpenVPN и т.п..

Лично мне для решения этой задачи знакомый сисадмин посоветовал использовать VTun. Так как на обоих узлах в качестве ОС установлен Linux, то VTun будет удобным и простым решением.

В возможности VTun входит шифрование трафика, шейпинг, компрессия. Из вариантов туннелирования VTun поддерживает IP (tun), Ethernet (ether), tty и pipe туннели. Всего вышеперечисленного более чем достаточно для решения задачи. В дополнении к возможностям, VTun крайне прост в настройке, которая состоит из одного единственного конфигурационного файла.

И так, приступим. Первый узел — компьютер с Debian 5.0 на борту, на втором установлена Ubuntu Server 10.04. И там, и там в репозиториях есть VTun версии 3.0.2 и ядро, включающее в себя драйвер виртуального tun-интерфейса.

Установим vtun на обеих машинах консольной командой

~$ sudo aptitude install vtun

Теперь сконфигурируем один компьютер как vtun-сервер, а другой как vtun-клиент. Первому условно дадим имя «SERVER», второму «CLIENT», — так будет понятнее.

SERVER

Файл конфигурации /etc/vtund.conf
# глобальные настройки
options {
    ifconfig /sbin/ifconfig; # путь до утилиты ifconfig
}

# конфигурация хоста (client - название)
# название хоста на клиенте и сервере должны совпадать
client {
    encrypt yes;    # включаем шифрование соединения
    compress no;    # отключаем сжатие трафика
    passwd secret;  # пароль для авторизации клиента
    type tun;       # тип туннеля (в данном случае IP-туннель)
    keepalive yes;  # поддерживаем соединение
    stat yes;       # включаем учет статистики интерфейса
    proto udp;      # используемый протокол

    # список команд, запускаемых после создании туннеля
    up {
        # прописываем настройки интерфейса, %% - имя интерфейса
        ifconfig "%% 192.168.200.1 pointopoint 192.168.200.2";
    };

    # список команд, запускаемых после отключении туннеля
    down {
        ifconfig "%% down"; # опускаем интерфейс
    };
}
Файл конфигурации /etc/default/vtun
# указываем, что vtun должен запускаться как демон
RUN_SERVER=yes

CLIENT

Файл конфигурации /etc/vtund.conf
options {
    ifconfig /sbin/ifconfig;
}

client {
    passwd secret; # пароль
    persist yes;   # пытаться подключиться при потере соединения

    up {
        ifconfig "%% 192.168.200.2 pointopoint 192.168.200.1";
    };

    down {
        ifconfig "%% down";
    };
}
Файл конфигурации /etc/default/vtun
CLIENT0_NAME=client     # имя клиента
CLIENT0_HOST=server.tld # реальный адрес vtun-сервера

Как видно выше, конфиги получились очень простые. Для лучшего понимания я добавил комментарии. Дополнительную информацию по настройке VTun всегда можно получить из документации.

После того как конфигурация будет окончена необходимо запустить vtun на обеих машинах командой

~$ sudo invoke-rc.d vtun start

На сервере и клиенте появятся виртуальные интерфейсы tun0 с адресами 192.168.200.1 и 192.168.200.2 соответственно.

Интерфейсы появились, адреса назначены — VPN работает как надо. Теперь можно работать с удаленным узлом через виртуальный интерфейс tun0, используя присвоенный ему IP-адрес.

Таким образом, с помощью VTun можно создавать большие и сложные виртуальные сети, объединять в одну большую сеть разрозненные локальные и так далее. Возможно, в следующей статье я напишу об объединении нескольких локальных сетей в одну большую виртуальную. Следите за обновлениями.

Похожие статьи

]]> http://ky6uk.org/vtun-organizaciya-vpn-mezhdu-dvumya-tochkami/feed 0 Отправка писем в Debian http://ky6uk.org/use-exim4-sendmail-on-debian?utm_source=rss&utm_medium=rss&utm_campaign=use-exim4-sendmail-on-debian http://ky6uk.org/use-exim4-sendmail-on-debian#comments Wed, 17 Jun 2009 07:50:42 +0000 Ky6uk http://ky6uk.ugatu.net/?p=44 Имея в своем распоряжении машину с выходом в интернет и хостящимися на ней несколькими сайтами, задался вопросом отправки писем на внешку. Требовалось это много для чего, в основном для отправки писем с подтверждением регистраций и т.п.. Проблема заключалась в том, что на этой машине не был настроен почтовый сервер.

Немного погуглив нашел статью по настройке отправки email-уведомлений от cron. Прочитав понял, что отправка писем на e-mail в Debian делается за какую-то минуту. На момент написания статьи это был Debian Lenny.

Для начала убедимся, что утилиту sendmail заменяет exim4 из базовой поставки Debian:

$ stat /usr/sbin/sendmail
  File: `/usr/sbin/sendmail' -> `exim4'

Если у вас sendmail так же как и у меня является ссылкой на exim4, то все в порядке и можно начинать настройку последнего. По-умолчанию exim4 работает только с локальной почтой. Для того, что бы он отправлял письма и во внешку, необходима небольшая перенастройка. Делается это одной простой командой.

$ sudo dpkg-reconfigure exim4-config

После этого вам начнут задавать вопросы. Поэтапно на них отвечаем:

  1. Общий тип почтовой конфигурации указываем интернет-сайт; прием и отправка почты напрямую, используя SMTP
  2. В почтовое имя системы указываем имя вашего хоста. У меня это ugatu.net
  3. IP-адреса, с которых следует ожидать входящие соединения SMTP я указал 127.0.0.1 так как мне пока не требуется принимать почту. Требуется только отправлять.
  4. Другие места назначения, для которых должна приниматься почта я указал локальное имя хоста. Хотя, судя по описанию, оно и так добавляется к указываемому тут списку. Полагаю, можно оставить пустым.
  5. Домены, для которых доступна релейная передача почты я оставил пустым.
  6. Машины, для которых доступна релейная передача почты так же оставил пустым.
  7. Сокращать количество DNS-запросов до минимума имеет смысл ставить если у вас дорогой dial-up, который необходимо перезванивать для доступа к DNS-серверу. У меня выделенный канал, поэтому записывать DNS-запросы в журнал смысла нет. Отвечаем отрицательно.
  8. Метод доставки локальной почты можно указать любой. Но в Debian есть множество утилит, настроенных на работу с mbox для доставки локальной почты. Оставим как есть mbox формат в /var/mail/
  9. Разделить конфигурацию на маленькие файлы тоже не имеет смысла включать, если вы не собираетесь заниматься тонкой настройкой exim4. Последуем совету Debian и ответим отрицательно.

Вот собственно и все настройки. После вышеописанной процедуры отправка почты заработала на «Ура».

Хочу добавить, что это лишь поверхностная настройка exim4 для отправки писем в качестве утилиты sendmail. Довольно часто на серверах встречается уже готовая почтовая система как с отправкой, так и с получением почты. Если вам необходимо полностью настроить почтовый сервер для работы с электронной корреспонденцией, то советую почитать соответствующие статьи.

Похожие статьи

]]> http://ky6uk.org/use-exim4-sendmail-on-debian/feed 11