Настройка связки Postfix, Courier-Imap и LDAP. (ldap mail postfix auth imap)
Ключевые слова: ldap, mail, postfix, auth, imap, (найти похожие документы)
From: Сыктывкарское сообщество UNIX
Date: Mon, 20 Sep 2004 18:21:07 +0000 (UTC)
Subject: Настройка связки Postfix, Courier-Imap и LDAP.
Оригинал: http://www.unix.nordcomp.ru/articles.html?page=2&id=12
Введение.
---------
Целью данного HOW-TO является создание легко управляемой и
масштабируемой почтовой системы, все записи о пользователях которой
хранятся в LDAP.
Описываемый процесс установки производился на Linux Mandrake 9.1.
Сразу хотелось бы отметить, что поставляемые с этим дистрибутивом
rpm-пакеты postfix'а и courier-imap'а не подойдут. К сожалению, после
многих попыток было обнаружено, что настроить их на нормальную работу
по данной схеме невозможно. Симптомы следующие: Postfix в логах
ругался, что не может выложить почту в Maildir пользователя, якобы
доступ на запись запрещён, а courier-imap в свою очередь всегда
отказывал в доступе, ссылаясь на неправильный пароль. После установки
postfix и courier-imap из сырцов с абсолютно той же конфигурацией
вышеуказаные проблемы исчезли. Оставим это на совести сборщиков
дистрибутива и перейдём к описанию процесса настройки.
OpenLDAP
Установка
OpenLDAP был установлен из rpm'ов, поставляемых с дистрибутивом и был
признан годным к употреблению. При желании можно было собрать также из
сырцов, но так как данная сборка работала вполне корректно, то я
оставил её как есть. В целом потребовались следующие пакеты:
· openldap-2.0.27-5.3md
· openldap-guide-2.0.27-5.3m
· openldap-clients-2.0.27-5.3md
· openldap-servers-2.0.27-5.3md
· libldap2-2.0.27-5.3mdk
· libldap2-devel-2.0.27-5.3mdk
· libldap2-devel-static-2.0.27-5.3mdk
development-пакеты openldap потребуются при сборке postfix из сырцов.
Конфигурация
/etc/openldap/slapd.conf - конфигурационный файл сервиса slapd
# Включите данные схемы
include /usr/share/openldap/schema/core.schema
include /usr/share/openldap/schema/cosine.schema
include /usr/share/openldap/schema/corba.schema
include /usr/share/openldap/schema/inetorgperson.schema
include /usr/share/openldap/schema/nis.schema
include /usr/share/openldap/schema/openldap.schema
include /usr/share/openldap/schema/qmail.schema
# Последняя схема была найдена среди исходников courier-imap, и я посчитал
# необходимым включить её в slapd.conf.
include /etc/openldap/schema/authldap.schema
pidfile /var/run/ldap/slapd.pid
argsfile /var/run/ldap/slapd.args
modulepath /usr/lib/openldap
database ldbm
suffix "dc=home,dc=ru"
rootdn "cn=root,dc=home,dc=ru"
# Пароль rootpw лучше всего указывать в зашифрованном виде.
# Для генерации шифрованного пароля используйте утилиту slappasswd
# Например: slappaswd -h {MD5}
rootpw {MD5}6Q2kox8osDMVzi5zSKI6YQ==
directory /var/lib/ldap
index objectClass,uid,uidNumber,gidNumber eq
index cn,mail,surname,givenname eq,subinitial
# logging
loglevel 256
# Basic ACL
access to attr=userPassword
by self write
by anonymous auth
by dn="cn=courier,ou=daemons,dc=home,dc=ru" read
by * none
access to attr=accountStatus
by dn="cn=courier,ou=daemons,dc=home,dc=ru" read
by dn="cn=postfix,ou=daemons,dc=home,dc=ru" read
access to *
by * read
В принципе это основные моменты конфигурационного файла. Можно
несколько усложнить конфигурацию: настроить более сложные правила
доступа к LDAP-записям и т.д. Но это можно сделать позднее при
необходимости. Главное, что текущей настройки достаточно для
нормального запуска OpenLDAP. Если возникнут какие-либо проблемы,
внимательно изучите логи, обычно там находится вся необходимая
информация.
Запускается ldap простой командой: service ldap start
В сборке от Mandrake OpenLDAP запускается под непривелегированным
пользователем ldap. Это следует учесть, если вы будете собирать
OpenLDAP из сырцов, обязательно создайте пользователя и группу ldap,
дайте этому пользователю права на запись в каталог /var/lib/ldap и
запускайте демон slapd с параметрами: -u ldap -g ldap. Запускать slapd
от суперпользователя, как говорит Григорий, "дурной тон"...
/etc/ldap.conf
host 127.0.0.1
base dc=home,dc=ru
ldap_version 3
rootbinddn cn=root,dc=home,dc=ru
scope one
pam_filter objectclass=posixAccount
pam_login_attribute uid
pam_member_attribute gid
pam_password crypt
nss_base_passwd ou=Users,dc=home,dc=ru?one
nss_base_shadow ou=Users,dc=home,dc=ru?one
ssl off
Данный файл является конфигурацией ldap-клиента.
Добавление записей в LDAP
В LDAP будут хранится записи структуры каталога и пользовательских
записей. Всё это можно представить в виде древовидной структуры:
dc=home,dc=ru-+
|
+- ou = users -+
| |
| +- uid = crux
|
+- ou = mailusers -+
| |
| +- uid = crux
|
+- ou = daemons -+
|
+- cn = postfix
|
+- cn = courier
Т.е. имеется главный контейнер "home.ru". Далее выделяются контейнеры
ou=users - где будут хранится описания пользователей (типа адресной
книги), ou=mailusers - вся информация по почтовым пользователям
(адреса, мыло, локальное хранилище почты и т.д.), ou=daemons -
ldap-пользователи сервисов postfix и courier-imap (именно под данными
пользователями указанные сервисы будут подключаться к ldap-серверу для
получения необходимой им информации). В принципе, можно было обойтись
без контейнера mailusers, а всю необходимую информацию включить в
аттрибуты пользователей контейнера ou=users. Но в будущем мне может
потребоваться помимо пользователей почты включить также пользователей
Samba, Squid. При миграции аккаунтов возможны совпадения логинов
различных пользователей, также для некоторых пользователей было бы
желательно иметь различные пароли для разных сервисов. Поэтому такая
схема (может быть некорректная с точки зрения теории) достаточно гибка
и позволит мне без проблем проводить миграцию пользовательских учётных
записей любых сервисов в LDAP.
Переложим данную структуру в ldif-файлы:
Базовое дерево:
#base.ldif
dn: dc=home,dc=ru
objectClass: dcObject
dc: home
dn: ou=Users,dc=home,dc=ru
objectClass: organizationalUnit
ou: Users
description: Home Users
dn: ou=mailusers, dc=home, dc=ru
objectclass: top
objectclass: organizationalunit
ou: mailusers
description: users with mailaccounts at my home.
dn: ou=daemons, dc=home, dc=ru
objectclass: top
objectclass: organizationalunit
ou: daemons
description: daemons thats connect to LDAP
Добавим пользователей:
#users.ldif
dn: uid=crux,ou=Users,dc=home,dc=ru
uid: crux
cn: Lettiev V.V.
cn: Vladimir Lettiev
sn: Admin
givenName: Vladimir
title: Systems Administrator
mail: [1][email protected]
telephoneNumber: 24-55-07
objectClass: Person
objectClass: OrganizationalPerson
objectClass: inetOrgPerson
dn: uid=crux,ou=mailusers,dc=home,dc=ru
uid: crux
cn: Lettiev V.V.
mail: [2][email protected]
mail: [3][email protected]
mail: [4][email protected]
uidNumber: 1000
gidNumber: 1000
mailHost: mail.home.ru
homeDirectory: /var/imap/home/crux
mailMessageStore: /var/imap/home/crux/Maildir
mailQuota: 200000000S, 20000C
mailbox: crux/Maildir/
objectClass: qmailuser
objectClass: couriermailaccount
userPassword: {MD5}d+HKEvhLk8ZqwCRTrp574g==
accountStatus: active
mailForwardingAddress: [5][email protected]
dn: cn=postfix,ou=daemons,dc=home,dc=ru
objectClass: top
objectClass: person
cn: postfix
sn: postfix
userPassword: {crypt}lT3u7UFC2hdWA
dn: cn=courier,ou=daemons,dc=home,dc=ru
objectClass: top
objectClass: person
cn: courier
sn: courier
userPassword: {crypt}hjUyfu886SJhA
Теперь необходимо записать эти данные в LDAP-каталог. Выполнятеся это
следующей последовательностью команд:
# ldapadd -W -x -D "cn=root,dc=home,dc=ru" -f base.ldif
# ldapadd -W -x -D "cn=root,dc=home,dc=ru" -f users.ldif
Если всё прошло гладко и сообщений об ошибках не поступило, то можно
переходить к следующему этапу.
Postfix
MTA Postfix считается одним из самых безопасных, надёжным и простым в
настройке почтовым сервисом. В данном примере используется версия 2.0.10.
Установка
$ tar -xzf postfix-2.0.10.tar.gz
$ cd postfix-2.0.10
Соберём makefiles с поддержкой LDAP ( devel-файлы LDAP должны
находится в /usr/include, а библиотеки в /usr/lib )
$ make makefiles CCARGS="-I/usr/include -DHAS_LDAP" \
AUXLIBS="-L/usr/lib -lldap -L/usr/lib -llber"
$ make
Теперь надо создать пользователя postfix и группу postdrop (или
убедится, что они уже есть)
# groupadd postdrop
# adduser -s /bin/false -G postdrop -d /var/spool/postfix postfix
Теперь можно выполнить инсталляцию postfix
# make install
По ходу инсталяции будут задаваться вопросы, касаемые местоположения
разных компонентов системы, фактически можно просто нажимать Enter,
всё что предлагается по умолчанию вполне удобно.
Конфигурация
/etc/postfix/main.cf
queue_directory = /var/spool/postfix
command_directory = /usr/sbin
daemon_directory = /usr/libexec/postfix
mail_owner = postfix
# Имя нашего MAIL хоста
myhostname = mail.home.ru
mydomain = home.ru
myorigin = $mydomain
inet_interfaces = all
# Получать почту для доменов mail.home.ru и home.ru
mydestination = $myhostname, $mydomain
unknown_local_recipient_reject_code = 450
# Сеть, которой мы доверяем
mynetworks = 192.168.1.0/24, 127.0.0.0/8
biff = no
# Доставка для виртуальных доменов
local_transport = virtual
local_recipient_maps = $virtual_mailbox_maps
message_size_limit = 10280000
mailbox_size_limit = 20480000
# Вся почта пользователей будет принадлежать одному пользователю
# (например, vmail), с uid=1001 и gid=1001
virtual_uid_maps = static:1001
virtual_gid_maps = static:1001
virtual_recipient_maps = ldap:ldapsource
virtual_mailbox_size_limit = ldap:ldapquota
virtual_minimum_uid = 500
# Корневая папка, внутри которой будет хранится вся почта пользователей
virtual_mailbox_base =/var/imap/home
virtual_result_attribute = mailbox
virtual_mailbox_maps = ldap:ldapsource
virtual_maildir_extended = yes
ldapquota_timeout = 10
ldapquota_server_host = localhost
ldapquota_search_base = ou=mailusers,dc=home,dc=ru
ldapqouta_server_port = 389
ldapqouta_domain = home.ru, mail.home.ru
ldapquota_query_filter = (&(mail=%s)(accountstatus=active))
ldapquota_result_attribute = mailquota
# Параметры подключения к LDAP (юзер и пароль)
ldapquota_bind = yes
ldapquota_bind_dn = cn=postfix,ou=daemons,dc=home,dc=ru
ldapquota_bind_pw = secretpass
ldapsource_timeout = 10
ldapsource_server_host = localhost
ldapsource_search_base = ou=mailusers,dc=home,dc=ru
ldapsource_server_port = 389
ldapsource_domain = home.ru, mail.home.ru
ldapsource_query_filter = (&(mail=%s)(accountstatus=active))
ldapsource_result_attribute = mailbox
# Параметры подключения к LDAP (юзер и пароль)
ldapsource_bind = yes
ldapsource_bind_dn = cn=postfix,dc=home,dc=ru
ldapsource_bind_pw = secretpass
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
smtpd_banner = $myhostname ESMTP $mail_name ($mail_version) (Mandrake Linux)
debug_peer_level = 4
debugger_command =
PATH=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/bin
xxgdb $daemon_directory/$process_name $process_id & sleep 5
delay_warning_time = 4
sendmail_path = /usr/sbin/sendmail
newaliases_path = /usr/bin/newaliases
mailq_path = /usr/bin/mailq
setgid_group = postdrop
manpage_directory = /usr/local/man
В данной конфигурации postfix будет доставлять почту виртуальным
пользователям, т.е. фактически пользователи не существуют в системе,
они присутствуют лишь в LDAP. Местоположение Maildir какалога
определяется атрибутом mailbox пользователя. Вся почта пользователей
будет принадлежать одному реальному пользователю
vmail(uid=1001,gid=1001). Почтовая квота также определяется из
атрибута пользователя mailQuota. Можно также было производить поиск
alias'ов из LDAP-каталога, но в данном случае это излишне, потому что
alias'ы прописываются пользователям в качестве дополнительных
атрибутов mail.
Можно проверить конфигурацию postfix (команда: postfix check), если
же не появились сообщения об ошибках, то это значит, что всё ок и
можно запустить Postfix (команда postfix start).
Тестирование
Необходимо создать пользователя vmail и хранилище почты:
# mkdir -p -m 0700 /var/imap/home
# addgroup -g 1001 vmail
# adduser -u 1001 -s /bin/false -d /var/imap/home vmail
# chown -R vmail.vmail /var/imap
А также создать Maildir-каталог пользователю crux
# mkdir -m 0700 /var/imap/home/crux
# maildirmake /var/imap/home/crux/Maildir
# chown -R vmail.vmail /var/imap/home/crux
Если у вас нет утилитки maildirmake, то это не проблема, под
созданием Maildir каталога, имеется ввиду создание каталогов:
<userHomeDir>/Maildir
<userHomeDir>/Maildir/cur
<userHomeDir>/Maildir/new
<userHomeDir>/Maildir/tmp
Права на все каталоги - 0700.
Вообще, на будущее, для простого создания почтовых пользователей
можно написать небольшой скрипт.
Проверим отправку сообщений:
$ mail -s "test message" [6][email protected]
Privet Crux
.
CC:
Письмо отправилось. Замечательно, теперь необходимо настроить
Courier-Imap для того чтобы пользователи смогли получать свою почту.
Courier-Imap
Courier-Imap - это превосходный IMAP, POP3 сервер. Поддержка ldap
встроена, и при компиляции он не требует devel-файлов OpenLDAP.
Установка
$ tar xzf courier-imap-1.7.3.tar.gz
$ cd courier-imap-1.7.3
$ ./configure --prefix=/usr/local
$ make
$ make check
# make install
# make install-configure
Конфигурация
/usr/local/etc/authdaemonrc
authmodulelist="authldap"
authmodulelistorig="authldap"
daemons=5
version=""
authdaemonvar=/usr/local/var/authdaemon
/usr/local/etc/authldaprc
LDAP_SERVER localhost
LDAP_PORT 389
LDAP_BASEDN ou=mailaccounts,dc=home,dc=ru
LDAP_BINDDN cn=courier, ou=daemons, dc=home, dc=ru
LDAP_BINDPW supersecret
LDAP_TIMEOUT 5
LDAP_MAIL mail
LDAP_FILTER (objectClass=CourierMailAccount)
LDAP_GLOB_UID vmail
LDAP_GLOB_GID vmail
LDAP_HOMEDIR homeDirectory
LDAP_MAILDIR mailMessageStore
LDAP_DEFAULTDELIVERY defaultDelivery
LDAP_MAILDIRQUOTA mailQuota
LDAP_FULLNAME cn
LDAP_CRYPTPW userPassword
LDAP_DEREF never
LDAP_TLS 0
/usr/local/etc/ipmapd
ADDRESS=0
PORT=143
MAXDAEMONS=40
MAXPERIP=4
PIDFILE=/var/run/imapd.pid
TCPDOPTS="-nodnslookup -noidentlookup"
AUTHMODULES="authdaemon"
AUTHMODULES_ORIG="authdaemon"
DEBUG_LOGIN=0
IMAP_CAPABILITY="IMAP4rev1 UIDPLUS CHILDREN NAMESPACE THREAD=ORDEREDSUBJECT \
THREAD=REFERENCES SORT QUOTA IDLE"
IMAP_CAPABILITY_ORIG="IMAP4rev1 UIDPLUS CHILDREN NAMESPACE THREAD=ORDEREDSUBJECT \
THREAD=REFERENCES SORT QUOTA AUTH=CRAM-MD5 AUTH=CRAM-SHA1 IDLE"
IMAP_IDLE_TIMEOUT=60
IMAP_CAPABILITY_TLS="$IMAP_CAPABILITY AUTH=PLAIN"
IMAP_CAPABILITY_TLS_ORIG="$IMAP_CAPABILITY_ORIG AUTH=PLAIN"
IMAP_DISABLETHREADSORT=0
IMAP_CHECK_ALL_FOLDERS=0
IMAP_OBSOLETE_CLIENT=0
IMAP_ULIMITD=65536
IMAP_USELOCKS=0
IMAP_ENHANCEDIDLE=0
IMAP_TRASHFOLDERNAME=Trash
IMAP_EMPTYTRASH=Trash:7
IMAP_MOVE_EXPUNGE_TO_TRASH=0
SENDMAIL=/usr/sbin/sendmail
HEADERFROM=X-IMAP-Sender
IMAPDSTART=YES
/usr/local/etc/pop3d
PIDFILE=/var/run/pop3d.pid
MAXDAEMONS=40
MAXPERIP=4
AUTHMODULES="authdaemon"
AUTHMODULES_ORIG="authdaemon"
DEBUG_LOGIN=0
POP3AUTH=""
POP3AUTH_ORIG="LOGIN CRAM-MD5 CRAM-SHA1"
POP3AUTH_TLS=""
POP3AUTH_TLS_ORIG="LOGIN PLAIN"
PORT=110
ADDRESS=0
TCPDOPTS="-nodnslookup -noidentlookup"
POP3DSTART=YES
Запуск
Для того чтобы запустить IMAP и POP3 сервисы, воспользуйтесь
следующими командами:
# /usr/local/libexec/imapd.rc start
# /usr/local/libexec/pop3d.rc start
Следует отметить, что если вы отключаете какой-либо из этих двух
сервисов, то второй тоже должен быть отстановлен, т.к. скрипты запуска
сделаны таким образом, что они запускают или останавливают сервис
authdaemon.ldap и если один из сервисов остановить, то будет
остановлен и authdaemon.ldap, соотвественно оставшийся сервис (скажем
pop3) не сможет обрабатывать запросы, т.к. не сможет подключиться к
authdaemon.ldap.
Теперь можно проверить почтовый ящик [email protected].
$ telnet localhost 110
Trying 127.0.0.1...
Connected to localhost (127.0.0.1).
Escape character is '^]'.
+OK Hello there.
user [email protected]
+OK Password required.
pass mysuperpass
+OK logged in.
list
+OK POP3 clients that break here, they violate STD53.
1 374
.
quit
+OK Bye-bye.
Connection closed by foreign host.
Как видно письмо присутствует в ящике. Также следует отметить, что в
качестве логина использовался не "crux", а [email protected]. Т.к. в
качестве атрибута пользователя, по которому ведётся поиск в LDAP
используется "mail", если бы в параметре LDAP_MAIL файла authldaprc мы
поставили бы атрибут "uid", то в таком случае логин был бы просто
"crux". Но представьте себе ситуацию, когда у вас есть почтовые адреса
[email protected] и [email protected] и они принадлежат двум
разным людям, то если использовать в качестве логина пользователя его
uid, то можем получить, например, что первый admin будет входить под
логином admin1, a другой под admin2 - что неочевидно (исходя из
названия мыла), да и не очень удобно.
Пожалуй это всё. Если есть вопросы или вы обнаружили ошибки, пишите
на [email protected]
Использованные источники
1. LDAP for Postfix with Courier IMAP / T. Knab,
http://annapolislinux.org/docs/plc/postfix-courier-howto.txt
2. ldap, postfix and courier-imap howto / J.Vriesman,
http://jeroen.protheus.com/postfix-courier-ldap-howto.html
3. LDAP_README, VIRTUAL_README (документация по Postfix) /
http://www.postfix.org /
Время создания: 2003-07-09 14:04:36 © Сыктывкарское сообщество UNIX, 2002 - 2003 г.
