b. Konfiguracja Postfix'a i SMTP AUTH

Czym jest SMPT Auth chyba nie trzeba tłumaczyć - bez tej opcji każda osoba może wysłać email z naszego konta – jak ? Nie będę tego tłumaczył bo nie o to chodzi przecież…

Ustawienie SMTP Auth spowoduje, prośbę o podanie hasła podczas próby wysłania poczty przez MTA. Pierwszym krokiem, który powinniśmy wykonać jest zainstalowanie niżej wymienionych paczek:

# cd /usr/ports/security/cyrus-sasl2
# make build && make install && make clean
# cd /usr/ports/security/cyrus-sasl2-saslauthd
# make build && make install && make clean

(Jeżeli mamy nowo zainstalowany system możliwe, iż wyskoczy nam błąd:
Dependency warning: used OpenSSL version contains known vulnerabilities
Please update or define either WITH_OPENSSL_BASE or WITH_OPENSSL_PORT)

Oznacza to, iż przed instalacją Cyrus-sasl2 należałoby zainstalować biblioteke open ssl

# pkg_add –r openssl

Teraz powinniśmy skonfigurować SASL2, przechodzimy do katalogu /usr/local/lib/sasl2,

# cd /usr/local/lib/sasl2

Tworzymy w nim plik smtpd.conf, następnie edytujemy go i ustawiamy metodę autoryzacji użytkowników:

# touch /usr/local/lib/sasl2/smtpd.conf
# ee /usr/local/lib/sasl2/smtpd.conf

--- smtpd.conf ---

--- end smtpd.conf ---

Zaczynamy od konfiguracji pliku main.cf - dodajemy do niego poniższe linijki:

# ee /usr/local/etc/postfix/main.cf

--- main.cf ---

--- end main.cf ---

Restrykcjami możemy manipulować dowolnie. Dostępne są 3 rodzaje restrykcji wymienione powyżej. Oto opis niektórych z nich:

• Sprawdzanie poczty na podstawie adresu nadawcy listu (RCPT TO).
  Zmienna odpowiedzialna za tą restrykcje to "smtpd_recipient_restrictions":
  reject_non_fqdn_recipient - odrzuć list, jeśli podany adres odbiorcy nie jest "pełny" (fully-qualified domain form)
  reject_unknown_recipient_domain - odrzuć, jeśli adres docelowy listu, jego adres nie istnieje w DNS (czyli i tak nie ma dokąd go wysłać)
  check_recipient_access maptype:mapname - przeszukuje plik podany jako argument i na jego podstawie decyduje czy wysłać list.
  permit_auth_destination - przyjmij list, jeśli to nasz serwer jest jego celem lub adres przeznaczenia zawiera się w zmiennej $relay_domains. Jeśli warunek nie jest spełniony, bierz pod uwagę następne ograniczenia.
  reject_unauth_destination - podobne do poprzedniego, ale odrzuć list, jeśli to nasz serwer nie jest jego przeznaczeniem. Odrzuca list, nie sprawdza innych ograniczeń.
  check_relay_domains - jeśli adres IP komputera, który wysyła list pasuje do $relay_domains lub celem listu jest $relay_domains lub to nasz serwer jest komputerem docelowym - przyjmij list, w przeciwnym wypadku go odrzuć i zakończ.
  permit - pozwól na wysłanie listu. Przydatne na końcu listy ograniczeń, jako zachowanie domyślne, gdy poprzednie reguły nie pasują.
  rejent - odrzuć list. Przydatne na końcu listy ograniczeń, jako zachowanie domyślne, gdy poprzednie reguły nie pasują.
   
• Sprawdzenie IP komputera, z którego wysyłana jest wiadomość.
  Zmienna odpowiedzialna za tą restrykcje to "smtpd_client_restrictions":
  permit_mynetworks - pozwala na połączenie się z naszym serwerem komputerom, z naszej sieci lokalnej (dokładnie: komputerom, które zostały ujęte w zmiennej $mynetworks)
  reject_unknown_client - odrzuca komputer, którego adresu IP nie ma w DNS
  check_client_access maptype:mapname - sprawdza IP/nazwę komputera w pliku wpisanym jako parametr.
  permit - pozwól na połączenie. Przydatne na końcu listy ograniczeń, jako zachowanie domyślne, gdy poprzednie reguły nie pasują.
  rejent - odrzuć połączenie. Przydatne na końcu listy ograniczeń, jako zachowanie domyślne, gdy poprzednie reguły nie pasują.
   
• Sprawdzanie poczty na podstawie adresu odbiorcy listu (MAIL FROM).
  Zmienna odpowiedzialna za tą restrykcje to "smtpd_sender_restrictions":
  reject_unknown_sender_domain - odrzuca list, jeśli adres nadawcy, dokładnie część po @ adresu nadawcy, nie ma wpisu w DNS.
  reject_non_fqdn_hostname - odrzuca list, jeśli adres nadawcy, dokładnie część po @ adresu nadawcy nie jest "pełna" (fully-qualified domain form).
  check_sender_access maptype:mapname - przeszukuje plik podany jako argument. Na jego podstawie decyduje czy użytkownik może listy.
  permit - pozwól na wysłanie listu. Przydatne na końcu listy ograniczeń, jako zachowanie domyślne, gdy poprzednie reguły nie pasują.
  rejent - odrzuć list. Przydatne na końcu listy ograniczeń, jako zachowanie domyślne, gdy poprzednie reguły nie pasują.

Jak już wspomniałem tymi zmiennymi możemy manipulować dowolnie. Szczegółowy ich opis znajdziesz w dokumentacji oraz w pliku `sample-smtpd.cf` w katalogu z Postfix'em.

Utwórzmy teraz plik `access` (jeżeli jeszcze nie istnieje) w katalogu z plikami konfiguracyjnymi Postfix'a w celu ustawienia ograniczeń nawiązania połączeń z naszym serwerem.

# touch /usr/local/etc/postfix/access

W praktyce dopisujemy do niego każdego użytkownika, który chciałby mieć możliwość wysyłania i odbierania poczty z naszego serwera, w opisanym przykładzie użytkownik tomek będzie mógł korzystać z naszego serwera SMTP, dostaje on takie przywileje gdy dopiszemy słowo `OK` przy jego username i nazwie domeny. Jeśli jednak chcesz aby użytkownik miał jedynie dostęp do powłoki i nie miał możliwości wysyłania i odbierania poczty dopisujemy przy jego loginie i nazwie domeny słowo `REJECT`. Krótko mówiąc ` ` nie będzie otrzymywał żadnej poczty, jak również na domenę `jakas_domena.pl` nie dojdzie żadna wiadomość. Zawartość tego pliku może być następująca:

# ee /usr/local/etc/postfix/access

--- access ---

---end access ---

Po dokonaniu wpisów do tego pliku aktualizujemy bazę danych poleceniem:

# postmap /usr/local/etc/postfix/access

Następnie dodajemy wpis do pliku /etc/rc.conf który spowoduje, iż saslauthd będzie uruchamiał się przy starcie (bez tego wpisuj nie będzie działał plik /usr/local/etc/rc.d/saslauthd.sh)

# ee /etc/rc.conf

--- rc.conf ---

--- end rc.conf ---

Restartujemy Postfix'a i uruchamiamy saslauthd:

# /usr/local/etc/rc.d/postfix.sh reload
# /usr/local/etc/rc.d/saslauthd.sh start

Sprawdzamy teraz czy wszystko gra.

UWAGA!! (Przed tą czynnością należy mieć już skonfigurowany serwer pośredniczący)

Logujemy się przez telnet na port 25 naszego serwera i wpisujemy EHLO domena.pl:

# telnet 127.0.0.1 25
EHLO domena.pl

Powinniśmy ujrzeć następujący komunikat, jeśli takowy nam się ukarze, znaczy to że Twoja konfiguracja jest poprawna i możesz przejść do następnej części tego artykułu.

Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
220 domena.pl ESMTP Postfix
EHLO domena.pl
250-domena.pl
250-PIPELINING
250-SIZE 10240000
250-ETRN
250-AUTH PLAIN LOGIN
250-AUTH=PLAIN LOGIN
250-XVERP
250 8BITMIME

Wpisujemy QUIT aby zakończyć połączenie.