TUTTO CIÒ CHE ABBIAMO DOVUTO

Transcript

1 POSTFIX+LDAP+... TUTTO CIÒ CHE ABBIAMO DOVUTO SCOPRIRE M. GAMBETTI A. GIANOLI INFN SEZIONE DI FERRARA I N F N - S E Z I O N E D I F E R R A R A

2

3 I N D I C E INTRODUZIONE...2 REDHAT MANDRAKE FILES DI CONFIGURAZIONE (RH9)...16 FILES DI CONFIGURAZIONE (MDK10)...19 Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Indice - Page I

4 I N T R O D U Z I O N E A Ferrara usiamo postfix da ormai 5 anni. Inizialmente uno di noi (AG) l'aveva utilizzato come rimpiazzo di sendmail perchè non aveva nessuna intenzione di impararsi la configurazione di sendmail. Poi ci abbiamo preso gusto e per integrarlo con il directory service che usaimo per mantenere gli utenti (ldap) abbiamo dovuto imparare un po' di cosette. Nel tempo abbiamo avuto un server mail basato su RH8 e RH9, mentre adesso (maggio 04) siamo passati a Mandrake 10: ovviamente le due configurazioni non sono proprio uguali. Ad ogni modo la configurazione attuale è postfix + ldap + amavisd-new + spamassassin + clamav + roxen + imho. Contiamo di passare dal semplice ldap a ldapkerberos, ma questa è un'altra storia... A Ferrara non utilizziamo virtual host o mailing list, ma l'estensione non dovrebbe essere particolarmente difficile. Piccola nota: redhat o mandrake, quale delle due? La scelta qui dipende pesantemente dalle condizioni al contorno. Per noi il problema è stato l'integrazione con ldap. Finchè vi accontentate di prendere gli alias da ldap, non ci sono particolari problemi. Se invece volete anche avere il relay da remoto previa autenticazione dell'utente (AUTH) il discorso si complica. Con RH8 non c'è stato verso di riuscirci. Pensiamo che questo sia dovuto al supporto per sasl che in rh8 è carente (manca saslauthd tanto per dirne una). Con RH9 ci si riesce, ma non con il postfix che viene con la distribuzione. Con MDK10 va bene così com'è. Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Introduzione - Page 2

5 R E D H A T 9 Questo era il nostro vecchio server di posta. La sua configurazione era: postfix + ldap + rav + spamassassin + roxen + imho. Ovviamente rav non si può più usare, ma il resto della configurazione è ancora valido. La macchina utilizzata era un doppio processore con due dischi ide da 80 GB in mirror software. Siamo partiti da una installazione standard di redhat 9. L'ordine che abbiamo seguito è stato: configurare postfix in modo base ; configurare ldap per il login degli utenti; aggiungere alla configurazione di postfix gli alias mediante ldap; tutto il resto. Volendo si può scambiare l'ordine delle prime due operazioni. Postfix. Siamo partiti dalla versione distribuita con la distribuzione. Una volta installato occorre modificare i suoi file di configurazione: i files presenti sono generici, e sono ragionevolmente ben commentati. Si trovano in /etc/postfix. Ci sono anche tutta una serie di esempi situati nella directory examples e spiegazioni nella directory README_FILES. I files di configurazione sono due: main.cf contiene la configurazione globale, mentre master.cf contiene la configurazione del master process e determina il comportamento dei vari programmi che compongono postfix. Cominciamo dal main.cf. I parametri da modificare sono: inet_interfaces: cambiare in all mydomain: conviene definire il vostro dominio myhostname: dovrebbe trovarlo da solo, ma se glielo specificate male non fa mydestination: dovete specificare che cosa accettate come destinazione. Come esempio, a Ferrara usiamo $myhostname, localhost.$mydomain, $mydomain, mail.$mydomain, ftp.$mydomain, ferrara.infn.it myorigin: il dominio da cui i mail sembreranno provenire. Di solito equivale a mydomain. mynetworks: conviene specificare le proprie reti interne. Serve poi per configurare il relay. smtpd_banner: di default il banner specifica la versione di postfix. Preferiamo non fornire questa informazione, quindi l'abbiamo modificato in $myhostname ESMTP $mail_name Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Redhat 9 - Page 3

6 mailbox_size_limit: postfix può avere una dimensione massima della mailbox degli utenti (per lo meno nella versione originale). Il limite è, di solito, 50 MB. Purtroppo a Ferrara abbiamo utenti che, in momenti particolare, sforano questo limite tranquillamente. Morale: abbiamo messo a zero questo parametro per disabilitare questo limite. smtpd_sender_restrictions: comincia il discorso sul relay. Da ormai tempo immemorabile lo abbiamo configurato come permit_mynetworks, reject_invalid_hostname, reject_unknown_address. Tradotto vuol dire: se il mail arriva da mynetwork, lo processi. Se il from è un hostname che non esiste (indirizzo inventato) lo cestini. E non fai relay. smtpd_helo_required, smtpd_helo-restrictions: si può forzare la richiesta di un helo (lo standard dice che se un server di posta si presenta con ESMTP nel suo banner, bisognerebbe mandare un HELO), e applicare all'helo (che contiene il nome della macchina che si sta connettendo) le stesse restrizioni del punto precedente. L'ultima volta che l'abbiamo provato (4 o 5 anni fa') avevamo visto un ulteriore taglio sullo spam, ma purtroppo tagliava anche alcuni siti (Desy, tanto per dirne uno) che non mandavano helo: forse la situazione è migliorata, ma non abbiamo controllato e non usiamo questi due parametri. A questo punto facendo ripartire postfix dovreste avere un server base funzionante: riceve posta e la distribuisce nelle inbox (formato standard in /var/spool/mail), fa relay per le macchine che appartengono a $mynetworks (questo indipendentemente dall'utente, il riconoscimento è fatto sull'ip della macchina), ha un file (/etc/postfix/alias) dove definire gli alias. Veniamo all'integrazione con Ldap. A Ferrara usiamo un server ldap linux (RH9) con la directory creata tramite i migration tools di openldap. Questo vuol dire che al di sotto della base dell'albero abbiamo un folder ou=people che contiene gli utenti, un folder ou=group che contiene i gruppi, un folder ou=aliases che contiene i mail alias. Quello che vogliamo è integrare il file standard di postfix con ldap per quanto riguarda la risoluzione degli alias. I parametri su cui intervenire sono (file main.cf): alias_database: definisce il file locale. Lo manteniamo al valore di default che è hash:/etc/postfix/aliases alias_maps: questo invece specifica dove si vanno a cercare gli alias. La nostra configurazione è hash:/etc/postfix/aliases, ldap:ldapsource. Il primo dice di guardare localmente, il secondo di usare un directory service ldap. Il formato è ldap:quello- Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Redhat 9 - Page 4

7 chemipare, dove poi si userà quellochemipare per specificare i parametri della connessione ldap. Ldapsource è semplicemente il nome che abbiamo scelto a Ferrara. ldapsource_timeout: tempo in secondi prima di dichiarare fallita una connessione al server ldap. Noi usiamo 10 secondi. ldapsource_search_base: il punto di partenza per la ricerca nell'albero ldap. Qui dipende un po' da quello che volete fare. È possibile avere più folder degli alias e specificare il livello di ricerca nell'albero per effettuare la ricerca su tutti. A Ferrara non abbiamo esigenze particolari, quindi tutti gli alias stanno nello stesso folder ldap, ed effettuiamo la ricerca solo su quello. Quindi questo parametro per noi è ou=aliases, dc=fisica, dc=ferrara (se vi stupisce il nome, è perchè serviamo sia infn che dipartimento di fisica, e non ci sembrava di avere ragioni sufficientemente buone per tenere due alberi separati). ldapsource_server_host: qual'è il vostro server ldap. ldapsource_server_port: su che porta interrogarlo. Visto che qui stiamo chiedendo solo gli alias e che, come vedremo, la richiesta è fatta senza binding, non c'è bisogno di usare un canale criptato. Quindi noi usiamo la porta standard, 389. ldapsource_query_filter: come effettuare la ricerca. Seguendo l'esempio dei migration tools, noi mettiamo nel campo cn il nome.cognome dell'utente. Quindi questo campo per noi è (cn=%s), cioè cerca un campo cn che corrisponda. ldapsource_result_attribute: se trova una corrispondenza alla ricerca, quale campo deve prendere. Sempre seguendo l'esempio dei migration tools noi mettiamo un campo rfc822mailmember che specifica il nome dell'account. Quindi per noi questo parametro è rfc822mailmember ldapsource_bind: se vogliamo fare la ricerca collegandoci (e quindi autenticandoci) come un utente particolare. Visto quello che abbiamo detto prima, noi facciamo una ricerca anonima, e quindi questo parametro per noi è no ldapsource_bind_dn, ldapsource_bind_pw: servono per il binding. Per noi sono vuoti. ldapsource_cache, ldapsource_cache_expiry, ldapsource_cache_size: eventualmente si può dire a postfix di fare il caching delle richieste al server ldap. Bene, ora il server di posta è in grado di risolvere gli alias utilizzando anche le informazioni contenute nel directory service. Per fare si che riconosca gli utenti (e non solo Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Redhat 9 - Page 5

8 gli alias) consultando ldap, occorre configurare il server in maniera che l'autenticazione avvenga attraverso ldap. Per fare questo la soluzione più semplice è usare il tool authconfig di redhat che fa il lavoro per voi (se preferite farlo a mano, guardate oltre nella parte dedicata a mandrake le modifiche da fare). A questo punto una cosa da tenere ben presente: se abilitate TLS, non funziona! Il problema è nel pacchetto nss_ldap, in particolare nella libreria /lib/libnss_ldap. Abbiamo provare a segnalare la cosa a redhat: a quanto pare lo sanno (tra l'altro anche enterprise 2.x sembra avere questo problema), ma non c'è un update. La soluzione è la seguente: scaricarsi una versione più recente del software (noi abbiamo usato la 217), compilarlo e copiare la libreria in /lib, ricordandosi di aggiornare il link libnss_ldap.so.2 in modo che punti alla vostra libreria (per intenderci, la versione originale è libnss_ldap so, mentre quella compilata dalla versione 217 è la libnss_ldap so). Ora potete rilanciare authconfig e abilitare TLS. A questo punto un utente definito in ldap può loggarsi e può ricevere posta senza essere definito nei file di sistema della macchina. Pop3 e imap. Per questo servizio siamo ricorsi alla versione più semplice dei vari tipi di demoni, quello Washington Univ. che si trova nella distribuzione. Una volta installato il pacchetto, per poter usare le versioni sicure (imaps e pop3s) serve copiare i certificati nella directory /usr/share/ssl/certs che è la directory dove openssl si aspetta di trovarli. Il programma si aspetta dei file chiamati imapd.pem e ipop3d.pem, quindi create dei link con questi nomi che puntano al vostro certificato. Infine occorre andare nella directory /etc/xinetd.d per editare i files di pop3 e imap e selezionare cosa si vuole abilitare e cosa no. Alla fine bisogna fare ripartire il servizio xinetd. Relay remoto (AUTH). A questo punto si va a sbattere contro un problema: abbiamo provato in tutti i modi di configurare la versione della distribuzione di postfix affinchè permettesse l'auth e non ci siamo riusciti! L'unica soluzione che abbiamo trovato è stata abbandonare la versione della distribuzione e usare una versione più nuova. La versione che abbiamo usato è la di cui abbiamo trovato un src.rpm che abbiamo adattato alle nostre esigenze. Per la cronaca si trova in afs nella public di Gianoli. Una volta cmabiata la versione di postfix, si può procedere con la configurazione. I parametri da aggiungere in main.cf sono: smtpd_tls_cert_file, smtpd_tls_key_file: i file che contengono rispettivamente chiave pubblica e privata. Può anche essere un unico file che le contiene entrambe. Devono Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Redhat 9 - Page 6

9 essere leggibili da postfix: una soluzione è cambiare l'ownership in modo che il gruppo postfix possa leggere il file della chiave privata. smtpd_tls_cafile: certificato della CA smtpd_tls_session_cache_timeout: 3600s tls_random_source: dev:/dev/urandom smtpd_use_tls: yes. Per avvisare che c'è TLS smtpd_sasl_auth_enable: yes. Per avvisare che AUTH è possibile. smtpd_sasl_application_name: smtpd. Nome usato per SASL server initialization. smtpd_sasl_security_options: noanonimous. Per non ammettere anonimi, con o senza TLS smtpd_sasl_tls_security_options: vedi punto precedente. smtpd_tls_auth_only: yes. In questo modo AUTH è possibile solo con TLS. smtpd_sasl_local_domain: questo serve se si ha un vero dominio sasl. Noi utilizziamo sasl solo perchè si occupi dell'autenticazione, ma si usa ldap, non il meccanismo proprio di sasl. Da noi questo campo è vuoto. broken_sasl_auth_clients: yes. Questo serve con vecchie versioni di outlook smtpd_recipient_restrictions: permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination. Queste sono le restrizioni: se viene dalla mia rete, posso far relay anche senza autenticazione. Se si è autenticato con sasl, posso fare relay. Altrimenti non faccio relay. smtpd_sasl_exception_networks: $mynetworks. In teoria dovrebbe ribadire una cosa già coperta dal punto precedente. In pratica non abbiamo provato a vedere se è proprio necessaria... In questo modo postfix passa la patata bollente dell'autenticazione a sasl. Purtroppo la documentazione su sasl è una vera schifezza perchè praticamente non esiste. Quanto segue ha richiesto un po' di prove e l'aiuto di vecchie (ma sempre valide) istruzioni trovate qui: Quello che occorre fare è spiegare a sasl di usare pam per l'autenticazione. In rh9 c'è il supporto sia per sasl1 che per sasl2: le directory sono rispettivamente /usr/lib/sasl e / usr/lib/sasl2. Occorre creare in entrambe le directory un file chiamato smtpd.conf conten- Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Redhat 9 - Page 7

10 ente la seguente riga: pwcheck_method: pam. Poi bisogna far partire il demone saslauthd (o farlo ripartire). Infine conviene controllare che esista il file /etc/pam.d/smtp. Dovrebbe essere così: auth required pam_warn.so auth required pam_securetty.so auth required pam_env.so auth sufficient pam_ldap.so auth sufficient pam_unix.so shadow md5 auth required pam_deny.so account required pam_unix.so A questo punto anche AUTH da remoto è configurato. Antivirus/antispam. Questo era il vecchio server di posta, che usava ancora RAV come antivirus. L'installazione di RAV era automatica, quindi non la descriviamo. Per quanto riguarda l'antispam, il server usava spamassassin. Per combinarlo con RAV, il sistema era stato configurato in modo che i mail passassero prima attraverso RAV e poi attraverso spamassassin (che doveva eventualmente marcarli) prima di essere re-immessi nella coda di postfix. In pratica avevamo fatto un script (due righe in tutto) che veniva usato come ulteriore content-filter (chiamato con poca fantasia postfixfilter). Qualche pagina più avanti ci sono i file di configurazione, e potete vedere sia lo script, che la configurazione (fatta in master.cf). Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Redhat 9 - Page 8

11 M A N D R A K E 1 0 Visto che cambiavamo macchina, abbiamo pensato bene di cambiare anche la versione/distribuzione di linux. Ovviamente abbiamo testato alcuni aspetti che pensavamo fossero le maggiori differenze tra le due distribuzioni, per poi trovare alcune differenze in punti che non avevamo preso in considerazione: la solita legge di Murphy insomma! La macchina nuova è un proliant con il controller che si occupa lui di fare il raid dei dischi: una cosa in meno di cui occuparsi. La configurazione hadrware è due dischi da 36GB per il sistema in mirror e due dischi da 72GB per le home directories (sempre in mirror); lo spooling del mail è nei dischi da 36 GB visto che lo spazio non ci manca. Oltre che passare da redhat a mandrake, abbiamo anche dovuto affrontare il cambio di antivirus, visto che prima usavamo rav. Abbiamo dato una veloce occhiata a tre oggetti: lo scan engine di Symantec, Vexira, e clamav (abbiamo anche parlato con quelli di Sophos, ma alla fine non l'abbiamo provato anche a causa dell'urgenza di fare il cambio). Il problema principale di Symantec e (in misura molto minore) di Vexira è il costo: Symantec costa un po' meno di Sophos (la quotazione che ci avevano fatto era di 4500 per 300 mailbox per un anno per due anni successivi) ma c'è sempre questo funzionamento a mailbox che, visto che lo usiamo attraverso amavis, non capiamo (o meglio, capiamo ma non accettiamo). Vexira è molto più economico, ma comunque più costoso di rav (e funziona in modo simile a rav, almeno con postfix). Nel breve test fatto, abbimo notato che lo scan engine di Symantec (grazie ad amavis) apre più o meno qualsiasi tipo di archivio per esaminarne il contenuto (tranne quelli con password, ovviamente): l'unico problema è configurare amavis con i vari spacchettatori. Per quanto riguarda Vexira, questo apre gli archivi più noti (zip, tar, tgz), ma è sembrato non guardare dentro ai rar. Alla fine abbiamo optato per clamav: sembra fare correttamente il suo lavoro, e possiamo sempre cambiarlo se si decide di adottare una strategia comune INFN. Cominciamo con il parlare della configurazione di postfix. Su mandrake postfix è il demone di posta di riferimento (preferito rispetto a sendmail che comunque è presente), quindi non c'è molto da fare per installarlo. Tra l'altro, al contrario di quanto è successo con redhat, la versione della distribuzione supporta senza problemi ldap, tls/ssl, auth, ecc quindi non è stato necessario preparare una versione particolare. Una volta installato, il file di configurazione main.cf è ridotto al minimo: contiene cioè solo quei campi che sono diversi rispetto al default, e nessuna spiegazione cosa siano i campi. Se Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Mandrake 10 - Page 9

12 serve un riferimento, ci si può rifare a main.cf.dist che contiene la versione completa. Main.cf è diviso in due parti: la prima contiene i percorsi e le directory dove si trova postfix, e in generale non c'è bisogno di modifiche. La parte configurabile dall'utente invece richiede modifiche. Appena installato postfix ascolta solo su localdomain (vedi il campo inet_interfaces). Se si vuole configurarlo come server di posta, conviene agire sui campi. I campi da inserire o modificare sono gli stessi del caso della distribuzione redhat9. A questo punto facendo ripartire postfix dovreste avere un server base funzionante: riceve posta e la distribuisce nelle inbox (formato standard in /var/spool/mail), fa relay per le macchine che appartengono a $mynetworks (questo indipendentemente dall'utente, il riconoscimento è fatto sull'ip della macchina), ha un file (/etc/postfix/alias) dove definire gli alias. Una nota finale prima di andare oltre: postfix su mandrake di default gira chrooted. Visto il tipo di configurazione che vogliamo fare, abbiamo preferito non usare questa feature. Quindi abbiamo editato /etc/postfix/master.cf e abbiamo cambiato questa riga: smtp inet n - y - - smtpd in questo modo: smtp inet n - n - - smtpd Veniamo all'integrazione con Ldap. A Ferrara usiamo un server ldap linux (RH9) con la directory creata tramite i migration tools di openldap. Questo vuol dire che al di sotto della base dell'albero abbiamo un folder ou=people che contiene gli utenti, un folder ou=group che contiene i gruppi, un folder ou=aliases che contiene i mail alias. Quello che vogliamo è integrare il file standard di postfix con ldap per quanto riguarda la risoluzione degli alias. I parametri su cui intervenire sono: alias_database: definisce il file locale. Lo manteniamo al valore di default che è hash:/etc/postfix/aliases alias_maps: questo invece specifica dove si vanno a cercare gli alias. La nostra configurazione è hash:/etc/postfix/aliases, ldap:ldapsource. Il primo dice di guardare localmente, il secondo di usare un directory service ldap. Il formato è ldap:quellochemipare, dove poi si userà quellochemipare per specificare i parametri della connessione ldap. Ldapsource è semplicemente il nome che abbiamo scelto a Ferrara. ldapsource_timeout: tempo in secondi prima di dichiarare fallita una connessione al server ldap. Noi usiamo 10 secondi. Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Mandrake 10 - Page 10

13 ldapsource_search_base: il punto di partenza per la ricerca nell'albero ldap. Qui dipende un po' da quello che volete fare. È possibile avere più folder degli alias e specificare il livello di ricerca nell'albero per effettuare la ricerca su tutti. A Ferrara non abbiamo esigenze particolari, quindi tutti gli alias stanno nello stesso folder ldap, ed effettuiamo la ricerca solo su quello. Quindi questo parametro per noi è ou=aliases, dc=fisica, dc=ferrara (se vi stupisce il nome, è perchè serviamo sia infn che dipartimento di fisica, e non ci sembrava di avere ragioni sufficientemente buone per tenere due alberi separati). ldapsource_server_host: qual'è il vostro server ldap. ldapsource_server_port: su che porta interrogarlo. Visto che qui stiamo chiedendo solo gli alias e che, come vedremo, la richiesta è fatta senza binding, non c'è bisogno di usare un canale criptato. Quindi noi usiamo la porta standard, 389. ldapsource_query_filter: come effettuare la ricerca. Seguendo l'esempio dei migration tools, noi mettiamo nel campo cn il nome.cognome dell'utente. Quindi questo campo per noi è (cn=%s), cioè cerca un campo cn che corrisponda. ldapsource_result_attribute: se trova una corrispondenza alla ricerca, quale campo deve prendere. Sempre seguendo l'esempio dei migration tools noi mettiamo un campo rfc822mailmember che specifica il nome dell'account. Quindi per noi questo parametro è rfc822mailmember ldapsource_bind: se vogliamo fare la ricerca collegandoci (e quindi autenticandoci) come un utente particolare. Visto quello che abbiamo detto prima, noi facciamo una ricerca anonima, e quindi questo parametro per noi è no ldapsource_bind_dn, ldapsource_bind_pw: servono per il binding. Per noi sono vuoti. Bene, ora il server di posta è in grado di risolvere gli alias utilizzando anche le informazioni contenute nel directory service. Per fare si che riconosca gli utenti (e non solo gli alias) consultando ldap, occorre configurare il server in maniera che l'autenticazione avvenga attraverso ldap. Per fare questo occorre modificare in /etc/nsswitch.conf i campi passwd, shadow, group in modo che il sistema cerchi nei files e poi in ldap. Inoltre bisogna configurarsi il file /etc/ldap.conf. La maggior parte dei campi va bene. Quelli da modificare sono: host: il server ldap base: la vostra radice dell'albero Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Mandrake 10 - Page 11

14 ldap_version: la versione da usare (3), anche se forse ora è il default port: la porta (389) pam_filter objectclass: cerca solo le entries che hanno questo tipo di classe. Per noi è posixaccount. Questa richiesta è messa in AND con uid=%s. pam_login_attribute: quale campo utilizzare. Per noi uid pam_password: come criptare la password. Se si è in solo ambiente linux, non ci sono particolari problemi e si può anche utilizzare md5. Se si è in ambiente misto unix, probabilmente bisogna utilizzare il semplice crypt. Sono possibili altri casi (active directory, nds), ma non abbiamo esperienza. Noi usiamo md5. nss_base_passwd: qui si può specificare la base di ricerca, ed eventualmente anche lo scope e un eventuale filtro da mettere in AND con il default. Noi usiamo solo la base e abbiamo ou=people,dc=fisica,dc=ferrara nss_base_shadow: vedi punto precedente. nss_base_group: questa volta riguarda il gruppo. In questo caso noi usiamo ou=group,dc=fisica,dc=ferrara ssl: visto che qui transita la password, vogliamo un canale criptato. Noi abbiamo scelto di usare la porta standard, quindi usiamo start_tls. In alternativa si può usare la porta 636 (ldaps) e specificare qui on Ultimo passo da effettuare affichè un utente definito in ldap possa loggarsi sulla macchina, occorre modificare la configurazione di pam. Per fare questo occorre modificare / etc/pam.d/system_auth. Dopo un po' di prove, noi usiamo questo auth required pam_env.so auth sufficient /lib/security/pam_unix.so likeauth nullok auth sufficient /lib/security/pam_ldap.so use_first_pass auth required pam_deny.so account sufficient /lib/security/pam_unix.so account [default=bad success=ok user_unknown=ignore \ service_err=ignore system_err=ignore] /lib/security/pam_ldap.so account required /lib/security/pam_deny.so password required pam_cracklib.so retry=3 minlen=6 \ dcredit=0 ucredit=0 ucredit=0 password sufficient pam_unix.so nullok use_authtok md5 shadow password sufficient /lib/security/pam_ldap.so authtok Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Mandrake 10 - Page 12

15 password required pam_deny.so session required /lib/security/pam_mkhomedir.so \ skel=/etc/skel umask=077 session required pam_limits.so session required pam_unix.so session optional pam_ldap.so Questo permette sia di autenticare l'utente con ldap, sia di creare automaticamente la home directory dell'utente se no esiste già (pam_mkhomedir), grossa semplificazione per il sistemista... In teoria buona parte di questo lavoro lo fa un tool di configurazione chiamato drakauth e simile al authconfig di redhat. In pratica abbiamo avuto qualche problemino e abbiamo preferito risolvere la cosa a mano, visto che ormai sapevamo dove mettere le mani. A questo punto un utente definito in ldap può loggarsi e può ricevere posta senza essere definito nei file di sistema della macchina. Pop3 e imap. Mandrake dispone di tre diversi server imap: quello base, courier e cyrus. Qui siamo stati limitati da due fortissimi requirements degli utenti: poter fare login sulla macchina e poter usare pine (questo equivale a dire che non si può usare il formato maildir per immagazzinare i mail). Quindi abbiamo usato quello base. Dopo aver installato il pacchetto, occorre configurarlo per utilizzare i certificati. Attenzione perchè mandrake li conserva in posti diversi rispetto a redhat. Infatti la directory per openssl è in / usr/lib/ssl/certs, mentre imap si aspetta i suoi in /etc/ssl/imap. In quest'ultima directory ci sono due certificati autofirmati creati all'installazione: basta sostituirli con il certificato della macchina. Nella directory di openssl invece si può metter il certificato della CA. Un ultimo dettaglio importante. Se prima si aveva un server imap redhat, il comportamento era il seguente: quando il cliente imap si collega, si trova nella home directory dell'utente. Visto che di solito si tengono i mail nella subdirectory mail, si configura il cliente imap per andare subito in quella directory. In mandrake il server imap è configurato per andare già nella directory mail. Questa è stata una sorpresa non prevista, e ci ha fatto perdere un po' di tempo per capire cosa stava accadendo. In /etc trovate un file chiamato c-client.cf. Quel file contiene questa simpatica configurazione: eliminate il file (o cambiategli nome), e tornerete al comportamento standard. Relay remoto(auth). In questo caso c'è un vantaggio a usare mandrake rispetto a redhat: non occorre rifarsi una versione propria di postfix per risolvere questo problema, e sasl è un po' meglio integrato. Però la configurazione è diversa. Cominciamo con Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Mandrake 10 - Page 13

16 i parametri da configurare in postfix (main.cf). Sono tutti uguali a quelli di redhat (quindi non li ripetiamo), ma ce n'è uno in più: smtpd_sasl_path: il default è /etc/postfix/sasl. Noi abbiamo aggiunto /usr/lib/sasl2 ma, come vedremo qui sotto, quasi sicuramente potevamo risparmiarci la fatica. In questo modo postfix passa la patata bollente dell'autenticazione a sasl. Purtroppo la documentazione su sasl è una vera schifezza perchè praticamente non esiste e mandrake ha una versione più aggiornata e maggiormente configurabile rispetto a redhat9. In altre parole questa parte si configura in modo diverso da redhat. Quanto segue ha richiesto un po' di prove e l'aiuto di vecchie (ma sempre valide) istruzioni trovate qui: mandrakesecure.net/en/docs/postfix-sasl.php. La prima cosa da fare è spiegare a sasl come procedere per l'autenticazione. In teoria è possibile spiegare a sasl come interrogare ldap, ma in pratica, visto che pam fa già questo lavoro, si può dire a sasl di usare pam. Occorre creare un file smtpd in /etc/postfix/sasl che contenga la riga pwcheck_method: saslauthd. Questo serve per dire che si vuole usare il demone saslauth. Il file deve essere in quella directory perchè, anche se si può specificare più di una directory in smtpd_sasl_path, solo la prima viene usata! A questo punto occorre dire a saslauthd cosa deve fare. Il file di configurazione è in /etc/sysconfig e occorre assicurarsi che il campo SASL_AUTHMECH sia settato a pam. A questo punto sasl sta girando la richiesta a pam. Per finire occorre spiegare a pam cosa deve fare. Per questo occorre creare un file chiamato smtp situato in /etc/pam.d con le righe: auth required pam_stack.so service=system-auth account required pam_stack.so service=system-auth A questo punto anche AUTH da remoto con collegamento TLS è configurato. Antivirus/antispam. Come detto in precedenza, per questa parte abbiamo deciso di utilizzare amavis + spamassassin + clamav. Spamassassin fa parte della distribuzione standard di mandrake. Per quanto riguarda clamav, la versione per mandrake si trova qui: ftp://ftp.neocat.org/pub/. Di clamav, i pacchetti che servono sono: libclamav1, clamav, clamav-db, clamd. Infine per amavis, questo fa parte dei contrib ufficiali della distribuzione. Ci sono varie versioni di amavis: quello che usiamo noi è amavis-new. Una volta installati pacchetti occorre modificare postfix in modo che tutti i mail in ingresso vengano passati attraverso amavis (che si occupa di farli passare attraverso spamassassin Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Mandrake 10 - Page 14

17 e clamav) per poi venire reiniettati in postfix. Dal lato postfix, vuol dire modificare main.cf per aggiungere le seguenti righe: lmtp-filter_destination_concurrency_limit = 4 content_filter = lmtp-filter: :10025 receive_override_options = no_address_mappings e modificare master.cf affinchè abbia queste righe: lmtp-filter unix - - y - 4 lmtp -o lmtp_data_done_timeout=1200 -o disable_dns_lookups=yes -o max_use=10 Infatti di default il postfix di mandrake è già pronto per ricevere sulla porta una reimmissione di mail da un filtro/scanner esterno; l'unica cosa da configurare è il passaggio dei mail da postfix al filtro/scanner, e queste modifiche servono proprio a questo. Per la cronaca, in questo modo ci sono 4 processi amavis pronti ad analizzare i mail. A seconda del numero di mail si può cercare di migliorare le prestazioni del sistema giocando sul numero di processi amavis e sul max_use, cioè sul riutilizzo della sessione. Dal lato amavis, occorre editare /etc/amavisd.conf e configurare un paio di cose. Occorre configurare $mydomain (ed eventualmente anche $myhostname) e controllare che $forward_method sia coerente con la configurazione di postfix (nel nostro caso $forward_method = 'smtp: :10026'; e $notify_method = $forward_method;). Inoltre va eventualmente configurato $max_servers (numero di pre-forked processes), $max_requests (numero di connessioni dopo le quali un processo viene ritirato). Infine occorre decidere cosa fare in caso di spam e/o virus. Nel nostro caso avvisiamo solo chi riceve un virus, ma non avvisiamo anche il mittente (come invece è il comportamento di default). Ultimo punto da sistemare: per poter lavorare insieme, occorre riconfigurare il demone clamd in modo che venga eseguito come utente amavis, altrimenti si incorre in un problema di ownership di file temporanei e il sistema non riesce a controllare la posta. Per fare questo occorre editare /etc/clamd.conf e cambiare il parametro User. Inoltre occorre correggere anche gli script di logrotate (in /etc/logrotate.d) di clamav e freshclam: va cambiata la seguente riga: da create 644 clamav clamav a create 644 amavis clamav. Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Mandrake 10 - Page 15

18 F I L E S D I C O N F I G U R A Z I O N E ( R H 9 ) /etc/postfix/main.cf Il file è piuttosto lungo a causa di tutti i vari commenti. Quello che trovate qui è la versione con tutti i commenti rimossi. queue_directory = /var/spool/postfix command_directory = /usr/sbin daemon_directory = /usr/libexec/postfix mail_owner = postfix mydomain = fe.infn.it myorigin = $mydomain inet_interfaces = all mydestination = $myhostname, localhost.$mydomain, $mydomain, mail.$mydomain, ftp.$mydomain, ferrara.infn.it unknown_local_recipient_reject_code = 450 mynetworks = /24, /24, /8 smtpd_sender_restrictions = permit_mynetworks, reject_invalid_hostname, reject_unknown_address notify_classes = policy, protocol, delay, resource, software mailbox_size_limit = 0 smtpd_banner = $myhostname ESMTP $mail_name debug_peer_level = 2 debugger_command = PATH=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/bin xxgdb $daemon_directory/$process_name $process_id & sleep 5 sendmail_path = /usr/sbin/sendmail.postfix newaliases_path = /usr/bin/newaliases.postfix mailq_path = /usr/bin/mailq.postfix setgid_group = postdrop manpage_directory = /usr/share/man sample_directory = /etc/postfix/samples readme_directory = /etc/postfix/readme_files alias_database = hash:/etc/postfix/aliases alias_maps = hash:/etc/postfix/aliases, ldap:ldapsource ldapsource_timeout = 10 ldapsource_search_base = ou=aliases,dc=fisica,dc=ferrara ldapsource_server_host = ldap1.fe.infn.it ldapsource_server_port = 389 ldapsource_query_filter = (cn=%s) ldapsource_result_attribute = rfc822mailmember ldapsource_bind = no ldapsource_bind_dn = ldapsource_bind_pw = ldapsource_cache = yes ldapsource_cache_expiry = 60 ldapsource_cache_size = ldapsource_debuglevel = 3 smtpd_tls_cert_file = /usr/share/ssl/certs/smtp_postfix.pem smtpd_tls_key_file = /usr/share/ssl/certs/smtp_postfix.pem smtpd_tls_cafile = /usr/share/ssl/certs/infn-ca.pem smtpd_tls_received_header = yes smtpd_tls_session_cache_timeout = 3600s tls_random_source = dev:/dev/urandom smtpd_use_tls = yes smtpd_sasl_auth_enable = yes smtpd_sasl_security_options = noanonymous smtpd_sasl_tls_security_options = $smtpd_sasl_security_options smtpd_tls_auth_only = yes smtpd_sasl_local_domain = $myhostname broken_sasl_auth_clients = yes Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Files di configurazione (RH9) - Page 16

19 smtpd_client_restrictions = smtpd_helo_restrictions = smtpd_sender_restrictions = smtpd_recipient_restrictions = permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination debug_peer_level = 255 content_filter = smtp: :10025 /etc/postfix/master.cf ======================================================================== service type private unpriv chroot wakeup maxproc command + args (yes) (yes) (yes) (never) (100) ======================================================================== smtp inet n - n - - smtpd -o content_filter=postfixfilter: smtps inet n - n - - smtpd -o smtpd_tls_wrappermode=yes -o smtpd_sasl_auth_enable=yes -o content_filter=postfixfilter: submission inet n - n - - smtpd -o smtpd_enforce_tls=yes -o smtpd_sasl_auth_enable=yes -o content_filter=postfixfilter: 628 inet n - n - - qmqpd pickup fifo n - n 60 1 pickup cleanup unix n - n - 0 cleanup qmgr fifo n - n qmgr qmgr fifo n - n nqmgr tlsmgr fifo - - n tlsmgr rewrite unix - - n - - trivial-rewrite bounce unix - - n - 0 bounce defer unix - - n - 0 bounce flush unix n - n 1000? 0 flush proxymap unix - - n - - proxymap smtp unix - - n - - smtp relay unix - - n - - smtp -o smtp_helo_timeout=5 -o smtp_connect_timeout=5 showq unix n - n - - showq error unix - - n - - error local unix - n n - - local virtual unix - n n - - virtual lmtp unix - - n - - lmtp Interfaces to non-postfix software. Be sure to examine the manual pages of the non-postfix software to find out what options it wants. maildrop. See the Postfix MAILDROP_README file for details. maildrop unix - n n - - pipe flags=drhu user=vmail argv=/usr/local/bin/maildrop -d ${recipient} The Cyrus deliver program has changed incompatibly, multiple times. old-cyrus unix - n n - - pipe flags=r user=cyrus argv=/cyrus/bin/deliver -e -m ${extension} ${user} Cyrus (Amos Gouaux) cyrus unix - n n - - pipe user=cyrus argv=/cyrus/bin/deliver -e -r ${sender} -m ${extension} ${user} uucp unix - n n - - pipe flags=fqhu user=uucp argv=uux -r -n -z -a$sender - $nexthop!rmail.postfix ($recipient) ifmail unix - n n - - pipe flags=f user=ftn argv=/usr/lib/ifmail/ifmail -r $nexthop ($recipient) Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Files di configurazione (RH9) - Page 17

20 bsmtp unix - n n - - pipe flags=fq. user=foo argv=/usr/local/sbin/bsmtp -f $sender $nexthop $recipient rav-begin: RAV AntiVirus Configuration :10026 inet n - n smtpd -o content_filter= -o myhostname=dummy.domain.name -o local_recipient_maps=rav-end postfixfilter unix - n n - - pipe flags=rq user=postfixfilter argv=/usr/sbin/postfixfilter -f ${sender} -- ${recipient} /usr/sbin/postfixfilter!/bin/bash /usr/bin/spamc /usr/sbin/sendmail -i "$@" exit $? /etc/ldap.conf Tolti tutti i commenti il file si riduce a: host ldap1.fe.infn.it base dc=fisica,dc=ferrara ssl start_tls pam_password md5 Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Files di configurazione (RH9) - Page 18

21 F I L E S D I C O N F I G U R A Z I O N E ( M D K 1 0 ) /etc/postfix/main.cf These are only the parameters changed from a default install see /etc/postfix/main.cf.dist for a commented, fuller version of this file. These are changed by postfix install script readme_directory = /usr/share/doc/postfix-2.1.0/readme_files sample_directory = /usr/share/doc/postfix-2.1.0/samples sendmail_path = /usr/sbin/sendmail.postfix setgid_group = postdrop command_directory = /usr/sbin manpage_directory = /usr/share/man daemon_directory = /usr/lib/postfix newaliases_path = /usr/bin/newaliases.postfix mailq_path = /usr/bin/mailq.postfix queue_directory = /var/spool/postfix mail_owner = postfix User configurable parameters myorigin = $myhostname mydomain = fe.infn.it myorigin = $mydomain myhostname = smtp.fe.infn.it inet_interfaces = $myhostname, localhost inet_interfaces = all mydestination = $myhostname, localhost.$mydomain mydestination = $myhostname, localhost.$mydomain, $mydomain, mail.$mydomain, ftp.$mydomain, ferrara.infn.it mynetworks = /24, /24, /8 mynetworks_style = host delay_warning_time = 4h smtpd_banner = $myhostname ESMTP $mail_name unknown_local_recipient_reject_code = 450 smtp-filter_destination_concurrency_limit = 2 lmtp-filter_destination_concurrency_limit = 4 smtpd_sasl_path = /etc/postfix/sasl:/usr/lib/sasl2 content_filter = lmtp-filter: :10025 receive_override_options = no_address_mappings ==>>> ldap alias_database = hash:/etc/postfix/aliases alias_maps = hash:/etc/postfix/aliases alias_maps = hash:/etc/postfix/aliases, ldap:ldapsource ldapsource_timeout = 10 ldapsource_search_base = ou=aliases,dc=fisica,dc=ferrara ldapsource_server_host = ldap1.fe.infn.it ldapsource_server_port = 389 ldapsource_query_filter = (cn=%s) ldapsource_result_attribute = rfc822mailmember ldapsource_bind = no ldapsource_bind_dn = ldapsource_bind_pw = ldapsource_cache = yes ldapsource_cache_expiry = 60 ldapsource_cache_size = ldapsource_debuglevel = 3 Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Files di configurazione (mdk10) - Page 19

22 ==>>> restrizioni (relay e altro) Aggiunti 2/1/02 AG + MG smtpd_helo_required = yes smtpd_helo_restrictions = permit_mynetworks, reject_invalid_hostname, reject_unknown_hostname smtpd_sender_restrictions = permit_mynetworks, reject_invalid_hostname, reject_unknown_address notify_classes = policy, protocol, delay, resource, software mailbox_size_limit = 0 ==>>> AUTH smtpd_tls_cert_file = /usr/lib/ssl/certs/smtp_postfix.pem smtpd_tls_key_file = /usr/lib/ssl/certs/smtp_postfix.pem smtpd_tls_cafile = /usr/lib/ssl/certs/infn-ca.pem per quando non si capisce cosa succede (3 e' il livello massimo) smtpd_tls_loglevel = 3 smtpd_tls_received_header = yes smtpd_tls_session_cache_timeout = 3600s tls_random_source = dev:/dev/urandom per avvisare che c'e' TLS smtpd_use_tls = yes per avvisare che c'e' AUTH smtpd_sasl_auth_enable = yes nome usato per SASL server initialization smtpd_sasl_application_name = smtpd per non ammettere anonimi, con o senza TLS smtpd_sasl_security_options = noanonymous smtpd_sasl_tls_security_options = $smtpd_sasl_security_options per avvisare che AUTH c'e' solo con TLS/SSL attivo smtpd_tls_auth_only = yes smtpd_sasl_local_domain = questo serve alle volte con outlook broken_sasl_auth_clients = yes queste sono eventuali restrizioni smtpd_client_restrictions = smtpd_helo_restrictions = smtpd_sender_restrictions = smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination debug_peer_level = 255 smtpd_sasl_exception_networks = $mynetworks /etc/postfix/master.cf ======================================================================== service type private unpriv chroot wakeup maxproc command + args (yes) (yes) (yes) (never) (100) ======================================================================== smtp inet n - n - - smtpd smtps inet n - n - - smtpd -o smtpd_tls_wrappermode=yes -o smtpd_sasl_auth_enable=yes submission inet n - n - - smtpd -o smtpd_enforce_tls=yes -o smtpd_sasl_auth_enable=yes 628 inet n - n - - qmqpd pickup fifo n - y 60 1 pickup -o content_filter= -o receive_override_options= cleanup unix n - y - 0 cleanup qmgr fifo n - y qmgr Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Files di configurazione (mdk10) - Page 20

23 qmgr fifo n - n oqmgr tlsmgr fifo - - y tlsmgr rewrite unix - - y - - trivial-rewrite bounce unix - - y - 0 bounce defer unix - - y - 0 bounce trace unix - - y - 0 bounce verify unix - - y - 1 verify flush unix n - y 1000? 0 flush proxymap unix - - n - - proxymap smtp unix - - y - - smtp relay unix - - y - - smtp -o smtp_helo_timeout=5 -o smtp_connect_timeout=5 showq unix n - y - - showq error unix - - y - - error local unix - n n - - local virtual unix - n n - - virtual lmtp unix - - y - - lmtp Interfaces to non-postfix software. Be sure to examine the manual pages of the non-postfix software to find out what options it wants. maildrop. See the Postfix MAILDROP_README file for details. maildrop unix - n n - - pipe flags=drhu user=nobody argv=/usr/bin/maildrop -d ${recipient} Cyrus. Please See the Postfix CYRUS_README file for details deliver interface (deprecated), to use this also use postconf -e cyrus-deliver_destination_recipient_limit=1 cyrus-deliver unix - n n - - pipe user=cyrus argv=/usr/lib/cyrus-imapd/deliver -e -r ${sender} -m ${extension} ${user} for default cyrus socket placement cyrus unix - n n - - lmtp -o lmtp_cache_connection=yes if you configure cyrus socket in the chroot jail cyrus-chroot unix - - y - - lmtp -o lmtp_cache_connection=yes for lmtp to cyrus via tcp cyrus-inet unix - - y - - lmtp -o lmtp_cache_connection=yes -o lmtp_sasl_auth_enable=yes -o lmtp_sasl_password_maps=hash:/etc/postfix/cyrus_lmtp_sasl_pass -o lmtp_sasl_security_options=noanonymous UUCP. Unix to Unix CoPy uucp unix - n n - - pipe flags=fqhu user=uucp argv=/usr/bin/uux -r -n -z -a$sender - $nexthop!rmail ($recipient) these are not distributed with Mandrake Linux ifmail unix - n n - - pipe flags=f user=ftn argv=/usr/lib/ifmail/ifmail -r $nexthop ($recipient) bsmtp unix - n n - - pipe flags=fq. user=foo argv=/usr/local/sbin/bsmtp -f $sender $nexthop $recipient START OF CONTENT FILTER CUSTOMIZATIONS Please see the Postfix FILTER_README for details. These sample entries expect your content filter to Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Files di configurazione (mdk10) - Page 21

24 listen on port and to inject mail back into postfix on port to enable such content filter run the command postconf -e content_filter=smtp-filter: :10025 postconf -e smtp-filter_destination_concurrency_limit=2 or postconf -e content_filter=lmtp-filter: :10025 postconf -e lmtp-filter_destination_concurrency_limit=2 and the command postconf -e receive_override_options=no_address_mappings :10026 inet n - y - - smtpd -o content_filter= -o smtpd_restriction_classes= -o smtpd_client_restrictions= -o smtpd_helo_restrictions= -o smtpd_sender_restrictions= -o smtpd_recipient_restrictions=permit_mynetworks,reject -o mynetworks= /8 -o mynetworks_style=host -o strict_rfc821_envelopes=yes -o receive_override_options=no_unknown_recipient_checks,no_header_body_chec ks -o smtpd_client_connection_limit_exceptions= /8 AMAVIS lmtp-filter unix - - y - 4 lmtp -o lmtp_data_done_timeout=1200 -o disable_dns_lookups=yes -o max_use=10 smtp-filter unix - - y - - smtp -o smtp_data_done_timeout=1200 -o disable_dns_lookups=yes END OF CONTENT FILTER CUSTOMIZATIONS /etc/ldap.conf Di nuovo, questo è il file senza i commenti... host ldap1.fe.infn.it base dc=fisica,dc=ferrara ldap_version 3 port 389 pam_filter objectclass=posixaccount pam_login_attribute uid pam_password md5 nss_base_passwd ou=people,dc=fisica,dc=ferrara nss_base_shadow ou=people,dc=fisica,dc=ferrara nss_base_group ou=group,dc=fisica,dc=ferrara ssl start_tls Gambetti-Gianoli INFN - Sezione di Ferrara, 2004 Files di configurazione (mdk10) - Page 22