Базовая настройка Postfix и Dovecot

В статье будет рассмотрена базовая настройка Postfix и Dovecot с использованием системных учетных записей и хранением почтовых данных в их домашних каталогах.

Под “системными” имеются в виду не какие-либо сервисные учетные записи, а учетки обычных пользователей системы. Это основной и при этом самый простой в настройке и обслуживании вариант развертывания функционала MTA (Postfix) и MAA (Dovecot). При необходимости вы всегда сможете усложнить конфигурацию – развернуть виртуальных юзеров, организовать централизованное хранилище почтовых данных (а не использовать домашние каталоги) и пр.

Конфигурация программ, рассмотренная ниже, ориентирована больше на среду для тестирования, либо для “домашнего” использования. Если вам нужно что-то более серьезное, рекомендую обратиться к статье Настройка Postfix.

Найти больше информации о почтовых технологиях на UNIX-подобных системах вы можете в рубрике Unix Mail или в статье Настройка Postfix.

Вы также можете развернуть данную конфигурацию в контейнере Docker, у меня даже есть отдельный репозиторий для этого на GitHub, см. статью Postfix и Dovecot в контейнере Docker

Содержание

1 Базовая настройка Postfix и Dovecot

Базовая настройка Postfix и Dovecot

Разворачивать связку Postfix + Dovecot с системными пользователями я планирую на ОС Debian (дистрибутив debian-8.7.0-amd64-netinst.iso ¹).

Базовая настройка

Для начала нужно создать хотя бы одного пользователя, который и будет получать/отправлять почту.

Создаем юзера командой:

useradd -m -d /home/bissquit -s /bin/false bissquit

1	useradd -m -d /home/bissquit -s /bin/false bissquit

и сразу перенаправляем всю входящую почту root’a на него (это нужно для безопасности), добавив запись в /etc/aliases:

echo "root: bissquit" >> /etc/aliases

1	echo "root: bissquit" >> /etc/aliases

Примечание: если решите отредактировать этот файл во время работы Postfix, не забудьте после этого выполнить команду newaliases, чтобы изменения вступили в силу.

На этом все. Более подробно базовую настройку системы я уже рассматривал ранее в статье Настройка Debian для Postfix.

Настройка DNS

К этому моменту уже должны быть созданы все основные записи у вашего DNS-провайдера. Как минимум вам необходимы:

A-запись. Например запись mail.bissquit.ru, указывающая на ip-адрес почтового сервера;
запись МХ. Для домена bissquit.ru, указывающая на запись mail.bissquit.ru.

А также второстепенные (но от этого не менее важные):

PTR. Это обратная запись, которая ставит в соответствие ip-адресу какое-либо DNS-имя. Создать эту запись должен ваш интернет-провайдер, ведь он является владельцем публичных ip-адресов, которые вы используете;

Примечание: очень много серверов настроены таким образом, что проверяют наличие этой записи. Сначала они смотрят имя, на которое указывает MX-запись, а потом сравнивают его с именем, которое возвращает PTR-запись и если эти имена отличаются (или PTR вообще отсутствует), то вся почта отклоняется как спам. В логах своего сервера вы увидите что-то подобное:
450 4.7.1 Client host rejected: cannot find your reverse hostname
Такие жесткие настройки особенно любят устанавливать владельцы Postfix, указав в конфиге ограничения reject_unknown_reverse_client_hostname (для проверки просто существования PTR) или reject_unknown_client_hostname (а эта опция уже требует зеркального разрешения имен/адресов – name>address, address>name). На самом деле это очень жесткие ограничения и даже не все публичные сервисы, например Google, их требований придерживаются.

SPF. На самом деле указывается внутри другой – TXT-записи – и помогает перечислить серверы, имеющие право отправлять почту от имени вашего домена.

Примечание: Если эта запись существует, то любые принимающие почтовые серверы будут на 100% уверены в том, что вы являетесь подлинным почтовым сервером и смогут отклонять спамеров, пытающихся представиться вами. Например для домена bissquit.ru spf-запись может иметь вид “v=spf1 mx a ip4:1.2.3.4 ~all”, где 1.2.3.4 – адрес сервера. Есть много сервисов ², помогающих сгенерировать эту запись.

Ну а теперь приступаем к развертыванию Postfix.

Конфигурация Postfix

Первым делом необходимо вычистить из системы MTA, используемый по умолчанию:

apt-get remove exim4 \
               exim4-base \
               exim4-config \
               exim4-daemon-light

apt-get remove exim4 \

exim4-base \

exim4-config \

exim4-daemon-light

И удалить его конфигурацию:

rm -R /etc/exim4

1	rm -R /etc/exim4

Ну а далее ставим Postfix:

apt-get install postfix

1	apt-get install postfix

Когда вылезет окно с типом настройки, выбираем конфигурацию Интернет-сайт:

При выборе почтового имени предлагаю все оставить как есть (по умолчанию будет имя ОС), потом настройки мы все равно будем менять:

В общем ничего сложного, все это я подробно рассматривал ранее в статье Установка Postfix на Debian.

Безопасность

Если установка Postfix прошла по стандартному сценарию, то как минимум дефолтные сертификаты должны присутствовать. В том или ином виде конфиг будет содержать параметры:

smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_tls_security_level = may

smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem

smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key

smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache

smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache

smtpd_tls_security_level = may

Где первые два параметра – пути к файлу сертификата и закрытому ключу, следующие два – пути к кэшу. Менять эти значения по умолчанию не нужно.

Примечание: В этом куске конфига вы можете встретить параметр smtpd_use_tls=yes. Его можно безболезненно убрать, поскольку он устарел и предназначен для совместимости устаревших версий Postfix. Вместо него используется smtpd_tls_security_level, значение которого имеет приоритет.

Следующую секцию параметров, относящуюся к SASL, вам нужно добавить вручную:

smtpd_sasl_auth_enable = yes
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth

smtpd_sasl_auth_enable = yes

smtpd_sasl_type = dovecot

smtpd_sasl_path = private/auth

Ключ smtpd_sasl_auth_enable по умолчанию имеет значение no, то есть аутентификация не требуется. Именно поэтому нужно задать yes в явном виде. По умолчанию Postfix использует Cyrus SASL и чтобы он обратил свой взор в сторону Dovecot, нужно изменить параметр smtpd_sasl_type и указать путь до сокета в параметре smtpd_sasl_path.

Примечание: полный путь до сокета будет /var/spool/postfix/private/auth, просто параметр smtpd_sasl_path является составным и по умолчанию включает в себя путь до очереди – queue_directory = /var/spool/postfix .

Советую к прочтению официальные мануалы ³ ⁴.

Ну и последний момент: проследите, чтобы в конфиге был определен параметр smtpd_relay_restrictions (иначе почта отправляться не будет). По умолчанию для только что установленного Postfix он будет иметь значения permit_mynetworks permit_sasl_authenticated defer_unauth_destination.

С настройками TLS и SASL разобрались, двигаемся дальше.

Хранилище

Postfix должен куда-то сохранять полученные/отправленные сообщения, а потому необходимо ему это объяснить, установив параметры:

home_mailbox = Maildir/
mailbox_command =

1 2	home_mailbox = Maildir/ mailbox_command =

Первая запись означает, что информация будет сохраняться в папке Maildir домашнего каталога пользователя. Пример: если в системе есть пользователь bissquit, то все его почтовые данные будут храниться в /home/bissquit/Maildir/.

Примечание: если вы не установите параметр home_mailbox, то будет использоваться каталог, определенный по умолчанию в параметре mail_spool_directory, а это /var/mail/. Кроме того, данные будут храниться в одном файле, названным по имени пользователя.

В параметре mailbox_command важно выставлять слэш в конце строки, поскольку этот символ заставляет Postfix хранить данные в формате Maildir, то есть каждое письмо в отдельном файле.

На этом настройка хранения данных завершена.

Итоговый конфиг Postfix

А вот и итоговый конфиг:

smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
biff = no
append_dot_mydomain = no

readme_directory = no

# TLS parameters
smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_tls_security_level = may

smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = mail.bissquit.ru
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
myorigin = /etc/mailname
mydestination = mail.bissquit.ru, bissquit.ru, localhost.localdomain, localhost
relayhost =
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all

#
smtpd_sasl_auth_enable = yes
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth

home_mailbox = Maildir/
mailbox_command =

smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)

biff = no

append_dot_mydomain = no

readme_directory = no

# TLS parameters

smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem

smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key

smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache

smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache

smtpd_tls_security_level = may

smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination

myhostname = mail.bissquit.ru

alias_maps = hash:/etc/aliases

alias_database = hash:/etc/aliases

myorigin = /etc/mailname

mydestination = mail.bissquit.ru, bissquit.ru, localhost.localdomain, localhost

relayhost =

mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128

mailbox_size_limit = 0

recipient_delimiter = +

inet_interfaces = all

smtpd_sasl_auth_enable = yes

smtpd_sasl_type = dovecot

smtpd_sasl_path = private/auth

home_mailbox = Maildir/

mailbox_command =

Уникальными для вашего окружения будут параметры myhostname и mydestination. Их вы можете задать соответственно командами:

postconf -e "mydestination = mail.domain.com, domain.com, localhost.localdomain, localhost"
postconf -e "myhostname = mail.domain.com"

1 2	postconf -e "mydestination = mail.domain.com, domain.com, localhost.localdomain, localhost" postconf -e "myhostname = mail.domain.com"

И после этого выполнить:

postfix reload

1	postfix reload

После этого настройки вступят в силу и вы можете протестировать отправку почты командой:

echo "This is the message body" | mail -s "This is the subject" public_email@example.com -aFrom:bissquit@bissquit.ru

1	echo "This is the message body" \| mail -s "This is the subject" public_email@example.com -aFrom:bissquit@bissquit.ru

Где public_email@example.com – ваш адрес на любом внешнем почтовом сервере, например на публичных mail.ru или yandex.

Конфигурация Dovecot

Для начала забэкапим текущий конфиг командой:

mv /etc/dovecot/dovecot.conf{,.orig}

1	mv /etc/dovecot/dovecot.conf{,.orig}

Все необходимые параметры я буду задавать в /etc/dovecot/dovecot.conf, полностью минуя конфиги из /etc/dovecot/conf.d/.

Аутентификация

Также как и Postfix Dovecot будет использовать обычные учетные записи пользователей, созданные в системе (хоть и реально поддерживаются разные варианты ⁵). Для этого необходимо настроить секцию passdb ⁶.

При этом надо учесть один момент – учетные записи хранятся без всякого имени домена и если вы хотите использовать учетку в виде user@domain.com, то нужно задать параметр auth_username_format.

Ещё один немаловажный момент, что базы данных PAM могут использоваться только при передаче пароля простым текстом, а потому лучше явно задать параметр disable_plaintext_auth.

Примечание: ничего страшного в использовании незашифрованного пароля для проверки подлинности нет, ведь все это будет происходить поверх туннеля SSL/TLS.

Итак, вот что имеем:

disable_plaintext_auth = no
auth_username_format = %n
passdb {
 driver = pam
}

disable_plaintext_auth = no

auth_username_format = %n

passdb {

driver = pam

}

где %n означает как раз формат имен user@domain.com.

Далее нужно настроить секцию userdb ⁷, чтобы Dovecot получал необходимую информацию для доставки сообщений (например вытаскивал домашние каталоги пользователей):

userdb {
 driver = passwd
}

userdb {

driver = passwd

}

Теперь нужно указать Dovecot сокет для прослушивания. Делается это в секции service auth:

service auth {
 unix_listener /var/spool/postfix/private/auth {
 mode = 0666
 user = postfix
 group = postfix
 }
}

service auth {

unix_listener /var/spool/postfix/private/auth {

mode = 0666

user = postfix

group = postfix

}

Ну и наконец пропишем путь до сертификата и его закрытого ключа (я использую автоматически созданный самозаверенный сертификат Postfix):

ssl = yes
ssl_cert = </etc/ssl/certs/ssl-cert-snakeoil.pem
ssl_key = </etc/ssl/private/ssl-cert-snakeoil.key

ssl = yes

ssl_cert = </etc/ssl/certs/ssl-cert-snakeoil.pem

ssl_key = </etc/ssl/private/ssl-cert-snakeoil.key

Примечание: если хотите сгенерировать отдельный сертификат, то рекомендую обратиться к статье Конфиг Dovecot для связки с Postfix, PostfixAdmin, MySQL, там есть пример. Ещё один вариант создания самозаверенного сертификата – использовать специальный скрипт Dovecot – mkcert.sh ⁸.

С аутентификацией разобрались.

Хранилище

Настройка хранилища в упрощенной конфигурации с локальными учетками упирается всего лишь в один параметр:

mail_location = maildir:~/Maildir:LAYOUT=fs

1	mail_location = maildir:~/Maildir:LAYOUT=fs

Запись означает, что почта будет храниться в формате maildir ⁹ (maildir:) в домашнем каталоге текущего пользователя (~/) внутри папки Maildir (Maildir), используя иерархию каталогов (:LAYOUT=fs), а не в плоском виде как то подразумевает формат Maildir++ ¹⁰.

Примечание: больше информации о формате параметра mail_location вы найдете в официальной документации ¹¹.

На этом настройка хранилища завершена.

Необязательные настройки

Есть некоторые необязательные опции, на которые можно не обращать внимания, но тем не менее их настройка обеспечит некоторое удобство в будущем. Одна из них – дефолтные каталоги почтовых ящиков.

В более ранних версиях Dovecot (2.0 и старше) использовался плагин Autocreate ¹², теперь же он устарел и рекомендуют использовать директиву namespace inbox ¹³. Вот один из вариантов конфигурации:

namespace inbox {
 inbox = yes
 mailbox Drafts {
 special_use = \Drafts
 auto = subscribe
 }
 mailbox Junk {
 special_use = \Junk
 auto = subscribe
 }
 mailbox Trash {
 special_use = \Trash
 auto = subscribe
 }
 mailbox Sent {
 special_use = \Sent
 auto = subscribe
 }
}

namespace inbox {

inbox = yes

mailbox Drafts {

special_use = \Drafts

auto = subscribe

}

mailbox Junk {

special_use = \Junk

auto = subscribe

}

mailbox Trash {

special_use = \Trash

auto = subscribe

}

mailbox Sent {

special_use = \Sent

auto = subscribe

}

Теперь можно объединить все настройки в один работающий конфиг.

Итоговый конфиг Dovecot

Итоговый вариант конфигурации не подразумевает использования доп. конфигов из директории conf.d.

mail_location = maildir:~/Maildir:LAYOUT=fs
protocols = imap pop3
disable_plaintext_auth = no

userdb {
 driver = passwd
}
auth_username_format = %n
passdb {
 driver = pam
}

service auth {
 unix_listener /var/spool/postfix/private/auth {
 mode = 0666
 user = postfix
 group = postfix
 }
}

ssl = yes
ssl_cert = </etc/ssl/certs/ssl-cert-snakeoil.pem
ssl_key = </etc/ssl/private/ssl-cert-snakeoil.key

namespace inbox {
 inbox = yes
 mailbox Drafts {
 special_use = \Drafts
 auto = subscribe
 }
 mailbox Junk {
 special_use = \Junk
 auto = subscribe
 }
 mailbox Trash {
 special_use = \Trash
 auto = subscribe
 }
 mailbox Sent {
 special_use = \Sent
 auto = subscribe
 }
}

mail_location = maildir:~/Maildir:LAYOUT=fs

protocols = imap pop3

disable_plaintext_auth = no

userdb {

driver = passwd

}

auth_username_format = %n

passdb {

driver = pam

}

service auth {

unix_listener /var/spool/postfix/private/auth {

mode = 0666

user = postfix

group = postfix

}

ssl = yes

ssl_cert = </etc/ssl/certs/ssl-cert-snakeoil.pem

ssl_key = </etc/ssl/private/ssl-cert-snakeoil.key

namespace inbox {

inbox = yes

mailbox Drafts {

special_use = \Drafts

auto = subscribe

}

mailbox Junk {

special_use = \Junk

auto = subscribe

}

mailbox Trash {

special_use = \Trash

auto = subscribe

}

mailbox Sent {

special_use = \Sent

auto = subscribe

}

Ну и не забываем перезапустить демона:

service dovecot restart

1	service dovecot restart

На этом настройка завершена.

blog.bissquit.com

Базовая настройка Postfix и Dovecot

Базовая настройка Postfix и Dovecot

Базовая настройка

Настройка DNS

Конфигурация Postfix

Безопасность

Хранилище

Итоговый конфиг Postfix

Конфигурация Dovecot

Аутентификация

Хранилище

Необязательные настройки

Итоговый конфиг Dovecot

Похожие статьи: