Настройка на SASL удостоверяване за Postfix SMTP сървър

Осигуряването на пощенски сървъри изисква време, усилия и финансови ресурси. Ако сте администратор на пощенски сървър, едно нещо, което най-много ви плаши, трябва да бъде шансовете вашият сървър да бъде компрометиран. Никой не иска сървърите им да станат открити реле.

SMTP сървъри или Postfix, като цяло, са полезни за осигуряване на вашите сървъри. Те използват параметъра mynetworks, за да определят доверени податели в мрежата. Това беше доста лесно преди няколко десетилетия, тъй като институции и организации използваха LAN, за да определят потребителите в мрежата.

Но нещата вече не са същите и тази статия ще обясни разликата. Тази статия ще обясни как работи Postfix SMTP с аутентикация SASL. Но по-важното е, че тази статия съдържа подробно ръководство за настройване на аутентикация SASL за Postfix SMTP и активиране на аутентикацията.

Как Postfix SMTP работи с SASL удостоверяване

Ние сме в 21-ви век и днешният среден офис служител иска максимална мобилност. Те искат да могат да изпращат и получават имейли на смартфони, лаптопи, таблети или домашни компютри. Работата вече не е институционализирана както преди.

Postfix SMTP цели да запълни пропуските в мобилността. Той използва Simple Authentication and Security Layer (SASL) за валидиране на потребителите. SASL е рамка, която в момента се използва от много интернет програми и приложения с ориентация към свързване, за да осигури сигурност на данните, сървърите и за валидиране на потребителите.

Така, активирането на SASL в системите ви гарантира, че Postfix ще приема само STMP връзки с надеждни удостоверявания. SMTP сървърите надеждно ще определят дали SMTP клиентът има авторизация да изпраща имейли до отдалечени устройства или само до местоназначения около сървъра.

Разбира се, SMTP сървърите често позволяват имейли към отдалечени дестинации, стига клиентът и сървърът да са в рамките на един и същи IP адрес. Но клиентите, които са далеч от IP адреса на сървъра, ще имат нужда от други начини за достъп до привилегиите на "същата мрежа". Тук идва на помощ SASL удостоверяването.

Postfix SMTP поддържа реализации на SASL, защото имат необходимата за това архитектура на плъгини. Отдалечен SMTP потребител с тази комбинация ще се удостоверява на вашия Postfix SMTP сървър. По подобен начин, клиент на Postfix SMTP ще може да се удостоверява на вашия отдалечен SMTP сървър. И с успешна автентикация, в двата случая, сървърът ще предостави на клиента същите мрежови права.

Въпреки това, заслужава да се отбележи, че Postfix не реализира SASL независимо. Вместо това, той използва наличните реализации в рамките на SASL като свои строителни блокове. Това предполага, че няколко конфигурационни файла на SASL принадлежат на Postfix.

И това ни връща към финалната част на този проект!

Конфигуриране на SASL удостоверяване за работа с Postfix SMTP сървър

Функционален SASL фреймуърк е необходим за успешно удостоверяване с SMTP сървъри. Освен това ще ви е необходима поддръжка на TLS/SSL за имейл сървъра.

Следващите стъпки са необходими;

Стъпка 1: Настройте библиотеките SASL

Първо, трябва да изберете коя версия на SASL искате да използвате. Следната команда трябва да ви помогне да инсталирате библиотеките на SASL, ако нямате SASL инсталиран на системата си.

След като приключите, използвайте следната команда, за да потвърдите SASL реализациите, които вашата инсталация на Postfix ще поддържа. Следните команди ще помогнат:

В предишната илюстрация, -a е командата за SMTP от страна на сървъра, докато –A е командата за SMTP от страна на клиента. Резултатът е, че сървърната страна поддържа както Dovecot, така и Cyrus SASL, докато клиентската страна поддържа само реализацията на Cyrus SASL. Вашите резултати с командите може да бъдат различни.

Стъпка 2: Конфигурирайте Dovecot SASL и Cyrus SASL

В тази илюстрация ще демонстрираме как да конфигурирате Dovecot SASL и Cyrus SASL. Въпреки това, вие ще изберете какво най-добре работи за вашите системи, в зависимост от вашите интереси и наличните опции за поддръжка.

Конфигурирайте Dovecot и установете комуникация между SMTP Postfix и Dovecot SASL

Dovecot е IMAP сървър. Той разполага с набор от конфигурации, които му позволяват да удостоверява IMAP клиенти. В случаи, когато конфигурирате Postfix SMTP сървъри да използват Dovecot SASL, сървърите ще използват част от конфигурацията на SASL.

И така, уверете се, че правилно конфигурирате Dovecot SASL в системите си, използвайки следната команда:

Преминете към установяване на връзка между SMTP Postfix и Dovecot SASL. Ще направим това чрез UNIX домейн за подобрена конфиденциалност. В следната фигура ще приемем, че нашата Postfix опашка е под /var/spool/postfix/, както е показано в линия 4:

От редове 5-8 ще забележите, че илюстрацията само ограничава правата за четене и писане до потребители и групи с постфикси. От друга страна, ред 14 показва, че SASL ще използва само механизми за чист текст PLAIN и LOGIN.

Конфигурирайте Cyrus SASL и установете комуникация между Postfix и Cyrus SASL

Cyrus SASL рамката е универсална и поддържа много програми и приложения, включително IMAP, POP и SMTP. Конфигурирането на Cyrus SASL започва с определянето на името и местоположението на конфигурационния файл. Това описва как SMTP ще използва рамката на Cyrus SASL. По подразбиране винаги е SMTP и трябва успешно да се конфигурира, използвайки тези променливи.

Стъпка 3: Конфигуриране на Postfix

Два конфигурационни файла, които можете да използвате за управление на Postfix сървъра, са main.cf и master.cf. Файлът master.cf успешно ще конфигурира всички подсистеми на Postfix, от които може да имате нужда, включително реле, опашка, чистени и SMTP, наред с други. Освен това, тук ще уточните дали подсистемите на Postfix ще работят в ограничена среда или ако искате да изберете подробен регистър. Тази стъпка също ще определи портовете, които искате да бъдат ограничени.

Следващият екранен снимка показва Postfix STMP с подробна регистрация и работа в chroot затвор. Тя също така показва, че Postfix слуша на портове 2525 и 25.

Предишният образ илюстрира какво ще покаже файлът master.cf. Въпреки това, файлът main.cf ще бъде по-сложен. Той ще покаже всички малки подмножества на конфигурационните опции, а всичко, което не е посочено, ще остане на своите основни настройки.

Стъпка 4: Генерирайте файл sasl_passwd в обикновен текст

Текстовият файл трябва да изглежда така:

Първият ред указва дестинацията, към която Postfix ще пренасочва имейли, докато останалите редове са потребителски данни от списъка.

Можете също така да генерирате хеширана версия на същия файл, както е показано по-долу:

Стъпка 5: Конфигурирайте Cyrus SASL на страна на сървъра

Вече се справихме с конфигурирането на SASL от страната на клиента. Нека сега го конфигурираме и от страната на сървъра. Ще използваме Cyrus SASL заедно с помощния sasldb и плъгин за свойства (auxprop).

Следната фигура показва как трябва да изглежда конфигурацията на приставката:

Стъпка 6: Създайте клиентските удостоверения

Създайте клиентски удостоверения на сървърната страна. Само клиентите, чиито удостоверения се появяват правилно на сървъра, ще имат връзка със сървъра Postfix.

Редове 5 и 6 позволяват да копирате базата данни с пароли, тъй като пакетният Postfix на Ubuntu съществува в chroot среда. След като бъде копирана, Postfix ще прочете базата данни и ще коригира правата. След това можете да рестартирате Postfix и всичко е готово.

Заключение

Postfix SMTP несъмнено е един от най-утвърдените софтуер за предаване на поща с отворен код. Той надеждно маршрутизира и доставя имейли. Най-значителното му предимство пред други MTA, като Sendmail, е, че е доста лесен за конфигуриране и използване. Предишната конфигурация ще маршрутизира имейли само от клиенти, които вече са удостоверени с SASL. Така че конфигурирахме Postfix да действа като SMTP опашка и реле.