Dotaz: SMTP a overeni uzivatele - poradte novackovi, prosim.

[Lukas Koubek]

Ahoj kluci. Potrebuju trosku pomoct do zacatku. Jeste pred mesice jsem pomalu nevedel, co je Linux a ted uz jsem si na svojim Debianku rozchodil i Postfix, jakozto muj lokalni smtp server. Sice ho mam (podle me) nepristupny z venci, ale presto bych si rad udelal nejakou tu TLS autentizaci (nebo jak se to presne jmenuje). Muzete me odkazat na nejaky lehce srozumitelny navod pro novacka, jak to udelat? Nechci nic slozite, smtp server budou vyuzivat asi jen tri lidi se trema mailovyma adresama. Diky za rady.

Odpovědi

[Filip Jirsák]

Potsfix má dobrou dokumentaci přímo na webu, určitě tam najdete buď přímo popis nastavení autentizace, nebo odkazy na nějaké články zabývající se tímto tématem.

Spíš než TLS autentizaci bych ale doporučil něco jiného. Nastudovat pořádně, jak fungují sítě TCP/IP, jak funguje firewall, jak funguje protokol SMTP a doručování pošty. Abyste si tím „nepřístupný z venčí“ mohl být jistý. Předpokládám, že pokud bude ten server používat i někdo další, bude sloužit minimálně k odesílání e-mailů do internetu. A to bohatě stačí na to, aby rozesílal spam – ať už z nějakého zavirovaného PC někoho z lidí, kdo k němu má přístup, nebo různá oznámení o chybách jako následek špatné konfigurace. Spousta spamu nejspíš pochází právě z takových SMTP serverů, které si někdo jenom nainstaloval a spustil, ale neumí je pořádně spravovat.

Nechci vás od vašeho úmyslu nijak zrazovat, každý se správou poštovního serveru nějak začínal, ale zvlášť u konfigurace poštovního serveru to tady v Poradně píšu snad každému nováčkovi – nejprve si pečlivě nastudujte principy, a teprve až budete mít představu o tom, jak to celé funguje a jaká jsou nejčastější nebezpečí, pusťte se do experimentování. A experimentujte vždy tak, aby nechtěné e-maily neodcházeli do internetu, a teprve až to budete mít vyzkoušeno, aplikujte to na ostro. Pokud špatně nakonfigurujete třeba web server a pustíte ho, maximálně se někdo nedostane na vaše stránky. Pokud špatně nakonfigurujete poštovní server a spustíte ho, může klidně během minuty rozeslat stovky nevyžádaných e-mailů do celého světa.

[magnum]

Tu je moj main.cf pre inspiraciu... v zivote som tieto veci nezverejnil ani to velmi neschvalujem ale takto sa hram na vlastnom piesocku a ak mi to nikto neskritizuje tak sa nikdy nedozviem v com by mohol byt problem... ktovie ci to je takto dobre hoci mejly prechadzaju...

[inak som len nahodou tukol na Filipov profil a som sa docital ze tiez dlho pouzival linux ako server a na desktop sa dostal az neskor... neviem ci je to rokom narodenia ale v tomto som tiez podobny... roooky som pouzival slackware na serveroch a na desktop som stale tlacil kdejake distribucie (a kvoli tomu aj dualboot win) okrem slacku... az cca pred 2 rokmi som sa odvazil a zistil som o com som prisiel... (ale asi som sa bal sklamania bo slack je u mna top)]

root@duron:~# cat /etc/postfix/main.cf
queue_directory = /var/spool/postfix
command_directory = /usr/sbin
daemon_directory = /usr/libexec/postfix
mail_owner = postfix
myhostname = example.org
in_flow_delay=0
mydomain = org
myorigin = $mydomain
mydestination = $myhostname, localhost.$mydomain, localhost, postfix.$mydomain
unknown_local_recipient_reject_code = 550
#mynetworks_style = host
mynetworks = tak tu su moj privatne siete... a localhost...
alias_maps = hash:/etc/aliases
mailbox_transport = maildrop
smtpd_banner = example.org ESMTP Welcome to hell!
local_destination_concurrency_limit=10
default_destination_concurrency_limit=15
debug_peer_level = 6
sendmail_path = /usr/sbin/sendmail
newaliases_path = /usr/bin/newaliases
mailq_path = /usr/bin/mailq
html_directory = no
manpage_directory = /usr/share/man
sample_directory = /usr/share/doc/postfix-2.4.3/samples
readme_directory = /usr/share/doc/postfix-2.4.3/README_FILES
virtual_alias_maps = mysql:/etc/postfix/mysql_virtual_alias_maps.cf
virtual_gid_maps = static:102
virtual_mailbox_base = /home
virtual_mailbox_domains = mysql:/etc/postfix/mysql_virtual_domains.cf
virtual_mailbox_limit = 102400000
virtual_mailbox_maps = mysql:/etc/postfix/mysql_virtual.cf
virtual_minimum_uid = 100
maildrop_destination_recipient_limit=1
virtual_transport = maildrop
virtual_uid_maps = static:1000
smtpd_recipient_restrictions =
    permit_sasl_authenticated,
    permit_mynetworks,
    reject_unauth_destination
    check_policy_service unix:/var/spool/postfix/postgrey/socket
smtpd_sasl_auth_enable = yes
smtpd_sasl_local_domain = example.org
smtpd_sasl_security_options = noanonymous
smtpd_sasl_authenticated_header = yes
smtpd_sasl_type = cyrus
smtpd_sasl_path = /var/state/saslauthd/mux
broken_sasl_auth_clients = yes
smtpd_use_tls = yes
smtpd_tls_auth_only = yes
smtpd_tls_key_file = /etc/postfix/pki/smtpd.key
smtpd_tls_cert_file = /etc/postfix/pki/smtpd.crt
smtpd_tls_CAfile = /etc/postfix/pki/cacert.pem
smtpd_tls_received_header = yes
smtpd_tls_session_cache_timeout = 3600s
tls_random_source = dev:/dev/urandom
content_filter=smtp-amavis:[127.0.0.1]:10024
message_size_limit = 40000000