Dotaz: Nastavení klientských certifkátů v postfixu

[TTTTT]

Nastavuju postfix a cíl je ať

• akceptuje příchozí emaily pro zadanou doménu,
• umožní posílat e-maily kamkoliv tomu, kdo se prokáže klientským certifikátem

Pro SASL používám dovecot smtpd_sasl_type=dovecot, který má klientské certifikáty nastavené. Pokud se pokusím poslat e-mail, selže ověření certifikátu

 SASL PLAIN authentication failed: Client didn't present valid SSL certificate.

Postfix patrně nepředá certifikát dovecotu, a ten ho bez něj odmítne. Dovecot ten samý certifikát akceptuje pro IMAP, tedy certifikát by měl být v pořádku. Dokážu vynutit klientský certifikát v postfixu pomocí

auth_ssl_require_client_cert = yes

a vypnout certifikáty v dovecotu, pak odesílání funguje, ale zaříznu příchozí e-maily. Snažím se tedy (neúspěšně)

• přemluvit postfix, ať předá certifikát dovecotu
• nebo přemluvit postfix, ať mě po ověření certifikátu považuje za "trusted" uživatele

Asi by šlo nakonfigurovat dvě instance postfixu - jednu na odesílání a druhou na přijímání, ale tipuju, že to není to správné řešení. Jak se dá nejlépe dosáhnout výše uvedené konfigurace?

Odpovědi

[NN]

Nekde tady jsem myslim zahledl reseni pres dve instance dovecot.

[TTT]

Tam řeší jiný problém - aby se lokální uživatel (postfix) nemusel prokazovat certifikátem. Toho dokážu dosáhnout pomocí

protocol !smtp {
  auth_ssl_require_client_cert = yes
}

Já chci, aby postfix uživatele, který má certifikát, považoval za důvěryhodného, a umožnil mu poslat mail kamkoliv, a od uživatele, který nemá certifikát přijal jen maily pro lokální doménu. Tedy dovecot mi stačí jeden - takový, který vyžaduje certifikát. V tom druhém případě nemá proběhnout žádné ověření uživatele.

[TTTTT]

Postfix neumí předat certifikát dovecotu. Podařilo se mi však nastavit postfix tak, aby mohl na doménu serveru doručit kdokoliv a odeslat jen ten, kdo předloží klientský certifikát a autorizuje se pomocí hesla dovecotu. Certifikační autoritu sdílím mezi postfixem a dovecotem.

smtpd_tls_CAfile = /etc/pki/dovecot/certs/ca.pem
smtpd_tls_CApath = 

smtpd_sasl_type = dovecot
smtpd_sasl_auth_enable = yes
smtpd_tls_auth_only = yes
smtpd_tls_ask_ccert = yes

smtpd_relay_restrictions = permit_mynetworks, permit_tls_all_clientcerts, reject_unauth_destination

permit_tls_all_clientcerts ověřuje certifikáty proti známým certifikačním autoritám. Známá certifikační autorita je jen ta, kterou jsme zadali. Nabízí se permit_tls_clientcerts, ale to umožní jen povolit certifikáty podle otisku, bez toho, aby se ověřil jejich podpis. Podobně check_client_access umožní nastavit identifikaci podle otisku, ale ne podle ověření. V dovecotu je pak potřeba nastavit, aby při ověření od postfixu nepožadoval klientský certifikát.