почтовый сервер на основе Postfix

Постановка задачи: Необходимо установить почтовый сервер Postfix в качестве MTA для произвольного числа доменов; установить и настроить Dovecot 2.x в качестве MDA; в качестве хранилища пользователей — использовать базу данных MySQL; в качестве бэкэнда для управления доменами и пользователями установить и настроить PostfixAdmin; в качестве web-интерфеса установить и настроить RoundCube; обеспечить защиту от спама и вирусов используя цифровую подпись DKIM, dspam и ClavaAV соответственно.

Таки да, существует масса статей по настройке почтового сервера Postfix в связке с Dovecot и хранением виртуальных пользователей в базе MySQL. В первую очередь, статью писал для себя лично. На best practice не претендую, но данная конфигурация замечательно работает нескольких серверах и обслуживает десяток доменов. Кстати, настройка почтового сервера — эта та часть работы, когда создать тестовый вариант и протестировать всё «в живую» довольно сложно, и часто приходится настраивать сразу Production сервер со всеми вытекающими… Кстати, Dovecot значительно меньше представлен в русскоязычном Интернете, и если представлен — то в виде массы разрозненных частей с абсолютно разной реализацией для версии 1.х. Да и многим статьям уже по нескольку лет)).

Примечание: Статья до сих пор актуальна (03/2018), хотя местами, было дело, немного подустарела. Давеча развёртывал новый почтовый сервер на Debian9, пришлось слегка повозиться и внести некоторые «косметические» правки.

Что имеем в исходных данных:

• Плaтформа Debian 9 (Stretch)
• PostfixAdmin 3.0.x
• Postfix 3.1.x
• Dovecot 2.2.x;
• MySQL MariaDB 10.x;
• Roundcube, OpenDKIM — дополнительные пакеты.

Итак, приступаем к настройке почтового сервера:

1. Предварительные настройки
2. Установка и настройка PostfixAdmin
3. Настройка Postfix для работы с MySQL
4. Детальная настройка Postfix
5. Настройка Dovecot

1. Предварительные настройки

Уверен, что LAMP уже успешно настроен на Вашем сервере… Если нет, до-установите его и вот эту небольшую «вязанку» пакетов:

dmitry@mail:~$ sudo apt-get install apache2 libapache2-mod-php7.0 php7.0 php7.0-common php7.0-curl php7.0-gd php7.0-mysql php7.0-imap mysql-server default-mysql-client mysql-common

Убедитесь, что Ваш сервер имеет верные значения в /etc/hostname, /etc/mailname и /etc/hosts. Приведите их к следующему виду:

dmitry@mail:~$ cat /etc/hostname
mail

dmitry@mail:~$ cat /etc/mailname
example.com

dmitry@mail:~$ cat /etc/hosts
127.0.0.1 localhost 
32.64.22.54 mail.example.com mail 

Здесь 32.64.22.54 — IP-адрес Вашего почтового сервера; mail.example.com — каноническое имя Вашего почтового сервера, в mailname можете оставить FQDN-имя. Не забудьте добавить PTR-запись в карточку DNS Вашего домена — многие почтовые сервера проверяю наличие этой записи, и отклоняют почту в случае, если IP-адрес не соответствует каноническому имени сервера.

Примечание: На самом деле, не сильно принципиально, что Вы пропишите в файле mailname, согласно документации рекомендуется использовать FQDN-имя и эти данные используются различными службами самой системы (non-MTA программами) и к настраиваемому MTA отоношение имеют крайне посредственное. Однако, позаботьтесь о том, чтобы корректно работал резолвинг имени Вашего почтового сервера (mail.example.com) в обе стороны (прямое преобразование: имя -> IP и обратное: IP -> имя). Ведь по факту, мы настраиваем мультидоменный почтовый сервер, который будет обслуживать дестяки доменов и самое важное, как именно Вы настроите сам MTA и MDA.

Финальным аккордом поставм пакеты Postfix и Dovecot с конфигурацией по умолчанию — это нужно, чтобы остальные пакеты устанавливались впоследствии правильно.

dmitry@mail:~$ sudo apt-get install postfix postfix-mysql dovecot-core dovecot-mysql dovecot-imapd dovecot-pop3d dovecot-sieve 

Примечание: Dovecot уже не ставится одним пакетом — необходимо выбирать и устанавливать именно те пакеты, которые Вам нужны. В нашем случае это dovecot-core, dovecot-mysql, dovecot-imapd, dovecot-pop3d и dovecot-sieve. Если мастер postfix предложит вам выбрать вариант настройки - смело выбирайте «Только локальное использование». Эта опция сгенерирует минимально-необходимую конфигурацию и создаст базовые конфигурационне файлы /etc/postfix/{mail.cf,master.cf} - всю остальную настройку мы сделаем самостоятельно.

2. Установка и настройка PostfixAdmin

Всю настройку начинаем именно с PostfixAdmin — это удобный и бесплатный интерфейс для управления почтовым сервером, созданием доменов, ящиков, альясов и проч. Противникам и идейным «линуксоидам» могу ответить, что когда у Вас с десяток доменов и пара сотен ящиков — Вы непременно оцените преимущество данного бэк-энда. С точки зрения разграничения прав, возможности пустить рядовых пользователей в свои настройки и с точки зрения безопасности — у меня никаких нареканий к PostfixAdmin нет. Остальное — вопрос прямоты рук. Решать естественно вам. Можете погуглить дамп базы PostfixAdmin и «залить» его в базу вручную.

Кстати, пакет PostfixAdmin имеется в репозиториях Debian «Stretch» — установим его оттуда:

dmitry@mail:~$ sudo apt-get install postfixadmin

Выбираем apache2, соглашаемся на настройку пакета через dbconfig-common, указываем тип БД как mysql, делимся паролем root-а от БД, указываем новый пароль для пользователя postfixadmin, потдверждаем его и всё! Конфигуратор создаст базу, проведёт все необходимые настройки за Вас — этот процесс характерен для PostfixAdmin 2.3+. В предыдущих версиях чуток разнятся общие «телодвижения».

Теперь открываем в браузере http://your.name.or.ip/postfixadmin/setup.php, указываем пароль супер-администратора и забираем хэш… Теперь редактируем /etc/postfixadmin/config.inc.php, обращая внимание на следующие параметры:

$CONF['configured'] = true;
$CONF['setup_password'] = '63b314e5c67718e98b4ec820527d3ed4:a3484f30c65e69472312c57728e77b4776478084';
$CONF['default_language'] = 'ru';

// указываем шифрование паролей, соответствующее тому, которое используется у Dovecot
$CONF['encrypt'] = 'dovecot:CRAM-MD5';

// Отключаем проверку сущестоввания домена. Бывают ситуации, когда домен еще не виден в Интернете,
// а почта уже должна работать -- эта опция разрешит Вам создать аккаунт для домена, 
// который еще «не вывешен» в Интернет
$CONF['emailcheck_resolve_domain']='NO';

// Мы будем использовать dovecot, поэтому убираем префикс
$CONF['create_mailbox_subdirs_prefix']='';

// укажем утилиту doveadm для создания паролей dovecot
$CONF['dovecotpw'] = '/usr/bin/doveadm pw';

Устранение ошибок: Если Вы столкнулись с ошибкой 'can't encrypt password with dovecotpw, see error log for details', проверьте присутствие файла /usr/sbin/dovecotpw в вашей системе, в ином случае используйте /usr/bin/doveadm, для этого подправите $CONF['dovecotpw'] = '/usr/bin/doveadm pw'. Дополнительно, можете проверить работоспособность doveadm:

root@mail:/# doveadm pw -s CRAM-MD5 -p 'password'
{CRAM-MD5}9186d855e11eba527a7a52ca82b313e180d62234f0acc9051b527243d41e2740

Также, как видите, с версии PostfixAdmin 2.3+ внесли ясность с форматом шифрования паролей для Dovecot. Ранее это был особый вариант извращения, решить проблему использования md5crypt и CRAM-MD5. Задавайте метод шифрования изначально, так как выбрав один раз MD5 Вы не сможете в дальнейшем безболезненно перейти, например, на CRAM-MD5.

Устранение ошибок:

Если на странице http://your.name.or.ip/postfixadmin/setup.php есть ошибки, исправьте их все, как то, например:

• Error: Smarty template compile directory templates_c is not writable. Please make it writable. => chmod 777 /usr/share/postfixadmin/templates_c/
• change the database_type to 'mysqli' => vi /etc/postfixadmin/dbconfig.inc.php, $dbtype='mysqli';

Установленный PostfixAdmin добавит таблицы в БД. Их дамп Вы можете посмотреть/скачать здесь. Основываясь именно на этом дампе, мы и будем строить наш бесплатный, отказо- и спамо- устойчивый почтовый сервер на базе Postfix.

Изначально добавим один наш домен example.com в обслуживание почтового сервера, настроим парочку альясов и еще чего зацепим по дороге… Где-то так —

3. Настройка Postfix для работы с MySQL

Оглядываясь на структуру mysql-таблиц PostfixAdmin, создадим необходимые файлы конфигурации и свяжем Postfix, PostfixAdmin и MySQL…

3.1 Виртуальные домены Postfix

dmitry@mail:/etc/postfix$ sudo vim /etc/postfix/mysql-virtual-mailbox-domains.cf

user = postfixadmin 
password = myVerySecurePasswordFromUserPostfixadmin
hosts = 127.0.0.1
dbname = postfixadmin
query = SELECT 1 FROM `domain` WHERE `domain` = '%s' AND backupmx = '0' AND active = '1'

Этот файл содержит запрос к базе данных из которого сервер извлекает виртуальный домен с учётом активен он или «отключён за неуплату». Теперь внесем изменения в конфигурацию самого сервера Postfix:

dmitry@mail:/etc/postfix$ sudo postconf -e virtual_mailbox_domains=mysql:/etc/postfix/mysql-virtual-mailbox-domains.cf

Проверим, что наш вирутальный домен находится в БД и postfix его видит:

dmitry@mail:/etc/postfix$ sudo postmap -q example.com mysql:/etc/postfix/mysql-virtual-mailbox-domains.cf
1

Вы должны увидеть цифру 1 если все правильно настроено.

3.2 Альясы

Настроим альясы (для пересылки почты с одного ящика или домена на другой, или с нескольких на один). Ранее мы добавили несколько стандартных альясов (abuse@example.com, hostmaster@example.com, postmaster@example.com webmaster@example.com) для нашего реального пользователя admin@example.com и один домен-альяс. Другими словами, вся почта, пришедшая на адреса этих альясов будет пересылаться на ящик admin@example.com.

dmitry@mail:/etc/postfix$ sudo vim /etc/postfix/mysql-virtual-alias-maps.cf

user = postfixadmin 
password = myVerySecurePasswordFromUserPostfixadmin
hosts = 127.0.0.1
dbname = postfixadmin
query = select `goto` from `alias` where `address` = '%s'

Здесь же настроим пересылку почты между доменами. Мы создали в PostfixAdmin основной домен example.com и добавили домен-альяс mail.example.com. Научим наш почтовый сервер принимать почту для этого домена-альяса и пересылать её на основной домен…

dmitry@mail:/etc/postfix$ sudo vim /etc/postfix/mysql-virtual-alias-domain-maps.cf

user = postfixadmin 
password = myVerySecurePasswordFromUserPostfixadmin
hosts = 127.0.0.1
dbname = postfixadmin
query = SELECT goto FROM alias,alias_domain WHERE alias_domain.alias_domain = '%d' and alias.address = CONCAT('%u', '@', alias_domain.target_domain) AND alias.active = 1

Научим Postfix работать с альясами почтовых ящиков и доменами-альясами:

dmitry@mail:/etc/postfix$ sudo postconf -e 'virtual_alias_maps=mysql:/etc/postfix/mysql-virtual-alias-maps.cf, mysql:/etc/postfix/mysql-virtual-alias-domain-maps.cf'

Проверим работоспособность наших альясов. Вы должны увидеть ящик на который будет пересылаться почта если все правильно настроено.

dmitry@mail:/etc/postfix$ sudo postmap -q postmaster@example.com mysql:/etc/postfix/mysql-virtual-alias-maps.cf
admin@example.com

dmitry@mail:/etc/postfix$ sudo postmap -q webmaster@example.com mysql:/etc/postfix/mysql-virtual-alias-maps.cf
admin@example.com

dmitry@mail:/etc/postfix$ sudo postmap -q admin@mail.example.com mysql:/etc/postfix/mysql-virtual-alias-domain-maps.cf
admin@example.com

3.3 Ретрансляция (пересылка) почты

Укажем перечень (список) доменов для которых будет приниматься почта для дальнейшей пересылки. Этот механизм также необходим для организации ретрансляции почты. Например, у Вас существует несколько MX записей с разными приоритетами, и если почта пришла на сервер с более низким приоритетом мы примем её и перешлём на основной(главный)почтовый сервер.

Как пример, добавим в наш почтовый сервер домен mail.customer.com для обслуживания, отметив его как «Резервный MX». Этого достаточно, чтобы заработала ретрансляция почты для данного отдельно выбранного домена через наш почтовый сервер.

Часто данный механизм используют, чтобы разрешить отправку почты со всех серверов отдельного кластера, без необходимости полноценной настройки почтовой службы на каждом отдельном сервере. В таком случае, наш почтовый сервер становится релеем для всех серверов кластера.

dmitry@mail:/etc/postfix$ sudo vim /etc/postfix/mysql-relay-domains.cf

user = postfixadmin
password = myVerySecurePasswordFromUserPostfixadmin
hosts = 127.0.0.1
dbname = postfixadmin
query = SELECT domain FROM domain WHERE domain='%s' AND backupmx = '1' AND active = '1'

Добавим настройку в Postfix:

dmitry@mail:/etc/postfix$ sudo postconf -e 'relay_domains = mysql:/etc/postfix/mysql-relay-domains.cf'

Проверим, что ретрансляция почты работает правильно.

dmitry@mail:/etc/postfix$ sudo postmap -q mail.customer.com mysql:/etc/postfix/mysql-relay-domains.cf
mail.customer.com

3.4 Виртуальные пользователи или почтовые ящики Postfix

dmitry@mail:/etc/postfix$ sudo vim /etc/postfix/mysql-virtual-mailbox-maps.cf

user = postfixadmin
password = myVerySecurePasswordFromUserPostfixadmin
hosts = 127.0.0.1
dbname = postfixadmin
query = SELECT username FROM mailbox WHERE username='%s' AND active = '1'

Этот файл содержит запрос к базе данных из которого сервер извлекает пользователя с учётом активен этот ящик или нет. Внесем изменения в конфигурацию самого сервера Postfix:

dmitry@mail:/etc/postfix$ sudo postconf -e virtual_mailbox_maps=mysql:/etc/postfix/mysql-virtual-mailbox-maps.cf

Проверим, что наш вирутальный пользователь находится в БД и postfix его видит:

dmitry@mail:/etc/postfix$ sudo postmap -q admin@example.com mysql:/etc/postfix/mysql-virtual-mailbox-maps.cf
admin@example.com

Настройка связывания Postfix с MySQL завершена.

4. Детальная настройка Postfix

Сложилось исторически, что почта будет работать из-под свежесозданного пользователя и группы, так давайте создадим их:

dmitry@mail:/$ sudo groupadd vmail -g 5000
dmitry@mail:/$ sudo useradd vmail -g vmail -u 5000 -d /home/vmail -m
dmitry@mail:/$ sudo cat /etc/passwd | grep vmail

vmail:x:5000:5000::/home/vmail:/bin/sh

Внесем эти изменения в конфигурацию Postfix’a:

dmitry@mail:/$ sudo postconf -e virtual_uid_maps=static:5000
dmitry@mail:/$ sudo postconf -e virtual_gid_maps=static:5000

Выставим правильные права доступа на файлы конфигурации почтового сервера, ведь в них хранятся пароли от базы данных

dmitry@mail:/$ sudo chgrp postfix /etc/postfix/mysql-*.cf
dmitry@mail:/$ sudo chmod u=rw,g=r,o= /etc/postfix/mysql-*.cf

Заодно подготовим самоподписанный сертификат для Postfix

root@mail:/# mkdir /etc/postfix/certs 
root@mail:/# mkdir /etc/postfix/certs/private
root@mail:/# openssl req -new -x509 -days 3650 -nodes -out /etc/postfix/certs/postfix.pem -keyout /etc/postfix/certs/private/postfix.pem
Generating a 2048 bit RSA private key
...+++
........................................................+++
writing new private key to '/etc/postfix/certs/private/postfix.pem'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:BY
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:Minsk
Organization Name (eg, company) [Internet Widgits Pty Ltd]:demon.of.by
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:demon.of.by
Email Address []:spam2ban@demon.of.by

Теперь подправим «чуток» наш основной конфигурациооный файл /etc/postfix/main.cf. Идея в принципе светлая — получить безопасный и надежный почтовик с поддержкой мультидоменов и спамоустойчивый по максимому. Вначале, как принято «простыня» конфигурационных опций, потом описание что и куда и как.

# See /usr/share/postfix/main.cf.dist for a commented, more complete version


# Debian specific:  Specifying a file name will cause the first
# line of that file to be used as the name.  The Debian default
# is /etc/mailname.
#myorigin = /etc/mailname

##
# General
#

smtpd_banner = $myhostname ESMTP $mail_name
biff = no

# appending .domain is the MUA's job.
append_dot_mydomain = no

# Uncomment the next line to generate "delayed mail" warnings
#delay_warning_time = 4h

readme_directory = no

# See http://www.postfix.org/COMPATIBILITY_README.html -- default to 2 on
# fresh installs.
compatibility_level = 2

myhostname = mail.example.com
mydomain = example.com
myorigin = $mydomain

# Следите, чтобы здесь не было $myhostname и $mydomain иначе посыпятся 
# ошибоки вида  "do not list domain in BOTH mydestination and virtual_mailbox_domains"
mydestination = localhost.ec2.internal, localhost, localhost.$mydomain

# Альясы системных пользователей сервера
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases

mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
recipient_delimiter = +
inet_interfaces = all
inet_protocols = ipv4

##
# TLS parameters
#
smtpd_tls_cert_file = /etc/postfix/certs/postfix.pem
smtpd_tls_key_file = /etc/postfix/certs/private/postfix.pem
smtpd_use_tls = yes
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache

# See /usr/share/doc/postfix/TLS_README.gz in the postfix-doc package for
# information on enabling SSL in the smtp client.


##
# Virtual
#
virtual_uid_maps = static:5000
virtual_gid_maps = static:5000
virtual_minimum_uid = 5000
virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual-mailbox-domains.cf
virtual_alias_maps = mysql:/etc/postfix/mysql-virtual-alias-maps.cf, mysql:/etc/postfix/mysql-virtual-alias-domain-maps.cf
relay_domains = mysql:/etc/postfix/mysql-relay-domains.cf
virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual-mailbox-maps.cf

##
# Restrictions
#

smtpd_recipient_restrictions =  permit_mynetworks,
                                permit_sasl_authenticated,
                                reject_unauth_destination,
                                reject_unauth_pipelining,
                                check_helo_access hash:/etc/postfix/access_helo,
                                reject_invalid_helo_hostname,
                                reject_non_fqdn_recipient

smtpd_sender_restrictions = permit_mynetworks,
                            permit_sasl_authenticated,
                            reject_non_fqdn_sender,
                            reject_unknown_sender_domain

smtpd_helo_restrictions = permit_mynetworks,
                          permit_sasl_authenticated,
                          reject_non_fqdn_helo_hostname,
                          reject_invalid_helo_hostname

smtpd_data_restrictions = permit_mynetworks,
                          permit_sasl_authenticated,
                          reject_unauth_pipelining,
                          reject_multi_recipient_bounce

smtpd_etrn_restrictions = permit_mynetworks,
                          reject

broken_sasl_auth_clients = yes
smtpd_delay_reject = yes
smtpd_helo_required = yes
strict_rfc821_envelopes = yes
disable_vrfy_command = yes

##
# Limits
#

max_use = 100
mailbox_size_limit = 0
default_process_limit = 100
header_size_limit = 10485760
message_size_limit = 104857600
smtpd_error_sleep_time = 20s
anvil_rate_time_unit = 60s
smtpd_client_connection_count_limit = 100
smtpd_client_connection_rate_limit = 250
smtpd_client_message_rate_limit = 250

##
# Queue
#
maximal_queue_lifetime = 1d
bounce_queue_lifetime = 1d

Создать файл /etc/postfix/access_helo диктует необходимость. К сожалению, существуют почтовые сервера, от которых надо принимать почту, но настроены они не совсем правильно.

root@mail:/# vim /etc/postfix/access_helo

proxmox.packlines.local OK
packline.com    OK
mail.ru OK
127.0.0.1 REJECT Your server configured incorrectly
localhost REJECT Your server configured incorrectly
localhost.localdomain REJECT Your server configured incorrectly
localhost.domain.com REJECT Your server configured incorrectly
10 REJECT Your server configured incorrectly
172.16 REJECT Your server configured incorrectly
192.168 REJECT Your server configured incorrectly
1.2.3.4 REJECT Your server configured incorrectly

root@mail:/etc/postfix# postmap access_helo

Заодно обработаем файл альсов системных пользователей /etc/aliases:

root@mail:/# postalias /etc/aliases

Примечание: используйте именно утилиту postalias, а не postmap. Иначе получите ошибки вида:

postmap: warning: /etc/aliases, line 2: record is in "key: value" format; is this an alias file?

Теперь можно настраивать Dovecot (Mail Delivery Agent, MDA)

5. Настройка Dovecot

Dovecot 2+ удобно разбит на части, что облегчает его настройку на порядок. С другой стороны, куча мануалов резко устарела по этой причине. Наша задача настроить MDA, так чтобы он отгружал почту по ящикам и папкам, авторизовывал почтовые клиенты через SASL и предоставлял пользователям imap и pop3 (imaps, pop3s), умел и работал с квотами.

5.1 Базовая настройка Dovecot

Минимальное изменение файла /etc/dovecot/dovecot.conf:

login_greeting = I'm MDA. Ready.

Остальная часть конфигурационного файла удобно разбита на составляющие и прекрасно документирована:

root@mail:/# vim /etc/dovecot/conf.d/10-auth.conf

disable_plaintext_auth = no
auth_mechanisms = plain login cram-md5
# Закомментируйте auth-system.conf.ext вовсе, так как у нас креденшелы будут храниться в другом месте.
#!include auth-system.conf.ext
# Расскомментируйте auth-sql.conf.ext, так как будет использоваться SQL.
!include auth-sql.conf.ext


root@mail:/# vim /etc/dovecot/conf.d/10-logging.conf

info_log_path = /var/log/dovecot.info
debug_log_path = /var/log/dovecot.debug
auth_verbose = yes
auth_debug = yes
auth_debug_passwords = yes


root@mail:/# vim /etc/dovecot/conf.d/10-mail.conf

mail_location = maildir:/home/vmail/%d/%n
mail_uid = 5000
mail_gid = 5000
mail_privileged_group = vmail

root@mail:/# vim /etc/dovecot/conf.d/10-master.conf

service imap-login {
  inet_listener imap {
    port = 143
  }
  inet_listener imaps {
    port = 993
    ssl = yes
  }
}
service pop3-login {
  inet_listener pop3 {
    port = 110
  }
  inet_listener pop3s {
    port = 995
    ssl = yes
  }
}
service auth {
  unix_listener auth-userdb {
    mode = 0600
    user = vmail
    group = vmail
  }
  unix_listener /var/spool/postfix/private/auth {
    mode = 0666
    user=postfix
    group=postfix
  }
}


root@mail:/# vim /etc/dovecot/conf.d/10-ssl.conf

ssl = yes
ssl_cert = </etc/dovecot/dovecot.pem
ssl_key = </etc/dovecot/private/dovecot.pem


root@mail:/# vim /etc/dovecot/conf.d/15-lda.conf

lda_mailbox_autocreate = yes
lda_mailbox_autosubscribe = yes
protocol lda {
  mail_plugins = $mail_plugins
}

root@mail:/# vim auth-sql.conf.ext

passdb {
  driver = sql
  args = /etc/dovecot/dovecot-sql.conf.ext
}
userdb {
  driver = sql
  args = /etc/dovecot/dovecot-sql.conf.ext
}

root@mail:/# ls -la /etc/dovecot/{private/*.pem,*.pem}
root@mail:/# openssl req -new -x509 -days 3650 -nodes -out /etc/dovecot/dovecot.pem -keyout /etc/dovecot/private/dovecot.pem
Generating a 2048 bit RSA private key
...+++
........................................................+++
writing new private key to '/etc/dovecot/private/dovecot.pem'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:BY
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:Minsk
Organization Name (eg, company) [Internet Widgits Pty Ltd]:demon.of.by
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:demon.of.by
Email Address []:spam2ban@demon.of.by

Пока не забыли, настроим ротирование лог-файлов Dovecot, иначе они очень быстро начнут занимать сотни мегабайт места. Отключать их полностью смысла нет, они содержат массу полезной информации и пригодятся для анализа как ошибок, так и инцидентов, связанных с безопасностью. Создаём новую задачу для logrotate:

root@mail:/# vim /etc/logrotate.d/dovecot

/var/log/dovecot.debug {
        notifempty
        weekly
        missingok
        rotate 4
        compress
        delaycompress
        create 666 dovecot dovecot
        postrotate
           [ -f /var/run/dovecot/master.pid ] && doveadm log reopen
        endscript
}

/var/log/dovecot.info {
        notifempty
        weekly
        missingok
        rotate 4
        compress
        delaycompress
        create 666 dovecot dovecot
        postrotate
           [ -f /var/run/dovecot/master.pid ] && doveadm log reopen
        endscript
}

root@mail:/# /etc/init.d/rsyslog restart

Заодно обновите права на эти лог файлы, чтобы избежать ошибок вида "Can't open log file /var/log/dovecot.info: Permission denied":

root@mail:/# touch /var/log/dovecot.info && chmod 666 /var/log/dovecot.info
root@mail:/# touch /var/log/dovecot.debug && chmod 666 /var/log/dovecot.debug

5.2 Настройка квот в Dovecot

Настройку квот в Dovecot 2+ я специально вынес в отдельный раздел, так как не все настраивают квотирование на своих почтовых серверах. Кстати, обладая замечательной документацией (Dovecot/Quota/Configuration) наш чудный Dovecot мало того, что в этом вопросе не совсем прозрачен и настройка квот частенько затягивается на несколько часов гугления по десяткам форумов и осмысления вечного… Итак, вначале задействуем необходимые опции в конфигурационном файле PostfixAdmin

// Задаем "потолок" квот по умолчанию
$CONF['aliases'] = '128';
$CONF['mailboxes'] = '128';
$CONF['maxquota'] = '512';
$CONF['domain_quota_default'] = '1024';

// Quota
// активируем механизм квотирования
$CONF['quota'] = 'YES';
// Установите множитель в '1024000' или '1048576', так как бэкэнд PostfixAdmin-а оперирует мегабайтами
$CONF['quota_multiplier'] = '1048576';

// Optional:
// Show used quotas from Dovecot dictionary backend in virtual mailbox listing.
// See: DOCUMENTATION/DOVECOT.txt  http://wiki.dovecot.org/Quota/Dict
$CONF['used_quotas'] = 'YES';

// if you use dovecot >= 1.2, set this to yes. Note about dovecot config: table "quota" is for 1.0 & 1.1, table "quota2" is for dovecot 1.2 and newer
// Мы планируем хранить квоты в БД в таблице quota2, так как dovecot у нас версии 2.x
$CONF['new_quota_table'] = 'YES';

После активации настроек, PostfixAdmin будет работать со следующими полями и таблицами в БД и будет иметь вид как показано ниже:

• quota в таблице mailbox представляет собой индивидуальное значение квоты в мегабайтах для конкретного пользователя;
• maxquota в таблице domain - это предел квоты всего домена. Эти значения для каждого домена может установить только суперадминистратор PostfixAdmin

Теперь перейдем непосредственно к настройке Dovecot для работы с квотами. На примере dovecot-dict-sql.conf.ext создадим новый файл dovecot-dict-sql-user.conf, который содержит информацию отображения (маппинга) квот для почтовых ящиков пользователей.

root@mail:/# vim /etc/dovecot/dovecot-dict-sql.conf.ext

connect = host=localhost dbname=postfixadmin user=postfixadmin password=myVerySecurePasswordFromUserPostfixadmin
map {
  pattern = priv/quota/storage
  table = quota2
  username_field = username
  value_field = bytes
}
map {
  pattern = priv/quota/messages
  table = quota2
  username_field = username
  value_field = messages
}

root@mail:/# chown root:dovecot /etc/dovecot/dovecot-dict-sql.conf.ext
root@mail:/# chmod 640 /etc/dovecot/dovecot-dict-sql.conf.ext

Чтобы избежать создания на каждый запрос нового подключения SQL, подскажем держать наготове наш свежесозданный словарь в соответствующем процессе словарей.

root@mail:/# vim /etc/dovecot/dovecot.conf

dict {
  sqluserquota = mysql:/etc/dovecot/dovecot-dict-sql.conf.ext
}

Далее правим конфигурацию MDA, чтобы позволить Dovecot вносить изменения в таблицы БД и изменять значение как квоты пользовательских ящиков (таблица quota2). Задействуем необходимые плагины для реализации квот в Dovecot в соответствующих конфигурационных файлах:

• quota: непосредственно реализует контроль квот и включает в себя управление квотированием.
• imap_quota: используется для обмена информации о состоянии квот по IMAP.

root@mail:/# vim /etc/dovecot/conf.d/10-mail.conf:

# Space separated list of plugins to load for all services. Plugins specific to
# IMAP, LDA, etc. are added to this list in their own .conf files.
mail_plugins = $mail_plugins quota

root@mail:/# vim /etc/dovecot/conf.d/10-master.conf:

service dict {
  # If dict proxy is used, mail processes should have access to its socket.
  # For example: mode=0660, group=vmail and global mail_access_groups=vmail
  unix_listener dict {
    mode = 0600
    user = vmail
    #group =
  }
}

root@mail:/# vim /etc/dovecot/conf.d/20-imap.conf:

protocol imap {
  # Space separated list of plugins to load (default is global mail_plugins).
  mail_plugins = $mail_plugins imap_quota
}

Теперь — непосредственно сами квоты и настройка отсылки предупреждений о переполнении почтового ящика пользователям. В нашем случае мы заведём корневое правило quota — для квотирования пользователей:

root@mail:/# vim /etc/dovecot/conf.d/90-quota.conf

##
## Quota limits
##

plugin {
  # Using SQL Tables to store current quota size
  quota = dict:User Quota::proxy::sqluserquota

  # это правило "зарезервируем" для ответа о квоте пользователя посредством запроса 
  # к базе данных MySQL (см. ниже раздел 5.3)
  # quota_rule =

  # Allow 10% more for Trash Folder
  quota_rule2 = Trash:storage=+10%%
  quota_rule3 = Spam:storage=+20%%

  # начиная с версии 2.2+ это правило уже включено по умолчанию,
  # однако наша версия 2.1, поэтому разрешим всем пользователям 10% овер-квоты
  quota_grace = 10%%
}

##
## Quota warnings
##

plugin {
  quota_warning = storage=95%% quota-warning 95 %u
  quota_warning2 = storage=80%% quota-warning 80 %u
  quota_warning3 = -storage=100%% quota-warning below %u # тем кто уже забил ящик, овер-квота уже недоступна
}

service quota-warning {
  executable = script /usr/local/bin/quota-warning.sh
  # use some unprivileged user for executing the quota warnings
  user = vmail
  unix_listener quota-warning {
    mode = 600
    user = vmail
  }
}

Существует также нюанс насчёт скрипта quota-warning.sh — всё-бы замечательно, но скрипт по адресу /usr/local/bin/quota-warning.sh так и не нашелся. Так что имеет смысл «написать» свой и поставить на него верные права. Кстати пример скрипта из официального руководства, также не совсем жизнеспособный на Debian «Stretch». Хотябы по той простой причине, что dovecot-lda не находится по адресу /usr/local/libexec/dovecot/dovecot-lda…

root@mail:/# vim /usr/local/bin/quota-warning.sh

#!/bin/sh
PERCENT=$1
USER=$2
cat << EOF | /usr/lib/dovecot/dovecot-lda -d $USER -o "plugin/quota=maildir:User quota:noenforcing"
From: postmaster@demon.of.by
Subject: Quota warning $PERCENT%

Your mailbox is now $PERCENT% full.
Please remove unnecessary emails to avoid new mail loosing.
EOF

root@mail:/# chown vmail:dovecot /usr/local/bin/quota-warning.sh
root@mail:/# chmod +x /usr/local/bin/quota-warning.sh

Обратите внимание на опцию noenforcing — используется, дабы исключить циклическую отправку уведомлений. В былые времена Dovecot v.1 админы были вынуждены делать отдельный конфиг Dovecot с отключенными квотами, чтобы решить эту проблему. Грабли ещё те. Кстати, Вы можете проверить скрипт отправки нотификаций о квоте следующим способом:

root@mail:/# /usr/local/bin/quota-warning.sh 82 user@example.com

Квоты настроены!

Примечание: если после перезапуска в лог вывалилось ошибка вроде:

Error: net_connect_unix(/var/run/dovecot/dict) failed: Permission denied (euid=5000(vmail) egid=5000(vmail) missing +r perm: /var/run/dovecot/dict, we're not in group 108(postfix), dir owned by 0:0 mode=0755)
May 13 11:43:35 mail dovecot: lda(admin{at}ъdemon.of.by): Error: Internal quota calculation error

Проверьте, что у Вас не установлена опция mail_access_groups в файле 10-mail.conf, a также задействована секция service dict в файле 10-master.conf:

service dict {
  unix_listener dict {
    mode = 0600
    user = vmail
    #group =
  }
}

Решение взято отсюда — http://wiki2.dovecot.org/Dict

5.3 Настройка MySQL соединения в Dovecot

Финальным аккордом настройки Dovecot будет его знакомство с нашей БД и таблицами, где хранится вся необходимая для работы MDA информация, с учетом использования квот. Если квоты Вами не задействованы, исключите их из SQL запросов.

root@mail:/# vim /etc/dovecot/dovecot-sql.conf.ext

driver = mysql
connect = host=localhost dbname=postfixadmin user=postfixadmin password=myVerySecurePasswordFromUserPostfixadmin
default_pass_scheme = CRAM-MD5

password_query = SELECT username as user, domain, password \
                 FROM mailbox WHERE username = '%u' AND active = '1'

user_query = SELECT CONCAT('*:bytes=', IF(mailbox.quota = 0 || mailbox.quota = -1, 0, mailbox.quota)) as quota_rule \
             FROM mailbox, domain \
             WHERE username = '%u' AND mailbox.active = '1' AND \
                   domain.domain = '%d' AND domain.active = '1'
 

Нюансы — квоты обсчитываются в байтах, соответственно убедитесь, что в Вашей БД значения сохраняются именно в байтах… в ином случае, вы можете добавить множитель прямо в запрос, как и сделано для квоты всего домена (это значение хранится в базе в МБ).

Другим нюансом является указание/переопределение значений uid/userdb_uid, gid/userdb_gid, home и mail. В случае с виртуальными пользователями в MySQL используется один пользователь vmail на всю почту и все эти параметры уже определены в /etc/dovecot/conf.d/10-mail.conf ранее. Запрашивать их и получать с каждым новым запросом нет никакой нужды и смысла! В ином случае, добавьте в запрос следующие поля по аналогии:

password_query = …
      CONCAT('/home/vmail/',domain.domain) as  userdb_home, \
      CONCAT('maildir:/home/vmail/',domain.domain,'/', mailbox.local_part) as userdb_mail, \
      '5000' AS userdb_uid, '5000' AS userdb_gid \
    FROM mailbox, domain \
    …

user_query = …
      CONCAT('/home/vmail/',domain.domain) as home, \
      CONCAT('maildir:/home/vmail/',domain.domain,'/', mailbox.local_part) as mail, \
      '5000' AS uid, '5000' AS gid \
    FROM mailbox, domain \
      …

Проверить состояние квоты Dovecot для конкретного пользователя Вы можете с помощью утилиты dovadm:

root@mail:/# doveadm -Dv quota recalc -u admin@example.com

root@mail:/# doveadm -Dv quota get -u admin@example.com
Quota name Type    Value Limit                                                                              %
User Quota STORAGE  5758 10240                                                                             56
User Quota MESSAGE     3     -                                                                              0

5.4 Подключаем Dovecot к Postfix

Внесем новые опции в /etc/postfix/main.cf, дабы назначить Dovecot нашим виртуальным траспортом:

##
# Virtual 
#
virtual_mailbox_base = /home/vmail
virtual_transport = dovecot
dovecot_destination_recipient_limit = 1

##
# SASL 
#
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth

В /etc/postfix/master.cf внесем две строки, не забывая о двух пробелах в начале второй строки:

dovecot   unix  -       n       n       -       -       pipe
  flags=DRhu user=vmail:vmail argv=/usr/lib/dovecot/deliver -f ${sender} -d ${recipient}

Рестарт сервисов…

root@mail:/# service postfix restart
root@mail:/# service dovecot restart

Анализ лог-файлов. Тестирование. Внимательное чтение мануалов, если что-то не взлетело.

Основная настройка почтового сервера завершена. Однако не стоит на этом останавливаться — обязательны к реализации следующие действия и настройки:

• настройка DKIM для Postfix или цифровая подпись исходящих сообщений DKIM;
• настройка логирования postfix как отключить запись лога postfix в syslog;
• настройка Fail2Ban для защиты служб сервера от атак извне или как сделать логи аккуратными;
• настройка "greylisting" для postfix (postgrey) или борьба со спамом продолжается;

Комментарии отключены, сожалеем