7,540
edits
Changes
→Tesztelés
Mivel a dovecot (IMAP szerver) már amúgy is képes autentikálni a felhasználókat, ezért nem építünk még egy új autentikációs konfigurációt, hanem megmondjuk a postfix-nek, hogy próbálja meg a felhasználókat a dovecot-on keresztül autentikálni.
A main.cf -ba
==Miért tud a localhost üzenetet küldeni root nevében? ==
Fontos, hogy a mydomain-ba ne adjunk meg olyan domain nevet, ami a virtuális domainek között szerepelni fog. Mikor a rendszer küld egy emailt, pl Raid riasztást, akkor nem ad meg küldő domaint, csak annyit hogy root. Amikor a postfix megkapja a levelet, hozzácsapja a mydomain-t, és így előáll a root@system.berki2.org feladó. Ezt minden publikus mail szerver el fogja dobni, mert 3 tagból áll a domain név. De mivel a címzett a root@berki2.org, ami szerepel a virtuálist email címek között, és a levelet a localhost küldte, a postfix nem fogja vizsgálni a feladó validságát. Amúgy luxus lenne fenntartani egy valid domain nevet erre a célra.
=Titkosított kapcsolatot használata levélküldésre=
Az itt leírtaknak semmi köze az IMAP/POP3 szerverrel történő titkosított kommunikációhoz és ahhoz sem, hogy a felhasználók autentikálják e magukat a postfix felé vagy sem. Itt kizárólag azt állítjuk be, hogy mikor a felhasználónk elküld egy levelet a postfixaz MTA <-nek> MTA kommunikáció titkosításáról lesz szó, vagyis hogy TLS felett fogadja és küldje azt el a címzettnek, akkor egy titkosított csatornát használjon, másrészt, mikor a postfix elküldi a levelet a címzett MTA-jának, vagy levelet fogad ünk a feladó MTA-jától, akkor leveleket ha lehet szintén titkosított csatornát használjonvan rá lehetőség.
Sajnos nem minden MTA támogatja a titkosítást, ezért meg kell engedni a titkosítatlan csatorna használatát is az MTA-k között kommunikációban, de a felhasználók felé ki lehet kényszeríteni a titkosítás használatát.
==Main.cf==
Az smtpd_<..> beállítások a démon beállításai, vagy a levelek fogadására szolgáló paraméterek gyűjteménye, az smtp_<....> pedig a postfix által küldött levelekre vontatkozik.
/etc/postfix/main.cf
<pre>
...##################################### # SMTP titkosítás levelek fogadása##################################### smtpd_tls_security_level = may smtpd_tls_key_file = /etc/postfix/ssl/ssl.key/mail.berki2.org-server.key smtpd_tls_cert_file = /etc/postfix/ssl/ssl.crt/mail.berki2.org-server.crt smtpd_tls_loglevel = 1 smtpd_tls_session_cache_timeout = 3600s smtpd_tls_session_cache_database = btree:/var/lib/postfix/smtpd_tls_cache tls_random_source = dev:/dev/urandom tls_random_exchange_name = /var/lib/postfix/prng_exch
smtpd_tls_auth_only = yes
###################################### SMTP levelek kiküldése#####################################smtp_tls_security_level = maysmtp_tls_key_file = /etc/postfix/ssl/ssl.key/mail.berki2.org-server.keysmtp_tls_cert_file = /etc/postfix/ssl/ssl.crt/mail.berki2.org-server.crtsmtp_tls_loglevel = 1...
</pre>
* smtpd_tls_security_level smtp_tls_security_level = may #--> Ha a címzett MTA-ja nem ismeri a TLS-t akkor küldheti TLS nélkül is. Bizonyos MTA-k nem tudnak titkosítani, ezért náluk biztosítani kell a sima küldést is.
* smtpd_tls_auth_only = yes #A SASL autentikáció csak TLS felet mehet. Vagyis, ha egy felhasználó átad egy levelet továbbküldésre, azt nem teheti meg titkosítatlan csatornán.
setting up TLS connection from 254C26B6.nat.pool.telekom.hu[37.76.38.182]
Anonymous TLS connection established from 254C26B6.nat.pool.telekom.hu[37.76.38.182]: TLSv1 with cipher DHE-RSA-CAMELLIA256-SHA (256/256 bits)
==Tesztelés==
Küldjünk egy levelet a gmail-es címünkre. A log-ban látunk kell, hogy a TLS kapcsolat felépült:
<pre>
...
postfix/smtp[8359]: setting up TLS connection to gmail-smtp-in.l.google.com[74.125.71.26]:25
...
</pre>
A gmail-ben kattintsunk a küldő melletti kis nyílra. A felugró ablakban látnunk kell, hogy az üzenet TLS-el lett titkosítva:
:[[File:ClipCapIt-161009-215930.PNG]]
file:///home/adam/Downloads/tls_yes.png
Amennyiben a TLS nincs bekapcsolva a kimenő email-ekre, úgy a gmail-ben az üzenet mellett megjelenik egy kis piros lakat, és a felugró ablakban is látható hogy nem volt titkosítás használva:
:[[File:ClipCapIt-161009-220047.PNG]]
file:///home/adam/Downloads/tls_no.png
=Email statisztikák=
==Pflogsumm==
https://www.linode.com/docs/email/postfix/pflogsumm-for-postfix-monitoring-on-centos-6