Debian Root

Postfix Mailserver mit SASL Auth auf Debian Lenny installieren

Dies ist eine kurze Anleitung wie man den Mailserver Postfix mit SASL auf Debian Lenny installiert. Mit Hilfe von SASL wird der Zugriff auf den Mailserver gesteuert und eingeschränkt, damit er nicht als Open Relay zum spamen missbraucht werden kann. Hinweis: Der Mailserver wird nur zum versenden benutzt nicht zum empfangen! Außerdem wird kein SSL/TLS Support geboten und die SASL Authentifizierung wird über PLAIN gelöst. Es gibt auch nur sehr wenige Erklärungen in diesem Artikel. Das liegt daran, das ich mir zwar Notizen gemacht habe als ich mich mit dem Thema beschäftigt habe, aber viele Sachen weg gelassen habe, weil ich dachte daran erinnere ich mich schon. Nun 6 Monate später erinnere ich mich leider nicht mehr... Damit nicht auch der Rest verloren geht hier also das was ich noch weiß. Für mich reicht dies um Postfix zu installieren und nicht als Open Relay laufen zu lassen. Zum Einsatz kommt dieser Server als Mailgateway für einige Webseiten die keine eigenen Mailserver haben.

Installation

$ aptitude install postfix sasl2-bin libsasl2-modules

In der Auswahl Internet Site setzen.

Konfiguration

$ nano /etc/postfix/main.cf

smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
biff = no
append_dot_mydomain = no
readme_directory = no

# TLS parameters
smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
smtpd_use_tls=yes
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache

# postfix
myhostname = mail.example.org
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
myorigin = /etc/mailname
mydestination = localhost.localdomain, localhost
relayhost =
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_command = procmail -a "$EXTENSION"
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all

# SASL Config
smtpd_sasl_auth_enable = yes
smtpd_sasl_local_domain =
smtpd_sasl_security_options = noanonymous
broken_sasl_auth_clients = yes

smtpd_recipient_restrictions =
        permit_sasl_authenticated,
        permit_mynetworks,
        reject_unauth_destination

Die Config kann man hier mit auf Fehler prüfen.

$ postfix check

Jetzt noch SASL konfigurieren.

$ nano /etc/postfix/sasl/smtpd.conf

pwcheck_method: saslauthd
mech_list: PLAIN LOGIN
saslauthd_path: /var/run/saslauthd/mux
autotransition:true

Da postfix bei Debian gechrootet läuft, muss man den saslauthd run Ordner in den postfix Chroot verschieben. Das macht man wie folgt:

$ mkdir -p /var/spool/postfix/var/run
$ cd /var/run
$ mv saslauthd/ /var/spool/postfix/var/run
$ ln -s /var/spool/postfix/var/run/saslauthd/ saslauthd
$ nano /etc/default/saslauthd

START=yes
MECHANISMS="shadow"
OPTIONS="-c -m /var/spool/postfix/var/run/saslauthd"

$ adduser postfix sasl
$ /etc/init.d/saslauthd start
$ /etc/init.d/postfix restart

Zugriffssteuerung

Einen Account anlegen:

$ useradd -s /bin/false -d /bin/false NAME
$ passwd NAME

Account löschen:

$ userdel NAME
$ /etc/init.d/saslauthd restart

Testen

Zum testen muss man den AUTH String erstellen. Hier 2 Methoden wie man ihn erstellen kann.

$ echo -ne '\0Benutzername\0Passwort' | openssl enc -base64
$ perl -MMIME::Base64 -e 'print encode_base64("\0Benutzername\0Passwort");'

Das ergibt dann das hier:

AHRlc3RlZABoZGJhMg==

Nun versuchen wir damit auf den Mailserver zu connecten.

$ telnet localhost 25
$ ehlo localhost
$ auth plain AHRlc3RlZABoZGJhMg==
$ quit

Das gewünschte Ergebnis sollte in etwa so aussehen.

$  telnet localhost 25
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
220 localhost ESMTP Postfix (Debian/GNU)
ehlo localhost
250-localhost
250-PIPELINING
250-SIZE 10240000
250-VRFY
250-ETRN
250-STARTTLS
250-AUTH LOGIN PLAIN
250-AUTH=LOGIN PLAIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
auth plain AHRlc3RlZABoZGJhMg==
235 2.7.0 Authentication successful
quit
221 2.0.0 Bye
Connection closed by foreign host.

Wenn es hier Probleme gibt, dann liegt dies meistens an den Zugriffsrechten der Dateien... Wie oft ich mich da schon ange******* habe... Das letzte mal als ne Stunde dafür drauf ging war es der /var/spool/postfix/var/ Ordner der keine Lese-/Ausführrechte für Global hatte. Das fällt einem gar nicht auf wenn man nicht die umask von root geändert hat. Da ich dies nun aber immer sofort nach der Installation mache, gibt es hier Probleme. Am besten die Zugriffsrechte aller Dateien prüfen die neu angelegt wurden (nach der Installation). Dieser spezielle Fall ist recht einfach zu fixen:

$ chmod -R 755 /var/spool/postfix/var
$ /etc/init.d/postfix restart && /etc/init.d/saslauthd restart

Ein weiterer guter Test ist sich als User postfix einzuloggen und mit testsaslauthd zu prüfen ob die Authentifizierung klappt.

$ su -s /bin/bash postfix
$ /usr/sbin/testsaslauthd -u USER -p PASSWORD

Wenn es hier Probleme mit Zugriffsrechten gibt weiß man wo man zu suchen hat.

Ähnliche Artikel

• Postfix - SASL authentication failure: cannot connect to saslauthd server
• Memcached auf Debian Lenny/Squeeze installieren
• Server Monitoring mit Munin auf Debian Lenny installieren und einrichten
• Debian Lenny Server minimal Installieren
• shroudBNC mit Debian Paketen installieren