Ce document détaille la configuration de Postfix sur zamok
Le but de ce document n'est pas d'apprendre à configurer Postfix de A à Z, mais à savoir le configurer sur Zamok. Entre autre, il est déjà installé avec un fichier de configuration qui marche. Pour apprendre de A à Z, il y a la documentation d'Éric Jacoboni. qui donne les bases, mais ensuite, il faut aller chercher dans la doc de Postfix.
1. Ce qu'est Postfix et ce qu'il doit faire
Postfix est classiquement ce qu'on appelle un MTA (Mail Transport Agent). Son travail est d'aller envoyer le mail qu'on lui donne à la bonne machine. Il peut également faire office de MDA (Mail Delivery Agent), c'est à dire qu'il dépose le courrier dans la boîte des utilisateurs. Un autre mot savant est MUA (Mail User Agent) qui est en fait un lecteur de courriers.
Dans le cas de zamok, Postfix doit assurer deux tâches :
- Permettre aux adhérents d'envoyer du courrier à l'extérieur.
- Réceptionner le courrier à destination des adhérents, courrier qui arrive de l'intérieur ou de l'extérieur.
Postfix dispose de multiples avantages par rapport à Sendmail. Notamment, il est modulaire et chaque tâche est assignée à un programme qui peut tourner avec des droits réduits, voire emprisonné. De plus, quelqu'un de normal peut le configurer.
2. La configuration de Postfix
Nous allons donc décrire la configuration de Postfix. Celle-ci se trouve en majeure partie dans le fichier /etc/postfix/main.cf.
Les commandes à connaître
Avant d'aller bricoler honteusement dans le fichier de config, il faut connaître quelques commandes importantes.
postfix reloadpermet de demander à Postfix de relire sa configuration.postfix flushpermet de demander à Postfix d'envoyer dès maintenant tout ce qu'il y a en attente pour une raison ou pour une autre.postconfpermet d'obtenir la configuration actuelle de Postfix. Avec le paramètre-n, on peut obtenir simplement les paramètres qui sont différents de ceux par défaut.postfix checkpermet de lancer une série de vérifications pour voir si Postfix est bien installé, qu'il ne manque pas de fichiers et que sa configuration est cohérente.mailqpermet de visualiser les mails dans la queue d'attente de Postfix.
Les points importants du fichier de configuration
Voici les points les plus importants du fichier de
config. Postfix vient avec une documentation complète,
mais malheureusement morcelée sous forme de
man. man postfix donne l'aide générale,
mais ensuite, pour connaître la signification de
max_idle, il faut aller lire man
master car ce paramètre concerne le process
master de postfix. Le mieux pour chercher en connaissant
le nom du paramètre est de se placer sur zamok dans
/usr/share/man/man8 et d'utiliser zgrep pour
rechercher parmi tous les fichiers celui susceptible
d'expliquer la commande.
- myhostname indique le nom de la machine. C'est une variable importante dont dérive plusieurs autres variables.
- mydomain indique le domaine auquel appartient la machine. Il est en fait dérivé de myhostname, aussi, il est inutile de le remplir. Il sert également à beaucoup d'endroits par la suite.
- mydomain2 est une variable inconnue de Postfix. On peut déclarer des noms de variables arbitraires que l'on pourra utiliser par la suite. Ici, elle permet d'indiquer un second domaine que doit servir Postfix (il doit servir domain qui est crans.org, mais aussi domain2 qui est crans.ens-cachan.fr)
- myorigin est utilisé uniquement quand il s'agit de réécrire les adresses. C'est ce qu'on colle automatiquement derrière des adresses incomplètes.
- mydestination est un des paramètres les plus importants. Il indique à Postfix quels sont les machines et les domaines dont il doit se considérer comme la destination finale. Il doit notamment y avoir crans.org, mais aussi tous les noms qui pourraient être donnés à zamok. Si Postfix reçoit du courrier adressé pour un domaine ou une machine qui n'est pas dans la liste et qu'il n'a pas le droit (voir plus loin) de transmettre ce courrier, il renverra le courrier à l'expéditeur.
- relay_domains est le deuxième paramètre important. Un mail peut transiter par Postfix uniquement s'il est à destination de l'un des domaines ou l'une des machines listées ici ou s'il provient au contraire de l'un des domaines ou l'une des machines listées. Par défaut, il pointe sur mydestination.
- relay_host indique le serveur qui sert de relai à Postfix. Comme on envoie directement le mail nous même à la destination, il ne faut rien préciser.
- mynetworks indique ce que Postfix doit considérer comme "local". On indique le réseau du CRANS et le réseau lo dedans, mais, a priori, ce n'est pas très important.
- message_size_limit indique la taille maximale d'un message que Postfix peut relayer ou délivrer. Si un message dépasse cette taille, il sera placé dans le spool "corrupt" et un mail d'erreur sera renvoyé à l'expéditeur. Actuellement, le paramètre est de 4 Mo.
- mailbox_size_limit indique la taille maximale de la boîte d'un utilisateur. Actuellement, cette taille ne peut dépasser 70 Mo.
- command_time_limit indique combien de temps doit tourner une commande externe au maximum. Notamment, pour la livraison dans une boîte utilisateur, cela permet d'éviter qu'un processus mal configuré assurant la livraison ne tourne indéfiniment. Ce paramètre a été placé à 60 secondes car procmail ne supporte pas bien la limite dure des boîtes mail placées par Postfix.
- mailbox_command indique quel MDA utiliser. procmail peut être une bonne idée, d'ailleurs c'est ce qui fut utilisé, un temps. A présent, l'agent de livraison de Postfix, local, est utilisé par défaut.
Le filtrage au niveau du MTA
Postfix ne se contente pas d'accépter n'importe quel mail lui parvenant. Il effectue au préalable plusieurs vérifications sur la machine qui le contacte et sur le contenu du header du mail afin de ne pas autoriser l'envoi ou la réception de mails dont le header est complètement erroné. Les sections du fichier de configuration concernant ces points sont nommées *_restrictions
- smtpd_client_restrictions permet de vérifier
que l'adresse du client est bien correcte. Ainsi à partir
de l'IP de la machine qui le contacte, Postfix pourra
vérifier plusieurs paramètres :
- reject_maps_rbl provoque le rejet* des mails provenant de clients connus pour relayer du spam.
On utilise pour cela des bases externes. Ce sont celles qui sont listées
dans maps_rbl_domains.
- reject_unknown_client provoque le rejet* des mails provenant de clients dont le serveur n'est pas résolu au niveau DNS (pas de champ A ou MX).
Préalablement à cela, on spécifie à Postfix d'accepter les mails en provenance du réseau local (dans lequel on a confiance) grâce à permit_mynetworks. De plus, il existe certaines exeptions dans le filtrage précédemment établi. Ces exeptions ont la forme d'une adresse pour laquelle on spécifie si on l'accepte ou non, de manière autoritaire. Ce paramètre prévaudra sur les paramètres suivants. C'est le rôle de la commande check_client_access hash:/etc/postfix/access qui va lire le fichier /etc/postfix/access lequel contient les exeptions en question. (Note : ne pas oublier de lancer postmap /etc/postfix/access après toute modif de ce fichier !
- reject_maps_rbl : comme précédemment.
- reject_unknown_hostname : rejet* des HELO non résolus ou n'ayant aucun champ A ou MX dans le DNS.
- reject_invalid_hostname : rejet* des HELO invalides (mauvaise syntaxe).
Enfin, un paramètre utile est soft_bounce. Il faut le placer à "yes" si on pense que les modifications que l'on va effectuer sont importantes. Cela permet d'éviter que des mails soient perdus en changeant toutes les erreurs "autoritaires" (qui résultent en un échec définitif) en erreurs "douces" (qui résultent en une demande de réessayer sans intervention de l'utilisateur). En production, il ne faut surtout pas le laisser.
[*] : à nuancer par ce qui se trouve juste
avant ce paramètre, dans le fichier de conf.
En fait on n'est pas obligé de tout refuser, on peut aussi bien accepter les mails
en question mais mettre un warning dans les logs (warn_if_reject) ou
encore préciser le code et le message d'erreur dans le header du mail
(xheader_if_reject) mais dans ce dernier cas, il est nécessaire de patcher
postfix au préalable. À ce jour nous utilisons un postfix patché
avec ceci,
ce qui permet de se retrouver avec un champ "X-Reject" dans le header du
mail, tout en évitant de rejetter systématiquement les mails provenant des
serveurs fautifs. On gagne ainsi en souplesse puisque le destinataire final
est alors libre d'effectuer le filtrage qu'il souhaite en utilisant procmail
(Voir http://www.crans.org/docs/Spamfilter.html pour plus de détails).
Les autres fichiers utilisés par Postfix
Postfix utilise quelques autres fichiers, principalement
pour gérer les alias. Ces fichiers sont des fichiers
textes qui sont ensuite "compilés" avec
postmap.
canonical_maps = hash:/CRANS/generated/mail/canonical-aliasesCette ligne indique les alias canoniques. Dans notre cas, il s'agit d'une réécriture des logins en prénom.nom, aussi bien à la réception qu'à l'envoi. La réécriture ne se fait que si l'adresse e-mail est incomplète (pas de domaine spécifié).
alias_database = hash:/CRANS/generated/mail/aliases alias_maps = hash:/CRANS/generated/mail/aliasesCes deux lignes spécifient les correspondances entre un alias et le nom réel de la boîte de l'utilisateur.
Il faut bien voir que ces trois fichiers sont générés à
partir de ce qu'il y a dans /CRANS/confs, n'allez
pas les modifier à la main. lanceMake fait le
boulot de génération et de copie tout seul.
/etc/postfix/accessCe fichier regroupe les adresses de serveurs pour lesquels on précise de manière autoritaire si on accepte ou non* le mail. Voir la section smtpd_client_restrictions pour plus de précisions.
3. Comment vérifier que tout marche ?
Les logs
Postfix loggue pas mal de choses dans /var/log/mail.*, c'est une bonne idée d'aller surveiller ces fichiers quand on bricole dessus.
Les tests
On peut ensuite lancer quelques tests :
- S'envoyer un mail avec la commande mail de zamok.
- Envoyer un mail sur un compte extérieur avec la commande mail de zamok.
- S'envoyer un mail depuis sa propre machine.
- Envoyer un mail vers l'extérieur depuis sa propre machine.
Si l'on rencontre des difficultés, on peut parler à Postfix directement, que ce soit depuis zamok, depuis sa machine ou depuis une machine de l'extérieur. Pour se faire, on utilise telnet sur le port 25. Par exemple :
zamok% telnet ptt 25 Trying 138.231.136.6... Connected to zamok.crans.org. Escape character is '^]'. 220 zamok.crans.org ESMTP Postfix helo zamok 250 zamok.crans.org mail from: <bernat@crans.org> 250 Ok rcpt to: <bernat@free.fr> 250 Ok data 354 End data with <CR><LF>.<CR><LF> From: Moi <bernat@crans.org> To: Toi <bernat@free.fr> Subject: Test 1 (9:50) Essai ! . 250 Ok: queued as 82E0FC000A4 quit 221 Bye Connection closed by foreign host.Le contenu du mail (après
data) n'est pas
très important ; ce sont les deux premières commandes qui
permettent de réellement spécifier expéditeur (celui qui
recevra l'erreur en cas de problème) et le destinataire
(celui qui reçoit le mail). On peut ainsi effectuer
différents tests. Par exemple, il faut vérifier que l'on
n'autorise pas le relai à l'extérieur (envoi d'un mail
de l'extérieur vers une machine extérieure) :
xxxxxx vbernat 67 % telnet zamok.crans.org 25 Trying 138.231.136.6... Connected to zamok.crans.org. Escape character is '^]'. 220 zamok.crans.org ESMTP Postfix helo zamok 250 zamok.crans.org mail from: <bernat@crans.org> 250 Ok rcpt to: <bernat@free.fr> 554 <bernat@free.fr>: Recipient address rejected: Relay access denied rcpt to: <bernat@crans.org> 250 Ok quit 221 Bye Connection closed by foreign host.Le point important à noter dans cet exemple est que j'étais à l'extérieur et donc que même si je disais que le mail venait de moi avec mon adresse CR@NS, il ne fallait pas que Postfix accepte mon mail à destination de l'extérieur, mais il fallait qu'il accepte à destination d'une adresse CR@NS. Ici tout va bien.
top |
documents |
home |
dernière modif le 16.06.02 par Nico. | Doc originale par Vincent Bernat et Nicolas Stransky. |
