1と12のリビジョン間の差分 (その間の編集: 11回)

ＣｙｒｕｓＩＭＡＰｄとの連携運用

前提条件

動作試験環境：ＦｒｅｅＢＳＤ（12.2／12.3／13.0）、ｓｅｎｄｍａｉｌ（8.17.1）。
事前にＯＳのインストールおよび環境構築が済ませてあること。
ＣｙｒｕｓＳＡＳＬの仕様上の制限からＳＡＳＬＡＵＴＨＤを使用しない。
- ＳＡＳＬＡＵＴＨＤは平文パスワード（ＬＯＧＩＮおよびＡＵＴＨＰＬＡＩＮ）でしか使えないため。
- 暗号パスワード（ＳＣＲＡＭ、ＤＩＧＥＳＴ－ＭＤ５、ＣＲＡＭ－ＭＤ５等）では、ａｕｘｐｒｏｐしか参照させることができない。
- このことから認証（ＳＭＴＰＡＵＴＨ）は全てａｕｘｐｒｏｐ（ＳＡＳＬＤＢ）を直接参照するものとする。
- またＳＡＳＬＤＢを参照するにあたって、ｓｅｎｄｍａｉｌおよびｃｙｒｕｓｉｍａｐｄ双方に権限上のミスマッチは存在していない。
- よってＳＡＳＬＡＵＴＨＤの導入の動機として、権限分けにともなう、権限ミスマッチを解消する目的があるが、本構成では不要である。
ports/mail/sendmail をインストールするが現時点（２０２１年１２月１１日）でいくらか不備がある。
- ＳＳＬ回りの設定方法がいびつなので、これも修正していきたいです。
  - 現在のｓｅｎｄｍａｉｌのＳＳＬ証明書の指定方法がよろしくない。
  - ＥＣＣ暗号の使用がｐｒｉｍｅ２５６ｖ１のみに限定されている。
  - 本問題を解消するために、ＣＦＬＡＧＳに細工して対応しています。
- ｍｉｌｔｅｒをインストール（コンパイル）する順番（依存）が存在しているが、見えにくい。
  - ｓｅｎｄｍａｉｌをインストール後にｍｉｌｔｅｒをインストールする必要がある。

設定目標

バーチャルドメインでの運用を前提とし、サーバー側のアカウント情報や各種設定とは独立した運用を目指す。
各種資料を読み解くと、この辺りが混在していて暗黙のウチに動作しているケース（エイリアスの適用など）があるが、今回はそれを一切許さない。
サーバー側はサーバー側で（ｒｏｏｔ宛のメールなど）、バーチャルドメイン側はバーチャルドメイン側で、切り離された環境を構築する。
その効能の一つとして、ｃｙｒｕｓｉｍａｐｄ側で持つメールボックスの存在確認をリアルタイムで行えるようにする。
- メールボックスが存在しない宛先への受信拒否が行える。
- 従来、一旦受信してから受信拒否という流れになるが、その場合の対応がバウンスメールの発行となる。
- いわゆるスパムメールに対するバウンスメールの送信は無意味なので、その分、キューイングや再送といった負荷が無くなる。

インストール

/etc/make.conf

以下の内容を追記する。

# for sendmail
mail_sendmail_SET=    LA NIS SEM TLS DANE SASL SHMEM MILTER SMTPUTF8
mail_sendmail_SET+=   SOCKETMAP BLACKLISTD CYRUSLOOKUP PICKY_HELO_CHECK
mail_sendmail_UNSET=  BDB LDAP SASLAUTHD

SOCKETMAP：ＣｙｒｕｓＩＭＡＰｄのアカウント情報をリアルタイムで参照するための仕組みの有効化
CYRUSLOOKUP：ＣｙｒｕｓＩＭＡＰｄ関連の判定、送信に関する情報の定義の有効化

/usr/ports/mail/sendmail/Makefile.local

以下の内容でファイルを作成する（「先頭の空白」は全てタブで置き換えること）。

post-configure:
        ${ECHO_CMD} 'APPENDDEF(`conf_sendmail_ENVDEF'\'', `-D_FFR_TLS_USE_CERTIFICATE_CHAIN_FILE'\'')' >> ${WCONF}/site.config.m4
        ${ECHO_CMD} 'APPENDDEF(`conf_sendmail_ENVDEF'\'', `-D_FFR_MTA_STS'\'')'               >> ${WCONF}/site.config.m4
        ${ECHO_CMD} 'APPENDDEF(`conf_sendmail_ENVDEF'\'', `-D_FFR_TLS_ALTNAMES'\'')'          >> ${WCONF}/site.config.m4
        ${ECHO_CMD} 'APPENDDEF(`conf_sendmail_ENVDEF'\'', `-D_FFR_VRFY_TRUSTED_FIRST'\'')'    >> ${WCONF}/site.config.m4
        ${ECHO_CMD} 'APPENDDEF(`conf_sendmail_ENVDEF'\'', `-D_FFR_QUEUE_GROUP_SORTORDER'\'')' >> ${WCONF}/site.config.m4
        ${ECHO_CMD} 'APPENDDEF(`conf_sendmail_ENVDEF'\'', `-UTLS_EC -DTLS_EC=2'\'')'          >> ${WCONF}/site.config.m4

_FFR_TLS_USE_CERTIFICATE_CHAIN_FILE：いわゆる一般的なＴＬＳサーバーと同じ指定（フルチェイン）の仕方にする
_FFR_MTA_STS：ＭＴＡＳＴＳサポート（期待した通り機能しないので検証中・８．１７以降の機能）
_FFR_TLS_ALTNAMES：コモンネームだけでなくＳＡＮｓも評価する
_FFR_VRFY_TRUSTED_FIRST：ルート証明書のどれかが生きていれば検証済とする設定
_FFR_QUEUE_GROUP_SORTORDER：キューグループ単位でソート順を指定可能にする（本運用では取り上げない）
TLS_EC=2：ＥＣＣ暗号サポート／ＥＣＣ暗号（特にキー交換の）指定無し（ＯｐｅｎＳＳＬデフォルトに準拠）
（参考）TLS_EC=1：ＥＣＣ暗号サポート／ＥＣＣ暗号（特にキー交換は）ｐｒｉｍｅ２５６ｖ１のみ指定（変更不可）

インストール

cd /usr/ports/mail/sendmail && make install

セットアップ

/usr/local/lib/sasl2/Sendmail.conf

以下の内容のファイルを作成する。

pwcheck_method: auxprop
auxprop_plugin: sasldb

ＳｅｎｄｍａｉｌのＳＡＳＬサポートコードにはＳＡＳＬ関連の設定に関するコードが含まれておらず、ＳＡＳＬライブラリがケアしてる設定ファイルにて設定を行う必要がある。
平文パスワードでは pwcheck_method 設定が参照されるが、暗号パスワードでは直接 auxprop_plugin 設定が参照される。
これが意味するところは、事実上 pwcheck_method: auxprop として強制的に解釈されることを意味する。
pwcheck_method: saslauthd と設定しても、上記振る舞いから、意図した動作をしないため、設定しないこと。

本条件において適用可能なオプションとしては、下記の物があるが、ＣｙｒｕＩＭＡＰｄ側の設定との調整を考えるとデフォルトのままとする。

設定名	デフォルト値	意味
`sasldb_path`	`/usr/local/etc/sasldb2`	ＳＡＳＬＤＢファイル（本件ではＬＭＤＢ）のパス
`sasldb_mapsize`	`1048576` バイト	（ＬＭＤＢ固有）全ユーザーをオンメモリにマッピングするためのサイズ
`sasldb_maxreaders`	`126`	（ＬＭＤＢ固有）ＳＡＳＬＤＢファイルを同時アクセス可能な最大セッション（プロセス）数

特に sasldb_mapsize と sasldb_maxreaders の設定はユーザー数が多くなってきたときに調整が必要となる。
※ＩＭＡＰサーバー側で同時アクセス数のリークを確認。再起動で改善する（２０２１年１２月現在、問題が解消している）。

ＳＡＳＬクライアントが参照すべき設定ファイル名は sasl_server_init() 関数に引き渡される appname 引数により決定される。マニュアルに明記されてないケースで、その振る舞いの調査が必要な場合は参考までに。

https://www.cyrusimap.org/sasl/sasl/reference/manpages/library/sasl_server_init.html

/etc/mail/Makefile.local

以下のファイルを作成する。

SENDMAIL_CF_DIR=/usr/local/share/sendmail/cf

/etc/mail/ホスト名.mc

いわゆるｓｅｎｄｍａｉｌ．ｃｆ作成準備

ln -s freebsd.submit.mc /etc/mail/$(hostname).submit.mc
cd /etc/mail && make

切り替え

cd /usr/ports/mail/sendmail && make mailer.conf

なお切り戻しは下記の実行となる。

rm -f /etc/mail/Makefile.local
touch /etc/mail/ホスト名.*mc && make
cd /usr/ports/mail/sendmail && make mailer.base

/etc/mail/ホスト名.mc のカスタムポイント

ＴＬＳ関連設定

変更箇所

confSERVER_CERT
confSERVER_KEY
confCLIENT_CERT
confCLIENT_KEY
confCACERT
confCACERT_PATH

追加設定

confSERVER_SSL_OPTIONS ※ＯｐｅｎＳＳＬのオプション（, でつなげて指定する）
- SSL_OP_NO_SSLv2：ＳＳＬｖ２の無効化
- SSL_OP_NO_SSLv3：ＳＳＬｖ３の無効化 →ＴＬＳ１．０以降に対応する
- SSL_OP_NO_RENEGOTIATION：リネゴシエーション機能の無効化
- SSL_OP_PRIORITIZE_CHACHA：ＡＥＳ暗号とＣｈａＣｈａ暗号の同一優先度
- SSL_OP_CIPHER_SERVER_PREFERENCE：暗号スイートをサーバー指定を優先する
confCIPHER_LIST ※暗号スイートの指定（: でつなげて指定する）
- TLS_AES_256_GCM_SHA384
- TLS_CHACHA20_POLY1305_SHA256
- TLS_AES_128_GCM_SHA256
- ECDHE-ECDSA-AES256-GCM-SHA384
- ECDHE-ECDSA-CHACHA20-POLY1305
- ECDHE-ECDSA-AES128-GCM-SHA256
- ECDHE-RSA-AES256-GCM-SHA384
- ECDHE-RSA-CHACHA20-POLY1305
- ECDHE-RSA-AES128-GCM-SHA256
- DHE-RSA-AES256-SHA
- DHE-RSA-AES128-SHA
- AES256-SHA
- AES128-SHA
confTLS_FALLBACK_TO_CLEAR ※送信時にＳＴＡＲＴＴＬＳに失敗した場合、ＳＴＡＲＴＴＬＳしないで送信しようとするかどうかのオプション

'cf' の構文ハイライトはサポートされていません。パーサーのヘルプを御覧下さい。

define(`confSERVER_SSL_OPTIONS', `SSL_OP_NO_SSLv2,SSL_OP_NO_SSLv3,SSL_OP_NO_RENEGOTIATION,SSL_OP_PRIORITIZE_CHACHA,SSL_OP_CIPHER_SERVER_PREFERENCE')dnl
define(`confCIPHER_LIST', `TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:AES256-SHA:AES128-SHA')dnl
define(`confTLS_FALLBACK_TO_CLEAR', `True')dnl

認証関連の設定

confAUTH_MECHANISMS
- SCRAM-SHA-256
- SCRAM-SHA-1
- CRAM-MD5
- PLAIN

'cf' の構文ハイライトはサポートされていません。パーサーのヘルプを御覧下さい。

define(`confAUTH_MECHANISMS', 'SCRAM-SHA-256 SCRAM-SHA-1 CRAM-MD5 PLAIN')

ＣｙｒｕｓＩＭＡＰｄ関連設定

'cf' の構文ハイライトはサポートされていません。パーサーのヘルプを御覧下さい。

FEATURE(mrs)
FEATURE(mrs_cyrus)
MAILER(cyrusv2)

MAILER 行は他の MAILER 行の周辺に置くこと。FEATURE 行は MAILER 行の前にあればどこでもよい。