1と8のリビジョン間の差分 (その間の編集: 7回)

ＣｙｒｕｓＩＭＡＰｄとの連携運用

前提条件

動作試験環境：ＦｒｅｅＢＳＤ１２．２および１３．０
事前にＯＳのインストールおよび環境構築が済ませてあること。
以下の観点からＳＡＳＬＡＵＴＨＤに依存しない。
- スケーラビリティ（スケールアウト）は考慮しない。
- つまりｓｅｎｄｍａｉｌとｃｙｒｕｓｉｍａｐｄは同一サーバー内に存在するものとし、分離した構成を取らない。
- 認証（ＳＭＴＰＡＵＴＨ）は全てＳＡＳＬＤＢを参照するものとする。
- またＳＡＳＬＤＢを参照するにあたって、ｓｅｎｄｍａｉｌおよびｃｙｒｕｓｉｍａｐｄ双方に権限上のミスマッチは存在していない。
- よってＳＡＳＬＡＵＴＨＤの導入の動機として、権限分けにともなう、権限ミスマッチを解消する目的があるが、本構成では不要である。
ports/mail/sendmail をインストールするが現時点（２０２１年０３月２５日）でいくらか不備がある。
- ＳＳＬ回りの設定方法がいびつなので、これも修正していきたいです。
  - 現在のｓｅｎｄｍａｉｌのＳＳＬ証明書の指定方法がよろしくない。
  - ＥＣＣ暗号の使用がｐｒｉｍｅ２５６ｖ１のみに限定されている。
  - 本問題を解消するために、ＣＦＬＡＧＳに細工して対応しています。
- ｍｉｌｔｅｒをインストール（コンパイル）する順番（依存）が存在しているが、見えにくい。
  - ｓｅｎｄｍａｉｌをインストール後にｍｉｌｔｅｒをインストールする必要がある。

設定目標

バーチャルドメインでの運用を前提とし、サーバー側のアカウント情報や各種設定とは独立した運用を目指す。
各種資料を読み解くと、この辺りが混在していて暗黙のウチに動作しているケース（エイリアスの適用など）があるが、今回それを一切許さない。
サーバー側はサーバー側で（ｒｏｏｔ宛のメールなど）、バーチャルドメイン側はバーチャルドメイン側で、切り離された環境を構築する。
その効能の一つとして、ｃｙｒｕｓｉｍａｐｄ側で持つメールボックスの存在確認をリアルタイムで行えるようにする。
- メールボックスが存在しない宛先への受信拒否が行える。
- 従来、一旦受信してから受信拒否という流れになるが、その場合の対応がバウンスメールの発行となる。
- いわゆるスパムメールに対するバウンスメールの送信は無意味なので、その分、キューイングや再送といった負荷が無くなる。

インストール

/etc/make.conf

以下の内容を追記する。

# for sendmail
mail_sendmail_SET=    LA NIS SEM TLS DANE SASL SHMEM MILTER SMTPUTF8
mail_sendmail_SET+=   SOCKETMAP BLACKLISTD CYRUSLOOKUP PICKY_HELO_CHECK
mail_sendmail_UNSET=  BDB LDAP SASLAUTHD

/usr/local/etc/ports.conf

以下の内容を追記する。

mail/sendmail: CFLAGS=-O2 -pipe -DTLS_EC=2 -D_FFR_TLS_USE_CERTIFICATE_CHAIN_FILE -D_FFR_TLS_ALTNAMES -D_FFR_QUEUE_GROUP_SORTORDER

TLS_EC=2：ＥＣＣ暗号サポート／ＥＣＣ暗号（特にキー交換の）指定無し（ＯｐｅｎＳＳＬデフォルトに準拠）
（参考）TLS_EC：ＥＣＣ暗号サポート／ＥＣＣ暗号（特にキー交換は）ｐｒｉｍｅ２５６ｖ１のみ指定（変更不可）
_FFR_TLS_USE_CERTIFICATE_CHAIN_FILE：いわゆる一般的なＴＬＳサーバーと同じ指定（フルチェイン）の仕方にする
_FFR_TLS_ALTNAMES：コモンネームだけでなくＳＡＮｓも評価する
_FFR_QUEUE_GROUP_SORTORDER：キューグループ単位でソート順を指定可能にする（本運用では取り上げない）

インストール

cd /usr/ports/mail/sendmail && make install

セットアップ

/usr/local/lib/sasl2/Sendmail.conf

以下の内容のファイルを作成する。

pwcheck_method: auxprop
auxprop_plugin: sasldb

※ＳｅｎｄｍａｉｌのＳＡＳＬサポートコードにはＳＡＳＬの設定に関するコードが含まれておらず、ＳＡＳＬライブラリがケアしてる設定ファイルにて設定を行う必要がある。

適用可能なオプションとしては下記の物があるが、ＣｙｒｕＩＭＡＰｄ側の設定との調整を考えるとデフォルトのままで良いかと。

設定名	デフォルト値	意味
`sasldb_path`	`/usr/local/etc/sasldb2`	ＳＡＳＬＤＢファイル（本件ではＬＭＤＢ）のパス
`sasldb_mapsize`	`1048576` バイト	（ＬＭＤＢ固有）全ユーザーをオンメモリにマッピングするためのサイズ
`sasldb_maxreaders`	`126`	（ＬＭＤＢ固有）ＳＡＳＬＤＢファイルを同時アクセス可能な最大セッション（プロセス）数

特に sasldb_mapsize と sasldb_maxreaders の設定はユーザー数が多くなってきたときに調整が必要となる。
※ＩＭＡＰサーバー側で同時アクセス数のリークを確認。再起動で改善する。

ＳＡＳＬクライアントが参照すべき設定ファイル名は sasl_server_init() 関数に引き渡される appname 引数により決定される。マニュアルに明記されてないケースで調査が必要な際は参考までに。

https://www.cyrusimap.org/sasl/sasl/reference/manpages/library/sasl_server_init.html

/etc/mail/Makefile.local

以下のファイルを作成する。

SENDMAIL_CF_DIR=/usr/local/share/sendmail/cf

/etc/mail/ホスト名.mc

いわゆるｓｅｎｄｍａｉｌ．ｃｆ作成準備

ln -s freebsd.submit.mc /etc/mail/$(hostname).submit.mc
cd /etc/mail && make

切り替え

cd /usr/ports/mail/sendmail && make mailer.conf

なお切り戻しは make mailer.base の実行となる。

よくある質問とその答え

Ｑ．ｐｏｒｔｓで入れないと駄目なんですか？

Ａ．ベースシステムにＳＡＳＬライブラリが無いのでしょうがないです。ベースシステムにインストールされたＳＡＳＬライブラリ付でビルドすることもできないでもないですが、ＯＳのバージョンアップ時等のメンテナンスがめんどくさくなるのでオススメしません。

Ｑ．SASL unable to open MDB transaction: MDB_READERS_FULL: Environment maxreaders limit reached が出てＩＭＡＰサーバーに接続できません

Ａ．以下のコマンドを実行して、ＬＭＤＢファイルに接続しているセッション数およびプロセスＩＤを確認する。

mdb_stat -ne /usr/local/etc/sasldb2
mdb_stat -nr /usr/local/etc/sasldb2

とりあえず再起動で。

参考文献

sendmail/cyrus-imapd (最終更新日時 2022-01-06 10:49:07 更新者 NorikatsuShigemura)

-  ⇤ ← 2021-03-24 06:19:02時点のリビジョン1 → 
  サイズ: 3164
  編集者: NorikatsuShigemura
  コメント:
+   ← 2021-03-27 09:28:29時点のリビジョン8 → ⇥
  サイズ: 8470
  編集者: NorikatsuShigemura
  コメント:
-削除された箇所はこのように表示されます。
+追加された箇所はこのように表示されます。
 行 7:
-   * 今回スケーラビリティ（スケールアウト）は考慮しない。
   * つまりｓｅｎｄｍａｉｌとｃｙｒｕｓ ｉｍａｐｄは同一サーバー内に存在するものとし、双方をコンテナ化で分離しない。
   * 認証（ＳＭＴＰ ＡＵＴＨ）は全てＳＡＳＬＤＢを参照する。
+   * スケーラビリティ（スケールアウト）は考慮しない。
   * つまりｓｅｎｄｍａｉｌとｃｙｒｕｓ ｉｍａｐｄは同一サーバー内に存在するものとし、分離した構成を取らない。
   * 認証（ＳＭＴＰ ＡＵＴＨ）は全てＳＡＳＬＤＢを参照するものとする。
 行 11:
-   * よってＳＡＳＬＡＵＴＨＤ導入による権限分けは不要である。
 * `ports/mail/sendmail` をインストールするが現時点（２０２１年０３月２３日）でいくらか不備がある。
   * `cyruslookup.patch` にはいくつかのバグがあり [[https://bugs.freebsd.org/bugzilla/show_bug.cgi?id=254495|mail/sendmail: overhaul cyruslookup.patch]] にて修正依頼中。
+   * よってＳＡＳＬＡＵＴＨＤの導入の動機として、権限分けにともなう、権限ミスマッチを解消する目的があるが、本構成では不要である。
 * `ports/mail/sendmail` をインストールするが現時点（２０２１年０３月２５日）でいくらか不備がある。
-行 17:
+行 16:
+     * 本問題を解消するために、ＣＦＬＡＧＳに細工して対応しています。
 行 18:
- * 設定目標としては以下の通りとする。
   * バーチャルドメインでの運用を前提とし、サーバー側のアカウント等の情報と完全に独立させる。
   * 従来の資料を読み解くと、この辺りが混在していて暗黙のウチに動作しているケース（エイリアスの適用など）があるが、今回それは一切許さない。
   * サーバー側はサーバー側で（ｒｏｏｔ宛のメールなど）、バーチャルドメイン側はバーチャルドメイン側で、切り離された環境を構築する。
   * その効能の一つとして、ｃｙｒｕｓ ｉｍａｐｄ側で持つメールボックスの存在確認をリアルタイムで行えるようにする。
+     * ｓｅｎｄｍａｉｌをインストール後にｍｉｌｔｅｒをインストールする必要がある。

== 設定目標 ==
 * バーチャルドメインでの運用を前提とし、サーバー側のアカウント情報や各種設定とは独立した運用を目指す。
 * 各種資料を読み解くと、この辺りが混在していて暗黙のウチに動作しているケース（エイリアスの適用など）があるが、今回それを一切許さない。
 * サーバー側はサーバー側で（ｒｏｏｔ宛のメールなど）、バーチャルドメイン側はバーチャルドメイン側で、切り離された環境を構築する。
 * その効能の一つとして、ｃｙｒｕｓ ｉｍａｐｄ側で持つメールボックスの存在確認をリアルタイムで行えるようにする。
   * メールボックスが存在しない宛先への受信拒否が行える。
   * 従来、一旦受信してから受信拒否という流れになるが、その場合の対応がバウンスメールの発行となる。
   * いわゆるスパムメールに対するバウンスメールの送信は無意味なので、その分、キューイングや再送といった負荷が無くなる。

= インストール =
-行 41:
+行 48:
+ * `TLS_EC=2`： ＥＣＣ暗号サポート／ＥＣＣ暗号（特にキー交換の）指定無し（ＯｐｅｎＳＳＬデフォルトに準拠）
 * （参考）`TLS_EC`： ＥＣＣ暗号サポート／ＥＣＣ暗号（特にキー交換は）ｐｒｉｍｅ２５６ｖ１のみ指定（変更不可）
 * `_FFR_TLS_USE_CERTIFICATE_CHAIN_FILE`： いわゆる一般的なＴＬＳサーバーと同じ指定（フルチェイン）の仕方にする
 * `_FFR_TLS_ALTNAMES`： コモンネームだけでなくＳＡＮｓも評価する
 * `_FFR_QUEUE_GROUP_SORTORDER`： キューグループ単位でソート順を指定可能にする（本運用では取り上げない）
-行 45:
+行 58:
+= セットアップ =

== /usr/local/lib/sasl2/Sendmail.conf ==
以下の内容のファイルを作成する。

{{{
pwcheck_method: auxprop
auxprop_plugin: sasldb
}}}

※ＳｅｎｄｍａｉｌのＳＡＳＬサポートコードにはＳＡＳＬの設定に関するコードが含まれておらず、
ＳＡＳＬライブラリがケアしてる設定ファイルにて設定を行う必要がある。

適用可能なオプションとしては下記の物があるが、ＣｙｒｕＩＭＡＰｄ側の設定との調整を考えるとデフォルトのままで良いかと。

||<#FFFF00> 設定名     ||<#FFFF00> デフォルト値    ||<#FFFF00> 意味                                                                        ||
|| `sasldb_path`       || `/usr/local/etc/sasldb2` || ＳＡＳＬＤＢファイル（本件ではＬＭＤＢ）のパス                                       ||
|| `sasldb_mapsize`    || `1048576` バイト         || （ＬＭＤＢ固有）全ユーザーをオンメモリにマッピングするためのサイズ                   ||
|| `sasldb_maxreaders` || `126`                    || （ＬＭＤＢ固有）ＳＡＳＬＤＢファイルを同時アクセス可能な最大セッション（プロセス）数 ||

 * 特に `sasldb_mapsize` と `sasldb_maxreaders` の設定はユーザー数が多くなってきたときに調整が必要となる。
 * ※ＩＭＡＰサーバー側で同時アクセス数のリークを確認。再起動で改善する。

{{{#!wiki note
ＳＡＳＬクライアントが参照すべき設定ファイル名は sasl_server_init() 関数に引き渡される appname 引数により決定される。
マニュアルに明記されてないケースで調査が必要な際は参考までに。

https://www.cyrusimap.org/sasl/sasl/reference/manpages/library/sasl_server_init.html

}}}

== /etc/mail/Makefile.local ==
以下のファイルを作成する。

{{{#!highlight makefile numbers=disable
SENDMAIL_CF_DIR=/usr/local/share/sendmail/cf
}}}

== /etc/mail/ホスト名.mc ==
いわゆるｓｅｎｄｍａｉｌ．ｃｆ作成準備

{{{#!highlight shell numbers=disable
ln -s freebsd.submit.mc /etc/mail/$(hostname).submit.mc
cd /etc/mail && make
}}}



= 切り替え =
{{{#!highlight shell numbers=disable
cd /usr/ports/mail/sendmail && make mailer.conf
}}}

なお切り戻しは `make mailer.base` の実行となる。

= よくある質問とその答え =

== Ｑ．ｐｏｒｔｓで入れないと駄目なんですか？ ==
Ａ．ベースシステムにＳＡＳＬライブラリが無いのでしょうがないです。
ベースシステムにインストールされたＳＡＳＬライブラリ付でビルドすることもできないでもないですが、
ＯＳのバージョンアップ時等のメンテナンスがめんどくさくなるのでオススメしません。

== Ｑ．SASL unable to open MDB transaction: MDB_READERS_FULL: Environment maxreaders limit reached が出てＩＭＡＰサーバーに接続できません ==
Ａ．以下のコマンドを実行して、ＬＭＤＢファイルに接続しているセッション数およびプロセスＩＤを確認する。

{{{#!highlight shell numbers=disable
mdb_stat -ne /usr/local/etc/sasldb2
mdb_stat -nr /usr/local/etc/sasldb2
}}}

とりあえず再起動で。

= 参考文献 =
 * [[https://www.cyrusimap.org/sasl/sasl/options.html|Cyrus SASL documentation &mdash; Options]]
 * [[https://www.cyrusimap.org/sasl/sasl/reference/manpages/library/sasl_server_init.html|sasl_server_init - SASL server authentication initialization]]
 * [[http://jmaimon.com/sendmail/anfi.homeunix.net/sendmail/rtcyrus2.html|Real Time Cyrus Integration Version 2 (sendmail,cyrus)]]
 * [[http://jmaimon.com/sendmail/anfi.homeunix.net/sendmail/mrs.html|Mailertable Rule Sets (sendmail)]]
 * [[http://jmaimon.com/sendmail/anfi.homeunix.net/sendmail/cyrusv2.html|cyrusv2 mailer - release B (sendmail)]]

"sendmail/cyrus-imapd"の差分

ＣｙｒｕｓＩＭＡＰｄとの連携運用

前提条件

設定目標

インストール

/etc/make.conf

/usr/local/etc/ports.conf

インストール

セットアップ

/usr/local/lib/sasl2/Sendmail.conf

/etc/mail/Makefile.local

/etc/mail/ホスト名.mc

切り替え

よくある質問とその答え

Ｑ．ｐｏｒｔｓで入れないと駄目なんですか？

Ｑ．SASL unable to open MDB transaction: MDB_READERS_FULL: Environment maxreaders limit reached が出てＩＭＡＰサーバーに接続できません

参考文献