7と8のリビジョン間の差分
⇤ ← 2021-03-25 18:05:38時点のリビジョン7 →
サイズ: 7908
編集者: NorikatsuShigemura
コメント:
← 2021-03-27 09:28:29時点のリビジョン8 → ⇥
サイズ: 8470
編集者: NorikatsuShigemura
コメント:
削除された箇所はこのように表示されます。 追加された箇所はこのように表示されます。
行 98: 行 98:
いわゆるｓｅｎｄｍａｉｌ．ｃｆ作成準備
行 102: 行 104:

行 110: 行 114:
= 運用メモ = = よくある質問とその答え =

== Ｑ．ｐｏｒｔｓで入れないと駄目なんですか？ ==
Ａ．ベースシステムにＳＡＳＬライブラリが無いのでしょうがないです。
ベースシステムにインストールされたＳＡＳＬライブラリ付でビルドすることもできないでもないですが、
ＯＳのバージョンアップ時等のメンテナンスがめんどくさくなるのでオススメしません。
行 120: 行 129:
とりあえず再起動で。

ＣｙｒｕｓＩＭＡＰｄとの連携運用

前提条件

  • 動作試験環境： ＦｒｅｅＢＳＤ１２．２および１３．０

  • 事前に ＯＳのインストール および 環境構築 が済ませてあること。

  • 以下の観点からＳＡＳＬＡＵＴＨＤに依存しない。
    • スケーラビリティ（スケールアウト）は考慮しない。
    • つまりｓｅｎｄｍａｉｌとｃｙｒｕｓ ｉｍａｐｄは同一サーバー内に存在するものとし、分離した構成を取らない。
    • 認証（ＳＭＴＰ ＡＵＴＨ）は全てＳＡＳＬＤＢを参照するものとする。
    • またＳＡＳＬＤＢを参照するにあたって、ｓｅｎｄｍａｉｌおよびｃｙｒｕｓ ｉｍａｐｄ双方に権限上のミスマッチは存在していない。
    • よってＳＡＳＬＡＵＴＨＤの導入の動機として、権限分けにともなう、権限ミスマッチを解消する目的があるが、本構成では不要である。

  • ports/mail/sendmail をインストールするが現時点（２０２１年０３月２５日）でいくらか不備がある。

    • ＳＳＬ回りの設定方法がいびつなので、これも修正していきたいです。
      • 現在のｓｅｎｄｍａｉｌのＳＳＬ証明書の指定方法がよろしくない。
      • ＥＣＣ暗号の使用がｐｒｉｍｅ２５６ｖ１のみに限定されている。
      • 本問題を解消するために、ＣＦＬＡＧＳに細工して対応しています。
    • ｍｉｌｔｅｒをインストール（コンパイル）する順番（依存）が存在しているが、見えにくい。
      • ｓｅｎｄｍａｉｌをインストール後にｍｉｌｔｅｒをインストールする必要がある。

設定目標

  • バーチャルドメインでの運用を前提とし、サーバー側のアカウント情報や各種設定とは独立した運用を目指す。
  • 各種資料を読み解くと、この辺りが混在していて暗黙のウチに動作しているケース（エイリアスの適用など）があるが、今回それを一切許さない。
  • サーバー側はサーバー側で（ｒｏｏｔ宛のメールなど）、バーチャルドメイン側はバーチャルドメイン側で、切り離された環境を構築する。
  • その効能の一つとして、ｃｙｒｕｓ ｉｍａｐｄ側で持つメールボックスの存在確認をリアルタイムで行えるようにする。
    • メールボックスが存在しない宛先への受信拒否が行える。
    • 従来、一旦受信してから受信拒否という流れになるが、その場合の対応がバウンスメールの発行となる。
    • いわゆるスパムメールに対するバウンスメールの送信は無意味なので、その分、キューイングや再送といった負荷が無くなる。

インストール

/etc/make.conf

以下の内容を追記する。 

# for sendmail
mail_sendmail_SET=    LA NIS SEM TLS DANE SASL SHMEM MILTER SMTPUTF8
mail_sendmail_SET+=   SOCKETMAP BLACKLISTD CYRUSLOOKUP PICKY_HELO_CHECK
mail_sendmail_UNSET=  BDB LDAP SASLAUTHD

/usr/local/etc/ports.conf

以下の内容を追記する。 

mail/sendmail: CFLAGS=-O2 -pipe -DTLS_EC=2 -D_FFR_TLS_USE_CERTIFICATE_CHAIN_FILE -D_FFR_TLS_ALTNAMES -D_FFR_QUEUE_GROUP_SORTORDER

  • TLS_EC=2： ＥＣＣ暗号サポート／ＥＣＣ暗号（特にキー交換の）指定無し（ＯｐｅｎＳＳＬデフォルトに準拠）

  • （参考）TLS_EC： ＥＣＣ暗号サポート／ＥＣＣ暗号（特にキー交換は）ｐｒｉｍｅ２５６ｖ１のみ指定（変更不可）

  • _FFR_TLS_USE_CERTIFICATE_CHAIN_FILE： いわゆる一般的なＴＬＳサーバーと同じ指定（フルチェイン）の仕方にする

  • _FFR_TLS_ALTNAMES： コモンネームだけでなくＳＡＮｓも評価する

  • _FFR_QUEUE_GROUP_SORTORDER： キューグループ単位でソート順を指定可能にする（本運用では取り上げない）

インストール

cd /usr/ports/mail/sendmail && make install

セットアップ

/usr/local/lib/sasl2/Sendmail.conf

以下の内容のファイルを作成する。 

pwcheck_method: auxprop
auxprop_plugin: sasldb

※ＳｅｎｄｍａｉｌのＳＡＳＬサポートコードにはＳＡＳＬの設定に関するコードが含まれておらず、 ＳＡＳＬライブラリがケアしてる設定ファイルにて設定を行う必要がある。

適用可能なオプションとしては下記の物があるが、ＣｙｒｕＩＭＡＰｄ側の設定との調整を考えるとデフォルトのままで良いかと。

設定名

デフォルト値

意味

sasldb_path

/usr/local/etc/sasldb2

ＳＡＳＬＤＢファイル（本件ではＬＭＤＢ）のパス

sasldb_mapsize

1048576 バイト

（ＬＭＤＢ固有）全ユーザーをオンメモリにマッピングするためのサイズ

sasldb_maxreaders

126

（ＬＭＤＢ固有）ＳＡＳＬＤＢファイルを同時アクセス可能な最大セッション（プロセス）数

  • 特に sasldb_mapsize と sasldb_maxreaders の設定はユーザー数が多くなってきたときに調整が必要となる。

  • ※ＩＭＡＰサーバー側で同時アクセス数のリークを確認。再起動で改善する。

ＳＡＳＬクライアントが参照すべき設定ファイル名は sasl_server_init() 関数に引き渡される appname 引数により決定される。 マニュアルに明記されてないケースで調査が必要な際は参考までに。

https://www.cyrusimap.org/sasl/sasl/reference/manpages/library/sasl_server_init.html

/etc/mail/Makefile.local

以下のファイルを作成する。 

SENDMAIL_CF_DIR=/usr/local/share/sendmail/cf

/etc/mail/ホスト名.mc

いわゆるｓｅｎｄｍａｉｌ．ｃｆ作成準備 

ln -s freebsd.submit.mc /etc/mail/$(hostname).submit.mc
cd /etc/mail && make

切り替え

cd /usr/ports/mail/sendmail && make mailer.conf

なお切り戻しは make mailer.base の実行となる。

よくある質問とその答え

Ｑ．ｐｏｒｔｓで入れないと駄目なんですか？

Ａ．ベースシステムにＳＡＳＬライブラリが無いのでしょうがないです。 ベースシステムにインストールされたＳＡＳＬライブラリ付でビルドすることもできないでもないですが、 ＯＳのバージョンアップ時等のメンテナンスがめんどくさくなるのでオススメしません。

Ｑ．SASL unable to open MDB transaction: MDB_READERS_FULL: Environment maxreaders limit reached が出てＩＭＡＰサーバーに接続できません

Ａ．以下のコマンドを実行して、ＬＭＤＢファイルに接続しているセッション数およびプロセスＩＤを確認する。 

mdb_stat -ne /usr/local/etc/sasldb2
mdb_stat -nr /usr/local/etc/sasldb2

とりあえず再起動で。

参考文献

sendmail/cyrus-imapd (最終更新日時 2022-01-06 10:49:07 更新者 NorikatsuShigemura)