|
サイズ: 8470
コメント:
|
サイズ: 8631
コメント:
|
| 削除された箇所はこのように表示されます。 | 追加された箇所はこのように表示されます。 |
| 行 121: | 行 121: |
| == Ｑ．SASL unable to open MDB transaction: MDB_READERS_FULL: Environment maxreaders limit reached が出てＩＭＡＰサーバーに接続できません == | == Ｑ．以下のエラーが出てメールの送信ができません == {{{ AUTH failure (XXXXXXXX): generic failure (-1) SASL(-1): generic failure: Unable to open MDB transaction, user=... }}} |
| 行 129: | 行 133: |
| とりあえず再起動で。 | ここで表示されるＰＩＤのプロセスに対して、とりあえず再起動で。ＩＭＡＰｄでちょっとしたリークを確認。 |
ＣｙｒｕｓＩＭＡＰｄとの連携運用
前提条件
- 動作試験環境： ＦｒｅｅＢＳＤ１２．２および１３．０
- 以下の観点からＳＡＳＬＡＵＴＨＤに依存しない。
- スケーラビリティ（スケールアウト）は考慮しない。
- つまりｓｅｎｄｍａｉｌとｃｙｒｕｓ ｉｍａｐｄは同一サーバー内に存在するものとし、分離した構成を取らない。
- 認証（ＳＭＴＰ ＡＵＴＨ）は全てＳＡＳＬＤＢを参照するものとする。
- またＳＡＳＬＤＢを参照するにあたって、ｓｅｎｄｍａｉｌおよびｃｙｒｕｓ ｉｍａｐｄ双方に権限上のミスマッチは存在していない。
- よってＳＡＳＬＡＵＴＨＤの導入の動機として、権限分けにともなう、権限ミスマッチを解消する目的があるが、本構成では不要である。
ports/mail/sendmail をインストールするが現時点（２０２１年０３月２５日）でいくらか不備がある。
- ＳＳＬ回りの設定方法がいびつなので、これも修正していきたいです。
- 現在のｓｅｎｄｍａｉｌのＳＳＬ証明書の指定方法がよろしくない。
- ＥＣＣ暗号の使用がｐｒｉｍｅ２５６ｖ１のみに限定されている。
- 本問題を解消するために、ＣＦＬＡＧＳに細工して対応しています。
- ｍｉｌｔｅｒをインストール（コンパイル）する順番（依存）が存在しているが、見えにくい。
- ｓｅｎｄｍａｉｌをインストール後にｍｉｌｔｅｒをインストールする必要がある。
- ＳＳＬ回りの設定方法がいびつなので、これも修正していきたいです。
設定目標
- バーチャルドメインでの運用を前提とし、サーバー側のアカウント情報や各種設定とは独立した運用を目指す。
- 各種資料を読み解くと、この辺りが混在していて暗黙のウチに動作しているケース（エイリアスの適用など）があるが、今回それを一切許さない。
- サーバー側はサーバー側で（ｒｏｏｔ宛のメールなど）、バーチャルドメイン側はバーチャルドメイン側で、切り離された環境を構築する。
- その効能の一つとして、ｃｙｒｕｓ ｉｍａｐｄ側で持つメールボックスの存在確認をリアルタイムで行えるようにする。
- メールボックスが存在しない宛先への受信拒否が行える。
- 従来、一旦受信してから受信拒否という流れになるが、その場合の対応がバウンスメールの発行となる。
- いわゆるスパムメールに対するバウンスメールの送信は無意味なので、その分、キューイングや再送といった負荷が無くなる。
インストール
/etc/make.conf
以下の内容を追記する。
# for sendmail
mail_sendmail_SET= LA NIS SEM TLS DANE SASL SHMEM MILTER SMTPUTF8
mail_sendmail_SET+= SOCKETMAP BLACKLISTD CYRUSLOOKUP PICKY_HELO_CHECK
mail_sendmail_UNSET= BDB LDAP SASLAUTHD
/usr/local/etc/ports.conf
以下の内容を追記する。
mail/sendmail: CFLAGS=-O2 -pipe -DTLS_EC=2 -D_FFR_TLS_USE_CERTIFICATE_CHAIN_FILE -D_FFR_TLS_ALTNAMES -D_FFR_QUEUE_GROUP_SORTORDER
TLS_EC=2： ＥＣＣ暗号サポート／ＥＣＣ暗号（特にキー交換の）指定無し（ＯｐｅｎＳＳＬデフォルトに準拠）
（参考）TLS_EC： ＥＣＣ暗号サポート／ＥＣＣ暗号（特にキー交換は）ｐｒｉｍｅ２５６ｖ１のみ指定（変更不可）
_FFR_TLS_USE_CERTIFICATE_CHAIN_FILE： いわゆる一般的なＴＬＳサーバーと同じ指定（フルチェイン）の仕方にする
_FFR_TLS_ALTNAMES： コモンネームだけでなくＳＡＮｓも評価する
_FFR_QUEUE_GROUP_SORTORDER： キューグループ単位でソート順を指定可能にする（本運用では取り上げない）
インストール
cd /usr/ports/mail/sendmail && make install
セットアップ
/usr/local/lib/sasl2/Sendmail.conf
以下の内容のファイルを作成する。
pwcheck_method: auxprop auxprop_plugin: sasldb
※ＳｅｎｄｍａｉｌのＳＡＳＬサポートコードにはＳＡＳＬの設定に関するコードが含まれておらず、 ＳＡＳＬライブラリがケアしてる設定ファイルにて設定を行う必要がある。
適用可能なオプションとしては下記の物があるが、ＣｙｒｕＩＭＡＰｄ側の設定との調整を考えるとデフォルトのままで良いかと。
設定名 |
デフォルト値 |
意味 |
sasldb_path |
/usr/local/etc/sasldb2 |
ＳＡＳＬＤＢファイル（本件ではＬＭＤＢ）のパス |
sasldb_mapsize |
1048576 バイト |
（ＬＭＤＢ固有）全ユーザーをオンメモリにマッピングするためのサイズ |
sasldb_maxreaders |
126 |
（ＬＭＤＢ固有）ＳＡＳＬＤＢファイルを同時アクセス可能な最大セッション（プロセス）数 |
特に sasldb_mapsize と sasldb_maxreaders の設定はユーザー数が多くなってきたときに調整が必要となる。
- ※ＩＭＡＰサーバー側で同時アクセス数のリークを確認。再起動で改善する。
ＳＡＳＬクライアントが参照すべき設定ファイル名は sasl_server_init() 関数に引き渡される appname 引数により決定される。 マニュアルに明記されてないケースで調査が必要な際は参考までに。
https://www.cyrusimap.org/sasl/sasl/reference/manpages/library/sasl_server_init.html
/etc/mail/Makefile.local
以下のファイルを作成する。
SENDMAIL_CF_DIR=/usr/local/share/sendmail/cf
/etc/mail/ホスト名.mc
いわゆるｓｅｎｄｍａｉｌ．ｃｆ作成準備
ln -s freebsd.submit.mc /etc/mail/$(hostname).submit.mc
cd /etc/mail && make
切り替え
cd /usr/ports/mail/sendmail && make mailer.conf
なお切り戻しは make mailer.base の実行となる。
よくある質問とその答え
Ｑ．ｐｏｒｔｓで入れないと駄目なんですか？
Ａ．ベースシステムにＳＡＳＬライブラリが無いのでしょうがないです。 ベースシステムにインストールされたＳＡＳＬライブラリ付でビルドすることもできないでもないですが、 ＯＳのバージョンアップ時等のメンテナンスがめんどくさくなるのでオススメしません。
Ｑ．以下のエラーが出てメールの送信ができません
AUTH failure (XXXXXXXX): generic failure (-1) SASL(-1): generic failure: Unable to open MDB transaction, user=...
Ａ．以下のコマンドを実行して、ＬＭＤＢファイルに接続しているセッション数およびプロセスＩＤを確認する。
mdb_stat -ne /usr/local/etc/sasldb2
mdb_stat -nr /usr/local/etc/sasldb2
ここで表示されるＰＩＤのプロセスに対して、とりあえず再起動で。ＩＭＡＰｄでちょっとしたリークを確認。