ＣｙｒｕｓＩＭＡＰｄとの連携運用

前提条件

• 動作試験環境： ＦｒｅｅＢＳＤ（12.2／12.3／13.0）、ｓｅｎｄｍａｉｌ（8.17.1）。

• 事前に ＯＳのインストール および 環境構築 が済ませてあること。

• ＣｙｒｕｓＳＡＳＬの仕様上の制限からＳＡＳＬＡＵＴＨＤを使用しない。
  • ＳＡＳＬＡＵＴＨＤは平文パスワード（ＬＯＧＩＮおよびＡＵＴＨ ＰＬＡＩＮ）でしか使えないため。
  • 暗号パスワード（ＳＣＲＡＭ、ＤＩＧＥＳＴ－ＭＤ５、ＣＲＡＭ－ＭＤ５等）では、ａｕｘｐｒｏｐしか参照させることができない。
  • このことから認証（ＳＭＴＰ ＡＵＴＨ）は全てａｕｘｐｒｏｐ（ＳＡＳＬＤＢ）を直接参照するものとする。
  • またＳＡＳＬＤＢを参照するにあたって、ｓｅｎｄｍａｉｌおよびｃｙｒｕｓ ｉｍａｐｄ双方に権限上のミスマッチは存在していない。
  • よってＳＡＳＬＡＵＴＨＤの導入の動機として、権限分けにともなう、権限ミスマッチを解消する目的があるが、本構成では不要である。

• ports/mail/sendmail をインストールするが現時点（２０２１年１２月１１日）でいくらか不備がある。

  • ＳＳＬ回りの設定方法がいびつなので、これも修正していきたいです。
    • 現在のｓｅｎｄｍａｉｌのＳＳＬ証明書の指定方法がよろしくない。
    • ＥＣＣ暗号の使用がｐｒｉｍｅ２５６ｖ１のみに限定されている。
    • 本問題を解消するために、ＣＦＬＡＧＳに細工して対応しています。
  • ｍｉｌｔｅｒをインストール（コンパイル）する順番（依存）が存在しているが、見えにくい。
    • ｓｅｎｄｍａｉｌをインストール後にｍｉｌｔｅｒをインストールする必要がある。

設定目標

• バーチャルドメインでの運用を前提とし、サーバー側のアカウント情報や各種設定とは独立した運用を目指す。
• 各種資料を読み解くと、この辺りが混在していて暗黙のウチに動作しているケース（エイリアスの適用など）があるが、今回はそれを一切許さない。
• サーバー側はサーバー側で（ｒｏｏｔ宛のメールなど）、バーチャルドメイン側はバーチャルドメイン側で、切り離された環境を構築する。
• その効能の一つとして、ｃｙｒｕｓ ｉｍａｐｄ側で持つメールボックスの存在確認をリアルタイムで行えるようにする。
  • メールボックスが存在しない宛先への受信拒否が行える。
  • 従来、一旦受信してから受信拒否という流れになるが、その場合の対応がバウンスメールの発行となる。
  • いわゆるスパムメールに対するバウンスメールの送信は無意味なので、その分、キューイングや再送といった負荷が無くなる。

インストール

/etc/make.conf

以下の内容を追記する。

# for sendmail
mail_sendmail_SET=    LA NIS SEM TLS DANE SASL SHMEM MILTER SMTPUTF8
mail_sendmail_SET+=   SOCKETMAP BLACKLISTD CYRUSLOOKUP PICKY_HELO_CHECK
mail_sendmail_UNSET=  BDB LDAP SASLAUTHD

• SOCKETMAP： ＣｙｒｕｓＩＭＡＰｄのアカウント情報をリアルタイムで参照するための仕組みの有効化

• CYRUSLOOKUP： ＣｙｒｕｓＩＭＡＰｄ関連の判定、送信に関する情報の定義の有効化

/usr/ports/mail/sendmail/Makefile.local

以下の内容でファイルを作成する（「先頭の空白」は全てタブで置き換えること）。

post-configure:
        ${ECHO_CMD} 'APPENDDEF(`conf_sendmail_ENVDEF'\'', `-D_FFR_TLS_USE_CERTIFICATE_CHAIN_FILE'\'')' >> ${WCONF}/site.config.m4
        ${ECHO_CMD} 'APPENDDEF(`conf_sendmail_ENVDEF'\'', `-D_FFR_MTA_STS'\'')'               >> ${WCONF}/site.config.m4
        ${ECHO_CMD} 'APPENDDEF(`conf_sendmail_ENVDEF'\'', `-D_FFR_TLS_ALTNAMES'\'')'          >> ${WCONF}/site.config.m4
        ${ECHO_CMD} 'APPENDDEF(`conf_sendmail_ENVDEF'\'', `-D_FFR_VRFY_TRUSTED_FIRST'\'')'    >> ${WCONF}/site.config.m4
        ${ECHO_CMD} 'APPENDDEF(`conf_sendmail_ENVDEF'\'', `-D_FFR_QUEUE_GROUP_SORTORDER'\'')' >> ${WCONF}/site.config.m4
        ${ECHO_CMD} 'APPENDDEF(`conf_sendmail_ENVDEF'\'', `-UTLS_EC -DTLS_EC=2'\'')'          >> ${WCONF}/site.config.m4

• TLS_EC=2： ＥＣＣ暗号サポート／ＥＣＣ暗号（特にキー交換の）指定無し（ＯｐｅｎＳＳＬデフォルトに準拠）

• （参考）TLS_EC： ＥＣＣ暗号サポート／ＥＣＣ暗号（特にキー交換は）ｐｒｉｍｅ２５６ｖ１のみ指定（変更不可）

• _FFR_TLS_USE_CERTIFICATE_CHAIN_FILE： いわゆる一般的なＴＬＳサーバーと同じ指定（フルチェイン）の仕方にする

• _FFR_TLS_ALTNAMES： コモンネームだけでなくＳＡＮｓも評価する

• _FFR_QUEUE_GROUP_SORTORDER： キューグループ単位でソート順を指定可能にする（本運用では取り上げない）

インストール

cd /usr/ports/mail/sendmail && make install

セットアップ

/usr/local/lib/sasl2/Sendmail.conf

以下の内容のファイルを作成する。

pwcheck_method: auxprop
auxprop_plugin: sasldb

• ＳｅｎｄｍａｉｌのＳＡＳＬサポートコードにはＳＡＳＬ関連の設定に関するコードが含まれておらず、

ＳＡＳＬライブラリがケアしてる設定ファイルにて設定を行う必要がある。

• 平文パスワードでは pwcheck_method 設定が参照されるが、暗号パスワードでは直接 auxprop_plugin 設定が参照される。

• これが意味するところは、事実上 pwcheck_method: auxprop として強制的に解釈されることを意味する。

• pwcheck_method: saslauthd と設定しても、上記振る舞いから、意図した動作をしないため、設定しないこと。

本条件において適用可能なオプションとしては、下記の物があるが、ＣｙｒｕＩＭＡＰｄ側の設定との調整を考えるとデフォルトのままとする。

• 特に sasldb_mapsize と sasldb_maxreaders の設定はユーザー数が多くなってきたときに調整が必要となる。

• ※ＩＭＡＰサーバー側で同時アクセス数のリークを確認。再起動で改善する（２０２１年１２月現在、問題が解消している）。

/etc/mail/Makefile.local

以下のファイルを作成する。

SENDMAIL_CF_DIR=/usr/local/share/sendmail/cf

/etc/mail/ホスト名.mc

いわゆるｓｅｎｄｍａｉｌ．ｃｆ作成準備

ln -s freebsd.submit.mc /etc/mail/$(hostname).submit.mc
cd /etc/mail && make

切り替え

cd /usr/ports/mail/sendmail && make mailer.conf

なお切り戻しは make mailer.base の実行となる。

/etc/mail/ホスト名.mc のカスタムポイント

ＴＬＳ関連設定

変更箇所

• confSERVER_CERT

• confSERVER_KEY

• confCLIENT_CERT

• confCLIENT_KEY

• confCACERT

• confCACERT_PATH

追加設定

• confSERVER_SSL_OPTIONS ※ＯｐｅｎＳＳＬのオプション（, でつなげて指定する）

  • SSL_OP_NO_SSLv2： ＳＳＬｖ２の無効化

  • SSL_OP_NO_SSLv3： ＳＳＬｖ３の無効化 →ＴＬＳ１．０以降に対応する

  • SSL_OP_NO_RENEGOTIATION： リネゴシエーション機能の無効化

  • SSL_OP_PRIORITIZE_CHACHA： ＡＥＳ暗号とＣｈａＣｈａ暗号の同一優先度

  • SSL_OP_CIPHER_SERVER_PREFERENCE： 暗号スイートをサーバー指定を優先する

• confCIPHER_LIST ※暗号スイートの指定（: でつなげて指定する）

  • TLS_AES_256_GCM_SHA384

  • TLS_CHACHA20_POLY1305_SHA256

  • TLS_AES_128_GCM_SHA256

  • ECDHE-ECDSA-AES256-GCM-SHA384

  • ECDHE-ECDSA-CHACHA20-POLY1305

  • ECDHE-ECDSA-AES128-GCM-SHA256

  • ECDHE-RSA-AES256-GCM-SHA384

  • ECDHE-RSA-CHACHA20-POLY1305

  • ECDHE-RSA-AES128-GCM-SHA256

  • DHE-RSA-AES256-SHA

  • DHE-RSA-AES128-SHA

  • AES256-SHA

  • AES128-SHA

• confTLS_FALLBACK_TO_CLEAR ※送信時にＳＴＡＲＴＴＬＳに失敗した場合、ＳＴＡＲＴＴＬＳしないで送信しようとするかどうかのオプション

define(`confSERVER_SSL_OPTIONS', `SSL_OP_NO_SSLv2,SSL_OP_NO_SSLv3,SSL_OP_NO_RENEGOTIATION,SSL_OP_PRIORITIZE_CHACHA,SSL_OP_CIPHER_SERVER_PREFERENCE')dnl
define(`confCIPHER_LIST', `TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:AES256-SHA:AES128-SHA')dnl
define(`confTLS_FALLBACK_TO_CLEAR', `True')dnl

認証関連の設定

• confAUTH_MECHANISMS

  • SCRAM-SHA-256

  • SCRAM-SHA-1

  • CRAM-MD5

  • PLAIN

define(`confAUTH_MECHANISMS', 'SCRAM-SHA-256 SCRAM-SHA-1 CRAM-MD5 PLAIN')

ＣｙｒｕｓＩＭＡＰｄ関連設定

FEATURE(mrs)
FEATURE(mrs_cyrus)
MAILER(cyrusv2)

MAILER 行は他の MAILER 行の周辺に置くこと。

バーチャルホスト関連設定

define(`ALIAS_FILE', `/etc/mail/virtaliases,/etc/mail/aliases')dnl
VIRTUSER_DOMAIN_FILE(`-o /etc/mail/virtdomains')

バーチャルホスト連携

/etc/mail/virtdomains

   1 example.jp

/etc/mail/mailertable

   1 example.jp   mrs_cyrus_mailertable:

/etc/mail/virtaliases

   1 

よくある質問とその答え

Ｑ．ｐｏｒｔｓで入れないと駄目なんですか？

Ａ．ベースシステムにＳＡＳＬライブラリが無いのでしょうがないです。 ベースシステムにインストールされたＳＡＳＬライブラリ付でビルドすることもできないでもないですが、 ＯＳのバージョンアップ時等のメンテナンスがめんどくさくなるのでオススメしません。

Ｑ．ｐｋｇで入れられないのですか？

Ａ．ＣｙｒｕｓＩＭＡＰｄ関連の設定（アカウント情報をリアルタイムに参照する設定と転送するための設定）がｐｋｇには無いので、ｐｏｒｔｓでないとダメです。

Ｑ．以下のエラーが出てメールの送信ができません

AUTH failure (XXXXXXXX): generic failure (-1) SASL(-1): generic failure: Unable to open MDB transaction, user=...

Ａ．２０２１年１２月現在、最新のＣｙｒｕｓＩＭＡＰｄでは本問題が解消しているようです。またＳｅｎｄｍａｉｌでは問題起きていません。

Ａ．以下のコマンドを実行して、ＬＭＤＢファイルに接続しているセッション数およびプロセスＩＤを確認する。

# mdb_stat -ne /usr/local/etc/sasldb2
Environment Info
    :
  Max readers: 126
  Number of readers used: 101
Status of Main DB
    :

上記の例の場合、最大１２６セッション中１０１セッション使用していることが分かる。

# mdb_stat -nr /usr/local/etc/sasldb2
Reader Table Status
    pid     thread     txnid
     15223 801e12000 -
     15229 801612000 -
   :

上記のように、具体的にＬＭＤＢファイルをつかんでるＰＩＤのリストが取得できる。

# pgrep -lf -F <(mdb_stat -nr /usr/local/etc/sasldb2 | awk '/[0-9]/ { print $1 }')
15223 imapd: imaps: XXXXXX.XXXXXXXXXX.XXX [XXX.XXX.XXX.XXX] nork@ninth-nine.com ninth-nine.com!user.nork Idle

※ＺＳＨ／ＢＡＳＨ拡張を使用しているので、ＳＨ等では実行できない点に注意。

ここで表示されるＰＩＤのプロセスに対して、とりあえず再起動で。 ＳＡＳＬＤＢライブラリに接続リークを起こすことを確認。

Ｑ．なんでＬＭＤＢ使う？デフォルトのＢＤＢ１でええやん。

Ａ．ＬＭＤＢと言えばなうでヤングなインメモリデータベースやん。スケーラビリティとか諸々安心といのうのが。

参考文献

• Cyrus SASL documentation — Options

• sasl_server_init - SASL server authentication initialization

• Real Time Cyrus Integration Version 2 (sendmail,cyrus)

• Mailertable Rule Sets (sendmail)

• cyrusv2 mailer - release B (sendmail)