Voir la source de Postfix

[[Category:Services de messagerie]]
= Postfix =

<div class="leatitre">Postfix</div><div class="leapar">par [mailto:nicolas_agius%20chez%20yahoo%20point%20fr Nicolas Agius]</div><div class="leadesc">Ce document va vous permettre d'installer un serveur mail complet (smtp, pop3, imap) avec filtrage anti-spams et anti-virus. Vous pourrez ensuite y ajouter apache avec Squirrelmail, par exemple, pour un accès webmail.</div>
----

Pour réaliser ceci, vous aurez besoin des logiciels suivants :

* [http://www.postfix.org/ Postfix] (serveur smtp) 
* [http://www.spamassassin.org/ SpamAssassin] (filtrage spam) 
* [http://mailtools.anomy.net/ Anomy Sanitizer] (filtrage mails erronés et douteux) 
* [http://www.clamav.net/ ClamAV] (antivirus) 
* [http://www.washington.edu/imap/ UW-IMAP] (serveur pop3 et imap) 

Ainsi que l'ensemble des scripts et fichiers que j'ai utilisés pour cette configuration : [[Media:Fichiers-conf-postfix.tar|Fichiers-conf-postfix.tar]]

Cette documentation a été écrite avec les versions suivantes (du 04/2004) :

* postfix-2.0.19.tar.gz
* Mail-SpamAssassin-2.63.tar.gz
* anomy-sanitizer-1.66.tar.gz
* clamav-0.65.tar.gz
* imap-2004.RC7.tar.Z

Copiez ces fichiers dans <tt>/usr/src/</tt> par exemple, vous en aurez besoins par la suite.

== Postfix ==

Postfix est un serveur smtp performant, simple à configurer et sécurisé. C'est un équivalent à Qmail, mais il est plus facile à mettre en place.

=== Installation ===

{{Preferer_un_paquetage|postfix}}

==== Compilation ====

Exécutez les commandes suivantes :

<div class="code"><nowiki># tar -xvzf postfix-2.0.19.tar.gz</nowiki><br /> # cd postfix-2.0.19/<br /> # make<br /> # groupadd postdrop<br /> # useradd postfix -d /dev/null -s /bin/false -c postfix<br /> # echo "postfix: root" >>/etc/aliases<br /> # make install</div>

Cette dernière commande va vous demander des informations : donnez les réponses par défaut.

Si vous utilisez Mandrake, tapez simplement :

<div class="code"><nowiki># urpmi postfix</nowiki></div>

==== Configuration de base ====

Postfix est installé et les alias sont créés par défaut dans /etc/postfix/aliases.

Éditer le fichier <tt>/etc/postfix/main.cf</tt> et modifier les lignes suivantes afin de mettre des paramètres adaptés :

<div class="code">myhostname = mail.chezmoi.fr<br /> mydomain = chezmoi.fr<br /> myorigin = $mydomain<br /> mynetworks = 192.168.1.0/24, 127.0.0.0/8<br /> #inet_interfaces = 192.168.1.1<br /> mydestination = $myhostname, localhost.$mydomain, $mydomain</div><div class="note">''Rq: le serveur DNS de votre domaine devra contenir l'enregistrement de mail.chezmoi.fr''</div>

Pour définir des alias, ajouter à la fin du fichier <tt>/etc/aliases</tt> des lignes de la forme :<br /><tt>nom_alias: destinataire</tt>

Exemple : <br /><tt>operateur: root</tt>

N'oubliez pas de faire <tt>postalias /etc/aliases</tt> pour mettre à jour les modifications.

=== Lancement ===

Le script de lancement est fourni par votre distribution.

Lancement : <tt>/etc/rc.d/init.d/postfix start</tt>

Pour lancer Postfix à chaque démarrage faites :

<div class="code"><nowiki># chkconfig --add postfix</nowiki><br /> # chkconfig --level 345 postfix on</div>

<u>Quelques commandes d'administration :</u>

* Rechargement de la config : postfix reload
* Forcer l'envoi des messages en attente : sendmail -q
* Supprimer tous les messages en attente : postsuper -d aLL

<u>Plus d'info </u><nowiki>: man postfix</nowiki>

== SpamAssassin ==

SpamAssassin est un filtre anti-spam performant avec des fonctionnalités d'auto-apprentissage.

=== Installation ===

SpamAssassin a besoin d'un certain nombre de modules Perl (certains sont sans doute déjà installés sur votre machine) que l'on peut récupérer en utilisant la mise à jour par Internet CPAN (résolution des dépendances entre les modules).

Si vous ne disposez pas de la mise à jour par internet, vous pouvez télécharger les modules manuellement sur http://www.cpan.org/ .

<div class="code"><nowiki># perl -MCPAN -e shell</nowiki><br /> o conf prerequisites_policy ask <br /> install MIME::Base64 <br /> install MIME::QuotedPrint<br /> install HTML::Parser<br /> install Net::DNS <br /> install DB_File <br /> install Digest::SHA1<br /> install Mail::SpamAssassin<br /> quit </div>

Vous pouvez aussi installer SpamAssassin à partir du tarball (Mail-SpamAssassin-2.63.tar.gz) , mais les modules perl devront être installés auparavant.

Ensuite, copiez ce script de démarrage (sans l'extension .txt) [postfix_spamd.txt spamd] (présent dans les sources) dans le répertoire <tt>/etc/rc.d/init.d</tt>

=== Configuration ===

La configuration se fait dans le fichier <tt>/etc/mail/spamassassin/local.cf</tt>, ajoutez-y les lignes suivantes :

<div class="code"> rewrite_subject 1<br /> subject_tag [***SPAM***]<br /> </div>

Avec cette configuration, les messages détectés comme spam (avec un score supérieur à 5) auront leur champ Subject commençant par [***SPAM***] et un tag X-Spam-Level indiquant le score du message.

Pour ne pas filter les messages des personnes que vous savez sûres, vous pouvez constituer une "liste blanche" en ajoutant à la fin de ce fichier (local.cf) des lignes de la forme :<br /><tt>whitelist_from monpote@chezlui.fr</tt>

<u>Plus d'infos</u> : perldoc Mail::SpamAssassin::Conf

=== Lancement ===

La commande classique : <tt>/etc/rc.d/init.d/spamd start</tt>

Pour lancer spamassassin à chaque démarrage :

<div class="code"><nowiki># chkconfig --add spamd</nowiki><br /> # chkconfig --level 345 spamd on</div>

== Anomy Sanitizer ==

Anomy Sanitizer est un filtre mail qui corrige les messages défectueux et bloque les pièces jointes suspectes. Il se charge aussi d'appeler l'antivirus.

Copiez le tarball dans <tt>/usr/local</tt>

<div class="code"><nowiki># cd /usr/local/</nowiki><br /> # tar -xzvf anomy-sanitizer-1.66.tar.gz<br /> # chown -R root:filter /usr/local/anomy<br /> # chmod 0750 /usr/local/anomy</div>

La configuration se fait dans le fichier <tt>/etc/sanitizer.cfg</tt><br /> Voici un exemple de configuration : [postfix_sanitizer.cfg  sanitizer.cfg] à copier dans <tt>/etc</tt>.

Pour tester si cela fonctionne bien, faites :

<div class="code"><nowiki># cd /usr/local/anomy/testcases/</nowiki><br /> # ./testall.sh</div>

<u>Plus d'informations</u> : /usr/local/anomy/sanitizer.html

== Filtrage avec Postfix : ==

La technique de filtrage utilisée ici est celle proposée par la documentation de Postfix. Nous aurions pu utiliser maildrop, qui permet de mettre des règles de filtrages différentes pour chaque utilisateur mais la "méthode postfix" est plus simple et plus flexible.

La méthode choisie ici est le filtrage par script, idéale pour les petits et moyens serveurs. Si vous avez besoin de plus de performances, vous pouvez utiliser un filtrage par daemon, avec amavisd-new (http://www.ijs.si/software/amavisd/) .

<div class="code"><nowiki># groupadd filter</nowiki><br /> # useradd filter -s /bin/false -d /var/spool/filter -g filter<br /> # rm -f /var/spool/filter/.*</div>

Voici le script dont a besoin Postfix pour effectuer le filtrage : [postfix_filter.sh.txt filter.sh]

Cette méthode offre aussi la possibilité de filtrer les mails en émission ( cela peut être intéressant si vous ne voulez pas qu'un de vos utilisateurs envoie des spams ou des virus ... )

Copier le script dans <tt>/usr/local/anomy/</tt> et ensuite :

<div class="code"><nowiki># cd /usr/local/anomy/</nowiki><br /> # chown root:filter filter.sh<br /> # chmod 750 filter.sh</div>

ajoutez à la fin de <tt>/etc/postfix/master.cf</tt> :

<div class="code"> filter unix - n n - - pipe<br /> flags=Rq user=filter argv=/usr/local/anomy/filter.sh -f ${sender} -- ${recipient}<br /> </div>

* '''Pour un filtrage entrant et sortant''' : toujours dans <tt>master.cf</tt>, après la ligne :<br /><tt>smtp inet n - n - - smtpd</tt><br /> ajouter :<br /><tt>-o content_filter=filter:dummy</tt>
* '''Pour filtrage entrant seulement''' : il faut spécifier une liste d'adresses de destination à filtrer.<br /> Créez le fichier <tt>/etc/postfix/filtered_domains</tt> contenant :<br /><tt>chezmoi.fr FILTER filter:dummy</tt><br /> (évidemment, remplacer chezmoi.fr par votre nom de domaine)<br /> Faites : <tt>postmap filtered_domains</tt> pour générer la map correspondante.<br /> Ensuite, ajoutez à la fin de <tt>/etc/postfix/main.cf</tt> : <div class="code"> smtpd_recipient_restrictions = permit_mynetworks<br /> check_recipient_access hash:/etc/postfix/filtered_domains<br /> reject_unauth_destination<br /> </div><div class="note">''Rq : remplacer hash si besoin par la valeur donnée par la commande :<br /> postconf default_database_type''</div>

Pour prendre en compte les modifications : <tt>postfix reload</tt>

<u>Plus d'info</u> : postfix-2.0.19/README_FILES/FILTER_README (dans les sources)

== ClamAV ==

ClamAV est un antivirus Unix sous licence GPL basé sur le projet OpenAntivirus.

=== Installation ===

Exécutez les commandes suivantes :

<div class="code"> # tar -xzvf clamav-0.65.tar.gz<br /> # cd clamav-0.65<br /> # groupadd clamav<br /> # useradd -g clamav -s /bin/false -c "Clam AntiVirus" -d /dev/null clamav<br /> # ./configure --sysconfdir=/etc<br /> # make<br /> # make install<br /> # cp contrib/init/RedHat/clamd /etc/rc.d/init.d<br /> </div>

La configuration du daemon clamd se fait dans le fichier <tt>/etc/clamav.conf</tt><br /> Editez-le et supprimez la ligne "Example", enlevez aussi le # devant la ligne <tt>ScanMail</tt>

<u>Plus d'informations</u> : man clamav.conf

=== Lancement ===

Pour démarrer le daemon, faites :<br /><tt>/etc/rc.d/init.d/clamd start</tt>

Et pour le lancer à chaque démarrage :

<div class="code"><nowiki># chkconfig --add clamd</nowiki><br /> # chkconfig --level 345 clamd on</div><div class="note">''Rq: La vérification manuelle d'un ficher se fait avec la commande clamdscan''</div>

=== Configuration de la mise à jour automatique : ===

La mise à jour automatique permet de télécharger les dernières définitions de virus.

<div class="code"> # touch /var/log/clam-update<br /> # chmod 600 /var/log/clam-update<br /> # chown clamav /var/log/clam-update</div>

Ajoutez la ligne suivante dans <tt>/etc/crontab</tt> pour télécharger la mise à jour tous les jours à 12h00 :<br /><tt>00 12 * * * root /usr/local/bin/freshclam --quiet -l /var/log/clam-update</tt>

<u>Plus d'informations</u> : man freshclam<br />

=== Intégration de l'antivirus dans Anomy Sanitizer ===

Voici un patch qui permet d'intégrer ClamAV dans anomy : [postfix_anomy-clamav.patch anomy-clamav.patch]<br /> Copiez le dans <tt>/usr/local/anomy/contrib</tt> :

<div class="code"> # cd /usr/local/anomy/contrib<br /> # patch <anomy-clamav.patch<br /> # cp check_for_virus ../chk_virus.sh<br /> # cd ..<br /> # chown root:filter chk_virus.sh<br /> # chmod 750 chk_virus.sh</div>

Il faut ensuite modifier la configuration dans le fichier <tt>/etc/sanitizer.cfg</tt> :<br /> Modifier les lignes :

<div class="code"> file_list_1_policy = drop<br /> file_list_1_scanner = 0<br /> </div>

en :

<div class="code"> file_list_1_policy = accept:accept:drop:save<br /> file_list_1_scanner = 0:1:3:/usr/local/anomy/chk_virus.sh %FILENAME %REPLY_TO<br /> </div>

Avec cette configuration, les pièces jointes susceptibles de contenir des virus seront scannées.

<u>Plus d'informations</u> sur les actions et les stratégies de sécurité à mener avec l'antivirus : <tt>/usr/local/anomy/sanitizer.html </tt>

== Optimisation des performances (facultatif) ==

Les fichiers temporaires utilisés par ce filtrage sont créés dans le répertoire <tt>/var/spool/filter</tt>. En montant ce répertoire en mémoire vive (grâce à tmpfs), nous gagnons du temps sur les opérations de création/lecture/écriture.

<div class="note">''Rq : en cas de traitement de mail très volumineux, tmpfs n'utilisera au maximum que la moitié de la ram de la machine.''</div>

Pour ceci faites :<br /><tt>mount -t tmpfs tmpfs /var/spool/filter/ -o mode=700,gid=filter,uid=filter,noexec</tt>

Pour que le montage s'effectue à chaque démarage, ajoutez la ligne suivante dans le fichier <tt>/etc/fstab</tt> :<br /><tt>tmpfs /var/spool/filter tmpfs mode=700,gid=filter,uid=filter,noexec 0 0</tt>

Les fichiers de ce répertoire étant stockés dans la ram, il sont perdus à chaque arrêt de la machine. Pour ne pas recréer les préférences utilisateurs de Spamassassin à chaque démarrage (enregistrées dans ce répertoire) , il faut modifier les paramètre du daemon spamd :

Créez le fichier <tt>/etc/sysconfig/spamassassin</tt> contenant : <tt>SPAMDOPTIONS="-d -m5 -H"</tt>

<u>Plus d'informations</u> : man spamd

Faites <tt>/etc/rc.d/init.d/spamd restart</tt> pour prendre en compte les modifications.

== UW-IMAP (pop3 et imap avec ssl) ==

UW-IMAP est le serveur imap/pop3 de l'Université de Washington, plus facile à mettre en place que Courrier-Imap. Il utilise le super daemon xinetd.

=== Installation ===

Pour bénéficier des fonctionnalités de chiffrement, OpenSSL doit être déjà installé. Vous pouvez modifier ci-dessous les valeurs de SSLINCLUDE, SSLLIB et SSLDIR pour correspondre à votre installation. (les chemins utilisés ici sont ceux d'une RedHat 7.3)

<div class="code"> # tar -xzvf imap-2004.RC7.tar.Z<br /> # cd imap-2004.RC7<br /> # make slx SSLINCLUDE=/usr/include/openssl SSLLIB=/usr/lib SSLDIR=/usr/share/ssl EXtraDRIVERS= SSLTYPE=unix<br /> # cp ipopd/ipop3d /usr/sbin<br /> # cp imapd/imapd /usr/sbin<br /> # chmod 1777 /var/spool/mail</div>

Avec cette configuration, à la fois les connections normales (pop3) et les connecions sécurisées (pop3s) sont possibles.

=== Création des certificats ===

Ces certificats sont nécessaires à l'authentification SSL.

<div class="code"> # cd /usr/share/ssl/certs<br /> # openssl req -new -x509 -nodes -out imapd.pem -keyout imapd.pem -days 365<br /> # openssl req -new -x509 -nodes -out ipop3d.pem -keyout ipop3d.pem -days 365<br /> # chmod 600 ipop3d.pem<br /> # chmod 600 imapd.pem</div>

<u>Plus d'informations</u> : man openssl

=== Configuration ===

UW-IMAP utilise le super-daemon xinetd, qui doit être configuré pour faire appel à ipop3d et imapd.<br /> Vérifiez que les entrées suivantes sont présentes dans <tt>/etc/services</tt> (si besoin est, ajoutez-les) :

<div class="code"> pop3 110/tcp<br /> imap 143/tcp<br /> imaps 993/tcp<br /> pop3s 995/tcp </div>

Créez les 4 fichiers suivants dans <tt>/etc/xinetd.d</tt> (supprimez l'extension .txt) : [postfix_pop3.txt pop3], [postfix_pop3s.txt pop3s], [postfix_imap.txt imap], [postfix_imaps.txt imaps] .

Ajouter ensuite dans le fichier <tt>/etc/hosts.allow</tt> les lignes (en adaptant à votre réseau) :

<div class="code"> ipop3d : 192.168.1.0/255.255.255.0<br /> imapd : 192.168.1.0/255.255.255.0 </div>

Ces deux lignes permettent de définir les permissions d'accès réseaux aux services fournis par xinetd.

<u>Plus d'informations</u> : man hosts.allow

Faites <tt>/etc/rc.d/init.d/xinetd restart</tt> pour prendre en compte les modifications.

Voila, c'est terminé. Si tout s'est bien passé, votre serveur mail fonctionne.<br /> N'oubliez pas de vérifier que votre firewall et votre service DNS sont bien configurés (notamment l'enregistrement MX de votre nom de domaine, pour que votre serveur smtp soit connu du monde extérieur) .

<br/>
<br/>
'''<b>[[Reseau-index|@ Retour à la rubrique Réseau et sécurité]]</b>'''
<br/>

<div class="merci">Cette page est issue de la documentation 'pré-wiki' de Léa a été convertie avec HTML::WikiConverter. Elle fut créée par Nicolas AGIUS le 10/10/2004.</div>

= Copyright =
Copyright &copy; 10/10/2004, Nicolas AGIUS
{{CC-BY}}