Newsgroup: it.comp.os.linux.sys
Titolo: Postfix e autenticazione

Dato un server unix con utenti unix (senza samba e ldap) e postfix come
mail server, una semplice autenticazione solo via password come si
dovrebbe fare?
In teoria dovrebbe funzionare out-of-the-box con user/pwd del sistema giusto?
Sembra una cazzata ma non riesco a capire cosa ci sia di sbagliato.
L'avevo fatto in passato ma usavo ldap per l'autenticazione e aveva
funzionato senza colpo ferire.

 writes:

Ok leggendo un po' di doc sembra che non sia così, devo comunque
configurare SASL e poi fargli usare /etc/passwd, corretto?

 configurare SASL e poi fargli usare /etc/passwd, corretto?
Mi domando però come mai non si possa usare pam per esempio invece di
dover usare un altro demone.
Che poi alla fine di default mi sembra di capire che usi comunque pam
SASLAUTHD_OPTS="-m /var/run/saslauthd -a pam"

 SASLAUTHD_OPTS="-m /var/run/saslauthd -a pam"
L'ho fatto la settimana scorsa, ma mi sono fermato a quello che serviva a 
me, quindi le info sotto sono parziali.
Si`, ti serve SASL, ma non e` necessario saslauthd.
Postfix (almeno in Debian) e` compilato per usare la libsasl. Uno dei 
"backend" possibili e` saslauthd, che pero` e` molto limitato, e puo` 
usare praticamente solo un file con il suo formato in /etc/sasldb2 e 
autenticare solo in PLAIN e LOGIN.
In alternativa, in /etc/postfix/sasl/smtpd.conf puoi usare auxprop. Per 
esempio il mio e`:
pwcheck_method: auxprop
auxprop_plugin: sql
mech_list: PLAIN LOGIN CRAM-MD5 DIGEST-MD5 NTLM
log_level: 10000
sql_engine: pgsql
sql_hostnames: 127.0.0.1
sql_user: nomeutente
sql_passwd: password
sql_database: nomedb
sql_select: select password from tabellasasl where username='%u'
Cosi` ti risparmi anche un demone che gira con relativi possibili bug, e 
soprattutto l'uso di comandi da terminale (saslpasswd) e di casini con la 
gabbia chroot di postfix.
Mi pare ci sia un plugin anche per PAM. Trovi tutto sulla documentazione 
di postfix.
Bye.

 writes:

Sì anche il mio è compilato con libsasl, e se posso evitare il demone è
meglio.
In teoria posso tranquillamente mettere pwcheck_method: pam, in
sasl/smtpd.conf, MA non riesco a capire come fargli prendere questa
impostazione a postfix.
E usando questo sistema che dovrei questo lo devo rimettere a no?
smtpd_sasl_auth_enable = yes

 smtpd_sasl_auth_enable = yes
Non capisco questo errore:
Dec 28 12:23:16 localhost dovecot: imap-login: Login: user=<andrea>, method=PLAIN, rip=192.168.0.3, lip=192.168.0.100, mpid=3849
Dec 28 12:23:16 localhost postfix/smtpd[3844]: disconnect from unknown[192.168.0.3]
Non avevo in effetti impostato mynetworks, e pensavo fosse quello il
problema, ma qui vuole dire che l'unknown è l'utente giusto?
Il problema penso sia semplicemente che non legge
"etc/postfix/sasl/smtpd.conf" a questo punto..

 impostazione a postfix.
In in 
main.cf
 ho:
#####
# SASL
smtpd_sasl_path = smtpd
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
smtpd_sasl_local_domain = hostname del server
broken_sasl_auth_clients = yes
#
#####
smtpd_recipient_restrictions = 
	...
        permit_sasl_authenticated,
	...
smtpd_client_restrictions =
	...
        permit_sasl_authenticated,
	...
Bye.

 Bye.
Con questa conf comunque mi va a cercare
/etc/sasldb2, del quale in teoria non vorrei/dovrei aver bisogno,
giusto?
Comunque se avessi la certezza che le mail in uscita vengano anche poi
scritte nella giusta directory dell'utente che le ha inviate,
dell'autenticazione non me ne interessa un tubazzo e la disabilito del
tutto...
Ma dalle mie prove sembra quasi che una volta abbia funzionato e le
successive no, e non ho ben capito la ragione...

 unknown[192.168.0.3]
Vuol dire che l'IP da cui è arrivata la connessione non ha reverse.
Permettimi di farti notare che come stai affrontando il problema è il 
modo sbagliato.
Stai cercando di mischiare SMTP, IMAP, POP, demoni diversi, procmail, 
blackberry e cazzate simili.
Oltre a fare 10mila post a cui ti rispondi da solo (e se prima accendessi 
il cervello sarebbe meglio perchè leggere domande e risposte auto date da 
fastidio e fa venire voglia di mandarti su icoli), comprendi BENE che:
- smtp
- imap
- procmail
- bb
sono mondi a se stanti.
Risolvi un pezzo alla volta e vai avanti.
Possibilmente leggendo bene la documentazione che esiste ed è ben fatta.

 Possibilmente leggendo bene la documentazione che esiste ed è ben fatta.
Beh in teoria hai ragione, ma
1. ho pochissimo tempo per farlo, o meglio voglio vedere come funziona,
   poi da remoto potrò perfezionare il tutto, ma appunto sarbbe bello se
   entro oggi riuscissi a vedere tutto girare bene.
2. DEVO integrare tutto, cosa me ne faccio di solo smtp o solo imap?
3. mi rispondo da solo per
   - evitare a qualcuno di sprecare "fiato" rispondendomi
   - permettere ad altre persone di vedere qual era in effetti la
      soluzione corretta

       soluzione corretta
Il problema non è solo lo sprecare fiato rispondendoti.
Il problema è che tutte le cose che hai chiesto sono *chiarissime* sulla 
documentazione dei prodotti e su google, con banali ricerche.
In questa ottica sia le domande che le risposte sono perfettamente 
inutili per un newsgroup come icol.sys poichè già ampiamente documentate.
Tra l'altro, entrando nel merito, non mi pare che tu abbia postato molte 
risposte ai tuoi interrogativi, bensì soprattutto ulteriori domande.
Vogliamo fare il conto preciso ?

 dovrebbe fare?
ma stai parlando di autenticazione SMTP o IMAP? perchè leggo sotto che
riporti un log di dovecot, per cui non c'entra una cippa nè postfix nè
tantomeno SASL.
E sì, per avere un semplice mail server che funziona out-of-the box
con gli utenti di sistema non c'e' da configurare assolutamente
niente, basta installare i pacchetti relativi ai vari servizi, sulla
quasi totalità degli OS *nix.
bye!

 bye!
Autenticazion smtp intendevo, non avevo badato che il log era dal demone
sbagliato :/
Comunque dimentichiamo la faccenda, non serve autenticarsi le mail vanno
a finire al posto giusto comunque.
Se sapessi esattamente come e perché sarei più contento ma mi sembra di
capire che funziona benissimo anche così...

 capire che funziona benissimo anche così...
Ti manca un bel po' di teoria dietro, e ti consiglio di studiare prima di 
mettere online un server che potrebbe diventare un buco di sicurezza 
enorme.
Non ci riuscirai in giornata.
Leggiti almeno un po' di HOWTO e poi magari passa a qualche manuale su 
postfix (SMTP), dovecot/courier (POP3 e IMAP), e in caso SASL, 
spamassassin, clamav, ecc.
Bye.

 capire che funziona benissimo anche così...
che funzioni può darsi, che funzioni bene con il casino che ci hai in
testa non ci credo manco se lo vedo.
bye!

 Bye.
Il server non è in alcun modo accessibile dall'esterno (a parte dietro
openvpn), come fa a diventare un buco di sicurezza?
Comunque sì sicuramente ho molto da studiare, ma ho un altro paio di
server che vanno da 3 anni senza problema (con una configurazione più
complessa di questa), solo che dopo di ciò non mi sono mai più occupato
di queste cose.
Quindi sto facendo un grosso salto nel passato e un po' alla volta mi
sto ricordando tutto.
Ad ogni modo toccandomi le balle mi sembra che tutto funzioni
perfettamente.
Non ci sono errori o strani messaggi nei log, le mail arrivano, partono
e imap non si lamenta.
Mancano ancora alcune cose:
- filtri spam
- antivirus (non ci sono macchine windows ma potrebbe essere comunque utile)
- backup intelligente delle caselle imap
Per l'ultimo punto voi come la gestite?
Se una mail viene per caso cancellata come si recupera?
Pensavo di usare offlineimap o qualcosa del genere e a rotazione
sincronizzare e salvare la situazione settimanale/mensile.

 Vogliamo fare il conto preciso ?
Insomma non saprei, secondo me sono *chiarissime* per persone che
lavorano con queste cose tutti i giorni.
Prima di chiedere cerco nella doc ufficiale e su google, ma è raro
trovare proprio la spiegazione che si cerca.
Certo con più esperienza e teoria di base sarebbe molto più semplice.

 spamassassin, clamav, ecc.
Mah, se posso, aggiungere anche una rapida lettura circa i dns blackhole e 
del protocollo spf{1,2}, i miei mail server integrano entrambe le 
tecnologie, spamassassin l'ho dismesso da tempo ormai.
Corrado Roberto
Fingerprint: 8FC8 05DE 2B53 A8AF 8B2B 6CBF AD23 C4D5 86FE 80BB 

On 1 Gen, 23:12, "Corrado Roberto"

Ottimo grazie ci darò un occhio.
Lo spam per ora non era mai stato un problema grosso, i filtri di Mail
funzionavano egregiamente, però se si può centralizzare la cosa è
meglio ovviamente.
Per quanto riguarda la domanda principale, alla fine mi stavo
preoccupando per niente.
E' in realtà il client di posta che va a mettere la mail inviata nella
giusta directory imap, quindi l'autenticazione sul server smtp interno
non serve sostanzialmente a nulla...

 usare praticamente solo un file con il suo formato in /etc/sasldb2 e 
Se dai un'occhiata a AUTHENTICATION MECHANISMS nella man page, scopri che
saslauthd può usare ben altro che sasldb2...:)




Mi fido di te, anche perche` ora che il sistema funziona non ho 
intenzione di rimetterci mano a breve. :)
Le mie informazioni arrivavano dalla documentazione di Postfix, che 
diceva appunto che saslauthd e` molto piu` limitato rispetto all'uso 
diretto della libsasl fatto da postfix.
Bye.