The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Тематический каталог: Корпоративный почтовый сервер на базе Postfix (postfix mail imap sasl crypt tls auth clamav spam v..., auto_topic (??), 09-Мрт-06, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


82. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от SHRDLUemail (ok), 13-Фев-07, 07:11 
>host localhost: ERROR:  permission denied for relation user_aliases?
>где может быть ошибка?

Юзер, под которым происходит подкдючение к БД, не имеет прав на работу с таблицей user_aliases.
Соответственно, либо ты накосячил в конфигах (проверяй синтаксис), либо не завел юзера БД, от имени которого работает postfix и/или не дал ему прав работать с таблицами -
grant select on user_accounts, user_aliases, transport to postfix;


Ответить | Правка | Наверх | Cообщить модератору

83. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от reekoff (ok), 20-Фев-07, 12:26 
SASL authentication failure: no secret in database
SASL CRAM-MD5 authntication failed

вроде бы довольно понятные эти слова, но куда копать не знаю...

Ответить | Правка | Наверх | Cообщить модератору

84. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от SHRDLUemail (ok), 20-Фев-07, 12:53 
>SASL authentication failure: no secret in database
>SASL CRAM-MD5 authntication failed
>вроде бы довольно понятные эти слова, но куда копать не знаю...

копать в сторону логов постгреса и /usr/local/lib/sasl2/smtpd.conf...
нет пользователя в базе или некорректно написан запрос на выборку из БД

Ответить | Правка | Наверх | Cообщить модератору

85. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от reekoff (ok), 01-Мрт-07, 17:33 
А в /usr/local/etc/postfix/master.cf допишем вот такой фрагмент:

        scan      unix -        -       n       -       16      smtp
            -o smtp_send_xforward_command=yes
        127.0.0.1:10026 inet n -        n       -       16      smtpd
            -o content_filter=
            -o
        receive_override_options=no_unknown_recipient_checks,no_header_body_checks
            -o smtpd_helo_restrictions=
            -o smtpd_client_restrictions=
            -o smtpd_sender_restrictions=
            -o smtpd_recipient_restrictions=permit_mynetworks,reject
            -o mynetworks_style=host
            -o smtpd_authorized_xforward_hosts=127.0.0.0/8

после перезагрузки постфикс не стартует с записью:
fatal: /usr/local/etc/postfix/master.cf: line 91: bad transport type: -o

line 91 это   -o smtpd_authorized_xforward_hosts=127.0.0.0/8

Ответить | Правка | Наверх | Cообщить модератору

86. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от SHRDLU (ok), 02-Мрт-07, 11:56 
>после перезагрузки постфикс не стартует с записью:
>fatal: /usr/local/etc/postfix/master.cf: line 91: bad transport type: -o
>line 91 это   -o smtpd_authorized_xforward_hosts=127.0.0.0/8

Поиск СИНТАКСИЧЕСКИХ ошибок в чужих конфигах и указывание на них пальцем - услуга платная.
И не забываем листать документацию к новым версиям устанавливаемых программ.


Ответить | Правка | Наверх | Cообщить модератору

87. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от Voffkaemail (?), 13-Мрт-07, 13:29 
Где же ваша винимательность?
Вот же как надо!
127.0.0.1:10026 inet n -        n       -       16      smtpd
-o content_filter=
-o receive_override_options=no_unknown_recipient_checks,no_header_body_checks
-o smtpd_helo_restrictions=
.....и так далее


Ответить | Правка | К родителю #85 | Наверх | Cообщить модератору

88. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от evgeniy1email (ok), 13-Мрт-07, 16:42 
Понадобилось поставит на новый сервер эту схему вместе с sasl, ставлю -

авторизация не проходит 8-(

Как сделать еще более подробным вывод сообщений об ошибках sasl ?

sasl 2.1.19

/sasl2/smtpd.conf :

pwcheck_method: auxprop
mech_list:   PLAIN LOGIN  CRAM-MD5 DIGEST-MD5
auxprop_plugin: sql
sql_engine: pgsql
sql_user: postfix
sql_passwd: **
sql_hostnames: 127.0.0.1
sql_database: mailbase
sql_select: select smtppassword from user_accounts where smtplogin='%u@%r'
log_level: 3
sql_verbose: true
allowanonymouslogin: no
allowplaintext: yes

$ testsaslauthd -s smtp -u smtptestuser   -p smtppassword  -f /var/run/saslauthd/mux
0: NO "authentication failed"

Mar 13 13:46:27 eg saslauthd[15493]: do_auth         : auth failure: [user=smtptestuser] [service=smtp] [realm=] [mech =shadow] [reason=Unknown]

---+---
судя по логам,  sasl вообще не обращается к постгресу. 8-(

ldd libsql.so.2.0.19
        libmysqlclient.so.14 => /usr/lib/mysql/libmysqlclient.so.14 (0x00a71000)
        libpq.so.3 => /usr/lib/libpq.so.3 (0x009d3000)

хотя sasl собран с поддержкой pgsql.

Ответить | Правка | Наверх | Cообщить модератору

89. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от SHRDLUemail (ok), 14-Мрт-07, 07:09 
>Понадобилось поставит на новый сервер эту схему вместе с sasl, ставлю -
>авторизация не проходит 8-(

И не должна...

>Как сделать еще более подробным вывод сообщений об ошибках sasl ?

log_level: 9

>sasl 2.1.19

http://www.freebsd.org/cgi/ports.cgi?query=cyrus-sasl&stype=...
Последняя версия 2.1.22. Обновить не пробовали?

>sql_select: select smtppassword from user_accounts where smtplogin='%u@%r'

Вот это - "%u@%r" - не работало и не работает.

>судя по логам,  sasl вообще не обращается к постгресу. 8-(

Судя по Вашему посту, статью Вы прочитали в лучшем случае по диагонали. Рекомендую прочесть более внимательно.


Ответить | Правка | Наверх | Cообщить модератору

90. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от Евгенийemail (??), 17-Мрт-07, 01:37 

Не подскажет ли кто, как указать courier' му pop3-ssl  использовать только md5 для аутентификации, и отвергать Plain text ?
А то шифрование работает, а вот пароли в открытом тексте  (равно как и мд5)  пропускаются. 8(
Ответить | Правка | Наверх | Cообщить модератору

91. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от SHRDLU (ok), 17-Мрт-07, 14:25 
>Не подскажет ли кто, как указать courier' му pop3-ssl  использовать только
>md5 для аутентификации, и отвергать Plain text ?
>А то шифрование работает, а вот пароли в открытом тексте  (равно
>как и мд5)  пропускаются. 8(

Очевидно, надо поколдовать с содержимым строчек POP3AUTH и POP3AUTH_TLS (и их аналогами для IMAP). Но не уверен, что будет правильно вообще запретить plain-text аутентификацию.
В общем-то, с описанными в статье

# используемые алгоритмы авторизации в обычном режиме и в режиме TLS
POP3AUTH="LOGIN CRAM-MD5 CRAM-SHA1"
POP3AUTH_TLS="LOGIN CRAM-MD5 CRAM-SHA1"

у меня лично всегда используется CRAM-MD5 - при соответствующих настройках на клиентах...

Ответить | Правка | Наверх | Cообщить модератору

92. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от Евгенийemail (??), 17-Мрт-07, 15:51 

в том-то и дело, что пробовал как с
POP3AUTH="CRAM-MD5 CRAM-SHA1 "
POP3AUTH_TLS="CRAM-MD5 CRAM-SHA1 "
, так и вариант с
POP3AUTH="CRAM-MD5 CRAM-SHA1 !LOGIN !PLAIN"
POP3AUTH_TLS="CRAM-MD5 CRAM-SHA1 !LOGIN !PLAIN"

POP3AUTH="CRAM-MD5 CRAM-SHA1 !LOGIN "
POP3AUTH_TLS="CRAM-MD5 CRAM-SHA1 !LOGIN "
(courier 0.54.2)

во всех случаях проходят как аутентификация с мд5, так и с Plaint text.
Понятно, что это всё уже идет внутри шифрованного канала, но хочется разрешить слать только хэш.

>Очевидно, надо поколдовать с содержимым строчек POP3AUTH и POP3AUTH_TLS (и их аналогами
>для IMAP). Но не уверен, что будет правильно вообще запретить plain-text
>аутентификацию.
>В общем-то, с описанными в статье
>
># используемые алгоритмы авторизации в обычном режиме и в режиме TLS
>POP3AUTH="LOGIN CRAM-MD5 CRAM-SHA1"
>POP3AUTH_TLS="LOGIN CRAM-MD5 CRAM-SHA1"
>
>у меня лично всегда используется CRAM-MD5 - при соответствующих настройках на клиентах...

Ответить | Правка | Наверх | Cообщить модератору

93. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от SHRDLU (ok), 17-Мрт-07, 20:19 
> в том-то и дело, что пробовал как с
>POP3AUTH="CRAM-MD5 CRAM-SHA1 "
>POP3AUTH_TLS="CRAM-MD5 CRAM-SHA1 "
>, так и вариант с
>POP3AUTH="CRAM-MD5 CRAM-SHA1 !LOGIN !PLAIN"
>POP3AUTH_TLS="CRAM-MD5 CRAM-SHA1 !LOGIN !PLAIN"
>POP3AUTH="CRAM-MD5 CRAM-SHA1 !LOGIN "
>POP3AUTH_TLS="CRAM-MD5 CRAM-SHA1 !LOGIN "
>(courier 0.54.2)

http://www.freebsd.org/cgi/ports.cgi?query=courier-imap&styp...
Последняя версия courier-imap - 4.1.2.1 Обновить не пробовал?

>Понятно, что это всё уже идет внутри шифрованного канала, но хочется разрешить
>слать только хэш.

А на клиенте ТОЧНО настроена аутентификация с шифрованием?

Ответить | Правка | Наверх | Cообщить модератору

94. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от Евгенийemail (??), 18-Мрт-07, 01:19 
>>(courier 0.54.2)
>http://www.freebsd.org/cgi/ports.cgi?query=courier-imap&styp...
>Последняя версия courier-imap - 4.1.2.1 Обновить не пробовал?

я имел в виду общую версию.
http://www.courier-mta.org/download.php  Version:    0.54.2 (13-Jan-2007)
Package: Courier-IMAP  Version:    4.1.2 (30-Dec-2006)

Кстати, как, с твоей точки зрения, оптимально подключить к postfix spamassasin ?
через amavis ?

>>Понятно, что это всё уже идет внутри шифрованного канала, но хочется разрешить
>>слать только хэш.
>
>А на клиенте ТОЧНО настроена аутентификация с шифрованием?

    Насколько я понимаю логику работы, сначала создаетсЯ шифрованный канал, а уже внутри него происходит аутентификация.  Надо будет для уверенности отснифферить трафик.
Проверил - все верно,  аутентификация идет внутри  шифрованного канала.
Снимаю доводы за прикрытие Plain text  - смысла в этом особого нет, тк. обычный, нешифрованный pop3 в моем случае выключен.

  Вот, пример:
1) c md5

00:06:03.357834  'клиент'   ->  'сервер'      TCP 3482 > pop3s [SYN] Seq=0 Len=0 MSS=1360
00:06:03.358861   'сервер'     ->  'клиент'   TCP pop3s > 3482 [SYN, ACK] Seq=0 Ack=1 Win=5840 Len=0
MSS=1460
00:06:03.392733  'клиент'   ->  'сервер'      TCP 3482 > pop3s [ACK] Seq=1 Ack=1 Win=65535 Len=0
00:06:03.525908  'клиент'   ->  'сервер'      SSL Client Hello
00:06:03.525945   'сервер'     ->  'клиент'   TCP pop3s > 3482 [ACK] Seq=1 Ack=57 Win=5840 Len=0
00:06:03.526367   'сервер'     ->  'клиент'   TLSv1 Server Hello,
00:06:03.526388   'сервер'     ->  'клиент'   TLSv1 Certificate
00:06:03.553139  'клиент'   ->  'сервер'      TCP 3482 > pop3s [ACK] Seq=57 Ack=1813 Win=65535 Len=0
00:06:04.152037  'клиент'   ->  'сервер'      TLSv1 Client Key Exchange, Change Cipher Spec, Encrypt
ed Handshake Message
00:06:04.192618   'сервер'     ->  'клиент'   TCP pop3s > 3482 [ACK] Seq=1813 Ack=639 Win=6984 Len=0
00:06:04.333304   'сервер'     ->  'клиент'   TLSv1 Change Cipher Spec, Encrypted Handshake Message
00:06:04.524070  'клиент'   ->  'сервер'      TCP 3482 > pop3s [ACK] Seq=639 Ack=1872 Win=65476 Len=
0
00:06:04.524098   'сервер'     ->  'клиент'   TLSv1 Application Data
00:06:04.552427  'клиент'   ->  'сервер'      TLSv1 Application Data
00:06:04.552445   'сервер'     ->  'клиент'   TCP pop3s > 3482 [ACK] Seq=1925 Ack=692 Win=6984 Len=0
00:06:04.552792   'сервер'     ->  'клиент'   TLSv1 Application Data
00:06:04.579162  'клиент'   ->  'сервер'      TLSv1 Application Data
..............................................

00:06:04.711048   'сервер'     ->  'клиент'   TLSv1 Application Data
00:06:04.711151   'сервер'     ->  'клиент'   TLSv1 Encrypted Alert
00:06:04.737570  'клиент'   ->  'сервер'      TCP 3482 > pop3s [ACK] Seq=957 Ack=2393 Win=64956 Len=
0
00:06:04.740441  'клиент'   ->  'сервер'      TCP 3482 > pop3s [FIN, ACK] Seq=957 Ack=2393 Win=64956
Len=0
00:06:04.740473   'сервер'     ->  'клиент'   TCP pop3s > 3482 [ACK] Seq=2393 Ack=958 Win=6984 Len=0

2)  

00:06:39.676925  'клиент'   ->  'сервер'      TCP 3484 > pop3s [SYN] Seq=0 Len=0 MSS=1360
00:06:39.676973   'сервер'     ->  'клиент'   TCP pop3s > 3484 [SYN, ACK] Seq=0 Ack=1 Win=5840 Len=0
MSS=1460
00:06:39.708280  'клиент'   ->  'сервер'      TCP 3484 > pop3s [ACK] Seq=1 Ack=1 Win=65535 Len=0
00:06:39.711157  'клиент'   ->  'сервер'      SSL Client Hello
00:06:39.711187   'сервер'     ->  'клиент'   TCP pop3s > 3484 [ACK] Seq=1 Ack=57 Win=5840 Len=0
00:06:39.721339   'сервер'     ->  'клиент'   TLSv1 Server Hello,
00:06:39.721363   'сервер'     ->  'клиент'   TLSv1 Certificate
00:06:40.012102  'клиент'   ->  'сервер'      TCP 3484 > pop3s [ACK] Seq=57 Ack=1813 Win=65535 Len=0
00:06:40.069817  'клиент'   ->  'сервер'      TLSv1 Client Key Exchange, Change Cipher Spec, Encrypt
ed Handshake Message
00:06:40.109708   'сервер'     ->  'клиент'   TCP pop3s > 3484 [ACK] Seq=1813 Ack=639 Win=6984 Len=0
00:06:40.251124   'сервер'     ->  'клиент'   TLSv1 Change Cipher Spec, Encrypted Handshake Message
00:06:40.436604  'клиент'   ->  'сервер'      TCP 3484 > pop3s [ACK] Seq=639 Ack=1872 Win=65476 Len=
0
00:06:40.436634   'сервер'     ->  'клиент'   TLSv1 Application Data
00:06:40.466959  'клиент'   ->  'сервер'      TLSv1 Application Data
00:06:40.467052   'сервер'     ->  'клиент'   TCP pop3s > 3484 [ACK] Seq=1925 Ack=708 Win=6984 Len=0
00:06:40.467265   'сервер'     ->  'клиент'   TLSv1 Application Data
00:06:40.494192  'клиент'   ->  'сервер'      TLSv1 Application Data
...........................

Ответить | Правка | Наверх | Cообщить модератору

95. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от SHRDLU (ok), 18-Мрт-07, 15:33 
>>Последняя версия courier-imap - 4.1.2.1 Обновить не пробовал?
>я имел в виду общую версию.

Прошу прощения, не сообразил

> Кстати, как, с твоей точки зрения, оптимально подключить к postfix spamassasin
>через amavis ?

Не могу ничего сказать по этому поводу, так как не пользовался ни амависом, ни spamassasin. Думается, можно и без amavis - если не планируется подключать еще кучу фильтров.

>    Насколько я понимаю логику работы, сначала создаетсЯ шифрованный
>канал, а уже внутри него происходит аутентификация.  

Так и есть, все верно

>Проверил - все верно,  аутентификация идет внутри  шифрованного канала.
>Снимаю доводы за прикрытие Plain text  - смысла в этом особого
>нет, тк. обычный, нешифрованный pop3 в моем случае выключен.

На днях постараюсь проверить возможность полного отключения plain text - заинтересовало что-то. Но повторяю - это не есть правильно. Хотя бы из-за существования клиентов, которые по-другому просто не умеют.

Ответить | Правка | К родителю #94 | Наверх | Cообщить модератору

96. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от SHRDLUemail (ok), 22-Мрт-07, 09:45 
>Проверил - все верно,  аутентификация идет внутри  шифрованного канала.
>Снимаю доводы за прикрытие Plain text  - смысла в этом особого
>нет, тк. обычный, нешифрованный pop3 в моем случае выключен.

В общем, у меня тоже не получилось вообще отключить возможность plain-text аутентификации. И насколько я понял, это и не предусмотрено. Тем, кого сильно беспокоит возможность кржи паролей, рекомендуют пользоваться ssl-версиями pop3 и imap

Ответить | Правка | К родителю #94 | Наверх | Cообщить модератору

97. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от arriah (??), 25-Мрт-07, 19:08 
Установил все согласно статьи, но возникли вопросы:
1. Поменял пароли и на postfix и на pgsql.
   При входе никаких паролей не спрашивает

2. Сервер не запускается
говорит что could not start server
при этом в /var/log/messages
Mar 25 19:00:10 mail sudo: root : TTY=ttyp0 ; PWD=/usr/local/bin ; USER=pgsql ; COMMAND=/usr/local/bin/pg_ctl -D /usr/local/pgsql/data -w -s -m fast


Ответить | Правка | К родителю #96 | Наверх | Cообщить модератору

98. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от SHRDLU (ok), 25-Мрт-07, 19:38 
>1. Поменял пароли и на postfix и на pgsql.
>   При входе никаких паролей не спрашивает

В /usr/local/pgsql/data/pg_hba.conf что написано?

>2. Сервер не запускается
>Mar 25 19:00:10 mail sudo: root : TTY=ttyp0 ; PWD=/usr/local/bin ; USER=pgsql

Откуда взялось содержимое PWD?


Ответить | Правка | К родителю #97 | Наверх | Cообщить модератору

99. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от arriah (??), 25-Мрт-07, 19:42 
Не знаю, откуда PWD взялся...
Все делал по статье, сервер запустил, проблема была в правах на каталог с логами /var/log/pgsql (забыл сделать владельцем pgsql)
Ответить | Правка | К родителю #98 | Наверх | Cообщить модератору

100. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от evgeniy1email (ok), 26-Мрт-07, 15:53 
Увы, некоторые люди по сей день используют такие неполноценные клиенты, как outlook express - где из безопасных, как я понимаю, только ntlm аутентификация.  не умеет этот обрубок md5, как я понял.

"В Outlook Express встроенная аутентификация NTLM называется SPA (Secure Password Authentication)."
такая вот secure...

>>Проверил - все верно,  аутентификация идет внутри  шифрованного канала.
>>Снимаю доводы за прикрытие Plain text  - смысла в этом особого
>>нет, тк. обычный, нешифрованный pop3 в моем случае выключен.
>
>В общем, у меня тоже не получилось вообще отключить возможность plain-text аутентификации.
>И насколько я понял, это и не предусмотрено. Тем, кого сильно
>беспокоит возможность кржи паролей, рекомендуют пользоваться ssl-версиями pop3 и imap


Ответить | Правка | К родителю #96 | Наверх | Cообщить модератору

101. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от shamannemail (ok), 30-Мрт-07, 18:57 
>>sql_select: select smtppassword from user_accounts where smtplogin='%u@%r'

>Вот это - "%u@%r" - не работало и не работает.

Доброго времени суток всем.

Если делать в точности как в статье, те smtplogin='%u'
и smtplogin вида user@domain, то берется только user, и в базе соответственно ничего не находится. Если вместо '%u' поставить '%s' (вся строка, если верить докам), то не работает совсем :(

Ответить | Правка | К родителю #89 | Наверх | Cообщить модератору

102. "Тематический каталог: Корпоративный почтовый сервер на базе ..."  +/
Сообщение от evgeniy1email (ok), 30-Мрт-07, 19:10 
>>>sql_select: select smtppassword from user_accounts where smtplogin='%u@%r'
>
>>Вот это - "%u@%r" - не работало и не работает.
>
>Доброго времени суток всем.
>
>Если делать в точности как в статье, те smtplogin='%u'
>и smtplogin вида user@domain, то берется только user, и в базе соответственно
>ничего не находится. Если вместо '%u' поставить '%s' (вся строка, если
>верить докам), то не работает совсем :(


    Зависит от того, что в базе в таблице вписано.
У меня, например,  (это не догма! это пример!)  все логины в базе имеют вид юзер@домен,
+ отдельное поле для закрытия smtp доступа,
и строка запроса выглядит так :
sql_select: select smtppassword from user_accounts where smtplogin='%u@%r' and smtpaccess=true

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру