QMAIL-Toaster: Unterschied zwischen den Versionen

Aus Wiki schlicker.org
Zur Navigation springen Zur Suche springen
 
(517 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 2: Zeile 2:
 
[[Category:Linux]]
 
[[Category:Linux]]
  
−
Dieser Artikel beschreibt die Installation, Konfiguration und Inbetriebnahme eines sogenannten [http://www.qmail.org qmail]-Toasters, einem modularem qmail-Mailsystem mit vielen Features, für hohe Ansprüche an die Sicherheit und starkem Mailvekehr.
+
=Einleitung=
 +
Das Ziel dieser Kurzanleitung ist NICHT, jemanden die Funktionsweise eines Mailservers beizubringen.  
 +
Sondern die nachfolgenden Hinweise und Schritte dienen lediglich als Erinnerung, wie eine schnelle Installation von qmail und der zugehörigen Software durchzuführen ist, um zum Schluß einen funktionieren QMAIL-Toaster zu haben.  
  
−
Der Artikel basiert auf [http://www.shupp.org/toaster/ Bill's Linux Qmail Toaster] von [http://www.amazon.com/gp/registry/UUPXUQCAU68Y/002-2607805-5733646 Bill Shupp] und [http://www.lifewithqmail.org/ Life with qmail] von [http://www.amazon.de/exec/obidos/ASIN/1893115402/qid=1143204243/sr=1-1/ref=sr_1_2_1/303-2291029-8667435 Dave Sill].
+
Quoting D. J. Bernstein definition
 +
<cite>
 +
  qmail is a secure, reliable, efficient, simple message transfer agent. It is designed for typical Internet-connected UNIX hosts
 +
</cite>
  
 +
__TOC__
 +
 +
= Referenzen =
  
−
'''Hinweis:''' Hier werden Bills Ausführungen als eine Art ''Install-Log'' wiederholt und um teilweise OS-Spezifische Details ergänzt. Es sollte '''immer''' parallel [http://www.shupp.org/toaster/ Bill Shupps Original Artikel] angeschaut werden, um zu prüfen ob sich durch neue Versionen Dinge verändert haben.
+
    * http://cr.yp.to/qmail.html
 +
    * qmail.org ([http://qmailorg.schmonz.com/top.html mirror])
 +
    * [http://www.lifewithqmail.org/ Life with qmail]
 +
    * Bill Shupp's toaster (officially dead)
 +
    * qmailwiki.org (dead)
 +
    * [https://www.fehcom.de/sqmail/ Erwin Hoffman's "qmail support" site]
 +
    * [http://qmail.jms1.net/ John Simpson's "qmail information" pages]
 +
    * see also: [http://www.nrg4u.com/ the big qmail picture]
 +
    * '''Wichtig''':  [https://notes.sagredo.eu/ notes.sagredo.eu Qmail Installationsvorlage]
  
−
Fragen, Fehler und Anregungen zu diesem Artikel bitte an [[Benutzer:Dirk]]
 
  
  
−
__TOC__
+
= History =
−
=History=
 
 
{| {{rahmen}}
 
{| {{rahmen}}
  
−
|''Datum''  
+
|'''Datum'''
−
|''Von''
+
|'''Von'''
−
|''angepasst/getestet auf OS''
+
|'''angepasst/getestet auf OS'''
−
|''Arch''
+
|'''Arch'''
−
|''Bemerkung''
+
|'''Bemerkung'''
 +
|-
 +
 
 +
|2023-05-18
 +
|[[Benutzer:Karl|Karl Schlicker]]
 +
|Rocky Linux 9.x
 +
|x86_64
 +
|Anleitung angepasst, basierend auf https://notes.sagredo.eu/ nun für Rocky Linux 9.x
 +
|-
 +
 
 +
|2020-12-27
 +
|[[Benutzer:Karl|Karl Schlicker]]
 +
|Centos 8.x
 +
|x86_64
 +
|Anleitung angepasst und neu erstellt basierend auf https://notes.sagredo.eu/
 
|-
 
|-
  
Zeile 50: Zeile 78:
 
siehe auch [http://www.shupp.org/toaster/#prerequisites http://www.shupp.org/toaster/#prerequisites]
 
siehe auch [http://www.shupp.org/toaster/#prerequisites http://www.shupp.org/toaster/#prerequisites]
  
 +
Zuerst das Devel-Repo aktivieren
 
<pre>
 
<pre>
−
yum -y install gcc gcc-c++ gdbm gdbm-devel openssl openssl-devel stunnel
+
dnf config-manager --set-enabled devel
−
yum -y install krb5-devel bzip2 bzip2-devel patch expect expect-devel automake  
+
</pre>
−
yum -y install autoconf make unzip bind-utils openldap-devel mysql-devel libev-devel
+
 
 +
<pre>
 +
dnf -y install gcc gcc-c++ gdb-minimal openssl openssl-devel stunnel
 +
dnf -y install krb5-devel bzip2 bzip2-devel patch automake  
 +
dnf -y install autoconf make unzip bind-utils openldap-devel libev-devel lz4-devel patch bzip2-devel
 +
dnf -y install spamassassin-iXhash2.noarch
 +
dnf -y install mariadb mariadb-server mariadb-devel
 +
dnf -y install help2man multitail
 +
dnf -y install cracklib cracklib-devel.x86_64 cracklib-dicts expat expat-devel telnet git
 
</pre>
 
</pre>
  
Zeile 67: Zeile 104:
 
DNS prüfen und sehen ob die IP-Adresse der Hauptmaildomain mit der des Servers übereinstimmt. Richtige DNS-Konfiguration ist für qmail sehr wichtig.
 
DNS prüfen und sehen ob die IP-Adresse der Hauptmaildomain mit der des Servers übereinstimmt. Richtige DNS-Konfiguration ist für qmail sehr wichtig.
 
<pre>
 
<pre>
−
[root@web1 /]# host -t mx braunschweig-lions.de
+
[root@web1 /]# host -t mx afdb.de
−
braunschweig-lions.de mail is handled by 10 mail.braunschweig-lions.de.
+
afdb.de mail is handled by 10 mail.afdb.de.
−
[root@web1 /]# host -t a braunschweig-lions.de
+
[root@web1 /]# host -t a afdb.de
−
braunschweig-lions.de has address 212.68.65.193
+
host -t a afdb.de
 
</pre>
 
</pre>
  
Zeile 80: Zeile 117:
 
# rpm -qa|grep exim
 
# rpm -qa|grep exim
 
# rpm -qa|grep sendmail
 
# rpm -qa|grep sendmail
−
sendmail-8.13.4-2
+
sendmail-8.16.1-10.el9.x86_64
 
</pre>
 
</pre>
  
Zeile 93: Zeile 130:
 
</pre>
 
</pre>
  
−
==Download==
+
==daemontools==
−
 
 
−
Installationsverzeichnis anlegen und Pakete runterladen:
 
−
 
 
−
'''ACHTUNG:''' Immer nach den aktuellsten Downloadlinks auf [http://billslinuxqmail.sourceforge.net/toaster/?page=download http://billslinuxqmail.sourceforge.net/toaster/?page=download] schauen!
 
 
<pre>
 
<pre>
 
umask 0022
 
umask 0022
−
mkdir -p /var/src/tar
+
mkdir -p /usr/local/src
−
cd /var/src/tar
+
cd /usr/local/src
 +
mkdir /var/qmail
 +
</pre>
  
−
# daemontools
+
daemontools aus Github herunterladen
−
wget http://qmail.ixip.net/download/daemontools-0.76.tar.gz
+
<pre>
−
wget http://qmail.ixip.net/download/daemontools-0.76.errno.patch
+
SRC=/usr/local/src
 +
DAEMONTOOLS_VER=0.78.3
 +
cd $SRC
 +
wget https://github.com/sagredo-dev/daemontools/archive/refs/tags/v${DAEMONTOOLS_VER}.tar.gz
 +
tar xzf v${DAEMONTOOLS_VER}.tar.gz
 +
</pre>
  
−
# qmail
+
Install daemontools:
−
wget http://www.rickwidmer.com/software/netqmail-1.06.tar.gz
+
<pre>
−
wget http://www.rickwidmer.com/software/toaster-scripts-0.9.2.tar.gz
+
cd /var/qmail
−
wget http://www.rickwidmer.com/software/libdomainkeys-0.69.tar.gz
+
mkdir admin
−
wget http://www.rickwidmer.com/patches/libdomainkeys-0.69.diff
+
chmod 1755 admin
 +
cd admin
 +
cp -rp /usr/local/src/daemontools-0.78.3/admin/daemontools-0.78.3/ .  
 +
cd daemontools-0.78.3
 +
chown -R root:root .
 +
package/install
 +
</pre>
  
−
# ucspi-tcp
+
daemontools  installed
−
wget http://cr.yp.to/ucspi-tcp/ucspi-tcp-0.88.tar.gz
+
Add "clear" service, so that you can easily clear the readproctitle service errors line:
−
wget http://www.rickwidmer.com/patches/ucspi-tcp-64bit.patch
+
<pre>
 +
mkdir -p /var/qmail/supervise/clear
 +
touch /var/qmail/supervise/clear/down
  
−
# vpopmail
+
cat > /var/qmail/supervise/clear/run << __EOF__
−
wget http://downloads.sourceforge.net/project/vpopmail/vpopmail-stable/5.4.33/vpopmail-5.4.33.tar.gz
+
#!/bin/sh
−
wget http://www.rickwidmer.com/patches/qmail-toaster-0.9.2.patch.bz2
+
yes '' | head -4000 | tr '\n' .
−
wget http://www.rickwidmer.com/patches/submission-0.9.2.patch
+
__EOF__
−
# If you wish to use courier imap, download this package
 
−
# Courier
 
−
wget http://www.rickwidmer.com/software/courier-imap-4.1.2.tar.bz2
 
−
wget http://www.rickwidmer.com/software/courier-authlib-0.59.1.tar.bz2
 
−
wget http://www.rickwidmer.com/patches/vpopmail_courier_cram-1.diff
 
  
−
# If you wish to use dovecot imap, download this package
+
chmod +x /var/qmail/supervise/clear/run
−
# Dovecot
+
</pre>
−
wget http://www.rickwidmer.com/software/dovecot-1.2.14.tar.gz
 
−
wget http://www.rickwidmer.com/patches/dovecot-1.2.14-conf.patch
 
−
wget -O dovecot-openssl.1.patch 'http://www.rickwidmer.com/patches/dovecot-openssl.1.patch.php?country=US&state=Idaho&city=Kimberly&orginization=Internet Marketing Specilists&name=www.example.com&email=postmaster@example.com'
 
−
wget http://www.rickwidmer.com/patches/dovecot-1.2.14.sysv
 
  
−
# squirrelmail
+
Prüfen, ob die Daemontools laufen
−
wget http://www.rickwidmer.com/software/squirrelmail-1.4.21.tar.gz
 
−
wget http://www.rickwidmer.com/software/quota_usage-1.3.1-1.2.7.tar.gz
 
  
−
# autorespond
+
<pre>
−
wget http://www.rickwidmer.com/software/autorespond-2.0.4.tar.gz
+
ps ax|grep svs
−
wget http://www.rickwidmer.com/patches/autorespond-2.0.4-2.0.5.patch
+
1141953 ?        Ss    0:00 /bin/sh /usr/bin/svscanboot
 +
1141955 ?        S      0:00 svscan /service
 +
1143414 pts/0    S+    0:00 grep --color=auto svs
 +
</pre>
  
−
# ezmlm
+
<pre>
−
wget http://cr.yp.to/software/ezmlm-0.53.tar.gz
+
cat > /usr/lib/systemd/system/daemontools.service << __EOF__
−
wget http://www.rickwidmer.com/software/ezmlm-idx-0.443.tar.gz
+
[Unit]
−
 
+
Description=Daemontools service supervision
−
# qmailadmin
+
ConditionPathExists=/command/svscanboot
−
wget http://www.rickwidmer.com/software/qmailadmin-1.2.13.tar.gz
 
−
wget http://www.rickwidmer.com/software/qmailadmin-help-1.0.8.tar.gz
 
  
−
# qmailmrtg
+
[Service]
−
wget http://www.rickwidmer.com/software/qmailmrtg7-4.2.tar.gz
+
ExecStart=/command/svscanboot
−
wget http://www.rickwidmer.com/patches/qmailmrtg7-4.2-cfg.patch
+
Restart=always
  
−
# ripmime
+
[Install]
−
wget http://www.rickwidmer.com/software/ripmime-1.4.0.9.tar.gz
+
WantedBy=multi-user.target
−
wget http://www.rickwidmer.com/patches/ripmime-1.4.0.9-permissions.patch
+
__EOF__
  
−
# simscan
+
# daemontools für systemctl aktivieren
−
wget http://www.rickwidmer.com/software/simscan-1.4.0.tar.gz
+
systemctl daemon-reload
−
wget http://www.rickwidmer.com/patches/simscan-1.4.0-combined.4.patch
+
systemctl enable daemontools.service
−
wget http://www.rickwidmer.com/software/update-simscan.c
+
systemctl start  daemontools.service
−
 
 
−
cd ../
 
−
tar -xzf tar/netqmail-1.06.tar.gz
 
−
cd netqmail-1.06
 
 
</pre>
 
</pre>
  
−
==Software Installation==
+
==fehQlibs==
−
 
+
fehQlibs are supplementary C libraries by Erwin Hoffmann. They are needed for ucspi-tcp6 and ucspi-ssl.
−
===daemontools===
 
  
 
<pre>
 
<pre>
−
mkdir -p /package
+
FEQLIBS_VER=26
−
chmod 1755 /package
+
cd /usr/local/src
−
cd /package
+
wget https://www.fehcom.de/ipnet/fehQlibs/fehQlibs-${FEQLIBS_VER}.tgz
−
tar -xpzf /var/src/tar/daemontools-0.76.tar.gz
+
tar xzf fehQlibs-${FEQLIBS_VER}.tgz
−
cd admin/daemontools-0.76
+
mv fehQlibs-${FEQLIBS_VER} ..
−
patch -p1 < /var/src/netqmail-1.06/other-patches/daemontools-0.76.errno.patch
+
cd ..
−
package/install
+
chown -R root:root fehQlibs-${FEQLIBS_VER}
−
 
+
cd fehQlibs-${FEQLIBS_VER}
−
# add the "clear" service
 
−
 
 
−
cd ../
 
−
mkdir clear
 
−
touch clear/down
 
−
 
 
−
cat > clear/run <<EOF
 
−
#!/bin/sh
 
−
yes '' | head -4000 | tr '\n' .
 
−
 
 
−
# When you want to clear the service errors, just run this:
 
−
# svc -o /service/clear
 
−
EOF
 
−
 
 
−
chmod +x clear/run
 
−
chmod a-w clear/down
 
−
 
 
−
ln -s /package/admin/clear /service/clear
 
 
</pre>
 
</pre>
  
−
Prüfen ob die daemontools laufen, als Beispiel:
+
Change the installation folder modifing the file '''conf-build''' as
 
<pre>
 
<pre>
−
# ps ax|grep svs
+
LIBDIR=/usr/local/lib
−
24648 ?        Ss    0:00 /bin/sh /command/svscanboot
+
HDRDIR=/usr/local/include
−
24650 ?        S      0:00 svscan /service
 
−
5109 pts/0    S+    0:00 grep svs
 
 
</pre>
 
</pre>
−
====ab CentOS 6====
+
Compile and install:
−
Bei CentOS 6 werden die daemontools nun nicht laufen, da moderne Linux-Distrubitionen nicht mehr '''init''', sondern '''upstart''' verwenden. Um nun die daemontools automatisch zu starten, legt man im Verzeichnis '''/etc/init/''' nun eine Datei '''daemontools.conf''' an
 
  
 
<pre>
 
<pre>
−
cat > /etc/init/daemontools.conf <<EOF
+
make -C src
−
# daemontools
+
make -C src shared
−
start on runlevel [2345]
+
make -C src install
  
−
stop on shutdown
+
cd ..
−
 
+
ln -s fehQlibs-${FEQLIBS_VER} qlibs
−
respawn
 
−
exec /command/svscanboot
 
−
EOF
 
 
</pre>
 
</pre>
−
und startet dann ganze dann mit:
+
Damit die qlibs beim Compilieren von ucspi-tcp6 gefunden werden, müssen diese in /etc/ld.so.conf.d/ bekannt gegeben werden.
 
<pre>
 
<pre>
−
initctl start daemontools
+
echo "/usr/local/qlibs" >> /etc/ld.so.conf.d/qlibs.conf
 +
ldconfig
 
</pre>
 
</pre>
  
−
===ucspi-tcp===
+
==ucspi-tcp6==
 +
ucspi-tcp6 is a fork of Bernsteins' ucspi-tcp 0.88 program, which includes, among the other things, ipv6 capabilities to the original ucspi-tcp. tcpserver and tcpclient are easy-to-use command-line tools for building TCP client-server applications.
  
 
<pre>
 
<pre>
−
cd /var/src/
+
TCP6_VER=1.13.02
−
tar -xzf tar/ucspi-tcp-0.88.tar.gz
+
cd /var/qmail/  
−
cd ucspi-tcp-0.88
+
wget https://www.fehcom.de/ipnet/ucspi-tcp6/ucspi-tcp6-${TCP6_VER}.tgz
−
patch -p1 < /var/src/netqmail-1.06/other-patches/ucspi-tcp-0.88.errno.patch
+
tar xzf ucspi-tcp6-${TCP6_VER}.tgz
 +
cd net/ucspi-tcp6/ucspi-tcp6-${TCP6_VER}/
 +
./package/install
 +
/bin/rm /var/qmail/ucspi-tcp6-${TCP6_VER}.tgz
 +
</pre>
  
−
# NOTE: If you are on the x86_64 platform, you need to remove the
+
==ucspi-ssl==
−
# "-02" argument to gcc in conf-cc. See this for details
+
With sslserver we can have a secure connection on port 465 to receive our emails.
−
# http://marc.theaimsgroup.com/?l=qmail&m=111725518121864&w=2
 
  
−
make
+
You have already installed fehQlibs, which are supplementary C libraries needed for ucspi-ssl.
−
make setup check
+
<pre>
 +
UCSPISSL_VER=0.13.03
 +
cd /var/qmail
 +
wget -O /usr/local/src/ucspi-ssl-${UCSPISSL_VER}.tgz https://www.fehcom.de/ipnet/ucspi-ssl/ucspi-ssl-${UCSPISSL_VER}.tgz
 +
tar xzf /usr/local/src/ucspi-ssl-${UCSPISSL_VER}.tgz
 +
cd host/superscript.com/net/ucspi-ssl-${UCSPISSL_VER}
 +
./package/install
 
</pre>
 
</pre>
  
−
===qmail===
+
==qmail==
  
 +
User und Gruppen für QMail anlegen und anschließend netqmail samt aller Patches installieren.
 
<pre>
 
<pre>
−
mkdir /var/qmail
 
 
groupadd nofiles
 
groupadd nofiles
 
useradd -g nofiles -d /var/qmail/alias alias
 
useradd -g nofiles -d /var/qmail/alias alias
Zeile 257: Zeile 277:
 
useradd -g qmail -d /var/qmail qmails
 
useradd -g qmail -d /var/qmail qmails
  
−
cd /var/src
+
cd /usr/local/src
−
tar -xzf tar/toaster-scripts-0.9.2.tar.gz
+
git clone -b netqmail-1.06 https://github.com/sagredo-dev/qmail.git
−
cd netqmail-1.06
+
cd qmail
 +
make setup check
 +
</pre>
  
−
# NOTE: RedHat/Fedora users may need to link certain include files for the TLS patch.
+
Symbolischen Link für '''sendmail''' einrichten
−
# Issue the command below only if make fails:
+
<pre>
−
ln -s /usr/kerberos/include/com_err.h /usr/kerberos/include/krb5.h /usr/kerberos/include/profile.h /usr/include/
+
ln -s /var/qmail/bin/sendmail /usr/sbin/sendmail
−
# as well as remove the sendmail link if it still exists:
+
</pre>
−
rm /usr/sbin/sendmail
 
−
 
 
−
make
 
−
make setup check
 
−
# NOTE: qmail will be patched AFTER vpopmail is installed
 
  
−
# turn on SPF checking
+
Pfad und Manpage Pfad für QMail anpassen
−
echo 3 > /var/qmail/control/spfbehavior
 
  
−
Optional SPF abschalten, da schon mal Probleme damit aufgetaucht sind!
+
<pre>
 +
cat > /etc/profile.d/qmail.sh << __EOF__
 +
PATH=$PATH:/var/qmail/bin
 +
export PATH
 +
MANPATH=$MANPATH:/var/qmail/man
 +
export MANPATH
 +
__EOF__
 +
</pre>
  
−
echo 0 > /var/qmail/control/spfbehavior
+
netqmail wird nach der Installation von VPopmail konfiguriert und installiert.
  
−
# turn on mfcheck
+
===Vpopmail===
−
echo 1 > /var/qmail/control/mfcheck
 
  
−
# E-Mail Adressen entsprechend anpassen!
+
Vpopmail provides an easy way to manage virtual email domains and non /etc/passwd email accounts on your mail servers.
−
cd ~alias
 
−
echo "postmaster@braunschweig-lions.de" > .qmail-postmaster
 
−
echo "server@braunschweig-lions.de" > .qmail-mailer-daemon
 
−
echo "root@braunschweig-lions.de" > .qmail-root
 
−
chmod 644 ~alias/.qmail*
 
  
−
cd /var/src/netqmail-1.06
+
===== User anlegen =====
  
−
# Den vollen Hostnamen entsprechend anpassen!
+
Ggf. existiert bereits ein User mit der uid 89, wenn ja entfernen
−
 
+
<pre>
−
# Hostname ausgeben
+
userdel postfix
−
[root@web1 alias]# hostname
 
−
web1.braunschweig-lions.de
 
−
 
 
−
./config-fast web1.braunschweig-lions.de
 
 
</pre>
 
</pre>
  
−
qmail-man-pages Pfad in man.config hinzufügen:
 
−
Mit <code>vi /etc/man.config</code> die Datei <code>/etc/man.config</code> öffnen und folgende Zeile entsprechend hinzufügen:
 
 
<pre>
 
<pre>
−
MANPATH        /var/qmail/man
+
groupadd -g 89 vchkpw
 +
useradd -u 89 -g vchkpw vpopmail
 
</pre>
 
</pre>
  
−
Qmail konfigurieren:
 
 
<pre>
 
<pre>
−
cd /var/src
+
VPOPMAIL_VERSION=5.6.3
−
cp toaster-scripts-0.9.2/rc /var/qmail/rc
+
cd /usr/local/src
−
chmod 755 /var/qmail/rc
+
wget https://github.com/sagredo-dev/vpopmail/archive/refs/tags/v${VPOPMAIL_VERSION}.tar.gz
−
mkdir /var/log/qmail
+
tar xzf v${VPOPMAIL_VERSION}.tar.gz
−
echo ./Maildir/ >/var/qmail/control/defaultdelivery
+
cd vpopmail-${VPOPMAIL_VERSION}
−
cp toaster-scripts-0.9.2/qmailctl /var/qmail/bin/
+
chown -R root:root .
−
chmod 755 /var/qmail/bin/qmailctl
 
−
ln -s /var/qmail/bin/qmailctl /usr/bin
 
−
ln -s /var/qmail/bin/sendmail /usr/sbin/sendmail
 
−
ln -s /var/qmail/bin/sendmail /usr/lib/sendmail
 
  
−
#Now create the supervise directories/scripts for the qmail services:
+
./configure \
−
mkdir -p /var/qmail/supervise/qmail-send/log
+
        --enable-qmaildir=/var/qmail/ \
−
mkdir -p /var/qmail/supervise/qmail-smtpd/log
+
        --enable-qmail-newu=/var/qmail/bin/qmail-newu \
−
mkdir -p /var/qmail/supervise/qmail-pop3d/log
+
        --enable-qmail-inject=/var/qmail/bin/qmail-inject \
−
mkdir -p /var/qmail/supervise/qmail-pop3ds/log
+
        --enable-qmail-newmrh=/var/qmail/bin/qmail-newmrh \
−
cp /var/src/toaster-scripts-0.9.2/send.run /var/qmail/supervise/qmail-send/run
+
        --disable-roaming-users \
−
cp /var/src/toaster-scripts-0.9.2/send.log.run /var/qmail/supervise/qmail-send/log/run
+
        --enable-auth-module=mysql \
−
cp /var/src/toaster-scripts-0.9.2/smtpd.run /var/qmail/supervise/qmail-smtpd/run
+
        --enable-incdir=/usr/include/mysql \
−
cp /var/src/toaster-scripts-0.9.2/smtpd.log.run /var/qmail/supervise/qmail-smtpd/log/run
+
        --enable-libdir=/usr/lib64 \
−
cp /var/src/toaster-scripts-0.9.2/pop3d.run /var/qmail/supervise/qmail-pop3d/run
+
        --enable-logging=p \
−
cp /var/src/toaster-scripts-0.9.2/pop3d.log.run /var/qmail/supervise/qmail-pop3d/log/run
+
        --disable-clear-passwd \
 +
        --enable-auth-logging \
 +
        --enable-sql-logging \
 +
        --disable-passwd \
 +
        --enable-qmail-ext \
 +
        --enable-learn-passwords \
 +
        --enable-mysql-limits \
 +
        --enable-valias \
 +
        --enable-sql-aliasdomains \
 +
        --enable-defaultdelivery \
 +
        --disable-min-pwd-length
  
−
# NOTE: If you are using stunnel version 4, you should use pop3ds.run.v4
+
make install-strip
−
# instead of pop3ds.run below.
+
</pre>
−
# Type "stunnel -V" (v. 3) or "stunnel -version" (v. 4) to see what version is installed.
 
−
# You will also need to copy over stunnel.conf like so:
 
−
#
 
−
# cp /var/src/toaster-scripts-0.9.2/stunnel.conf /var/qmail/supervise/qmail-pop3ds/
 
  
−
cp /var/src/toaster-scripts-0.9.2/pop3ds.run /var/qmail/supervise/qmail-pop3ds/run
+
Cron-Job für POP after SMTP einrichten:
 +
<pre>
 +
cat > /etc/cron.d/clearopensmtp << __EOF__
 +
# vpopmail: clear open-smtp
 +
40 * * * * root /home/vpopmail/bin/clearopensmtp 2>&1 > /dev/null
 +
__EOF__
 +
</pre>
  
−
cp /var/src/toaster-scripts-0.9.2/pop3ds.log.run /var/qmail/supervise/qmail-pop3ds/log/run
+
==== vusaged ====
−
echo 20 > /var/qmail/control/concurrencyincoming
+
vusaged looks up every vpopmail user and tracks how much storage space they’re using. It requires libev.
−
chmod 644 /var/qmail/control/concurrencyincoming
 
−
chmod 755 /var/qmail/supervise/qmail-send/run
 
−
chmod 755 /var/qmail/supervise/qmail-send/log/run
 
−
chmod 755 /var/qmail/supervise/qmail-smtpd/run
 
−
chmod 755 /var/qmail/supervise/qmail-smtpd/log/run
 
−
chmod 755 /var/qmail/supervise/qmail-pop3d/run
 
−
chmod 755 /var/qmail/supervise/qmail-pop3d/log/run
 
−
chmod 755 /var/qmail/supervise/qmail-pop3ds/run
 
−
chmod 755 /var/qmail/supervise/qmail-pop3ds/log/run
 
−
mkdir -p /var/log/qmail/smtpd
 
−
mkdir -p /var/log/qmail/smtpds
 
−
mkdir -p /var/log/qmail/pop3d
 
−
mkdir -p /var/log/qmail/pop3ds
 
−
chown -R qmaill /var/log/qmail
 
  
 +
===== libev =====
 +
libev installieren
 +
<pre>
 +
cd /usr/local/src
 +
wget  http://dist.schmorp.de/libev/libev-4.33.tar.gz
 +
tar xzvf libev-4.33.tar.gz
 +
cd libev-4.33
 +
chown -R root.root .
 +
./configure
 +
make
 +
make install
 +
ldconfig
 +
</pre>
  
−
# qmail via daemontools starten
+
vusaged installieren und konfigurieren
−
ln -s /var/qmail/supervise/qmail-send /var/qmail/supervise/qmail-smtpd /service
 
−
 
 
−
# 5 sekunden pause machen, um sicherzugehen das qmail gestartet ist und dann prüfen ob es läuft
 
−
sleep 5
 
−
 
 
−
[root@web1 src]# qmailctl stat
 
−
/service/qmail-send: up (pid 8592) 103 seconds
 
−
/service/qmail-send/log: up (pid 9043) 14 seconds
 
−
/service/qmail-smtpd: up (pid 8649) 96 seconds
 
−
/service/qmail-smtpd/log: up (pid 9044) 14 seconds
 
−
messages in queue: 0
 
−
messages in queue but not yet preprocessed: 0
 
−
</pre>
 
  
−
Domainkeys übersetzen
 
 
<pre>
 
<pre>
−
cd /var/src
+
VPOPMAILDIR=/home/vpopmail
−
tar -xzf tar/libdomainkeys-0.69.tar.gz
+
cd /usr/local/src/vpopmail-${VPOPMAIL_VERSION}/vusaged
−
cd libdomainkeys-0.69
+
CFLAGS=-I/usr/local/include/libev LIBS=`head -1 $VPOPMAILDIR/etc/lib_deps` ./configure --with-vpopmail=$VPOPMAILDIR
−
patch -p0 < ../tar/libdomainkeys-0.69.diff
 
 
make
 
make
 +
cp -f vusaged ~vpopmail/bin
 +
cp -f etc/vusaged.conf ~vpopmail/etc
 
</pre>
 
</pre>
  
−
====SMTP/TLS Korrektur====
+
==== Konfiguration ====
−
Da SMTP/TLS normalerweise auf Port 465 (beim Standard Toaster auf 25) läuft, passen wir das an.
+
 
  
 +
weiter gehts mit vpopmail
 
<pre>
 
<pre>
−
mkdir -p /var/qmail/supervise/qmail-smtpds/log
+
echo '127.:allow,RELAYCLIENT=""' > ~vpopmail/etc/tcp.smtp
−
cp /var/src/toaster-scripts-0.9.2/smtpd.run /var/qmail/supervise/qmail-smtpds/run
+
(cd ~vpopmail/etc ; tcprules tcp.smtp.cdb tcp.smtp.tmp < tcp.smtp)
−
cp /var/src/toaster-scripts-0.9.2/smtpd.log.run /var/qmail/supervise/qmail-smtpds/log/run
 
−
chmod 755 /var/qmail/supervise/qmail-smtpds/run
 
−
chmod 755 /var/qmail/supervise/qmail-smtpds/log/run
 
 
</pre>
 
</pre>
  
−
Anschließend in '''/var/qmail/supervise/qmail-smtpds/run''' die Zeile
 
 
<pre>
 
<pre>
−
    -u "$QMAILDUID" -g "$NOFILESGID" 0 smtps \
+
echo "| /home/vpopmail/bin/vdelivermail '' delete" > /var/qmail//control/defaultdelivery
 +
</pre>
  
−
durch
+
==== MySQL/MariaDB ====
−
    -u "$QMAILDUID" -g "$NOFILESGID" 0 465 \
+
 
 +
===== Generelles Setup =====
 +
<pre>
 +
systemctl start mariadb.service
 +
systemctl enable mariadb.service
 +
mariadb-secure-installation
 
</pre>
 
</pre>
−
ersetzen
 
  
−
In '''/var/qmail/supervise/qmail-smtps/log/run''' die Zeile
+
===== Connection einrichten =====
 +
 
 
<pre>
 
<pre>
−
exec /usr/local/bin/setuidgid qmaill /usr/local/bin/multilog t n20 s4999999 /var/log/qmail/smtpd
+
mysql -h localhost -u root -p
  
−
durch
+
CREATE USER 'vpopmail'@'localhost' IDENTIFIED BY 'VPop2024';
  
−
exec /usr/local/bin/setuidgid qmaill /usr/local/bin/multilog t n20 s4999999 /var/log/qmail/smtpds
+
GRANT USAGE ON * . * TO 'vpopmail'@'localhost' IDENTIFIED BY 'VPop2024' WITH MAX_QUERIES_PER_HOUR 0 MAX_CONNECTIONS_PER_HOUR 0 MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ;
 +
CREATE DATABASE IF NOT EXISTS vpopmail;
 +
GRANT ALL PRIVILEGES ON `vpopmail` . * TO 'vpopmail'@'localhost';
 +
exit
 +
 
 +
echo "localhost|0|vpopmail|VPop2024|vpopmail" > ~vpopmail/etc/vpopmail.mysql
 
</pre>
 
</pre>
  
−
und in '''/usr/bin/qmailctl''' die Zeile
+
===== Virtual domain and virtual users erzeugen =====
 +
 
 
<pre>
 
<pre>
−
svclist="qmail-send qmail-smtpd"
+
cd ~vpopmail/bin/
 +
</pre>
  
−
durch
+
To add/delete a virtual domain
−
svclist="qmail-send qmail-smtpd qmail-smtpds"
 
  
−
</pre>
 
−
ersetzen.
 
−
 
−
Anschließend
 
 
<pre>
 
<pre>
−
ln -s /var/qmail/supervise/qmail-smtpds /service
+
./vadddomain afdb.de [./vdeldomain afdb.de]
 
</pre>
 
</pre>
−
ausführen.
 
−
 
−
===Vpopmail===
 
  
−
User anlegen
+
To add/delete a virtual user
  
−
Ggf. existiert bereits ein User mit der uid 89, wenn ja entfernen
 
 
<pre>
 
<pre>
−
userdel postfix
+
./vadduser postmaster@afdb.de [./vdeluser postmaster@afdb.de]
 
</pre>
 
</pre>
  
 +
To view information about user email accounts:
 
<pre>
 
<pre>
−
groupadd -g 89 vchkpw
+
./vuserinfo postmaster@afdb.de
−
useradd -u 89 -g vchkpw vpopmail
+
name:  postmaster
 +
passwd: $6$gGYFkrBW$veJzkVDhKc0x8gVolp.jj8LHiFlw2nwYfb7Rw9lz0EKe.oPKzg5l0r6W.UY4y5nnE2Kz9QX0pNUqqJ1R5wizx.
 +
clear passwd:
 +
comment/gecos: Postmaster
 +
uid:    0
 +
gid:    0
 +
flags:  0
 +
gecos: Postmaster
 +
limits: No user limits set.
 +
dir:      /home/vpopmail/domains/afdb.de/postmaster
 +
quota:    NOQUOTA
 +
usage:    NOQUOTA
 +
last auth: Sun Oct 20 11:57:32 2024
 +
last auth ip: 127.0.0.1
 +
 
 +
</pre>
  
−
cd /var/src
+
=== Upgrade Qmail ===
−
tar -xzf tar/vpopmail-5.4.33.tar.gz
 
−
cd vpopmail-5.4.33
 
−
#patch -p0 < ../tar/vpopmail-5.4.18-cumulative.patch
 
  
−
# NOTE: If you are on the x86_64 platform, you need to set the
+
==== libsrs2 ====
−
# CFLAGS compiler environment by prefacing the next command with
+
This library is a prerequisite of the SRS patch, which is part of my package. You must install this, otherwise the compilation will break.
−
# "CFLAGS=-fPIC", like so: "CFLAGS=-fPIC ./configure ..."
 
−
</pre>
 
  
−
Bill verwendet keine Option für SMTP after POP. Es macht Sinn diese zu aktivieren, um auch mit vielleicht schon vorhandenen Accounts, die anschliessend importiert werden sollen, kompatibel zu bleiben. Die letzten beiden Optionen ermöglichen dieses.
 
 
<pre>
 
<pre>
−
./configure --enable-logging=v --enable-roaming-users --enable-relay-clear-minutes=15
+
cd /usr/local/src
 +
wget http://www.libsrs2.org/srs/libsrs2-1.0.18.tar.gz
 +
tar xzf libsrs2-1.0.18.tar.gz
 +
cd libsrs2-1.0.18
 +
./configure
 
make
 
make
−
make install-strip
+
make install
 +
ldconfig
 +
cd ../
 +
</pre>
  
−
# NOTE: If you are on the x86_64 platform, you need to edit
+
Füge das Verzeichnis /usr/local/lib zum 'LD_LIBRARY_PATH' hinzu
−
# cdb/compile to add the -fPIC argument to cc. It should look
+
<pre>
−
# something like this: 'exec gcc -fPIC -02 -c ${1+"$@"}'
+
echo "/usr/local/lib" >> /etc/ld.so.conf.d/usr-local-lib.x86_64.conf
−
# After editing compile, do "make && make install-strip" again.
+
ldconfig
−
# see this post for more details
 
−
# http://forum.qmailrocks.org/showthread.php?p=12293
 
 
</pre>
 
</pre>
  
−
Cron-Job für POP after SMTP einrichten:
+
Prüfen, ob libsrs2 Bibliotheken gefunden werden
−
Mit <code>vi /etc/crontab</code> folgendes in <code>/etc/crontab</code> einfügen:
 
 
<pre>
 
<pre>
−
# vpopmail: clear open-smtp
+
ldconfig -p|grep libsrs2
−
40 * * * * root /home/vpopmail/bin/clearopensmtp 2>&1 > /dev/null
+
libsrs2.so.0 (libc6,x86-64) => /usr/local/lib/libsrs2.so.0
 +
libsrs2.so (libc6,x86-64) => /usr/local/lib/libsrs2.so
 
</pre>
 
</pre>
  
−
weiter gehts mit vpopmail
+
==== Sourcen herunterladen ====
 
<pre>
 
<pre>
−
echo '127.:allow,RELAYCLIENT=""' > ~vpopmail/etc/tcp.smtp
+
cd /usr/local/src
−
(cd ~vpopmail/etc ; tcprules tcp.smtp.cdb tcp.smtp.tmp < tcp.smtp)
+
QMAIL_VERSION=2024.06.08
 +
wget https://github.com/sagredo-dev/qmail/archive/refs/tags/v${QMAIL_VERSION}.tar.gz
 +
tar xzf v${QMAIL_VERSION}.tar.gz
 +
cd qmail-${QMAIL_VERSION}
 +
</pre>
  
−
#  install the vpopmail start script
+
==== Installieren ====
−
cp ../toaster-scripts-0.9.2/vpopmailctl /var/qmail/bin/vpopmailctl
+
<pre>
−
 
 
−
chmod 755 /var/qmail/bin/vpopmailctl
 
−
ln -s /var/qmail/bin/vpopmailctl /usr/bin
 
−
 
 
−
# add qmail toaster patch now that vpopmail is installed
 
−
cd /var/src/netqmail-1.06
 
−
bunzip2 -c ../tar/qmail-toaster-0.9.2.patch.bz2 | patch -p0
 
−
make clean
 
−
make
 
−
qmailctl stop
 
 
make setup check
 
make setup check
−
 
−
# NOTE: the following command needs to be run after any future
 
−
# re-installs of qmail as it will chown this directory back to qmail
 
−
 
−
chown -R vpopmail:vchkpw /var/qmail/spam
 
 
</pre>
 
</pre>
  
−
Zertifikate für SSL erzeugen
+
==== Zertifikate für SSL erzeugen ====
 
<pre>
 
<pre>
 
make cert
 
make cert
Zeile 501: Zeile 511:
 
make tmprsadh
 
make tmprsadh
 
# Hinweis: Dieser Vorgang dauert einige Zeit.
 
# Hinweis: Dieser Vorgang dauert einige Zeit.
 +
chown vpopmail.vchkpw /var/qmail/control/*.pem
 +
# Cron Eintrag erzeugen
 +
echo "03 05 * * * /var/qmail/bin/update_tmprsadh > /dev/null 2>&1" >> /etc/cron.d/update_tmprsadh
 
</pre>
 
</pre>
  
−
Mit <code>vi /etc/crontab</code> in <code>/etc/crontab</code> eine Eintragung machen, damit die Keys jede Nacht aktualisiert werden. Nach der letzten Zeile muss ein Zeilenumbruch folgen:
+
=== Konfiguration ===
 +
 
 +
==== Control Dateien anlegen====
 
<pre>
 
<pre>
−
# Added by Dirk for qmail, 2006-03-24
+
echo 3 > /var/qmail/control/spfbehavior
−
01 01 * * * /var/qmail/bin/update_tmprsadh > /dev/null 2>&1
+
echo "| /home/vpopmail/bin/vdelivermail '' delete" > /var/qmail/control/defaultdelivery
−
 
+
echo 200 > /var/qmail/control/concurrencyincoming
 +
echo postmaster > /var/qmail/control/bouncefrom
 +
echo 20000000 > /var/qmail/control/databytes
 +
echo afdb.de > /var/qmail/control/doublebouncehost
 +
echo postmaster > /var/qmail/control/doublebounceto
 +
echo 272800 > /var/qmail/control/queuelifetime
 +
echo 30000000 > /var/qmail/control/softlimit
 +
echo 100 > /var/qmail/control/maxrcpt
 +
echo 2 > /var/qmail/control/brtlimit
 +
echo 10000000 > /var/qmail/control/simsizelimit
 
</pre>
 
</pre>
  
−
qmail starten, vpopmail mit daemontools starten und überprüfen ob alles rennt:
+
==== Qmail Schnellkonfiguration ausführen ====
 
<pre>
 
<pre>
−
qmailctl start
+
cd /usr/local/src/qmail-2024.06.08
 +
./config-fast mail1.afdb.de
 +
</pre>
  
−
#allow daemontools to start vpopmail
+
==== Alias anlegen====
−
ln -s /var/qmail/supervise/qmail-pop3d /var/qmail/supervise/qmail-pop3ds /service
+
<pre>
 +
cd /var/qmail/alias
 +
echo "postmaster@afdb.de" > .qmail-postmaster
 +
ln -s .qmail-postmaster .qmail-mailer-daemon
 +
ln -s .qmail-postmaster .qmail-root
 +
chmod 644 .qmail*
 +
</pre>
  
−
sleep 5
+
==== erste Domain anlegen====
 +
<code>
 +
/home/vpopmail/bin/vadddomain afdb.de
 +
</code>
  
−
vpopmailctl stat
+
==== Verzeichnis für die Logdateien anlegen ====
−
# sieht ungefähr so aus:
+
<pre>
−
> /service/qmail-pop3d: up (pid 8701) 1498 seconds
+
mkdir -p /var/log/qmail
−
> /service/qmail-pop3d/log: up (pid 9042) 1424 seconds
 
−
> /service/qmail-pop3ds: up (pid 8756) 1488 seconds
 
−
> /service/qmail-pop3ds/log: up (pid 9041) 1425 seconds
 
  
−
qmailctl stat
+
cd /var/log/qmail
−
# sieht ungefähr so aus:
+
chown -R qmaill.nofiles .
−
> /service/qmail-send: up (pid 14282) 127 seconds
+
chgrp root .
−
> /service/qmail-send/log: up (pid 9043) 1506 seconds
+
chmod -R og-wrx .
−
> /service/qmail-smtpd: up (pid 14285) 127 seconds
+
chmod g+rx .
−
> /service/qmail-smtpd/log: up (pid 9044) 1506 seconds
 
−
> messages in queue: 0
 
−
> messages in queue but not yet preprocessed: 0
 
 
</pre>
 
</pre>
  
−
==== Nachträgliches ändern des Zertifikates für den Mailversand (SMTP) ====
+
==== Die supervise Skripte anlegen ====  
−
 
+
<pre>
−
Um ein Zertifikat zu ändern oder zu erneuern kann folgendes ausgeführt werden:
+
cd /var/qmail
 +
wget https://notes.sagredo.eu/files/qmail/supervise.tar.gz
 +
tar xzf supervise.tar.gz
 +
chown -R root:root rc supervise
 +
rm supervise.tar.gz
 +
</pre>
  
 
<pre>
 
<pre>
−
cd /var/qmail/control
+
ln -s /usr/bin/setuidgid /usr/local/bin/setuidgid
−
mv servercert.pem servercert_old.pem
+
ln -s /usr/bin/multilog /usr/local/bin/multilog
−
rm clientcert.pem
+
ln -s /usr/bin/softlimit /usr/local/bin/softlimit
−
 
+
cd /service
−
cd /var/src/netqmail-1.06-mit-greylisting
+
ln -s /var/qmail/supervise/qmail-smtpd      /service
−
make cert
+
ln -s /var/qmail/supervise/qmail-smtpsd    /service
−
 
+
ln -s /var/qmail/supervise/qmail-submission /service
−
# Abfragen beantworten
+
ln -s /var/qmail/supervise/qmail-send      /service
 +
ln -s /var/qmail/supervise/vpopmaild        /service
 +
ln -s /var/qmail/supervise/vusaged          /service
 +
ln -s /var/qmail/supervise/clear                /service
 
</pre>
 
</pre>
  
−
Das Zertifikat ist im Anschluss sofort gültig, der Mailserver muss nicht neu gestartet werden.
+
==== Logdateien täglich rotieren und Zeitstempel lesbar anpassen (convert-multilog) ====
  
−
====Quota Support einbauen====
+
Das Skript '''convert-multilog''' sucht in den Ordnern '''/service/*/log/main''' nach den Qmail-typischen Logdateien (@4*) und konvertiert die Zeitstempel in den Dateien in lesbare Form und legt im Ordner '''/var/log/qmail/backup''' täglich jeweils eine Datei vom Namen ''' /var/log/{service}.{date}''' an.
  
 +
===== Einstellungen =====
 
<pre>
 
<pre>
−
cd /var/src/tar/vpopmail-5.4.33/vusaged
+
mkdir -p /var/log/qmail/backup
−
./configure
+
wget -O  /usr/local/bin/convert-multilog https://notes.sagredo.eu/files/qmail/convert-multilog
−
</pre>
+
chmod +x /usr/local/bin/convert-multilog
  
−
<pre>
+
ln -s /var/log/qmail/send /service/qmail-send/log/main
−
make
+
ln -s /var/log/qmail/smtpd /service/qmail-smtpd/log/main
−
cp -f vusaged /home/vpopmail/bin
+
ln -s /var/log/qmail/smtpsd /service/qmail-smtpsd/log/main
−
cp -f etc/vusaged.conf /home/vpopmail/etc
+
ln -s /var/log/qmail/submission /service/qmail-submission/log/main
 
</pre>
 
</pre>
  
−
===ZWISCHENDURCH: Security-Check auf Offens-Relay von externem Rechner===
+
===== Cronjob =====
 +
und den Cronjob anlegen
  
−
 
−
----
 
−
'''HINWEIS''': Sollte der Server die SMTP-Verbindung sofort wieder beenden, mal in <code>/var/log/qmail/smtpd/current</code> schauen. Findet sich dort folgende Fehlermeldung. Aufgetreten auf FC4/x86_64:
 
 
<pre>
 
<pre>
−
/var/qmail/bin/qmail-smtpd: error while loading shared libraries: libc.so.6:
+
cat > /etc/cron.d/qmail-logging << __EOF__
−
failed to map segment from shared object: Cannot allocate memory
+
59 2 * * * /usr/bin/convert-multilog 1> /dev/null
 +
0 0 * * * /usr/local/bin/svc -a /service/qmail-submission/log
 +
0 0 * * * /usr/local/bin/svc -a /service/qmail-smtpd/log
 +
0 0 * * * /usr/local/bin/svc -a /service/qmail-smtpsd/log
 +
0 0 * * * /usr/local/bin/svc -a /service/qmail-send/log
 +
0 0 * * * /usr/local/bin/svc -a /service/vpopmaild/log
 +
0 0 * * * /usr/local/bin/svc -a /service/vusaged/log
 +
__EOF__
 
</pre>
 
</pre>
  
−
und/oder
+
==== qmailctl  ====
 +
 
 +
Das modifizierte '''qmailctl''' Skript herunterladen und installieren.
 
<pre>
 
<pre>
−
/var/qmail/bin/qmail-smtpd: error while loading shared libraries: libkrb5support.so.0:
+
wget -O /usr/bin/qmailctl https://notes.sagredo.eu/files/qmail/qmailctl
−
failed to map segment from shared object: Cannot allocate memory
+
chmod +x /usr/bin/qmailctl
 
</pre>
 
</pre>
  
−
dann muss das ''softlimit'' in <code>/var/qmail/supervise/qmail-smtpd/run</code> erhöht werden, z.B. von ''8000000'' auf ''80000000''.
+
Dieses Skript beinhalten folgendes
  
−
----
+
* Start/Stops der Dienste
 +
* Aufruf der '''tcprules'''. Damit werden die beiden Dateien tcp.smtp.cdb and tcp.submission.cdb neu geladen
 +
* Statusanzeige für die einzelen Dienste und der Queue
 +
* Anzeige des Status weitere benötigter Dienste
 +
* Informationen zum Antivirus-Dienst clamav und der entsprechenden Virusdatenbank
  
  
−
Mit ''telnet'' wird geprüft ob man den Server als offenes Relay benutzen kann. Kommen die 553-Fehlermeldungen ist alles OK.
+
Eine entsprechen Ausgabe sieht in etwa wie folgt aus:
 
<pre>
 
<pre>
−
[dirk@wizard ~]$ telnet web1.braunschweig-lions.de 25
+
qmailctl stat
−
Trying 212.68.65.193...
+
qmail-smtpd:          [ up ] (pid 435784) 1 seconds
−
Connected to web1.braunschweig-lions.de (212.68.65.193).
+
qmail-smtpd/log:      [ up ] (pid 426723)  0 day(s), 00:07:17
−
Escape character is '^]'.
+
qmail-smtpsd:          [ up ] (pid 435776) 1 seconds
−
220 web1.braunschweig-lions.de ESMTP
+
qmail-smtpsd/log:      [ up ] (pid 426722)  0 day(s), 00:07:17
−
helo dirk
+
qmail-submission:      [ up ] (pid 435782) 1 seconds
−
250 web1.braunschweig-lions.de
+
qmail-submission/log:  [ up ] (pid 426724)  0 day(s), 00:07:17
−
mail from:dirk@schlicker.org
+
qmail-send:            [ up ] (pid 426763)  0 day(s), 00:07:13
−
250 ok
+
qmail-send/log:        [ up ] (pid 426719)  0 day(s), 00:07:17
−
rcpt to:schlueter@link-innovation.de
+
vpopmaild:             [ up ] (pid 435783) 1 seconds
−
553 sorry, that domain isn't in my list of allowed rcpthosts (#5.5.3 - chkuser)
+
vpopmaild/log:        [ up ] (pid 426721)  0 day(s), 00:07:17
−
quit
+
vusaged:              [ up ] (pid 399660)  0 day(s), 00:25:56
−
221 web1.braunschweig-lions.de
+
vusaged/log:          [ up ] (pid 426720)  0 day(s), 00:07:17
−
Connection closed by foreign host.
+
 
 +
dovecot status:        [ down ]
 +
clamd status:          [ down ]
 +
freshclam status:      [ down ]
 +
spamd status:          [ down ]
 +
httpd status:          [ down ]
 +
solr status:          [ down ]
 +
mariadb status:        [ up ]
 +
fail2ban status:      [ down ]
 +
Total Domains: 2
 +
 
 +
messages in queue: 0
 +
messages in queue but not yet preprocessed: 0
 
</pre>
 
</pre>
  
−
2. Check
+
==== svtools ====
 
<pre>
 
<pre>
−
[dirk@wizard ~]$ telnet web1.braunschweig-lions.de 25
+
cd /usr/local/src/
−
Trying 212.68.65.193...
+
wget https://github.com/kayahr/svtools/archive/master.zip
−
Connected to web1.braunschweig-lions.de (212.68.65.193).
+
unzip master.zip
−
Escape character is '^]'.
+
cd svtools-master
−
220 web1.braunschweig-lions.de ESMTP
+
make
−
helo dirk
+
make install
−
250 web1.braunschweig-lions.de
+
mkdir /etc/sv /var/log/sv
−
mail from:postmaster@braunschweig-lions.de
+
chown root.root /etc/sv /var/log/sv
−
250 ok
+
cd /usr/local/bin
−
rcpt to:schlueter@link-innovation.de
+
rm mlcat
−
553 sorry, that domain isn't in my list of allowed rcpthosts (#5.5.3 - chkuser)
+
wget https://notes.sagredo.eu/files/qmail/mlcat
−
quit
+
chmod +x mlcat
−
221 web1.braunschweig-lions.de
 
−
Connection closed by foreign host.
 
 
</pre>
 
</pre>
  
−
===IMAP===
+
==== tcp.smtp ====
−
====Courier-IMAP====
 
  
−
Courier's Auth Library:
+
Die Datei '''/home/vpopmail/etc/tcp.smtp''' anpassen
 
<pre>
 
<pre>
−
cd /var/src
+
vim /home/vpopmail/etc/tcp.smtp
−
tar -xjf tar/courier-authlib-0.59.1.tar.bz2
 
−
cd courier-authlib-0.59.1
 
−
patch -p0 < ../tar/vpopmail_courier_cram-1.diff
 
−
./configure --with-redhat
 
−
# NOTE: RedHat/Fedora users need to add "--with-redhat"
 
  
−
make
+
127.:allow,RELAYCLIENT=""
−
make install-strip
+
:allow,CHKUSER_WRONGRCPTLIMIT="3"
−
make install-configure
+
</pre>
  
−
cp courier-authlib.sysvinit /etc/init.d/courier-authlib
+
anschließend die Datei '''/home/vpopmail/etc/tcp.submission''' anpassen (chkuser lässt für eine Client IP nur 3 Fehlversuche bei der Anmeldung zu).
−
chmod 755 /etc/init.d/courier-authlib
 
−
chkconfig courier-authlib on
 
−
</pre>
 
  
−
<code>/usr/local/etc/authlib/authdaemonrc</code> editieren:
 
 
<pre>
 
<pre>
−
Change authmodulelist="..." to authmodulelist="authvchkpw"
+
echo ":allow,CHKUSER_WRONGRCPTLIMIT=\"3\"" > /home/vpopmail/etc/tcp.submission
 
</pre>
 
</pre>
  
−
Authlib's Authdaemon Server starten:
 
 
<pre>
 
<pre>
−
/etc/init.d/courier-authlib start
+
ln -s /home/vpopmail/etc/tcp.smtp /var/qmail/control/tcp.smtp
 +
ln -s /home/vpopmail/etc/tcp.submission /var/qmail/control/tcp.submission
 +
ln -s /home/vpopmail/etc/tcp.smtp.cdb /var/qmail/control/tcp.smtp.cdb
 
</pre>
 
</pre>
  
−
Courier-IMAP installieren:
+
Anschließend '''tcp.rules''' neu bauen.
 
<pre>
 
<pre>
−
cd /var/src
+
root@h2859558 (FF)[/etc/logrotate.d] # qmailctl cdb
−
tar -xjf tar/courier-imap-4.1.2.tar.bz2
+
Updated tcp.smtp.cdb.
−
cd courier-imap-4.1.2
+
Updated tcp.submission.cdb.
−
# build as vpopmail
+
Ran clearopensmtp
−
chown -R vpopmail:vchkpw ../courier-imap-4.1.2
+
</pre>
−
su vpopmail
 
−
umask 0022
 
−
# configure may take some time...
 
−
./configure --with-redhat
 
−
# NOTE: RedHat/Fedora users need to add '--with-redhat'
 
  
−
make
+
===Testing qmail, SMTP and auth===
−
exit
 
−
make install-strip
 
−
make install-configure
 
  
−
cp courier-imap.sysvinit /etc/init.d/courier-imap
+
==== Swaks ====
−
chmod 755 /etc/init.d/courier-imap
+
 
−
chkconfig courier-imap on
+
swaks ist ein SMTP test Tool, mit dem man einfach alle folgenden Telnet Tests auf einmal ausführen kann.
−
</pre>
 
  
−
Konfigurieren:
 
−
<code>/usr/lib/courier-imap/etc/imapd</code> editieren:
 
 
<pre>
 
<pre>
−
Change 'IMAPDSTART=NO' to 'IMAPDSTART=YES'
+
cd /usr/local/bin
−
add " AUTH=CRAM-MD5" to IMAP_CAPABILITY to enable secure authentication (CRAM-MD5)
+
wget http://www.jetmore.org/john/code/swaks/latest/swaks
 +
chown root:root swaks
 +
chmod +x swaks
 
</pre>
 
</pre>
  
−
<code>/usr/lib/courier-imap/etc/imapd-ssl</code> editieren:
 
 
<pre>
 
<pre>
−
Change 'IMAPDSSLSTART=NO' to 'IMAPDSSLSTART=YES'
+
swaks \
 +
        --to someone@somewhere.net \
 +
        --from postmaster@afdb.de \
 +
        --server localhost \
 +
        --port 587 \
 +
        --ehlo test \
 +
        -tls \
 +
        --auth login \
 +
        --auth-user postmaster@afdb.de \
 +
        --auth-password [PASSWORD]
 
</pre>
 
</pre>
  
−
'''Security'''
+
==== Überprüfung mit Bordmittel ====
−
Wenn der Server mehrere IP-Adressen hat, IMAP nur auf der gewollten Adresse aktivieren
 
  
−
<code>/usr/lib/courier-imap/etc/imapd</code> editieren:
+
Einmal stoppen und starten der Daemontools, um zu schauen, ob noch Fehler vorhanden sind ( readproctitle service errors: .....)
 
<pre>
 
<pre>
−
Change 'ADDRESS=0' to 'ADDRESS=<IPADDR>'
+
systemctl stop daemontools
 +
systemctl start daemontools
 
</pre>
 
</pre>
  
−
<code>/usr/lib/courier-imap/etc/imapd-ssl</code> editieren:
 
 
<pre>
 
<pre>
−
Change 'SSLADDRESS=0' to 'SSLADDRESS=<IPADDR>'
+
ps axfww
 +
1655990 ?        Ss    0:00 /bin/sh /usr/bin/svscanboot
 +
1655992 ?        S      0:00  \_ svscan /service
 +
1655994 ?        S      0:00  |  \_ supervise qmail-submission
 +
1656007 ?        S      0:00  |  |  \_ /usr/local/bin/tcpserver -v -R -l mail.afdb.de -x /home/vpopmail/etc/tcp.submission.cdb -c 20 -u 89 -g 89 0 587 /var/qmail/bin/qmail-smtpd /home/vpopmail/bin/vchkpw /bin/true
 +
1655995 ?        S      0:00  |  \_ supervise log
 +
1656010 ?        S      0:00  |  |  \_ /usr/bin/multilog t s16000000 n200 /var/log/qmail/submission
 +
1655996 ?        S      0:00  |  \_ supervise qmail-send
 +
1656004 ?        S      0:00  |  |  \_ qmail-send
 +
1656018 ?        S      0:00  |  |      \_ qmail-lspawn | /home/vpopmail/bin/vdelivermail '' delete
 +
1656019 ?        S      0:00  |  |      \_ qmail-rspawn
 +
1656020 ?        S      0:00  |  |      \_ qmail-clean
 +
1656021 ?        S      0:00  |  |      \_ qmail-todo
 +
1656022 ?        S      0:00  |  |      \_ qmail-clean
 +
1655997 ?        S      0:00  |  \_ supervise log
 +
1656008 ?        S      0:00  |  |  \_ /usr/bin/multilog t s16000000 n200 /var/log/qmail/send
 +
1655998 ?        S      0:00  |  \_ supervise qmail-smtpd
 +
1656005 ?        S      0:00  |  |  \_ /usr/local/bin/tcpserver -v -R -l mail.afdb.de -x /home/vpopmail/etc/tcp.smtp.cdb -c 20 -u 89 -g 89 0 25 /var/qmail/bin/qmail-smtpd
 +
1655999 ?        S      0:00  |  \_ supervise log
 +
1656003 ?        S      0:00  |  |  \_ /usr/bin/multilog t s16000000 n200 /var/log/qmail/smtpd
 +
1656000 ?        S      0:00  |  \_ supervise clear
 +
1656001 ?        S      0:00  |  \_ supervise vpopmaild
 +
1656009 ?        S      0:00  |  |  \_ /usr/local/bin/tcpserver -v -H -R -l 0 -u 0 -g 0 0 89 /home/vpopmail/bin/vpopmaild
 +
1656002 ?        S      0:00  |  \_ supervise log
 +
1656006 ?        S      0:00  |      \_ /usr/bin/multilog t /var/log/qmail/vpopmaild
 +
1655993 ?        S      0:00  \_ readproctitle service errors: ................................................................................................................................................................................................................................................................................................................................................................................................................
 
</pre>
 
</pre>
  
−
'''WICHTIG:''' Vor dem ersten Start die SSL-Profile editieren damit sie zum Hostnamen passen:
+
==== Überprüfung mit qmailctl ====
 
<pre>
 
<pre>
−
# optional: The first time courier-imap is started, the SSL certificate
+
qmailctl stat
−
# is first created using "localhost" as the "common name".
+
qmail-smtpd:          [ up ] (pid 1656005)  0 day(s), 00:03:50
−
# If you want to change this to match your hostname, you can customize
+
qmail-smtpd/log:      [ up ] (pid 1656003)  0 day(s), 00:03:50
−
# the CN line in /usr/lib/courier-imap/etc/imapd.cnf (and pop3d.cnf of
+
qmail-submission:      [ up ] (pid 1656007)  0 day(s), 00:03:50
−
# you choose to use courier's pop3d) so that the common name matches
+
qmail-submission/log:  [ up ] (pid 1656010)  0 day(s), 00:03:50
−
# your server name BEFORE you start the server for the first time
+
qmail-send:            [ up ] (pid 1656004)  0 day(s), 00:03:50
 +
qmail-send/log:        [ up ] (pid 1656008)  0 day(s), 00:03:50
 +
vpopmaild:            [ up ] (pid 1656009)  0 day(s), 00:03:50
 +
vpopmaild/log:        [ up ] (pid 1656006)  0 day(s), 00:03:50
 +
 
 +
dovecot status:        [ down ]
 +
clamd status:          [ down ]
 +
freshclam status:      [ down ]
 +
spamd status:          [ down ]
 +
vusaged status:        [ down ]
 +
httpd status:          [ up ]
 +
mysql status:          [ up ]
 +
fail2ban status:      [ up ]
 +
 
 +
messages in queue: 6
 +
messages in queue but not yet preprocessed: 0
 
</pre>
 
</pre>
  
−
Start IMAP server:
+
==== Verschiedende Checks von externem Rechner ====
 +
 
 +
'''1. Check''': Relaying
 +
 
 +
Mit ''telnet'' wird geprüft ob man den Server als offenes Relay benutzen kann. Kommen die 553-Fehlermeldungen ist alles OK.
 
<pre>
 
<pre>
−
/etc/init.d/courier-imap start
+
[ktsadmin@truhe ~]$ telnet mail1.afdb.de 25
 +
Trying 85.214.138.131...
 +
Connected to mail.afdb.de.
 +
Escape character is '^]'.
 +
220 mail.afdb.de ESMTP
 +
helo karl
 +
250 mail.afdb.de
 +
mail from:karl@schlicker.org
 +
250 ok
 +
rcpt to:info@schlicker.org
 +
553 5.7.1 sorry, that domain isn't in my list of allowed rcpthosts (chkuser)
 +
quit
 +
221 mail.afdb.de
 +
Connection closed by foreign host.
 
</pre>
 
</pre>
  
−
=====Nachträgliches Ändern des SSL-Zertifikates=====
+
'''2. Check''' : Relaying
 
<pre>
 
<pre>
−
cd /usr/lib/courier-imap/share
+
[ktsadmin@truhe ~]$ telnet mail.afdb.de 25
−
mv imapd.pem imapd.pem.old
+
Trying 85.214.138.131...
 +
Connected to mail.afdb.de.
 +
Escape character is '^]'.
 +
220 mail.afdb.de ESMTP
 +
helo karl
 +
250 mail.afdb.de
 +
mail from:karl@schlicker.org
 +
250 ok
 +
rcpt to:info@schlicker.org
 +
553 5.7.1 sorry, that domain isn't in my list of allowed rcpthosts (chkuser)
 +
quit
 +
221 mail.afdb.de
 +
Connection closed by foreign host.
 
</pre>
 
</pre>
−
Mit <code>vi /usr/lib/courier-imap/etc/imapd.cnf</code> die Datei <code>/usr/lib/courier-imap/etc/imapd.cnf</code> editieren und im Bereich <code>[ req_dn ]</code> die Vorgaben entsprechend ändern, z.B.:
+
 
 +
'''3. Check''': vpopmail auth
 
<pre>
 
<pre>
−
[ req_dn ]
+
[ktsadmin@truhe ~]$ telnet mail.afdb.de 89
−
C=DE
+
Trying 85.214.138.131...
−
ST=Niedersachsen
+
Connected to mail.afdb.de.
−
L=Braunschweig
+
Escape character is '^]'.
−
O=Courier Mail Server
+
+OK
−
OU=Mail
+
login postmaster@afdb.de PASSWORD
−
CN=mail.braunschweig-lions.de
+
+OK+
−
emailAddress=postmaster@www.braunschweig-lions.de
+
vpopmail_dir /home/vpopmail
 +
domain_dir /home/vpopmail/domains/afdb.de
 +
uid 89
 +
gid 89
 +
name postmaster
 +
comment Postmaster
 +
quota NOQUOTA
 +
user_dir /home/vpopmail/domains/afdb.de/postmaster
 +
encrypted_password $1$vNEhZgIz$rL7zT3TcSpIsXhVOeky6g.
 +
clear_text_password PASSWORD
 +
no_password_change 0
 +
no_pop 0
 +
no_webmail 0
 +
no_imap 0
 +
bounce_mail 0
 +
no_relay 0
 +
no_dialup 0
 +
user_flag_0 0
 +
user_flag_1 0
 +
user_flag_2 0
 +
user_flag_3 0
 +
no_smtp 0
 +
domain_admin_privileges 1
 +
override_domain_limits 0
 +
no_spamassassin 0
 +
delete_spam 0
 +
no_maildrop 0
 +
system_admin_privileges 0
 +
.
 +
quit
 +
+OK
 +
Connection closed by foreign host.
 
</pre>
 
</pre>
  
−
SSL-Zertifikat neu erstellen:
+
'''4. Check''': No mailbox test
 
<pre>
 
<pre>
−
./mkimapdcert
+
[ktsadmin@truhe ~]$ telnet mail.afdb.de 25
 +
Trying 85.214.138.131...
 +
Connected to mail.afdb.de.
 +
Escape character is '^]'.
 +
220 mail.afdb.de ESMTP
 +
mail from:info@schlicker.org
 +
250 ok
 +
rcpt to:nobody@afdb.de
 +
550 5.1.1 sorry, no mailbox here by that name (chkuser)
 +
quit
 +
221 mail.afdb.de
 +
Connection closed by foreign host.
 
</pre>
 
</pre>
  
−
=====WICHTIG: Courier-IMAP IMAP-Account Begrenzung pro IP-Adresse aufheben=====
+
=== autorespond ===
−
 
 
−
Courier-IMAP begrenzt die Anzahl der IMAP-Accounts die von einer IP-Adresse gleichzeitig genutzt werden können.
 
−
 
 
−
Per Default steht dieser Wert auf 4 und sollte angepasst werden. Dazu mit <code>vi /usr/lib/courier-imap/etc/imapd</code> die Konfigurationsdatei editieren, nach '''MAXPERIP''' suchen und anpassen, z.B.:
 
 
<pre>
 
<pre>
−
##NAME: MAXPERIP:0
+
cd /usr/local/src
−
#
+
AR_VERSION=2.0.7
−
#  Maximum number of connections to accept from the same IP address
+
wget https://github.com/sagredo-dev/autorespond/archive/refs/tags/v${AR_VERSION}.tar.gz
−
 
+
tar xzf v${AR_VERSION}.tar.gz
−
MAXPERIP=50
+
cd autorespond-${AR_VERSION}
 +
chown -R root:root .
 +
make
 +
make install
 +
/bin/rm /usr/local/src/v${AR_VERSION}.tar.gz
 
</pre>
 
</pre>
  
−
Die Datei speichern und Courier-IMAP neu starten:
+
=== ezmlm-idx ===
 
<pre>
 
<pre>
−
/etc/init.d/courier-imap restart
+
cd /usr/local/src
 +
wget https://notes.sagredo.eu/files/qmail/tar/ezmlm-idx-7.2.2.tar.gz
 +
tar xzf ezmlm-idx-7.2.2.tar.gz
 +
cd ezmlm-idx-7.2.2
 +
chown -R root:root .
 +
cd lang
 +
ln -s de de_DE
 +
ln -s de_DE default
 +
cd ..
 +
make
 +
make man
 
</pre>
 
</pre>
  
−
====Dovecot====
+
Test:
−
Als Alternative zu Courier-IMAP kann man auch dovecot installiseren.
 
 
<pre>
 
<pre>
−
cd /var/src/tar
+
# ./ezmlm-test
−
wget http://www.dovecot.org/releases/2.2/dovecot-2.2.13.tar.gz
+
getconfopt library:  OK
−
cd /var/src
+
ezmlm-make:          OK
−
tar xzf tar/dovecot-2.2.13.tar.gz
+
Using subdb plugin:  std
−
cd dovecot-2.2.13
+
ezmlm-reject:        OK
−
+
ezmlm-[un|is]sub[n]:  OK
−
./configure --prefix=/usr/local/dovecot --with-vpopmail --with-docs --with-ssl --with-ldap --with-mysql
+
ezmlm-checksub:       OK
−
make
+
ezmlm-send:          OK
−
make install
+
ezmlm-tstdig:        OK
 +
ezmlm-weed:          OK
 +
ezmlmrc contents:    OK
 +
ezmlm-clean:          OK
 +
ezmlm-store:          OK
 +
ezmlm-return:        OK
 +
ezmlm-warn (1/2):    OK
 +
ezmlm-manage (1/2):  OK
 +
ezmlm-request:        OK
 +
ezmlm-split:          OK
 +
ezmlm-gate:          OK
 +
ezmlm-idx:            OK
 +
ezmlm-get (index):    OK
 +
ezmlm-get (get):      OK
 +
ezmlm-get (thread):  OK
 +
ezmlm-get (digest):  OK
 +
ezmlm-manage (2/2):  OK
 +
ezmlm-moderate:      OK
 +
ezmlm-warn (2/2):    OK
 +
ezmlm-archive:        OK
 +
ezmlm-dispatch:      OK
 +
dispatch editor:      OK
 +
....
 
</pre>
 
</pre>
−
=====Konfiguration=====
 
  
−
Benutzer und Gruppe anlegen
+
====MYSQL Support====
 
<pre>
 
<pre>
−
groupadd dovecot
+
mysql -u root -p
−
useradd -g dovecot dovecot
 
−
useradd -g dovecot dovenull
 
−
</pre>
 
  
−
Benötigte Verzeichniss und dir Log-Datei anlegen
+
CREATE USER 'ezmlm'@'localhost' IDENTIFIED BY '4EZMLM2024';
−
<pre>
 
−
mkdir -p /var/run/dovecot
 
−
mkdir -p /var/log/dovecot
 
−
touch /var/log/dovecot/dovecot.log
 
−
chgrp vchkpw /var/log/dovecot/dovecot.log
 
−
chmod 660 /var/log/dovecot/dovecot.log
 
  
−
ln -s /usr/local/dovecot/sbin/dovecot /usr/sbin/dovecot
+
GRANT USAGE ON * . * TO 'ezmlm'@'localhost' IDENTIFIED BY '4EZMLM2024' WITH MAX_QUERIES_PER_HOUR 0
−
ln -s /usr/local/dovecot/bin/doveadm /usr/bin/doveadm
+
MAX_CONNECTIONS_PER_HOUR 0
−
ln -s /usr/local/dovecot/bin/doveconf /usr/sbin/doveconf
+
MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ;
−
ln -s /usr/local/dovecot/bin/dsync /usr/sbin/dsync
 
−
ln -s /usr/local/dovecot/etc/dovecot /etc/dovecot
 
  
 +
CREATE DATABASE IF NOT EXISTS `ezmlm` ;
 +
GRANT ALL PRIVILEGES ON `ezmlm` . * TO 'ezmlm'@'localhost';
 
</pre>
 
</pre>
  
−
Konfigurationsbeispiele kopieren
+
Die Datei conf-cc anpassen:
 
<pre>
 
<pre>
−
cd /usr/local/dovecot/etc/dovecot
+
gcc -O -g -I/usr/include/mysql -I/usr/include/pgsql
−
cp -rp /usr/local/dovecot/share/doc/dovecot/example-config/* .
 
 
</pre>
 
</pre>
  
−
MAN-Pages für dovecot anpassen
+
Die Datei conf-ld anpassen:
−
Mit vi /etc/man.config die Datei /etc/man.config öffnen und folgende Zeile entsprechend hinzufügen:  
 
 
<pre>
 
<pre>
−
MANPATH /usr/local/dovecot/share/man
+
cc -g -rdynamic -B /usr/lib64/mysql
 
</pre>
 
</pre>
  
−
=====local.conf=====
+
Kompilieren und Installieren:
−
Da in der Standard-Konfiurationsdatei dovecot.conf am Ende die Zeile
 
−
!include_try local.conf
 
−
steht, werden alle Anpassungen nun in der Datei '''local.conf''' gemacht.
 
−
Die entsprechenden Zeilen sollten in den angegebenen Dateien im Verzeichnis '''conf.d''' auskommentiert werden.
 
−
 
 
 
<pre>
 
<pre>
−
cd /usr/local/dovecot/etc/dovecot
+
make mysql
−
cat > local.conf << EOF
+
make install
−
#--------------------------------------------------------
+
</pre>
−
# dovecot.conf
 
−
#--------------------------------------------------------
 
−
protocols = imap sieve
 
−
base_dir = /var/run/dovecot
 
  
−
#--------------------------------------------------------
+
=== qmailadmin ===
−
# 10.auth.conf
 
−
#--------------------------------------------------------
 
−
disable_plaintext_auth = yes
 
−
auth_mechanisms = plain login cram-md5
 
  
−
#--------------------------------------------------------
+
==== cracklib ====
−
# 10-ssl.conf
 
−
#--------------------------------------------------------
 
−
ssl=yes
 
−
ssl_cert = </etc/pki/dovecot/certs/dovecot.pem
 
−
ssl_key = </etc/pki/dovecot/private/dovecot.pem
 
−
ssl_cipher_list = DHE-RSA-AES256-SHA:DHE-RSA-AES128 SHA:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!CBC:!PSK:!SRP:!DSS:!SSLv2:!RC4
 
  
−
#--------------------------------------------------------
+
Cracklib sorgt für '''bessere''' Passwörter, weil bei der Anlage neuer Passwört mit eine Wortliste verglichen wird.
−
# 10-logging.conf
 
−
#--------------------------------------------------------
 
−
log_path = /var/log/dovecot/dovecot.log
 
−
login_log_format_elements = "user=<%u> method=%m rip=%r lip=%l mpid=%e %c %k"
 
  
−
#--------------------------------------------------------
+
Dieses wird bei '''Qmailadmin''' bei der Anlage neuer Accounts benutzt.
−
# 10-mail.conf
 
−
#--------------------------------------------------------
 
−
mail_uid = 89
 
−
mail_gid = 89
 
−
first_valid_uid = 89
 
−
last_valid_uid = 89
 
−
first_valid_gid = 89
 
−
last_valid_gid = 89
 
−
mail_plugins = $mail_plugins quota
 
  
−
#--------------------------------------------------------
+
===== Quellen installieren =====
−
# 10-master.conf
+
<pre>
−
#--------------------------------------------------------
+
dnf -y install cracklib cracklib-dicts.x86_64
−
default_login_user = vpopmail
+
</pre>
−
default_internal_user = vpopmail
 
  
−
service auth {
+
===== Wörterbuch aufbauen =====
−
  unix_listener auth-userdb {
 
−
    mode = 0600
 
−
    user = vpopmail
 
−
    group = vchkpw
 
−
  }
 
−
}
 
  
−
#--------------------------------------------------------
+
<pre>
−
# 15-lda.conf
+
mkdir /usr/share/cracklib
−
#--------------------------------------------------------
+
cd /usr/share/cracklib
−
postmaster_address = postmaster@afdb.de
+
wget https://github.com/cracklib/cracklib/releases/download/v${CRACKLIB_VER}/cracklib-words-${CRACKLIB_VER}.bz2
−
hostname = mail.afdb.de
+
bunzip2 cracklib-words-${CRACKLIB_VER}.bz2
−
# the next two to auto create folders
+
</pre>
−
lda_mailbox_autocreate = yes
 
−
lda_mailbox_autosubscribe = yes
 
  
−
protocol lda {
+
=====  Cracklib testen =====
−
  # Space separated list of plugins to load (default is global mail_plugins).
 
−
  mail_plugins = $mail_plugins sieve quota autocreate
 
−
}
 
  
−
#--------------------------------------------------------
+
<pre>
−
# 20-imap.conf
+
cracklib-check
−
#--------------------------------------------------------
+
 
−
mail_max_userip_connections = 40
+
</pre>
 +
 
 +
==== Installation ====
 +
<pre>
 +
QMA_VERSION=1.2.23
 +
cd /usr/local/src
  
−
#--------------------------------------------------------
+
touch /var/log/qma-auth.log
−
# 90-plugin.conf
+
chgrp apache /var/log/qma-auth.log
−
#--------------------------------------------------------
+
chmod g+w /var/log/qma-auth.log
−
plugin {
 
−
  autocreate = Sent
 
−
  autocreate2 = Drafts
 
−
  autocreate3 = Junk
 
−
  autocreate4 = Trash
 
−
  autosubscripe = Sent
 
−
  autosubscripe2 = Drafts
 
−
  autosubscripe3 = Junk
 
−
  autosubscripe4 = Trash
 
−
}
 
  
−
#--------------------------------------------------------
+
wget https://github.com/sagredo-dev/qmailadmin/archive/refs/tags/v${QMA_VERSION}.tar.gz
−
# 90-quota.conf
+
tar xzf v${QMA_VERSION}.tar.gz
−
#--------------------------------------------------------
+
cd qmailadmin-${QMA_VERSION}
−
#quota = maildir:User quota
+
chown -R root:root .
  
 +
mkdir -p /var/www/qmail/images
  
−
#--------------------------------------------------------
+
QMAILROOT=/var/www/qmail
−
# auth-vpopmail.conf
+
./configure \
−
#--------------------------------------------------------
+
  --enable-htmldir=${QMAILROOT} \
−
passdb {
+
  --enable-cgibindir=${QMAILROOT}/cgi-bin \
−
  driver = vpopmail
+
  --enable-cgipath=/cgi-bin/qmailadmin \
−
}
+
  --enable-imagedir=${QMAILROOT}/qmailadmin/files \
 +
  --enable-imageurl=/qmailadmin/files \
 +
  --enable-htmllibdir=${QMAILROOT}/qmailadmin \
 +
  --enable-qmaildir=/var/qmail \
 +
  --enable-domain-autofill \
 +
  --enable-vpopuser=vpopmail \
 +
  --enable-vpopgroup=vchkpw \
 +
  --enable-autoresponder-path=/usr/local/bin \
 +
  --enable-ezmlmdir=/usr/local/bin/ezmlm \
 +
  --enable-modify-quota \
 +
  --disable-ezmlm-mysql \
 +
  --disable-trivial-password \
 +
  --disable-catchall \
 +
  --enable-cracklib=/usr/share/cracklib/pw_dict
 +
</pre>
  
−
userdb {
+
Die QMAIL-Image Dateien im '''images''' Ordner speichern
−
  driver = vpopmail
+
<pre>
−
  args = quota_template=quota_rule=*:backend=%q
+
cd /var/www/qmail/images
−
}
+
wget https://notes.sagredo.eu/files/qmail//patches//qmailadmin//skin//img/favicon-16x16.png
 +
wget https://notes.sagredo.eu/files/qmail//patches//qmailadmin//skin//img/favicon-32x32.png
 +
wget https://notes.sagredo.eu/files/qmail//patches//qmailadmin//skin//img/logo.png
 +
wget https://notes.sagredo.eu/files/qmail//patches//qmailadmin//skin//img/logo_big.png
 +
</pre>
  
 +
Kompilieren und installieren
 +
<pre>
 +
cd /usr/local/src/qmailadmin-${QMA_VERSION}
 +
make
 +
make install-strip
 +
</pre>
  
 +
=== Erweiterungen (Add-Ons) ===
  
−
EOF
+
==== Realtime Block List (RBL) ====
 +
<pre>
 +
cat > /var/qmail/control/dnsbllist << __EOF__
 +
-b.barracudacentral.org
 +
-zen.spamhaus.org
 +
-psbl.surriel.com
 +
-bl.spamcop.net
 +
__EOF__
 
</pre>
 
</pre>
  
−
Anschließend '''postmaster_address''' und '''hostname''' entsprechend anpassen.
+
<pre>
 +
qmailctl restart
 +
qmail-showctl |grep dnsbl
 +
 
 +
List at -b.barracudacentral.org configured for dnsbl check.
 +
List at -zen.spamhaus.org configured for dnsbl check.
 +
List at -psbl.surriel.com configured for dnsbl check.
 +
List at -bl.spamcop.net configured for dnsbl check.
  
−
=====10-auth.conf=====
 
−
Hier wird am Ende folgendes gemacht:
 
−
<pre>
 
−
#!include auth-system.conf.ext
 
−
#!include auth-sql.conf.ext
 
−
#!include auth-ldap.conf.ext
 
−
#!include auth-passwdfile.conf.ext
 
−
#!include auth-checkpassword.conf.ext
 
−
#!include auth-vpopmail.conf.ext
 
 
</pre>
 
</pre>
−
Also auth-system wird deaktiviert!
 
  
 +
==== Greetdelay ====
 +
 +
Um Greetdelay zu aktivieren müssen in den beiden Dateien '''qmail-smtpd/run''' und '''qmail-submission/run''' die nachfolgenden Werte aktiviert werden.
  
−
=====10-ssl.conf=====
 
−
hier die Pfade zu den Zertifikaten auskommentieren, stehen nun in local.conf
 
 
<pre>
 
<pre>
−
#ssl_cert = </etc/ssl/certs/dovecot.pem
+
export SMTPD_GREETDELAY=15
−
#ssl_key = </etc/ssl/private/dovecot.pem
+
export DROP_PRE_GREET=1
 
</pre>
 
</pre>
  
−
=====Start/Stop-Script=====
 
−
Das init-Skript erzeugen, in dem man den Editor vi öffnen und nachfolgende Zeilen einfügt.
 
  
−
<pre>
+
==== SPF ====
−
vi etc/init.d/dovecot
 
−
#!/bin/bash
 
−
#
 
−
#      /etc/rc.d/init.d/dovecot
 
−
#
 
−
# Starts the dovecot daemon
 
−
#
 
−
# chkconfig: - 65 35
 
−
# description: Dovecot Imap Server
 
−
# processname: dovecot
 
−
# config: /usr/local/dovecot/etc/dovecot/dovecot.conf
 
−
# pidfile: /var/run/dovecot/master.pid
 
  
−
### BEGIN INIT INFO
+
The SPF behavior of your mail server is controlled by the file '''/var/qmail/control/spfbehavior'''. You can specify a value between 0 and 6:
−
# Provides: dovecot
 
−
# Required-Start: $local_fs $network
 
−
# Required-Stop: $local_fs $network
 
−
# Should-Start: $remote_fs
 
−
# Should-Stop: $remote_fs
 
−
# Default-Start:
 
−
# Default-Stop: 0 1 2 3 4 5 6
 
−
# Short-Description: start and stop Dovecot Imap server
 
−
# Description: Dovecot is an IMAP server for Linux/UNIX-like systems,
 
  
−
#              written with security primarily in mind.  It also contains
+
    0 disabled (Default). Never do SPF lookups, don't create Received-SPF headers
−
#              a small POP3 server.
+
    1 selects 'annotate-only' mode,  where  qmail-smtpd  will  annotate  incoming  email with Received-SPF fields, but will not reject any messages.
−
### END INIT INFO
+
    2 will produce temporary failures on DNS lookup problems so you can make sure you always have meaningful Received-SPF headers.  
 +
    3 selects 'reject'  mode,  where  incoming  mail  will be rejected if the SPF record says 'fail'.
 +
    4 selects a more stricter rejection mode, which is like 'reject' mode, except that incoming mail will also be rejected when the SPF record says 'softfail'.
 +
    5 will also reject when the SPF record says 'neutral'
 +
    6 if no SPF records are available at all (or a syntax error was encountered).
  
−
# Source function library.
 
−
. /etc/init.d/functions
 
  
−
RETVAL=0
+
==== Sender Rewriting Scheme (SRS)  ====
−
prog="Dovecot Imap"
 
−
exec="/usr/local/dovecot/sbin/dovecot"
 
−
config="/usr/local/dovecot/etc/dovecot/dovecot.conf"
 
−
pidfile="/var/run/dovecot/master.pid"
 
−
lockfile="/var/lock/subsys/dovecot"
 
  
−
start() {
+
<pre>
−
        [ $UID -eq 0 ] || exit 4
+
echo "| /var/qmail/bin/srsfilter" > /var/qmail/alias/.qmail-srs-default
−
        [ -x $exec ] || exit 5
+
SRSDOMAIN=srs.afdb.de
−
        [ -f $config ] || exit 6
+
echo $SRSDOMAIN:srs >> /var/qmail/control/virtualdomains
 +
echo $SRSDOMAIN >> /var/qmail/control/rcpthosts
 +
echo $SRSDOMAIN > /var/qmail/control/srs_domain
 +
echo "$( echo $RANDOM|md5sum|head -c 10)" > /var/qmail/control/srs_secrets
 +
</pre>
  
−
        echo -n $"Starting $prog: "
+
Im DNS müssen wir dann für die Domain afdb.de noch folgenden Eintrag hinzufügen:
−
        daemon --pidfile $pidfile $exec $OPTIONS
 
−
        RETVAL=$?
 
−
        [ $RETVAL -eq 0 ] && touch  $lockfile
 
−
        echo
 
−
}
 
  
−
stop() {
+
<pre>
−
        [ $UID -eq 0 ] || exit 4
+
srs.afdb.de. IN TXT "v=spf1 a mx -all"
−
        echo -n $"Stopping $prog: "
+
</pre>
−
        killproc -p $pidfile $exec
 
−
        RETVAL=$?
 
−
        [ $RETVAL -eq 0 ] && rm -f $lockfile
 
−
        echo
 
−
}
 
  
−
reload() {
+
==== DKIM  ====
−
        [ $UID -eq 0 ] || exit 4
 
−
        echo -n $"Reloading $prog: "
 
−
        killproc -p $pidfile $exec -HUP
 
−
        RETVAL=$?
 
−
        echo
 
−
}
 
  
−
#
+
Zuerst einen neuen Ordner für die Domainkeys anlegen
−
#      See how we were called.
 
−
#
 
−
case "$1" in
 
−
  start)
 
−
        start
 
−
        ;;
 
−
  stop)
 
−
        stop
 
−
        ;;
 
−
  reload)
 
−
        reload
 
−
        ;;
 
−
  force-reload|restart)
 
−
        stop
 
−
        sleep 1
 
−
        start
 
−
        RETVAL=$?
 
−
        ;;
 
−
  condrestart|try-restart)
 
−
        if [ -f $lockfile ]; then
 
−
            stop
 
−
            sleep 3
 
−
            start
 
−
        fi
 
−
        ;;
 
−
  status)
 
−
        status -p $pidfile $exec
 
−
        RETVAL=$?
 
−
        ;;
 
−
  *)
 
−
        echo $"Usage: $0 {condrestart|try-restart|start|stop|restart|reload|force-reload|status}"
 
−
        RETVAL=2
 
−
        [ "$1" = 'usage' ] && RETVAL=0
 
−
esac
 
  
−
exit $RETVAL
+
<pre>
 +
mkdir /var/qmail/control/domainkeys
 +
chown -R qmailr:qmail /var/qmail/control/domainkeys
 
</pre>
 
</pre>
  
−
Anschließend macht man das Skript ausführbar und legt es in den Runleveln an
+
Anschließend für jede Domain ein Domainkey erzeugen
 +
 
 
<pre>
 
<pre>
−
chmod +x /etc/init.d/dovecot
+
dknewkey -d afdb.de -t rsa -b 2048 default
−
chkconfig dovecot on
 
 
</pre>
 
</pre>
  
−
Nun könnte man dovecot mit  
+
und anzeigen mit nachfolgenden Befehl
 +
 
 
<pre>
 
<pre>
−
service dovecot start
+
dknewkey -p -d afdb.de -e
 +
DKIM TXT record for afdb.de with selector=default file /var/qmail/control/domainkeys/afdb.de/default.pub
 +
default._domainkey.afdb.de. IN TXT ("v=DKIM1; k=rsa; t=y; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAuXnfA8SYIXOy+ZwKTTmHHOtnFbD9kte9pQNUYAMsFnHC5s64b1ZQwPfhtGa+8rVUm3+cu3ugMcVH5DqJuIWU+o7CJhVMYFLCfm49vxB44xyYLn+yPSge8hqxTz91yn9CqydZDT0s4pQp8nnOBs8VJIndxnFztIRSFKcVhshwpB8aeKJyb+m3sdReYkin" "dimQHKRqS3M4sf4dly/l0i/66jmljNCsvaaTLw6BJAWGSKsokiKWWws2buNxAI2+nYUVnOGHyjeUxpn1J0f4eDoxTQ9YSBPIj9RFYEhuIck5MkoL3Mzv7OBHRs/6wPsu40eqhqrgQLbJ0O8QY9U1A/283QIDAQAB")
 +
-rw-r--r--. 1 root qmail 458  3. Jan 12:42 /var/qmail/control/domainkeys/afdb.de/default.pub
 +
-rw-r-----. 1 root qmail 1704  3. Jan 12:42 /var/qmail/control/domainkeys/afdb.de/default
 +
------------------------------------------------------
 
</pre>
 
</pre>
−
starten, aber da '''sieve''' noch nicht installiert ist, würde man nur Fehler sehen.
 
  
−
=====SSL-Zertifikat=====
+
Im DNS der Domain (hier afdb.sw) muss dann noch folgenden TXT Eintrag hinterlegt werden.
−
Um das SSL-zertifikat für den IMAP-Server dovecot zu erzeugen, wechselt man in das Quell-Verzeichnis und passt dort die Datei '''dovecat-openssl.cnf''' entsprechend an.
 
−
<pre>
 
−
cd /var/src/dovecot-2.2.13/doc
 
−
vi dovecot-openssl.cnf
 
−
</pre>
 
  
−
Anschließend passt man den Pfad im Skript '''mkcert.sh''' entsprechend an:
 
 
<pre>
 
<pre>
−
vi mkcert.sh
+
default._domainkey.afdb.de. IN TXT ("v=DKIM1; k=rsa;  p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAuXnfA8SYIXOy+ZwKTTmHHOtnFbD9kte9pQNUYAMsFnHC5s64b1ZQwPfhtGa+8rVUm3+cu3ugMcVH5DqJuIWU+o7CJhVMYFLCfm49vxB44xyYLn+yPSge8hqxTz91yn9CqydZDT0s4pQp8nnOBs8VJIndxnFztIRSFKcVhshwpB8aeKJyb+m3sdReYkin" "dimQHKRqS3M4sf4dly/l0i/66jmljNCsvaaTLw6BJAWGSKsokiKWWws2buNxAI2+nYUVnOGHyjeUxpn1J0f4eDoxTQ9YSBPIj9RFYEhuIck5MkoL3Mzv7OBHRs/6wPsu40eqhqrgQLbJ0O8QY9U1A/283QIDAQAB")
−
alt:
 
−
SSLDIR=${SSLDIR-/etc/ssl}
 
−
neu:
 
−
SSLDIR=${SSLDIR-/etc/pki/dovecot}
 
 
</pre>
 
</pre>
  
−
erzeugt die benötigten Verzeichnisse
+
Anschließend kommentiert man im Skript '''/var/qmail/rc''' die Zeile '''#DKIM_ON=1''' aus.
−
<pre>
 
−
mkdir -p /etc/pki/dovecot/certs
 
−
mkdir -p /etc/pki/dovecot/private
 
−
</pre>
 
  
−
und führt anschließend das Skript aus:
 
 
<pre>
 
<pre>
−
sh mkcert.sh
+
#!/bin/sh
−
</pre>
 
  
−
Sollte man bereits im SSLDIR-Pfad Zertifikate für dovecot liegen haben, so sollte man diese vorher woanders hin kopieren oder löschen.
+
QMAILDIR=/var/qmail
  
−
=====logrotate=====
+
# Comment out DKIM_ON=1 to disable dkim sign at qmail-remote level
−
Logrotate konfigurieren
+
# You have to define your variables in control/filterargs (DKIM page for more info)
 +
# echo "*:remote:/var/qmail/bin/qmail-dkim:DKIMQUEUE=/bin/cat,DKIMSIGN=/var/qmail/control/domainkeys/%/default,DKIMSIGNOPTIONS=-z 2" > /var/qmail/control/filterargs
 +
 
 +
DKIM_ON=1
 +
 
 +
if [ -r $QMAILDIR/control/filterargs ] &&<feff><200b> [ -n "$DKIM_ON" ]; then
 +
  exec env - PATH="$QMAILDIR/bin:$PATH" \
 +
  QMAILREMOTE=$QMAILDIR/bin/spawn-filter \
 +
  qmail-start "`cat $QMAILDIR/control/defaultdelivery`"
 +
else
 +
  # Use this if you are signing at qmail-smtpd level or you don't want to sign at all
 +
  exec env - PATH="$QMAILDIR/bin:$PATH" \
 +
  qmail-start "`cat $QMAILDIR/control/defaultdelivery`"
 +
fi
 +
</pre>
 +
 
 +
und danach erzeugt man die Datei '''control/filterargs'''
  
 
<pre>
 
<pre>
−
cat > /etc/logrotate.d/dovecot << EOF
+
echo "*:remote:/var/qmail/bin/qmail-dkim:DKIMQUEUE=/bin/cat,DKIMSIGN=/var/qmail/control/domainkeys/%/default,DKIMSIGNOPTIONS=-z 2" > /var/qmail/control/filterargs
−
/var/log/dovecot/*.log {
 
−
  missingok
 
−
  notifempty
 
−
  delaycompress
 
−
  sharedscripts
 
−
  postrotate
 
−
    doveadm log reopen
 
−
  endscript
 
−
}
 
−
EOF
 
 
</pre>
 
</pre>
−
=====TEST=====
+
 
−
Um sich mal die einstellungen von Dovecot anzuschauen, ist das Tool '''doveconf''' gut geeignet.
+
Normalerweise muss man nun noch das '''qmail-smtpd run script''' anpassen, aber das ist bei uns schon vorkonfiguriert.
 +
 
 +
==Dovecot==
 +
Als Alternative zu Courier-IMAP kann man auch dovecot installiseren.
 +
 
 +
=== Installation ===
 +
 
 
<pre>
 
<pre>
−
doveconf|more
+
DOVECOT_VER=2.3.21.1
 +
cd /usr/local/src
 +
wget https://www.dovecot.org/releases/2.3/dovecot-${DOVECOT_VER}.tar.gz
 +
tar xzf dovecot-${DOVECOT_VER}.tar.gz
 +
chown -R root.root dovecot-${DOVECOT_VER}
 +
cd dovecot-${DOVECOT_VER}
  
 +
./configure \
 +
        --prefix=/usr/local/dovecot \
 +
        --with-sql \
 +
        --with-mysql \
 +
        --with-docs \
 +
        --with-ssl \
 +
        --without-shadow \
 +
        --without-pam \
 +
        --without-ldap \
 +
        --without-pgsql \
 +
        --without-sqlite \
 +
        --with-solr \
 +
        --with-systemd systemdsystemunitdir=/lib/systemd/system
 
</pre>
 
</pre>
  
−
====Pigeonhole Sieve====
+
und kompilieren und installieren
−
Nur für dovecot
 
 
<pre>
 
<pre>
−
cd /var/src/tar
 
−
wget http://pigeonhole.dovecot.org/releases/2.2/dovecot-2.2-pigeonhole-0.4.3.tar.gz
 
−
cd /var/src/
 
−
tar xzpf tar/dovecot-2.2-pigeonhole-0.4.3.tar.gz
 
−
cd dovecot-2.2-pigeonhole-0.4.3
 
−
# the program has to find the dovecot-config file in/usr/local/dovecot/lib/dovecot/
 
−
./configure --prefix=/usr/local/dovecot-2-2-pigeonhole --with-dovecot=/usr/local/dovecot/lib/dovecot/
 
 
make
 
make
 
make install
 
make install
 +
 
</pre>
 
</pre>
  
−
# Konfigurationen kopieren
+
==== Pigeonhole für Dovecot ====
 
<pre>
 
<pre>
−
cp /usr/local/dovecot/share/doc/dovecot/example-config/conf.d/20-managesieve.conf /etc/dovecot/conf.d/
+
PIGEONHOLE_VER=0.5.21.1
−
cp /usr/local/dovecot/share/doc/dovecot/example-config/conf.d/90-sieve.conf /etc/dovecot/conf.d/
+
cd /usr/local/src
 +
wget https://pigeonhole.dovecot.org/releases/2.3/dovecot-2.3-pigeonhole-${PIGEONHOLE_VER}.tar.gz
 +
tar xvzpf dovecot-2.3-pigeonhole-${PIGEONHOLE_VER}.tar.gz
 +
cd dovecot-2.3-pigeonhole-${PIGEONHOLE_VER}
 +
./configure --prefix=/usr/local/dovecot-2-3-pigeonhole --with-dovecot=/usr/local/dovecot/lib/dovecot/
 +
make
 +
make install
 +
 
 +
cd /usr/local
 +
ln -s /usr/local/dovecot-pigeonhole-2.3-pigeonhole /usr/local/dovecot-pigeonhole
 
</pre>
 
</pre>
  
−
und anschließend kann man dann Dovecot endgültig starten
+
===Konfiguration===
 +
 
 +
====Benutzer und Gruppen ====
 +
 
 +
Die Genutzer und Gruppen RHEL-Konform anlegen
 
<pre>
 
<pre>
−
service dovecot start
+
groupadd --gid 97 dovecot
−
</pre>
+
groupadd --gid 988 dovenull
  
−
===autorespond===
+
useradd -g dovecot --uid 97 dovecot
 +
useradd -g dovenull --uid 991 dovenull
  
−
<pre>
+
mkdir -p /var/log/dovecot
−
cd /var/src
+
touch /var/log/dovecot/dovecot.log
−
tar -xzf tar/autorespond-2.0.4.tar.gz
+
chgrp vchkpw /var/log/dovecot/dovecot.log
−
cd autorespond-2.0.4
+
chmod 660 /var/log/dovecot/dovecot.log
−
patch -p1 < ../tar/autorespond-2.0.4-2.0.5.patch
 
−
make
 
−
make install
 
 
</pre>
 
</pre>
  
−
===ezmlm-idx===
+
====Konfigurationsdateien kopieren ====
−
 
+
und Standardkonformen Verlinkung einrichten
−
Ezmlm kann mit oder ohne MySQL-Unterstützung gebaut werden, man kann sich nun entscheiden. Bei der MySQL-Unterstützung werden Mailinglisten in einer MySQL-Datenbank gespeichert.
 
−
 
 
−
:* http://cr.yp.to/ezmlm.html
 
−
:* http://www.ezmlm.org
 
−
 
 
−
====ezmlm-idx OHNE MySQL-Unterstützung====
 
−
 
 
 
<pre>
 
<pre>
−
cd /var/src
+
cd /etc
−
tar -xzf tar/ezmlm-0.53.tar.gz
+
ln -s /usr/local/dovecot/etc/dovecot
−
tar -xzf tar/ezmlm-idx-0.443.tar.gz
 
−
mv -f ezmlm-idx-0.443/* ezmlm-0.53/
 
−
cd ezmlm-0.53
 
−
patch -p0 < idx.patch
 
−
make
 
 
</pre>
 
</pre>
  
−
Möchte man das EZMLM z.B. deutsche Texte enthält, führt man an dieser Stelle folgenden Befehl aus:
 
 
<pre>
 
<pre>
−
make de
+
cd /etc/dovecot
 +
cp -rp /usr/local/dovecot/share/doc/dovecot/example-config/* .
 
</pre>
 
</pre>
  
 +
Sieve Konfigurationsdateien
 
<pre>
 
<pre>
−
make setup
+
cd /etc/dovecot/conf.d
−
</pre>
+
cp /usr/local/dovecot/share/doc/dovecot/example-config/conf.d/20-managesieve.conf .
 +
cp /usr/local/dovecot/share/doc/dovecot/example-config/conf.d/90-sieve.conf .
 +
</pre>
  
−
====ezmlm-idx MIT MySQL-Unterstützung====
 
  
−
Das Paket ''mysql-devel'' muss installiert sein:
+
und '''/etc/profile''' anpassen
 
<pre>
 
<pre>
−
yum install mysql-devel
+
echo "export PATH=\$PATH:/usr/local/dovecot/bin" >> /etc/profile
 +
echo "export MANPATH=\$MANPATH:/usr/local/dovecot/share/man" >> /etc/profile
 
</pre>
 
</pre>
  
−
<pre>
+
==== Ordner und Dateien für local.conf ====
−
cd /var/src
+
 
−
tar -xzf tar/ezmlm-0.53.tar.gz
+
'''Achtung:'''
−
tar -xzf tar/ezmlm-idx-0.443.tar.gz
 
−
mv -f ezmlm-idx-0.443/* ezmlm-0.53/
 
−
cd ezmlm-0.53
 
−
patch -p0 < idx.patch
 
−
</pre>
 
  
−
Die Datei <code>conf-sub</code> editieren und <code>std</code> gegen <code>mysql</code> austauschen:
+
81.169.197.241 ist die aktuelle IP des Mailservers und muss dann evtl. im Nachfolgenden ausgetauscht werden.
 
<pre>
 
<pre>
−
mysql
+
cat > /etc/dovecot/dovecot-sql.conf.ext << __EOT__
 +
driver = mysql
 +
connect = host=localhost dbname=vpopmail user=vpopmail password=VPop2024
 +
default_pass_scheme = SHA512-CRYPT
  
−
Choose a subscription database support. Available supports are:
+
password_query = \
−
* std    (Default) filesystem
 
−
* mysql  MySQL database
 
−
* pgsql  Postgres database
 
−
</pre>
 
  
−
Die Datei <code>sub_mysql/conf-sqlld</code> editieren:
+
SELECT \
−
<pre>
+
CONCAT(vpopmail.pw_name, '@', vpopmail.pw_domain) AS user, \
−
# Diese Zeile:
+
  vpopmail.pw_passwd AS password, \
−
-L/usr/lib/mysql -lmysqlclient -lnsl -lm
+
                vpopmail.pw_dir AS userdb_home, \
 +
                89 AS userdb_uid, \
 +
                89 AS userdb_gid, \
 +
                CONCAT('*:bytes=', REPLACE(SUBSTRING_INDEX(vpopmail.pw_shell, 'S', 1), 'NOQUOTA', '0')) AS userdb_quota_rule \
 +
FROM vpopmail \
 +
LEFT JOIN aliasdomains ON aliasdomains.alias='%d' \
 +
                LEFT JOIN limits ON limits.domain='%d' \
 +
WHERE \
 +
vpopmail.pw_name='%n' \
 +
AND \
 +
(vpopmail.pw_domain='%d' OR vpopmail.pw_domain=aliasdomains.domain) \
 +
                AND \
 +
                ('%a'!='995' OR !(vpopmail.pw_gid & 2)) \
 +
                AND \
 +
                ('%r'!='81.169.197.241' OR !(vpopmail.pw_gid & 4)) \
 +
                AND \
 +
                ('%r'='81.169.197.241' OR '%a'!='993' OR !(vpopmail.pw_gid & 8)) \
 +
                AND \
 +
                ('%r'!='81.169.197.241' OR COALESCE(disable_webmail,0)!=1) \
 +
                AND \
 +
                ('%r'='81.169.197.241' OR COALESCE(disable_imap,0)!=1)
  
−
# gegen diese tauschen:
+
−
-L/usr/lib/mysql -lmysqlclient -lz
+
user_query = \
−
# 64bit
+
  SELECT \
−
-L/usr/lib64/mysql -lmysqlclient -lz
+
      vpopmail.pw_dir AS home, \
−
</pre>
+
      89 AS uid, \
 +
      89 AS gid \
 +
  FROM vpopmail \
 +
  WHERE \
 +
      vpopmail.pw_name='%n' \
 +
      AND \
 +
      vpopmail.pw_domain='%d'
  
 +
iterate_query = SELECT CONCAT(pw_name,'@',pw_domain) AS user FROM vpopmail
 +
__EOT__
  
−
Kompilieren und Installieren:
+
chmod go-wrx /etc/dovecot/dovecot-sql.conf.ext
−
<pre>
 
−
make
 
 
</pre>
 
</pre>
  
−
Möchte man das EZMLM z.B. deutsche Texte enthält, führt man an dieser Stelle folgenden Befehl aus:
+
Create the run folder:
 
<pre>
 
<pre>
−
make de
+
ln -s /var /usr/local/dovecot/var
 +
mkdir -p /usr/local/dovecot/var/run/dovecot
 
</pre>
 
</pre>
  
 +
# erzeuge besseren DH Key
 
<pre>
 
<pre>
−
make setup
+
openssl dhparam -out /usr/local/dovecot/etc/dh.pem 4096
 
</pre>
 
</pre>
  
−
==WICHTIGE Konfigurationen==
+
====local.conf====
 +
Da in der Standard-Konfiurationsdatei dovecot.conf am Ende die Zeile
 +
!include_try local.conf
 +
steht, werden alle Anpassungen nun in der Datei '''local.conf''' gemacht.
 +
Die entsprechenden Zeilen sollten in den angegebenen Dateien im Verzeichnis '''conf.d''' auskommentiert werden.
  
−
===POP3S / stunnel fixen===
 
−
 
−
Das Supervise-Run-Script von Bill Shupp für den POP3 SSL-Dienst kommt nicht mit ''stunnel'' Versionen >4 zurecht, da sich der Aufruf von ''stunnel'' verändert hat. Dieses sollte spätestens beim ausführlichen Funktionstest auffallen. Die verwendete Version von ''stunnel'' kann wie folgt überprüft werden:
 
 
<pre>
 
<pre>
−
# stunnel -version
+
cd /etc/dovecot
−
stunnel 4.08 on i386-redhat-linux-gnu PTHREAD+POLL+IPv4+LIBWRAP with OpenSSL 0.9.7f 22 Mar 2005
+
cat > local.conf << __EOF__
−
(...)
+
#--------------------------------------------------------
−
</pre>
+
# dovecot.conf
 +
#--------------------------------------------------------
 +
protocols = imap pop3 sieve
 +
listen=127.0.0.1,81.169.197.241
 +
base_dir = /var/run/dovecot/
 +
state_dir = /var/lib/dovecot
  
−
Wenn der POP3S-Dienst nicht funktioniert, findet man in <code>/var/log/qmail/pop3ds/current</code> entsprechende Fehlermeldungen:
+
#--------------------------------------------------------
−
<pre>
+
# auth-sql.conf.ext
−
2006-03-27 11:37:52.805674500 tcpserver: status: 1/40
+
# ------------------------------------------------------
−
2006-03-27 11:37:52.806051500 tcpserver: pid 30432 from 84.133.222.79
+
passdb {
−
2006-03-27 11:37:52.806091500 tcpserver: ok 30432 0:212.68.65.193:995 :84.133.222.79::34515
+
  driver = sql
−
2006-03-27 11:37:52.813089500 2006.03.27 11:37:52 LOG3[30432:3085924032]: -f: No such file or directory (2)
+
  args = /etc/dovecot/dovecot-sql.conf.ext
−
2006-03-27 11:37:52.813108500
+
}
−
2006-03-27 11:37:52.813122500 Syntax:
 
−
2006-03-27 11:37:52.813136500 stunnel [<filename>] | -fd <n> | -help | -version | -sockets
 
−
2006-03-27 11:37:52.813151500    <filename>  - use specified config file instead of /etc/stunnel/stunnel.conf
 
−
2006-03-27 11:37:52.813167500    -fd <n>    - read the config file from a file descriptor
 
−
2006-03-27 11:37:52.813182500    -help      - get config file help
 
−
2006-03-27 11:37:52.813252500    -version    - display version and defaults
 
−
2006-03-27 11:37:52.813267500    -sockets    - display default socket options
 
−
2006-03-27 11:37:52.813307500 tcpserver: end 30432 status 256
 
−
2006-03-27 11:37:52.813322500 tcpserver: status: 0/40
 
−
</pre>
 
  
−
Damit der POP3S-Dienst wie gewünscht funktioniert, sind einige Anpassungen nötig.
+
userdb {
 +
  driver = prefetch
 +
}
  
−
====stunnel Konfigurationsdatei anlegen====
+
userdb {
 +
  driver = sql
 +
  args = /etc/dovecot/dovecot-sql.conf.ext
 +
}
  
−
Ab Version 4 benötigt ''stunnel'' eine eigene Konfigurationsdatei. Mit <code>vi /var/qmail/supervise/qmail-pop3ds/stunnel.conf</code> eine Datei mit folgendem Inhalt anlegen. Der Hostname <code>web1.braunschweig-lions.de</code> ist dabei mit dem entsprechenden Hostnamen des Servers zu ersetzen. Siehe auch [[Qmail-Toaster auf Fedora Core Linux#DNS prüfen]]
 
−
<pre>
 
−
# stunnel configuration for pop3s
 
−
# last update: 2006-03-27 Dirk Schlueter
 
  
−
foreground = yes
+
#--------------------------------------------------------
−
cert = /var/qmail/control/servercert.pem
+
# 10.auth.conf
−
exec = /var/qmail/bin/qmail-popup
+
#--------------------------------------------------------
−
execargs = /var/qmail/bin/qmail-popup web1.braunschweig-lions.de /home/vpopmail/bin/vchkpw /var/qmail/bin/qmail-pop3d Maildir
+
disable_plaintext_auth = no
−
</pre>
+
auth_mechanisms = plain login # the sql drivers requires that the pwd is transmitted with no encryption
  
−
====POP3S Supervise-Run-Script anpassen====
 
  
−
Mit <code>vi /var/qmail/supervise/qmail-pop3ds/run</code> öffnen und folgende Änderungen vornehmen:
+
#--------------------------------------------------------
−
 
+
# 10-ssl.conf
−
'''ORIGINAL:'''
+
#--------------------------------------------------------
−
<pre>
+
ssl=yes
−
#!/bin/sh
+
ssl_cert = </etc/letsencrypt/live/mail.schlicker.org/fullchain.pem
 +
ssl_key = </etc/letsencrypt/live/mail.schlicker.org/privkey.pem
 +
ssl_cipher_list = DHE-RSA-AES256-SHA:DHE-RSA-AES128 SHA:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!CBC:!PSK:!SRP:!DSS:!SSLv2:!RC4
 +
ssl_dh = </usr/local/dovecot/etc/dh.pem
  
−
VPOPMAILUID=`id -u vpopmail`
+
#--------------------------------------------------------
−
VPOPMAILGID=`id -g vpopmail`
+
# 10-logging.conf
 +
#--------------------------------------------------------
 +
log_path = /var/log/dovecot/dovecot.log
 +
login_log_format_elements = "user=<%u> method=%m rip=%r lip=%l mpid=%e %c %k"
  
−
exec /usr/local/bin/tcpserver -l 0 -R -H -v                              \
+
#--------------------------------------------------------
−
        -u"$VPOPMAILUID" -g"$VPOPMAILGID" 0 995                        \
+
# 10-mail.conf
−
        /usr/sbin/stunnel -f -p /var/qmail/control/servercert.pem        \
+
#--------------------------------------------------------
−
            -l /var/qmail/bin/qmail-popup -- qmail-popup `hostname`  \
+
mail_uid = 89
−
        /home/vpopmail/bin/vchkpw /var/qmail/bin/qmail-pop3d Maildir 2>&1
+
mail_gid = 89
−
</pre>
+
first_valid_uid = 89
 +
last_valid_uid = 89
 +
first_valid_gid = 89
 +
last_valid_gid = 89
 +
mail_plugins = $mail_plugins quota zlib
  
−
'''GEÄNDERTE VERSION:'''
+
#--------------------------------------------------------
−
<pre>
+
# 10-master.conf
−
#!/bin/sh
+
#--------------------------------------------------------
 +
default_login_user = vpopmail
 +
default_internal_user = vpopmail
  
−
VPOPMAILUID=`id -u vpopmail`
+
service auth {
−
VPOPMAILGID=`id -g vpopmail`
+
  unix_listener auth-userdb {
 +
    mode = 0600
 +
    user = vpopmail
 +
    group = vchkpw
 +
  }
 +
}
 +
service stats {
 +
    unix_listener stats-reader {
 +
    user = vpopmail
 +
    group = vchkpw
 +
    mode = 0660
 +
  }
 +
  unix_listener stats-writer {
 +
    user = vpopmail
 +
    group = vchkpw
 +
    mode = 0660
 +
  }
 +
}
  
−
exec /usr/local/bin/tcpserver -l 0 -R -H -v                              \
+
#--------------------------------------------------------
−
        -u"$VPOPMAILUID" -g"$VPOPMAILGID" 0 995                        \
+
# 15-lda.conf
−
        /usr/sbin/stunnel /var/qmail/supervise/qmail-pop3ds/stunnel.conf 2>&1
+
#--------------------------------------------------------
−
</pre>
+
postmaster_address = postmaster@afdb.de
 +
hostname = mail.afdb.de
 +
# the next two to auto create folders
 +
lda_mailbox_autocreate = yes
 +
lda_mailbox_autosubscribe = yes
  
−
Wie man sieht wurden die letzten drei Zeilen modifiziert, da die Konfigurations von ''stunnel'' ja nun über die neue Konfiguratiosdatei erledigt wird.
+
submission_host = 85.214.138.131:25
  
−
====Neustart und Funktionstest====
+
protocol lda {
 +
  # Space separated list of plugins to load (default is global mail_plugins).
 +
  mail_plugins = $mail_plugins sieve quota autocreate
 +
}
  
−
Nun muss der Dienst neu gestartet werden und dann POP3S richtig funktionieren:
+
#--------------------------------------------------------
−
<pre>
+
# 15-mailboxes.conf
−
# vpopmailctl restart
+
#--------------------------------------------------------
−
Stopping qmail-pop3d:
+
namespace inbox {
−
* Stopping qmail-pop3d.
+
  mailbox Drafts {
−
Stopping qmail-pop3ds:
+
    special_use = \Drafts
−
* Restarting qmail-pop3d.
+
    auto = subscribe
−
* Restarting qmail-pop3ds.
+
  }
−
</pre>
+
  mailbox Junk {
 +
    special_use = \Junk
 +
    auto = subscribe
 +
    autoexpunge = 30d
 +
  }
 +
  mailbox Trash {
 +
    special_use = \Trash
 +
    auto = subscribe
 +
    autoexpunge = 60d
 +
  }
 +
}
  
−
Nun sollte das Logfile ungefähr so aussehen und die POP3S-Verbindung geklappt haben:
+
#--------------------------------------------------------
−
<pre>
+
# 20-imap.conf
−
# tail -f /var/log/qmail/pop3ds/current | /usr/local/bin/tai64nlocal
+
#--------------------------------------------------------
 +
mail_max_userip_connections = 40
 +
protocol imap {
 +
  mail_plugins = $mail_plugins imap_zlib
 +
}
  
−
2006-03-27 12:00:31.094113500 tcpserver: status: 1/40
+
#--------------------------------------------------------
−
2006-03-27 12:00:31.094133500 tcpserver: pid 30917 from 84.133.222.79
+
# 20-pop3.conf
−
2006-03-27 12:00:31.094147500 tcpserver: ok 30917 0:212.68.65.193:995 :84.133.222.79::50608
+
#--------------------------------------------------------
−
2006-03-27 12:00:31.100415500 2006.03.27 12:00:31 LOG5[30917:3086091968]: stunnel 4.08 on i386-redhat-linux-gnu
+
protocol pop3 {
−
PTHREAD+POLL+IPv4+LIBWRAP with OpenSSL 0.9.7f 22 Mar 2005
+
  mail_plugins = $mail_plugins quota
−
2006-03-27 12:00:31.110836500 2006.03.27 12:00:31 LOG5[30917:3086091968]: stunnel connected from 84.133.222.79:50608
+
}
−
2006-03-27 12:00:31.528218500 2006.03.27 12:00:31 LOG5[30917:3086091968]: Connection closed: 83 bytes sent to SSL, 12 bytes sent to
+
service pop3-login {
−
socket
+
  inet_listener pop3 {
−
2006-03-27 12:00:31.528240500 tcpserver: end 30917 status 0
+
    port = 110
−
2006-03-27 12:00:31.528254500 tcpserver: status: 0/40
+
  }
−
</pre>
+
  inet_listener pop3s {
−
 
+
    port = 995
−
=Funktionstest=
+
    ssl = yes
−
 
+
  }
−
==DNS-Konfiguration==
+
}
−
 
+
#--------------------------------------------------------
−
Um einen vollständigen Test des Qmail-Toasters durchzuführen, muss eine entsprechende DNS-Konfiguration vorgenommen werden. Z.b. eine Subdomain einer vorhandenen Domain auf diesen neu eingerichteten Server zeigen lassen. Also Demonstration soll hier eine Subdomain ''test.braunschweig-lions.de'' angelegt werden. Die E-Mail Domain/Adressen haben dann das Format ''account@test.braunschweig-lions.de''. Dieses ermöglicht es Mails im Internet zu versenden und zu empfangen.
+
# 90-plugin.conf
 +
#--------------------------------------------------------
 +
plugin {
 +
  autocreate = Sent
 +
  autocreate2 = Drafts
 +
  autocreate3 = Junk
 +
  autocreate4 = Trash
 +
  autocreate5 = Spam
 +
  autosubscripe = Sent
 +
  autosubscripe2 = Drafts
 +
  autosubscripe3 = Junk
 +
  autosubscripe4 = Trash
 +
  autosubscripe5 = Spam
 +
  zlib_save_level = 6
 +
  zlib_save = gz
 +
}
  
−
Dazu fügt man in der entsprechenden DNS-Zone einen Subdomain-Eintrag plus MX hinzu, beim MX-Eintrag ist darauf zu achten das es ein FQDN sein muss.
+
#--------------------------------------------------------
 +
# 90-quota.conf
 +
#--------------------------------------------------------
 +
#quota = maildir:User quota
  
−
<pre>
 
−
(...)
 
−
; eigener MX zum testen fuer test.braunschweig-lions.de
 
−
test            IN A            212.68.65.193
 
−
                IN MX 10        www.braunschweig-lions.de.
 
−
(...)
 
−
</pre>
 
  
−
Nach dem der BIND die Änderungen übernommen hat, sollte man die korrekte DNS-Konfiguration von einem anderen Rechner aus testen:
+
#--------------------------------------------------------
−
<pre>
+
# 90-sieve.conf
−
[dirk@wizard ~]$ dig test.braunschweig-lions.de mx
+
#--------------------------------------------------------
 +
sieve_extensions = +spamtest +spamtestplus +relational +comparator-i;ascii-numeric
 +
sieve_before = /etc/dovecot/sieve
  
−
; <<>> DiG 9.3.1 <<>> test.braunschweig-lions.de mx
 
−
;; global options:  printcmd
 
−
;; Got answer:
 
−
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 61797
 
−
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 3, ADDITIONAL: 1
 
  
−
;; QUESTION SECTION:
+
#--------------------------------------------------------
−
;test.braunschweig-lions.de.    IN      MX
+
# auth-vpopmail.conf
 +
#--------------------------------------------------------
 +
passdb {
 +
  driver = vpopmail
 +
}
  
−
;; ANSWER SECTION:
+
userdb {
−
test.braunschweig-lions.de. 86400 IN    MX      10 www.braunschweig-lions.de.
+
  driver = vpopmail
 +
  args = quota_template=quota_rule=*:backend=%q
 +
}
  
−
;; AUTHORITY SECTION:
 
−
braunschweig-lions.de.  86400  IN      NS      ns3.bcc.de.
 
−
braunschweig-lions.de.  86400  IN      NS      ns.braunschweig-lions.de.
 
−
braunschweig-lions.de.  86400  IN      NS      ns2.bcc.de.
 
  
−
;; ADDITIONAL SECTION:
+
__EOF__
−
www.braunschweig-lions.de. 86400 IN    A      212.68.65.193
+
</pre>
  
−
;; Query time: 299 msec
+
Anschließend '''postmaster_address''' und '''hostname''' entsprechend anpassen.
−
;; SERVER: 192.168.201.1#53(192.168.201.1)
 
−
;; WHEN: Mon Mar 27 10:43:16 2006
 
−
;; MSG SIZE  rcvd: 137
 
−
</pre>
 
  
−
Wichtig ist auch der korrekte DNS-Reverse-Lookup, da viele andere Mailserver aus Spam-Schutz-Gründen diesen Check beim Empfang einer Mail durchführen:
+
====10-auth.conf====
 +
Hier wird am Ende folgendes gemacht:
 
<pre>
 
<pre>
−
[dirk@wizard ~]$ dig -x 212.68.65.193
+
#!include auth-system.conf.ext
 +
#!include auth-sql.conf.ext
 +
#!include auth-ldap.conf.ext
 +
#!include auth-passwdfile.conf.ext
 +
#!include auth-checkpassword.conf.ext
 +
#!include auth-vpopmail.conf.ext
 +
</pre>
 +
Also auth-system wird deaktiviert!
  
−
; <<>> DiG 9.3.1 <<>> -x 212.68.65.193
 
−
;; global options:  printcmd
 
−
;; Got answer:
 
−
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 11072
 
−
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 2
 
  
−
;; QUESTION SECTION:
+
====10-ssl.conf====
−
;193.65.68.212.in-addr.arpa.    IN      PTR
+
hier die Pfade zu den Zertifikaten auskommentieren, stehen nun in local.conf
−
 
+
<pre>
−
;; ANSWER SECTION:
+
#ssl_cert = </etc/ssl/certs/dovecot.pem
−
193.65.68.212.in-addr.arpa. 86400 IN    PTR    www.braunschweig-lions.de.
+
#ssl_key = </etc/ssl/private/dovecot.pem
−
 
 
−
;; AUTHORITY SECTION:
 
−
65.68.212.in-addr.arpa. 86400  IN      NS      ns2.bcc.de.
 
−
65.68.212.in-addr.arpa. 86400  IN      NS      ns3.bcc.de.
 
−
65.68.212.in-addr.arpa. 86400  IN      NS      ns4.bcc.de.
 
−
65.68.212.in-addr.arpa. 86400  IN      NS      rns.bcc-ip.net.
 
−
 
 
−
;; ADDITIONAL SECTION:
 
−
ns2.bcc.de.            86370  IN      A      212.68.65.2
 
−
ns3.bcc.de.            86370  IN      A      212.68.88.12
 
−
 
 
−
;; Query time: 642 msec
 
−
;; SERVER: 192.168.201.1#53(192.168.201.1)
 
−
;; WHEN: Mon Mar 27 10:43:46 2006
 
−
;; MSG SIZE  rcvd: 201
 
 
</pre>
 
</pre>
  
−
==SSL-Connection==
+
===Logdatei und logrotate===
−
Um die Verschlüsselung bei den einzelnen Protokollen zu testen, kann man folgende Befehle aufrufen.
 
  
−
===POP3S===
+
Logdatei anlegen
 
<pre>
 
<pre>
−
# for pop:
+
mkdir -p /var/log/dovecot
−
openssl s_client -connect localhost:995
+
touch /var/log/dovecot/dovecot.log
 +
chgrp vchkpw /var/log/dovecot/dovecot.log
 +
chmod 660 /var/log/dovecot/dovecot.log
 
</pre>
 
</pre>
  
−
===IMAPSSL===
+
Logrotate konfigurieren
 
<pre>
 
<pre>
−
openssl s_client -connect localhost:993
+
cat > /etc/logrotate.d/dovecot << __EOF__
 +
/var/log/dovecot/*.log {
 +
  missingok
 +
  notifempty
 +
  delaycompress
 +
  sharedscripts
 +
  postrotate
 +
    doveadm log reopen
 +
  endscript
 +
}
 +
__EOF__
 
</pre>
 
</pre>
  
−
===SMTP/TLS (STARTTLS)===
+
 
 +
===Pidgeon Sieve anpassen===
 +
 
 +
Info: http://tools.ietf.org/html/rfc5235 - http://wiki2.dovecot.org/Pigeonhole/Sieve/Examples
 +
 
 +
Zuerst ein neuen Ordner für globale Sieve-Regeln anlegen
 
<pre>
 
<pre>
−
openssl s_client -crlf -starttls smtp -connect localhost:25
+
cd /etc/dovecot/
 +
mkdir sieve
 +
chown -R vpopmail.vchkpw sieve
 
</pre>
 
</pre>
  
−
oder bei korrekten Port 465
+
Erste Regel-Datei anlegen, erkannte SPAMs in den JUNK Ordner verschieben.
 
<pre>
 
<pre>
−
openssl s_client -crlf -starttls smtp -connect localhost:465
+
cat > /etc/dovecot/sieve/move-spam.sieve << __EOF__
 +
require ["fileinto"];
 +
if anyof (header :contains "X-Spam-Flag" "YES")
 +
{
 +
fileinto "Junk";
 +
}
 +
/* Other messages get filed into INBOX */
 +
__EOF__
 
</pre>
 
</pre>
  
−
====Fehlermeldungen====
+
und anschließend als User vpopmail die Regeln compilieren
 
<pre>
 
<pre>
−
CONNECTED(00000768)
+
su vpopmail
−
11128:error:140770FC:SSL routines:SSL23_GET_SERVER_HELLO:unknown protocol:.\ssl\s23_clnt.c:583:
+
cd /etc/dovecot/sieve
 +
/usr/local/dovecot-2-3-pigeonhole/bin/sievec .
 
</pre>
 
</pre>
−
Diese Fehler tritt auf, wenn die Rechte des Server-Zertifikats '''/var/qmail/control/servercert.pem''' nicht korrekt sind.
 
−
 
−
==Virtuelle Mail-Domain mit vpopmail anlegen==
 
  
 +
===Einstellungen überprüfen===
 +
Um sich mal die Einstellungen von Dovecot anzuschauen, ist das Tool '''doveconf''' gut geeignet.
 
<pre>
 
<pre>
−
# /home/vpopmail/bin/vadddomain test.braunschweig-lions.de
+
doveconf|more
−
Please enter password for postmaster:
 
−
enter password again:
 
 
</pre>
 
</pre>
  
−
Nun ist die Test-Domain in vpopmail angelegt, was man auch nochmal leicht überprüfen kann:
 
−
<pre>
 
−
# /home/vpopmail/bin/vdominfo test.braunschweig-lions.de
 
−
domain: test.braunschweig-lions.de
 
−
uid:    89
 
−
gid:    89
 
−
dir:    /home/vpopmail/domains/test.braunschweig-lions.de
 
−
users:  1
 
−
</pre>
 
  
−
==Test-Mailaccount anlegen==
 
  
 +
===Start Dovecot===
 +
und anschließend kann man dann Dovecot endgültig starten
 
<pre>
 
<pre>
−
# /home/vpopmail/bin/vadduser dirk@test.braunschweig-lions.de
+
systemctl enable dovecot
−
Please enter password for dirk@test.braunschweig-lions.de:
+
systemctl start dovecot
−
enter password again:
 
 
</pre>
 
</pre>
  
−
==Mailaccount/Mailserver testen==
+
===Indizierung (Apache SOLR) ===
 +
 
 +
Solr is a Lucene indexing server. Dovecot communicates to it using HTTP/XML queries. With this indexing server, you can do text searches in your emails.
  
−
Nun kann mit einem Mailprogramm die Funktion getestet werden, folgende Daten sind dabei in diesem Beispiel als Mail-Konto einzutragen:
+
==== Voraussetzung Java ====
  
 
<pre>
 
<pre>
−
Posteingangsserver (POP3/IMAP/PO3S/IMAPS): test.braunschweig-lions.de
+
dnf install -y java-latest-openjdk.x86_64
−
Postausgangsserver (SMTP)                : test.braunschweig-lions.de
 
−
 
 
−
Benutzername (POP/IMAP/SMTP-AUTH)        : dirk@test.braunschweig-lions.de (Volle E-Mail Adresse)
 
−
Kennwort                                : (wie oben festgelegt)
 
 
</pre>
 
</pre>
  
−
Folgende Core-Tests sollten durchgeführt werden:
+
Test
 +
<pre>
 +
java -version
 +
openjdk version "23.0.1" 2024-10-15
 +
OpenJDK Runtime Environment (Red_Hat-23.0.1.0.11-1) (build 23.0.1+11)
 +
OpenJDK 64-Bit Server VM (Red_Hat-23.0.1.0.11-1) (build 23.0.1+11, mixed mode, sharing)
 +
</pre>
 +
 
 +
==== Installation ====
 +
<pre>
 +
cd /usr/local/src
 +
SOLR_VER=9.5.0
 +
wget https://www.apache.org/dyn/closer.lua/solr/solr/${SOLR_VER}/solr-${SOLR_VER}.tgz?action=download -O solr-${SOLR_VER}.tgz
 +
tar xzf solr-${SOLR_VER}.tgz
 +
solr-${SOLR_VER}/bin/install_solr_service.sh --strip-components=2
 +
bash ./install_solr_service.sh solr-${SOLR_VER}.tgz -f -n
 +
</pre>
 +
 
 +
Der letzte Aufruf erzeugt einige Fehler, weil wir hier auf einem systemd-System sind, daher nach Abbruch des Skripts ein paar manuelle Anpassungen
  
−
:* E-Mail von extern an die neue Test-Adresse versenden (dirk@test.braunschweig-lions.de)
+
<pre>
−
:* E-Mail von der Test-Adresse an externen Empfänger versenden, z.B. web.de, link-innovation.de etc.
+
cat > /etc/systemd/system/solr.service << __EOF__
−
:* Die Protokolle POP3, IMAP und SMTP mit und ohne SSL testen
+
[Unit]
−
:* Die verschiendenen Authentifizierungen (PLAIN, CRAM-MD5...)
+
Description=Apache SOLR
−
:* SMTP after POP und SMTP mit Authentifizierung testen
 
  
−
:* Server erneut auf offenes Relay überprüfen
+
[Service]
−
  z.B. mit http://www.abuse.net/relay.html
+
Type=forking
 +
User=solr
 +
Environment=SOLR_INCLUDE=/etc/default/solr.in.sh
 +
ExecStart=/opt/solr/bin/solr start
 +
ExecStop=/opt/solr/bin/solr stop
 +
Restart=on-failure
 +
LimitNOFILE=65000
 +
LimitNPROC=65000
 +
TimeoutSec=180s
  
−
Eine Liste der Features die man überprüfen sollte findet sich hier:
+
[Install]
−
:* http://www.shupp.org/toaster/#what
+
WantedBy=multi-user.target
 +
__EOF__
 +
</pre>
  
−
==qmail-Logfiles beobachten==
+
==== Konfiguration ====
  
−
Hier einige Beispiele wie die Logfiles aussehen sollten.
+
Standard Konfiguration anpassen
  
−
Logfile beim Empfang einer Mail von Extern:
 
 
<pre>
 
<pre>
−
# tail -f /var/log/qmail/current | /usr/local/bin/tai64nlocal
+
cat >> /etc/default/solr.in.sh << __EOF__
 +
SOLR_TIMEZONE="Europe/Berlin"
 +
SOLR_IP_ALLOWLIST="127.0.0.1"
 +
SOLR_SECURITY_MANAGER_ENABLED=true
 +
SOLR_OPTS="$SOLR_OPTS -Dsolr.allowUrls=http://localhost:8983"
 +
__EOF__
 +
</pre>
  
−
2006-03-27 07:50:05.411625500 delivery 41: success: 213.252.153.34_accepted_message./Remote_host_said:_250_ok_1143438605_qp_17747/
+
System Limits anpassen
−
2006-03-27 07:50:05.411645500 status: local 0/10 remote 0/20
 
−
2006-03-27 07:50:05.411659500 end msg 24841888
 
−
2006-03-27 11:06:24.341015500 new msg 24841546
 
−
2006-03-27 11:06:24.341032500 info msg 24841546: bytes 23170 from <schlueter@link-innovation.de> qp 29734 uid 89
 
−
2006-03-27 11:06:24.354516500 starting delivery 42: msg 24841546 to local
 
−
test.braunschweig-lions.de-Dirk@test.braunschweig-lions.de
 
−
2006-03-27 11:06:24.354539500 status: local 1/10 remote 0/20
 
−
2006-03-27 11:06:24.424492500 delivery 42: success: did_0+0+1/
 
−
2006-03-27 11:06:24.424510500 status: local 0/10 remote 0/20
 
−
2006-03-27 11:06:24.424525500 end msg 24841546
 
−
</pre>
 
  
−
Logfile beim Antworten auf die eben erhaltene Mail:
 
 
<pre>
 
<pre>
−
# tail -f /var/log/qmail/current | /usr/local/bin/tai64nlocal
+
cat > /etc/security/limits.d/90-solr.conf << __EOF__
−
 
+
solr    soft    nofile  65536
−
2006-03-27 11:08:03.335850500 new msg 24841546
+
solr    soft    nproc  65536
−
2006-03-27 11:08:03.335868500 info msg 24841546: bytes 775 from <dirk@test.braunschweig-lions.de> qp 29760 uid 89
+
solr    hard    nofile  65536
−
2006-03-27 11:08:03.347383500 starting delivery 43: msg 24841546 to remote schlueter@link-innovation.de
+
solr    hard    nproc  65536
−
2006-03-27 11:08:03.347401500 status: local 0/10 remote 1/20
+
__EOF__
−
2006-03-27 11:08:05.383630500 delivery 43: success: 82.165.29.69_accepted_message./Remote_host_said:_250_ok_1143450485_qp_21646/
 
−
2006-03-27 11:08:05.383649500 status: local 0/10 remote 0/20
 
−
2006-03-27 11:08:05.383664500 end msg 24841546
 
 
</pre>
 
</pre>
  
−
Den Timestamp kann man zu einem lesbaren Text umwandeln, indem man die Ausgabe durch <code>/usr/local/bin/tai64nlocal</code> "piped", wie oben zu sehen. In <code>/var/log/qmail/smtpd/current</code> kann man den SMTP-Server beobachten.:
+
==== Starten ====
 
<pre>
 
<pre>
−
2006-03-27 11:06:23.935394500 tcpserver: status: 1/20
+
systemctl daemon-reload
−
2006-03-27 11:06:23.935803500 tcpserver: pid 29733 from 82.165.29.69
+
systemctl enable solr.service
−
2006-03-27 11:06:23.936001500 tcpserver: ok 29733 0:212.68.65.193:25 :82.165.29.69::60367
+
systemctl start solr.service
−
2006-03-27 11:06:24.248395500 CHKUSER accepted rcpt: from <schlueter@link-innovation.de::> remote
+
systemctl status -l solr
−
<mail.link-innovation.de:unknown:82.165.29.69> rcpt <Dirk@test.braunschweig-lions.de> : found existing recipient
 
−
2006-03-27 11:06:24.355042500 tcpserver: end 29733 status 0
 
−
2006-03-27 11:06:24.355062500 tcpserver: status: 0/20
 
−
2006-03-27 11:08:02.845987500 tcpserver: status: 1/20
 
−
2006-03-27 11:08:02.846409500 tcpserver: pid 29759 from 84.133.222.79
 
−
2006-03-27 11:08:02.846623500 tcpserver: ok 29759 0:212.68.65.193:25 :84.133.222.79::49670
 
−
2006-03-27 11:08:03.048873500 CHKUSER relaying rcpt: from <dirk@test.braunschweig-lions.de::> remote
 
−
<wizard.home.all:unknown:84.133.222.79> rcpt <schlueter@link-innovation.de> : client allowed to relay
 
−
2006-03-27 11:08:03.580541500 tcpserver: end 29759 status 0
 
−
2006-03-27 11:08:03.580559500 tcpserver: status: 0/20
 
 
</pre>
 
</pre>
  
−
So ungefähr wie oben gezeigt sehen die Log-Einträge aus, wenn alles korrekt eingerichtet wurde. Man sollte mit und ohne Mail-Anhänge testen und kann dabei folgende Logfiles ansehen:
 
  
−
:* <code>/var/log/qmail/*</code>
+
==== Dovecot Anpassungen ====
−
:* <code>/var/log/maillog</code>
 
  
−
=Optionales=
+
SOLR muss laufen um die Grundanpassungen für dovecot vorzunehmen
  
−
==Spam- und Virenfilter mit SpamAssassin und ClamAV==
 
−
 
−
'''ACHTUNG:''' Zur Zeit gibt es unterschiede in den ClamAV-Paketen bei Fedora Core 4 '''i386''' und '''x86_64'''. Zur Zeit (2006-03-27) sind daher unterschiedliche Schritte bei der Installation/Konfiguration nötig. Daher bitte die Architektur beachten. Welche Architektur Installiert ist, kann man mit <code>arch</code> abfragen. <code>cat /etc/issue</code> gibt Informationen zum Betriebssystem aus.
 
−
 
−
In der heutigen Zeit macht es Sinn einen Mailserver mit Software zur Spam- und Virenabwehr auszurüsten. Die qmail-Quellen von Bill Shupp enthalten bereits den dazu nötigen QMAILQUEUE-Patch, der es erlaubt innerhalb der Mail-Queue einzugreifen.
 
−
 
−
Siehe dazu auch:
 
−
 
−
:* [http://www.nrg4u.com/qmail/the-big-qmail-picture-103-a4.pdf The big qmail picture (PDF)]
 
−
 
−
===Installation der nötigen RPM-Pakete===
 
−
 
−
'''i386'''
 
 
<pre>
 
<pre>
−
yum install clamav clamd clamav-db spamassassin perl-suidperl pcre-devel pcre
+
sudo -u solr /opt/solr/bin/solr create -c dovecot
 
</pre>
 
</pre>
  
−
'''X86_64''' (Hinweis in der Einleitung beachten)
 
 
<pre>
 
<pre>
−
yum install spamassassin clamav clamd clamav-db  perl-suidperl pcre pcre-devel
+
cd /var/solr/data/dovecot/conf
 +
rm -f schema.xml managed-schema.xml solrconfig.xml
 +
wget https://notes.sagredo.eu/files/qmail/solr/9.5/solr-schema-9.5.0.xml -O schema.xml
 +
wget https://notes.sagredo.eu/files/qmail/solr/9.5/solrconfig-9.5.0.xml -O solrconfig.xml
 +
chown solr:solr solrconfig.xml schema.xml
 
</pre>
 
</pre>
  
−
===SpamAssassin===
+
anschließend die Datei '''/etc/dovecot/local.conf''' anpassen
  
−
Starten und für den Systemstart konfigurieren:
 
 
<pre>
 
<pre>
−
/etc/init.d/spamassassin start
+
vim /etc/dovecot/local.conf
−
chkconfig spamassassin on
+
...
−
</pre>
+
#--------------------------------------------------------
 +
# 10-mail.conf
 +
#--------------------------------------------------------
 +
...
 +
mail_plugins =  $mail_plugins quota zlib fts fts_solr
 +
..
 +
#--------------------------------------------------------
 +
# 90-plugin.conf
 +
#--------------------------------------------------------
 +
plugin {
 +
...
 +
  # solr
 +
  fts = solr
 +
  fts_solr = url=http://localhost:8983/solr/dovecot/
 +
..
 +
}
 +
</pre>
  
−
====PLUGINS====
+
==== Control panel setup ====
  
−
=====RelayCountry=====
+
===== virtuellen Host anlegen =====
−
SpamAssassin bringt ein Plugin namens RelayCountry mit, mit welchem es möglich wird, die Länder der einzelnen SMTP Relays anhand der GeoIP Information zu bestimmen. Dies dient zum einen der Bayes-Datenbank. Sie bekommt also zusätzliche Informationen und wird künftig selbständig lernen, aus welchen Ländern viel Spam kommt.
 
  
 
<pre>
 
<pre>
−
yum install geoipupdate-cron geoipupdate-cron6 geoipupdate php-pecl-geoip GeoIP-GeoLite-data-extra GeoIP-GeoLite-data
+
cat > /etc/httpd/cond.d/solr.afdb.de.conf << __EOF__
−
</pre>
+
<VirtualHost 81.169.197.241:443>
 +
#-------------------------------------------------------------------------
 +
# solr.afdb.de
 +
#
 +
# webmaster        : webmaster@schlicker.org
 +
# betreiber [email] : karl
 +
# angelegt [von]    : 2024-10-06 [karl]
 +
# gruppe            : wwwgrp01
 +
#
 +
#-------------------------------------------------------------------------
 +
 
 +
#  General setup for the virtual host
 +
DocumentRoot /www/solr.afdb.de/www
 +
ServerName solr.afdb.de
 +
ServerAlias solr.afdb.de
 +
ServerAdmin karl@schlicker.org
 +
 
 +
CustomLog /www/solr.afdb.de/logs/access.log combined
 +
ErrorLog  /www/solr.afdb.de/logs/error.log
 +
 
 +
SSLEngine on
 +
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
 +
SSLCipherSuite "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH EDH+aRSA !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS !RC4"
 +
SSLHonorCipherOrder on
 +
SSLCompression      off
 +
SSLSessionTickets  off
 +
 
 +
SSLCertificateFile /etc/letsencrypt/live/solr.afdb.de/cert.pem
 +
SSLCertificateKeyFile /etc/letsencrypt/live/solr.afdb.de/privkey.pem
 +
SSLCertificateChainFile /etc/letsencrypt/live/solr.afdb.de/fullchain.pem
 +
 
 +
SetEnvIf User-Agent ".*MSIE.*" nokeepalive ssl-unclean-shutdown downgrade-1.0 force-response-1.0
 +
Header always set Strict-Transport-Security "max-age=15768000; includeSubDomains; preload"
 +
 
 +
DirectoryIndex index.html index.php
 +
 
 +
<Directory "/www/mail.afdb.de/www/">
 +
  Require all granted
 +
  RewriteEngine On
 +
</Directory>
 +
 
 +
SSLProxyEngine On
 +
ProxyRequests Off
 +
ProxyPass        / http://localhost:8983/
 +
ProxyPassReverse / http://localhost:8983/
  
−
Danach sollten unter folgende Verzeichnis die GeoIP-DBs enthalten sein
+
</VirtualHost>
−
<pre>
+
__EOF__
−
cd /usr/share/GeoIP/
 
−
ls -l
 
−
insgesamt 49004
 
−
lrwxrwxrwx 1 root root      16  5. Feb 09:00 GeoIPASNum.dat -> GeoLiteASNum.dat
 
−
-rw-r--r-- 1 root root  5042249 17. Jan 13:24 GeoIPASNumv6.dat
 
−
lrwxrwxrwx 1 root root      15  5. Feb 09:00 GeoIPCity.dat -> GeoLiteCity.dat
 
−
lrwxrwxrwx 1 root root      17  5. Feb 09:00 GeoIPCityv6.dat -> GeoLiteCityv6.dat
 
−
lrwxrwxrwx 1 root root      18 15. Mai 2015  GeoIP.dat -> GeoLiteCountry.dat
 
−
-rw-r--r-- 1 root root  1931941 17. Jan 13:23 GeoIPv6.dat
 
−
-rw-r--r-- 1 root root  4397606 16. Apr 12:05 GeoLiteASNum.dat
 
−
lrwxrwxrwx 1 root root      16  5. Feb 09:00 GeoLiteASNumv6.dat -> GeoIPASNumv6.dat
 
−
-rw-r--r-- 1 root root 19061442 16. Apr 12:05 GeoLiteCity.dat
 
−
-rw-r--r-- 1 root root 18649442 17. Jan 13:26 GeoLiteCityv6.dat
 
−
-rw-r--r-- 1 root root  1082230 16. Apr 12:05 GeoLiteCountry.dat
 
 
</pre>
 
</pre>
  
−
Anschließend fügt man folgende Zeile in die Datei */etc/mail/spamassassin/init.pre* ein:
+
===== SOLR absichern =====
 
<pre>
 
<pre>
−
loadplugin Mail::SpamAssassin::Plugin::RelayCountry
+
cat > /var/solr/data/security.json << __EOF__
 +
{
 +
"authentication":{
 +
"blockUnknown": true,
 +
"class":"solr.BasicAuthPlugin",
 +
"credentials":{"solr":"IV0EHq1OnNrj6gvRCwvFwTrZ1+z1oBbnQdiVC3otuq0= Ndd7LKvVBAaZIF0QAVi1ekCfAJXr1GGfLtRUXhgrF8c="},
 +
"realm":"My Solr users",
 +
"forwardCredentials": false
 +
},
 +
"authorization":{
 +
"class":"solr.RuleBasedAuthorizationPlugin",
 +
"permissions":[{"name":"security-edit","role":"admin"}],
 +
"user-role":{"solr":"admin"}
 +
},
 +
"auditlogging":{
 +
"class": "solr.SolrLogAuditLoggerPlugin",
 +
"async": true,
 +
"blockAsync" : false,
 +
"numThreads" : 2,
 +
"queueSize" : 4096,
 +
"eventTypes": ["REJECTED", "ANONYMOUS_REJECTED", "UNAUTHORIZED", "COMPLETED", "ERROR"]
 +
}
 +
}
 +
__EOF__
 +
 
 +
chown solr:solr /var/solr/data/security.json
 +
chmod o-r /var/solr/data/security.json
 +
 
 +
systemctl restart solr
 
</pre>
 
</pre>
  
−
und legt unter */etc/mail/spamassassin/ eine Konfigurationsdatei namens *RelayCountry.cf* mit folgenden Inhalt an:
+
Anschließend kann sich über '''https://solr.afdb.de''' anmelden, und die Anpassungen machen und einen User '''dovecot''' wie gezeigt konfigurieren.
 +
 
 +
[[Datei:Solr control panel.png|1200px]]
 +
 
 +
zum Schluß in der Daeit '''/etc/dovecot/local.conf''' die SOLR Einstellungen anpassen
 +
 
 
<pre>
 
<pre>
−
ifplugin Mail::SpamAssassin::Plugin::RelayCountry
+
vim /etc/dovecot/local.conf
−
add_header all Relay-Country _RELAYCOUNTRY_
+
..
−
header RELAYCOUNTRY_BAD X-Relay-Countries =~ /(CN|RU|UA|RO|VN)/
+
#--------------------------------------------------------
−
describe RELAYCOUNTRY_BAD Relayed through spammy country at some point
+
# 90-plugin.conf
−
score RELAYCOUNTRY_BAD 2.0
+
#--------------------------------------------------------
−
+
plugin {
−
header RELAYCOUNTRY_GOOD X-Relay-Countries =~ /^(DE|AT|CH)/
+
...
−
describe RELAYCOUNTRY_GOOD First untrusted GW is DE, AT or CH
+
  # solr
−
score RELAYCOUNTRY_GOOD -0.5
+
  fts = solr
−
endif # Mail::SpamAssassin::Plugin::RelayCountry
+
  fts_solr = url=http://dovecot:4Dovecot2024!@localhost:8983/solr/dovecot/
 +
..
 +
}
 +
 
 +
systemctl restart dovecot
 
</pre>
 
</pre>
  
−
Anschließend führt man folgende Befehle aus:
+
==== Test ====
 
<pre>
 
<pre>
−
sa-update
+
telnet 0 143
−
service spamassassin restart
+
Trying 0.0.0.0...
 +
Connected to 0.
 +
Escape character is '^]'.
 +
* OK [CAPABILITY IMAP4rev1 SASL-IR LOGIN-REFERRALS ID ENABLE IDLE LITERAL+ STARTTLS AUTH=PLAIN AUTH=LOGIN] Dovecot ready.
 +
a login postmaster@afdb.de 4Postmaster2024!
 +
a OK [CAPABILITY IMAP4rev1 SASL-IR LOGIN-REFERRALS ID ENABLE IDLE SORT SORT=DISPLAY THREAD=REFERENCES THREAD=REFS THREAD=ORDEREDSUBJECT MULTIAPPEND URL-PARTIAL CATENATE UNSELECT CHILDREN NAMESPACE UIDPLUS LIST-EXTENDED I18NLEVEL=1 CONDSTORE QRESYNC ESEARCH ESORT SEARCHRES WITHIN CONTEXT=SEARCH LIST-STATUS BINARY MOVE SNIPPET=FUZZY PREVIEW=FUZZY PREVIEW STATUS=SIZE SAVEDATE LITERAL+ NOTIFY SPECIAL-USE COMPRESS=DEFLATE] Logged in
 +
a select Inbox
 +
* FLAGS (\Answered \Flagged \Deleted \Seen \Draft)
 +
* OK [PERMANENTFLAGS (\Answered \Flagged \Deleted \Seen \Draft \*)] Flags permitted.
 +
* 9 EXISTS
 +
* 0 RECENT
 +
* OK [UNSEEN 1] First unseen.
 +
* OK [UIDVALIDITY 1730639884] UIDs valid
 +
* OK [UIDNEXT 42] Predicted next UID
 +
* OK [HIGHESTMODSEQ 19] Highest
 +
a OK [READ-WRITE] Select completed (0.001 + 0.000 secs).
 +
a SEARCH text "Dovecot"
 +
* SEARCH
 +
a OK Search completed (0.002 + 0.000 + 0.001 secs).
 +
a logout
 +
* BYE Logging out
 +
a OK Logout completed (0.001 + 0.000 secs).
 +
Connection closed by foreign host.
 
</pre>
 
</pre>
  
−
====Probleme====
+
===Automatischen Löschen (expunge) ===
−
Häufig hilft es, bevor man lange nach der Fehlerursache im Qmail-Scanner zu suchen, einfach zuerst Spamassassin upzudaten.
+
 
 +
Skript für das automatische löschen anlegen
 
<pre>
 
<pre>
−
sa-update
+
cd /usr/local/dovecot/bin/
−
/etc/init.d/spamassassin restart
+
wget https://notes.sagredo.eu/files/qmail/dovecot_expunge/dovecot_expunge-cb
 +
mv dovecot_expunge-cb dovecot_expunge.sh
 +
chmod +x /usr/local/dovecot/bin/dovecot_expunge.sh
 
</pre>
 
</pre>
−
Meisten tritt so ein Problem auf, wenn eine neue Version vom Spamassassin oder eine neue Version von CentOS vorliegt
 
  
−
====trainieren====
+
und Cronjob definieren
−
Das Programm verwendet eine integrierte Bayes-Datenbank, um Textphrasen zu klassifizieren und zu bewerten. Damit das Ganze funktioniert, muss diese Datenbank zunächst trainiert werden.
 
−
Für das „Training“ sind eine Menge Mails notwendig. Um genug Spam Mails zu bekommen, habe ich das aktuellste Monatsarchiv von http://untroubled.org/spam/ verwendet.
 
 
<pre>
 
<pre>
−
cd /usr/local/src/
+
cat > /etc/cron.d/dovecot_expunge << __EOF__
−
wget http://untroubled.org/spam/2017-04.7z
+
# Dovecot expunge (Trash und Junk leeren)
−
7za x 2017-04.7z
+
40 3 * * Sun /usr/local/dovecot/bin/dovecot_expunge.sh >> /var/log/dovecot/dovecot_expunge.log 2>&1
−
sa-learn --dbpath /home/qscand/.spamassassin/ --progress --spam /usr/local/src/2017/04
+
__EOF__
−
sa-learn --sync
 
 
</pre>
 
</pre>
  
−
===ClamAV konfigurieren===
+
=Funktionstest=
  
−
Der Benutzer/die Gruppe qscand müssen bereits angelegt sein, siehe auch Qmail-Scanner Installation.
+
==DNS-Konfiguration==
−
<pre>
 
−
groupadd qscand
 
−
useradd -c "Qmail-Scanner Account" -g qscand -d /home/qscand -s /bin/false qscand
 
−
</pre>
 
  
−
Mit <code>vi /etc/group</code> editieren und den Benutzer ''clamav'' in die Benutzer-Gruppe ''qscand'' aufnehmen. Beispiel:
 
−
<pre>
 
−
(...)
 
−
qscand:x:510:clamav
 
−
</pre>
 
  
−
Den clamd-Benutzer einstellen. Mit <code>vi /etc/clamd.conf</code> die Konfigurationsdatei öffen und folgende Änderung vornehmen:
+
Nach dem der BIND die Änderungen übernommen hat, sollte man die korrekte DNS-Konfiguration von einem anderen Rechner aus testen:
 
<pre>
 
<pre>
−
# Run as a selected user (clamd must be started by root).
+
[ktsadmin@truhe ~]$ dig afdb.de mx
−
# Default: disabled
 
−
#User clamav
 
−
User qscand
 
−
</pre>
 
  
−
Berechtigungen setzen, clamd starten und für den Systemstart konfigurieren:
+
; <<>> DiG 9.11.25-RedHat-9.11.25-2.fc33 <<>> afdb.de mx
−
<pre>
+
;; global options: +cmd
−
chown -R qscand /var/run/clamav
+
;; Got answer:
−
chown -R qscand /var/log/clamav
+
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 42743
−
chown -R qscand /var/clamav/
+
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
−
/etc/init.d/clamd start
 
−
chkconfig clamd on
 
−
</pre>
 
  
−
Prüfen ob clamd wirklich als Benutzer ''qscand'' gestartet wurde, das vermeidet spätere Probleme:
+
;; OPT PSEUDOSECTION:
−
<pre>
+
; EDNS: version: 0, flags:; udp: 65494
−
ps waux|grep clamd
+
;; QUESTION SECTION:
−
qscand    1689  0.0  1.0  14248 10344 ?        Ss  14:24  0:00 clamd
+
;afdb.de. IN MX
−
root      1703  0.0  0.0  3784  768 pts/1    S+  14:25  0:00 grep clamd
 
−
</pre>
 
  
−
====Freshclam====
+
;; ANSWER SECTION:
−
Mit '''freshclam''' werden die Virensignaturen aktualisiert.
+
afdb.de. 86400 IN MX 10 mail.afdb.de.
 +
afdb.de. 86400 IN MX 40 old.afdb.de.
  
−
Mit <code>vi /etc/freshclam.conf</code> die Konfigurationsdatei öffen und folgende Änderung vornehmen:
+
;; Query time: 24 msec
−
<pre>
+
;; SERVER: 127.0.0.53#53(127.0.0.53)
−
# Comment or remove the line below.
+
;; WHEN: Di Dez 29 14:57:50 CET 2020
−
Example
+
;; MSG SIZE  rcvd: 77
−
#Example
 
−
....
 
−
# Uncomment the following line and replace XY with your country
 
−
# code. See http://www.iana.org/cctld/cctld-whois.htm for the full list.
 
−
# Default: There is no default, which results in an error when running freshclam
 
−
#DatabaseMirror db.XY.clamav.net
 
−
DatabaseMirror db.DE.clamav.net
 
  
−
# Send the RELOAD command to clamd.
 
−
# Default: disabled
 
−
#NotifyClamd
 
−
NotifyClamd
 
−
 
−
# By default when started freshclam drops privileges and switches to the
 
−
# "clamav" user. This directive allows you to change the database owner.
 
−
# Default: clamav (may depend on installation options)
 
−
#DatabaseOwner clamav
 
−
DatabaseOwner qscand
 
 
</pre>
 
</pre>
  
−
und dann einmal die Datenbank manuell aktualisieren.
+
Anschließend die IP-Addresse des Mailservers feststellen
 
<pre>
 
<pre>
−
# freshclam
+
ktsadmin@truhe ~]$ dig mail.afdb.de
−
ClamAV update process started at Mon Mar 27 14:26:28 2006
 
−
main.cvd is up to date (version: 36, sigs: 44686, f-level: 7, builder: tkojm)
 
−
daily.cvd is up to date (version: 1357, sigs: 2495, f-level: 7, builder: sven)
 
−
</pre>
 
  
−
====Clamav updaten====
+
; <<>> DiG 9.11.25-RedHat-9.11.25-2.fc33 <<>> mail.afdb.de
−
Nach einem Update von Clamav sollte man überprüfen, ob der Benutzer noch '''qscand''' auf der Datei '''/usr/sbin/clamd.qscand''' ist, ansonsten den Benutzer auf '''qscand''' setzten (s.o.).
+
;; global options: +cmd
−
Gleiches gilt für die Verzeichnisse '''/var/run/clamav''' und '''/var/log/clamd.qscand'''.
+
;; Got answer:
−
<pre>
+
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 3256
−
chown qscand /usr/sbin/clamd*
+
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
−
chown qscand /var/clam*
 
−
chown qscand /var/run/clam*
 
−
chown -R qscand /var/log/clamav/
 
−
chown -R qscand /var/lib/clamav/
 
  
−
/etc/init.d/clamd restart
+
;; OPT PSEUDOSECTION:
−
freshclam -v
+
; EDNS: version: 0, flags:; udp: 65494
−
</pre>
+
;; QUESTION SECTION:
 +
;mail.afdb.de. IN A
  
−
'''WICHTIG''':
+
;; ANSWER SECTION:
 +
mail.afdb.de. 5566 IN A 85.214.138.131
  
−
Anscheinend hat sich ab Version 0.9 die Konfigurationsdatei geändert. Jetzt muss hinter jeden Parameter immer ein '''yes''' oder ein '''no''' folgen.
+
;; Query time: 0 msec
 +
;; SERVER: 127.0.0.53#53(127.0.0.53)
 +
;; WHEN: Di Dez 29 14:59:20 CET 2020
 +
;; MSG SIZE  rcvd: 57
  
−
Beispiel:
 
−
 
−
'''vor Version 0.9'''
 
−
<pre>
 
−
ScanMail
 
 
</pre>
 
</pre>
  
−
'''ab Version 0.9'''
+
Wichtig ist auch der korrekte DNS-Reverse-Lookup, da viele andere Mailserver aus Spam-Schutz-Gründen diesen Check beim Empfang einer Mail durchführen:
 
<pre>
 
<pre>
−
ScanMail yes
+
dig -x 85.214.138.131
−
</pre>
 
  
−
Ansonsten startet der Clamav-Daemon nicht.
+
; <<>> DiG 9.11.20-RedHat-9.11.20-5.el8 <<>> -x 85.214.138.131
 +
;; global options: +cmd
 +
;; Got answer:
 +
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 4278
 +
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
  
−
====WICHTIG: Logrotate für ClamAV auf den qscand-User anpassen====
+
;; OPT PSEUDOSECTION:
 +
; EDNS: version: 0, flags:; udp: 4096
 +
; COOKIE: 78173c5c83c23f47f7e89df15feb45ba1306ae8d8730e6f4 (good)
 +
;; QUESTION SECTION:
 +
;131.138.214.85.in-addr.arpa. IN PTR
  
−
Wenn Logrotate die Logfiles in <code>/var/log/clamav</code> rotiert, hat der User "qscand", unter dem ClamAV läuft, keine Berechtigung mehr. Clamd startet nicht korrekt und freshclam kann kein Update mehr einspielen.  
+
;; ANSWER SECTION:
−
 
+
131.138.214.85.in-addr.arpa. 1800 IN PTR mail.afdb.de.
−
Für die Anpassung folgende Änderungen vornehmen:
 
  
−
Mit <code>vi /etc/logrotate.d/clamav</code> die Konfigurationsdatei öffnen und die Zeile <code>create</code> entsprechend anpassen:
+
;; Query time: 1 msec
−
<pre>
+
;; SERVER: 81.169.163.106#53(81.169.163.106)
−
/var/log/clamav/clamd.log {
+
;; WHEN: Di Dez 29 16:05:30 CET 2020
−
    missingok
+
;; MSG SIZE  rcvd: 110
−
    notifempty
 
−
    create 664 qscand clamav
 
−
    postrotate
 
−
        killall -HUP clamd 2>/dev/null || :
 
−
    endscript
 
−
}
 
−
</pre>
 
  
  
−
Mit <code>vi /etc/logrotate.d/freshclam</code> die Konfigurationsdatei öffnen und die Zeile <code>create</code> entsprechend anpassen:
 
−
<pre>
 
−
/var/log/clamav/freshclam.log {
 
−
    missingok
 
−
    notifempty
 
−
    create 664 qscand clamav
 
−
}
 
 
</pre>
 
</pre>
  
−
====WICHTIG: Berechtigungen anpassen, auch nach jedem ClamAV Update nötig!====
+
==SSL-Connection==
 +
Um die Verschlüsselung bei den einzelnen Protokollen zu testen, kann man folgende Befehle aufrufen.
  
 +
===POP3S===
 
<pre>
 
<pre>
−
chown -R qscand /var/clamav/ /var/log/clamav/ /var/run/clamav/
+
# for pop:
−
chmod -R g+w /var/clamav/ /var/log/clamav/ /var/run/clamav/
+
openssl s_client -connect localhost:995
 
</pre>
 
</pre>
  
−
ClamAV Neustarten und mit freshclam testen ob ein Update klappt.
+
===IMAPSSL===
−
 
 
 
<pre>
 
<pre>
−
service clamd restart
+
openssl s_client -connect localhost:993
−
freshclam
 
 
</pre>
 
</pre>
  
−
In der Datei <code>/var/spool/qscan/qmail-queue.log</code> kann zudem beim Eingang einer Mail überprüft wurden, ob ClamAV korrekt die Anhänge überprüft. Dieses sollte dann so aussehen, wenn eine Mail mit Anhang eingeht:
+
===SMTP/TLS (STARTTLS)===
 
<pre>
 
<pre>
−
Wed, 03 Sep 2008 09:53:36 CEST:22725: clamdscan: finished scan in 0.033611 secs
+
openssl s_client -crlf -starttls smtp -connect localhost:587
 
</pre>
 
</pre>
  
−
===Qmail-Scanner (Salvatore Toribio Patch Version) installieren===
+
==Virtuelle Mail-Domain mit vpopmail anlegen==
  
−
User anlegen, falls noch nicht vorhanden:
 
 
<pre>
 
<pre>
−
groupadd qscand
+
# /home/vpopmail/bin/vadddomain afdb.de
−
useradd -c "Qmail-Scanner Account" -g qscand -d /home/qscand -s /bin/false qscand
+
Please enter password for postmaster:
 +
enter password again:
 
</pre>
 
</pre>
  
−
====Abhängigkeit: maildrop installieren====
+
Nun ist die Test-Domain in vpopmail angelegt, was man auch nochmal leicht überprüfen kann:
−
 
 
−
Der Qmail-Scanner benötigt ''reformime'' aus dem ''maildrop'' Paket.
 
−
 
 
−
Hier '''immer''' nach der aktuellsten Version von ''maildrop'' schauen und diese benutzen. Entsprechend den wget-Befehl anpassen!
 
−
:* http://prdownloads.sourceforge.net/courier
 
 
<pre>
 
<pre>
−
cd /var/src/
+
# /home/vpopmail/bin/vdominfo afdb.de
−
mkdir maildrop
+
domain: afdb.de
−
cd maildrop/
+
uid:    89
 +
gid:    89
 +
dir:    /home/vpopmail/domains/afdb.de
 +
users:  1
 +
</pre>
  
−
Immer nach aktuellster Version schauen (siehe oben)
+
==Test-Mailaccount anlegen==
  
−
wget http://downloads.sourceforge.net/project/courier/maildrop/2.7.1/maildrop-2.7.1.tar.bz2
+
<pre>
−
tar xjf maildrop-2.7.1.tar.bz2
+
# /home/vpopmail/bin/vadduser dirk@test.braunschweig-lions.de
−
cd maildrop-2.7.1/
+
Please enter password for dirk@test.braunschweig-lions.de:
−
 
+
enter password again:
−
./configure
 
−
make
 
−
make install-strip
 
−
make install-man
 
 
</pre>
 
</pre>
  
−
====Qmail-Scanner konfigurieren und installieren====
+
==Mailaccount/Mailserver testen==
  
−
'''Hinweis:''' Auch beim Qmail-Scanner immer nach der aktuellsten Version schauen!
+
Nun kann mit einem Mailprogramm die Funktion getestet werden, folgende Daten sind dabei in diesem Beispiel als Mail-Konto einzutragen:
  
−
:* http://toribio.apollinare.org/qmail-scanner/
 
 
<pre>
 
<pre>
−
cd /var/src/
+
Posteingangsserver (POP3/IMAP/PO3S/IMAPS): mail.afdb.de
−
mkdir qmail-scanner
+
Postausgangsserver (SMTP)                : mail.afdb.de
−
cd qmail-scanner
 
−
</pre>
 
  
−
<pre>
+
Benutzername (POP/IMAP/SMTP-AUTH)        : postmaster@afdb.de (Volle E-Mail Adresse)
−
wget http://toribio.apollinare.org/qmail-scanner/download/q-s-2.11st-20130319.tgz
+
Kennwort                                : (wie oben festgelegt)
−
tar xvzpf q-s-2.11st-20130319.tgz
 
−
cd qmail-scanner-2.11st
 
 
</pre>
 
</pre>
  
−
Nun muss der Qmail-Scanner konfiguriert werden. Folgende Optionen haben sich bewährt.
+
Folgende Core-Tests sollten durchgeführt werden:
  
−
Die Optionen:
+
:* E-Mail von extern an die neue Test-Adresse versenden (dirk@test.braunschweig-lions.de)
−
:* --domain braunschweig-lions.de
+
:* E-Mail von der Test-Adresse an externen Empfänger versenden, z.B. web.de, link-innovation.de etc.
−
:* --admin-fromname "Braunschweig Lions Postmaster"
+
:* Die Protokolle POP3, IMAP und SMTP mit und ohne SSL testen
−
:* --local-domains braunschweig-lions.de
+
:* Die verschiendenen Authentifizierungen (PLAIN, CRAM-MD5...)
 +
:* SMTP after POP und SMTP mit Authentifizierung testen
  
−
müssen entsprechend der Installation angepasst werden.
+
=Erweiterungen=
  
−
<pre>
+
Den Qmail-Toaster um zusätzliche Erweiterungen und Funkionen bzgl. SPAM-Prävention und Viren-Überprüfung erweitern.
−
./configure --qs-user qscand --qs-group qscand --spooldir /var/spool/qscan --qmaildir /var/qmail --bindir /var/qmail/bin
+
 
−
--qmail-queue-binary /var/qmail/bin/qmail-queue  --admin alert --domain mailx.link-innovation.com --admin-fromname "Link Innovation
+
== Letsencrypt Zertifikate einbauen ==
−
Postmaster" --notify sender,nmlvadm,precips --local-domains mailx.link-innovation.com --silent-viruses auto --virus-to-delete 1
+
 
−
--skip-text-msgs 1 --lang de_DE --debug 0 --minidebug 1 --add-dscr-hdrs 0 --dscr-hdrs-text "X-Qmail-Scanner" --archive 0 
+
Als erstes beantragt man ein Zertifikat für den Mailserver (mail.afdb.de) bei Letencrypt, wie [[Letsencrypt|hier]] beschrieben
−
--settings-per-domain 1 --unzip 0 --max-zip-size 1000000000 --max-unpacked-files 10000 --redundant 1 --log-details syslog --log-crypto 0
+
 
−
--fix-mime 2  --ignore-eol-check 1 --sa-subject "SPAM ***" --sa-delta 0.5 --sa-alt 1 --sa-debug 1 --sa-report 0 --sa-quarantine 0
+
=== Zertifikate automatisch erneuern ===
−
--sa-delete 0 --sa-reject 0 --scanners "auto" --install 1
 
−
</pre>
 
  
−
'''HINWEIS:''' Wegen der hier vorhandenen Zeilenumbrüche ist ein direktes Copy & Paste nicht möglich, sondern es muss Zeile für Zeile in das Terminal eingefügt werden.
+
Zuerst legt man ein Skript unter '''/var/qmail/bin/''' an, welches automatisch das Letsencrypt zertifikat korrekt verteilt.
  
−
oder man benutzt folgendes Skript:
 
 
<pre>
 
<pre>
−
#!/bin/sh
+
cat > /var/qmail/bin/renew_cert.sh << __EOT__
−
./configure    --qs-user qscand \
+
#!/bin/bash
−
                --qs-group qscand \
+
############################################################################
−
                --spooldir /var/spool/qscan \
+
#
−
                --qmaildir /var/qmail \
+
#  @description:        build the servercert for qmail from letsencrypt cert
−
                --bindir /var/qmail/bin \
+
#  @author:            Karl Schlicker
−
                --qmail-queue-binary /var/qmail/bin/qmail-queue  \
+
#  @history:           
−
                --admin alert \
+
#      20170708        First Version
−
                --domain braunschweig-lions.de \
+
#
−
                --admin-fromname "Braunschweig Lions Postmaster" \
+
############################################################################
−
                --notify sender,nmlvadm,precips \
+
SERVER_CERT="servercert.pem"
−
                --local-domains mailx.braunschweig-lions.de \
+
QMAIL_CONTROL_DIR="/var/qmail/control"
−
                --silent-viruses auto \
+
BACKUP_DIR="\${QMAIL_CONTROL_DIR}/backup"
−
                --virus-to-delete 1 \
+
BACKUP_FILE="\${BACKUP_DIR}/${SERVER_CERT}.$( date +%F)"
−
                --skip-text-msgs 1 \
+
LETSENCRYPT_CERT_PATH="/etc/letsencrypt/live/mail.schlicker.org"
−
                --lang de_DE \
 
−
                --debug 0 \
 
−
                --minidebug 1 \
 
−
                --add-dscr-hdrs 0 \
 
−
                --dscr-hdrs-text "X-Qmail-Scanner" \
 
−
                --archive 0 \
 
−
                --settings-per-domain 1 \
 
−
                --unzip 0 \
 
−
                --max-zip-size 1000000000 \
 
−
                --max-unpacked-files 10000 \
 
−
                --redundant 1 \
 
−
                --log-details syslog \
 
−
                --log-crypto 0 \
 
−
                --fix-mime 2  \
 
−
                --ignore-eol-check 1 \
 
−
                --sa-subject "SPAM ***" \
 
−
                --sa-delta 0.5 \
 
−
                --sa-alt 1 \
 
−
                --sa-debug 1 \
 
−
                --sa-report 0 \
 
−
                --sa-quarantine 0 \
 
−
                --sa-delete 0 \
 
−
                --sa-reject 0 \
 
−
                --scanners "auto" \
 
−
                --install 1
 
−
</pre>
 
−
Nun geht es mit der interaktiven Konfiguration des configure-Scripts weiter.
 
  
−
:* 1. Schritt: Mit [RETURN] bestätigen
+
# check, if backup dir exist
−
:* 2. Schritt: Mit [y] und [RETURN] bestätigen
+
if [ ! -d "${BACKUP_DIR}" ]; then
 +
        /bin/mkdir "\${BACKUP_DIR}"
 +
fi
  
 +
# first make a backup
 +
/bin/cp "\${QMAIL_CONTROL_DIR}/\${SERVER_CERT}"  "\${BACKUP_FILE}"
  
−
:* 3. Schritt: Mit [y] und [RETURN] bestätigen
+
echo "\$(date +%F):"
−
:* 4. Schritt: Das anlegen der Dateien mit [RETURN] bestätigen
 
−
:* 5. Schritt: Das Routieren der Logfiles einstellen
 
  
−
<pre>
+
# concat the cert and the key
−
# cp contrib/logrotate.qmail-scanner /etc/logrotate.d/qmailscanner
+
/bin/cat "\${LETSENCRYPT_CERT_PATH}/fullchain.pem" "\${LETSENCRYPT_CERT_PATH}/privkey.pem" > "\${QMAIL_CONTROL_DIR}/\${SERVER_CERT}"
−
</pre>
 
  
−
Links:
+
# Qmail restart & Dovecot restart
−
:* http://toribio.apollinare.org/qmail-scanner/index.html
+
/usr/bin/qmailctl restart
−
:* http://qmail-scanner.sourceforge.net/
+
systemctl restart dovecot
  
−
====Einbinden des Qmail-Scanner in die Mail-Queue von qmail====
+
__EOT__
  
−
Mit <code>vi /var/qmail/supervise/qmail-smtpd/run</code> das smtp-Runscript bearbeiten und nach <code>#!/bin/sh</code> die folgenden Zeilen einfügen:
+
chmod +x /var/qmail/bin/renew_cert.sh
−
<pre>
 
−
QMAILQUEUE="/var/qmail/bin/qmail-scanner-queue.pl"
 
−
export QMAILQUEUE
 
 
</pre>
 
</pre>
  
−
Nun muss noch das ''softlimit'' deutlich erhöht werden. Dazu mit <code>vi /var/qmail/supervise/qmail-smtpd/run</code> das Supervise-Run-Script bearbeiten und den Wert von ''softlimit -m {Wert}'' erhöhen. Z.B. auf '''softlimit -m 80000000'''
+
Per Cronjob jeden Sonntag erneuern lassen
−
 
 
−
Jetzt qmail neu starten:
 
 
<pre>
 
<pre>
−
# qmailctl restart
+
# Qmail Cert renew
 +
0 0 * * Sun root /var/qmail/bin/renew_cert.sh >> /var/log/letsencrypt/renew_qmail_cert.log 2>&1
 
</pre>
 
</pre>
  
−
====Testen====
+
=== Zertifikatablauf überwachen ===
  
−
Nun das Senden und Empfangen von Mail ausgiebig testen und dabei aus Ausgabe in <code>/var/spool/qmailscan/qmail-queue.log</code> und <code>/var/log/qmail/smtpd/current</code> beobachten:
+
Den Ablauf der Zertifikate kann man über folgenden Webseite kostenlos überwachen lassen.
−
<pre>
+
 
−
# tail -f /var/spool/qscan/qmail-queue.log /var/log/qmail/smtpd/current
+
[https://redsift.com/pulse-platform/certificates RedSift]
−
</pre>
 
  
−
Ein- und ausgehende Mails tragen nun im Header eine entsprechende Information, z.B.:
+
==SpamAssassin==
−
<pre>
 
−
Received: from 85.214.36.143 by web1.braunschweig-lions.de (envelope-from <dirk@example.com>, uid 89) with qmail-scanner-1.25st
 
−
  (clamdscan: 0.88/1357. spamassassin: 3.0.4. perlscan: 1.25st.  Clear:RC:0(85.214.36.143):SA:0(0.0/5.0):.  Processed in 4.775654 secs);
 
−
27 Mar 2006 13:10:27 -0000
 
−
X-Spam-Status: No, hits=0.0 required=5.0
 
−
</pre>
 
  
−
Es werden ein- und ausgehende Mails überprüft. Unser System sollte also auch das Versenden eines Virus verhindern. Das kann man leicht testen, indem man von einem Mail-Account des Systems den EICAR-TestVirus ''eicar.com'' als Anhang einer Mail angibt.
+
===Referenzen===
−
:Download: http://www.eicar.org/anti_virus_test_file.htm
+
* Info: http://spamassassin.apache.org/
 +
* Docs: http://spamassassin.apache.org/full/3.4.x/doc/
 +
* https://www.syn-flut.de/spamassassin-erkennungsrate-deutlich-verbessern
  
−
Der Qmail-Toaster sollte den Versuch sofort mit einer entsprechenden Fehler-Mail quittieren, die erklärt das der Versand abgelehnt wurde. In <code> /var/spool/qmailscan/qmail-queue.log</code> findet man einen Eintrag dazu:
+
===Installation der nötigen RPM-Pakete===
−
<pre>
 
−
Mon, 27 Mar 2006 15:15:26 CEST:1548: +++ starting debugging for process 1548 (ppid=1546) by uid=89
 
−
Mon, 27 Mar 2006 15:15:26 CEST:1548: w_c: elapsed time from start 0.007668 secs
 
−
Mon, 27 Mar 2006 15:15:26 CEST:1548: return-path='dirk@test.braunschweig-lions.de', recips='Dirk@example.com'
 
−
Mon, 27 Mar 2006 15:15:26 CEST:1548: from='Dirk =?ISO-8859-1?Q?Schl=FCter?= "(TEST)" <dirk@test.braunschweig-lions.de>', subj='TEst
 
−
Virus', via SMTP from 84.133.206.49
 
−
Mon, 27 Mar 2006 15:15:26 CEST:1548: clamdscan: there be a virus! (Eicar-Test-Signature)
 
−
Mon, 27 Mar 2006 15:15:26 CEST:1548: clamdscan: finished scan in 0.017235 secs
 
−
Mon, 27 Mar 2006 15:15:26 CEST:1548: ini_sc: finished scan of "/var/spool/qmailscan/tmp/web1.braunschweig-lions.de11434653267221548"...
 
−
Mon, 27 Mar 2006 15:15:26 CEST:1548: ------ Process 1548 finished. Total of 0.13309 secs
 
−
</pre>
 
  
−
Der SpamAssassin kann auch leicht getestet werden. Einfach in einer Mail von EXTERN an einen Qmail-Toaster Account das Schlüsselwort '''VIAGRA''' verwerden. Im Logfile sollte es dafür Punkte geben, z.B.:
+
Wir installieren zuerst die RPM-Pakete, später bauen wir aus perl CPAN spamassassin neu.
 
<pre>
 
<pre>
−
Mon, 27 Mar 2006 15:19:55 CEST:1617: from='Dirk =?ISO-8859-1?Q?Schl=FCter?= <dirk@example.com>', subj='Test', via SMTP from 85.214.36.143
+
dnf -y install spamassassin spamassassin-iXhash2 perl-Razor-Agent pyzor p7zip
−
Mon, 27 Mar 2006 15:19:55 CEST:1617: This is a PLAIN text message, skip virus scanners - but not SA
 
−
Mon, 27 Mar 2006 15:19:56 CEST:1617: SA: REPORT hits = 0.8/5.0
 
−
  1.5 DRUG_ED_CAPS          BODY: Erwähnt Medikament gegen Erektionsstörung
 
−
  0.0 DRUGS_ERECTILE        Erwähnt ein Medikament gegen Erektionsstörungen
 
−
  -0.8 AWL                    AWL: From: address is in the auto white-list
 
−
Mon, 27 Mar 2006 15:19:56 CEST:1617: SA: finished scan in 0.338719 secs - hits=0.8/5.0
 
−
Mon, 27 Mar 2006 15:19:56 CEST:1617: p_s: finished scan in 0.042892 secs
 
−
Mon, 27 Mar 2006 15:19:56 CEST:1617: ini_sc: finished scan of "/var/spool/qmailscan/tmp/web1.braunschweig-lions.de11434655957221617"...
 
−
Mon, 27 Mar 2006 15:19:56 CEST:1617: ------ Process 1617 finished. Total of 0.474062 secs
 
 
</pre>
 
</pre>
  
−
Diese Punkte findet man im Mail-Header der empfangenen Mail wieder:
+
=== Verzeichnisse, User und Gruppen anlegen ===
 
<pre>
 
<pre>
−
X-Spam-Status: No, hits=0.8 required=5.0
+
mkdir -p /etc/mail/spamassassin /home/spamd /var/log/spamassassin
−
</pre>
 
  
−
Bei über 5.0 Punkten (siehe Qmail-Scanner Konfiguration) wird der <code>X-Spam-Status</code> auf <code>Yes</code> gesetzt und der Betreff einer Mail mit ''SPAM ***'' gekennzeichnet. Anhand eines dieser Merkmale, vorzugsweise des Mail-Headers <code>X-Spam-Status</code>, kann der Benutzer erkannten Spam mit seinem Mailprogramm filtern.
+
groupadd spamd
 +
useradd -g spamd -d /home/spamd spamd
 +
chown -R spamd:spamd /home/spamd
  
−
====SpamAssassin Bayes-Datenbank====
+
chgrp apache /var/log/spamassassin
 +
chmod g+w /var/log/spamassassin
 +
</pre>
  
−
SpamAssassin lernt selbst und kann über eine Bayes-Datenbank trainiert werden. Die genaue Funktion kann im SpamAssassin Manual nachgelesen werden http://spamassassin.apache.org/.
+
===Plugins===
  
−
Mit dem Bayes-Filter kann die Wirksamkeit der Spam-Erkennung erhöht werden, wenn sie entsprechend trainiert wird.
+
SpamAssassin lässt sich mit vielen Plugins aufwerten und damit die Erkennungsrate von SPAMs verbessern
  
−
Hier wird nur kurz erklärt wie man den Toaster konfiguriert, damit die ''Lernfunktion'' aktiviert ist und wie man von einer anderen Installation eine gut trainierte Bayes-Datenbank einspielt.
+
====Razor====
  
−
'''Auf anderem Qmail-Toaster wo Spam gelernt wird das Paket erstellen:'''
+
Konfiguration für Razor anlegen
 
<pre>
 
<pre>
−
# cd /home/
+
mkdir -p /etc/mail/spamassassin/.razor
−
# tar cfpvz home-qscand-20060327.tar.gz qscand/
+
razor-admin -home=/etc/mail/spamassassin/.razor -register
 +
razor-admin -home=/etc/mail/spamassassin/.razor -create
 +
razor-admin -home=/etc/mail/spamassassin/.razor -discover
 
</pre>
 
</pre>
  
−
Das Paket auf den neuen Qmail-Toaster übertragen und nach <code>/home/</code> kopieren. Dann entpacken und Berechtigungen richtig setzen:
+
Set up permissions
 
<pre>
 
<pre>
−
# cd /home/
+
chgrp apache /etc/mail/spamassassin/.razor/identity-*
−
# tar xzf home-qscand-20060327.tar.gz
+
chmod 640 /etc/mail/spamassassin/.razor/identity-*
−
# chown -R qscand.qscand qscand/
+
chmod 644 /etc/mail/spamassassin/.razor/razor-agent.log
 
</pre>
 
</pre>
  
−
Die SpamAssassion-Konfiguration und Bayes-Datenbank des Users ''qscand'' ist in <code>/home/qscand/.spamassassin/</code> zu finden. SpamAssassin neu starten:
+
'''/etc/sysconfig/spamassassin''' anpassen
 
<pre>
 
<pre>
−
# /etc/init.d/spamassassin restart
+
# Options to spamd
 +
#SPAMDOPTIONS="-c -m5 -H --razor-home-dir='/var/lib/razor/' --razor-log-file='sys-syslog'"
 +
SPAMDOPTIONS="-c -m5 -u spamd -H /home/spamd --razor-home-dir='/etc/mail/spamassassin/.razor/' --razor-log-file='/var/log/spamassassin/razor_agent.log'"
 
</pre>
 
</pre>
  
−
In <code>/var/spool/qscan/qmail-queue.log</code> sollte nun der Bayes-Scan beim Empfang einer Mail aufgeführt sein:
+
====Pyzor====
 
<pre>
 
<pre>
−
(...)
+
mkdir -p /etc/mail/spamassassin/.pyzor
−
Mon, 27 Mar 2006 15:38:33 CEST:1957: This is a PLAIN text message, skip virus scanners - but not SA
+
chown spamd:spamd /etc/mail/spamassassin/.pyzor
−
Mon, 27 Mar 2006 15:38:33 CEST:1957: SA: REPORT hits = -2.6/5.0
 
−
-2.6 BAYES_00              BODY: Spamwahrscheinlichkeit nach Bayes-Test: 0-1%
 
−
                            [score: 0.0000]
 
−
  0.0 AWL                    AWL: From: address is in the auto white-list
 
−
Mon, 27 Mar 2006 15:38:33 CEST:1957: SA: finished scan in 0.537541 secs - hits=-2.6/5.0
 
−
Mon, 27 Mar 2006 15:38:33 CEST:1957: p_s: finished scan in 0.043386 secs
 
−
(...)
 
 
</pre>
 
</pre>
  
−
''TODO: Beschreibung wie man Spam lernt...''
+
====RelayCountry====
 +
Für SpamAssassin gibt es ein Plugin namens RelayCountry, mit welchem es möglich wird, die Länder der einzelnen SMTP Relays anhand der GeoIP Information zu bestimmen.  
 +
Dies dient zum einen der Bayes-Datenbank. Sie bekommt also zusätzliche Informationen und wird künftig selbständig lernen, aus welchen Ländern viel Spam kommt.  
  
−
==Qmailadmin==
+
===== Benötigte Pakete installieren =====
−
 
+
Da dieses nicht im RPM-Paket von SpamAssassin enthalten ist, müssen wir hier SpamAssassin neu bauen. Dazu müssen wir zuerst perl-CPAN installieren und konfigurieren.
−
Apache Direktiven für einen virtuellen Host:
+
Zuerst installiert man die dafür benötigten Pakete
 
<pre>
 
<pre>
−
ScriptAlias /qmailadmin "/var/www/cgi-bin/qmailadmin"
+
dnf -y install perl-CPAN perl-YAML perl-JSON-PP perl-Test perl-Socket6 perl-IO-Socket-INET6
−
ScriptAlias /cgi-bin/qmailadmin "/var/www/cgi-bin/qmailadmin"
+
dnf -y install perl-BerkeleyDB perl-DBD-MySQL
−
Alias /images/qmailadmin/ /var/www/html/images/qmailadmin/
+
dnf -y install perl-Net-Patricia perl-Mail-SPF_XS perl-Mail-SPF perl-Net-IP perl-Net-DNS
 +
dnf -y install perl-Geo-IP GeoIP-GeoLite-data-extra geoipupdate
 +
dnf -y install perl-Time-HiRes perl-Devel-Peek perl-open
 
</pre>
 
</pre>
  
−
Alternativ die letzte Stable-Version 1.2.16 verwenden, wenn beim kompilieren von 1.2.16 Fehler auftreten.
+
===== CPAN Module installieren und RelayCount in SpamAssassin bauen =====
−
 
+
und anschließend installiert man über CPAN die fehlenden Module und installiert am Schluß RelayCountry.
−
:* http://sourceforge.net/projects/qmailadmin
 
−
 
 
 
<pre>
 
<pre>
−
cd /var/src/tar
+
cpan -i IP::Country::Fast
−
wget http://downloads.sourceforge.net/project/qmailadmin/qmailadmin-devel/qmailadmin-1.2.16.tar.gz
+
cpan -i Devel::Cycle
−
wget http://sourceforge.net/projects/qmailadmin/files/qmailadmin-help/1.0.8/qmailadmin-help-1.0.8.tar.gz
+
cpan -i IO::String
−
cd ..
+
cpan -i Test::Taint
−
tar -xzf tar/qmailadmin-1.2.16.tar.gz
+
cpan -i Readonly
−
cd qmailadmin-1.2.16
+
cpan -i Params::Validate
−
./configure --enable-help --enable-htmldir=/var/www/html --enable-cgibindir=/var/www/cgi-bin --enable-modify-quota --enable-no-cache
+
cpan -i Specio
−
make
+
cpan -i Params::ValidationCompiler
−
make install-strip
+
cpan -i DateTime::Locale
−
 
+
cpan -i DateTime::TimeZone
−
cd ../
+
cpan -i MaxMind::DB::Metadata
−
tar -xzf tar/qmailadmin-help-1.0.8.tar.gz
+
cpan -i MaxMind::DB::Reader
−
cd qmailadmin-help-1.0.8
+
cpan -i GeoIP2::Database::Reader
−
mkdir /var/www/html/images/qmailadmin/help
+
cpan -i Mail::SpamAssassin::Plugin::RelayCountry
−
cp -rp * /var/www/html/images/qmailadmin/help
 
 
</pre>
 
</pre>
  
−
Link:
+
Danach sollten unter folgende Verzeichnis die GeoIP-DBs enthalten sein
−
:* http://sourceforge.net/projects/qmailadmin
 
−
 
 
−
==VQAdmin==
 
−
 
 
−
* http://www.inter7.com/index.php?page=vqadmin
 
−
Mit VQAdmin kann man für vpopmail mehrere Domains veralten, immer beim Link nach neuster Version schauen
 
 
<pre>
 
<pre>
−
cd /var/src/tar
+
cd /usr/share/GeoIP/
−
wget http://www.inter7.com/vqadmin/vqadmin-2.3.7.tar.gz
+
ls -l
−
cd ..
+
insgesamt 113328
−
tar xvzpf tar/vqadmin-2.3.7.tar.gz
+
lrwxrwxrwx 1 root root      16 28. Nov 2019  GeoIPASNum.dat -> GeoLiteASNum.dat
−
cd vqadmin-2.3.7
+
-rw-r--r-- 1 root root  5628114 19. Jun 2018  GeoIPASNumv6.dat
−
./configure
+
lrwxrwxrwx 1 root root      15 28. Nov 2019  GeoIPCity.dat -> GeoLiteCity.dat
−
make
+
lrwxrwxrwx 1 root root      17 28. Nov 2019  GeoIPCityv6.dat -> GeoLiteCityv6.dat
−
make install-strip
+
lrwxrwxrwx 1 root root      18 22. Mär 2020  GeoIP.dat -> GeoLiteCountry.dat
 +
-rw-r--r-- 1 root root  2322773 19. Jun 2018  GeoIPv6.dat
 +
-rw-r--r-- 1 root root 56548946  7. Jun 2018  GeoLite2-City.mmdb
 +
-rw-r--r-- 1 root root  3423846  7. Jun 2018  GeoLite2-Country.mmdb
 +
-rw-r--r-- 1 root root  4638365  4. Apr 2018  GeoLiteASNum.dat
 +
lrwxrwxrwx 1 root root      16 28. Nov 2019  GeoLiteASNumv6.dat -> GeoIPASNumv6.dat
 +
-rw-r--r-- 1 root root 20539238  4. Apr 2018  GeoLiteCity.dat
 +
-rw-r--r-- 1 root root 21684452 19. Jun 2018  GeoLiteCityv6.dat
 +
-rw-r--r-- 1 root root  1242574  4. Apr 2018  GeoLiteCountry.dat
 
</pre>
 
</pre>
  
−
'''Achtung:'''
+
===== Konfiguration =====
−
 
+
Anschließend fügt man folgende Zeile in die Datei '''/etc/mail/spamassassin/init.pre''' ein:
−
Auf x86_64-Systemen lässt sich vqadmin nicht so einfach übersetzen, weil der Code zu alt ist.
 
−
Daher einfach aus dem vpopmail-Verzeichnis die Dateien config.guess und config.sub in das vqadmin-Verzeichnis kopieren, und danach geht alles.
 
−
 
 
−
 
−
 
 
−
Dann in der Apache-Konfiguration des Web, worüber man die Administration aufrufen will, folgende eintragen:
 
 
<pre>
 
<pre>
−
<Directory "/var/www/cgi-bin/vqadmin">
+
#
−
    deny from all
+
# Relay Country
−
    Options ExecCGI
+
loadplugin Mail::SpamAssassin::Plugin::RelayCountry
−
    AllowOverride AuthConfig
 
−
    Order deny,allow
 
−
</Directory>
 
 
</pre>
 
</pre>
  
−
und anschließend passt man die .htaccess im Verzeichnis '''/var/www/cgi-bin/vqadmin/''' nach seinen Wünschen an.
+
und fügt am Ende von  '''/etc/mail/spamassassin/local.cf''' folgenden Inhalt hinzu:
 
<pre>
 
<pre>
−
vi /var/www/cgi-bin/vqadmin/.htaccess
+
vim /etc/mail/spamassassin/local.cf
−
AuthType Basic
+
...
−
AuthUserFile /home/www/mail.marketteam.de/acl/vqadmin.passwd
 
−
AuthName vQadmin
 
−
require valid-user
 
−
satisfy any
 
−
</pre>
 
  
−
Hier sollte man '''AuthUserFile''' auf eine gültige Passwort-Datei zeigen lassen, die man mit '''htpasswd''' angelegt hat.
+
ifplugin Mail::SpamAssassin::Plugin::RelayCountry
−
<pre>
+
add_header all Relay-Country _RELAYCOUNTRY_
−
htpasswd -cb /home/www/mail.marketteam.de/acl/vqadmin.passwd ktsadmin password
+
header RELAYCOUNTRY_BAD X-Relay-Countries =~ /(CN|RU|UA|RO|VN)/
 +
describe RELAYCOUNTRY_BAD Relayed through spammy country at some point
 +
score RELAYCOUNTRY_BAD 2.0
 +
 +
header RELAYCOUNTRY_GOOD X-Relay-Countries =~ /^(DE|AT|CH)/
 +
describe RELAYCOUNTRY_GOOD First untrusted GW is DE, AT or CH
 +
score RELAYCOUNTRY_GOOD -0.5
 +
endif # Mail::SpamAssassin::Plugin::RelayCountry
 
</pre>
 
</pre>
  
−
Anschließend muß man noch die Rechte für diesen User in der Datei '''/var/www/cgi-bin/vqadmin/vqadmin.acl''' setzen.
 
−
Hier die Zeilen beginnend mit '''techuser,senior''', bzw '''admin''' und am Ende folgende Zeile hinzufügen.
 
−
<pre>
 
−
vi /var/www/cgi-bin/vqadmin/vqadmin.acl
 
−
admin * ktsadmin,weiterUser,nochEiner
 
 
</pre>
 
</pre>
  
−
Anschließend kann man z.B. über http://mailx.braunschweig-lions.de/cgi-bin/vqadmin/vqadmin.cgi die Administration aufrufen.
+
===Konfiguration===
  
−
'''Hinweis:'''
+
Die Konfigurationsdateien befinden sich im Ordner '''/etc/mail/spamassassin'''.
  
−
Sollte nach erfolgreicher Anmeldung eine Meldung wie ''' invalid language file''' etc erscheinen, dann hat die automatische Spracherkennung vom Browser her nicht geklappt. Meistens macht es dann Sinn, bei seinen Browser die Sprache unter den Einstellungen auf Deutsch (de) bzw Englisch (en) zu ändern.
+
====local.cf====
 +
<pre>
 +
# These values can be overridden by editing ~/.spamassassin/user_prefs.cf
 +
# (see spamassassin(1) for details)
  
−
Alternativ kann man auch in das Verzeichnis '''/var/www/cgi-bin/vqadmin/html''' weiter Sprachdateien erzeigen.
+
# These should be safe assumptions and allow for simple visual sifting
−
<pre>
+
# without risking lost emails.
−
cd /var/www/cgi-bin/vqadmin/html
+
 
−
cp de de-de
+
required_hits 5
−
cp de de_DE
+
report_safe 0
−
chown vpopmail.vchkpw *
+
rewrite_header Subject [SPAM]
 +
use_bayes 1
 +
bayes_auto_learn 1
 +
use_txrep 1
 +
txrep_factory Mail::SpamAssassin::SQLBasedAddrList
 
</pre>
 
</pre>
  
−
==SquirrelMail==
+
====init.pre====
  
−
:* http://www.squirrelmail.org
+
init.pre um das RelayCountry Plugin erweitern.
  
 
<pre>
 
<pre>
−
cd /var/src/tar
+
# This is the right place to customize your installation of SpamAssassin.
 +
#
 +
# See 'perldoc Mail::SpamAssassin::Conf' for details of what can be
 +
# tweaked.
 +
#
 +
# This file contains plugin activation commands for plugins included
 +
# in SpamAssassin 3.0.x releases.  It will not be installed if you
 +
# already have a file in place called "init.pre".
 +
#
 +
# There are now multiple files read to enable plugins in the
 +
# /etc/mail/spamassassin directory; previously only one, "init.pre" was
 +
# read.  Now both "init.pre", "v310.pre", and any other files ending in
 +
# ".pre" will be read.  As future releases are made, new plugins will be
 +
# added to new files, named according to the release they're added in.
 +
###########################################################################
  
−
# Achtung: Immer nach neuster Version schauen! Siehe Projektlink.
+
# URIDNSBL - look up URLs found in the message against several DNS
−
wget http://mesh.dl.sourceforge.net/sourceforge/squirrelmail/squirrelmail-1.4.15.tar.gz
+
# blocklists.
−
cd ..
+
#
 +
loadplugin Mail::SpamAssassin::Plugin::URIDNSBL
  
−
tar xzf tar/squirrelmail-1.4.15.tar.gz
+
# Hashcash - perform hashcash verification.
−
cd tar/squirrelmail-1.4.15
+
#
 +
loadplugin Mail::SpamAssassin::Plugin::Hashcash
  
−
./configure
+
# SPF - perform SPF verification.
 +
#
 +
loadplugin Mail::SpamAssassin::Plugin::SPF
  
−
# Nun Einstellungen wie gewünscht vornehmen, die folgenden auf jeden Fall
+
# RelayCountry - add metadata for Bayes learning, marking the countries
 +
# a message was relayed through
 +
#
 +
# Note: This requires the IP::Country::Fast Perl module
 +
#
 +
loadplugin Mail::SpamAssassin::Plugin::RelayCountry
  
−
* 2.  Server Settings
+
</pre>
−
      Ggf. IMAP/SMTP localhost gegen die IP/Hostnamen tauschen, wenn Courier nur auf einer IP und nicht auf allen eingerichtet ist
 
  
 +
=== Benutzereinstellungen (Userpref) ===
 +
Um die SPAM-Erkennung auf Benutzer/Domain-Ebene einstellen zu können, wird eine Datenbank mit den entsprechenden Werten angelegt.
  
−
* 4.  General Options
+
==== Datenbank anlegen ====
−
      Data Directory (1) auf "/var/www/data/"
+
<pre>
−
      Attach Directory (2) auf "/var/www/attach/"
+
mysql -u root -p
−
      Allow server thread sort (10) auf "y"
 
−
      Allow server-side sorting (11) auf "y"
 
−
 
 
−
      Save data (s)
 
  
−
* Quit und Save
+
CREATE DATABASE spamassassin;
−
 
+
CREATE USER 'spamassassin'@'127.0.0.1' IDENTIFIED BY '***';
−
mv data/ /var/www/
+
GRANT USAGE ON * . * TO 'spamassassin'@'127.0.0.1' IDENTIFIED BY '***' WITH MAX_QUERIES_PER_HOUR 0 MAX_CONNECTIONS_PER_HOUR 0 MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ;
−
mkdir /var/www/attach
+
USE spamassassin;
−
chown -R apache.apache /var/www/data/ /var/www/attach/
+
CREATE TABLE userpref (
−
mv squirrelmail-1.4.15/ /var/www/html/webmail
+
  username varchar(100) NOT NULL default '',
 +
  preference varchar(30) NOT NULL default '',
 +
  value varchar(100) NOT NULL default '',
 +
  prefid int(11) NOT NULL auto_increment,
 +
  PRIMARY KEY  (prefid),
 +
  KEY username (username)
 +
) ENGINE=InnoDB;
 +
GRANT ALL PRIVILEGES ON `spamassassin` . * TO 'spamassassin'@'127.0.0.1';
 
</pre>
 
</pre>
  
−
Nun in einem gewünschten Virtuellen Host oder der ssl.conf den Zugriff einrichten, z.B. mit
+
==== Konfigurationsdatei erzeugen ====
 
<pre>
 
<pre>
−
Alias /webmail/ /var/www/html/webmail/
+
cd /etc/mail/spamassassin
−
Alias /webmail /var/www/html/webmail/
+
cat > 90-sql.cf << __EOF__
 +
user_scores_dsn                  DBI:mysql:spamassassin:127.0.0.1:3306
 +
user_scores_sql_password        <password>
 +
user_scores_sql_username        spamassassin
 +
user_scores_sql_custom_query    SELECT preference, value FROM _TABLE_ WHERE username = _USERNAME_ OR username = '$GLOBAL' OR username = CONCAT('%',_DOMAIN_) ORDER BY username ASC
 +
__EOF__
 
</pre>
 
</pre>
  
−
Natürlich kann jederzeit unter <code>/var/www/html/webmail/</code> das <code>./configure</code> Skript aufgerufen werden und somit die Konfiguration verändert werden.
+
==== Beispieleinträge erzeugen ====
 +
Die Tabelle '''userpref''' mit Mustereinträgen füllen
 +
<pre>
 +
mysql -h localhost -u root -p
 +
 
 +
USE spamassassin;
 +
INSERT INTO `userpref` VALUES ('$GLOBAL','required_hits','5.0'),('%afdb.de','required_hits','4.0'),('news@footballforum.de',' required_hits','2.5'),('karl@schlicker.org',' required_hits','2.5'),('%afdb.de','blacklist_from','ben@hamsamail.us');
 +
</pre>
 +
 
 +
=== Spamassassin TxRep Reputation and Bayesean (SQL) ===
  
−
===Sprachen einrichten===
+
Die Bayes-DB für die SPAM-Erkennung und das Lernen von SPAM/HAM-Mails wird in eine Datenbank verschoben/aufgebaut.
  
 +
==== DB-Tabellen anlegen ====
 
<pre>
 
<pre>
−
cd /var/src/tar/
+
# mysql -h localhost -u root -p
−
wget http://surfnet.dl.sourceforge.net/sourceforge/squirrelmail/all_locales-1.4.13-20071220.tar.gz
+
 
−
mkdir squirrelmail-locale
+
USE spamassassin;
−
cd squirrelmail-locale
+
CREATE TABLE txrep (
−
tar xzf ../tar/all_locales-1.4.13-20071220.tar.gz
+
username varchar(100) NOT NULL default '',
 +
email varchar(255) NOT NULL default '',
 +
ip varchar(40) NOT NULL default '',
 +
msgcount int(11) NOT NULL default '0',
 +
totscore float NOT NULL default '0',
 +
signedby varchar(255) NOT NULL default '',
 +
last_hit timestamp NOT NULL default CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
 +
PRIMARY KEY (username,email,signedby,ip),
 +
KEY last_hit (last_hit)
 +
) ENGINE=InnoDB;
 +
 
 +
CREATE TABLE bayes_expire (
 +
  id int(11) NOT NULL default '0',
 +
  runtime int(11) NOT NULL default '0',
 +
  KEY bayes_expire_idx1 (id)
 +
) ENGINE=InnoDB;
 +
 
 +
CREATE TABLE bayes_global_vars (
 +
  variable varchar(30) NOT NULL default '',
 +
  value varchar(200) NOT NULL default '',
 +
  PRIMARY KEY  (variable)
 +
) ENGINE=InnoDB;
 +
 
 +
INSERT INTO bayes_global_vars VALUES ('VERSION','3');
 +
 
 +
CREATE TABLE bayes_seen (
 +
  id int(11) NOT NULL default '0',
 +
  msgid varchar(200) binary NOT NULL default '',
 +
  flag char(1) NOT NULL default '',
 +
  PRIMARY KEY  (id,msgid)
 +
) ENGINE=InnoDB;
  
−
./install
+
CREATE TABLE bayes_token (
 +
  id int(11) NOT NULL default '0',
 +
  token char(5) NOT NULL default '',
 +
  spam_count int(11) NOT NULL default '0',
 +
  ham_count int(11) NOT NULL default '0',
 +
  atime int(11) NOT NULL default '0',
 +
  PRIMARY KEY  (id, token),
 +
  INDEX bayes_token_idx1 (token),
 +
  INDEX bayes_token_idx2 (id, atime)
 +
) ENGINE=InnoDB;
  
−
# Dort den Pfad "/var/www/html/webmail/" angeben
+
CREATE TABLE bayes_vars (
 +
  id int(11) NOT NULL AUTO_INCREMENT,
 +
  username varchar(200) NOT NULL default '',
 +
  spam_count int(11) NOT NULL default '0',
 +
  ham_count int(11) NOT NULL default '0',
 +
  token_count int(11) NOT NULL default '0',
 +
  last_expire int(11) NOT NULL default '0',
 +
  last_atime_delta int(11) NOT NULL default '0',
 +
  last_expire_reduce int(11) NOT NULL default '0',
 +
  oldest_token_age int(11) NOT NULL default '2147483647',
 +
  newest_token_age int(11) NOT NULL default '0',
 +
  PRIMARY KEY  (id),
 +
  UNIQUE bayes_vars_idx1 (username)
 +
) ENGINE=InnoDB;
 
</pre>
 
</pre>
  
−
Tipp: Wenn man nicht soviel mit "y" das Kopieren bestätigen möchte, kurz das install-Skript editieren und das <code>-i</code> beim cp entfernen.
+
==== Konfiguration ====
  
−
Nun kann man noch mit dem <code>configure</code> Skript in <code>/var/www/html/webmail/</code> die Default-Sprache auf Deutsch (de_DE) und das Charset z.B. auf iso-8859-15 einstellen.
+
TxRep in der Datei '''local.cf''' aktivieren
 +
<pre>
 +
use_txrep 1
 +
txrep_factory Mail::SpamAssassin::SQLBasedAddrList
 +
</pre>
  
 +
anschließend '''v341.pre''' anpassen
  
−
===SIEVE-Filter Plugin===
+
<pre>
−
Um den optional eingerichteten SIEVE-Filter auch für die benutzer Steuerbar zu machen, empfiehlt sich die Installation des Avelsieve Plugins für Squirrelmail wie folgt. Die offizielle Seite zu dem Plugin ist unter http://squirrelmail.org/plugin_view.php?id=73 zu finden.
+
# TxRep - Reputation database that replaces AWL
−
<pre>cd /usr/share/squirrelmail/plugins/
+
loadplugin Mail::SpamAssassin::Plugin::TxRep
−
wget "http://squirrelmail.org/countdl.php?fileurl=http%3A%2F%2Fwww.squirrelmail.org%2Fplugins%2Favelsieve-1.9.9.tar.gz"
+
</pre>
−
tar xfz avelsieve-1.9.9.tar.gz
+
 
−
cd ./avelsieve/config/
+
und anschlie0end das AWL-Plugin in  '''/etc/mail/spamassassin/v310.pre''' auskommentieren
−
cp config_sample.php config.php</pre>
 
  
−
==== Änderungen in der Konfiguration ====
+
<pre>
−
# Mit dem Editor der Wahl nun die frisch kopierte <code>config.php</code> öffnen und den Wert von <code>$sieveport</code> von <code>2000</code> in <code>4190</code> ändern.
+
# loadplugin Mail::SpamAssassin::Plugin::AWL
−
# Optional können in den Zeilen 151-153 (<code>$avelsieve_hardcoded_capabilities</code>) noch die Fähigkeiten von SIEVE konfiguriert werden. Alle Einstellungen für den Dovecot LDA, wie im Kommentar darüber aufgelistet, können ohne Probleme übernommen werden.
+
</pre>
−
# Vor dem Schließen der Datei muss noch sichergestellt sein, dass die Variable <code>$avelsieve_disabletls</code> auf <code>true</code> gesetzt ist. Anschließend Datei speichern und schließen.
 
  
−
==== Aktivierung des Plugins in Squirrelmail ====
+
Zum Schluß folgende Zeilen der Datei '''/etc/mail/spamassassin/90-sql.cf''' am Ende hinzufügen (Passwort entsprechend anpassen):
−
Abschließend ist das Plugin noch über das Squirrelmail Config-Script zu aktivieren. Dazu muss das <code>/usr/share/squirrelmail/config/conf.pl</code> Script aufgerufen werden. Dabei sind in dem Menü-gesteuerten Script folgende Eingaben zu tätigen und jeweils mit ENTER zu bestätigen:
 
−
* 8 (Auswahl des Plugin Menüs)
 
−
* Die Zahl vor "avelsieve" unter "Available plugins" (aktiviert das Plugin)
 
−
* S (Änderungen speichern)
 
−
* Q (Script beenden)
 
  
−
==== Testen der Einstellungen ====
+
<pre>
−
Anschließend kann man sich bei Squirrelmail anmelden und unter Optionen -> Nachrichtenfilter einen ersten Filter anlegen. Es empfiehlt sich eine Regel anzulegen, die nach einem String im Betreff sucht und die eMail in einem anderen Ordner als dem Posteingang ablegt. Nach dem Speichern einfach eine eMail an die eigene Adresse senden und schauen ob die Mail richtig abgelegt wurde.
+
# txrep
 +
txrep_factory                  Mail::SpamAssassin::SQLBasedAddrList
 +
user_awl_dsn                    DBI:mysql:spamassassin:localhost
 +
user_awl_sql_username          spamassassin
 +
user_awl_sql_password          SApassword
 +
user_awl_sql_table              txrep
  
−
==Greylisting Patch==
+
# bayesean
 +
bayes_store_module              Mail::SpamAssassin::BayesStore::MySQL
 +
bayes_sql_dsn                  DBI:mysql:spamassassin:localhost
 +
bayes_sql_username              spamassassin
 +
bayes_sql_password              SApassword
 +
</pre>
  
−
Whitepaper / Beschreibung über Greylisting:
+
===Tests===
−
:* http://projects.puremagic.com/greylisting/whitepaper.html
 
  
−
Infos:
+
Die Debug-Ausgaben anschauen
−
:* http://www.shupp.org/
+
<pre>
−
:* http://projects.puremagic.com/greylisting/
+
sudo -u spamd -H spamassassin -D --lint
−
:* http://www.digitaleveryware.com/projects/greylisting/
+
</pre>
  
 +
==== Test1: Header ====
  
−
Greylisting-Patch für  Bill Shupp's netqmail qmail-toaster-0.8 Patch:
+
Prüfen, ob die Header hinzugefügt werden, '''required''' noch bei 5.0 (Standard)
−
:* http://shupp.org/patches/greylisting-20060105.patch
 
  
 +
<pre>
 +
root@h2859558 (FF)[/etc/mail/spamassassin] # echo -e "From: postmaster@afdb.de\nTo:info@schlicker.org\nSubject: test\n\n" | spamc
 +
X-Spam-Checker-Version: SpamAssassin 3.4.2 (2018-09-13) on
 +
h2859558.stratoserver.net
 +
X-Spam-Level: ***
 +
X-Spam-Status: No, score=3.5 required=5.0 tests=MISSING_DATE,MISSING_MID,
 +
NO_RECEIVED,NO_RELAYS,PYZOR_CHECK autolearn=no autolearn_force=no
 +
version=3.4.2
 +
From: postmaster@afdb.de
 +
To:info@schlicker.org
 +
Subject: test
 +
</pre>
  
−
Voraussetzungen:
+
==== Test 2: Benutzereinstellung - Domain ====
  
−
Ein MySQL-Server muss installiert sein, zum kompilieren der gepatchten Quellen von netqmail muss das mysql-devel Paket installiert sein:
+
Der '''required''' Wert sollte nun auf 4.0 sein
  
−
Z.B. Fedora Core 4
 
 
<pre>
 
<pre>
−
yum install mysql-devel
+
echo -e "From: postmaster@afdb.de\nTo:info@schlicker.org\nSubject: test\n\n" | spamc -u '%afdb.de'
 +
X-Spam-Checker-Version: SpamAssassin 3.4.2 (2018-09-13) on
 +
h2859558.stratoserver.net
 +
X-Spam-Level: ***
 +
X-Spam-Status: No, score=3.5 required=4.0 tests=FSL_BULK_SIG,MISSING_DATE,
 +
MISSING_MID,NO_RECEIVED,NO_RELAYS,PYZOR_CHECK autolearn=no
 +
autolearn_force=no version=3.4.2
 +
X-Spam-Relay-Country:
 +
From: postmaster@afdb.de
 +
To:info@schlicker.org
 +
Subject: test
 
</pre>
 
</pre>
  
 +
==== Test 3: Benutzereinstellung - badmail ====
 +
 +
Der '''score''' muss nun >100 sein
  
 
<pre>
 
<pre>
−
cd /var/src
+
root@h2859558 (FF)[/etc/logrotate.d] # echo -e "From: ben@hamsamail.us\nTo:postmaster@afdb.de\nSubject: test\n\n" | spamc -u 'postmaster@afdb.de'
−
 
+
X-Spam-Checker-Version: SpamAssassin 3.4.2 (2018-09-13) on
−
mkdir greylisting-patch
+
h2859558.stratoserver.net
−
cd greylisting-patch
+
X-Spam-Flag: YES
−
wget http://shupp.org/patches/greylisting-20060105.patch
+
X-Spam-Level: **************************************************
−
cd ..
+
X-Spam-Status: Yes, score=104.3 required=4.0 tests=DKIM_ADSP_NXDOMAIN,
 +
FSL_BULK_SIG,MISSING_DATE,MISSING_MID,NO_RECEIVED,NO_RELAYS,
 +
PYZOR_CHECK,USER_IN_BLACKLIST autolearn=no autolearn_force=no
 +
version=3.4.2
 +
X-Spam-Report:
 +
*  100 USER_IN_BLACKLIST From: address is in the user's black-list
 +
*  0.8 DKIM_ADSP_NXDOMAIN No valid author signature and domain not in
 +
*      DNS
 +
* -0.0 NO_RELAYS Informational: message was not relayed via SMTP
 +
*  2.0 PYZOR_CHECK Gelistet im Pyzor-System
 +
*      (https://pyzor.readthedocs.io/en/latest/)
 +
*  1.4 MISSING_DATE Datumskopfzeile fehlt
 +
* -0.0 NO_RECEIVED Informational: message has no Received headers
 +
*  0.0 FSL_BULK_SIG Bulk signature with no Unsubscribe
 +
*  0.1 MISSING_MID Missing Message-Id: header
 +
X-Spam-Relay-Country:
 +
From: ben@hamsamail.us
 +
To:postmaster@afdb.de
 +
Subject: [SPAM] test
 +
X-Spam-Prev-Subject: test
 +
</pre>
 +
</pre>
 +
 
 +
===Start/Stop SpamAssassin===
  
−
cp -ra netqmail-1.06/netqmail-1.06-mit-greylisting/
+
Starten und für den Systemstart konfigurieren:
−
cd netqmail-1.06-mit-greylisting/netqmail-1.06
+
<pre>
−
cat ../../greylisting-patch/greylisting-20060105.patch | patch -p0
+
systemctl enable spamassassin
 +
systemctl start spamassassin
 
</pre>
 
</pre>
  
−
Datenbank und Benutzer anlegen:
+
=== SpamAssassin update  ===
−
<pre>
 
−
mysql -p
 
  
−
mysql> CREATE DATABASE relaydelay;
+
Mit der Installation des Spamassassin-Pakets kommt bei CentOS 8 automatisch ein Systemd-Daemon mit, der jeden Tag die Updates holt.
−
mysql> use mysql;
 
−
mysql> INSERT INTO user (Host,User,Password) VALUES('localhost','milter',PASSWORD('milter'));
 
−
mysql> grant select,insert,update,delete on relaydelay.* to milter@"localhost" identified by 'milter';
 
−
mysql> quit
 
  
−
mysql -p mysql < dbdef.sql
+
<pre>
 +
systemctl restart sa-update
 +
systemctl status sa-update
 
</pre>
 
</pre>
  
 +
=== Bayes-DB trainieren ===
  
−
'''Hinweis:''' Auf einem Fedora Core 4 x86_64 und i686 Server war vor dem Kompilieren folgende Änderung am Makefile nötig.
+
Das Programm verwendet eine integrierte Bayes-Datenbank, um Textphrasen zu klassifizieren und zu bewerten. Damit das Ganze funktioniert, muss diese Datenbank zunächst trainiert werden. Für das „Training“ sind eine Menge Mails notwendig. Um genug Spam Mails zu bekommen, habe ich das aktuellste Monatsarchiv von http://untroubled.org/spam/ verwendet.
  
−
Mit <code>vi Makefile</code> das ''Makefile'' öffnen und den Pfad zu libmysqlclient.a ändern. Zusätzlich werden noch die Optionen ''-lssl -lcrypto'' hinzugefügt.
+
<pre>
 +
cd /usr/local/src/
 +
wget http://untroubled.org/spam/2020-12.7z
 +
wget http://untroubled.org/spam/2019.7z
 +
7za x 2020-12.7z
 +
7za x 2019.7z
 +
sa-learn --dbpath /home/spamd/.spamassassin/ --progress --spam /usr/local/src/2019
 +
sa-learn --dbpath /home/spamd/.spamassassin/ --progress --spam /usr/local/src/2020
 +
sa-learn --sync
 +
</pre>
  
−
'''ALT'''
+
=== Update der Plugins etc ===
 +
Nach jeder Änderung der Konfigurationsdateien sollte man folgende Befehle ausführen
 
<pre>
 
<pre>
−
qmail-envelope-scanner: \
+
sudo -u spamd -H spamassassin --lint
−
load qmail-envelope-scanner.o local_scan.o /usr/lib/libmysqlclient.a
+
systemctl restart spamassassin
−
        ./load qmail-envelope-scanner -lz -lm local_scan.o /usr/lib/libmysqlclient.a
 
 
</pre>
 
</pre>
  
−
'''NEU (ab CentOS 6)'''
+
==Virenscanner ClamAV==
 +
 
 +
=== Installation ===
 
<pre>
 
<pre>
−
qmail-envelope-scanner: \
+
  dnf -y install clamav-unofficial-sigs clamd clamav-update
−
load qmail-envelope-scanner.o local_scan.o /usr/lib64/mysql/libmysqlclient.so
 
−
        ./load qmail-envelope-scanner -lz -lm -lssl -lcrypto local_scan.o /usr/lib64/mysql/libmysqlclient.so
 
 
</pre>
 
</pre>
  
−
'''NEU'''
+
=== Konfiguration ===
 +
 
 
<pre>
 
<pre>
−
qmail-envelope-scanner: \
+
mkdir /var/log/clamd /var/run/freshclam/
−
load qmail-envelope-scanner.o local_scan.o /usr/lib64/mysql/libmysqlclient.a
+
chown clamscan: /var/log/clamd /var/lib/clamav /var/run/freshclam/
−
        ./load qmail-envelope-scanner -lz -lm -lssl -lcrypto local_scan.o /usr/lib64/mysql/libmysqlclient.a
+
chmod 2775 /var/log/clamd
 
</pre>
 
</pre>
  
−
'''NEU (i686)'''
+
In der Datei '''/etc/freshclam.conf''' die folgenden Zeilen anpassen:
 
<pre>
 
<pre>
−
qmail-envelope-scanner: \
+
UpdateLogFile /var/log/clamd/freshclam.log
−
load qmail-envelope-scanner.o local_scan.o /usr/lib/mysql/libmysqlclient.a
+
PidFile /var/run/freshclam/freshclam.pid
−
        ./load qmail-envelope-scanner -lz -lm -lssl -lcrypto local_scan.o /usr/lib/mysql/libmysqlclient.a
+
DatabaseOwner clamscan
 
</pre>
 
</pre>
  
 +
In der Datei '''/etc/clamd.d/scan.conf''' die folgenden Zeilen anpassen:
 
<pre>
 
<pre>
−
make clean
+
LogFile /var/log/clamd/clamd.log
−
make
+
LogTime yes
 +
PidFile /run/clamd.scan/clamd.pid
 +
LocalSocket /run/clamd.scan/clamd.sock
 +
TCPSocket 3310
 +
TCPAddr 127.0.0.1
 +
</pre>
  
−
qmailctl stop
+
In der Datei '''/etc/clamav-unofficial-sigs/os.conf''' die folgenden Zeilen anpassen:
−
make setup check
+
<pre>
 +
clam_user="clamscan"
 +
clam_group="clamscan"
 +
clamd_socket="/var/run/clamd.scan/clamd.sock"
 +
</pre>
  
−
chown -R vpopmail:vchkpw /var/qmail/spam
 
  
−
qmailctl start
+
=== Systemd ===
 +
<pre>
 +
systemctl enable clamav-freshclam
 +
systemctl enable clamav-unofficial-sigs
 +
systemctl enable clamd@scan
 +
systemctl restart clamav-freshclam
 +
systemctl restart clamav-unofficial-sigs
 +
systemctl restart clamd@scan
 
</pre>
 
</pre>
  
−
===MySQL Datenbank regelmässig aufräumen===
+
===Logrotate===
−
 
+
<pre>
−
local_scan.c, also das eigentliche Greylisting-Programm, räumt abgelaufene Datenbank-Einträge nicht selbstständig auf.  
+
cat > /etc/logrotate.d/clamav-update << __EOF__
−
Dieses sollte ein kleines Script übernehmen, welches stündlich ausgeführt wird.
+
/var/log/clamd/freshclam.log /var/log/clamd/clamd.log{
 +
        monthly
 +
        notifempty
 +
        missingok
 +
        postrotate
 +
                systemctl try-restart clamd@scan.service
 +
                systemctl try-restart clamav-freshclam.service
 +
        endscript
 +
}
 +
__EOF__
  
−
<pre>
 
−
cd /var/src/greylisting-patch/
 
−
wget http://shupp.org/software/greylisting-delete-expired.sh
 
−
cp greylisting-delete-expired.sh /etc/cron.hourly/
 
−
chmod 700 /etc/cron.hourly/greylisting-delete-expired.sh
 
 
</pre>
 
</pre>
  
−
===Parameter===
+
===Test===
−
 
 
−
Einstellungen können '''vor''' dem Kompilieren in der Datei ''local_scan.c'' vorgenommen werden. Z.B. hier die Default-Einstellungen:
 
 
<pre>
 
<pre>
−
/************************/
+
root@h2859558 (FF)[/usr] # cd /usr/local/src
−
#define DEFAULT_MYSQLHOST "localhost"
+
root@h2859558 (FF)[/usr/local/src] # wget https://secure.eicar.org/eicar.com.txt
−
#define DEFAULT_MYSQLUSER "milter"
+
root@h2859558 (FF)[/usr/local/src] #  clamscan eicar.com.txt
−
#define DEFAULT_MYSQLPASS "milter"
+
/usr/local/src/eicar.com.txt: {HEX}EICAR.TEST.3.UNOFFICIAL FOUND
−
#define DEFAULT_MYSQLDB  "relaydelay"
 
−
#define DEFAULT_BLOCK_EXPIRE  55  /* minutes until email is accepted */
 
−
#define DEFAULT_RECORD_EXPIRE 500  /* minutes until record expires */
 
−
#define DEFAULT_RECORD_EXPIRE_GOOD 36 /* days until record expires after accepting email */
 
−
#define DEFAULT_LOCAL_SCAN_DEBUG  0 /* set to 1 to enable debugging */
 
  
−
/*************************/
+
----------- SCAN SUMMARY -----------
 +
Known viruses: 9003832
 +
Engine version: 0.102.4
 +
Scanned directories: 0
 +
Scanned files: 1
 +
Infected files: 1
 +
Data scanned: 0.05 MB
 +
Data read: 0.05 MB (ratio 1.00:1)
 +
Time: 16.234 sec (0 m 16 s)
 
</pre>
 
</pre>
  
−
==Fuzzy OCR==
+
==SimScan==
−
Hierbei handelt es sich um ein Plugin für Spamassassin, womit der Text in Grafiken gescannt werden kann und anhand einer Wortliste dann entschieden wird, ob die Grafik SPAM enthält
 
  
−
Zuerst installiert man die benötigten Pakete
+
===RipMime===
 
<pre>
 
<pre>
−
yum install netpbm-progs ocrad gifsicle perl-String-Approx perl-MLDBM-Sync giflib-utils gocr ImageMagick
+
rpm -Uvh http://ftp.halifax.rwth-aachen.de/fedora-epel/8/Everything/SRPMS/Packages/r/ripmime-1.4.0.10-7.el8.src.rpm
 +
dnf -y install ripmime
 
</pre>
 
</pre>
  
−
Anschließend lädt man das Paket herunter, entpackt dieses und kopiert die Dateien in den Spamassassin-Ordner
+
 
 +
===Installation ===
 
<pre>
 
<pre>
−
cd /var/src/tar/
+
cd /var/src/tar
−
wget http://users.own-hero.net/~decoder/fuzzyocr/fuzzyocr-3.5.1-devel.tar.gz
+
wget https://notes.sagredo.eu/files/qmail/tar/simscan-1.4.1.tar.gz
−
cd ..
+
wget https://notes.sagredo.eu/files/qmail/patches/simscan/simscan-1.4.1_20200803.patch
−
tar xvzpf tar/fuzzyocr-3.5.1-devel.tar.gz  
+
tar xzf simscan-1.4.1.tar.gz
−
cp -a FuzzyOcr-3.5.1/FuzzyOcr* /etc/mail/spamassassin/
+
cd simscan-1.4.1
 +
chown -R root:root .
 +
patch < ../simscan-1.4.1_20200803.patch
 +
cp configure.ac configure.in
 +
 
 +
./configure \
 +
--enable-user=clamscan \
 +
--enable-clamav=y \
 +
--enable-spam=y \
 +
--enable-spam-passthru=y \
 +
--enable-spam-hits=9.5 \
 +
--enable-per-domain=y \
 +
--enable-ripmime \
 +
--enable-attach=y \
 +
--enable-custom-smtp-reject=y \
 +
--enable-spamc-user=y \
 +
--enable-received=y \
 +
--enable-clamavdb-path=/var/lib/clamav
 +
 
 +
make
 +
make install-strip
 +
 
 
</pre>
 
</pre>
  
−
Zwischendurch checkt man die Version von Spamassassin
 
 
<pre>
 
<pre>
−
# spamassassin -V
+
mkdir /var/qmail/simscan
−
SpamAssassin version 3.2.5
+
chown clamscan:clamscan /var/qmail/simscan
−
  running on Perl version 5.8.8
 
 
</pre>
 
</pre>
−
Sollte die Version kleiner 3.2.0 sein, sollte man die Datei v320.pre im Ordner /etc/mail/spamassassin bearbeiten (siehe Installationsanleitung)
 
  
−
Nun passt man folgende Zeilen in der Datei FuzzyOcr.cf an
+
===Konfiguration ===
 
<pre>
 
<pre>
−
# vi /etc/mail/spamassassin/FuzzyOcr.cf
+
cat > /var/qmail/control/simcontrol << __EOF__
 +
:clam=yes,spam=yes,spam_hits=9.5,attach=.vbs:.lnk:.scr:.wsh:.hta:.pif
 +
__EOF__
 +
</pre>
  
−
focr_logfile /var/log/FuzzyOcr.log
+
Nach jeder Änderung der Datei '''/var/qmail/control/simcontrol''' muss die Datei '''/var/qmail/control/simcontrol.cdb''' neu generiert werden.
−
focr_enable_image_hashing 2
 
−
#focr_bin_helper tesseract
 
  
 +
<pre>
 +
/var/qmail/bin/simscanmk
 
</pre>
 
</pre>
−
den Rest lässt man auf den default-Werten. Tesseract nur einschalten, wenn man es installiert hat.
 
  
−
Nun testet man, ob alle Abhängigkeiten erfüllt sind.
+
Understanding the simcontrol file
 +
 
 +
You can setup rules for a specific user, a specific domain and a default rule as follows:
 +
 
 
<pre>
 
<pre>
−
# spamassassin --lint
+
cat > /var/qmail/control/simcontrol << __EOF__
 +
postmaster@example.com:clam=yes,spam=no,attach=.txt:.com
 +
example.com:clam=no,spam=yes,attach=.mp3
 +
:clam=yes,spam=yes,spam_hits=9.5,attach=.vbs:.lnk:.scr:.wsh:.hta:.pif
 +
__EOF__
 
</pre>
 
</pre>
−
Hier sollte nun keine Ausgabe erfolgen.
+
* The first line sets clam on and spam off for postmaster@example.com and checks for viruses inside attached file .txt and .com names.
 +
* The second line sets clam off and spam on for the example.com domain and disallows .mp3 files for the attachment scanner.
 +
* The third line sets the default for the whole machine to enable clam, spam scanning, and sets the reject level for spam hits to 9.5.
  
−
Anschließend legt man die Log-Datei mit den korrekten Rechten an, falls diese noch nicht existiert.
+
=== Automatisches Update ===
 +
 
 +
Zuerst muss das Update-Skript erzeugt werden
 
<pre>
 
<pre>
−
touch /var/log/FuzzyOcr.log
+
cd /var/src/
−
chown qscand.qscand /var/log/FuzzyOcr.log
+
wget --no-check-certificate https://qmail.jms1.net/simscan/update-simscan.c
 +
gcc -s -o /usr/local/sbin/update-simscan update-simscan.c
 +
chown root:clamscan /usr/local/sbin/update-simscan
 +
chmod 4110 /usr/local/sbin/update-simscan
 
</pre>
 
</pre>
  
−
Danach testet man, ob eine Grafik als Spam erkannt wird, mit :
+
Anschließend wird die Datei '''/etc/freshclam.conf''' angepasst
 
<pre>
 
<pre>
−
spamassassin --debug FuzzyOcr < /var/src/FuzzyOcr-3.5.1/samples/ocr-animated.eml > /dev/null
+
OnUpdateExecute /usr/local/sbin/update-simscan
 
</pre>
 
</pre>
  
−
und irgendwo unten in der Ausgabe erscheint dann:
+
und der clamav-update-Daemon restartet
 
<pre>
 
<pre>
−
...
+
systemctl restart clamav-freshclam
−
[26434] info: FuzzyOcr: Scanset "ocrad" generates enough hits (4), skipping further scansets...
 
−
[26434] info: FuzzyOcr: Message is spam, score = 9.000
 
−
[26434] info: FuzzyOcr: Adding Hash to "/etc/mail/spamassassin/FuzzyOcr.db" with score "9.000"
 
−
[26434] dbg: FuzzyOcr: Digest: 484116:361:447:7::255:255:255:255:147877::0:0:0:0:7719::153:0:0:46:1764::204:0:0:61:1190::0:0:255:29:1110::255:0:0:76:858
 
−
[26434] info: FuzzyOcr: Words found:
 
−
[26434] info: FuzzyOcr: "price" in 1 lines
 
−
[26434] info: FuzzyOcr: "company" in 1 lines
 
−
[26434] info: FuzzyOcr: "alert" in 1 lines
 
−
[26434] info: FuzzyOcr: "news" in 1 lines
 
−
[26434] info: FuzzyOcr: (6 word occurrences found)
 
−
[26434] dbg: FuzzyOcr: Remove DIR: /tmp/.spamassassin26434a9bpvQtmp
 
−
[26434] dbg: FuzzyOcr: FuzzyOcr ending successfully...
 
−
[26434] dbg: FuzzyOcr: Processed in 0.524110 sec.
 
 
</pre>
 
</pre>
  
−
Wichtig ist die 2. Zeile und das keine Fehler aufgetreten sind.
+
===Test ===
−
Die Fehlermeldungen in '''/var/log/FuzzyOcr.log bzgl. des Fehlens von gocr und tesseract kann man ignorieren, weil zum Scannen der Texte ''orcad''' benutzt wird.
 
−
 
 
−
Da nun alles korrekt läuft, müssen wir nur Spamassassin mitteilen, das er das Plugin lädt.
 
 
<pre>
 
<pre>
−
/etc/init.d/spamassassin restart
+
cd /usr/local/src
 +
echo "This is a test message" > mailtest.txt
 +
env QMAILQUEUE=/var/qmail/bin/simscan SIMSCAN_DEBUG=4 /var/qmail/bin/qmail-inject postmaster@afdb.de < mailtest.txt
 
</pre>
 
</pre>
  
 +
== fail2ban==
  
 +
Falls noch nicht bei der Server-Installation installiert, sollte man spätestens jetzt '''fail2ban''' installieren.
  
−
Links:
+
=== Installation ===
−
* http://fuzzyocr.own-hero.net/
 
−
* http://fuzzyocr.own-hero.net/wiki/Installation-3.5.x
 
−
===Logdatei Rotation===
 
 
<pre>
 
<pre>
−
vi /etc/logrotate.d/fuzzyocr
+
dnf -y install fail2ban fail2ban-server fail2ban-sendmail
−
 
 
−
/var/log/FuzzyOcr.log {
 
−
  rotate 12
 
−
  weekly
 
−
  compress
 
−
  delaycompress
 
−
  create 664 qscand qscand
 
−
}
 
 
</pre>
 
</pre>
−
}
 
  
−
== Server-seitige Mailfilterung mit SIEVE ==
+
=== Konfiguration ===
−
Um eMails auf dem Server bereits in richtige Ordner einsortieren lassen zu können oder einen Autoresponder zu setzen, bietet sich die Verwendung des bereits beschriebene Installation und Konfiguration der SIEVE-Erweiterung Pigeonhole von Dovecot an. Um dies zu aktivieren und durch den Benutzer konfigurierbar zu machen, fehlen nur noch wenige Handgriffe.
 
  
−
=== Konfiguration des SIEVE Plugins ===
+
Zuerst passt man die Datei '''/etc/fail2ban/jail.local''' an und fügt folgende Zeilen hinzu:
−
Die Datei <code>/etc/dovecot/conf.d/90-sieve.conf</code> mit einem beliebigen Editor öffnen und folgende Änderungen vornehmen:
 
−
* Zeile 11: <code>sieve = /home/vpopmail/domains/%d/%n/user.sieve</code>
 
−
* <strike>Zeile 53: <code>sieve_extensions = +notify +imapflags</code> (optional)</strike> ==> Kann man aktivieren, kann aber u.U. zu Problemen führen. Nur aktivieren wenn unbedingt notwendig!
 
  
−
Der Pfad in Zeile 11 entspricht der Standard-Konfiguration und speichert die Benutzer-Konfiguration in dem jeweiligen Ordner des Benutzers, zum Beispiel: <code>/home/vpopmail/domains/link-innovation.de/wickham/user.sieve</code>. Die möglichen Platzhalter können unter http://wiki2.dovecot.org/Variables eingesehen werden.
 
−
 
−
 
−
Anschließend speichern und die neue Konfiguration mittels <code>service dovecot reload</code> neu laden.
 
−
 
−
=== Aktivierung des SIEVE Filters pro Domain ===
 
−
Um die Server-seitige Filterung zu aktivieren, muss für jede Domain - die dieses Feature erhalten soll -, der Delivery Agent wie folgt auf Dovecot umgeleitet werden:
 
 
<pre>
 
<pre>
−
cd /home/vpopmail/domains/<DOMAIN>/
+
[qmail-smtp]
−
vim .qmail-default
+
enabled  = true
−
</pre>
+
filter  = qmail-smtp
 +
action  = iptables[name=SMTP, port=25, protocol=tcp]
 +
          sendmail-whois-lines[name=SMTP, logpath="%(logpath)s"]
 +
logpath  = /var/log/qmail/smtpd/current
 +
maxretry = 5
 +
bantime  = 1d
 +
findtime = 1h
  
−
Die dort enthaltene Zeile kann entfernt oder in die 2. Zeile verschoben werden. Anschließend die folgende Zeile in der ersten Zeile(!) einfügen und speichern:
+
[qmail-submission]
−
<pre>|/var/qmail/bin/preline -f /usr/local/dovecot/libexec/dovecot/deliver -d $EXT@$USER</pre>
+
enabled  = true
 +
filter  = qmail-smtp
 +
action  = iptables[name=SUBMISSION, port=587, protocol=tcp]
 +
          sendmail-whois-lines[name=SUBMISSION, logpath="%(logpath)s"]
 +
logpath  = /var/log/qmail/submission/current
 +
maxretry = 5
 +
bantime  = 1d
 +
findtime = 1h
  
−
=Tuning und Einstellungen=
 
  
−
Über verschiedene Dateien in <code>/var/qmail/control/</code> kann man verschiedene Dinge einstellen. Die Liste ist u.U. nicht komplett, sondern wird bei Bedarf entsprechend erweitert. Nach dem Ändern einer Einstellung sollte qmail sicherheitshalber mit <code>qmailctl restart</code> neu gestartet werden.
+
[vpopmail]
 +
enabled  = true
 +
filter  = vpopmail
 +
action  = iptables[name=VPOPMAIL, port=587, protocol=tcp]
 +
          sendmail-whois-lines[name=VPOPMAIL, logpath="%(logpath)s"]
 +
# check your syslog mail related log (mail.log in some systems)
 +
logpath  = /var/log/maillog
 +
maxretry = 5
 +
bantime  = 86400
 +
findtime = 3600
  
−
Einige Listen findet man hier:
 
−
:* http://www.lifewithqmail.org/lwq.html#config-files
 
−
:* http://qmailwiki.inter7.com/Qmail-control-files
 
  
−
Durch enthaltene Patches kann es weitere Optionen geben.
+
[dovecot-pop3]
 +
enabled  = true
 +
filter  = dovecot
 +
action  = iptables-multiport[name=POP3, port="110,995", protocol=tcp]
 +
          sendmail-whois-lines[name=POP3, logpath="%(logpath)s"]
 +
logpath  = /var/log/dovecot/dovecot.log
 +
maxretry = 6
 +
bantime  = 1h
 +
findtime = 1h
  
  
−
'''queuelifetime'''
+
[dovecot-imap]
 +
enabled = true
 +
filter = dovecot
 +
action = iptables-multiport[name=IMAP, port="143,993", protocol=tcp]
 +
sendmail-whois-lines[name=IMAP, logpath="%(logpath)s"]
 +
logpath = /var/log/dovecot/dovecot.log
 +
maxretry = 6
 +
bantime = 1h
 +
findtime = 1h
 +
</pre>
  
−
Bestimmt wie lange Nachrichten in der Queue verbleiben bis ein Fehler ausgelöst wird, wenn sie nicht zugestellt werden können. In der Default-Einstellung sind das 7 Tage. Die Zeit wird in Sekunden angegeben und kann getrost verringert werden, dann erkennt man auch schnelle etwaige Fehler in der Konfiguration.
+
=== Systemd ===
−
 
 
−
Mit <code># vi /var/qmail/control/queuelifetime</code> die Datei anlegen und die Zeit in Sekunden anlegen, hier z.B. einen Tag:
 
 
<pre>
 
<pre>
−
86400
+
systemctl restart fail2ban
 
</pre>
 
</pre>
  
−
'''databytes'''
+
=== Test ===
−
 
 
−
Maximale Größe einer E-Mail Nachricht in Bytes, z.B. <code># vi /var/qmail/control/databytes</code>:
 
 
<pre>
 
<pre>
−
15000000
+
fail2ban-client status
 
</pre>
 
</pre>
  
−
'''Größe und Anzahl der Logdateien'''
 
−
Wenn man will das QMAIL mehr und größe Logdateien erzeigt muß man die Parameter für '''multilog''' im '''run'''-Skript ändern.
 
−
z.B: /service/qmail/log/run
 
 
<pre>
 
<pre>
−
#vi /service/qmail/log/run
+
fail2ban-regex /var/log/qmail/smtpd/current /etc/fail2ban/filter.d/qmail-smtp.conf
−
 
 
−
#!/bin/sh
 
−
exec /usr/local/bin/setuidgid qmaill /usr/local/bin/multilog t n20 s4999999 /var/log/qmail/smtpd
 
 
</pre>
 
</pre>
−
wobei die Parameter wie folgt belegt sind.
 
−
 
−
'''nX:'''
 
−
         
 
−
X ist hierbei die Anzahl der Logdateien, bevor die erste wieder gelöscht wird
 
  
−
'''sXXXXXXXXX'''
 
  
−
XXXXXX ist hierbei die Größe der Logdatei in Bytes
+
=== Manuelles setzen ===
−
 
 
−
==Logwatch==
 
−
Um zu verhindern, das Logwatch sämtliche Details in seinem Statusbericht ausgibt, empfiehlt es sich auf primären Mailservern hier die Defaulteinstellungen etwas zu ändern.
 
  
 
<pre>
 
<pre>
−
vi /usr/share/logwatch/default.conf/services/qmail-send.conf
+
fail2ban-client set apache-typo3 banip 154.196.72.202
−
 
 
−
# This sets whether to display counts of emails from each user & to each user.
 
−
# Will make rather a large log file if run on a primary mail server.
 
−
# Set either 0 or 1
 
−
#$qmail_high_detail = 1 # default
 
−
$qmail_high_detail = 0
 
 
</pre>
 
</pre>
  
−
<pre>
+
==SquirrelMail==
−
vi /usr/share/logwatch/default.conf/services/qmail-smtpd.conf
 
  
−
# This sets whether to display counts of emails from each user & to each user.
+
:* http://www.squirrelmail.org
−
# Will make rather a large log file if run on a primary mail server.
 
−
# Set either 0 or 1
 
−
#$qmail_high_detail = 1 # default
 
−
$qmail_high_detail = 0
 
−
</pre>
 
  
−
Zusätzlich kann man dann noch in der Datei '/etc/logwatch/conf/ignore.conf' ein Paar Ausdrücke aus dem Statusbericht herausfiltern.
 
 
<pre>
 
<pre>
−
vi /etc/logwatch/conf/ignore.conf
+
cd /var/src/tar
  
−
###### REGULAR EXPRESSIONS IN THIS FILE WILL BE TRIMMED FROM REPORT OUTPUT #####
+
# Achtung: Immer nach neuster Version schauen! Siehe Projektlink.
−
CHKUSER accepted sender
+
wget http://mesh.dl.sourceforge.net/sourceforge/squirrelmail/squirrelmail-1.4.15.tar.gz
−
CHKUSER accepted any rcpt
+
cd ..
−
</pre>
 
  
−
=Tipps & Tricks=
+
tar xzf tar/squirrelmail-1.4.15.tar.gz
 +
cd tar/squirrelmail-1.4.15
  
−
==WICHTIG: SPF / DNS==
+
./configure
  
−
Wichtig ist auch die richtige SPF Konfiguration im DNS, da sonst einige Mailserver ggf. die Kommunikation verweigern (Spamschutz).
+
# Nun Einstellungen wie gewünscht vornehmen, die folgenden auf jeden Fall
  
−
===Überblick===
+
* 2.  Server Settings
 +
      Ggf. IMAP/SMTP localhost gegen die IP/Hostnamen tauschen, wenn Courier nur auf einer IP und nicht auf allen eingerichtet ist
  
−
SPF steht für Sender Policy Framework und ist eine Technik zur Vermeidung von Spam- oder Virenmails mit gefälschtem Absender.
 
  
−
Da bei SPF in der Zonendatei des Nameservers der Absenderdomain ein spezieller Eintrag eingebaut wird, ist gewährleistet, dass Unbefugte keine Manipulationen vornehmen können.
+
* 4. General Options
 +
      Data Directory (1) auf "/var/www/data/"
 +
      Attach Directory (2) auf "/var/www/attach/"
 +
      Allow server thread sort (10) auf "y"
 +
      Allow server-side sorting (11) auf "y"
  
−
SPF verhindert aber kein Spam, für den der Versender eine eigene Domain ordnungsgemäss angemeldet hat und greift auch nicht bei nicht existierenden Domains.
+
      Save data (s)
  
−
Dieser Überblick stammt von folgender Webseite, wo man einfach verständliche Informationen findet: http://wiki.hetzner.de/index.php/DNS_SPF
+
* Quit und Save
  
−
===Weitere Links===
+
mv data/ /var/www/
 +
mkdir /var/www/attach
 +
chown -R apache.apache /var/www/data/ /var/www/attach/
 +
mv squirrelmail-1.4.15/ /var/www/html/webmail
 +
</pre>
  
−
:* SMTP+SPF, Sender Policy Framework: http://spf.pobox.com/
+
Nun in einem gewünschten Virtuellen Host oder der ssl.conf den Zugriff einrichten, z.B. mit
−
:* SPF-Mechanismus und Syntax: http://spf.pobox.com/mechanisms.html
+
<pre>
−
:* SPF-Tester: http://www.dnsstuff.com/pages/spf.htm
+
Alias /webmail/ /var/www/html/webmail/
−
:* SRS-Verfahren: http://spf.pobox.com/srs.html
+
Alias /webmail /var/www/html/webmail/
−
+
</pre>
  
 +
Natürlich kann jederzeit unter <code>/var/www/html/webmail/</code> das <code>./configure</code> Skript aufgerufen werden und somit die Konfiguration verändert werden.
  
 +
===Sprachen einrichten===
  
−
==Autorespond fixen==
+
<pre>
 +
cd /var/src/tar/
 +
wget http://surfnet.dl.sourceforge.net/sourceforge/squirrelmail/all_locales-1.4.13-20071220.tar.gz
 +
mkdir squirrelmail-locale
 +
cd squirrelmail-locale
 +
tar xzf ../tar/all_locales-1.4.13-20071220.tar.gz
  
−
Wenn man ''autorespond'' (Mail-Robot) benutzt und im <code>/var/log/qmail/current</code> folgende Fehlermeldung sieht:
+
./install
−
<pre>
 
−
(...)
 
−
deferral: /bin/sh:_/usr/local/bin/autorespond:_No_such_file_or_directory/
 
−
(...)
 
−
</pre>
 
  
−
kann man das Problem mit folgendem Kommando beheben:
+
# Dort den Pfad "/var/www/html/webmail/" angeben
−
<pre>
 
−
# ln -s /usr/bin/autorespond /usr/local/bin/autorespond
 
 
</pre>
 
</pre>
  
−
==Mit Mailboxen umziehen==
+
Tipp: Wenn man nicht soviel mit "y" das Kopieren bestätigen möchte, kurz das install-Skript editieren und das <code>-i</code> beim cp entfernen.
  
−
Wenn man mit einem Qmail-Toaster einmal auf eine andere Maschine umzieht, muss man die Mailboxen samt allen Einstellungen/Kennwörtern etc. natürlich mitnehmen. Hier eine kurze Beschreibung wie man das macht ohne eine Mail zu verlieren.
+
Nun kann man noch mit dem <code>configure</code> Skript in <code>/var/www/html/webmail/</code> die Default-Sprache auf Deutsch (de_DE) und das Charset z.B. auf iso-8859-15 einstellen.
  
−
Man kann das ganz gut mit zwei SSH-Terminal-Sitzungen machen. Eine auf dem Quell-Server und eine auf dem Ziel-Server.
 
  
 +
===SIEVE-Filter Plugin===
 +
Um den optional eingerichteten SIEVE-Filter auch für die benutzer Steuerbar zu machen, empfiehlt sich die Installation des Avelsieve Plugins für Squirrelmail wie folgt. Die offizielle Seite zu dem Plugin ist unter http://squirrelmail.org/plugin_view.php?id=73 zu finden.
 +
<pre>cd /usr/share/squirrelmail/plugins/
 +
wget "http://squirrelmail.org/countdl.php?fileurl=http%3A%2F%2Fwww.squirrelmail.org%2Fplugins%2Favelsieve-1.9.9.tar.gz"
 +
tar xfz avelsieve-1.9.9.tar.gz
 +
cd ./avelsieve/config/
 +
cp config_sample.php config.php</pre>
  
−
'''Server: Quelle'''
+
==== Änderungen in der Konfiguration ====
 +
# Mit dem Editor der Wahl nun die frisch kopierte <code>config.php</code> öffnen und den Wert von <code>$sieveport</code> von <code>2000</code> in <code>4190</code> ändern.
 +
# Optional können in den Zeilen 151-153 (<code>$avelsieve_hardcoded_capabilities</code>) noch die Fähigkeiten von SIEVE konfiguriert werden. Alle Einstellungen für den Dovecot LDA, wie im Kommentar darüber aufgelistet, können ohne Probleme übernommen werden.
 +
# Vor dem Schließen der Datei muss noch sichergestellt sein, dass die Variable <code>$avelsieve_disabletls</code> auf <code>true</code> gesetzt ist. Anschließend Datei speichern und schließen.
  
−
Als erstes muss man den gesamten Qmail-Toaster stoppen damit keine Mails mehr versendet oder empfangen werden können:
+
==== Aktivierung des Plugins in Squirrelmail ====
−
<pre>
+
Abschließend ist das Plugin noch über das Squirrelmail Config-Script zu aktivieren. Dazu muss das <code>/usr/share/squirrelmail/config/conf.pl</code> Script aufgerufen werden. Dabei sind in dem Menü-gesteuerten Script folgende Eingaben zu tätigen und jeweils mit ENTER zu bestätigen:
−
# qmailctl stop
+
* 8 (Auswahl des Plugin Menüs)
−
# vpopmailctl stop
+
* Die Zahl vor "avelsieve" unter "Available plugins" (aktiviert das Plugin)
−
# /etc/init.d/courier-imap stop
+
* S (Änderungen speichern)
−
# /etc/init.d/courier-authlib stop
+
* Q (Script beenden)
−
</pre>
+
 
 +
==== Testen der Einstellungen ====
 +
Anschließend kann man sich bei Squirrelmail anmelden und unter Optionen -> Nachrichtenfilter einen ersten Filter anlegen. Es empfiehlt sich eine Regel anzulegen, die nach einem String im Betreff sucht und die eMail in einem anderen Ordner als dem Posteingang ablegt. Nach dem Speichern einfach eine eMail an die eigene Adresse senden und schauen ob die Mail richtig abgelegt wurde.
 +
 
 +
= QMAIL Add-ons=
 +
 
 +
== Realtime Blackhole List (RBL) - qmail-dnsbl ==
 +
 
 +
=== Konfiguration ===
 +
<pre>
 +
cat > /var/qmail/control/dnsbllist << __EOF__
 +
-b.barracudacentral.org
 +
-zen.spamhaus.org
 +
__EOF__
 +
</pre>
 +
 
 +
=== Funktionstest ===
 +
<pre>
 +
qmailctl restart
 +
qmail-showctl |grep dnsbl
 +
dnsbllist:
 +
List at -b.barracudacentral.org configured for dnsbl check.
 +
List at -zen.spamhaus.org configured for dnsbl check.
 +
</pre>
 +
 
 +
== Greetdelay ==
 +
 
 +
Um ggf. Greetdelay-Zeiten anzupassen, muss man die Dateien '''/var/qmail/supervice/qmail-smtpd/run''' und ''/var/qmail/supervice/qmail-submission/run''' anpassen.
 +
<pre>
 +
export SMTPD_GREETDELAY=15
 +
export DROP_PRE_GREET=1
 +
</pre>
 +
Beispiel: Greetdelay von 15s und Drop der Daten, die vorher erneut gesendet wurden.
 +
 
 +
==SPF==
 +
SPF behavior of your mail server is controlled by the file /var/qmail/control/spfbehavior. You can specify a value between 0 and 6:
 +
 
 +
    0 disabled (Default). Never do SPF lookups, don't create Received-SPF headers
 +
    1 selects 'annotate-only' mode,  where  qmail-smtpd  will  annotate  incoming  email with Received-SPF fields, but will not reject any messages.
 +
    2 will produce temporary failures on DNS lookup problems so you can make sure you always have meaningful Received-SPF headers.
 +
    3 selects  'reject'  mode,  where  incoming  mail  will be rejected if the SPF record says 'fail'.
 +
    4 selects a more stricter rejection mode, which is like 'reject' mode, except that incoming mail will also be rejected when the SPF record says 'softfail'.
 +
    5 will also reject when the SPF record says 'neutral'
 +
    6 if no SPF records are available at all (or a syntax error was encountered).
 +
 
 +
You can override the value in /var/qmail/control/spfbehavior by setting the SPFBEHAVIOR environment variable (typically in /etc/tcprules.d/tcp.smtp or, if you’ve used these notes as your guide, in ~/vpopmail/etc/tcp.smtp).
 +
 
 +
Values higher than 3 are strongly discouraged. You probably will want to go with 2 or 3.
 +
 
 +
=Tipps & Tricks=
 +
 
 +
==Mit Mailboxen umziehen==
 +
 
 +
Wenn man mit einem Qmail-Toaster einmal auf eine andere Maschine umzieht, muss man die Mailboxen samt allen Einstellungen/Kennwörtern etc. natürlich mitnehmen. Hier eine kurze Beschreibung wie man das macht ohne eine Mail zu verlieren.
 +
 
 +
Man kann das ganz gut mit zwei SSH-Terminal-Sitzungen machen. Eine auf dem Quell-Server und eine auf dem Ziel-Server.
 +
 
 +
 
 +
'''Server: Quelle'''
 +
 
 +
Als erstes muss man den gesamten Qmail-Toaster stoppen damit keine Mails mehr versendet oder empfangen werden können:
 +
<pre>
 +
qmailctl stop
 +
systemctl stop dovecot
 +
</pre>
  
 
Nun packt man den gesamten Inhalt von <code>/home/vpopmail/domains</code> ein:
 
Nun packt man den gesamten Inhalt von <code>/home/vpopmail/domains</code> ein:
 
<pre>
 
<pre>
−
# cd ~
+
cd /home/vpopmail/domains
−
# tar cfvpz mail-domains.tar.gz /home/vpopmail/domains/
+
tar cfvpz mail-domains.tar.gz /home/vpopmail/domains/
 
</pre>
 
</pre>
  
Zeile 2.633: Zeile 3.051:
 
Nachdem die Datei auf dem Ziel-Server angekommen ist, kann sie dort eingespielt werden. Dazu entpacken wir zuerst das tar.gz-Paket in einem temp. Ordner, in den wir zuvor mit <code>cd</code> gewechselt sind, und verschieben dann die Mailboxen an den richtigen Platz.
 
Nachdem die Datei auf dem Ziel-Server angekommen ist, kann sie dort eingespielt werden. Dazu entpacken wir zuerst das tar.gz-Paket in einem temp. Ordner, in den wir zuvor mit <code>cd</code> gewechselt sind, und verschieben dann die Mailboxen an den richtigen Platz.
 
<pre>
 
<pre>
−
# tar xzf mail-domains.tar.gz
+
tar xzf mail-domains.tar.gz
−
# cd home/vpopmail/domains
+
cd /home/vpopmail/domains
−
# mv -v * /home/vpopmail/domains/
+
mv -v * /home/vpopmail/domains/
 
</pre>
 
</pre>
  
Zeile 2.643: Zeile 3.061:
 
Die Datei <code>/var/qmail/users/assign</code> ausgeben:
 
Die Datei <code>/var/qmail/users/assign</code> ausgeben:
 
<pre>
 
<pre>
−
# cat /var/qmail/users/assign
+
cat /var/qmail/users/assign
 
</pre>
 
</pre>
  
Zeile 2.650: Zeile 3.068:
 
Den Inhalt der oben ausgegebenen Datei nun in die entsprechende Datei auf dem Ziel-Server anhängen:
 
Den Inhalt der oben ausgegebenen Datei nun in die entsprechende Datei auf dem Ziel-Server anhängen:
 
<pre>
 
<pre>
−
# vi /var/qmail/users/assign
+
vi /var/qmail/users/assign
 
</pre>
 
</pre>
  
Zeile 2.670: Zeile 3.088:
 
Wieder auf dem Quell-Server eine weitere Datei ausgeben.
 
Wieder auf dem Quell-Server eine weitere Datei ausgeben.
 
<pre>
 
<pre>
−
# cat /var/qmail/control/rcpthosts
+
cat /var/qmail/control/rcpthosts
 
</pre>
 
</pre>
  
Zeile 2.677: Zeile 3.095:
 
Den Inhalt der oben ausgegebenen Datei nun ebenfalls in die entsprechende Datei auf dem Ziel-Server anhängen:
 
Den Inhalt der oben ausgegebenen Datei nun ebenfalls in die entsprechende Datei auf dem Ziel-Server anhängen:
 
<pre>
 
<pre>
−
# vi /var/qmail/control/rcpthosts
+
vi /var/qmail/control/rcpthosts
 
</pre>
 
</pre>
  
Zeile 2.700: Zeile 3.118:
 
Wieder auf dem Quell-Server eine weitere Datei ausgeben.
 
Wieder auf dem Quell-Server eine weitere Datei ausgeben.
 
<pre>
 
<pre>
−
# cat /var/qmail/control/virtualdomains
+
cat /var/qmail/control/virtualdomains
 
</pre>
 
</pre>
  
Zeile 2.707: Zeile 3.125:
 
Den Inhalt der oben ausgegebenen Datei nun ebenfalls in die entsprechende Datei auf dem Ziel-Server anhängen:
 
Den Inhalt der oben ausgegebenen Datei nun ebenfalls in die entsprechende Datei auf dem Ziel-Server anhängen:
 
<pre>
 
<pre>
−
# vi /var/qmail/control/virtualdomains
+
vi /var/qmail/control/virtualdomains
 
</pre>
 
</pre>
  
Zeile 2.728: Zeile 3.146:
 
Nun muss auf dem Ziel-Server noch qmails user datenbank als ''cdb'' aktualisiert werden (/var/qmail/users/cdb):
 
Nun muss auf dem Ziel-Server noch qmails user datenbank als ''cdb'' aktualisiert werden (/var/qmail/users/cdb):
 
<pre>
 
<pre>
−
# /var/qmail/bin/qmail-newu
+
/var/qmail/bin/qmail-newu
 
</pre>
 
</pre>
  
 
Anhand des Timestamps der Datei kann man überprüfen ob das geklappt hat:
 
Anhand des Timestamps der Datei kann man überprüfen ob das geklappt hat:
 
<pre>
 
<pre>
−
# ls /var/qmail/users/ -al
+
ls /var/qmail/users/ -al
 
insgesamt 36
 
insgesamt 36
 
drwxr-xr-x  2 root qmail 4096 31. Mär 02:21 .
 
drwxr-xr-x  2 root qmail 4096 31. Mär 02:21 .
Zeile 2.744: Zeile 3.162:
 
Vorsichthalber auf dem Ziel-Server alle Toaster-Dienste neu starten:
 
Vorsichthalber auf dem Ziel-Server alle Toaster-Dienste neu starten:
 
<pre>
 
<pre>
−
# qmailctl restart
+
qmailctl restart
−
# vpopmailctl restart
+
systemctl restart dovecot
−
# /etc/init.d/courier-imap restart
 
 
</pre>
 
</pre>
  
Zeile 2.785: Zeile 3.202:
 
<pre>
 
<pre>
 
:212.68.65.193
 
:212.68.65.193
−
</pre>
+
</pre>
−
 
+
 
−
'''Server: Ziel'''
+
'''Server: Ziel'''
−
 
+
 
−
Mit <code>vi /home/vpopmail/etc/tcp.smtp</code> folgenden Eintrag anhängen:
+
Mit <code>vi /home/vpopmail/etc/tcp.smtp</code> folgenden Eintrag anhängen:
−
<pre>
+
<pre>
−
213.252.153.34:allow,RELAYCLIENT=""
+
213.252.153.34:allow,RELAYCLIENT=""
−
</pre>
+
</pre>
−
 
+
 
−
Die cdb-Datei in <code>home/vpopmail/etc/</code> neu schreiben:
+
Die cdb-Datei in <code>/home/vpopmail/etc/</code> neu schreiben:
−
<pre>
+
<pre>
−
# qmailctl cdb
+
qmailctl cdb
−
</pre>
+
</pre>
−
 
+
 
−
 
+
 
−
'''Server: Quelle'''
+
'''Server: Quelle'''
−
 
+
 
−
Nun auf dem Quell-Server qmail wieder starten:
+
Nun auf dem Quell-Server qmail wieder starten:
−
<pre>
+
<pre>
−
# qmailctl start
+
qmailctl start
 
</pre>
 
</pre>
  
Zeile 2.831: Zeile 3.248:
  
 
Wenn alles geklappt hat und die Mail über den neuen Server zugestellt wurde, war es das.
 
Wenn alles geklappt hat und die Mail über den neuen Server zugestellt wurde, war es das.
−
 
−
===Courier-IMAP nach Dovecot===
 
−
Sollte man den IMAP-Server gewechselt haben, dann muss man noch die Postfächer für dovecot wandeln
 
−
 
−
<pre>
 
−
/usr/bin/courier-dovecot-migrate.pl --to-dovecot --recursive --convert /home/vpopmail/domains/domain
 
−
</pre>
 
  
 
==Mailinglisten reparieren==
 
==Mailinglisten reparieren==
Zeile 2.882: Zeile 3.292:
 
Anschließend sollte man wie gewohnt mir QMailAdmin arbeiten können
 
Anschließend sollte man wie gewohnt mir QMailAdmin arbeiten können
  
−
==SPAM Abwehr==
 
−
===Netzwerke blockieren ===
 
−
Um im ersten Schritt eine SPAM-Attacke zu unterbinden, macht es Sinn, per Firewall das Netzwerk, den Rechner des Angreifers zu blockieren.
 
−
<pre>
 
−
iptables -I INPUT -s 220.181.12.0/24 -p tcp --dport 25 -j DROP
 
−
iptables -I INPUT -s 220.181.12.0/24 -p udp --dport 25 -j DROP
 
−
</pre>
 
−
 
−
Mit diesen iptables Anweisungen werden sämtlich Pakete aus dem Netzwerk 220.181.12.0/24 (China) auf Port 25 (smtp) verworfen.
 
−
Damit verhindert man erstmal, das weitere SPAM-Mails eintreffen.
 
−
 
−
=== Qmail Queue leeren ===
 
−
Da nach einer SPAM-Attacke meistens die QMail Mailqueue extrem gefüllt ist, kommt es natürlich zu Beischränkunegn bei dem normalen Mailverkehr.
 
−
Daher macht es Sinn, die Queue dediziert zu bereinigen.
 
  
−
Dieses erreicht man mit dem Befehl:
+
== wichtige Links ==
−
<pre>
+
[http://rbl-check.org http://rbl-check.org]
−
qmail-remove -p "220.181.12" -d
 
−
</pre>
 
  
−
Hier werden sämtliche Mails aus der Queue gelöscht, die irgendwo das Suchmuster (-p) "220.181.12" in der Mail enthalten.
+
[https://talosintelligence.com/reputation_center/lookup?search=85.214.138.131 https://talosintelligence.com/reputation_center/lookup?search=85.214.138.131]
  
−
Download: [[Qmail Remove Tool|http://www.linuxmagic.com/opensource/qmail/qmail-remove/]]
+
[https://de.ssl-tools.net/mailservers https://de.ssl-tools.net/mailservers]

Aktuelle Version vom 17. April 2025, 07:07 Uhr


Einleitung

Das Ziel dieser Kurzanleitung ist NICHT, jemanden die Funktionsweise eines Mailservers beizubringen. Sondern die nachfolgenden Hinweise und Schritte dienen lediglich als Erinnerung, wie eine schnelle Installation von qmail und der zugehörigen Software durchzuführen ist, um zum Schluß einen funktionieren QMAIL-Toaster zu haben.

Quoting D. J. Bernstein definition 

  qmail is a secure, reliable, efficient, simple message transfer agent. It is designed for typical Internet-connected UNIX hosts

Referenzen

   * http://cr.yp.to/qmail.html
   * qmail.org (mirror)
   * Life with qmail
   * Bill Shupp's toaster (officially dead)
   * qmailwiki.org (dead)
   * Erwin Hoffman's "qmail support" site
   * John Simpson's "qmail information" pages
   * see also: the big qmail picture
   * Wichtig:  notes.sagredo.eu Qmail Installationsvorlage


History

Datum Von angepasst/getestet auf OS Arch Bemerkung
2023-05-18 Karl Schlicker Rocky Linux 9.x x86_64 Anleitung angepasst, basierend auf https://notes.sagredo.eu/ nun für Rocky Linux 9.x
2020-12-27 Karl Schlicker Centos 8.x x86_64 Anleitung angepasst und neu erstellt basierend auf https://notes.sagredo.eu/
2006-10-19 Dirk Schlüter Fedora Core 4 Linux x86_64 Greylisting Patch
2006-05-08 Dirk Schlüter Fedora Core 4 Linux x86_64 Update auf aktuelle Versionen, x86_64 Spezialitäten
2006-03-24 Dirk Schlüter Fedora Core 4 Linux i386 1. Version

Voraussetzungen

Voraussetzungen prüfen/installieren, gcc, tool, etc. siehe auch http://www.shupp.org/toaster/#prerequisites

Zuerst das Devel-Repo aktivieren 

dnf config-manager --set-enabled devel

dnf -y install gcc gcc-c++ gdb-minimal openssl openssl-devel stunnel
dnf -y install krb5-devel bzip2 bzip2-devel patch automake 
dnf -y install autoconf make unzip bind-utils openldap-devel libev-devel lz4-devel patch bzip2-devel
dnf -y install spamassassin-iXhash2.noarch
dnf -y install mariadb mariadb-server mariadb-devel
dnf -y install help2man multitail
dnf -y install cracklib cracklib-devel.x86_64 cracklib-dicts expat expat-devel telnet git

Damit die Installationsskripte ungestört arbeiten können, sollte man in der Terminal-Sitzung die Aliase für einige Befehle zurück setzen: 

unalias rm mv cp

Installation

DNS prüfen

DNS prüfen und sehen ob die IP-Adresse der Hauptmaildomain mit der des Servers übereinstimmt. Richtige DNS-Konfiguration ist für qmail sehr wichtig. 

[root@web1 /]# host -t mx afdb.de
afdb.de mail is handled by 10 mail.afdb.de.
[root@web1 /]# host -t a afdb.de
host -t a afdb.de

Vorhandenen Mail Server deinstallieren

Bereits installierten Mailserver entfernen, aber zuerst prüfen welcher der Fedora Default-Mailserver installiert ist: 

# rpm -qa|grep postfix
# rpm -qa|grep exim
# rpm -qa|grep sendmail
sendmail-8.16.1-10.el9.x86_64

Den gefundenen Mailserver entsprechend deinstallieren, z.B.: 

rpm -ev --nodeps sendmail

Um später bei Updates keine Problem bzgl. der Abhängigkeiten zu sendmail zu haben, empfiehlt es sich nachfolgendes Paket zu installieren, was für korrekte Abhängigkeiten sorgt. 

# rpm -ivh http://qmail.jms1.net/fake-smtp-1.0-1.noarch.rpm

daemontools

umask 0022
mkdir -p /usr/local/src
cd /usr/local/src
mkdir /var/qmail

daemontools aus Github herunterladen 

SRC=/usr/local/src
DAEMONTOOLS_VER=0.78.3
cd $SRC
wget https://github.com/sagredo-dev/daemontools/archive/refs/tags/v${DAEMONTOOLS_VER}.tar.gz
tar xzf v${DAEMONTOOLS_VER}.tar.gz

Install daemontools: 

cd /var/qmail
mkdir admin
chmod 1755 admin
cd admin
cp -rp /usr/local/src/daemontools-0.78.3/admin/daemontools-0.78.3/ . 
cd daemontools-0.78.3
chown -R root:root .
package/install

daemontools installed Add "clear" service, so that you can easily clear the readproctitle service errors line: 

mkdir -p /var/qmail/supervise/clear
touch /var/qmail/supervise/clear/down

cat > /var/qmail/supervise/clear/run << __EOF__
#!/bin/sh
yes '' | head -4000 | tr '\n' .
__EOF__

chmod +x /var/qmail/supervise/clear/run

Prüfen, ob die Daemontools laufen 

ps ax|grep svs
1141953 ?        Ss     0:00 /bin/sh /usr/bin/svscanboot
1141955 ?        S      0:00 svscan /service
1143414 pts/0    S+     0:00 grep --color=auto svs

cat > /usr/lib/systemd/system/daemontools.service << __EOF__
[Unit]
Description=Daemontools service supervision
ConditionPathExists=/command/svscanboot

[Service]
ExecStart=/command/svscanboot
Restart=always

[Install]
WantedBy=multi-user.target
__EOF__

# daemontools für systemctl aktivieren
systemctl daemon-reload
systemctl enable daemontools.service
systemctl start  daemontools.service

fehQlibs

fehQlibs are supplementary C libraries by Erwin Hoffmann. They are needed for ucspi-tcp6 and ucspi-ssl. 

FEQLIBS_VER=26
cd /usr/local/src
wget https://www.fehcom.de/ipnet/fehQlibs/fehQlibs-${FEQLIBS_VER}.tgz
tar xzf fehQlibs-${FEQLIBS_VER}.tgz 
mv fehQlibs-${FEQLIBS_VER} ..
cd ..
chown -R root:root fehQlibs-${FEQLIBS_VER}
cd fehQlibs-${FEQLIBS_VER}

Change the installation folder modifing the file conf-build as 

LIBDIR=/usr/local/lib 
HDRDIR=/usr/local/include

Compile and install: 

make -C src
make -C src shared
make -C src install 

cd .. 
ln -s fehQlibs-${FEQLIBS_VER} qlibs

Damit die qlibs beim Compilieren von ucspi-tcp6 gefunden werden, müssen diese in /etc/ld.so.conf.d/ bekannt gegeben werden. 

echo "/usr/local/qlibs" >> /etc/ld.so.conf.d/qlibs.conf
ldconfig

ucspi-tcp6

ucspi-tcp6 is a fork of Bernsteins' ucspi-tcp 0.88 program, which includes, among the other things, ipv6 capabilities to the original ucspi-tcp. tcpserver and tcpclient are easy-to-use command-line tools for building TCP client-server applications. 

TCP6_VER=1.13.02
cd /var/qmail/ 
wget https://www.fehcom.de/ipnet/ucspi-tcp6/ucspi-tcp6-${TCP6_VER}.tgz 
tar xzf ucspi-tcp6-${TCP6_VER}.tgz 
cd net/ucspi-tcp6/ucspi-tcp6-${TCP6_VER}/ 
./package/install
/bin/rm /var/qmail/ucspi-tcp6-${TCP6_VER}.tgz

ucspi-ssl

With sslserver we can have a secure connection on port 465 to receive our emails.

You have already installed fehQlibs, which are supplementary C libraries needed for ucspi-ssl. 

UCSPISSL_VER=0.13.03
cd /var/qmail 
wget -O /usr/local/src/ucspi-ssl-${UCSPISSL_VER}.tgz https://www.fehcom.de/ipnet/ucspi-ssl/ucspi-ssl-${UCSPISSL_VER}.tgz
tar xzf /usr/local/src/ucspi-ssl-${UCSPISSL_VER}.tgz
cd host/superscript.com/net/ucspi-ssl-${UCSPISSL_VER}
./package/install

qmail

User und Gruppen für QMail anlegen und anschließend netqmail samt aller Patches installieren. 

groupadd nofiles
useradd -g nofiles -d /var/qmail/alias alias
useradd -g nofiles -d /var/qmail qmaild
useradd -g nofiles -d /var/qmail qmaill
useradd -g nofiles -d /var/qmail qmailp
groupadd qmail
useradd -g qmail -d /var/qmail qmailq
useradd -g qmail -d /var/qmail qmailr
useradd -g qmail -d /var/qmail qmails

cd /usr/local/src
git clone -b netqmail-1.06 https://github.com/sagredo-dev/qmail.git
cd qmail
make setup check

Symbolischen Link für sendmail einrichten 

ln -s /var/qmail/bin/sendmail /usr/sbin/sendmail

Pfad und Manpage Pfad für QMail anpassen 

cat > /etc/profile.d/qmail.sh << __EOF__
PATH=$PATH:/var/qmail/bin
export PATH
MANPATH=$MANPATH:/var/qmail/man
export MANPATH
__EOF__

netqmail wird nach der Installation von VPopmail konfiguriert und installiert.

Vpopmail

Vpopmail provides an easy way to manage virtual email domains and non /etc/passwd email accounts on your mail servers.

User anlegen

Ggf. existiert bereits ein User mit der uid 89, wenn ja entfernen 

userdel postfix

groupadd -g 89 vchkpw
useradd -u 89 -g vchkpw vpopmail

VPOPMAIL_VERSION=5.6.3
cd /usr/local/src
wget https://github.com/sagredo-dev/vpopmail/archive/refs/tags/v${VPOPMAIL_VERSION}.tar.gz
tar xzf v${VPOPMAIL_VERSION}.tar.gz
cd vpopmail-${VPOPMAIL_VERSION}
chown -R root:root .

./configure \
        --enable-qmaildir=/var/qmail/ \
        --enable-qmail-newu=/var/qmail/bin/qmail-newu \
        --enable-qmail-inject=/var/qmail/bin/qmail-inject \
        --enable-qmail-newmrh=/var/qmail/bin/qmail-newmrh \
        --disable-roaming-users \
        --enable-auth-module=mysql \
        --enable-incdir=/usr/include/mysql \
        --enable-libdir=/usr/lib64 \
        --enable-logging=p \
        --disable-clear-passwd \
        --enable-auth-logging \
        --enable-sql-logging \
        --disable-passwd \
        --enable-qmail-ext \
        --enable-learn-passwords \
        --enable-mysql-limits \
        --enable-valias \
        --enable-sql-aliasdomains \
        --enable-defaultdelivery \
        --disable-min-pwd-length

make install-strip

Cron-Job für POP after SMTP einrichten: 

cat > /etc/cron.d/clearopensmtp << __EOF__
# vpopmail: clear open-smtp
40 * * * * root /home/vpopmail/bin/clearopensmtp 2>&1 > /dev/null
__EOF__

vusaged

vusaged looks up every vpopmail user and tracks how much storage space they’re using. It requires libev.

libev

libev installieren 

cd /usr/local/src
wget  http://dist.schmorp.de/libev/libev-4.33.tar.gz
tar xzvf libev-4.33.tar.gz
cd libev-4.33
chown -R root.root .
./configure
make
make install
ldconfig

vusaged installieren und konfigurieren 

VPOPMAILDIR=/home/vpopmail
cd /usr/local/src/vpopmail-${VPOPMAIL_VERSION}/vusaged
CFLAGS=-I/usr/local/include/libev LIBS=`head -1 $VPOPMAILDIR/etc/lib_deps` ./configure --with-vpopmail=$VPOPMAILDIR
make
cp -f vusaged ~vpopmail/bin
cp -f etc/vusaged.conf ~vpopmail/etc

Konfiguration

weiter gehts mit vpopmail 

echo '127.:allow,RELAYCLIENT=""' > ~vpopmail/etc/tcp.smtp
(cd ~vpopmail/etc ; tcprules tcp.smtp.cdb tcp.smtp.tmp < tcp.smtp)

 echo "| /home/vpopmail/bin/vdelivermail '' delete" > /var/qmail//control/defaultdelivery

MySQL/MariaDB

Generelles Setup
systemctl start mariadb.service
systemctl enable mariadb.service
mariadb-secure-installation
Connection einrichten
mysql -h localhost -u root -p 

CREATE USER 'vpopmail'@'localhost' IDENTIFIED BY 'VPop2024'; 

GRANT USAGE ON * . * TO 'vpopmail'@'localhost' IDENTIFIED BY 'VPop2024' WITH MAX_QUERIES_PER_HOUR 0 MAX_CONNECTIONS_PER_HOUR 0 MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ;
CREATE DATABASE IF NOT EXISTS vpopmail;
GRANT ALL PRIVILEGES ON `vpopmail` . * TO 'vpopmail'@'localhost';
exit

echo "localhost|0|vpopmail|VPop2024|vpopmail" > ~vpopmail/etc/vpopmail.mysql
Virtual domain and virtual users erzeugen
cd ~vpopmail/bin/

To add/delete a virtual domain 

./vadddomain afdb.de [./vdeldomain afdb.de]

To add/delete a virtual user 

./vadduser postmaster@afdb.de [./vdeluser postmaster@afdb.de]

To view information about user email accounts: 

./vuserinfo postmaster@afdb.de
name:   postmaster
passwd: $6$gGYFkrBW$veJzkVDhKc0x8gVolp.jj8LHiFlw2nwYfb7Rw9lz0EKe.oPKzg5l0r6W.UY4y5nnE2Kz9QX0pNUqqJ1R5wizx.
clear passwd: 
comment/gecos: Postmaster
uid:    0
gid:    0
flags:  0
gecos: Postmaster
limits: No user limits set.
dir:       /home/vpopmail/domains/afdb.de/postmaster
quota:     NOQUOTA
usage:     NOQUOTA
last auth: Sun Oct 20 11:57:32 2024
last auth ip: 127.0.0.1

Upgrade Qmail

libsrs2

This library is a prerequisite of the SRS patch, which is part of my package. You must install this, otherwise the compilation will break. 

cd /usr/local/src
wget http://www.libsrs2.org/srs/libsrs2-1.0.18.tar.gz
tar xzf libsrs2-1.0.18.tar.gz
cd libsrs2-1.0.18
./configure
make
make install
ldconfig
cd ../

Füge das Verzeichnis /usr/local/lib zum 'LD_LIBRARY_PATH' hinzu 

echo "/usr/local/lib" >> /etc/ld.so.conf.d/usr-local-lib.x86_64.conf
ldconfig

Prüfen, ob libsrs2 Bibliotheken gefunden werden 

ldconfig -p|grep libsrs2
	libsrs2.so.0 (libc6,x86-64) => /usr/local/lib/libsrs2.so.0
	libsrs2.so (libc6,x86-64) => /usr/local/lib/libsrs2.so

Sourcen herunterladen

cd /usr/local/src
QMAIL_VERSION=2024.06.08
wget https://github.com/sagredo-dev/qmail/archive/refs/tags/v${QMAIL_VERSION}.tar.gz
tar xzf v${QMAIL_VERSION}.tar.gz
cd qmail-${QMAIL_VERSION}

Installieren

make setup check

Zertifikate für SSL erzeugen

make cert
# Daten entsprechend eintragen
make tmprsadh
# Hinweis: Dieser Vorgang dauert einige Zeit.
chown vpopmail.vchkpw /var/qmail/control/*.pem
# Cron Eintrag erzeugen
echo "03 05 * * * /var/qmail/bin/update_tmprsadh > /dev/null 2>&1" >> /etc/cron.d/update_tmprsadh

Konfiguration

Control Dateien anlegen

echo 3 > /var/qmail/control/spfbehavior
echo "| /home/vpopmail/bin/vdelivermail '' delete" > /var/qmail/control/defaultdelivery
echo 200 > /var/qmail/control/concurrencyincoming
echo postmaster > /var/qmail/control/bouncefrom
echo 20000000 > /var/qmail/control/databytes
echo afdb.de > /var/qmail/control/doublebouncehost
echo postmaster > /var/qmail/control/doublebounceto
echo 272800 > /var/qmail/control/queuelifetime
echo 30000000 > /var/qmail/control/softlimit
echo 100 > /var/qmail/control/maxrcpt
echo 2 > /var/qmail/control/brtlimit
echo 10000000 > /var/qmail/control/simsizelimit

Qmail Schnellkonfiguration ausführen

cd /usr/local/src/qmail-2024.06.08
./config-fast mail1.afdb.de

Alias anlegen

cd /var/qmail/alias
echo "postmaster@afdb.de" > .qmail-postmaster
ln -s .qmail-postmaster .qmail-mailer-daemon
ln -s .qmail-postmaster .qmail-root
chmod 644 .qmail*

erste Domain anlegen

/home/vpopmail/bin/vadddomain afdb.de

Verzeichnis für die Logdateien anlegen

mkdir -p /var/log/qmail

cd /var/log/qmail
chown -R qmaill.nofiles .
chgrp root .
chmod -R og-wrx .
chmod g+rx .

Die supervise Skripte anlegen

cd /var/qmail 
wget https://notes.sagredo.eu/files/qmail/supervise.tar.gz 
tar xzf supervise.tar.gz
chown -R root:root rc supervise
rm supervise.tar.gz

ln -s /usr/bin/setuidgid /usr/local/bin/setuidgid
ln -s /usr/bin/multilog /usr/local/bin/multilog
ln -s /usr/bin/softlimit /usr/local/bin/softlimit
cd /service
ln -s /var/qmail/supervise/qmail-smtpd      /service
ln -s /var/qmail/supervise/qmail-smtpsd     /service
ln -s /var/qmail/supervise/qmail-submission /service
ln -s /var/qmail/supervise/qmail-send       /service
ln -s /var/qmail/supervise/vpopmaild        /service
ln -s /var/qmail/supervise/vusaged          /service
ln -s /var/qmail/supervise/clear                /service

Logdateien täglich rotieren und Zeitstempel lesbar anpassen (convert-multilog)

Das Skript convert-multilog sucht in den Ordnern /service/*/log/main nach den Qmail-typischen Logdateien (@4*) und konvertiert die Zeitstempel in den Dateien in lesbare Form und legt im Ordner /var/log/qmail/backup täglich jeweils eine Datei vom Namen /var/log/{service}.{date} an.

Einstellungen
mkdir -p /var/log/qmail/backup
wget -O  /usr/local/bin/convert-multilog https://notes.sagredo.eu/files/qmail/convert-multilog
chmod +x /usr/local/bin/convert-multilog

ln -s /var/log/qmail/send /service/qmail-send/log/main 
ln -s /var/log/qmail/smtpd /service/qmail-smtpd/log/main 
ln -s /var/log/qmail/smtpsd /service/qmail-smtpsd/log/main
ln -s /var/log/qmail/submission /service/qmail-submission/log/main
Cronjob

und den Cronjob anlegen 

cat > /etc/cron.d/qmail-logging << __EOF__
59 2 * * * /usr/bin/convert-multilog 1> /dev/null
0 0 * * * /usr/local/bin/svc -a /service/qmail-submission/log
0 0 * * * /usr/local/bin/svc -a /service/qmail-smtpd/log
0 0 * * * /usr/local/bin/svc -a /service/qmail-smtpsd/log
0 0 * * * /usr/local/bin/svc -a /service/qmail-send/log
0 0 * * * /usr/local/bin/svc -a /service/vpopmaild/log
0 0 * * * /usr/local/bin/svc -a /service/vusaged/log
__EOF__

qmailctl

Das modifizierte qmailctl Skript herunterladen und installieren. 

wget -O /usr/bin/qmailctl https://notes.sagredo.eu/files/qmail/qmailctl
chmod +x /usr/bin/qmailctl

Dieses Skript beinhalten folgendes

  • Start/Stops der Dienste
  • Aufruf der tcprules. Damit werden die beiden Dateien tcp.smtp.cdb and tcp.submission.cdb neu geladen
  • Statusanzeige für die einzelen Dienste und der Queue
  • Anzeige des Status weitere benötigter Dienste
  • Informationen zum Antivirus-Dienst clamav und der entsprechenden Virusdatenbank


Eine entsprechen Ausgabe sieht in etwa wie folgt aus: 

qmailctl stat
qmail-smtpd:           [ up ] (pid 435784) 1 seconds
qmail-smtpd/log:       [ up ] (pid 426723)   0 day(s), 00:07:17
qmail-smtpsd:          [ up ] (pid 435776) 1 seconds
qmail-smtpsd/log:      [ up ] (pid 426722)   0 day(s), 00:07:17
qmail-submission:      [ up ] (pid 435782) 1 seconds
qmail-submission/log:  [ up ] (pid 426724)   0 day(s), 00:07:17
qmail-send:            [ up ] (pid 426763)   0 day(s), 00:07:13
qmail-send/log:        [ up ] (pid 426719)   0 day(s), 00:07:17
vpopmaild:             [ up ] (pid 435783) 1 seconds
vpopmaild/log:         [ up ] (pid 426721)   0 day(s), 00:07:17
vusaged:               [ up ] (pid 399660)   0 day(s), 00:25:56
vusaged/log:           [ up ] (pid 426720)   0 day(s), 00:07:17

dovecot status:        [ down ]
clamd status:          [ down ]
freshclam status:      [ down ]
spamd status:          [ down ]
httpd status:          [ down ]
solr status:           [ down ]
mariadb status:        [ up ]
fail2ban status:       [ down ]
Total Domains: 2

messages in queue: 0
messages in queue but not yet preprocessed: 0

svtools

cd /usr/local/src/
wget https://github.com/kayahr/svtools/archive/master.zip
unzip master.zip
cd svtools-master
make
make install
mkdir /etc/sv /var/log/sv
chown root.root /etc/sv /var/log/sv
cd /usr/local/bin
rm mlcat
wget https://notes.sagredo.eu/files/qmail/mlcat
chmod +x mlcat

tcp.smtp

Die Datei /home/vpopmail/etc/tcp.smtp anpassen 

vim /home/vpopmail/etc/tcp.smtp

127.:allow,RELAYCLIENT=""
:allow,CHKUSER_WRONGRCPTLIMIT="3"

anschließend die Datei /home/vpopmail/etc/tcp.submission anpassen (chkuser lässt für eine Client IP nur 3 Fehlversuche bei der Anmeldung zu). 

echo ":allow,CHKUSER_WRONGRCPTLIMIT=\"3\"" > /home/vpopmail/etc/tcp.submission

ln -s /home/vpopmail/etc/tcp.smtp /var/qmail/control/tcp.smtp
ln -s /home/vpopmail/etc/tcp.submission /var/qmail/control/tcp.submission
ln -s /home/vpopmail/etc/tcp.smtp.cdb /var/qmail/control/tcp.smtp.cdb

Anschließend tcp.rules neu bauen. 

root@h2859558 (FF)[/etc/logrotate.d] # qmailctl cdb
Updated tcp.smtp.cdb.
Updated tcp.submission.cdb.
Ran clearopensmtp

Testing qmail, SMTP and auth

Swaks

swaks ist ein SMTP test Tool, mit dem man einfach alle folgenden Telnet Tests auf einmal ausführen kann. 

cd /usr/local/bin
wget http://www.jetmore.org/john/code/swaks/latest/swaks
chown root:root swaks
chmod +x swaks

swaks \
        --to someone@somewhere.net \
        --from postmaster@afdb.de \
        --server localhost \
        --port 587 \
        --ehlo test \
        -tls \
        --auth login \
        --auth-user postmaster@afdb.de \
        --auth-password [PASSWORD]

Überprüfung mit Bordmittel

Einmal stoppen und starten der Daemontools, um zu schauen, ob noch Fehler vorhanden sind ( readproctitle service errors: .....) 

systemctl stop daemontools
systemctl start daemontools

ps axfww
1655990 ?        Ss     0:00 /bin/sh /usr/bin/svscanboot
1655992 ?        S      0:00  \_ svscan /service
1655994 ?        S      0:00  |   \_ supervise qmail-submission
1656007 ?        S      0:00  |   |   \_ /usr/local/bin/tcpserver -v -R -l mail.afdb.de -x /home/vpopmail/etc/tcp.submission.cdb -c 20 -u 89 -g 89 0 587 /var/qmail/bin/qmail-smtpd /home/vpopmail/bin/vchkpw /bin/true
1655995 ?        S      0:00  |   \_ supervise log
1656010 ?        S      0:00  |   |   \_ /usr/bin/multilog t s16000000 n200 /var/log/qmail/submission
1655996 ?        S      0:00  |   \_ supervise qmail-send
1656004 ?        S      0:00  |   |   \_ qmail-send
1656018 ?        S      0:00  |   |       \_ qmail-lspawn | /home/vpopmail/bin/vdelivermail '' delete
1656019 ?        S      0:00  |   |       \_ qmail-rspawn
1656020 ?        S      0:00  |   |       \_ qmail-clean
1656021 ?        S      0:00  |   |       \_ qmail-todo
1656022 ?        S      0:00  |   |       \_ qmail-clean
1655997 ?        S      0:00  |   \_ supervise log
1656008 ?        S      0:00  |   |   \_ /usr/bin/multilog t s16000000 n200 /var/log/qmail/send
1655998 ?        S      0:00  |   \_ supervise qmail-smtpd
1656005 ?        S      0:00  |   |   \_ /usr/local/bin/tcpserver -v -R -l mail.afdb.de -x /home/vpopmail/etc/tcp.smtp.cdb -c 20 -u 89 -g 89 0 25 /var/qmail/bin/qmail-smtpd
1655999 ?        S      0:00  |   \_ supervise log
1656003 ?        S      0:00  |   |   \_ /usr/bin/multilog t s16000000 n200 /var/log/qmail/smtpd
1656000 ?        S      0:00  |   \_ supervise clear
1656001 ?        S      0:00  |   \_ supervise vpopmaild
1656009 ?        S      0:00  |   |   \_ /usr/local/bin/tcpserver -v -H -R -l 0 -u 0 -g 0 0 89 /home/vpopmail/bin/vpopmaild
1656002 ?        S      0:00  |   \_ supervise log
1656006 ?        S      0:00  |       \_ /usr/bin/multilog t /var/log/qmail/vpopmaild
1655993 ?        S      0:00  \_ readproctitle service errors: ................................................................................................................................................................................................................................................................................................................................................................................................................

Überprüfung mit qmailctl

qmailctl stat
qmail-smtpd:           [ up ] (pid 1656005)   0 day(s), 00:03:50
qmail-smtpd/log:       [ up ] (pid 1656003)   0 day(s), 00:03:50
qmail-submission:      [ up ] (pid 1656007)   0 day(s), 00:03:50
qmail-submission/log:  [ up ] (pid 1656010)   0 day(s), 00:03:50
qmail-send:            [ up ] (pid 1656004)   0 day(s), 00:03:50
qmail-send/log:        [ up ] (pid 1656008)   0 day(s), 00:03:50
vpopmaild:             [ up ] (pid 1656009)   0 day(s), 00:03:50
vpopmaild/log:         [ up ] (pid 1656006)   0 day(s), 00:03:50

dovecot status:        [ down ]
clamd status:          [ down ]
freshclam status:      [ down ]
spamd status:          [ down ]
vusaged status:        [ down ]
httpd status:          [ up ]
mysql status:          [ up ]
fail2ban status:       [ up ]

messages in queue: 6
messages in queue but not yet preprocessed: 0

Verschiedende Checks von externem Rechner

1. Check: Relaying

Mit telnet wird geprüft ob man den Server als offenes Relay benutzen kann. Kommen die 553-Fehlermeldungen ist alles OK. 

[ktsadmin@truhe ~]$ telnet mail1.afdb.de 25
Trying 85.214.138.131...
Connected to mail.afdb.de.
Escape character is '^]'.
220 mail.afdb.de ESMTP
helo karl
250 mail.afdb.de
mail from:karl@schlicker.org
250 ok
rcpt to:info@schlicker.org
553 5.7.1 sorry, that domain isn't in my list of allowed rcpthosts (chkuser)
quit
221 mail.afdb.de
Connection closed by foreign host.

2. Check : Relaying 

[ktsadmin@truhe ~]$ telnet mail.afdb.de 25
Trying 85.214.138.131...
Connected to mail.afdb.de.
Escape character is '^]'.
220 mail.afdb.de ESMTP
helo karl
250 mail.afdb.de
mail from:karl@schlicker.org
250 ok
rcpt to:info@schlicker.org
553 5.7.1 sorry, that domain isn't in my list of allowed rcpthosts (chkuser)
quit
221 mail.afdb.de
Connection closed by foreign host.

3. Check: vpopmail auth 

[ktsadmin@truhe ~]$ telnet mail.afdb.de 89
Trying 85.214.138.131...
Connected to mail.afdb.de.
Escape character is '^]'.
+OK 
login postmaster@afdb.de PASSWORD
+OK+
vpopmail_dir /home/vpopmail
domain_dir /home/vpopmail/domains/afdb.de
uid 89
gid 89
name postmaster
comment Postmaster
quota NOQUOTA
user_dir /home/vpopmail/domains/afdb.de/postmaster
encrypted_password $1$vNEhZgIz$rL7zT3TcSpIsXhVOeky6g.
clear_text_password PASSWORD
no_password_change 0
no_pop 0
no_webmail 0
no_imap 0
bounce_mail 0
no_relay 0
no_dialup 0
user_flag_0 0
user_flag_1 0
user_flag_2 0
user_flag_3 0
no_smtp 0
domain_admin_privileges 1
override_domain_limits 0
no_spamassassin 0
delete_spam 0
no_maildrop 0
system_admin_privileges 0
.
quit
+OK 
Connection closed by foreign host.

4. Check: No mailbox test 

[ktsadmin@truhe ~]$ telnet mail.afdb.de 25
Trying 85.214.138.131...
Connected to mail.afdb.de.
Escape character is '^]'.
220 mail.afdb.de ESMTP
mail from:info@schlicker.org
250 ok
rcpt to:nobody@afdb.de
550 5.1.1 sorry, no mailbox here by that name (chkuser)
quit
221 mail.afdb.de
Connection closed by foreign host.

autorespond

cd /usr/local/src
AR_VERSION=2.0.7
wget https://github.com/sagredo-dev/autorespond/archive/refs/tags/v${AR_VERSION}.tar.gz
tar xzf v${AR_VERSION}.tar.gz
cd autorespond-${AR_VERSION}
chown -R root:root .
make
make install
/bin/rm /usr/local/src/v${AR_VERSION}.tar.gz

ezmlm-idx

cd /usr/local/src
wget https://notes.sagredo.eu/files/qmail/tar/ezmlm-idx-7.2.2.tar.gz
tar xzf ezmlm-idx-7.2.2.tar.gz
cd ezmlm-idx-7.2.2
chown -R root:root .
cd lang
ln -s de de_DE
ln -s de_DE default
cd ..
make
make man

Test: 

 # ./ezmlm-test
getconfopt library:   OK
ezmlm-make:           OK
Using subdb plugin:   std
ezmlm-reject:         OK
ezmlm-[un|is]sub[n]:  OK
ezmlm-checksub:       OK
ezmlm-send:           OK
ezmlm-tstdig:         OK
ezmlm-weed:           OK
ezmlmrc contents:     OK
ezmlm-clean:          OK
ezmlm-store:          OK
ezmlm-return:         OK
ezmlm-warn (1/2):     OK
ezmlm-manage (1/2):   OK
ezmlm-request:        OK
ezmlm-split:          OK
ezmlm-gate:           OK
ezmlm-idx:            OK
ezmlm-get (index):    OK
ezmlm-get (get):      OK
ezmlm-get (thread):   OK
ezmlm-get (digest):   OK
ezmlm-manage (2/2):   OK
ezmlm-moderate:       OK
ezmlm-warn (2/2):     OK
ezmlm-archive:        OK
ezmlm-dispatch:       OK
dispatch editor:      OK
....

MYSQL Support

mysql -u root -p

CREATE USER 'ezmlm'@'localhost' IDENTIFIED BY '4EZMLM2024';

GRANT USAGE ON * . * TO 'ezmlm'@'localhost' IDENTIFIED BY '4EZMLM2024' WITH MAX_QUERIES_PER_HOUR 0
MAX_CONNECTIONS_PER_HOUR 0
MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ;

CREATE DATABASE IF NOT EXISTS `ezmlm` ;
GRANT ALL PRIVILEGES ON `ezmlm` . * TO 'ezmlm'@'localhost';

Die Datei conf-cc anpassen: 

gcc -O -g -I/usr/include/mysql -I/usr/include/pgsql

Die Datei conf-ld anpassen: 

cc -g -rdynamic -B /usr/lib64/mysql

Kompilieren und Installieren: 

make mysql
make install

qmailadmin

cracklib

Cracklib sorgt für bessere Passwörter, weil bei der Anlage neuer Passwört mit eine Wortliste verglichen wird.

Dieses wird bei Qmailadmin bei der Anlage neuer Accounts benutzt.

Quellen installieren
dnf -y install cracklib cracklib-dicts.x86_64
Wörterbuch aufbauen
mkdir /usr/share/cracklib
cd /usr/share/cracklib
wget https://github.com/cracklib/cracklib/releases/download/v${CRACKLIB_VER}/cracklib-words-${CRACKLIB_VER}.bz2
bunzip2 cracklib-words-${CRACKLIB_VER}.bz2
Cracklib testen
cracklib-check

Installation

QMA_VERSION=1.2.23
cd /usr/local/src

touch /var/log/qma-auth.log
chgrp apache /var/log/qma-auth.log
chmod g+w /var/log/qma-auth.log

wget https://github.com/sagredo-dev/qmailadmin/archive/refs/tags/v${QMA_VERSION}.tar.gz
tar xzf v${QMA_VERSION}.tar.gz
cd qmailadmin-${QMA_VERSION}
chown -R root:root .

mkdir -p /var/www/qmail/images

QMAILROOT=/var/www/qmail
./configure \
  --enable-htmldir=${QMAILROOT} \
  --enable-cgibindir=${QMAILROOT}/cgi-bin \
  --enable-cgipath=/cgi-bin/qmailadmin \
  --enable-imagedir=${QMAILROOT}/qmailadmin/files \
  --enable-imageurl=/qmailadmin/files \
  --enable-htmllibdir=${QMAILROOT}/qmailadmin \
  --enable-qmaildir=/var/qmail \
  --enable-domain-autofill \
  --enable-vpopuser=vpopmail \
  --enable-vpopgroup=vchkpw \
  --enable-autoresponder-path=/usr/local/bin \
  --enable-ezmlmdir=/usr/local/bin/ezmlm \
  --enable-modify-quota \
  --disable-ezmlm-mysql \
  --disable-trivial-password \
  --disable-catchall \
  --enable-cracklib=/usr/share/cracklib/pw_dict

Die QMAIL-Image Dateien im images Ordner speichern 

cd /var/www/qmail/images
wget https://notes.sagredo.eu/files/qmail//patches//qmailadmin//skin//img/favicon-16x16.png
wget https://notes.sagredo.eu/files/qmail//patches//qmailadmin//skin//img/favicon-32x32.png
wget https://notes.sagredo.eu/files/qmail//patches//qmailadmin//skin//img/logo.png
wget https://notes.sagredo.eu/files/qmail//patches//qmailadmin//skin//img/logo_big.png

Kompilieren und installieren 

cd /usr/local/src/qmailadmin-${QMA_VERSION}
make
make install-strip

Erweiterungen (Add-Ons)

Realtime Block List (RBL)

cat > /var/qmail/control/dnsbllist << __EOF__
-b.barracudacentral.org
-zen.spamhaus.org
-psbl.surriel.com 
-bl.spamcop.net
__EOF__

qmailctl restart
qmail-showctl |grep dnsbl

List at -b.barracudacentral.org configured for dnsbl check.
List at -zen.spamhaus.org configured for dnsbl check.
List at -psbl.surriel.com configured for dnsbl check.
List at -bl.spamcop.net configured for dnsbl check.

Greetdelay

Um Greetdelay zu aktivieren müssen in den beiden Dateien qmail-smtpd/run und qmail-submission/run die nachfolgenden Werte aktiviert werden. 

export SMTPD_GREETDELAY=15
export DROP_PRE_GREET=1


SPF

The SPF behavior of your mail server is controlled by the file /var/qmail/control/spfbehavior. You can specify a value between 0 and 6: 

   0 disabled (Default). Never do SPF lookups, don't create Received-SPF headers
   1 selects 'annotate-only' mode,  where  qmail-smtpd  will  annotate  incoming  email with Received-SPF fields, but will not reject any messages. 
   2 will produce temporary failures on DNS lookup problems so you can make sure you always have meaningful Received-SPF headers. 
   3 selects  'reject'  mode,  where  incoming  mail  will be rejected if the SPF record says 'fail'. 
   4 selects a more stricter rejection mode, which is like 'reject' mode, except that incoming mail will also be rejected when the SPF record says 'softfail'. 
   5 will also reject when the SPF record says 'neutral'
   6 if no SPF records are available at all (or a syntax error was encountered).


Sender Rewriting Scheme (SRS)

echo "| /var/qmail/bin/srsfilter" > /var/qmail/alias/.qmail-srs-default
SRSDOMAIN=srs.afdb.de
echo $SRSDOMAIN:srs >> /var/qmail/control/virtualdomains
echo $SRSDOMAIN >> /var/qmail/control/rcpthosts
echo $SRSDOMAIN > /var/qmail/control/srs_domain
echo "$( echo $RANDOM|md5sum|head -c 10)" > /var/qmail/control/srs_secrets

Im DNS müssen wir dann für die Domain afdb.de noch folgenden Eintrag hinzufügen: 

srs.afdb.de. IN TXT "v=spf1 a mx -all"

DKIM

Zuerst einen neuen Ordner für die Domainkeys anlegen 

mkdir /var/qmail/control/domainkeys
chown -R qmailr:qmail /var/qmail/control/domainkeys

Anschließend für jede Domain ein Domainkey erzeugen 

dknewkey -d afdb.de -t rsa -b 2048 default

und anzeigen mit nachfolgenden Befehl 

dknewkey -p -d afdb.de -e
DKIM TXT record for afdb.de with selector=default file /var/qmail/control/domainkeys/afdb.de/default.pub
default._domainkey.afdb.de. IN TXT ("v=DKIM1; k=rsa; t=y; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAuXnfA8SYIXOy+ZwKTTmHHOtnFbD9kte9pQNUYAMsFnHC5s64b1ZQwPfhtGa+8rVUm3+cu3ugMcVH5DqJuIWU+o7CJhVMYFLCfm49vxB44xyYLn+yPSge8hqxTz91yn9CqydZDT0s4pQp8nnOBs8VJIndxnFztIRSFKcVhshwpB8aeKJyb+m3sdReYkin" "dimQHKRqS3M4sf4dly/l0i/66jmljNCsvaaTLw6BJAWGSKsokiKWWws2buNxAI2+nYUVnOGHyjeUxpn1J0f4eDoxTQ9YSBPIj9RFYEhuIck5MkoL3Mzv7OBHRs/6wPsu40eqhqrgQLbJ0O8QY9U1A/283QIDAQAB")
-rw-r--r--. 1 root qmail 458  3. Jan 12:42 /var/qmail/control/domainkeys/afdb.de/default.pub
-rw-r-----. 1 root qmail 1704  3. Jan 12:42 /var/qmail/control/domainkeys/afdb.de/default
------------------------------------------------------

Im DNS der Domain (hier afdb.sw) muss dann noch folgenden TXT Eintrag hinterlegt werden. 

default._domainkey.afdb.de. IN TXT ("v=DKIM1; k=rsa;  p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAuXnfA8SYIXOy+ZwKTTmHHOtnFbD9kte9pQNUYAMsFnHC5s64b1ZQwPfhtGa+8rVUm3+cu3ugMcVH5DqJuIWU+o7CJhVMYFLCfm49vxB44xyYLn+yPSge8hqxTz91yn9CqydZDT0s4pQp8nnOBs8VJIndxnFztIRSFKcVhshwpB8aeKJyb+m3sdReYkin" "dimQHKRqS3M4sf4dly/l0i/66jmljNCsvaaTLw6BJAWGSKsokiKWWws2buNxAI2+nYUVnOGHyjeUxpn1J0f4eDoxTQ9YSBPIj9RFYEhuIck5MkoL3Mzv7OBHRs/6wPsu40eqhqrgQLbJ0O8QY9U1A/283QIDAQAB")

Anschließend kommentiert man im Skript /var/qmail/rc die Zeile #DKIM_ON=1 aus. 

#!/bin/sh

QMAILDIR=/var/qmail

# Comment out DKIM_ON=1 to disable dkim sign at qmail-remote level
# You have to define your variables in control/filterargs (DKIM page for more info)
# echo "*:remote:/var/qmail/bin/qmail-dkim:DKIMQUEUE=/bin/cat,DKIMSIGN=/var/qmail/control/domainkeys/%/default,DKIMSIGNOPTIONS=-z 2" > /var/qmail/control/filterargs

DKIM_ON=1

if [ -r $QMAILDIR/control/filterargs ] &&<feff><200b> [ -n "$DKIM_ON" ]; then
  exec env - PATH="$QMAILDIR/bin:$PATH" \
  QMAILREMOTE=$QMAILDIR/bin/spawn-filter \
  qmail-start "`cat $QMAILDIR/control/defaultdelivery`"
else
  # Use this if you are signing at qmail-smtpd level or you don't want to sign at all
  exec env - PATH="$QMAILDIR/bin:$PATH" \
  qmail-start "`cat $QMAILDIR/control/defaultdelivery`"
fi

und danach erzeugt man die Datei control/filterargs 

echo "*:remote:/var/qmail/bin/qmail-dkim:DKIMQUEUE=/bin/cat,DKIMSIGN=/var/qmail/control/domainkeys/%/default,DKIMSIGNOPTIONS=-z 2" > /var/qmail/control/filterargs

Normalerweise muss man nun noch das qmail-smtpd run script anpassen, aber das ist bei uns schon vorkonfiguriert.

Dovecot

Als Alternative zu Courier-IMAP kann man auch dovecot installiseren.

Installation

DOVECOT_VER=2.3.21.1
cd /usr/local/src
wget https://www.dovecot.org/releases/2.3/dovecot-${DOVECOT_VER}.tar.gz
tar xzf dovecot-${DOVECOT_VER}.tar.gz
chown -R root.root dovecot-${DOVECOT_VER}
cd dovecot-${DOVECOT_VER}

./configure \
        --prefix=/usr/local/dovecot \
        --with-sql \
        --with-mysql \
        --with-docs \
        --with-ssl \
        --without-shadow \
        --without-pam \
        --without-ldap \
        --without-pgsql \
        --without-sqlite \
        --with-solr \
        --with-systemd systemdsystemunitdir=/lib/systemd/system

und kompilieren und installieren 

make
make install

Pigeonhole für Dovecot

PIGEONHOLE_VER=0.5.21.1
cd /usr/local/src
wget https://pigeonhole.dovecot.org/releases/2.3/dovecot-2.3-pigeonhole-${PIGEONHOLE_VER}.tar.gz
tar xvzpf dovecot-2.3-pigeonhole-${PIGEONHOLE_VER}.tar.gz
cd dovecot-2.3-pigeonhole-${PIGEONHOLE_VER}
./configure --prefix=/usr/local/dovecot-2-3-pigeonhole --with-dovecot=/usr/local/dovecot/lib/dovecot/
make
make install

cd /usr/local
ln -s /usr/local/dovecot-pigeonhole-2.3-pigeonhole /usr/local/dovecot-pigeonhole

Konfiguration

Benutzer und Gruppen

Die Genutzer und Gruppen RHEL-Konform anlegen 

groupadd --gid 97 dovecot
groupadd --gid 988 dovenull

useradd -g dovecot --uid 97 dovecot
useradd -g dovenull --uid 991 dovenull

mkdir -p /var/log/dovecot 
touch /var/log/dovecot/dovecot.log
chgrp vchkpw /var/log/dovecot/dovecot.log
chmod 660 /var/log/dovecot/dovecot.log

Konfigurationsdateien kopieren

und Standardkonformen Verlinkung einrichten 

cd /etc
ln -s /usr/local/dovecot/etc/dovecot 

cd /etc/dovecot
cp -rp /usr/local/dovecot/share/doc/dovecot/example-config/* .

Sieve Konfigurationsdateien 

cd /etc/dovecot/conf.d
cp /usr/local/dovecot/share/doc/dovecot/example-config/conf.d/20-managesieve.conf .
cp /usr/local/dovecot/share/doc/dovecot/example-config/conf.d/90-sieve.conf .


und /etc/profile anpassen 

echo "export PATH=\$PATH:/usr/local/dovecot/bin" >> /etc/profile
echo "export MANPATH=\$MANPATH:/usr/local/dovecot/share/man" >> /etc/profile

Ordner und Dateien für local.conf

Achtung:

81.169.197.241 ist die aktuelle IP des Mailservers und muss dann evtl. im Nachfolgenden ausgetauscht werden. 

cat > /etc/dovecot/dovecot-sql.conf.ext << __EOT__
driver = mysql
connect = host=localhost dbname=vpopmail user=vpopmail password=VPop2024
default_pass_scheme = SHA512-CRYPT 

password_query = \

SELECT \
	CONCAT(vpopmail.pw_name, '@', vpopmail.pw_domain) AS user, \
  		vpopmail.pw_passwd AS password, \
                vpopmail.pw_dir AS userdb_home, \
                89 AS userdb_uid, \
                89 AS userdb_gid, \
                CONCAT('*:bytes=', REPLACE(SUBSTRING_INDEX(vpopmail.pw_shell, 'S', 1), 'NOQUOTA', '0')) AS userdb_quota_rule \
	FROM vpopmail \
		LEFT JOIN aliasdomains ON aliasdomains.alias='%d' \
                LEFT JOIN limits ON limits.domain='%d' \
	WHERE \
		vpopmail.pw_name='%n' \
		AND \
		(vpopmail.pw_domain='%d' OR vpopmail.pw_domain=aliasdomains.domain) \
                AND \
                ('%a'!='995' OR !(vpopmail.pw_gid & 2)) \
                AND \
                ('%r'!='81.169.197.241' OR !(vpopmail.pw_gid & 4)) \
                AND \
                ('%r'='81.169.197.241' OR '%a'!='993' OR !(vpopmail.pw_gid & 8)) \
                AND \ 
                ('%r'!='81.169.197.241' OR COALESCE(disable_webmail,0)!=1) \ 
                AND \ 
                ('%r'='81.169.197.241' OR COALESCE(disable_imap,0)!=1)

 
user_query = \ 
   SELECT \ 
       vpopmail.pw_dir AS home, \ 
       89 AS uid, \ 
       89 AS gid \ 
   FROM vpopmail \ 
   WHERE \ 
       vpopmail.pw_name='%n' \ 
       AND \ 
       vpopmail.pw_domain='%d'

iterate_query = SELECT CONCAT(pw_name,'@',pw_domain) AS user FROM vpopmail
__EOT__

chmod go-wrx /etc/dovecot/dovecot-sql.conf.ext

Create the run folder: 

ln -s /var /usr/local/dovecot/var
mkdir -p /usr/local/dovecot/var/run/dovecot
  1. erzeuge besseren DH Key
openssl dhparam -out /usr/local/dovecot/etc/dh.pem 4096

local.conf

Da in der Standard-Konfiurationsdatei dovecot.conf am Ende die Zeile !include_try local.conf steht, werden alle Anpassungen nun in der Datei local.conf gemacht. Die entsprechenden Zeilen sollten in den angegebenen Dateien im Verzeichnis conf.d auskommentiert werden. 

cd /etc/dovecot
cat > local.conf << __EOF__
#--------------------------------------------------------
# dovecot.conf
#--------------------------------------------------------
protocols = imap pop3 sieve
listen=127.0.0.1,81.169.197.241
base_dir = /var/run/dovecot/
state_dir = /var/lib/dovecot

#--------------------------------------------------------
# auth-sql.conf.ext
# ------------------------------------------------------
passdb {
  driver = sql
  args = /etc/dovecot/dovecot-sql.conf.ext
}

userdb {
  driver = prefetch
}

userdb {
  driver = sql
  args = /etc/dovecot/dovecot-sql.conf.ext
}


#--------------------------------------------------------
# 10.auth.conf
#--------------------------------------------------------
disable_plaintext_auth = no
auth_mechanisms = plain login # the sql drivers requires that the pwd is transmitted with no encryption


#--------------------------------------------------------
# 10-ssl.conf
#--------------------------------------------------------
ssl=yes
ssl_cert = </etc/letsencrypt/live/mail.schlicker.org/fullchain.pem
ssl_key = </etc/letsencrypt/live/mail.schlicker.org/privkey.pem
ssl_cipher_list = DHE-RSA-AES256-SHA:DHE-RSA-AES128 SHA:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!CBC:!PSK:!SRP:!DSS:!SSLv2:!RC4
ssl_dh = </usr/local/dovecot/etc/dh.pem

#--------------------------------------------------------
# 10-logging.conf
#--------------------------------------------------------
log_path = /var/log/dovecot/dovecot.log
login_log_format_elements = "user=<%u> method=%m rip=%r lip=%l mpid=%e %c %k"

#--------------------------------------------------------
# 10-mail.conf
#--------------------------------------------------------
mail_uid = 89
mail_gid = 89
first_valid_uid = 89
last_valid_uid = 89
first_valid_gid = 89
last_valid_gid = 89
mail_plugins = $mail_plugins quota zlib

#--------------------------------------------------------
# 10-master.conf
#--------------------------------------------------------
default_login_user = vpopmail
default_internal_user = vpopmail

service auth {
  unix_listener auth-userdb {
    mode = 0600
    user = vpopmail
    group = vchkpw
  }
}
service stats {
    unix_listener stats-reader {
    user = vpopmail
    group = vchkpw
    mode = 0660
  }
  unix_listener stats-writer {
    user = vpopmail
    group = vchkpw
    mode = 0660
  }
}

#--------------------------------------------------------
# 15-lda.conf
#--------------------------------------------------------
postmaster_address = postmaster@afdb.de
hostname = mail.afdb.de
# the next two to auto create folders
lda_mailbox_autocreate = yes
lda_mailbox_autosubscribe = yes

submission_host = 85.214.138.131:25 

protocol lda {
  # Space separated list of plugins to load (default is global mail_plugins).
  mail_plugins = $mail_plugins sieve quota autocreate
}

#--------------------------------------------------------
# 15-mailboxes.conf
#--------------------------------------------------------
namespace inbox {
  mailbox Drafts {
    special_use = \Drafts
    auto = subscribe
  }
  mailbox Junk {
    special_use = \Junk
    auto = subscribe
    autoexpunge = 30d
  }
  mailbox Trash {
    special_use = \Trash
    auto = subscribe
    autoexpunge = 60d
  }
}

#--------------------------------------------------------
# 20-imap.conf
#--------------------------------------------------------
mail_max_userip_connections = 40
protocol imap {
  mail_plugins = $mail_plugins imap_zlib
}

#--------------------------------------------------------
# 20-pop3.conf
#--------------------------------------------------------
protocol pop3 {
  mail_plugins = $mail_plugins quota
}
service pop3-login {
  inet_listener pop3 {
    port = 110
  }
  inet_listener pop3s {
    port = 995
    ssl = yes
  }
}
#--------------------------------------------------------
# 90-plugin.conf
#--------------------------------------------------------
plugin {
  autocreate = Sent
  autocreate2 = Drafts
  autocreate3 = Junk
  autocreate4 = Trash
  autocreate5 = Spam
  autosubscripe = Sent
  autosubscripe2 = Drafts
  autosubscripe3 = Junk
  autosubscripe4 = Trash
  autosubscripe5 = Spam
  zlib_save_level = 6
  zlib_save = gz
}

#--------------------------------------------------------
# 90-quota.conf
#--------------------------------------------------------
#quota = maildir:User quota


#--------------------------------------------------------
# 90-sieve.conf
#--------------------------------------------------------
sieve_extensions = +spamtest +spamtestplus +relational +comparator-i;ascii-numeric
sieve_before = /etc/dovecot/sieve


#--------------------------------------------------------
# auth-vpopmail.conf
#--------------------------------------------------------
passdb {
  driver = vpopmail
}

userdb {
  driver = vpopmail
  args = quota_template=quota_rule=*:backend=%q
}


__EOF__

Anschließend postmaster_address und hostname entsprechend anpassen.

10-auth.conf

Hier wird am Ende folgendes gemacht: 

#!include auth-system.conf.ext
#!include auth-sql.conf.ext
#!include auth-ldap.conf.ext
#!include auth-passwdfile.conf.ext
#!include auth-checkpassword.conf.ext
#!include auth-vpopmail.conf.ext

Also auth-system wird deaktiviert!


10-ssl.conf

hier die Pfade zu den Zertifikaten auskommentieren, stehen nun in local.conf 

#ssl_cert = </etc/ssl/certs/dovecot.pem
#ssl_key = </etc/ssl/private/dovecot.pem

Logdatei und logrotate

Logdatei anlegen 

mkdir -p /var/log/dovecot 
touch /var/log/dovecot/dovecot.log
chgrp vchkpw /var/log/dovecot/dovecot.log
chmod 660 /var/log/dovecot/dovecot.log

Logrotate konfigurieren 

cat > /etc/logrotate.d/dovecot << __EOF__
/var/log/dovecot/*.log {
  missingok
  notifempty
  delaycompress
  sharedscripts
  postrotate
    doveadm log reopen
  endscript
}
__EOF__


Pidgeon Sieve anpassen

Info: http://tools.ietf.org/html/rfc5235 - http://wiki2.dovecot.org/Pigeonhole/Sieve/Examples

Zuerst ein neuen Ordner für globale Sieve-Regeln anlegen 

cd /etc/dovecot/
mkdir sieve
chown -R vpopmail.vchkpw sieve

Erste Regel-Datei anlegen, erkannte SPAMs in den JUNK Ordner verschieben. 

cat > /etc/dovecot/sieve/move-spam.sieve << __EOF__
require ["fileinto"];
if anyof (header :contains "X-Spam-Flag" "YES")
{
 fileinto "Junk";
}
/* Other messages get filed into INBOX */
__EOF__

und anschließend als User vpopmail die Regeln compilieren 

su vpopmail
cd /etc/dovecot/sieve
/usr/local/dovecot-2-3-pigeonhole/bin/sievec .

Einstellungen überprüfen

Um sich mal die Einstellungen von Dovecot anzuschauen, ist das Tool doveconf gut geeignet. 

doveconf|more


Start Dovecot

und anschließend kann man dann Dovecot endgültig starten 

systemctl enable dovecot
systemctl start dovecot

Indizierung (Apache SOLR)

Solr is a Lucene indexing server. Dovecot communicates to it using HTTP/XML queries. With this indexing server, you can do text searches in your emails.

Voraussetzung Java

dnf install -y java-latest-openjdk.x86_64

Test 

java -version
openjdk version "23.0.1" 2024-10-15
OpenJDK Runtime Environment (Red_Hat-23.0.1.0.11-1) (build 23.0.1+11)
OpenJDK 64-Bit Server VM (Red_Hat-23.0.1.0.11-1) (build 23.0.1+11, mixed mode, sharing)

Installation

cd /usr/local/src
SOLR_VER=9.5.0
wget https://www.apache.org/dyn/closer.lua/solr/solr/${SOLR_VER}/solr-${SOLR_VER}.tgz?action=download -O solr-${SOLR_VER}.tgz
tar xzf solr-${SOLR_VER}.tgz 
solr-${SOLR_VER}/bin/install_solr_service.sh --strip-components=2
bash ./install_solr_service.sh solr-${SOLR_VER}.tgz -f -n

Der letzte Aufruf erzeugt einige Fehler, weil wir hier auf einem systemd-System sind, daher nach Abbruch des Skripts ein paar manuelle Anpassungen 

cat > /etc/systemd/system/solr.service << __EOF__
[Unit]
Description=Apache SOLR

[Service]
Type=forking
User=solr
Environment=SOLR_INCLUDE=/etc/default/solr.in.sh
ExecStart=/opt/solr/bin/solr start
ExecStop=/opt/solr/bin/solr stop
Restart=on-failure
LimitNOFILE=65000
LimitNPROC=65000
TimeoutSec=180s

[Install]
WantedBy=multi-user.target
__EOF__

Konfiguration

Standard Konfiguration anpassen 

cat >> /etc/default/solr.in.sh << __EOF__
SOLR_TIMEZONE="Europe/Berlin"
SOLR_IP_ALLOWLIST="127.0.0.1"
SOLR_SECURITY_MANAGER_ENABLED=true
SOLR_OPTS="$SOLR_OPTS -Dsolr.allowUrls=http://localhost:8983"
__EOF__

System Limits anpassen 

cat > /etc/security/limits.d/90-solr.conf << __EOF__
solr    soft    nofile  65536 
solr    soft    nproc   65536 
solr    hard    nofile  65536 
solr    hard    nproc   65536
__EOF__

Starten

systemctl daemon-reload
systemctl enable solr.service
systemctl start solr.service
systemctl status -l solr


Dovecot Anpassungen

SOLR muss laufen um die Grundanpassungen für dovecot vorzunehmen 

sudo -u solr /opt/solr/bin/solr create -c dovecot

cd /var/solr/data/dovecot/conf
rm -f schema.xml managed-schema.xml solrconfig.xml
wget https://notes.sagredo.eu/files/qmail/solr/9.5/solr-schema-9.5.0.xml -O schema.xml
wget https://notes.sagredo.eu/files/qmail/solr/9.5/solrconfig-9.5.0.xml -O solrconfig.xml 
chown solr:solr solrconfig.xml schema.xml

anschließend die Datei /etc/dovecot/local.conf anpassen 

vim /etc/dovecot/local.conf
...
#--------------------------------------------------------
# 10-mail.conf
#--------------------------------------------------------
...
mail_plugins =  $mail_plugins quota zlib fts fts_solr
..
#--------------------------------------------------------
# 90-plugin.conf
#--------------------------------------------------------
plugin {
...
  # solr
  fts = solr
  fts_solr = url=http://localhost:8983/solr/dovecot/
..
}

Control panel setup

virtuellen Host anlegen
cat > /etc/httpd/cond.d/solr.afdb.de.conf << __EOF__
<VirtualHost 81.169.197.241:443>
#-------------------------------------------------------------------------
# solr.afdb.de
#
# webmaster         : webmaster@schlicker.org
# betreiber [email] : karl
# angelegt [von]    : 2024-10-06 [karl]
# gruppe            : wwwgrp01
#
#-------------------------------------------------------------------------

#  General setup for the virtual host
DocumentRoot /www/solr.afdb.de/www
ServerName solr.afdb.de
ServerAlias solr.afdb.de
ServerAdmin karl@schlicker.org

CustomLog /www/solr.afdb.de/logs/access.log combined
ErrorLog  /www/solr.afdb.de/logs/error.log

SSLEngine on
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH EDH+aRSA !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS !RC4"
SSLHonorCipherOrder on
SSLCompression      off
SSLSessionTickets   off

SSLCertificateFile /etc/letsencrypt/live/solr.afdb.de/cert.pem
SSLCertificateKeyFile /etc/letsencrypt/live/solr.afdb.de/privkey.pem
SSLCertificateChainFile /etc/letsencrypt/live/solr.afdb.de/fullchain.pem

SetEnvIf User-Agent ".*MSIE.*" nokeepalive ssl-unclean-shutdown downgrade-1.0 force-response-1.0
Header always set Strict-Transport-Security "max-age=15768000; includeSubDomains; preload"

DirectoryIndex index.html index.php

<Directory "/www/mail.afdb.de/www/">
  Require all granted
  RewriteEngine On
</Directory>

SSLProxyEngine On
ProxyRequests Off
ProxyPass        / http://localhost:8983/
ProxyPassReverse / http://localhost:8983/

</VirtualHost>
__EOF__
SOLR absichern
cat > /var/solr/data/security.json << __EOF__
{ 
"authentication":{ 
"blockUnknown": true, 
"class":"solr.BasicAuthPlugin", 
"credentials":{"solr":"IV0EHq1OnNrj6gvRCwvFwTrZ1+z1oBbnQdiVC3otuq0= Ndd7LKvVBAaZIF0QAVi1ekCfAJXr1GGfLtRUXhgrF8c="}, 
"realm":"My Solr users", 
"forwardCredentials": false 
}, 
"authorization":{ 
"class":"solr.RuleBasedAuthorizationPlugin", 
"permissions":[{"name":"security-edit","role":"admin"}], 
"user-role":{"solr":"admin"} 
}, 
"auditlogging":{ 
"class": "solr.SolrLogAuditLoggerPlugin", 
"async": true, 
"blockAsync" : false, 
"numThreads" : 2, 
"queueSize" : 4096, 
"eventTypes": ["REJECTED", "ANONYMOUS_REJECTED", "UNAUTHORIZED", "COMPLETED", "ERROR"] 
} 
}
__EOF__

chown solr:solr /var/solr/data/security.json
chmod o-r /var/solr/data/security.json

systemctl restart solr

Anschließend kann sich über https://solr.afdb.de anmelden, und die Anpassungen machen und einen User dovecot wie gezeigt konfigurieren.

Solr control panel.png

zum Schluß in der Daeit /etc/dovecot/local.conf die SOLR Einstellungen anpassen 

vim /etc/dovecot/local.conf
..
#--------------------------------------------------------
# 90-plugin.conf
#--------------------------------------------------------
plugin {
...
  # solr
  fts = solr
  fts_solr = url=http://dovecot:4Dovecot2024!@localhost:8983/solr/dovecot/
..
}

systemctl restart dovecot

Test

telnet 0 143 
Trying 0.0.0.0...
Connected to 0.
Escape character is '^]'.
* OK [CAPABILITY IMAP4rev1 SASL-IR LOGIN-REFERRALS ID ENABLE IDLE LITERAL+ STARTTLS AUTH=PLAIN AUTH=LOGIN] Dovecot ready.
a login postmaster@afdb.de 4Postmaster2024!
a OK [CAPABILITY IMAP4rev1 SASL-IR LOGIN-REFERRALS ID ENABLE IDLE SORT SORT=DISPLAY THREAD=REFERENCES THREAD=REFS THREAD=ORDEREDSUBJECT MULTIAPPEND URL-PARTIAL CATENATE UNSELECT CHILDREN NAMESPACE UIDPLUS LIST-EXTENDED I18NLEVEL=1 CONDSTORE QRESYNC ESEARCH ESORT SEARCHRES WITHIN CONTEXT=SEARCH LIST-STATUS BINARY MOVE SNIPPET=FUZZY PREVIEW=FUZZY PREVIEW STATUS=SIZE SAVEDATE LITERAL+ NOTIFY SPECIAL-USE COMPRESS=DEFLATE] Logged in
a select Inbox
* FLAGS (\Answered \Flagged \Deleted \Seen \Draft)
* OK [PERMANENTFLAGS (\Answered \Flagged \Deleted \Seen \Draft \*)] Flags permitted.
* 9 EXISTS
* 0 RECENT
* OK [UNSEEN 1] First unseen.
* OK [UIDVALIDITY 1730639884] UIDs valid
* OK [UIDNEXT 42] Predicted next UID
* OK [HIGHESTMODSEQ 19] Highest
a OK [READ-WRITE] Select completed (0.001 + 0.000 secs).
a SEARCH text "Dovecot" 
* SEARCH
a OK Search completed (0.002 + 0.000 + 0.001 secs).
a logout
* BYE Logging out
a OK Logout completed (0.001 + 0.000 secs).
Connection closed by foreign host.

Automatischen Löschen (expunge)

Skript für das automatische löschen anlegen 

cd /usr/local/dovecot/bin/
wget https://notes.sagredo.eu/files/qmail/dovecot_expunge/dovecot_expunge-cb
mv dovecot_expunge-cb dovecot_expunge.sh
chmod +x /usr/local/dovecot/bin/dovecot_expunge.sh

und Cronjob definieren 

cat > /etc/cron.d/dovecot_expunge << __EOF__
# Dovecot expunge (Trash und Junk leeren)
40 3 * * Sun /usr/local/dovecot/bin/dovecot_expunge.sh >> /var/log/dovecot/dovecot_expunge.log 2>&1
__EOF__

Funktionstest

DNS-Konfiguration

Nach dem der BIND die Änderungen übernommen hat, sollte man die korrekte DNS-Konfiguration von einem anderen Rechner aus testen: 

[ktsadmin@truhe ~]$ dig afdb.de mx

; <<>> DiG 9.11.25-RedHat-9.11.25-2.fc33 <<>> afdb.de mx
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 42743
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 65494
;; QUESTION SECTION:
;afdb.de.			IN	MX

;; ANSWER SECTION:
afdb.de.		86400	IN	MX	10 mail.afdb.de.
afdb.de.		86400	IN	MX	40 old.afdb.de.

;; Query time: 24 msec
;; SERVER: 127.0.0.53#53(127.0.0.53)
;; WHEN: Di Dez 29 14:57:50 CET 2020
;; MSG SIZE  rcvd: 77

Anschließend die IP-Addresse des Mailservers feststellen 

ktsadmin@truhe ~]$ dig mail.afdb.de

; <<>> DiG 9.11.25-RedHat-9.11.25-2.fc33 <<>> mail.afdb.de
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 3256
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 65494
;; QUESTION SECTION:
;mail.afdb.de.			IN	A

;; ANSWER SECTION:
mail.afdb.de.		5566	IN	A	85.214.138.131

;; Query time: 0 msec
;; SERVER: 127.0.0.53#53(127.0.0.53)
;; WHEN: Di Dez 29 14:59:20 CET 2020
;; MSG SIZE  rcvd: 57

Wichtig ist auch der korrekte DNS-Reverse-Lookup, da viele andere Mailserver aus Spam-Schutz-Gründen diesen Check beim Empfang einer Mail durchführen: 

dig -x 85.214.138.131

; <<>> DiG 9.11.20-RedHat-9.11.20-5.el8 <<>> -x 85.214.138.131
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 4278
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: 78173c5c83c23f47f7e89df15feb45ba1306ae8d8730e6f4 (good)
;; QUESTION SECTION:
;131.138.214.85.in-addr.arpa.	IN	PTR

;; ANSWER SECTION:
131.138.214.85.in-addr.arpa. 1800 IN	PTR	mail.afdb.de.

;; Query time: 1 msec
;; SERVER: 81.169.163.106#53(81.169.163.106)
;; WHEN: Di Dez 29 16:05:30 CET 2020
;; MSG SIZE  rcvd: 110

SSL-Connection

Um die Verschlüsselung bei den einzelnen Protokollen zu testen, kann man folgende Befehle aufrufen.

POP3S

# for pop:
openssl s_client -connect localhost:995

IMAPSSL

openssl s_client -connect localhost:993

SMTP/TLS (STARTTLS)

openssl s_client -crlf -starttls smtp -connect localhost:587

Virtuelle Mail-Domain mit vpopmail anlegen

# /home/vpopmail/bin/vadddomain afdb.de
Please enter password for postmaster:
enter password again:

Nun ist die Test-Domain in vpopmail angelegt, was man auch nochmal leicht überprüfen kann: 

# /home/vpopmail/bin/vdominfo afdb.de
domain: afdb.de
uid:    89
gid:    89
dir:    /home/vpopmail/domains/afdb.de
users:  1

Test-Mailaccount anlegen

# /home/vpopmail/bin/vadduser dirk@test.braunschweig-lions.de
Please enter password for dirk@test.braunschweig-lions.de:
enter password again:

Mailaccount/Mailserver testen

Nun kann mit einem Mailprogramm die Funktion getestet werden, folgende Daten sind dabei in diesem Beispiel als Mail-Konto einzutragen: 

Posteingangsserver (POP3/IMAP/PO3S/IMAPS): mail.afdb.de
Postausgangsserver (SMTP)                : mail.afdb.de

Benutzername (POP/IMAP/SMTP-AUTH)        : postmaster@afdb.de (Volle E-Mail Adresse)
Kennwort                                 : (wie oben festgelegt)

Folgende Core-Tests sollten durchgeführt werden:

  • E-Mail von extern an die neue Test-Adresse versenden (dirk@test.braunschweig-lions.de)
  • E-Mail von der Test-Adresse an externen Empfänger versenden, z.B. web.de, link-innovation.de etc.
  • Die Protokolle POP3, IMAP und SMTP mit und ohne SSL testen
  • Die verschiendenen Authentifizierungen (PLAIN, CRAM-MD5...)
  • SMTP after POP und SMTP mit Authentifizierung testen

Erweiterungen

Den Qmail-Toaster um zusätzliche Erweiterungen und Funkionen bzgl. SPAM-Prävention und Viren-Überprüfung erweitern.

Letsencrypt Zertifikate einbauen

Als erstes beantragt man ein Zertifikat für den Mailserver (mail.afdb.de) bei Letencrypt, wie hier beschrieben

Zertifikate automatisch erneuern

Zuerst legt man ein Skript unter /var/qmail/bin/ an, welches automatisch das Letsencrypt zertifikat korrekt verteilt. 

cat > /var/qmail/bin/renew_cert.sh << __EOT__
#!/bin/bash
############################################################################
#
#  @description:        build the servercert for qmail from letsencrypt cert
#  @author:             Karl Schlicker
#  @history:            
#       20170708        First Version
#
############################################################################
SERVER_CERT="servercert.pem"
QMAIL_CONTROL_DIR="/var/qmail/control"
BACKUP_DIR="\${QMAIL_CONTROL_DIR}/backup"
BACKUP_FILE="\${BACKUP_DIR}/${SERVER_CERT}.$( date +%F)"
LETSENCRYPT_CERT_PATH="/etc/letsencrypt/live/mail.schlicker.org"

# check, if backup dir exist
if [ ! -d "${BACKUP_DIR}" ]; then
        /bin/mkdir "\${BACKUP_DIR}"
fi 

# first make a backup
/bin/cp "\${QMAIL_CONTROL_DIR}/\${SERVER_CERT}"  "\${BACKUP_FILE}"

echo "\$(date +%F):" 

# concat the cert and the key
/bin/cat "\${LETSENCRYPT_CERT_PATH}/fullchain.pem" "\${LETSENCRYPT_CERT_PATH}/privkey.pem" > "\${QMAIL_CONTROL_DIR}/\${SERVER_CERT}"

# Qmail restart & Dovecot restart
/usr/bin/qmailctl restart
systemctl restart dovecot

__EOT__

chmod +x /var/qmail/bin/renew_cert.sh

Per Cronjob jeden Sonntag erneuern lassen 

# Qmail Cert renew
0 0 * * Sun root /var/qmail/bin/renew_cert.sh >> /var/log/letsencrypt/renew_qmail_cert.log 2>&1

Zertifikatablauf überwachen

Den Ablauf der Zertifikate kann man über folgenden Webseite kostenlos überwachen lassen.

RedSift

SpamAssassin

Referenzen

Installation der nötigen RPM-Pakete

Wir installieren zuerst die RPM-Pakete, später bauen wir aus perl CPAN spamassassin neu. 

dnf -y install spamassassin spamassassin-iXhash2 perl-Razor-Agent pyzor  p7zip

Verzeichnisse, User und Gruppen anlegen

mkdir -p /etc/mail/spamassassin /home/spamd /var/log/spamassassin

groupadd spamd
useradd -g spamd -d /home/spamd spamd
chown -R spamd:spamd /home/spamd

chgrp apache /var/log/spamassassin
chmod g+w /var/log/spamassassin

Plugins

SpamAssassin lässt sich mit vielen Plugins aufwerten und damit die Erkennungsrate von SPAMs verbessern

Razor

Konfiguration für Razor anlegen 

mkdir -p /etc/mail/spamassassin/.razor
razor-admin -home=/etc/mail/spamassassin/.razor -register
razor-admin -home=/etc/mail/spamassassin/.razor -create
razor-admin -home=/etc/mail/spamassassin/.razor -discover

Set up permissions 

chgrp apache /etc/mail/spamassassin/.razor/identity-*
chmod 640 /etc/mail/spamassassin/.razor/identity-*
chmod 644 /etc/mail/spamassassin/.razor/razor-agent.log

/etc/sysconfig/spamassassin anpassen 

# Options to spamd
#SPAMDOPTIONS="-c -m5 -H --razor-home-dir='/var/lib/razor/' --razor-log-file='sys-syslog'"
SPAMDOPTIONS="-c -m5 -u spamd -H /home/spamd --razor-home-dir='/etc/mail/spamassassin/.razor/' --razor-log-file='/var/log/spamassassin/razor_agent.log'"

Pyzor

mkdir -p /etc/mail/spamassassin/.pyzor
chown spamd:spamd /etc/mail/spamassassin/.pyzor

RelayCountry

Für SpamAssassin gibt es ein Plugin namens RelayCountry, mit welchem es möglich wird, die Länder der einzelnen SMTP Relays anhand der GeoIP Information zu bestimmen. Dies dient zum einen der Bayes-Datenbank. Sie bekommt also zusätzliche Informationen und wird künftig selbständig lernen, aus welchen Ländern viel Spam kommt.

Benötigte Pakete installieren

Da dieses nicht im RPM-Paket von SpamAssassin enthalten ist, müssen wir hier SpamAssassin neu bauen. Dazu müssen wir zuerst perl-CPAN installieren und konfigurieren. Zuerst installiert man die dafür benötigten Pakete 

dnf -y install perl-CPAN perl-YAML perl-JSON-PP perl-Test perl-Socket6 perl-IO-Socket-INET6 
dnf -y install perl-BerkeleyDB perl-DBD-MySQL
dnf -y install perl-Net-Patricia perl-Mail-SPF_XS perl-Mail-SPF perl-Net-IP perl-Net-DNS
dnf -y install perl-Geo-IP GeoIP-GeoLite-data-extra geoipupdate 
dnf -y install perl-Time-HiRes perl-Devel-Peek perl-open
CPAN Module installieren und RelayCount in SpamAssassin bauen

und anschließend installiert man über CPAN die fehlenden Module und installiert am Schluß RelayCountry. 

cpan -i IP::Country::Fast
cpan -i Devel::Cycle
cpan -i IO::String
cpan -i Test::Taint
cpan -i Readonly
cpan -i Params::Validate
cpan -i Specio
cpan -i Params::ValidationCompiler
cpan -i DateTime::Locale
cpan -i DateTime::TimeZone
cpan -i MaxMind::DB::Metadata 
cpan -i MaxMind::DB::Reader 
cpan -i GeoIP2::Database::Reader
cpan -i Mail::SpamAssassin::Plugin::RelayCountry

Danach sollten unter folgende Verzeichnis die GeoIP-DBs enthalten sein 

cd /usr/share/GeoIP/
ls -l
insgesamt 113328
lrwxrwxrwx 1 root root       16 28. Nov 2019  GeoIPASNum.dat -> GeoLiteASNum.dat
-rw-r--r-- 1 root root  5628114 19. Jun 2018  GeoIPASNumv6.dat
lrwxrwxrwx 1 root root       15 28. Nov 2019  GeoIPCity.dat -> GeoLiteCity.dat
lrwxrwxrwx 1 root root       17 28. Nov 2019  GeoIPCityv6.dat -> GeoLiteCityv6.dat
lrwxrwxrwx 1 root root       18 22. Mär 2020  GeoIP.dat -> GeoLiteCountry.dat
-rw-r--r-- 1 root root  2322773 19. Jun 2018  GeoIPv6.dat
-rw-r--r-- 1 root root 56548946  7. Jun 2018  GeoLite2-City.mmdb
-rw-r--r-- 1 root root  3423846  7. Jun 2018  GeoLite2-Country.mmdb
-rw-r--r-- 1 root root  4638365  4. Apr 2018  GeoLiteASNum.dat
lrwxrwxrwx 1 root root       16 28. Nov 2019  GeoLiteASNumv6.dat -> GeoIPASNumv6.dat
-rw-r--r-- 1 root root 20539238  4. Apr 2018  GeoLiteCity.dat
-rw-r--r-- 1 root root 21684452 19. Jun 2018  GeoLiteCityv6.dat
-rw-r--r-- 1 root root  1242574  4. Apr 2018  GeoLiteCountry.dat
Konfiguration

Anschließend fügt man folgende Zeile in die Datei /etc/mail/spamassassin/init.pre ein: 

#
# Relay Country
loadplugin Mail::SpamAssassin::Plugin::RelayCountry

und fügt am Ende von /etc/mail/spamassassin/local.cf folgenden Inhalt hinzu: 

vim /etc/mail/spamassassin/local.cf
...

ifplugin Mail::SpamAssassin::Plugin::RelayCountry
add_header all Relay-Country _RELAYCOUNTRY_
header RELAYCOUNTRY_BAD X-Relay-Countries =~ /(CN|RU|UA|RO|VN)/
describe RELAYCOUNTRY_BAD Relayed through spammy country at some point
score RELAYCOUNTRY_BAD 2.0
 
header RELAYCOUNTRY_GOOD X-Relay-Countries =~ /^(DE|AT|CH)/
describe RELAYCOUNTRY_GOOD First untrusted GW is DE, AT or CH
score RELAYCOUNTRY_GOOD -0.5
endif # Mail::SpamAssassin::Plugin::RelayCountry

Konfiguration

Die Konfigurationsdateien befinden sich im Ordner /etc/mail/spamassassin.

local.cf

# These values can be overridden by editing ~/.spamassassin/user_prefs.cf 
# (see spamassassin(1) for details)

# These should be safe assumptions and allow for simple visual sifting
# without risking lost emails.

required_hits 5
report_safe 0
rewrite_header Subject [SPAM]
use_bayes 1
bayes_auto_learn 1
use_txrep 1
txrep_factory Mail::SpamAssassin::SQLBasedAddrList

init.pre

init.pre um das RelayCountry Plugin erweitern. 

# This is the right place to customize your installation of SpamAssassin.
#
# See 'perldoc Mail::SpamAssassin::Conf' for details of what can be
# tweaked.
#
# This file contains plugin activation commands for plugins included
# in SpamAssassin 3.0.x releases.  It will not be installed if you
# already have a file in place called "init.pre".
#
# There are now multiple files read to enable plugins in the 
# /etc/mail/spamassassin directory; previously only one, "init.pre" was 
# read.  Now both "init.pre", "v310.pre", and any other files ending in
# ".pre" will be read.  As future releases are made, new plugins will be
# added to new files, named according to the release they're added in.
###########################################################################

# URIDNSBL - look up URLs found in the message against several DNS
# blocklists.
#
loadplugin Mail::SpamAssassin::Plugin::URIDNSBL

# Hashcash - perform hashcash verification.
#
loadplugin Mail::SpamAssassin::Plugin::Hashcash

# SPF - perform SPF verification.
#
loadplugin Mail::SpamAssassin::Plugin::SPF

# RelayCountry - add metadata for Bayes learning, marking the countries
# a message was relayed through
#
# Note: This requires the IP::Country::Fast Perl module
#
loadplugin Mail::SpamAssassin::Plugin::RelayCountry

Benutzereinstellungen (Userpref)

Um die SPAM-Erkennung auf Benutzer/Domain-Ebene einstellen zu können, wird eine Datenbank mit den entsprechenden Werten angelegt.

Datenbank anlegen

mysql -u root -p

CREATE DATABASE spamassassin;
CREATE USER 'spamassassin'@'127.0.0.1' IDENTIFIED BY '***';
GRANT USAGE ON * . * TO 'spamassassin'@'127.0.0.1' IDENTIFIED BY '***' WITH MAX_QUERIES_PER_HOUR 0 MAX_CONNECTIONS_PER_HOUR 0 MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ;
USE spamassassin;
CREATE TABLE userpref (
  username varchar(100) NOT NULL default '',
  preference varchar(30) NOT NULL default '',
  value varchar(100) NOT NULL default '',
  prefid int(11) NOT NULL auto_increment,
  PRIMARY KEY  (prefid),
  KEY username (username)
) ENGINE=InnoDB;
GRANT ALL PRIVILEGES ON `spamassassin` . * TO 'spamassassin'@'127.0.0.1';

Konfigurationsdatei erzeugen

cd /etc/mail/spamassassin
cat > 90-sql.cf << __EOF__
user_scores_dsn                  DBI:mysql:spamassassin:127.0.0.1:3306
user_scores_sql_password         <password>
user_scores_sql_username         spamassassin
user_scores_sql_custom_query     SELECT preference, value FROM _TABLE_ WHERE username = _USERNAME_ OR username = '$GLOBAL' OR username = CONCAT('%',_DOMAIN_) ORDER BY username ASC
__EOF__

Beispieleinträge erzeugen

Die Tabelle userpref mit Mustereinträgen füllen 

mysql -h localhost -u root -p

USE spamassassin;
INSERT INTO `userpref` VALUES ('$GLOBAL','required_hits','5.0'),('%afdb.de','required_hits','4.0'),('news@footballforum.de',' required_hits','2.5'),('karl@schlicker.org',' required_hits','2.5'),('%afdb.de','blacklist_from','ben@hamsamail.us');

Spamassassin TxRep Reputation and Bayesean (SQL)

Die Bayes-DB für die SPAM-Erkennung und das Lernen von SPAM/HAM-Mails wird in eine Datenbank verschoben/aufgebaut.

DB-Tabellen anlegen

# mysql -h localhost -u root -p

USE spamassassin;
CREATE TABLE txrep (
 username varchar(100) NOT NULL default '',
 email varchar(255) NOT NULL default '',
 ip varchar(40) NOT NULL default '',
 msgcount int(11) NOT NULL default '0',
 totscore float NOT NULL default '0',
 signedby varchar(255) NOT NULL default '',
 last_hit timestamp NOT NULL default CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
 PRIMARY KEY (username,email,signedby,ip),
 KEY last_hit (last_hit)
) ENGINE=InnoDB;

CREATE TABLE bayes_expire (
  id int(11) NOT NULL default '0',
  runtime int(11) NOT NULL default '0',
  KEY bayes_expire_idx1 (id)
) ENGINE=InnoDB;

CREATE TABLE bayes_global_vars (
  variable varchar(30) NOT NULL default '',
  value varchar(200) NOT NULL default '',
  PRIMARY KEY  (variable)
) ENGINE=InnoDB;

INSERT INTO bayes_global_vars VALUES ('VERSION','3');

CREATE TABLE bayes_seen (
  id int(11) NOT NULL default '0',
  msgid varchar(200) binary NOT NULL default '',
  flag char(1) NOT NULL default '',
  PRIMARY KEY  (id,msgid)
) ENGINE=InnoDB;

CREATE TABLE bayes_token (
  id int(11) NOT NULL default '0',
  token char(5) NOT NULL default '',
  spam_count int(11) NOT NULL default '0',
  ham_count int(11) NOT NULL default '0',
  atime int(11) NOT NULL default '0',
  PRIMARY KEY  (id, token),
  INDEX bayes_token_idx1 (token),
  INDEX bayes_token_idx2 (id, atime)
) ENGINE=InnoDB;

CREATE TABLE bayes_vars (
  id int(11) NOT NULL AUTO_INCREMENT,
  username varchar(200) NOT NULL default '',
  spam_count int(11) NOT NULL default '0',
  ham_count int(11) NOT NULL default '0',
  token_count int(11) NOT NULL default '0',
  last_expire int(11) NOT NULL default '0',
  last_atime_delta int(11) NOT NULL default '0',
  last_expire_reduce int(11) NOT NULL default '0',
  oldest_token_age int(11) NOT NULL default '2147483647',
  newest_token_age int(11) NOT NULL default '0',
  PRIMARY KEY  (id),
  UNIQUE bayes_vars_idx1 (username)
) ENGINE=InnoDB;

Konfiguration

TxRep in der Datei local.cf aktivieren 

use_txrep 1
txrep_factory Mail::SpamAssassin::SQLBasedAddrList

anschließend v341.pre anpassen 

# TxRep - Reputation database that replaces AWL 
loadplugin Mail::SpamAssassin::Plugin::TxRep

und anschlie0end das AWL-Plugin in /etc/mail/spamassassin/v310.pre auskommentieren 

# loadplugin Mail::SpamAssassin::Plugin::AWL

Zum Schluß folgende Zeilen der Datei /etc/mail/spamassassin/90-sql.cf am Ende hinzufügen (Passwort entsprechend anpassen): 

# txrep
txrep_factory                   Mail::SpamAssassin::SQLBasedAddrList
user_awl_dsn                    DBI:mysql:spamassassin:localhost
user_awl_sql_username           spamassassin
user_awl_sql_password           SApassword
user_awl_sql_table              txrep

# bayesean
bayes_store_module              Mail::SpamAssassin::BayesStore::MySQL
bayes_sql_dsn                   DBI:mysql:spamassassin:localhost
bayes_sql_username              spamassassin
bayes_sql_password              SApassword

Tests

Die Debug-Ausgaben anschauen 

sudo -u spamd -H spamassassin -D --lint

Test1: Header

Prüfen, ob die Header hinzugefügt werden, required noch bei 5.0 (Standard) 

root@h2859558 (FF)[/etc/mail/spamassassin] # echo -e "From: postmaster@afdb.de\nTo:info@schlicker.org\nSubject: test\n\n" | spamc
X-Spam-Checker-Version: SpamAssassin 3.4.2 (2018-09-13) on
	h2859558.stratoserver.net
X-Spam-Level: ***
X-Spam-Status: No, score=3.5 required=5.0 tests=MISSING_DATE,MISSING_MID,
	NO_RECEIVED,NO_RELAYS,PYZOR_CHECK autolearn=no autolearn_force=no
	version=3.4.2
From: postmaster@afdb.de
To:info@schlicker.org
Subject: test

Test 2: Benutzereinstellung - Domain

Der required Wert sollte nun auf 4.0 sein 

echo -e "From: postmaster@afdb.de\nTo:info@schlicker.org\nSubject: test\n\n" | spamc -u '%afdb.de' 
X-Spam-Checker-Version: SpamAssassin 3.4.2 (2018-09-13) on
	h2859558.stratoserver.net
X-Spam-Level: ***
X-Spam-Status: No, score=3.5 required=4.0 tests=FSL_BULK_SIG,MISSING_DATE,
	MISSING_MID,NO_RECEIVED,NO_RELAYS,PYZOR_CHECK autolearn=no
	autolearn_force=no version=3.4.2
X-Spam-Relay-Country: 
From: postmaster@afdb.de
To:info@schlicker.org
Subject: test

Test 3: Benutzereinstellung - badmail

Der score muss nun >100 sein 

root@h2859558 (FF)[/etc/logrotate.d] # echo -e "From: ben@hamsamail.us\nTo:postmaster@afdb.de\nSubject: test\n\n" | spamc -u 'postmaster@afdb.de' 
X-Spam-Checker-Version: SpamAssassin 3.4.2 (2018-09-13) on
	h2859558.stratoserver.net
X-Spam-Flag: YES
X-Spam-Level: **************************************************
X-Spam-Status: Yes, score=104.3 required=4.0 tests=DKIM_ADSP_NXDOMAIN,
	FSL_BULK_SIG,MISSING_DATE,MISSING_MID,NO_RECEIVED,NO_RELAYS,
	PYZOR_CHECK,USER_IN_BLACKLIST autolearn=no autolearn_force=no
	version=3.4.2
X-Spam-Report: 
	*  100 USER_IN_BLACKLIST From: address is in the user's black-list
	*  0.8 DKIM_ADSP_NXDOMAIN No valid author signature and domain not in
	*      DNS
	* -0.0 NO_RELAYS Informational: message was not relayed via SMTP
	*  2.0 PYZOR_CHECK Gelistet im Pyzor-System
	*      (https://pyzor.readthedocs.io/en/latest/)
	*  1.4 MISSING_DATE Datumskopfzeile fehlt
	* -0.0 NO_RECEIVED Informational: message has no Received headers
	*  0.0 FSL_BULK_SIG Bulk signature with no Unsubscribe
	*  0.1 MISSING_MID Missing Message-Id: header
X-Spam-Relay-Country: 
From: ben@hamsamail.us
To:postmaster@afdb.de
Subject: [SPAM] test
X-Spam-Prev-Subject: test

Start/Stop SpamAssassin

Starten und für den Systemstart konfigurieren: 

systemctl enable spamassassin
systemctl start spamassassin

SpamAssassin update

Mit der Installation des Spamassassin-Pakets kommt bei CentOS 8 automatisch ein Systemd-Daemon mit, der jeden Tag die Updates holt. 

systemctl restart sa-update
systemctl status sa-update

Bayes-DB trainieren

Das Programm verwendet eine integrierte Bayes-Datenbank, um Textphrasen zu klassifizieren und zu bewerten. Damit das Ganze funktioniert, muss diese Datenbank zunächst trainiert werden. Für das „Training“ sind eine Menge Mails notwendig. Um genug Spam Mails zu bekommen, habe ich das aktuellste Monatsarchiv von http://untroubled.org/spam/ verwendet. 

cd /usr/local/src/
wget http://untroubled.org/spam/2020-12.7z
wget http://untroubled.org/spam/2019.7z
7za x 2020-12.7z
7za x 2019.7z
sa-learn --dbpath /home/spamd/.spamassassin/ --progress --spam /usr/local/src/2019
sa-learn --dbpath /home/spamd/.spamassassin/ --progress --spam /usr/local/src/2020
sa-learn --sync

Update der Plugins etc

Nach jeder Änderung der Konfigurationsdateien sollte man folgende Befehle ausführen 

sudo -u spamd -H spamassassin --lint
systemctl restart spamassassin

Virenscanner ClamAV

Installation

  dnf -y install clamav-unofficial-sigs clamd clamav-update

Konfiguration

mkdir /var/log/clamd /var/run/freshclam/
chown clamscan: /var/log/clamd /var/lib/clamav /var/run/freshclam/
chmod 2775 /var/log/clamd

In der Datei /etc/freshclam.conf die folgenden Zeilen anpassen: 

UpdateLogFile /var/log/clamd/freshclam.log
PidFile /var/run/freshclam/freshclam.pid
DatabaseOwner clamscan

In der Datei /etc/clamd.d/scan.conf die folgenden Zeilen anpassen: 

LogFile /var/log/clamd/clamd.log
LogTime yes
PidFile /run/clamd.scan/clamd.pid
LocalSocket /run/clamd.scan/clamd.sock
TCPSocket 3310
TCPAddr 127.0.0.1

In der Datei /etc/clamav-unofficial-sigs/os.conf die folgenden Zeilen anpassen: 

clam_user="clamscan"
clam_group="clamscan"
clamd_socket="/var/run/clamd.scan/clamd.sock"


Systemd

systemctl enable clamav-freshclam
systemctl enable clamav-unofficial-sigs
systemctl enable clamd@scan
systemctl restart clamav-freshclam
systemctl restart clamav-unofficial-sigs
systemctl restart clamd@scan

Logrotate

cat > /etc/logrotate.d/clamav-update << __EOF__
/var/log/clamd/freshclam.log /var/log/clamd/clamd.log{
        monthly
        notifempty
        missingok
        postrotate
                systemctl try-restart clamd@scan.service
                systemctl try-restart clamav-freshclam.service
        endscript
}
__EOF__

Test

root@h2859558 (FF)[/usr] # cd /usr/local/src
root@h2859558 (FF)[/usr/local/src] # wget https://secure.eicar.org/eicar.com.txt
root@h2859558 (FF)[/usr/local/src] #  clamscan eicar.com.txt
/usr/local/src/eicar.com.txt: {HEX}EICAR.TEST.3.UNOFFICIAL FOUND

----------- SCAN SUMMARY -----------
Known viruses: 9003832
Engine version: 0.102.4
Scanned directories: 0
Scanned files: 1
Infected files: 1
Data scanned: 0.05 MB
Data read: 0.05 MB (ratio 1.00:1)
Time: 16.234 sec (0 m 16 s)

SimScan

RipMime

rpm -Uvh http://ftp.halifax.rwth-aachen.de/fedora-epel/8/Everything/SRPMS/Packages/r/ripmime-1.4.0.10-7.el8.src.rpm
dnf -y install ripmime


Installation

cd /var/src/tar
wget https://notes.sagredo.eu/files/qmail/tar/simscan-1.4.1.tar.gz
wget https://notes.sagredo.eu/files/qmail/patches/simscan/simscan-1.4.1_20200803.patch
tar xzf simscan-1.4.1.tar.gz
cd simscan-1.4.1
chown -R root:root .
patch < ../simscan-1.4.1_20200803.patch
cp configure.ac configure.in

./configure \
--enable-user=clamscan \
--enable-clamav=y \
--enable-spam=y \
--enable-spam-passthru=y \
--enable-spam-hits=9.5 \
--enable-per-domain=y \
--enable-ripmime \
--enable-attach=y \
--enable-custom-smtp-reject=y \
--enable-spamc-user=y \
--enable-received=y \
--enable-clamavdb-path=/var/lib/clamav

make
make install-strip


mkdir /var/qmail/simscan
chown clamscan:clamscan /var/qmail/simscan

Konfiguration

cat > /var/qmail/control/simcontrol << __EOF__
:clam=yes,spam=yes,spam_hits=9.5,attach=.vbs:.lnk:.scr:.wsh:.hta:.pif
__EOF__

Nach jeder Änderung der Datei /var/qmail/control/simcontrol muss die Datei /var/qmail/control/simcontrol.cdb neu generiert werden. 

/var/qmail/bin/simscanmk

Understanding the simcontrol file

You can setup rules for a specific user, a specific domain and a default rule as follows: 

cat > /var/qmail/control/simcontrol << __EOF__
postmaster@example.com:clam=yes,spam=no,attach=.txt:.com
example.com:clam=no,spam=yes,attach=.mp3
:clam=yes,spam=yes,spam_hits=9.5,attach=.vbs:.lnk:.scr:.wsh:.hta:.pif
__EOF__
  • The first line sets clam on and spam off for postmaster@example.com and checks for viruses inside attached file .txt and .com names.
  • The second line sets clam off and spam on for the example.com domain and disallows .mp3 files for the attachment scanner.
  • The third line sets the default for the whole machine to enable clam, spam scanning, and sets the reject level for spam hits to 9.5.

Automatisches Update

Zuerst muss das Update-Skript erzeugt werden 

cd /var/src/
wget --no-check-certificate https://qmail.jms1.net/simscan/update-simscan.c
gcc -s -o /usr/local/sbin/update-simscan update-simscan.c
chown root:clamscan /usr/local/sbin/update-simscan
chmod 4110 /usr/local/sbin/update-simscan

Anschließend wird die Datei /etc/freshclam.conf angepasst 

OnUpdateExecute /usr/local/sbin/update-simscan

und der clamav-update-Daemon restartet 

systemctl restart clamav-freshclam

Test

cd /usr/local/src
echo "This is a test message" > mailtest.txt
env QMAILQUEUE=/var/qmail/bin/simscan SIMSCAN_DEBUG=4 /var/qmail/bin/qmail-inject postmaster@afdb.de < mailtest.txt

fail2ban

Falls noch nicht bei der Server-Installation installiert, sollte man spätestens jetzt fail2ban installieren.

Installation

dnf -y install fail2ban fail2ban-server fail2ban-sendmail

Konfiguration

Zuerst passt man die Datei /etc/fail2ban/jail.local an und fügt folgende Zeilen hinzu: 

[qmail-smtp]
enabled  = true
filter   = qmail-smtp
action   = iptables[name=SMTP, port=25, protocol=tcp]
           sendmail-whois-lines[name=SMTP, logpath="%(logpath)s"]
logpath  = /var/log/qmail/smtpd/current
maxretry = 5
bantime  = 1d
findtime = 1h

[qmail-submission]
enabled  = true
filter   = qmail-smtp
action   = iptables[name=SUBMISSION, port=587, protocol=tcp]
           sendmail-whois-lines[name=SUBMISSION, logpath="%(logpath)s"]
logpath  = /var/log/qmail/submission/current
maxretry = 5
bantime  = 1d
findtime = 1h


[vpopmail]
enabled  = true
filter   = vpopmail
action   = iptables[name=VPOPMAIL, port=587, protocol=tcp]
           sendmail-whois-lines[name=VPOPMAIL, logpath="%(logpath)s"]
# check your syslog mail related log (mail.log in some systems)
logpath  = /var/log/maillog
maxretry = 5
bantime  = 86400
findtime = 3600


[dovecot-pop3]
enabled  = true
filter   = dovecot
action   = iptables-multiport[name=POP3, port="110,995", protocol=tcp]
           sendmail-whois-lines[name=POP3, logpath="%(logpath)s"]
logpath  = /var/log/dovecot/dovecot.log
maxretry = 6
bantime  = 1h
findtime = 1h


[dovecot-imap]
enabled = true
filter = dovecot
action = iptables-multiport[name=IMAP, port="143,993", protocol=tcp]
 sendmail-whois-lines[name=IMAP, logpath="%(logpath)s"]
logpath = /var/log/dovecot/dovecot.log
maxretry = 6
bantime = 1h
findtime = 1h

Systemd

systemctl restart fail2ban

Test

fail2ban-client status

fail2ban-regex /var/log/qmail/smtpd/current /etc/fail2ban/filter.d/qmail-smtp.conf


Manuelles setzen

fail2ban-client set apache-typo3 banip 154.196.72.202

SquirrelMail

cd /var/src/tar

# Achtung: Immer nach neuster Version schauen! Siehe Projektlink.
wget http://mesh.dl.sourceforge.net/sourceforge/squirrelmail/squirrelmail-1.4.15.tar.gz
cd ..

tar xzf tar/squirrelmail-1.4.15.tar.gz
cd tar/squirrelmail-1.4.15

./configure

# Nun Einstellungen wie gewünscht vornehmen, die folgenden auf jeden Fall

* 2.  Server Settings
      Ggf. IMAP/SMTP localhost gegen die IP/Hostnamen tauschen, wenn Courier nur auf einer IP und nicht auf allen eingerichtet ist


* 4.  General Options
      Data Directory (1) auf "/var/www/data/"
      Attach Directory (2) auf "/var/www/attach/"
      Allow server thread sort (10) auf "y"
      Allow server-side sorting (11) auf "y"

      Save data (s)

* Quit und Save

mv data/ /var/www/
mkdir /var/www/attach
chown -R apache.apache /var/www/data/ /var/www/attach/
mv squirrelmail-1.4.15/ /var/www/html/webmail

Nun in einem gewünschten Virtuellen Host oder der ssl.conf den Zugriff einrichten, z.B. mit 

Alias /webmail/ /var/www/html/webmail/
Alias /webmail /var/www/html/webmail/

Natürlich kann jederzeit unter /var/www/html/webmail/ das ./configure Skript aufgerufen werden und somit die Konfiguration verändert werden.

Sprachen einrichten

cd /var/src/tar/
wget http://surfnet.dl.sourceforge.net/sourceforge/squirrelmail/all_locales-1.4.13-20071220.tar.gz
mkdir squirrelmail-locale
cd squirrelmail-locale
tar xzf ../tar/all_locales-1.4.13-20071220.tar.gz

./install

# Dort den Pfad "/var/www/html/webmail/" angeben

Tipp: Wenn man nicht soviel mit "y" das Kopieren bestätigen möchte, kurz das install-Skript editieren und das -i beim cp entfernen.

Nun kann man noch mit dem configure Skript in /var/www/html/webmail/ die Default-Sprache auf Deutsch (de_DE) und das Charset z.B. auf iso-8859-15 einstellen.


SIEVE-Filter Plugin

Um den optional eingerichteten SIEVE-Filter auch für die benutzer Steuerbar zu machen, empfiehlt sich die Installation des Avelsieve Plugins für Squirrelmail wie folgt. Die offizielle Seite zu dem Plugin ist unter http://squirrelmail.org/plugin_view.php?id=73 zu finden. 

cd /usr/share/squirrelmail/plugins/
wget "http://squirrelmail.org/countdl.php?fileurl=http%3A%2F%2Fwww.squirrelmail.org%2Fplugins%2Favelsieve-1.9.9.tar.gz"
tar xfz avelsieve-1.9.9.tar.gz
cd ./avelsieve/config/
cp config_sample.php config.php

Änderungen in der Konfiguration

  1. Mit dem Editor der Wahl nun die frisch kopierte config.php öffnen und den Wert von $sieveport von 2000 in 4190 ändern.
  2. Optional können in den Zeilen 151-153 ($avelsieve_hardcoded_capabilities) noch die Fähigkeiten von SIEVE konfiguriert werden. Alle Einstellungen für den Dovecot LDA, wie im Kommentar darüber aufgelistet, können ohne Probleme übernommen werden.
  3. Vor dem Schließen der Datei muss noch sichergestellt sein, dass die Variable $avelsieve_disabletls auf true gesetzt ist. Anschließend Datei speichern und schließen.

Aktivierung des Plugins in Squirrelmail

Abschließend ist das Plugin noch über das Squirrelmail Config-Script zu aktivieren. Dazu muss das /usr/share/squirrelmail/config/conf.pl Script aufgerufen werden. Dabei sind in dem Menü-gesteuerten Script folgende Eingaben zu tätigen und jeweils mit ENTER zu bestätigen:

  • 8 (Auswahl des Plugin Menüs)
  • Die Zahl vor "avelsieve" unter "Available plugins" (aktiviert das Plugin)
  • S (Änderungen speichern)
  • Q (Script beenden)

Testen der Einstellungen

Anschließend kann man sich bei Squirrelmail anmelden und unter Optionen -> Nachrichtenfilter einen ersten Filter anlegen. Es empfiehlt sich eine Regel anzulegen, die nach einem String im Betreff sucht und die eMail in einem anderen Ordner als dem Posteingang ablegt. Nach dem Speichern einfach eine eMail an die eigene Adresse senden und schauen ob die Mail richtig abgelegt wurde.

QMAIL Add-ons

Realtime Blackhole List (RBL) - qmail-dnsbl

Konfiguration

cat > /var/qmail/control/dnsbllist << __EOF__
-b.barracudacentral.org
-zen.spamhaus.org
__EOF__

Funktionstest

qmailctl restart
qmail-showctl |grep dnsbl
dnsbllist:
List at -b.barracudacentral.org configured for dnsbl check.
List at -zen.spamhaus.org configured for dnsbl check.

Greetdelay

Um ggf. Greetdelay-Zeiten anzupassen, muss man die Dateien /var/qmail/supervice/qmail-smtpd/run' und /var/qmail/supervice/qmail-submission/run anpassen. 

export SMTPD_GREETDELAY=15
export DROP_PRE_GREET=1

Beispiel: Greetdelay von 15s und Drop der Daten, die vorher erneut gesendet wurden.

SPF

SPF behavior of your mail server is controlled by the file /var/qmail/control/spfbehavior. You can specify a value between 0 and 6: 

   0 disabled (Default). Never do SPF lookups, don't create Received-SPF headers
   1 selects 'annotate-only' mode,  where  qmail-smtpd  will  annotate  incoming  email with Received-SPF fields, but will not reject any messages. 
   2 will produce temporary failures on DNS lookup problems so you can make sure you always have meaningful Received-SPF headers. 
   3 selects  'reject'  mode,  where  incoming  mail  will be rejected if the SPF record says 'fail'. 
   4 selects a more stricter rejection mode, which is like 'reject' mode, except that incoming mail will also be rejected when the SPF record says 'softfail'. 
   5 will also reject when the SPF record says 'neutral'
   6 if no SPF records are available at all (or a syntax error was encountered).

You can override the value in /var/qmail/control/spfbehavior by setting the SPFBEHAVIOR environment variable (typically in /etc/tcprules.d/tcp.smtp or, if you’ve used these notes as your guide, in ~/vpopmail/etc/tcp.smtp).

Values higher than 3 are strongly discouraged. You probably will want to go with 2 or 3.

Tipps & Tricks

Mit Mailboxen umziehen

Wenn man mit einem Qmail-Toaster einmal auf eine andere Maschine umzieht, muss man die Mailboxen samt allen Einstellungen/Kennwörtern etc. natürlich mitnehmen. Hier eine kurze Beschreibung wie man das macht ohne eine Mail zu verlieren.

Man kann das ganz gut mit zwei SSH-Terminal-Sitzungen machen. Eine auf dem Quell-Server und eine auf dem Ziel-Server.


Server: Quelle

Als erstes muss man den gesamten Qmail-Toaster stoppen damit keine Mails mehr versendet oder empfangen werden können: 

qmailctl stop
systemctl stop dovecot

Nun packt man den gesamten Inhalt von /home/vpopmail/domains ein: 

cd /home/vpopmail/domains
tar cfvpz mail-domains.tar.gz /home/vpopmail/domains/

Die Datei kann jetzt z.B. via SSH-Copy (scp) auf den anderen Server übertragen werden.

Server: Ziel

Nachdem die Datei auf dem Ziel-Server angekommen ist, kann sie dort eingespielt werden. Dazu entpacken wir zuerst das tar.gz-Paket in einem temp. Ordner, in den wir zuvor mit cd gewechselt sind, und verschieben dann die Mailboxen an den richtigen Platz. 

tar xzf mail-domains.tar.gz
cd /home/vpopmail/domains
mv -v * /home/vpopmail/domains/


Server: Quelle

Die Datei /var/qmail/users/assign ausgeben: 

cat /var/qmail/users/assign

Server: Ziel

Den Inhalt der oben ausgegebenen Datei nun in die entsprechende Datei auf dem Ziel-Server anhängen: 

vi /var/qmail/users/assign

HINWEIS: Unbedingt beachten das der . in der letzten Zeile stehten muss!

z.B.: 

+test.braunschweig-lions.de-:test.braunschweig-lions.de:89:89:/home/vpopmail/domains/test.braunschweig-lions.de:-::
(...)
+red-cubs94.de-:red-cubs94.de:89:89:/home/vpopmail/domains/red-cubs94.de:-::
.

Die Datei speichern.


Server: Quelle

Wieder auf dem Quell-Server eine weitere Datei ausgeben. 

cat /var/qmail/control/rcpthosts

Server: Ziel

Den Inhalt der oben ausgegebenen Datei nun ebenfalls in die entsprechende Datei auf dem Ziel-Server anhängen: 

vi /var/qmail/control/rcpthosts

z.B.: 

web1.braunschweig-lions.de
test.braunschweig-lions.de
mail.marketteam.de
marketteam.de
braunschweig-lions.de
serviceteam-lions.de
germanbowl.com
junior-lions.de
ffc-braunschweig.de
red-cubs.de
newsletter.braunschweig-lions.de
red-cubs94.de

Server: Quelle

Wieder auf dem Quell-Server eine weitere Datei ausgeben. 

cat /var/qmail/control/virtualdomains

Server: Ziel

Den Inhalt der oben ausgegebenen Datei nun ebenfalls in die entsprechende Datei auf dem Ziel-Server anhängen: 

vi /var/qmail/control/virtualdomains

Z.B.: 

test.braunschweig-lions.de:test.braunschweig-lions.de
web1.braunschweig-lions.de:web1.braunschweig-lions.de
marketteam.de:marketteam.de
braunschweig-lions.de:braunschweig-lions.de
serviceteam-lions.de:serviceteam-lions.de
germanbowl.com:germanbowl.com
feldschloesschen-german-bowl.de:feldschloesschen-german-bowl.de
junior-lions.de:junior-lions.de
ffc-braunschweig.de:ffc-braunschweig.de
red-cubs.de:red-cubs.de
newsletter.braunschweig-lions.de:newsletter.braunschweig-lions.de
red-cubs94.de:red-cubs94.de

Nun muss auf dem Ziel-Server noch qmails user datenbank als cdb aktualisiert werden (/var/qmail/users/cdb): 

/var/qmail/bin/qmail-newu

Anhand des Timestamps der Datei kann man überprüfen ob das geklappt hat: 

ls /var/qmail/users/ -al
insgesamt 36
drwxr-xr-x   2 root qmail 4096 31. Mär 02:21 .
drwxr-xr-x  12 root qmail 4096 24. Mär 15:40 ..
-rw-r--r--   1 root root  1031 31. Mär 02:13 assign
-rw-------   1 root root     0 27. Mär 10:49 assign.lock
-rw-r--r--   1 root root  3333 31. Mär 02:21 cdb

Vorsichthalber auf dem Ziel-Server alle Toaster-Dienste neu starten: 

qmailctl restart
systemctl restart dovecot

!!! DNS MX-Einträge können nun umgestellt werden !!!

Der DNS muss umgestellt werden, damit die Mails aus dem Internet auf dem Ziel-Server ankommen.


Man manuell mit dem Programm telnet eine Zustellung einer Mail testen. Dabei z.B. das /var/log/qmail/current und /var/spool/qmailscan/qmail-queue.log beobachten. Das ganze am Besten von Extern: 

$ telnet mail.marketteam.de 25
Trying 212.68.65.193...
Connected to mail.marketteam.de (212.68.65.193).
Escape character is '^]'.
220 web1.braunschweig-lions.de ESMTP
helo
250 web1.braunschweig-lions.de
mail from:schlueter@link-innovation.de
250 ok
rcpt to:webmaster@braunschweig-lions.de
250 ok
data
354 go ahead
Subject: Erste Testmail, please ignore

Das ist nur ein Test.
.
250 ok 1143766246 qp 10453

Die beobachteten Logfiles sollten die korrekte Zustellung der Mail anzeigen.

Auf dem alten Server kann man nun noch über die smtproutes dafür sorgen, das alle eingehenden Mails an den neuen Server weitergegeben werden. Das ist sinnvoll weil die DNS-Änderung nicht sofort überall wirkt.

Server: Quelle

Mit # vi /var/qmail/control/smtproutes eine Datei mit folgendem Inhalt anlegen, wobei natürlich die IP-Adressen entsprechend anzupassen sind. In diesem Beispiel ist 212.68.65.193 der neue Server und 213.252.153.34 der alte Server: 

:212.68.65.193

Server: Ziel

Mit vi /home/vpopmail/etc/tcp.smtp folgenden Eintrag anhängen: 

213.252.153.34:allow,RELAYCLIENT=""

Die cdb-Datei in /home/vpopmail/etc/ neu schreiben: 

qmailctl cdb


Server: Quelle

Nun auf dem Quell-Server qmail wieder starten: 

qmailctl start

Nun kann wieder von extern eine Testmail an den alten Server abgesetzt werden: 

$ telnet 213.252.153.34 25
Trying 213.252.153.34...
Connected to bs-lions-mail.bcc.de (213.252.153.34).
Escape character is '^]'.
220 mail.marketteam.de ESMTP
helo
250 mail.marketteam.de
mail from:dirk@schlicker.org
250 ok
rcpt to:webmaster@braunschweig-lions.de
250 ok
Data
354 go ahead
Subject: Test 3, mail an alten Server

Diese Mail wurde via smtp am alten server abgeliefert, sollte weitergeleitet werden wen den Webserver...

.
250 ok 1143766837 qp 29472

Wenn alles geklappt hat und die Mail über den neuen Server zugestellt wurde, war es das.

Mailinglisten reparieren

Manchmal kann es vorkommen, besonders nach einem Server-Umzug das die Administration einer Mailingliste mit QmailAdmin nicht mehr funktioniert, z.B das man keine Subscriber oder Moderatoren mehr löschen kann.

Dann ist es sinnvoll, die Subscriber, bzw Moderatoren zu exportieren, dann in der Liste zu löschen, und anschließend wieder hinzu zufügen.

Liste sichern

Subscriber

ezmlm-list DIR > subscriber.txt

wobei dir das Verzeichnis zur Mailingliste ist, also /home/vpopmail/domains/domain.de/list

Moderatoren

ezmlm-list DIR/mod > mods.txt

Liste aufräumen

Subscriber

/bin/rm DIR/subscribers/*

Moderatoren

/bin/rm DIR/mod/subscribers/*

Liste neu aufbauen

Subscriber

ezmlm-sub DIR < subscriber.txt

Moderatoren

ezmlm-sub DIR/mod < mods.txt

Anschließend sollte man wie gewohnt mir QMailAdmin arbeiten können


wichtige Links

http://rbl-check.org

https://talosintelligence.com/reputation_center/lookup?search=85.214.138.131

https://de.ssl-tools.net/mailservers

Abgerufen von „https://wiki.schlicker.org/index.php?title=QMAIL-Toaster&oldid=752“