Überarbeitung der Mail-Konfiguration für Ubuntu 20.04

Aus Debacher-Wiki
Wechseln zu:Navigation, Suche

Meine bisherige Konfiguration für den Mail-Service stammt noch ursprünglich aus dem Jahr 2006. Ich habe sie dann mit jedem neuen Server immer nur auf die dann aktuellere Linux-Version angepasst. Dabei entstand zwar immer ein funktionsfähiges System, aber viele Dinge sind nicht mehr einfach nachvollziehbar. Im Jahr 2006 war die Nutzung von virtuellen Mailboxen noch ungewöhnlich, inzwischen ist das nahezu Standard.

Momentan habe ich meinen alten Hetzner-Server nicht im produktiven Einsatz, habe ihn auf Ubuntu 20.04 aktualisiert und bin dabei die einzelnen Komponenten systematisch zu konfigurieren. Ich werde dabei aber nicht alle Altlasten wirklich los werden, immerhin müssen die vorhandenen Mailsysteme aktualisierbar bleiben ohne große Verschiebe-Prozesse.

Für die Aktualisierung des Webservers habe ich einen eigenen Text erstellt, hier gehe ich von einem funktionsfähigen Apache mit virtuellen Servern und einer MySQL-Datenbank aus.

Das fertige Mail-System soll folgende Komponenten bzw. Funktionen besitzen:

  • Postfixadmin zur Verwaltung der virtuellen Benutzer
  • Dovecot als POP und IMAP-Server
  • Postfix als Mailserver
  • rspamd oder falls der sich nicht bewährt amavis möglichst auch über die Milter-Schnittstelle und redis als leichte Datenbank für rspamd
  • spf und dkim sollen auch aktiviert sein
  • Roundcube als Mailclient

Hinweis: Diese Beschreibung ist noch nicht fertig. Wenn ich meine damit fertig zu sein, dann werde ich den Server neu installieren und anhand dieser Konfiguration neu einrichten. Erst wenn das geklappt hat, dann ist die Beschreibung hier für mich fertig.

SPF, DKIM und DMARC gegen Spam

Mailserver sind von Natur aus vertrauensselig, was von Spammern ausgenutzt wird. Ich denke, dass mehr als 90% aller versendeten Nachrichten in die Kategorie Spam gehören. Der Mailserver Postfix beherrscht ein von Haus aus ein paar Möglichkeiten den Spam zu verringern:

  • Nutzung von RBL Listen in den smtpd_client_restrictions. Für jede eingehende Mail werden dann externe Server wie cbl.abuseat.org befragt, ob sie den sendenden Server kennen. Wenn ja, dann wird die Mail rejected. Damit dieses System effektiv wird, muss man aber mehrere derartige Server parallel nutzen.
  • Regeln über den formalen Aufbau einer Mail z.B. in den smtpd_helo_restrictions. Hier kann man mit reject_invalid_helo_hostname erreichen, dass nur Mails von Servern angenommen werden, bei denen der Name nicht korrekt ist.

Für weitergehende Untersuchungen, z.B. auf Viren oder Spam bindet man in der Regel zusätzliche Hilf-Programme ein, in der Regel SpamAssassin oder neuerdings auch rspamd. Diese Programme teilen dem Mailserver mit, wie mit der Mail weiter zu verfahren ist. Dabei taucht das Problem auf, dass eine Mail die der Mailserver angenommen hat auch zugestellt werden muss, sofern sich keinen direkten Schadcode beinhaltet. Normaler Spam muss also zugestellt werden, wenn die Mail nicht frühzeitig als Spam erkannt und daher nicht angenommen wird.

Die Spamfilter klassifizieren jede Mail anhand unterschiedlicher Regeln bzw. Kriterien und vergeben dabei einen Score. Je höher der Score, desto wahrscheinlicher handelt es sich um Spam.

Mit der Nutzung von SPF, DKIM und DMARC möchte ich erreichen, dass der Score meiner Mails auf anderen Servern gesenkt wird und sollte jemand mit einer meiner Domains illegal Mails verschicken, so soll sich deren Score erhöhen. Das ist die Idee hinter diesen Konzepten.

SPF

Das Sender Policy Framework (SPF) dient dazu, die Mail anhand der IP Adresse des sendenden Mailservers zu überprüfen. Dazu wird in einem speziellen Namesereintrag vom Typ TXT festgelegt, welche Server berechtigt sind Mails mit dieser Domain zu verschicken.

Im einfachsten Fall sieht der TXT Eintrag folgendermaßen aus:

v=spf1 a mx -all

Ein

dig -t txt meine-maildomain.de 

liefert dann

meine-maildomain.de.	3600	IN	TXT	"v=spf1 a mx -all"

Damit wird ausgesagt, dass nur Server, die einen A- oder einen MX-Eintrag in dieser Domain besitzen berechtigt sind Mails abzuliefern. Über das -all wird festgelegt, wie zu verfahren ist, wenn sich ein Server meldet, der der Regel nicht entspricht.

  • -all : Fail der Server darf nicht senden
  • ~all : SoftFail der Server darf eigentlich nicht senden, sei aber großzügig
  •  ?all : Neutral jeder Sender wird akzeptiert.

Ausführlichere Beschreibung der Syntax unter https://www.spf-record.de/syntax

Ein Vorteil von SPF ist, dass am sendenden Server keinerlei Konfiguration notwendig ist. Der größte Nachteil besteht darin, dass es bei Weiterleitungen Probleme gibt, da dann der sendende Server nicht mehr zum Absender passt.

Domainfactory generiert übrigens automatisch auch einen Catchall Eintrag für SPF.

DKIM

Auch das System Domain Keys Identified Mail (DKIM) dient auch dazu nur bestimmte Server zum Senden zu authentifizieren. Das geschieht, indem jede ausgehende Mail im Header digital signiert wird. Der öffentlichen Schlüssel hierzu ist im Nameserver hinterlegt. Der private Schlüssel muss natürlich geschützt auf dem sendenden Server liegen. Da mehrere Server sendeberechtigt sein können, kann es auch mehrere derartige Schlüssel geben. Deshalb wird zusätzlich ein sog. Selektor mit im Mail-Header hinterlegt, damit der Empfänger den richtigen Schlüssel wählen kann.

dig -t txt 2020._domainkey.meine-maildomain.de

liefert dann

2020._domainkey.meine-maildomain.de. 3600 IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQClkpAaTMA5GcACTbSfJ1vSGwJyHnv1IVzR4GEu3PMAAIvuYCWPONypEAErZJciY8gK+z3FoPaMdsB+eii4rozlN6Jtfx+Fi/SM0FWV1PvPVI0tkoIXa82lKfJi4hqbWDHXxQYfROEKNFWZtoG/C951MwNOiq34Vk3X0nNoBWfyHwIDAQAB"

In diesem Beispiel ist 2020 der Selector. Damit der Mailclient den richtigen Schlüssel abfragen kann, findet sich in DKIM-Header ein Bereich s=2020.

Weitere Informationen unter https://de.wikipedia.org/wiki/DomainKeys

Ein großer Vorteil von DKIM gegenüber SPF ist, dass Weiterleitungen kein Problem sind. Der versendende Server spielt ja keine Rolle. Ein großer Nachteil ist, dass der Server entsprechend konfiguriert werden muss, damit er die richtigen Header-Zeilen erzeugen kann.

DMARC

Das Konzept Domain-based Message Authentication, Reporting and Conformance (DMARC) baut auf SPF und DKIM auf. Mit DMARC kann der Absender zusätzlich Empfehlungen geben, auf welche Art der Empfänger mit einer Mail umgeht, die in einem oder beiden Fällen nicht den Anforderungen entspricht.

Es gibt die folgenden Regeln

  • p=reject lehnt Mail ab, bei denen die Prüfung fehlgeschlagen ist
  • p=quarantine lässt Mail in den Spam-Ordner verschieben, bei denen die Überprüfung fehlgeschlagen ist
  • p=none weist den empfangenden Server an Berichte an die Mailadresse zu schicken, die per rua bzw. ruf hinterlegt wurde. Dazu ein Beispiel aus Wikipedia
v=DMARC1;p=quarantine;pct=100;rua=mailto:postmaster@example.org;ruf=mailto:forensik@example.org;adkim=s;aspf=r

Weitere Informationen unter: https://de.wikipedia.org/wiki/DMARC

dig -t any _dmarc.meine-maildomain.de

liefert hier

_dmarc.meine-maildomain.de. 3599 IN	TXT	"v=DMARC1; p=reject;"

Vorbereitungen

Für die folgende Beschreibung wird ein Benutzer vmail (uid 303) und eine Gruppe vmail (gid 303) benutzt. Der Benutzer hat als Homeverzeichnis /var/vmail, wo dann auch die eingehenden Mails liegen.

Da Gruppe und Benutzer nicht vorhanden sind, legt man sie neu an:

groupadd -g 303 vmail
mkdir /var/vmail
chmod a+rxw /var/vmail
useradd -d /var/vmail/ -s /bin/false -u 303 -g 303 vmail 


postfixadmin

Mit dem Mail-Verwaltungstool geht es los. Das Tool selber interagiert in keinster Weise mit dem Mailsystem. Alle Änderungen erfolgen nur an und in der Datenbank. Von daher ist es sinnvoll dies als erste Komponente zu installieren.

apt install postfixadmin

Bei der Installation kann man gleich die notwendigen Datenbank-Einstellungen mit anlegen lassen. Bei einem ganz neuen System bietet sich an. Seit einiger Zeit meckert das Programm beim Starten immer über ein fehlendes Verzeichnis, das können wir gleich korrigieren:

mkdir /usr/share/postfixadmin/templates_c
chown www-data.www-data /usr/share/postfixadmin/templates_c

Danach dann

DEBUG INFORMATION:
MySQL 3.x / 4.0 functions not available! (php5-mysql installed?)
database_type = 'mysql' in config.inc.php, are you using a different database?

Please check the documentation and website for more information. 

Dazu muss man dann in der Datei /etc/postfixadmin/dbconfig.inc.php die Zeile

$dbtype='mysql';

ändern in

$dbtype='mysqli';

Die gleichen Einstellungen finden sich auch noch einmal in der Datei /etc/dbconfig-common/postfixadmin.conf Aktuell ist bei der Version 3.2 eine kleine Änderung zu beachten, der Alias-Eintrag in der VServer-Konfiguration muss jetzt auf das Unterverzeichnis public zeigen:

Alias /postfixadmin  /usr/share/postfixadmin/public

Die entsprechende Einstellung ist zwar in der Datei /etc/apache2/conf-available/postfixadmin.conf schon vorhanden, dann ist PostfixAdmin aber in allen virtuellen Domains vorhanden. Ich habe diese Zeile also dort auskommentiert und füge die Zeile in den virtuellen Server ein in dem ich sie haben möchte.

Beim Aufruf der setup.php gab es immer den Hinweis, dass die Datei config.local.php nicht gefunden werden könnte. Das scheint mir eine Falschinformation zu sein, was man schnell damit überprüfen kann, dass man in dieser Datei in der ersten Zeile

$CONF['configured'] = false;

setzt. Die Einstellung wird dann im setup.php kritisiert. Setzt man das wieder auf true, dann kann es weitergehen. Man muss im Webinterface zuerst ein Setup-Passwort erstellen und in die Konfigurationsdatei eintragen, danach muss man dann noch den Superadmin erstellen.

An der Datei /etc/postfixadmin/config.local.php habe ich nur wenig verändert und das auch hauptsächlich Kosmetik

<?php
$CONF['configured'] = true;

// on submission it will be echoed out to you as a hashed value.
$CONF['setup_password'] = '7caf48fdc954f6037dcc0a6438358db0:9fdf45d7c3dd759258e8af37d09b361218428af5';
$CONF['default_language'] = 'de';

$CONF['admin_email'] = 'postmaster@meine-maildomain.de';
$CONF['page_size'] = '20';

$CONF['default_aliases'] = array (
  'abuse' => 'abuse@meine-maildomain.de',
  'hostmaster' => 'hostmaster@meine-maildomain.de',
  'postmaster' => 'postmaster@meine-maildomain.de',
  'webmaster' => 'webmaster@meine-maildomain.de'
);

$CONF['quota'] = 'YES';
$CONF['footer_text'] = 'Zurück zu Debacher.de';
$CONF['footer_link'] = 'http://debacher.de';
 
// Welcome Message
// This message is send to every newly created mailbox.
// Change the text between EOM.
$CONF['welcome_text'] = <<<EOM
Herzlich Willkommen, 

zum Debacher E-Mail Postfach.

Bei Fragen oder Problemen bitte
Uwe Debacher ansprechen
EOM;

$CONF['show_undeliverable_exceptions']=array("meine-maildomain.de");
$CONF['used_quotas'] = 'YES';
$CONF['maxquota'] = '2048';
$CONF['domain_quota_default'] = '0';

Dovecot

Eigentlich ist Dovecot nur ein Server für POP3 und Imap. Inzwischen kann dieses Programm deutlich mehr. Die Zugriffe auf die Datenbank mit den virtuellen Usern erfolgt in der Regel über Dovecot. Das geht bis zur Nachrichten-Zustellung in die Postfächer.

apt install dovecot-core dovecot-imapd dovecot-lmtpd dovecot-mysql dovecot-sieve dovecot-managesieved dovecot-pop3d dovecot-antispam
service dovecot stop

Die Versionsnummer von dovecot kann man abfragen mittels

dovecot --version

/etc/dovecot/local.conf

Ich habe die Konfiguration in einer eigenen Datei /etc/dovecot/local.conf gesammelt: (fett hervorgehoben die Zeilen mit individueller Konfiguration)

##
## Protokollierung
##

#mail_debug = yes
#auth_debug = yes
auth_debug_passwords = yes
#auth_verbose = yes
auth_verbose_passwords = sha1
#verbose_proctitle = yes

##
## Grundeinstellungen
##

first_valid_uid = 303
mail_access_groups = postfix
mail_privileged_group = vmail
mail_uid = vmail
mail_gid = vmail

protocols = imap pop3 lmtp sieve

# die folgenden Einstellungen sind nicht optimal, da die home-Verzeichnisse so nicht automatisch angelegt werden
# geschickter wäre (dann auch dovecot-mysql.conf anpassen):
#mail_home = /var/vmail/%d/%n
#mail_location = maildir:/var/vmail/%d/%n/mail  oder  mail_location = maildir:~/Maildir

mail_location = maildir:/var/vmail/%d/%n
mail_home = /var/vmail/%d/%n/home

mail_plugins = $mail_plugins quota

disable_plaintext_auth = no
auth_mechanisms = plain login

##
##TLS Konfiguration
##

ssl = yes
ssl_cert = </etc/letsencrypt/live/meine-maildomain.de/fullchain.pem
ssl_key = </etc/letsencrypt/live/meine-maildomain.de/privkey.pem
#ssl_cert = </etc/ssl/certs/ssl-cert-snakeoil.pem
#ssl_key = </etc/ssl/private/ssl-cert-snakeoil.key

# die beiden folgenden Parameter gibt es erst ab dc 2.3 (Ubuntu 20.04)
ssl_dh = </etc/dovecot/dh4096.pem
ssl_min_protocol = TLSv1.2
#ssl_cipher_list = ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384
#ssl_prefer_server_ciphers = no

##
##Services
##

service auth {
 unix_listener /var/spool/postfix/private/auth {
  group = postfix
  mode = 0660
  user = postfix
 }
}

service lmtp {
 unix_listener lmtp {
#mode = 0666
 }
 unix_listener /var/spool/postfix/private/dovecot-lmtp {
 #mode = 0666
 user = postfix
 group = postfix
 }
}

service managesieve-login {
 inet_listener sieve {
 port = 4190 
 }
}

service quota-warning {
 executable = script /usr/local/bin/quota-warning.sh
 user = vmail
 unix_listener quota-warning {
       group = vmail
       mode = 0660
       user = vmail
 }
}

service quota-status {
 executable = quota-status -p postfix
 inet_listener {
#    address = 127.0.0.1
   port = 12340
 }
 client_limit = 1
}
# Hinweis in main.cf: smtpd_recipient_restrictions = check_policy_service inet:127.0.0.1:12340, ..

service dict {
  unix_listener dict {
      mode = 0600
      user = vmail
  }
}

dict {
  sqluserquota = mysql:/etc/dovecot/dovecot-dict-sql-user.conf
}

service imap {
 executable = imap imap-postlogin
}

service imap-postlogin {
 executable = script-login /usr/local/bin/postlogin.sh
 user = vmail
 unix_listener imap-postlogin {
 }
}


##
## Protokolle
##

protocol pop3 {
 pop3_uidl_format = %08Xu%08Xv
 mail_max_userip_connections = 5
}

protocol imap {
 mail_max_userip_connections = 8
 mail_plugins = $mail_plugins imap_quota imap_sieve 
}

protocol lmtp {
 mail_plugins = $mail_plugins sieve 
}

##
## Client Authentifizierung
##

passdb {
 args = /etc/dovecot/dovecot-mysql.conf
 driver = sql
}

userdb {
 args = /etc/dovecot/dovecot-mysql.conf
 driver = sql
}
## Hinweis: Datei 10-auth.conf editieren und !include auth-system.conf.ext deaktivieren

##
## Postfächer
##

namespace inbox {
 inbox = yes
 mailbox Drafts {
   auto = subscribe
   special_use = \Drafts
 }
 mailbox Junk {
   auto = subscribe
   autoexpunge = 26w
   special_use = \Junk
 }  
 mailbox "Junk-E-Mail" {
   special_use = \Junk
   autoexpunge = 26w
 }
 mailbox "Spam" {
   special_use = \Junk
   autoexpunge = 26w
 }
 mailbox Sent {
   auto = subscribe
   special_use = \Sent
 }
 mailbox "Sent Messages" {
   special_use = \Sent
 }
 mailbox Trash {
   auto = subscribe
   autoexpunge = 26w
   special_use = \Trash
 }
 mailbox "Gelöschte Elemente" {
   autoexpunge = 26w
   special_use = \Trash
 }
 mailbox "Papierkorb" {
   autoexpunge = 26w
   special_use = \Trash
 }
}

##
##Plugins
##

plugin {
 sieve = ~/.dovecot.sieve
 sieve_dir = ~/sieve

 sieve_plugins = sieve_imapsieve sieve_extprograms
 sieve_before = /var/vmail/sieve/global/spam-global.sieve

 #quota_rule = *:storage=1G
 #quota_rule2 = Trash:storage=+100M

 quota_grace = 10%%

 quota_warning = storage=66%% quota-warning 66 %u 
 quota_warning2 = storage=80%% quota-warning 80 %u
 quota_warning3 = storage=95%% quota-warning 95 %u
#  quota = dict:User Quota::noenforcing:proxy::sqluserquota
 quota = dict:User Quota::proxy::sqluserquota

 quota_status_success = DUNNO
 quota_status_nouser = DUNNO
 quota_status_overquota = "552 5.2.2 Mailbox is over quota / Mailbox ist voll"

 ##Spam lernen

 # From elsewhere to Junk folder
 imapsieve_mailbox1_name = Junk
 imapsieve_mailbox1_causes = COPY
 imapsieve_mailbox1_before = file:/var/vmail/sieve/global/learn-spam.sieve

 # From Junk folder to elsewhere
 imapsieve_mailbox2_name = *
 imapsieve_mailbox2_from = Junk
 imapsieve_mailbox2_causes = COPY
 imapsieve_mailbox2_before = file:/var/vmail/sieve/global/learn-ham.sieve

 sieve_pipe_bin_dir = /usr/bin

 sieve_global_extensions = +vnd.dovecot.pipe
}

Mit der auskommentierten Zeile

#  quota = dict:User Quota::noenforcing:proxy::sqluserquota

würde bei einem Postfach, das die Quotas überschritten hat, noch Mail angenommen werden (nonenforcing). Die aktive Zeile bewirkt, dass die Mail dann abgelehnt wird. Dann sollte man aber auch, wie angegeben, die main.cf von Postfix so erweitern, dass er von Dovecot über die Überfüllung des Postfaches informiert werden kann und dann die Annahme weiter Mails selber ablehnt.

Der Teil mit dem Lernen von SPAM und HAM hat mir etwas Probleme bereitet, mit fehlte anfangs das imap_sieve mail_plungin. Leider gibt es keine Fehlermeldungen in den Logdateien. Hilfreich war für mich https://doc.dovecot.org/configuration_manual/howto/antispam_with_sieve/. Wenn es funktioniert kann man das an einem erfolgreichen Aufruf von rspamc mittels

grep "pipe action" /var/log/mail.log

erkennen.

/etc/dovecot/dovecot-mysql.conf

Die in der Konfiguration erwähnte /etc/dovecot/dovecot-mysql.conf

# Database driver: mysql, pgsql
driver = mysql

# Currently supported schemes include PLAIN, PLAIN-MD5, DIGEST-MD5, and CRYPT.
default_pass_scheme = CRYPT

# Database options
#db_unix_socket = /var/lib/mysql/mysql.sock

connect = host=/var/run/mysqld/mysqld.sock dbname=postfix user=postfix password=assword

password_query = SELECT password FROM mailbox WHERE username = '%u' AND active = '1'
user_query = SELECT \
   concat('/var/vmail/',maildir,'home/') as home, \    
   concat('maildir:/var/vmail/',maildir) as mail, \ 
   303 AS uid, \ 
   303 AS gid, \ 
   CONCAT('*:bytes=', IF(mailbox.quota = 0, domain.maxquota*1024000, mailbox.quota)) as quota_rule \
   FROM mailbox, domain WHERE username = '%u' AND mailbox.active = '1' AND domain.domain = '%d' AND domain.active = '1'

iterate_query = SELECT username as user FROM mailbox WHERE active ='1' ORDER BY domain, username

/usr/local/bin/quota-warning.sh

In der Konfiguration taucht das Plugins quota_warning auf. Dazu gehört das folgende Script:

#!/bin/sh
PERCENT=$1
USER=$2
ADMIN="uwe@maine-maildomain.de"
FROM="postmaster@maine-maildomain.de"

msg="From: $FROM
To: $USER
Bcc: $ADMIN
Subject: Quota-Warnung $PERCENT%  

Lieber Nutzer,
     
das Postfach $USER ist derzeit zu 

$PERCENT% gefuellt.

Bitte einige Mails loeschen.
       
Herzlichen Dank
Das Mail-System."

echo "$msg" | /usr/sbin/sendmail -f $FROM "$USER $ADMIN"

exit 0

Die Auslastung der Quotas kann man sich im PostfixAdmin anschauen oder an der Konsole mittels

doveadm quota get -A

oder statt für alle auch für einen einzelnen Nutzer

doveadm quota get -u user@meine-maildomain.de

Man kann auch die Belegung neu berechnen lassen mittels

doveadm quota recalc -A

oder statt für alle auch für einen einzelnen Nutzer

doveadm quota recalc -u user@meine-maildomain.de


/usr/local/bin/postlogin.sh

Das folgende Script dient dazu, die Verzeichnisse home der einzelnen Mailbenutzer anzulegen. Da das mit dem welcome Plugin nicht funktioniert hat, bin ich auf das Postlogin von Dovecot ausgewichen. Dazu gehört dieses Script:

#!/bin/sh
local=${USER%%@*}
domain=${USER##*@}

if [ ! -d "/var/vmail/$domain/$local/home" ]; then
 mkdir  /var/vmail/$domain/$local/home
fi 
exec "$@"


Vor dem Dovecot-Neustart dann noch die Diffie-Hellman Parameter für Dovecot generieren

openssl dhparam -out /etc/dovecot/dh4096.pem 4096 

das dauert leider etwas.

/etc/dovecot/dovecot-dict-sql-user.conf

Diese Datei dient Dovecot dazu die jeweils aktuellen Quota-Werte an der richtigen Stelle in der MySQL-Datenbank zu speichern. Die erste Map für die Anzahl der Bytes, die zweite Map für die Anzahl der Nachrichten siehe https://wiki.dovecot.org/Quota/Dict .

connect = host=/var/run/mysqld/mysqld.sock dbname=postfix user=postfix password=assword
 
map {
   pattern = priv/quota/storage
   table = quota2
   username_field = username
   value_field = bytes
}
 
map {
   pattern = priv/quota/messages
   table = quota2
   username_field = username
   value_field = messages

}

var/vmail/sieve/global/spam-global.sieve

require "fileinto";

if header :contains "X-Spam-Flag" "YES" {
   fileinto "Junk";
}

if header :is "X-Spam" "Yes" {
   fileinto "Junk";
}

/var/vmail/sieve/global/learn-ham.sieve

require ["vnd.dovecot.pipe", "copy", "imapsieve", "environment", "variables"];

if environment :matches "imap.mailbox" "*" {
   set "mailbox" "${1}";
}

if string "${mailbox}" "Trash" {
   stop;
}

pipe :copy "rspamc" ["learn_ham"];


/var/vmail/sieve/global/learn-spam.sieve

require ["vnd.dovecot.pipe", "copy", "imapsieve"];
pipe :copy "rspamc" ["learn_spam"];

Postfix

apt install postfix postfix-mysql postfix-policyd-spf-python alpine
service postfix stop

Für die Konfiguration ist es manchmal wichtig zu wissen, welche Versionsnummer das eigene Postfix-Programm hat. Diese Information liefert:

postconf -d mail_version

Die zentrale Konfigurationsdatei ist die master.cf. Hier werden die benötigten Dienste (z.B. smtp, uucp, ...) gestartet und zum Teil auch konfiguriert. Die eigentliche Konfiguration für den smtp Dienst befindet sich dann in der Datei main.cf. Weitere Dienste mit dem gleichen Programm, wie z.B. smtps oder submission übernehmen die dort gemachten Einstellungen, es sei den die Einstellung wird in einer Zeile, die mit " -o" beginnt überschrieben. Etwas ungewöhnlich ist eine Zeile wie -o smtpd_client_restrictions=$mua_client_restrictions, die so nicht fehlerfrei aktivierbar ist. Der rechte Teil ist nämlich quasi eine Variable, die in der main.cf mit Inhalt gefüllt werden muss.

/etc/postfix/master.cf

#
# Postfix master process configuration file.  For details on the format
# of the file, see the master(5) manual page (command: "man 5 master" or
# on-line: http://www.postfix.org/master.5.html).
#
# Do not forget to execute "postfix reload" after editing this file.
#
# ==========================================================================
# service type  private unpriv  chroot  wakeup  maxproc command + args
#               (yes)   (yes)   (no)    (never) (100)
# ==========================================================================
smtp      inet  n       -       y       -       -       smtpd
#smtp      inet  n       -       y       -       1       postscreen
#smtpd     pass  -       -       y       -       -       smtpd
#dnsblog   unix  -       -       y       -       0       dnsblog
#tlsproxy  unix  -       -       y       -       0       tlsproxy
submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
#  -o smtpd_tls_auth_only=yes
#  -o smtpd_reject_unlisted_recipient=no
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
#  -o smtpd_helo_restrictions=$mua_helo_restrictions
  -o smtpd_sender_restrictions=reject_non_fqdn_sender,permit_sasl_authenticated,reject
#  -o smtpd_recipient_restrictions=
  -o smtpd_relay_restrictions=reject_non_fqdn_recipient,reject_unknown_recipient_domain,permit_sasl_authenticated,reject
#  -o milter_macro_daemon_name=ORIGINATING
smtps     inet  n       -       y       -       -       smtpd
  -o syslog_name=postfix/smtps
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes
#  -o smtpd_reject_unlisted_recipient=no
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
#  -o smtpd_helo_restrictions=$mua_helo_restrictions
  -o smtpd_sender_restrictions=reject_non_fqdn_sender,permit_sasl_authenticated,reject
#  -o smtpd_recipient_restrictions=
  -o smtpd_relay_restrictions=reject_non_fqdn_recipient,reject_unknown_recipient_domain,permit_sasl_authenticated,reject
#  -o milter_macro_daemon_name=ORIGINATING
#628       inet  n       -       y       -       -       qmqpd
pickup    unix  n       -       y       60      1       pickup
cleanup   unix  n       -       y       -       0       cleanup
qmgr      unix  n       -       n       300     1       qmgr
#qmgr     unix  n       -       n       300     1       oqmgr
tlsmgr    unix  -       -       y       1000?   1       tlsmgr
rewrite   unix  -       -       y       -       -       trivial-rewrite
bounce    unix  -       -       y       -       0       bounce
defer     unix  -       -       y       -       0       bounce
trace     unix  -       -       y       -       0       bounce
verify    unix  -       -       y       -       1       verify
flush     unix  n       -       y       1000?   0       flush
proxymap  unix  -       -       n       -       -       proxymap
proxywrite unix -       -       n       -       1       proxymap
smtp      unix  -       -       y       -       -       smtp
relay     unix  -       -       y       -       -       smtp
       -o syslog_name=postfix/$service_name
#       -o smtp_helo_timeout=5 -o smtp_connect_timeout=5
showq     unix  n       -       y       -       -       showq
error     unix  -       -       y       -       -       error
retry     unix  -       -       y       -       -       error
discard   unix  -       -       y       -       -       discard
local     unix  -       n       n       -       -       local
virtual   unix  -       n       n       -       -       virtual
lmtp      unix  -       -       y       -       -       lmtp
anvil     unix  -       -       y       -       1       anvil
scache    unix  -       -       y       -       1       scache
postlog   unix-dgram n  -       n       -       1       postlogd
#
# ====================================================================
# Interfaces to non-Postfix software. Be sure to examine the manual
# pages of the non-Postfix software to find out what options it wants.
#
# Many of the following services use the Postfix pipe(8) delivery
# agent.  See the pipe(8) man page for information about ${recipient}
# and other message envelope options.
# ====================================================================
#
# maildrop. See the Postfix MAILDROP_README file for details.
# Also specify in main.cf: maildrop_destination_recipient_limit=1
#
maildrop  unix  -       n       n       -       -       pipe
 flags=DRhu user=vmail argv=/usr/bin/maildrop -d ${recipient}
#
# ====================================================================
#
# Recent Cyrus versions can use the existing "lmtp" master.cf entry.
#
# Specify in cyrus.conf:
#   lmtp    cmd="lmtpd -a" listen="localhost:lmtp" proto=tcp4
#
# Specify in main.cf one or more of the following:
#  mailbox_transport = lmtp:inet:localhost
#  virtual_transport = lmtp:inet:localhost
#
# ====================================================================
#
# Cyrus 2.1.5 (Amos Gouaux)
# Also specify in main.cf: cyrus_destination_recipient_limit=1
#
#cyrus     unix  -       n       n       -       -       pipe
#  user=cyrus argv=/cyrus/bin/deliver -e -r ${sender} -m ${extension} ${user}
#
# ====================================================================
# Old example of delivery via Cyrus.
#
#old-cyrus unix  -       n       n       -       -       pipe
#  flags=R user=cyrus argv=/cyrus/bin/deliver -e -m ${extension} ${user}
#
# ====================================================================
#
# See the Postfix UUCP_README file for configuration details.
#
#uucp      unix  -       n       n       -       -       pipe
# flags=Fqhu user=uucp argv=uux -r -n -z -a$sender - $nexthop!rmail ($recipient)
#
# Other external delivery methods.
#
ifmail    unix  -       n       n       -       -       pipe
 flags=F user=ftn argv=/usr/lib/ifmail/ifmail -r $nexthop ($recipient)
bsmtp     unix  -       n       n       -       -       pipe
 flags=Fq. user=bsmtp argv=/usr/lib/bsmtp/bsmtp -t$nexthop -f$sender $recipient
scalemail-backend unix	-	n	n	-	2	pipe
 flags=R user=scalemail argv=/usr/lib/scalemail/bin/scalemail-store ${nexthop} ${user} ${extension}
#mailman   unix  -       n       n       -       -       pipe
# flags=FR user=list argv=/usr/lib/mailman/bin/postfix-to-mailman.py
# ${nexthop} ${user}

# ==========================================================================
# service type  private unpriv  chroot  wakeup  maxproc command + args
#               (yes)   (yes)   (yes)   (never) (100)
# ==========================================================================
# Added using postfix-add-policy script:
policy-spf unix    -       n       n       -       0     spawn
     user=nobody argv=/usr/bin/policyd-spf


/etc/postfix/main.cf

(die einzelnen Parameter sind in http://www.postfix.org/postconf.5.html dokumentiert)

# See /usr/share/postfix/main.cf.dist for a commented, more complete version

##
##Netzwerk und Namen
##
myorigin = /etc/mailname
append_dot_mydomain = no
masquerade_domains = meine-maildomain.de
myhostname = mail.meine-maildomain.de
mydestination = $myhostname, meine-maildomain.de, localhost, hetzner.meine-maildomain.de
#mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128

smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
inet_interfaces = all
inet_protocols = ipv4


##
# Einstellungen
##
compatibility_level = 2
biff = no
delay_warning_time = 4h
readme_directory = no
unknown_address_reject_code = 552
unknown_client_reject_code = 551
unknown_hostname_reject_code = 550
#maps_rbl_reject_code = 451
message_strip_characters = \0
defer_transports = 
mailbox_command = 
mailbox_transport = 
relayhost = 
mailbox_size_limit = 0
recipient_delimiter = +


##
# TLS parameters
##

## ausgehende Verbindungen
smtp_tls_security_level=may
smtp_tls_mandatory_protocols=!SSLv2, !SSLv3
#smtp_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
#smtp_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
smtp_tls_key_file = /etc/letsencrypt/live/meine-maildomain.de/privkey.pem
smtp_tls_cert_file = /etc/letsencrypt/live/meine-maildomain.de/fullchain.pem
smtp_tls_loglevel = 1
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache

smtp_tls_note_starttls_offer = yes

## eingehende Verbindungen
smtpd_tls_security_level=may
smtpd_tls_mandatory_protocols=!SSLv2, !SSLv3
#smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
#smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
smtpd_tls_key_file=/etc/letsencrypt/live/meine-maildomain.de/privkey.pem
smtpd_tls_cert_file=/etc/letsencrypt/live/meine-maildomain.de/fullchain.pem
smtpd_tls_loglevel = 1
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache

smtpd_tls_received_header = yes
smtpd_tls_session_cache_timeout = 3600s
smtpd_tls_dh1024_param_file = /etc/postfix/dh2048.pem
smtpd_delay_reject = yes
smtpd_helo_required = yes

## SASL für eingehende Verbindungen
broken_sasl_auth_clients = yes
smtpd_sasl_local_domain = 
smtpd_sasl_path = private/auth
smtpd_sasl_security_options = noanonymous
smtpd_sasl_type = dovecot
# das kann/sollte hier auf no gesetzt werden, wenn smtps/submission aktiviert sind
smtpd_sasl_auth_enable = yes
smtp_sasl_auth_enable = no
smtp_sasl_security_options = 
smtp_sasl_password_maps = 


##
# Maps und Tabellen
##
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases

relay_domains = $mydestination, hash:/etc/postfix/relay
#virtual_alias_domains = hash:/etc/postfix/virtual
virtual_mailbox_base = /var/vmail/

virtual_alias_maps = 
  proxy:mysql:/etc/postfix/mysql_virtual_alias_maps.cf
  proxy:mysql:/etc/postfix/mysql_virtual_alias_domain_maps.cf
  proxy:mysql:/etc/postfix/mysql_virtual_alias_domain_catchall_maps.cf

virtual_mailbox_domains =
  proxy:mysql:/etc/postfix/mysql_virtual_domains_maps.cf

virtual_mailbox_maps =
  proxy:mysql:/etc/postfix/mysql_virtual_mailbox_maps.cf
  proxy:mysql:/etc/postfix/mysql_virtual_alias_domain_mailbox_maps.cf

virtual_transport = lmtp:unix:private/dovecot-lmtp
virtual_mailbox_limit = 0
virtual_minimum_uid = 303
virtual_uid_maps = static:303
virtual_gid_maps = static:303
 

##
# Restrictions
##
smtpd_client_restrictions = 
  permit_sasl_authenticated
  permit_mynetworks
  reject_rbl_client cbl.abuseat.org
  reject_rbl_client ix.dnsbl.manitu.net
  reject_rbl_client bl.spamcop.net
  reject_rbl_client dul.dnsbl.sorbs.net
  reject_unknown_client

smtpd_helo_restrictions = 
  permit_mynetworks
  reject_invalid_helo_hostname

smtpd_sender_restrictions = 
  hash:/etc/postfix/access
  reject_unknown_sender_domain

smtpd_recipient_restrictions = 
  check_policy_service inet:127.0.0.1:12340
  permit_sasl_authenticated
  permit_mynetworks
  reject_unauth_destination

smtpd_relay_restrictions = 
  permit_mynetworks
  permit_sasl_authenticated
  reject_unauth_destination

# Block clients that speak too early.
smtpd_data_restrictions = reject_unauth_pipelining

##
# Spamfilter und DKIM-Signaturen via Rspamd
##

#content_filter = smtp-amavis:[localhost]:10024

smtpd_milters = inet:localhost:11332
non_smtpd_milters = inet:localhost:11332
milter_protocol = 6
milter_mail_macros =  i {mail_addr} {client_addr} {client_name} {auth_authen}
milter_default_action = accept


##
# Limits 
##
mailbox_size_limit = 0
message_size_limit = 0
strict_8bitmime = no
strict_rfc821_envelopes = yes

smtpd_client_message_rate_limit = 50
smtpd_client_connection_rate_limit = 10
smtpd_client_recipient_rate_limit = 50
smtpd_client_connection_count_limit = 25
bounce_queue_lifetime = 3d
maximal_queue_lifetime = 3d

smtpd_recipient_limit = 50

Auch für Postfix Diffie-Hellman-Parameter generieren

Die DH-Parameter für Postfix sind hier nur 2048 Bit stark, um zu älteren Mailservern kompatibel zu bleiben.

openssl dhparam -out /etc/postfix/dh2048.pem 2048


Postfix und MySQL

Damit Postfix MySQL-Tabellen nutzen kann muss man folgende Dateien einrichten:

/etc/postfix/mysql_virtual_alias_maps.cf
/etc/postfix/mysql_virtual_domains_maps.cf
/etc/postfix/mysql_virtual_mailbox_limit_maps.cf  darum kümmert sich Dovecot
/etc/postfix/mysql_virtual_mailbox_maps.cf
/etc/postfix/mysql_virtual_alias_domain_maps.cf
/etc/postfix/mysql_virtual_alias_domain_catchall_maps.cf
/etc/postfix/mysql_virtual_alias_domain_mailbox_maps.cf

Diese mysql-Dateien im Verzeichnis /etc/postfix muss man anpassen an die eigenen Datenbankeinstellungen. Muster dazu finden sich in der Datei /usr/share/doc/postfixadmin/DOCUMENTS/POSTFIX_CONF.txt.gz. Im Prinzip wird Postfix hier mitgeteilt, wie die Datenbanktabellen abgefragt werden. Benutzername und Passwort müssen hier an die eigenen Einstellungen angepasst werden.

mysql_virtual_alias_maps.cf

user = postfix
password = password
hosts = localhost
dbname = postfix
query = SELECT goto FROM alias WHERE address='%s' AND active = '1'

mysql_virtual_domains_maps.cf

user = postfix
password = password
hosts = localhost
dbname = postfix
query = SELECT domain FROM domain WHERE domain='%s' AND active = '1'

mysql_virtual_mailbox_limit_maps.cf

user = postfix
password = password
hosts = localhost
dbname = postfix
query = SELECT quota FROM mailbox WHERE username='%s' AND active = '1'

mysql_virtual_mailbox_maps.cf

user = postfix
password = password
hosts = localhost
dbname = postfix
query = SELECT maildir FROM mailbox WHERE username='%s' AND active = '1'

mysql_virtual_alias_domain_maps.cf

user = postfix
password = password
hosts = localhost
dbname = postfix
query = SELECT goto FROM alias,alias_domain WHERE alias_domain.alias_domain = '%d' and alias.address = CONCAT('%u', '@', alias_domain.target_domain) AND alias.active = 1 AND alias_domain.active='1'

mysql_virtual_alias_domain_catchall_maps.cf

# handles catch-all settings of target-domain
user = postfix
password = password
hosts = localhost
dbname = postfix
query  = SELECT goto FROM alias,alias_domain WHERE alias_domain.alias_domain = '%d' and alias.address = CONCAT('@', alias_domain.target_domain) AND alias.active = 1 AND alias_domain.active='1'


mysql_virtual_alias_domain_mailbox_maps.cf

user = postfix
password = password
hosts = localhost
dbname = postfix
query = SELECT maildir FROM mailbox,alias_domain WHERE alias_domain.alias_domain = '%d' and mailbox.username = CONCAT('%u', '@', alias_domain.target_domain) AND mailbox.active = 1 AND alias_domain.active='1'


Firewall anpassen

ufw allow Postfix
ufw allow "Postfix SMTPS"
ufw allow "Postfix Submission"
ufw allow "Dovecot IMAP"
ufw allow "Dovecot Secure IMAP"
ufw allow "Dovecot POP3"
ufw allow "Dovecot Secure POP3"


Vor dem Neustart der Dienste müssen die Datenbanken erzeugt werden:

postmap /etc/postfix/access
newaliases


Konfiguration der Clients

Thunderbird als Client-Programm lässt sich problemlos so konfigurieren, dass er mit den beiden verschlüsselten Protokollen arbeiten kann. Beispieleinstellungen ergeben sich aus dem folgenden Bildern.

Thunderbird-SMTPS.png

Thunderbird-Submission.png

Postfix und der Kampf gegen Spam

Heutzutage ist deutlich mehr als 90% aller verschickten Mails unerwünschter Spam. Die zentrale Stelle im Kampf gegen den Spam ist natürlich der Mailserver. Postfix hat eine Reihe von Mechanismen eingebaut, die versuchen Spam zu vermeiden:

  • RBL, ein System bei dem bestimmte Server gefragt werden, ob ihnen der abliefernde Server als Spamlieferant bekannt ist
  • Regeln wie invalid_hostname, hier überprüft Postfix, ob sich der Name, der zu der abliefernden IP-Adresse gehört zur gleichen IP wieder auflösen lässt
  • Access-Listen über die z.B. Mailadressen oder ganze Domains blockiert werden können

Wirklich Viren und Spam erkennen kann Postfix aber nicht. Dazu bedarf es eines externen Hilfsprogrammes, wie AmaVis oder rspamd. Diese Programme können allgemein nach zwei unterschiedlichen Konzepten eingebunden werden.

  • als Mail-Proxy
  • Über die Milter-Schnittstelle

AmaVis wird in der Regel als Proxy eingebunden. Dabei nimmt Postfix auf dem normalen Port z.B. 25 eine Mail an und gibt sie zur Untersuchung an AmaVis weiter. Wenn AmaVis mit der Mail fertig ist, dann gibt er die an einen zweiten Postfix-Prozess weiter, der z.B. auf Port 10025 lauscht. Dieses Verfahren kann man gut in den Header-Zeilen der Mail nachvollziehen, hier taucht der eigene Server nämlich doppelt auf. Nachteil bei dem Proxy-System ist, dass AmaVis die Mail erst sehen kann, wenn sie angenommen wurde. Auch, wenn sie als Spam klassifiziert wurde muss sie zugestellt werden. Konfiguriert wird der zweite Postfix-Daemon über die letzten Zeilen in der /etc/postfix/master.cf

127.0.0.1:10025 inet n    -       -       -       -     smtpd
    -o content_filter=
    -o smtpd_delay_reject=no
    ...

und der Zugriff auf AmaVis erolgt über eine Zeile in der main.cf

content_filter = smtp-amavis:[localhost]:10024

Über die Milter-Schnittstelle kann sich ein externes Programm wir rspamd in den Postfix-Prozess einklinken. Es wird also kein zweiter Postfix-Prozess benötigt. Außerdem ist das externe Programm so in der Lage eine Mail als Spam zu klassifizieren, ohne das sie letztendlich angenommen wurde. Postfix kann dann den Prozess abbrechen und dem sendenden Mailserver dabei eine entsprechende Fehlermeldung zukommen lassen. Damit sollten als Spam gekennzeichnete Mail überhaupt nicht mehr beim Empfänger auftauchen.

Für Amavis gibt es auch ein Milter-Programm, das ist aber schon einige Zeit nicht mehr aktualisiert worden, vor allem in den Ubuntu-Versionen nicht.

rspamd

Die Entwickler des rspamd möchten nicht, dass man die Pakete aus den jeweiligen Distributionen benutzt. Damit wollen sie einerseits erreichen, dass immer die aktuellste Version installiert ist und die Ubuntu-Paketentwickler nicht an der Konfiguration gedreht haben. Daher soll man das Programm immer von der Entwickler-Seite laden, dafür gibt es auch für Ubuntu die passenden Pakete.

apt install wget
wget -O- https://rspamd.com/apt-stable/gpg.key | apt-key add -
echo "deb [arch=amd64] http://rspamd.com/apt-stable/ $(lsb_release -c -s) main" > /etc/apt/sources.list.d/rspamd.list
echo "deb-src [arch=amd64] http://rspamd.com/apt-stable/ $(lsb_release -c -s) main" >> /etc/apt/sources.list.d/rspamd.list
apt update
apt install rspamd clamav clamav-daemon redis-server
service rspamd stop

Bei anderen Prozessor-Architekturen als amd64 muss man den Ausdruck [arch=amd64] weglassen oder passend ersetzen.

Für die Anpassung der Konfiguration haben die Entwickler sich ein interessantes System ausgedacht, wie man am Inhalt der Datei /etc/rspamd/rspamd.conf erkennen kann

# For specific modules or configuration you can also modify
# '$LOCAL_CONFDIR/local.d/file.conf' - to add your options or rewrite defaults
# '$LOCAL_CONFDIR/override.d/file.conf' - to override the defaults

Für jeden der vorhandenen Konfigurationsbereiche gibt es jeweils eine vorbereitete Konfigurationsdatei im Hauptverzeichnis der Konfiguration. Änderungsdateien legt man unter dem gleichen Namen entweder ins Unterverzeichnis:

  • local.d oder
  • override.d

Einstellungen die im Unterverzeichnis local.d gemacht werden ergänzen die vorhandenen Einstellungen, bei gleichem Bezeichner überschreiben sie auch. Einstellungen im Verzeichnis override.d löschen erst einmal alle Voreinstellungen, nur die neu gemachte Einstellung bleibt gültig.

Die Konfiguration des rspamd erfolgt erst einmal in relativ wenigen Schritten:

cd /etc/rspamd/

dann lässt man sich einen Passwort-Hash erzeugen

rspamadm pw 

das Passwort wird im Dialog abgefragt, der Hash, z.B. $2$piqhd3fcs6ncafzfw7qhjehjjwdmaoeo$nkdo6u8ot7ydibt6eipn7m97opzhcb3mcqpq9n64un7bec3mzhzy erscheint dann auf dem Bildschirm und muss in die Datei /etc/rspamd/local.d/worker-controller.inc übertragen werden.

/etc/rspamd/local.d/worker-controller.inc

password = "$2$piqhd3fcs6ncafzfw7qhjehjjwdmaoeo$nkdo6u8ot7ydibt6eipn7m97opzhcb3mcqpq9n64un7bec3mzhzy";
enable_password = "$2$piqhd3fcs6ncafzfw7qhjehjjwdmaoeo$nkdo6u8ot7ydibt6eipn7m97opzhcb3mcqpq9n64un7bec3mzhzy";

Im Proxy-Modus scannt rspamd_proxy die Nachrichten selbst und spricht direkt mit dem MTA unter Verwendung des Milter-Protokolls. Der Vorteil dieses Ansatzes ist seine Einfachheit.

/etc/rspamd/local.d/worker-proxy.inc

bind_socket = "localhost:11332";
milter = yes;
timeout = 120s;
upstream "local" {
 default = yes;
 self_scan = yes;
}


In der Regel wird man die Logmeldungen nicht in einer extra-Datei haben wollen, sondern im Syslog, dazu wieder eine kleine Erweiterung:

/etc/rspamd/local.d/local.d/logging.inc

type = "syslog";
level = "warning";


Die Header-Zeilen konfiguriert man

/etc/rspamd/local.d/milter_headers.conf

use = ["x-spamd-bar", "x-spam-level", "authentication-results"];
authenticated_headers = ["authentication-results"];

Das kleine Datenbank-Tool redis soll für Bayes-Filter genutzt werden und Auto-Learning soll aktiv sein:

/etc/rspamd/local.d/classifier-bayes.conf

backend = "redis";
autolearn = true;

Wo findet redis seine Partner

/etc/rspamd/local.d/redis.conf

servers = "127.0.0.1";

Clamav aktivieren, er muss natürlich installiert sein und auf der angegebenen Socket /var/run/clamav/clamd.ctl lauschen

/etc/rspamd/local.d/antivirus.conf

clamav {
 action = "reject";
 scan_mime_parts = true;
 log_clean = true;
 symbol = "CLAM_VIRUS";
 type = "clamav";
 servers = "/var/run/clamav/clamd.ctl";
}

Mail-Subject ändern (Vorsicht, das hat Seiteneffekte und erfordert eine längere Beschreibung).

/etc/rspamd/local.d/actions.conf

subject = "***SPAM*** %s";
rewrite_subject = 6;


Individuelle Black- und White-Listen

/etc/rspamd/local.d/multimap.conf

WHITELIST_IP {
   type = "ip";
   map = "/var/lib/rspamd/whitelist_ip.map";
   description = "Lokale ip whitelist -> accept";
   action = "accept";

}

WHITELIST_FROM {
   type = "from";
   map = "/var/lib/rspamd/whitelist_from.map";
   description = "Lokale from Whitelist -> accept";
   action = "accept";
}

WHITELIST_FROM_DOMAIN {
  type = "from";
  filter = "email:domain";
  map = "/var/lib/rspamd/whitelist_from_domain.map";
  description = "Lokale from Domain Whitelist -> -6.0";
  score = -6.0
}

BLACKLIST_IP {
  type = "ip";
  map = "/var/lib/rspamd/blacklist_ip.map";
  description = "Lokale ip Blacklist -> reject";
  action = "reject";
}

BLACKLIST_FROM {
  type = "from";
  map = "/var/lib/rspamd/blacklist_from.map";
  description = "Lokale from Blacklist -> reject";
  action = "reject";
}

Diese Listen muss man nicht anlegen, das passiert automatisch, wenn man z.B. in der GUI einen Eintrag vornimmt. Statt der action-Zeilen kann man auch score-Zeilen nutzen, um die Entscheidung abzuschwächen:

score=-6 (für die Whitelisten
score=6  (für die Blacklisten)

Weitere Möglichkeiten und Beispiele finden sich unter https://rspamd.com/doc/modules/multimap.html

HAM/Spam lernen

Der rspamd lernt aus den eingehenden Mail. Man kann ihn aber auch vorab mit den vorhandenen Mails trainieren. Dazu bin ich in mein Postfachverzeichnis /var/vmail/<domain>/<user> gegangen und habe folgendes Kommandos abgesetzt:

find cur/* -type f  -exec /usr/bin/rspamc learn_ham {} \;
find .Junk/cur/* -type f  -exec /usr/bin/rspamc learn_spam {} \;

Falls sehr viele Mails vorhanden sind kann man die Suche einschränken, indem man vor dem Stern noch passende Ziffern anhand der Liste mit angibt. Also z.B.

find cur/16* -type f

DKIM-Signierung

Rspamd kann das Signieren der ausgehenden Mail übernehmen. Dazu muss zunächst ein entsprechender Schlüssel erzeugt und hinterlegt werden.

Hinweis: Meist wird empfohlen eine Schlüssellänge 2048 zu nutzen (-b 2048), der dann aber längere Schlüssel lässt sich bei manchen Nameservern aber nicht speichern.

mkdir /var/lib/rspamd/dkim/
rspamadm dkim_keygen -b 1024 -s 2020 -k /var/lib/rspamd/dkim/2020.key > /var/lib/rspamd/dkim/2020.txt
chown -R _rspamd:_rspamd /var/lib/rspamd/dkim
chmod 440 /var/lib/rspamd/dkim/*

Den erzeugten Key kann man sich ansehen mittels:

cat /var/lib/rspamd/dkim/2020.txt

Die Zeichenkette 2020 ist der sogenannte Selektor. Damit lässt sich der passende Schlüssel im Zonenfile des Nameservers wiederfinden.

Mich hat ursprünglich irritiert, dass sich die erzeugten Schlüssel an Anfang und Ende kaum unterschieden, ich hatte befürchtet, dass immer der gleiche Schlüssel erzeugt wird. Dazwischen unterscheiden sich die Schlüssel aber auf alle Fälle, so ist der Vergleich bzw. die Zuordnung aber schwierig.

/etc/rspamd/local.d/dkim_signing.conf

path = "/var/lib/rspamd/dkim/$selector.key";
selector = "2020";

### Erlaube DKIM signing auch für alias sender Adressen
allow_username_mismatch = true;

Die gleiche Information wird auch vom ARC-Modul benötigt.

ln -s /etc/rspamd/local.d/dkim_signing.conf /etc/rspamd/local.d/arc.conf

Das Webinterface von rspamd

Der rspamd stellt ein Webinterface zur Verfügung, welches auf dem Port 11334 des Server auf Verbindungen wartet. Man hat jetzt drei Möglichkeiten auf dieses Interface zuzugreifen:

  • Man gibt Port 11334 in der Firewall frei und benötigt dann das Passwort, welches man bei der Konfiguration des rspand gesetzt hat, zusätzlich muss man erreichen, dass der Worker auch auf der normalen IP-Adresse lauscht, dazu ergänzt man in der worker-controller.inc nach den Passwörtern noch
bind_socket = "*:11334";
  • Ein ssh-Tunnel zum Server ssh -L 8080:localhost:11334 root@meine-maildomain.de -N macht das Webinterface unter Port 8080 des lokalen Rechners verfügbar
  • Web-Proxy für den Apache, in einem virtuellen Server ergänzt man:


RewriteEngine On
ProxyRequests Off
<Location /rspamd>
       Order allow,deny
       Allow from all
</Location>
RewriteRule ^/rspamd$ /rspamd/ [R,L]
RewriteRule ^/rspamd/(.*) http://localhost:11334/$1 [P,L]


Das Proxy-Modul muss dazu installiert sein:

a2enmod proxy
a2enmod proxy_http

Damit ist dann nach einem Neustart des Webservers der rspamd über das Verzeichnis /rspamd/ erreichbar.

Warnung: Mit dem Proxy-Modul sollte man sehr vorsichtig sein. Es gibt immer wieder Leute, die den Server versuchen als Forward-Proxy zu nutzen, um verschleiert auf andere Server zugreifen zu können. Dass kann man mit der Einstellung ProxyRequests Off verhindern. Wir brauchen hier einen Reverse-Proxy, der einen internen Dienst (rspamd) über das Webinterface zur Verfügung stellt. Das ist weniger problematisch. Eine ausführliche Beschreibung habe ich gefunden unter: https://www.netnea.com/cms/apache-tutorial-9-reverse-proxy-einrichten/

Roundcube

Roundcube ist ein sehr beliebter und mächtiger Webmail-Client. Er lässt sich über eine Reihe von Plugins erweitern. Ich nutze gern die Plugins

  • sieve, zu Pflegen der entsprechenden Regeln
  • Password, zum Ändern des eigenen Passwortes in der Postfix-Datenbank.

Zuerst die Installation:

apt install roundcube roundcube-plugins roundcube-plugins-extra

Das Programm wird standardmäßig im Verzeichnis /var/lib/roundcube/ abgelegt (in Version 1.4.3). Hierbei werden einige Unterverzeichnisse und Dateien an andere Stellen verlinkt

  • config -> /etc/roundcube
  • program -> /usr/share/roundcube/program
  • .htaccess -> /etc/roundcube/htaccess
  • logs -> /var/log/roundcube
  • robots.txt -> /usr/share/roundcube/robots.txt

Die Plugins finden sich im Verzeichnis /usr/share/roundcube/plugins/, wobei die Konfigurationsdateien, die auf /etc/roundcube/plugins/ verlinkt wurden, jeweils nahezu leer sind. Ein Muster findet sich dann jeweils unter /usr/share/roundcube/plugins/ in der Datei config.inc.php.dist

Also

cp /usr/share/roundcube/plugins/password/config.inc.php.dist /etc/roundcube/plugins/password/config.inc.php
cp /usr/share/roundcube/plugins/managesieve/config.inc.php.dist /etc/roundcube/plugins/managesieve/config.inc.php
cp /usr/share/roundcube/plugins/zipdownload/config.inc.php.dist /etc/roundcube/plugins/zipdownload/config.inc.php
cp /usr/share/roundcube/plugins/jqueryui/config.inc.php.dist  /etc/roundcube/plugins/jqueryui/config.inc.php

Danach sind dann ein paar Dateien zu editieren.

/etc/roundcube/debian-db.php

<?php
##
## database access settings in php format
## automatically generated from /etc/dbconfig-common/roundcube.conf
## by /usr/sbin/dbconfig-generate-include
##
## by default this file is managed via ucf, so you shouldn't have to
## worry about manual changes being silently discarded.  *however*,
## you'll probably also want to edit the configuration file mentioned
## above too.
##
$dbuser='roundcube';
$dbpass='assword';
$basepath=;
$dbname='roundcube';
$dbserver='localhost';
$dbport=;
$dbtype='mysql';

/etc/roundcube/plugins/password/config.inc.php ab Zeile 95

// SQL Driver options
// ------------------
// PEAR database DSN for performing the query. By default
// Roundcube DB settings are used.
$config['password_db_dsn'] = 'mysql://postfix:assword@localhost/postfix';

// The SQL query used to change the password.
// The query can contain the following macros that will be expanded as follows:
//      %p is replaced with the plaintext new password
//      %P is replaced with the crypted/hashed new password
//         according to configured password_method
//      %o is replaced with the old (current) password
//      %O is replaced with the crypted/hashed old (current) password
//         according to configured password_method
//      %h is replaced with the imap host (from the session info)
//      %u is replaced with the username (from the session info)
//      %l is replaced with the local part of the username
//         (in case the username is an email address)
//      %d is replaced with the domain part of the username
//         (in case the username is an email address)
// Deprecated macros:
//      %c is replaced with the crypt version of the new password, MD5 if available
//         otherwise DES. More hash function can be enabled using the password_crypt_hash
//         configuration parameter.
//      %D is replaced with the dovecotpw-crypted version of the new password
//      %n is replaced with the hashed version of the new password
//      %q is replaced with the hashed password before the change
// Escaping of macros is handled by this module.
// Default: "SELECT update_passwd(%c, %u)"
$config['password_query'] = 'UPDATE mailbox SET password=%c WHERE username=%u';

// By default the crypt() function which is used to create the %c
// parameter uses the md5 algorithm (deprecated, use %P).
// You can choose between: des, md5, blowfish, sha256, sha512.
$config['password_crypt_hash'] = 'md5';
...

/etc/roundcube/plugins/managesieve/config.inc.php

<?php

// managesieve server port. When empty the port will be determined automatically
// using getservbyname() function, with 4190 as a fallback.
$config['managesieve_port'] = 4190;


/etc/roundcube/config.inc.php In der Hauptkonfigurationsdatei von Roundcube sind zwei Änderungen notwendig.

Ab Zeile 36

// The mail host chosen to perform the log-in.
// Leave blank to show a textbox at login, give a list of hosts
// to display a pulldown menu or set one host as string.
// To use SSL/TLS connection, enter hostname with prefix ssl:// or tls://
// Supported replacement variables:
// %n - hostname ($_SERVER['SERVER_NAME'])
// %t - hostname without the first part
// %d - domain (http hostname $_SERVER['HTTP_HOST'] without the first part)
// %s - domain name after the '@' from e-mail address provided at login screen
// For example %n = mail.domain.tld, %t = domain.tld
$config['default_host'] = 'localhost';


Ab Zeile 74

// List of active plugins (in plugins/ directory)
$config['plugins'] = array(
 'archive',
 'zipdownload',
 'managesieve',
 'password',
);


Die Datenbankkonfiguration findet sich dann in der Datei /usr/share/roundcube/SQL/mysql.initial.sql

Testen

Nach Konfigurationsänderungen ist das Testen des Ergebnisses immer wichtig. Das betrifft einerseits die Viren und Spam Erkennung aber auch die ganzen Nameservereinträge.

Spam und Viren Testen kann man den Spamfilter mit GTUBE von Apache. Generic Test for Unsolicited Bulk Email (GTUBE) ist ein kurzer Mail-Text, der als Spam erkannt werden muss:

Herunterladen der Test-Datei:

wget http://spamassassin.apache.org/gtube/gtube.txt -P /tmp

und dann verschicken an einen User

sendmail uwe@meine-maildomain.de < /tmp/gtube.txt


Oder

https://www.heise.de/security/dienste/Emailcheck-2109.html


Die SSL-Parameter

openssl s_client -connect meine-maildomain.de:25 -starttls smtp
openssl s_client -connect meine-maildomain.de:993


Nameserver-Einträge SPF

dig -t txt meine-maildomain.de

bzw. mit übersichtlicherme Ergebnis

dig +short -t txt meine-maildomain.de


DKIM

dig -t txt 2020._domainkey.meine-maildomain.de

DMARC

dig -t txt _dmarc.meine-maildomain.de

Quotas

Das Testen der Quota-Einstellungen ist etwas mühsam. Die Warnungen werden z.B. immer dann erzeugt, wenn der Speicherplatz die angegebene Grenze übersteigt. Danach dann aber bis zur nächsten Grenze nicht mehr. Man muss also Mails löschen, um eine Grenze erneut auszutesten.

Bei Problemen kann man darauf achten, ob überhaupt Dovecot für die Mailzustellung genutzt wird:

Oct 18 11:21:19 mail dovecot: lmtp(name@meine-maildomain.de): msgid=<95fd0a2b46d4969a5ff2e514b.98ea0f958f.20201018090500.574acd086e.19474f00@mail111.beispiel.de>: saved mail to INBOX
Oct 18 11:21:19 mail postfix/lmtp[13873]: 7EBFD24006C: to=<name@meine-maildomain.de>, relay=meine-maildomain.de[private/dovecot-lmtp], delay=1.3, delays=1.1/0/0.01/0.12, dsn=2.0.0, status=sent (250 2.0.0 <name@meine-maildomain.de> UBNYEg8JjF8yNgAA37fa2w Saved)

Falls Postfix selber zustellt, wie bei der Mail an root

Oct 18 10:30:03 mail postfix/local[13154]: 61D1B240091: to=<root@meine-maildomain.de>, orig_to=<root>, relay=local, delay=0.28, delays=0.2/0/0/0.08, dsn=2.0.0, status=sent (delivered to mailbox)

greifen die Dovecot Einstellungen natürlich nicht.

Falls es probleme gibt kann man auch gut in der local.conf von Dovecot

mail_debug = yes

setzen. Beim Überschreiten einer Grenze sollte sich dann in der Mail.log ein Eintrag finden wie

Oct 18 10:31:22 mail dovecot: lmtp(name@meine-maildomain.de)<587134><ZL7WNlj9i19+9QgAjuSTOg>: Debug: quota: Executing warning: quota-warning 66 name@meine-maildomain.de (because bytes=235928217 -> 314565267 over limit 270336000)

Was mir so auffiel

Was mich etwas überrascht hat, ist dass

tcpdump localhost

keine Dienste anzeigt, die an localhost bzw. 127.0.0.1 gebunden sind. Das betrifft in der Standardkonfiguration die Dienste auf den Ports 11222, 11333 und 11334 des rspamd. Dienste auf diesen Ports kann man aber mit

lsof -i TCP -n -P

ausgeben lassen.

Links zu Anleitungen

Dies ist eine Sammlung von Adressen zum Nachlesen und Vergleichen:

rspamd

Gesamtsystem mit rspamd

Gesamtsystem ohne rspamd

SPF, DKIM und DMARC

Links zu Werkzeugen

Zum Thema Mail-Server-Konfiguration