[Comm] postfix sasl

[Comm] postfix sasl

[Stas]

Приветствую!

В P7 настраиваю связку postfix-sasl-cyru, вижу странное.
Согласно документации, команда `postconf -a` должна показать, какие
варианты SASL поддерживаются в сборке postfix.
Однако:
[root@backup ~]# postconf -a
[root@backup ~]#

При этом пакет postfix-cyrus установлен:

[root@backup ~]# rpm -qa | grep postfix
postfix-tls-2.9.5-alt1
postfix-pcre-2.9.5-alt1
postfix-ldap-2.9.5-alt1
postfix-control-1.6.1-alt1
postfix-2.9.5-alt1
postfix-cyrus-2.9.5-alt1
[root@backup ~]#

В то же время стандартная связка postfix-dovecot с настроенный "доменом
альтлинуск" работает (на другом сервере).

Вопрос:
Будет ли работать аутентификация через SASL cyrus, или нужно собирать
postfix из исходников, или нужно аутентифицировать клиентов через PAM?

-- 
Станислав Дёгтев
Служба "Ваш админ"
 Мои контакты:
 - jabber: grumbler@grumbler.org
 - email: stas.grumbler@gmail.com и stas@vashadmin.su
 - телефоны в Е-бурге +79045430461 и +79222112259

Re: [Comm] postfix sasl

[Nikolay A. Fetisov]

В Чт, 20/10/2016 в 13:25 +0500, Stas пишет:
> В P7 настраиваю связку postfix-sasl-cyru, вижу странное.
> Согласно документации, команда `postconf -a` должна показать, какие
> варианты SASL поддерживаются в сборке postfix.
> Однако:
> [root@backup ~]# postconf -a
> 
Это, насколько помню, просто не работает.

Т.е., то, что ничего не выводит - не важно, работать и без этого
должно.

-- 
С уважением,
Николай Фетисов

Re: [Comm] postfix sasl

[Andrew Borodin]

On Thu, Oct 20, 2016 at 01:25:53PM +0500, Stas wrote:
> Согласно документации, команда `postconf -a` должна показать, 
> какие варианты SASL поддерживаются в сборке postfix.
> Однако:
> [root@backup ~]# postconf -a
> [root@backup ~]#

https://bugzilla.altlinux.org/show_bug.cgi?id=28372

-- 

С уважением
А. Бородин.

Re: [Comm] postfix sasl

[Stas]

On 20.10.2016 14:33, Nikolay A. Fetisov wrote:
> В Чт, 20/10/2016 в 13:25 +0500, Stas пишет:
>> В P7 настраиваю связку postfix-sasl-cyru, вижу странное.
>> Согласно документации, команда `postconf -a` должна показать, какие
>> варианты SASL поддерживаются в сборке postfix.
>> Однако:
>> [root@backup ~]# postconf -a
>>  
> Это, насколько помню, просто не работает.
>
> Т.е., то, что ничего не выводит - не важно, работать и без этого
> должно.

Действительно работает.


-- 
Станислав Дёгтев
Служба "Ваш админ"
 Мои контакты:
 - jabber: grumbler@grumbler.org
 - email: stas.grumbler@gmail.com и stas@vashadmin.su
 - телефоны в Е-бурге +79045430461 и +79222112259

Re: [Comm] postfix sasl

[Sergey]

On Thursday 20 October 2016, Stas wrote:

> При этом пакет postfix-cyrus установлен:

Ещё вот на это внимание обратите:
https://bugzilla.altlinux.org/show_bug.cgi?id=30270

К исходному вопросу, видимо, не относится, но может быть важно.

-- 
С уважением, Сергей.

Re: [Comm] postfix sasl

[Stas]

On 21.10.2016 10:58, Sergey wrote:
> Ещё вот на это внимание обратите:
> https://bugzilla.altlinux.org/show_bug.cgi?id=30270
>
> К исходному вопросу, видимо, не относится, но может быть важно.

Спасибо за информацию.
Я уже решил проблему - сделал workaround.

Библиотечный модуль /usr/lib64/postfix/xsasl_cyrus.so postfix  находит
"из коробки". /usr/lib/sasl* в P7 при том списке пакетов вообще не
существует.
Зато postfix требует чтобы конфиг sasl был в /etc/postfix/sasl, тогда
как все остальные конфиги SASL размещены в /etc/sasl2. Судя по
http://www.postfix.org/SASL_README.html, в стоковом postfix используется
именно этот путь для конфига SASL, а в Debian, Ubuntu и Altlinux -
/etc/postfix/sasl, значит виноват патч для postfix

Но тут есть одна серьёзная особенность.
Postfix в Altlinux (по умолчанию, и IMHO это правильный путь) работает в
chroot, поэтому нужно обеспечить доступность конфига sasl в chroot.
Проще всего это сделать , когда конфиг в дереве /etc/postfix.
Полагаю, что chroot и является причиной такого "костыльного" решения.
IMHO недоработка тут в том, что скрипт /etc/chroot.d/postfix.conf не
копирует файл, указанный в main.cf в директиве smtpd_sasl_path, из
/etc/postfix/sasl/ в /var/spool/postfix/etc/postfix/sasl/, например, так:
smtpd_sasl_path=etc/postfix/sasl/`/usr/sbin/postconf -h
smtpd_sasl_path`.conf
install -g postfix -m 440 "/$smtpd_sasl_path" "$smtpd_sasl_path"

В настройке postfix-sasl-cyrus есть ещё один момент. saslauthd требует
нешифрованный пароль. Если нужна аутентификация с передачей
хешированного/шифрованного пароля, приходиться использовать sasldb или
ldap или sql. В случае sasldb файл базы нужно подать в
/var/spool/postfix/etc/sasl2/.
Простейшее решение - `mount --bind /etc/sasl2/
/var/spool/postfix/etc/sasl2 && mount -o remount, ro,bind /etc/sasl2/
/var/spool/postfix/etc/sasl2` требует модификации скрипта
/etc/chroot.d/postfix.conf или /etc/chroot.d/postfix.all. IMHO нужна
возможность добавить вызов пользовательского скрипта из
/etc/chroot.d/postfix.all

Наверное, это уже темя для sisyphus@ и багзиллы.

-- 
Станислав Дёгтев
Служба "Ваш админ"
 Мои контакты:
 - jabber: grumbler@grumbler.org
 - email: stas.grumbler@gmail.com и stas@vashadmin.su
 - телефоны в Е-бурге +79045430461 и +79222112259

Re: [Comm] postfix sasl

[Nikolay A. Fetisov]

В Пт, 21/10/2016 в 09:58 +0400, Sergey пишет:
> 
> Ещё вот на это внимание обратите:
> https://bugzilla.altlinux.org/show_bug.cgi?id=30270
> 
> К исходному вопросу, видимо, не относится, но может быть важно.

Это - никак не относится. Вопрос по P7, там этой, хм, мелкой
несовместимости ещё нет.

-- 
С уважением,
Николай Фетисов

Re: [Comm] postfix sasl

[Sergey]

On Friday 21 October 2016, Stas wrote:

> > https://bugzilla.altlinux.org/show_bug.cgi?id=30270
> >
> > К исходному вопросу, видимо, не относится, но может быть важно.
> 
> Спасибо за информацию.
> Я уже решил проблему - сделал workaround.
> 
> Библиотечный модуль /usr/lib64/postfix/xsasl_cyrus.so postfix  находит
> "из коробки". /usr/lib/sasl* в P7 при том списке пакетов вообще не
> существует.

Хм. А в p7 должно было работать и так. Жалобы из-за изменения именования
каталога с плагинами в p8 появились, в p7 это не менялось.

-- 
С уважением, Сергей.

Re: [Comm] postfix sasl

[Sergey]

On Friday 21 October 2016, Nikolay A. Fetisov wrote:

>  Вопрос по P7,

Я упустил этот момент, когда отвечал.

-- 
С уважением, Сергей.

Re: [Comm] postfix sasl

[Stas]

On 21.10.2016 12:33, Sergey wrote:
> On Friday 21 October 2016, Stas wrote:
>
>>> https://bugzilla.altlinux.org/show_bug.cgi?id=30270
>>>
>>> К исходному вопросу, видимо, не относится, но может быть важно.
>> Спасибо за информацию.
>> Я уже решил проблему - сделал workaround.
>>
>> Библиотечный модуль /usr/lib64/postfix/xsasl_cyrus.so postfix  находит
>> "из коробки". /usr/lib/sasl* в P7 при том списке пакетов вообще не
>> существует.
> Хм. А в p7 должно было работать и так. Жалобы из-за изменения именования
> каталога с плагинами в p8 появились, в p7 это не менялось.

Что и почему не работает, и как сделать, чтобы работало, я уже описал.
Есть два момента:
1 - postconf -a и postconf -A ничего не показывают, и в этом виноват
altlinux-patch (с этого вопроса тред начался);
2 - аутентификация sasl в postfix требует доступности файлов в chroot (я
расписал всё в отсутствующей части процитированного сообщения).


-- 
Станислав Дёгтев
Служба "Ваш админ"
 Мои контакты:
 - jabber: grumbler@grumbler.org
 - email: stas.grumbler@gmail.com и stas@vashadmin.su
 - телефоны в Е-бурге +79045430461 и +79222112259

Re: [Comm] postfix sasl

[Anton Gorlov]

21.10.2016 10:09, Stas пишет:
> Но тут есть одна серьёзная особенность.
> Postfix в Altlinux (по умолчанию, и IMHO это правильный путь) работает в
> chroot, поэтому нужно обеспечить доступность конфига sasl в chroot.


chroot, как мне кажется в настоящие время скорее костыль из прошлого,
когда есть lxc и прочие докеры

Re: [Comm] postfix sasl

[Stas]

On 21.10.2016 12:47, Anton Gorlov wrote:
> 21.10.2016 10:09, Stas пишет:
>> Но тут есть одна серьёзная особенность.
>> Postfix в Altlinux (по умолчанию, и IMHO это правильный путь) работает в
>> chroot, поэтому нужно обеспечить доступность конфига sasl в chroot.
>
> chroot, как мне кажется в настоящие время скорее костыль из прошлого,
> когда есть lxc и прочие докеры

Тогда уж namespaces или SELinux.
У lxc оверхед выше.

-- 
Станислав Дёгтев
Служба "Ваш админ"
 Мои контакты:
 - jabber: grumbler@grumbler.org
 - email: stas.grumbler@gmail.com и stas@vashadmin.su
 - телефоны в Е-бурге +79045430461 и +79222112259

Re: [Comm] postfix sasl

[В.А. Илларионов]

21.10.2016 15:47, Anton Gorlov пишет:
> 21.10.2016 10:09, Stas пишет:
>> Но тут есть одна серьёзная особенность.
>> Postfix в Altlinux (по умолчанию, и IMHO это правильный путь) работает в
>> chroot, поэтому нужно обеспечить доступность конфига sasl в chroot.
>
> chroot, как мне кажется в настоящие время скорее костыль из прошлого,
> когда есть lxc и прочие докеры

Яростно плюсую. Особенно касательно ДХЦП-сервера, который не выполняет скрипты, когда зачручен. Пришлось в LXC 
развернуть кентось из-за этого.

-- 
Мимо крокодил.
WBR, rednex CIO.
Viber = +7(964)103-65-67
JID = <mailto:>
Skype = $local_part@<mailto:>

Опциии rsync -aHAX --delete мозг автоматом переводит как "удалить к чёртовой матери!"

Re: [Comm] postfix sasl

[Stas]

On 25.10.2016 06:27, В.А. Илларионов wrote:
> 21.10.2016 15:47, Anton Gorlov пишет:
>> 21.10.2016 10:09, Stas пишет:
>>> Но тут есть одна серьёзная особенность.
>>> Postfix в Altlinux (по умолчанию, и IMHO это правильный путь)
>>> работает в
>>> chroot, поэтому нужно обеспечить доступность конфига sasl в chroot.
>>
>> chroot, как мне кажется в настоящие время скорее костыль из прошлого,
>> когда есть lxc и прочие докеры
>
> Яростно плюсую. Особенно касательно ДХЦП-сервера, который не выполняет
> скрипты, когда зачручен. Пришлось в LXC развернуть кентось из-за этого.

Это большой оверхед.

Чтобы сделать без лишних затрат ресурсов, нужно:
- либо в chroot подцепить нужные каталоги с помощью mount --bind  и тут
же перемонтировать их в ro, и тут сильно не хватает возможности вызвать
свой скрипт из стандартных в /etc/chroot.d/
- либо без chroot акуратно выставить разрешения, используя namespaces.

Второй вариант универсальнее и хорошо сочетается с systemd

-- 
Станислав Дёгтев
Служба "Ваш админ"
 Мои контакты:
 - jabber: grumbler@grumbler.org
 - email: stas.grumbler@gmail.com и stas@vashadmin.su
 - телефоны в Е-бурге +79045430461 и +79222112259

Re: [Comm] postfix sasl

[В.А. Илларионов]

25.10.2016 12:45, Stas пишет:
> On 25.10.2016 06:27, В.А. Илларионов wrote:
>> 21.10.2016 15:47, Anton Gorlov пишет:
>>> chroot, как мне кажется в настоящие время скорее костыль из прошлого,
>>> когда есть lxc и прочие докеры
>> Яростно плюсую. Особенно касательно ДХЦП-сервера, который не выполняет
>> скрипты, когда зачручен. Пришлось в LXC развернуть кентось из-за этого.
> Это большой оверхед.
>
> Чтобы сделать без лишних затрат ресурсов, нужно:
> - либо в chroot подцепить нужные каталоги с помощью mount --bind  и тут
> же перемонтировать их в ro, и тут сильно не хватает возможности вызвать
> свой скрипт из стандартных в /etc/chroot.d/
> - либо без chroot акуратно выставить разрешения, используя namespaces.
>
> Второй вариант универсальнее и хорошо сочетается с systemd

В условиях провайдера, невзирая на оверхед, предпочтителен расклад "одна задача - одна виртуалка". Крайне 
желательно, чтоб задача для виртуалки работала "искаропки" и поднималась без самописных костылей, в которых 
когда-нибудь предстоит разбираться кому-то другому. Совсем замечательно, если виртуалки умеют мигрировать с 
сервера на сервер.

-- 
Мимо крокодил.
WBR, rednex CIO.
Viber = +7(964)103-65-67
JID = <mailto:>
Skype = $local_part@<mailto:>

Опциии rsync -aHAX --delete мозг автоматом переводит как "удалить к чёртовой матери!"

Re: [Comm] postfix sasl

[Stas]

On 25.10.2016 11:26, В.А. Илларионов wrote:
> 25.10.2016 12:45, Stas пишет:
>> On 25.10.2016 06:27, В.А. Илларионов wrote:
>>> 21.10.2016 15:47, Anton Gorlov пишет:
>>>> chroot, как мне кажется в настоящие время скорее костыль из прошлого,
>>>> когда есть lxc и прочие докеры
>>> Яростно плюсую. Особенно касательно ДХЦП-сервера, который не выполняет
>>> скрипты, когда зачручен. Пришлось в LXC развернуть кентось из-за этого.
>> Это большой оверхед.
>>
>> Чтобы сделать без лишних затрат ресурсов, нужно:
>> - либо в chroot подцепить нужные каталоги с помощью mount --bind  и тут
>> же перемонтировать их в ro, и тут сильно не хватает возможности вызвать
>> свой скрипт из стандартных в /etc/chroot.d/
>> - либо без chroot акуратно выставить разрешения, используя namespaces.
>>
>> Второй вариант универсальнее и хорошо сочетается с systemd
>
> В условиях провайдера, невзирая на оверхед, предпочтителен расклад
> "одна задача - одна виртуалка". Крайне желательно, чтоб задача для
> виртуалки работала "искаропки" и поднималась без самописных костылей,
> в которых когда-нибудь предстоит разбираться кому-то другому. Совсем
> замечательно, если виртуалки умеют мигрировать с сервера на сервер.

В такой постановке задачи выбор запуска в chroot или в корне
несущественен. Насколько я помню, в конфигурации можно указать, как
запускать демон.

Задача chroot в другом - изоляция процесса, чтобы при взломе фатально
затруднить работу злоумышленника. SElinux или механизм namespaces решают
эту задачу изящнее и основательнее по сравнению с chroot.

-- 
Станислав Дёгтев
Служба "Ваш админ"
 Мои контакты:
 - jabber: grumbler@grumbler.org
 - email: stas.grumbler@gmail.com и stas@vashadmin.su
 - телефоны в Е-бурге +79045430461 и +79222112259

Re: [Comm] postfix sasl

[В.А. Илларионов]

25.10.2016 14:45, Stas пишет:

> В такой постановке задачи выбор запуска в chroot или в корне
> несущественен. Насколько я помню, в конфигурации можно указать, как
> запускать демон.

Что-то не припоминаю, чтоб там была возможность запускать без чрута, иначе отстоял бы перед админами головной 
конторы альтову виртуалку: у меня за редким исключением контейнеры на альте. ДХЦП и перепиленный под контору 
радиус по вышестоящему требованию - на кентоси, смокпинг - на дебиане (просто на других дистрах его нет в 
готовом виде). nfqfilter всё ж на альте, но в KVM, потому что на момент его запуска в апреле-мае квагга в 
контейнере ОпенВЗ работала как-то странно, перепиливать всё под бёрд не успевали, а готовый вариант от Алексея 
Такасеева как-то не заработал в лоб. Теперь же просто лень переделывать, хотя контейнеры переехали в LXC. :)


> Задача chroot в другом - изоляция процесса, чтобы при взломе фатально
> затруднить работу злоумышленника. SElinux или механизм namespaces решают
> эту задачу изящнее и основательнее по сравнению с chroot.

Это как раз понятно. Но когда оно в контейнере, изолировать дальше некуда и чрут неуместен.

-- 
Мимо крокодил.
WBR, rednex CIO.
Viber = +7(964)103-65-67
JID = <mailto:>
Skype = $local_part@<mailto:>

Опциии rsync -aHAX --delete мозг автоматом переводит как "удалить к чёртовой матери!"