[sisyphus] Ошибки обновления courier

[sisyphus] Ошибки обновления courier

[Ivan Adzhubey]

Приветствую!

Обновился до:

# rpm -qa|grep courier
courier-authlib-0.58-alt1
courier-imap-4.0.6-alt1
courier-imap-utils-4.0.6-alt1
courier-maildrop-2.0.1-alt1
libcourier-authlib-0.58-alt1
courier-authlib-mysql-0.58-alt1

Bug #1:
При обновлении не меняются владелец/группа 
для /etc/courier-authlib/authdaemon-mysql.conf, а в прежней версии этот файл 
принадлежал root. Соответственно, обновленный courier-authdaemon прочитать 
его не может. И главное - молчит об этом как партизан, просто выставляет все 
дефолты и успешно запускается. Только вот не работает. Разобрался, исправил 
руками на courier/courier, заработало.

Bug #2:
Явно из той же серии, но победить никак не могу. У меня виртуальные 
пользователи почты с майлдирами в /home/virtual/, все настроено 
postfixadmin'ом, дерево /home/virtual/ принадлежит vmail/postfix, группа 
postfix имеет полные права. После обновления перестал работать 
courier-imapd/courier-imaps, ругается:

/var/log/maillog:
imapd: /home/virtual: Permission denied

pop3d и pop3s по прежнему работают. Пытался менять для home/virtual/ группу на 
courier - не помогает. В чем может быть дело? Ведь снижение приоритетов вроде 
бы касается только authdaemon, а imapd по-прежнему запускается от root. Или 
нет? В changelog'ах на эту тему пусто ;(.

-- 
Иван

Re: [sisyphus] Ошибки обновления courier

[Ivan Adzhubey]

On Tuesday 13 December 2005 12:55 am, Ivan Adzhubey wrote:
> Bug #2:
> Явно из той же серии, но победить никак не могу. У меня виртуальные
> пользователи почты с майлдирами в /home/virtual/, все настроено
> postfixadmin'ом, дерево /home/virtual/ принадлежит vmail/postfix, группа
> postfix имеет полные права. После обновления перестал работать
> courier-imapd/courier-imaps, ругается:
>
> /var/log/maillog:
> imapd: /home/virtual: Permission denied
>
> pop3d и pop3s по прежнему работают. Пытался менять для home/virtual/ группу
> на courier - не помогает. В чем может быть дело? Ведь снижение приоритетов
> вроде бы касается только authdaemon, а imapd по-прежнему запускается от
> root. Или нет? В changelog'ах на эту тему пусто ;(.

Методом тыка выяснил, что authdaemon тут ни при чем, запускал его под uid/gid 
root, все равно imapd не читает /home/virtual/. Начинает работать только если 
и /home/virtual/ и собственно лежащие в ней maildir'ы пользователей сделать 
world readable/writable. Никакие попытки выставить им других владельцев не 
помогают. Что с imapd сделали?? В документации - пусто.

-- 
Иван

Re: [sisyphus] Ошибки обновления courier

[Dmitry Lebkov]

Ivan Adzhubey wrote:
> Приветствую!
> 
> Обновился до:
> 
> # rpm -qa|grep courier
> courier-authlib-0.58-alt1
> courier-imap-4.0.6-alt1
> courier-imap-utils-4.0.6-alt1
> courier-maildrop-2.0.1-alt1
> libcourier-authlib-0.58-alt1
> courier-authlib-mysql-0.58-alt1
> 
> Bug #1:
> При обновлении не меняются владелец/группа 
> для /etc/courier-authlib/authdaemon-mysql.conf, а в прежней версии этот файл 
> принадлежал root. Соответственно, обновленный courier-authdaemon прочитать 
> его не может. И главное - молчит об этом как партизан, просто выставляет все 
> дефолты и успешно запускается. Только вот не работает. Разобрался, исправил 
> руками на courier/courier, заработало.

Мда, этого я не учел. В очередной сборке исправлю.

> 
> Bug #2:
> Явно из той же серии, но победить никак не могу. У меня виртуальные 
> пользователи почты с майлдирами в /home/virtual/, все настроено 
> postfixadmin'ом, дерево /home/virtual/ принадлежит vmail/postfix, группа 
> postfix имеет полные права. После обновления перестал работать 
> courier-imapd/courier-imaps, ругается:
> 
> /var/log/maillog:
> imapd: /home/virtual: Permission denied
> 
> pop3d и pop3s по прежнему работают. Пытался менять для home/virtual/ группу на 
> courier - не помогает. В чем может быть дело? Ведь снижение приоритетов вроде 
> бы касается только authdaemon, а imapd по-прежнему запускается от root. Или 
> нет? В changelog'ах на эту тему пусто ;(.

imapd по-прежнему исполняется с привилегиями root'а. Если пришлете личной почтой
минимальный дамп MySQL-базы, ваши конфиги и описание того, как у вас организованы
почтовые ящики - попробую у себя воспроизвести.

-- 
WBR, Dmitry Lebkov

Re: [sisyphus] Ошибки обновления courier

[Ivan Adzhubey]

On Tuesday 13 December 2005 02:40 am, Dmitry Lebkov wrote:
> imapd по-прежнему исполняется с привилегиями root'а. Если пришлете личной
> почтой минимальный дамп MySQL-базы, ваши конфиги и описание того, как у вас
> организованы почтовые ящики - попробую у себя воспроизвести.

Да, я вижу что imapd под рутом выполняется. то-то и странно, каких же 
permissions ему может нехватать? Настройки у меня слегка импровизированые, но 
все работало. Похоже на то, что работало через какой-то security hole, 
который в этой версии закрыли ;(. А где-нибудь посмотреть список changes/bug 
fixes можно? Я облазил весь сайт http://www.courier-mta.org/, но там с 
документацией негусто.

Если не получится исправить с наскока, завтра вышлю конфиги.

-- 
Иван

Re: [sisyphus] Ошибки обновления courier

[Dmitry Lebkov]

Ivan Adzhubey wrote:
> On Tuesday 13 December 2005 02:40 am, Dmitry Lebkov wrote:
> 
>>imapd по-прежнему исполняется с привилегиями root'а. Если пришлете личной
>>почтой минимальный дамп MySQL-базы, ваши конфиги и описание того, как у вас
>>организованы почтовые ящики - попробую у себя воспроизвести.
> 
> 
> Да, я вижу что imapd под рутом выполняется. то-то и странно, каких же 
> permissions ему может нехватать? Настройки у меня слегка импровизированые, но 
> все работало. Похоже на то, что работало через какой-то security hole, 
> который в этой версии закрыли ;(. А где-нибудь посмотреть список changes/bug 
> fixes можно? Я облазил весь сайт http://www.courier-mta.org/, но там с 
> документацией негусто.

В /usr/share/doc/courier-imap-4.0.3 заглядывали?

Да, пкажите результат работы вот этих команд:

# authtest your_mail_userid

# ls -al /home/virtual/your_mail_userid

> Если не получится исправить с наскока, завтра вышлю конфиги.
Ок.
 
-- 
WBR, Dmitry Lebkov

Re: [sisyphus] Ошибки обновления courier

[Ivan Adzhubey]

On Tuesday 13 December 2005 03:03 am, Dmitry Lebkov wrote:
> Ivan Adzhubey wrote:
> > On Tuesday 13 December 2005 02:40 am, Dmitry Lebkov wrote:
> >>imapd по-прежнему исполняется с привилегиями root'а. Если пришлете личной
> >>почтой минимальный дамп MySQL-базы, ваши конфиги и описание того, как у
> >> вас организованы почтовые ящики - попробую у себя воспроизвести.
> >
> > Да, я вижу что imapd под рутом выполняется. то-то и странно, каких же
> > permissions ему может нехватать? Настройки у меня слегка
> > импровизированые, но все работало. Похоже на то, что работало через
> > какой-то security hole, который в этой версии закрыли ;(. А где-нибудь
> > посмотреть список changes/bug fixes можно? Я облазил весь сайт
> > http://www.courier-mta.org/, но там с документацией негусто.
>
> В /usr/share/doc/courier-imap-4.0.3 заглядывали?

Конечно, ничего интересного...

> Да, пкажите результат работы вот этих команд:
>
> # authtest your_mail_userid

Проходит без проблем во всех вариантах, даже пароль могу поменять. Вся 
информация об аккаунте достается из БД правильной.

> # ls -al /home/virtual/your_mail_userid

# ls -ld /home/virtual
drwxrwx--x 53 postfix postfix 2280 2005-11-30 20:25 /home/virtual

# ls -al /home/virtual/ivan\@protein.bio.msu.ru/
total 11
drwxrwx--x  8 vmail   postfix  296 2005-12-13 09:59 .
drwxrwx--x 53 postfix postfix 2280 2005-11-30 20:25 ..
drwxrwxr-x  2 vmail   postfix   80 2005-03-08 18:50 courierimaphieracl
drwxrwx--x  2 vmail   postfix  112 2005-12-13 07:12 courierimapkeywords
-rw-r--r--  1 vmail   postfix   19 2005-12-13 06:57 courierimapuiddb
-rw-r--r--  1 vmail   postfix  593 2005-12-13 09:59 courierpop3dsizelist
drwxrwx--x  2 vmail   postfix  624 2005-12-13 09:59 cur
drwxrwx--x  2 vmail   postfix  176 2005-12-13 10:59 new
drwxrwx--x  2 vmail   postfix   48 2005-12-13 10:59 tmp
drwx------  6 vmail   postfix  256 2005-12-12 21:36 .Trash

# grep vmail /etc/passwd
vmail:x:1000:1000:Virtual mail user:/dev/null:/dev/null

# grep vmail /etc/group
vmail:x:1000:

Настраивал изначально вот по этому Howto:

http://postfixwiki.org/index.php?title=Virtual_Users_and_Domains_with_Courier-IMAP_and_MySQL

Единственное отличие, у меня в authdaemon-mysql.conf прописано:

# vmail UID
MYSQL_UID_FIELD         1000
# postfix GID
MYSQL_GID_FIELD         42

Если MYSQL_GID_FIELD выставлять = 1000 (vmail), как описано в Wiki, то 
аутентикация не работает. 

Но я не могу понять как это связано с неработоспособностью imapd? Он же root, 
какое ему дело до этих деталей? А аутентикация работает по-прежнему, и 
постфиксадмин через веб-интерфейс тоже: меняет пароли, создает ящики, никаких 
проблем. И pop3d/s тоже работает! Отвалился только imapd/s, причем падает 
сразу же:

[ivan@protein ivan]$ telnet localhost 143
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
Connection closed by foreign host.

# grep /home/virtual /var/log/maillog
Dec 13 11:32:48 protein imapd: /home/virtual: Permission denied
# date
Tue Dec 13 11:33:06 MSK 2005

Ничего не понимаю...

-- 
Иван

Re: [sisyphus] Ошибки обновления courier

[Ivan Adzhubey]

On Tuesday 13 December 2005 03:36 am, Ivan Adzhubey wrote:
> # vmail UID
> MYSQL_UID_FIELD         1000
> # postfix GID
> MYSQL_GID_FIELD         42
>
> Если MYSQL_GID_FIELD выставлять = 1000 (vmail), как описано в Wiki, то
> аутентикация не работает.

Точнее, постфикс не может доставить почту, т.к. maildrop не используется, все 
делает постфикс. Могу выслать конфиги постНо это все не имеет отношения к 
imapd. Я все перепробовал, соглашается работать, только если все 
дерево /home/virtual/ 0777.

Мистика.

-- 
Иван

P.S. Пошел спать, а то у нас уже рассвет скоро.

Re: [sisyphus] Ошибки обновления courier

[Dmitry Lebkov]

Ivan Adzhubey wrote:
> On Tuesday 13 December 2005 03:03 am, Dmitry Lebkov wrote:
> 
>>Ivan Adzhubey wrote:
>>
>>>On Tuesday 13 December 2005 02:40 am, Dmitry Lebkov wrote:
>>>
>>>>imapd по-прежнему исполняется с привилегиями root'а. Если пришлете личной
>>>>почтой минимальный дамп MySQL-базы, ваши конфиги и описание того, как у
>>>>вас организованы почтовые ящики - попробую у себя воспроизвести.
>>>
>>>Да, я вижу что imapd под рутом выполняется. то-то и странно, каких же
>>>permissions ему может нехватать? Настройки у меня слегка
>>>импровизированые, но все работало. Похоже на то, что работало через
>>>какой-то security hole, который в этой версии закрыли ;(. А где-нибудь
>>>посмотреть список changes/bug fixes можно? Я облазил весь сайт
>>>http://www.courier-mta.org/, но там с документацией негусто.
>>
>>В /usr/share/doc/courier-imap-4.0.3 заглядывали?
> 
> 
> Конечно, ничего интересного...
> 
> 
>>Да, пкажите результат работы вот этих команд:
>>
>># authtest your_mail_userid
> 
> 
> Проходит без проблем во всех вариантах, даже пароль могу поменять. Вся 
> информация об аккаунте достается из БД правильной.

Я попросил _показать_ результат работы этой команды. Меня интересовали
_все_ строки, кроме паролей.

[skip]

Без вышеуказанной информации всё поскипанное - бессмысленно.

> Но я не могу понять как это связано с неработоспособностью imapd?

Загляните в исходники или в документацию, где описан процесс работы.
Привилегии рута этим демонам нужны только для того чтобы сменить текущие
UID/GID на UID/GID, полученные от authdaemon'а в процессе авторизации
пользователя.

-- 
WBR, Dmitry Lebkov

PS. Если вы расчитываете на какую-то помощь, то делайте в точности то,
    о чем вас просят и предоставляйте ту информацию, которую просят.
    В противном случае расчитывать на помощь - глупо. Я не телепат.

Re: [sisyphus] Ошибки обновления courier

[Dmitry Lebkov]

Ivan Adzhubey wrote:
> Приветствую!
> 
> Обновился до:
> 
> # rpm -qa|grep courier
> courier-authlib-0.58-alt1
> courier-imap-4.0.6-alt1

Ошибка в init-скрипте courier-imapd. Необходимо заменить
строку:

$POP3LOGIN_BIN $POP3D_BIN ${MAILDIRPATH}"

на 

$IMAPLOGIN_BIN $IMAPD_BIN ${MAILDIRPATH}"

После этого должно все работать. Исправленный пакет залью
в i/S сегодня, чуть позже ...

-- 
WBR, Dmitry Lebkov

Re: [sisyphus] Ошибки обновления courier

[Ivan Adzhubey]

On Tuesday 13 December 2005 05:47 am, Dmitry Lebkov wrote:
> Ivan Adzhubey wrote:
> > Приветствую!
> >
> > Обновился до:
> >
> > # rpm -qa|grep courier
> > courier-authlib-0.58-alt1
> > courier-imap-4.0.6-alt1
>
> Ошибка в init-скрипте courier-imapd. Необходимо заменить
> строку:
>
> $POP3LOGIN_BIN $POP3D_BIN ${MAILDIRPATH}"
>
> на
>
> $IMAPLOGIN_BIN $IMAPD_BIN ${MAILDIRPATH}"
>
> После этого должно все работать. Исправленный пакет залью
> в i/S сегодня, чуть позже ...

Исправил, заработало.

Спастбо!

-- 
Иван

Re: [sisyphus] Ошибки обновления courier

[Ivan Adzhubey]

On Tuesday 13 December 2005 05:04 am, Dmitry Lebkov wrote:
> Загляните в исходники или в документацию, где описан процесс работы.
> Привилегии рута этим демонам нужны только для того чтобы сменить текущие
> UID/GID на UID/GID, полученные от authdaemon'а в процессе авторизации
> пользователя.

Именно этого не нашел нигде в документации. Вы уверены, что оно так работает? 
Мне не удалось обнаружить никаких признаков запуска не-root демонов, кроме 
authdaemon. В исходники собирался лезть сегодня, но в свете найденой 
cut-n-paste ошибки в инитскриптах это стало неактуално ;).

-- 
Иван

Re: [sisyphus] Ошибки обновления courier

[Dmitry Lebkov]

Ivan Adzhubey wrote:
> On Tuesday 13 December 2005 05:04 am, Dmitry Lebkov wrote:
> 
>>Загляните в исходники или в документацию, где описан процесс работы.
>>Привилегии рута этим демонам нужны только для того чтобы сменить текущие
>>UID/GID на UID/GID, полученные от authdaemon'а в процессе авторизации
>>пользователя.
> 
> 
> Именно этого не нашел нигде в документации. Вы уверены, что оно так работает? 

Уверен. Точно так же работают и остальные компоненты: pop3 и maildrop.
Есть сомнения? См. в код.

> Мне не удалось обнаружить никаких признаков запуска не-root демонов, кроме 
> authdaemon.

Какой смысл IMAP/POP3-демонам сбрасывать привилегии при старте, если им будет
необходимо сменить привилегии в процессе работы? Это (сброс привилегий) можно
сделать в случае виртуальных почтовых ящиков, но тогда сломается работа с
почтовыми ящиками реальных пользователей, заведенных в системе.

-- 
WBR, Dmitry Lebkov

Re: [sisyphus] Ошибки обновления courier

[Ivan Adzhubey]

On Tuesday 13 December 2005 07:46 pm, Dmitry Lebkov wrote:
> Ivan Adzhubey wrote:
> > On Tuesday 13 December 2005 05:04 am, Dmitry Lebkov wrote:
> >>Загляните в исходники или в документацию, где описан процесс работы.
> >>Привилегии рута этим демонам нужны только для того чтобы сменить текущие
> >>UID/GID на UID/GID, полученные от authdaemon'а в процессе авторизации
> >>пользователя.
> >
> > Именно этого не нашел нигде в документации. Вы уверены, что оно так
> > работает?
>
> Уверен. Точно так же работают и остальные компоненты: pop3 и maildrop.
> Есть сомнения? См. в код.

Да нет, я вам верю. Собственно, я так это себе и представлял. Только вот нигде 
в документации это явным образом не описано. Что несколько затрудняет 
troubleshooting. Пока оно все работает из коробки - все понятно, а вот когда 
перестает - начинают грызть сомнения.

> > Мне не удалось обнаружить никаких признаков запуска не-root демонов,
> > кроме authdaemon.
>
> Какой смысл IMAP/POP3-демонам сбрасывать привилегии при старте, если им
> будет необходимо сменить привилегии в процессе работы? Это (сброс
> привилегий) можно сделать в случае виртуальных почтовых ящиков, но тогда
> сломается работа с почтовыми ящиками реальных пользователей, заведенных в
> системе.

Я имел в виду форкание демонами процессов с пользовательскими привилегиями. 
Видимо обработка ящиков происходит слишком быстро и я не успевал их 
фиксировать простым запуском ps axwu|grep vmail.

Еще раз спасибо за оперативное устранение ошибки и за моральную поддержку!

-- 
Иван