[sisyphus] help sasl2 postfix-2(deadalus)

[sisyphus] help sasl2 postfix-2(deadalus)

[sergey ivanov]

    Всем привет!
    Ну видимо не зря у меня такое уважение к Постфиксу и всему с ним 
связанному. Это вам не такой пакет который можно взять, почитать 
документацию, и разобраться как всё настраивать! Ткнулся я смотреть SMTP 
аутентификацию. Стоит postfix2 из Deadalus'а. Стоит также 
libsasl2-2.1.15-alt5 и libsasl2-plugin-mysql-2.1.15-alt5 оба из Сизифа.
В /etc/postfix/main.cf мною на предмет аутентификации дописано:
------
smtpd_sasl_auth_enable = yes
broken_sasl_auth_clients = yes
smtpd_recipient_restrictions = 
permit_sasl_authenticated,permit_mynetworks,check_relay_domains
smtpd_client_restrictions =
------
Также сочинил файл:
------
# cat /usr/lib/sasl2/smtpd.conf
allowplaintext: yes
sasl_pwcheck_method: auxprop
mysql_user: postfix
mysql_password: postfix
mysql_hostnames: ivanov-sz1.gtedc.gte.com
mysql_database: postfix
mysql_statement: select password from mailbox where username='%u@%r'
mysql_verbose: yes
------
Про то что в MySQL делается сообщать уважаемому сообществу не имеет 
смысла, так как в протоколе при попытке аутентификации обнаруживаю:
------
Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: connect from 
unknown[167.241.194.190]
Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: warning: SASL 
authentication problem: unable to open Berkeley db /etc/sasl2/sasldb2: 
No such file or directory
Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: warning: SASL 
authentication problem: unable to open Berkeley db /etc/sasl2/sasldb2: 
No such file or directory
Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: warning: 
unknown[167.241.194.190]: SASL LOGIN authentication failed
------
В документации по sasl2 меня грубо отсылают к нусущетвующему файлу:
$ cat  /usr/share/doc/libsasl2-2.1.15/README
......
Please see doc/index.html for the remainder of the documentation.

До этого в рассылке были загадочные намёки про то, что sasldb надо 
копировать. Объясните пожалуйста, как добиться от postfix SMTP 
аутентификации через MySQL, если есть такая возможность!

    С уважением,
             Сергей.

Re: [sisyphus] help sasl2 postfix-2(deadalus)

[Alexei Takaseev]

On Thu, 02 Oct 2003 11:58:05 -0400
sergey ivanov <seriv@parkheights.dyndns.org> wrote:

> Про то что в MySQL делается сообщать уважаемому сообществу не имеет 
> смысла, так как в протоколе при попытке аутентификации обнаруживаю:
> ------
> Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: connect from 
> unknown[167.241.194.190]
> Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: warning: SASL 
> authentication problem: unable to open Berkeley db /etc/sasl2/sasldb2:
> 
> No such file or directory
> Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: warning: SASL 
> authentication problem: unable to open Berkeley db /etc/sasl2/sasldb2:
> 
> No such file or directory
> Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: warning: 
> unknown[167.241.194.190]: SASL LOGIN authentication failed
> ------
> В документации по sasl2 меня грубо отсылают к нусущетвующему файлу:
> $ cat  /usr/share/doc/libsasl2-2.1.15/README
> ......
> Please see doc/index.html for the remainder of the documentation.

Нужно создать файл /var/spool/postfix/etc/sasl2/sasldb, для этого можно
скопировать его из каталога /etc/sasl2 а можно просто нулевой длины его
сделать (я именно так и поступил). Тут дело не совсем в postfix'е, тут
еще и SASL2 свою лепту вносит, именно она не производит авторизацию
из-за отсуствия этого файлика.

Re: [sisyphus] help sasl2 postfix-2(deadalus)

[sergey ivanov]

Alexei Takaseev wrote:

>On Thu, 02 Oct 2003 11:58:05 -0400
>sergey ivanov <seriv@parkheights.dyndns.org> wrote:
>
>  
>
>>Про то что в MySQL делается сообщать уважаемому сообществу не имеет 
>>смысла, так как в протоколе при попытке аутентификации обнаруживаю:
>>------
>>Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: connect from 
>>unknown[167.241.194.190]
>>Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: warning: SASL 
>>authentication problem: unable to open Berkeley db /etc/sasl2/sasldb2:
>>
>>No such file or directory
>>Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: warning: SASL 
>>authentication problem: unable to open Berkeley db /etc/sasl2/sasldb2:
>>
>>No such file or directory
>>Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: warning: 
>>unknown[167.241.194.190]: SASL LOGIN authentication failed
>>------
>>В документации по sasl2 меня грубо отсылают к нусущетвующему файлу:
>>$ cat  /usr/share/doc/libsasl2-2.1.15/README
>>......
>>Please see doc/index.html for the remainder of the documentation.
>>    
>>
>
>Нужно создать файл /var/spool/postfix/etc/sasl2/sasldb, для этого можно
>скопировать его из каталога /etc/sasl2 а можно просто нулевой длины его
>сделать (я именно так и поступил). Тут дело не совсем в postfix'е, тут
>еще и SASL2 свою лепту вносит, именно она не производит авторизацию
>из-за отсуствия этого файлика.
>
>  
>
Спасибо, попробовал.
# touch /var/spool/postfix/etc/sasl2/sasldb2 - результат стал слегка другой:
Oct  2 12:42:44 ivanov-sz1 postfix/smtpd-sasl[11234]: connect from 
unknown[167.241.194.190]
Oct  2 12:42:50 ivanov-sz1 postfix/smtpd-sasl[11234]: warning: SASL 
authentication problem: unable to open Berkeley db /etc/sasl2/sasldb2: 
Invalid argument

Дальше попробовал
#cp /etc/sasl2/sasldb2 /var/spool/postfix/etc/sasl2
Результат стал еще лучше:
Oct  2 12:43:25 ivanov-sz1 postfix/smtpd-sasl[11234]: connect from 
unknown[167.241.194.190]
Oct  2 12:43:25 ivanov-sz1 postfix/smtpd-sasl[11234]: warning: 
unknown[167.241.194.190]: SASL LOGIN authentication failed

Для проверки беру делаю
# service mysqld stop
И результат не изменяется. Могу ли я из этого сделать вывод что эта 
sasl2 не лезет в MySQL а отправляется в свою BerkleyDB?
Если это так, то как её убедить всё-таки лезть в MySQL?

    Сергей.

Re: [sisyphus] help sasl2 postfix-2(deadalus)

[sergey ivanov]

sergey ivanov wrote:

> Alexei Takaseev wrote:
>
>> On Thu, 02 Oct 2003 11:58:05 -0400
>> sergey ivanov <seriv@parkheights.dyndns.org> wrote:
>>
>>  
>>
>>> [skip]
>>> No such file or directory
>>> Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: warning: SASL 
>>> authentication problem: unable to open Berkeley db /etc/sasl2/sasldb2:
>>> [skip]  
>>
>>
>> Нужно создать файл /var/spool/postfix/etc/sasl2/sasldb, для этого можно
>> скопировать его из каталога /etc/sasl2 а можно просто нулевой длины его
>> сделать (я именно так и поступил). Тут дело не совсем в postfix'е, тут
>> еще и SASL2 свою лепту вносит, именно она не производит авторизацию
>> из-за отсуствия этого файлика.
>>
>>  
>>
> [skip]
> Для проверки беру делаю
> # service mysqld stop
> И результат не изменяется. Могу ли я из этого сделать вывод что эта 
> sasl2 не лезет в MySQL а отправляется в свою BerkleyDB?
> Если это так, то как её убедить всё-таки лезть в MySQL?
>
>    Сергей.

Извиняюсь, был неправ. В логах MySQL (/var/lib/mysql/log/queries) 
увидел, что sasl2 таки обращается к MySQL, но почему-то пытается это 
делать без пароля:
------
031002 13:06:59      19 Connect     Access denied for user: 
'postfix@localhost.localdomain' (Using password: NO)
                     20 Connect     Access denied for user: 
'postfix@localhost.localdomain' (Using password: NO)
                     21 Connect     Access denied for user: 
'postfix@localhost.localdomain' (Using password: NO)
                     22 Connect     Access denied for user: 
'postfix@localhost.localdomain' (Using password: NO)

    Так что теперь опять возникет вопрос, что не так в 
/usr/lib/sasl2/smtpd.conf:
------
# cat /usr/lib/sasl2/smtpd.conf
allowplaintext: yes
sasl_pwcheck_method: auxprop
mysql_user: postfix
mysql_password: postfix
mysql_hostnames: ivanov-sz1.gtedc.gte.com
mysql_database: postfix
mysql_statement: select password from mailbox where username='%u@%r'
mysql_verbose: yes

    Сергей.

Re: [sisyphus] help sasl2 postfix-2(deadalus)

[sergey ivanov]

sergey ivanov wrote:

> sergey ivanov wrote:
>
>> Alexei Takaseev wrote:
>>
>>> On Thu, 02 Oct 2003 11:58:05 -0400
>>> sergey ivanov <seriv@parkheights.dyndns.org> wrote:
>>>
>>>  
>>>
>>>> [skip]
>>>> No such file or directory
>>>> Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: warning: SASL 
>>>> authentication problem: unable to open Berkeley db /etc/sasl2/sasldb2:
>>>> [skip]  
>>>
>>>
>>>
>>> Нужно создать файл /var/spool/postfix/etc/sasl2/sasldb, для этого можно
>>> скопировать его из каталога /etc/sasl2 а можно просто нулевой длины его
>>> сделать (я именно так и поступил). Тут дело не совсем в postfix'е, тут
>>> еще и SASL2 свою лепту вносит, именно она не производит авторизацию
>>> из-за отсуствия этого файлика.
>>>
>>>  
>>>
>> [skip]
>> Для проверки беру делаю
>> # service mysqld stop
>> И результат не изменяется. Могу ли я из этого сделать вывод что эта 
>> sasl2 не лезет в MySQL а отправляется в свою BerkleyDB?
>> Если это так, то как её убедить всё-таки лезть в MySQL?
>>
>>    Сергей.
>
>
> Извиняюсь, был неправ. В логах MySQL (/var/lib/mysql/log/queries) 
> увидел, что sasl2 таки обращается к MySQL, но почему-то пытается это 
> делать без пароля:
> ------
> 031002 13:06:59      19 Connect     Access denied for user: 
> 'postfix@localhost.localdomain' (Using password: NO)
>                     20 Connect     Access denied for user: 
> 'postfix@localhost.localdomain' (Using password: NO)
>                     21 Connect     Access denied for user: 
> 'postfix@localhost.localdomain' (Using password: NO)
>                     22 Connect     Access denied for user: 
> 'postfix@localhost.localdomain' (Using password: NO)
>
>    Так что теперь опять возникет вопрос, что не так в 
> /usr/lib/sasl2/smtpd.conf:
> ------
> # cat /usr/lib/sasl2/smtpd.conf
> allowplaintext: yes
> sasl_pwcheck_method: auxprop
> mysql_user: postfix
> mysql_password: postfix
> mysql_hostnames: ivanov-sz1.gtedc.gte.com
> mysql_database: postfix
> mysql_statement: select password from mailbox where username='%u@%r'
> mysql_verbose: yes
>
>    Сергей.

Неправильно было название, mysql_password.
Должно быть mysql_passwd.
Это можно было прочесть только в исходниках mysql плагина для sasl2. 
Причем эти исходники apt не может найти:
$ apt-get source libsasl2-plugin-mysql
Reading Package Lists... Done
Building Dependency Tree... Done
Need to get 1465kB of source archives.
Get:1 ftp://ftp.altlinux.com i586/classic cyrus-sasl2 2.1.15-alt5 (srpm) 
[1465kB]
Err ftp://ftp.altlinux.com i586/classic cyrus-sasl2 2.1.15-alt5 (srpm)
  Unable to fetch file, server said 'Failed to open file.  '
Failed to fetch 
ftp://ftp.altlinux.com/pub/distributions/ALTLinux/Sisyphus/i586/../SRPMS.classic/cyrus-sasl2-2.1.15-alt5.src.rpm  
Unable to fetch file, server said 'Failed to open file.  '
E: Failed to fetch some archives.
   
    Сергей.

Re: [sisyphus] help sasl2 postfix-2(deadalus)

[vic ismakaev]

3 Октябрь 2003 00:56, sergey ivanov написал:
> sergey ivanov wrote:
> > sergey ivanov wrote:
> >> Alexei Takaseev wrote:
> >>> On Thu, 02 Oct 2003 11:58:05 -0400
> >>>
> >>> sergey ivanov <seriv@parkheights.dyndns.org> wrote:
> >>>> [skip]
> >>>> No such file or directory
> >>>> Oct  2 11:47:01 ivanov-sz1 postfix/smtpd-sasl[9338]: warning: SASL
> >>>> authentication problem: unable to open Berkeley db /etc/sasl2/sasldb2:
> >>>> [skip]
> >>>
> >>> Нужно создать файл /var/spool/postfix/etc/sasl2/sasldb, для этого можно
> >>> скопировать его из каталога /etc/sasl2 а можно просто нулевой длины его
> >>> сделать (я именно так и поступил). Тут дело не совсем в postfix'е, тут
> >>> еще и SASL2 свою лепту вносит, именно она не производит авторизацию
> >>> из-за отсуствия этого файлика.
> >>
> >> [skip]
> >> Для проверки беру делаю
> >> # service mysqld stop
> >> И результат не изменяется. Могу ли я из этого сделать вывод что эта
> >> sasl2 не лезет в MySQL а отправляется в свою BerkleyDB?
> >> Если это так, то как её убедить всё-таки лезть в MySQL?
> >>
> >>    Сергей.
> >
> > Извиняюсь, был неправ. В логах MySQL (/var/lib/mysql/log/queries)
> > увидел, что sasl2 таки обращается к MySQL, но почему-то пытается это
> > делать без пароля:
> > ------
> > 031002 13:06:59      19 Connect     Access denied for user:
> > 'postfix@localhost.localdomain' (Using password: NO)
> >                     20 Connect     Access denied for user:
> > 'postfix@localhost.localdomain' (Using password: NO)
> >                     21 Connect     Access denied for user:
> > 'postfix@localhost.localdomain' (Using password: NO)
> >                     22 Connect     Access denied for user:
> > 'postfix@localhost.localdomain' (Using password: NO)
> >
> >    Так что теперь опять возникет вопрос, что не так в
> > /usr/lib/sasl2/smtpd.conf:
> > ------
> > # cat /usr/lib/sasl2/smtpd.conf
> > allowplaintext: yes
> > sasl_pwcheck_method: auxprop
> > mysql_user: postfix
> > mysql_password: postfix
> > mysql_hostnames: ivanov-sz1.gtedc.gte.com
> > mysql_database: postfix
> > mysql_statement: select password from mailbox where username='%u@%r'
> > mysql_verbose: yes
> >
> >    Сергей.
>
> Неправильно было название, mysql_password.
> Должно быть mysql_passwd.
> Это можно было прочесть только в исходниках mysql плагина для sasl2.
> Причем эти исходники apt не может найти:
> $ apt-get source libsasl2-plugin-mysql
> Reading Package Lists... Done
> Building Dependency Tree... Done
> Need to get 1465kB of source archives.
> Get:1 ftp://ftp.altlinux.com i586/classic cyrus-sasl2 2.1.15-alt5 (srpm)
> [1465kB]
> Err ftp://ftp.altlinux.com i586/classic cyrus-sasl2 2.1.15-alt5 (srpm)
>   Unable to fetch file, server said 'Failed to open file.  '
> Failed to fetch
> ftp://ftp.altlinux.com/pub/distributions/ALTLinux/Sisyphus/i586/../SRPMS.cl
>assic/cyrus-sasl2-2.1.15-alt5.src.rpm Unable to fetch file, server said
> 'Failed to open file.  '
> E: Failed to fetch some archives.
Все sasl2 либы собираются из одного исходника - cyrus-sasl2-xxx.src.rpm.
В сизифе лежит уже alt5.1

-- 
С уважением
Виктор В Исмакаев

Re: [JT][sisyphus] help sasl2 postfix-2(deadalus) и LDAP

[Viktor S. Grishchenko]

Кстати. Просто так, для поддержания разговора, пока свежо в памяти.

Для тех, кто виртуальных почтовых пользователей держит в LDAP, существует 
довольно большое количество комбинаций обеспечения SASL для smtp.

Для SASL2 это pam_ldap (только LOGIN/PLAIN из-за saslauthd), LDAP через 
saslauthd (аналогично, протокол saslauthd не позволяет challenge/response 
auth), а также два-три варианта патчей, добавляющих auxprop-плугин для LDAP 
(один из них поставляется в openldap/contrib на правах proof of concept).

Также небезынтересно, что разработчики SASL мечтают о некоем auxpropd, который 
действовал бы по принципу плугинов auxprop, но, как видно, был бы 
универсальным демоном (вида saslauthd/courier-authdaemon). Пока только 
мечтают, хотя какой-то друг из Sun даже подарил какие-то исходники.

Я остановился на патче от Pascal Gienger: http://pgienger.de/postfix/ 
(первоначальный автор Simon Loader), поскольку известно, что кое-где он и 
правда работает довольно давно.

---

		Виктор С. Грищенко