[Sysadmins] saslauthd and postfix

[Sysadmins] saslauthd and postfix

[Alexey Morsov]

[-- Attachment #1: Type: text/plain, Size: 2137 bytes --]

Приветствую.

Что-то у меня не сростается с saslauthd.

Имеем:

поднятый ldap с имеющейся там структурой ну и пользователем.
юзер этот постфиксом через фильтр 
(&(&(objectClass=qmailUser)(mail=%s))(accountStatus=active))
находится.

root@mail ~ # cat /etc/sysconfig/saslauthd
OPTIONS="-a ldap -O /etc/sasl2/saslauthd.conf -m
/var/spool/postfix/var/run/saslauthd"

root@mail ~ # grep ^smtpd_sasl /etc/postfix/main.cf
smtpd_sasl_auth_enable = yes
smtpd_sasl_type = cyrus
smtpd_sasl_security_options = noanonymous
smtpd_sasl_local_domain = $myhostname
smtpd_sasl_authenticated_header = yes

root@mail ~ # cat /etc/postfix/sasl/smtpd.conf
pwcheck_method: saslauthd


root@mail ~ # grep '^l' /etc/sasl2/saslauthd.conf
ldap_servers: ldap://localhost:389
ldap_bind_dn: cn=saslauthd,ou=Daemons,dc=organization,dc=ru
ldap_bind_pw: password
ldap_version: 3
ldap_timeout: 5
ldap_time_limit: 5
ldap_scope: sub
ldap_search_base: ou=MailUsers,dc=organization,dc=ru
ldap_auth_method: custom
ldap_default_realm: organization.ru
ldap_filter = (&(objectClass=qmailUser)(mail=%u@%r)(accountStatus=active))
ldap_debug: 3

после запуска saslauthd

# testsaslauthd -u user@organization.ru -p password
0: NO "authentication failed"

при этом в логе вижу только 
Aug 13 18:25:41 mail saslauthd[11184]: do_auth         : auth failure:
[user=user@organization.ru] [service=imap] [realm=] [mech=ldap] [reason=Unk
nown]

Такое чувство что оно к ldap даже не пытается обратиться.

Что я мог прошляпить ?

-- 
WBR,
Alexey Morsov
программист ЗАО "ИК "Риком-Траст"
Jabber: samurai@www.fondmarket.ru
ALT Linux Team Member

<-- gns has quit ("Я БЮЛХ УНПНЬН, МН МЮДН УЮПД ОНДЙКЧВЮРЭ")
 * raorn никогда бы не подумал, что gns БЮЛХ УНПНЬН да ещё и МН МЮДН УЮПД
   ОНДЙКЧВЮРЭ...

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 489 bytes --]

Re: [Sysadmins] saslauthd and postfix

[Timur Batyrshin]

[-- Attachment #1: Type: text/plain, Size: 2092 bytes --]

On Thu, 13 Aug 2009 18:29:55 +0400
Alexey Morsov wrote:

> root@mail ~ # cat /etc/sysconfig/saslauthd
> OPTIONS="-a ldap -O /etc/sasl2/saslauthd.conf -m
> /var/spool/postfix/var/run/saslauthd"

На всякий случай для гугла замечу: если saslauthd запускается с
нестандартным сокетом, его нужно также и указывать при запуске
testsaslauthd в ключе -f
 
> ldap_default_realm: organization.ru
> ldap_filter =
> (&(objectClass=qmailUser)(mail=%u@%r)(accountStatus=active))
> ldap_debug: 3
> 
> после запуска saslauthd
> 
> # testsaslauthd -u user@organization.ru -p password
> 0: NO "authentication failed"
> 
> при этом в логе вижу только 
> Aug 13 18:25:41 mail saslauthd[11184]: do_auth         : auth failure:
> [user=user@organization.ru] [service=imap] [realm=] [mech=ldap]
> [reason=Unk nown]

Внимательно смотрим ldap_filter и  и логи testsaslauthd. В
данном случае вместо %u подставляется user@organization.ru, вместо %r
подставляется default_realm и поиск будет производиться по фильтру:
...(mail=user@organization.ru@organization.ru)...

Т.е. проверять надо так:

testsaslauthd -u user -p password
(для случая, когда пользователи в настройках почтовика указывают логин
как 'user')


Или так:

testsaslauthd -u user -r organization.ru -p password
(для случая, когда пользователи в настройках почтовика указывают логин
как 'user@organization.ru')


Параметр default_realm в конфиге saslauthd нужен, чтобы для
пользователей домена default_realm проходили оба варианта.
Без него для них будет работать только второй, как и для всех.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 197 bytes --]

Re: [Sysadmins] saslauthd and postfix

[Alexey Morsov]

[-- Attachment #1: Type: text/plain, Size: 2025 bytes --]

On Thu, Aug 13, 2009 at 07:18:42PM +0400, Timur Batyrshin wrote:
> Т.е. проверять надо так:
> 
> testsaslauthd -u user -p password
> (для случая, когда пользователи в настройках почтовика указывают логин
> как 'user')
> 
> 
> Или так:
> 
> testsaslauthd -u user -r organization.ru -p password
> (для случая, когда пользователи в настройках почтовика указывают логин
> как 'user@organization.ru')
> 
> 
> Параметр default_realm в конфиге saslauthd нужен, чтобы для
> пользователей домена default_realm проходили оба варианта.
> Без него для них будет работать только второй, как и для всех.


root@mail ~ # testsaslauthd -u user  -p pass -f /var/spool/postfix/var/run/saslauthd/mux
0: NO "authentication failed"

root@mail ~ # grep realm /etc/sasl2/saslauthd.conf
ldap_default_realm: organization.ru

Aug 14 11:29:00 mail saslauthd: saslauthd[21489] :do_auth         : auth
failure: [user=morsov] [service=imap] [realm=] [mech=ldap]
[reason=Unknown]
Aug 14 11:29:00 mail saslauthd[21489]: do_auth         : auth failure:
[user=morsov] [service=imap] [realm=] [mech=ldap] [reason=Unknown]
Aug 14 11:29:00 mail saslauthd: saslauthd[21489] :do_request      :
response: NO


При этом в логе ldap при этом ничего.

такое ощущение что он игнорирует и конфиг и к ldap даже не пытается
обратится.



-- 
WBR,
Alexey Morsov
программист ЗАО "ИК "Риком-Траст"
Jabber: samurai@www.fondmarket.ru
ALT Linux Team Member

<ab> combr: это реальность. Яндекс сидит на Linux+FreeBSD
<Lost> а гугль на чем?
<thresh> а админы -- на лсд, админить все это

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 489 bytes --]

Re: [Sysadmins] saslauthd and postfix

[Alexey Morsov]

[-- Attachment #1: Type: text/plain, Size: 934 bytes --]

On Thu, Aug 13, 2009 at 07:18:42PM +0400, Timur Batyrshin wrote:
> Параметр default_realm в конфиге saslauthd нужен, чтобы для
> пользователей домена default_realm проходили оба варианта.
> Без него для них будет работать только второй, как и для всех.

Все, кажется разобрался. В фильтре вместо : поставил = :D
Осталось разобрать со сращением сасля с cyrus

-- 
WBR,
Alexey Morsov
программист ЗАО "ИК "Риком-Траст"
Jabber: samurai@www.fondmarket.ru
ALT Linux Team Member

Никакой управляемый UPS не сможет сделать того, что может устроить
пьяный электрик на пару с пьяным сварщиком ;)
		-- vsu in hardware@

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 489 bytes --]