[Sysadmins] SASL авторизация в postfix

[Sysadmins] SASL авторизация в postfix

[Igor Zubkov]

Hi!

Система на базе centos 5 + обновления. Встала задача включить SASL
авторизацию в postfix. И так, сейчас там настроено вот так:
1) postfix берёт всех пользователей из mysql базы
2) dovecot тоже берёт всех пользователей из mysql базы

Вот в эту связку охота добавить SASL. Через cyrus-sasl:
1) поставить pam_mysql
2) настроить pam_mysql что бы он брал пользователей и всё остальное из
mysql базы
3) поставить cyrus-sasl, cyrus-sasl-plain и cyrus-sasl-md5.
4) настроить cyrus-sasl что бы он брал пользователей через pam
(который через pam_mysql берёт пользователей) + для того что бы
виртульные пользователи правильно авторизировались не забываем про -r
в опциях для saslauthd.
5) мелочь в виде chkconfig --level 345 saslauthd on
6) service saslauthd start
7) проверяем работает ли saslauthd -- testsaslauthd -u user@domain.com
-p password -s smtp

Таким образом, сам saslauthd настроен и работает. Теперь надо
настроить postfix что бы он авторизировал пользователей через
saslauthd. Правильно ли я считаю что включение следующих параметров
должно хватить?
1) smtpd_sasl_auth_enable = yes – включаем
2) smtpd_sasl_local_domain = «пусто» -- вроде должно быть пусто, так
как у нас более одно домена для почты.
3) broken_sasl_auth_clients = yes – для кривых клиентов в которых SASL
реализован не правильно (Outgluck?).
4) smtpd_sasl_type = cyrus
5) smtpd_sasl_security_options = noanonymous, noplaintext
6) добавить в smtpd_recipient_restrictions дополнительное условие –
permit_sasl_authenticated.

Я ничего не забыл? Не напутал?

P.S.: $ rpm -q postfix
postfix-2.3.3-2.el5.centos.mysql_pgsql
$

-- 
icesik

Re: [Sysadmins] SASL авторизация в postfix

[Eugene Ostapets]

2008/10/20 Igor Zubkov <igor.zubkov gmail.com>:
> Hi!
>
> 5) smtpd_sasl_security_options = noanonymous, noplaintext
> 6) добавить в smtpd_recipient_restrictions дополнительное условие –
> permit_sasl_authenticated.
>
> Я ничего не забыл? Не напутал?
Хм... Я что-то пропустил и при pam-авторизации нам доступно еще
что-то, кроме plaintext? Если нужно реально авторизовать по
cram-md5/digest-md5 я бы смотрел в сторону прямого обращения sasl в
базу mysql, но не знаю как с этим в centos "из коробки"...


-- 
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru

Re: [Sysadmins] SASL авторизация в postfix

[Igor Zubkov]

[-- Warning: decoded text below may be mangled, UTF-8 assumed --]
[-- Attachment #1: Type: text/plain; charset=GB2312, Size: 1042 bytes --]

20 §à§Ü§ä§ñ§Ò§â§ñ 2008 §Ô. 12:51 §á§à§Ý§î§Ù§à§Ó§Ñ§ä§Ö§Ý§î Eugene Ostapets §ß§Ñ§á§Ú§ã§Ñ§Ý:
>> 5) smtpd_sasl_security_options = noanonymous, noplaintext
>> 6) §Õ§à§Ò§Ñ§Ó§Ú§ä§î §Ó smtpd_recipient_restrictions §Õ§à§á§à§Ý§ß§Ú§ä§Ö§Ý§î§ß§à§Ö §å§ã§Ý§à§Ó§Ú§Ö ¨C
>> permit_sasl_authenticated.
>>
>> §Á §ß§Ú§é§Ö§Ô§à §ß§Ö §Ù§Ñ§Ò§í§Ý? §¯§Ö §ß§Ñ§á§å§ä§Ñ§Ý?
> §·§Þ... §Á §é§ä§à-§ä§à §á§â§à§á§å§ã§ä§Ú§Ý §Ú §á§â§Ú pam-§Ñ§Ó§ä§à§â§Ú§Ù§Ñ§è§Ú§Ú §ß§Ñ§Þ §Õ§à§ã§ä§å§á§ß§à §Ö§ë§Ö
> §é§ä§à-§ä§à, §Ü§â§à§Þ§Ö plaintext? §¦§ã§Ý§Ú §ß§å§Ø§ß§à §â§Ö§Ñ§Ý§î§ß§à §Ñ§Ó§ä§à§â§Ú§Ù§à§Ó§Ñ§ä§î §á§à
> cram-md5/digest-md5 §ñ §Ò§í §ã§Þ§à§ä§â§Ö§Ý §Ó §ã§ä§à§â§à§ß§å §á§â§ñ§Þ§à§Ô§à §à§Ò§â§Ñ§ë§Ö§ß§Ú§ñ sasl §Ó
> §Ò§Ñ§Ù§å mysql, §ß§à §ß§Ö §Ù§ß§Ñ§ð §Ü§Ñ§Ü §ã §ï§ä§Ú§Þ §Ó centos "§Ú§Ù §Ü§à§â§à§Ò§Ü§Ú"...

§£§ã§× §á§â§Ñ§Ó§Ú§Ý§î§ß§à[1]. §±§à§ê§×§Ý §ñ §é§Ú§ä§Ñ§ä§î §Õ§à§Ü§å§Þ§Ö§ß§ä§Ñ§è§Ú§ð §ß§Ñ cyrus-sasl §à §ä§à§Þ §Ü§Ñ§Ü
§ß§Ñ§ã§ä§â§à§Ú§ä§î §é§ä§à §Ò§í §à§ß §Ò§â§Ñ§Ý §Ý§à§Ô§Ú§ß§í §Ú §á§Ñ§â§à§Ý§Ú §á§â§ñ§Þ §Ú§Ù §Ò§Ñ§Ù§í.

[1] http://pam-mysql.sourceforge.net/Documentation/FAQ.php#q5

-- 
icesik

Re: [Sysadmins] SASL авторизация в postfix

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 780 bytes --]

"Igor Zubkov" <igor.zubkov-Re5JQEeQqe8AvxtiuMwx3w@public.gmane.org>
writes:

> Hi!
>
> Система на базе centos 5 + обновления. Встала задача включить SASL
> авторизацию в postfix. И так, сейчас там настроено вот так:
> 1) postfix берёт всех пользователей из mysql базы
> 2) dovecot тоже берёт всех пользователей из mysql базы
>
> Вот в эту связку охота добавить SASL. Через cyrus-sasl:
А почему бы не попробовать добавить SASL через dovecot?
Если мне не изменяет мой склероз оно уже давно поддерживается...

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]

Re: [Sysadmins] SASL авторизация в postfix

[Igor Zubkov]

20 октября 2008 г. 14:08 пользователь Ivan Fedorov написал:
>> Система на базе centos 5 + обновления. Встала задача включить SASL
>> авторизацию в postfix. И так, сейчас там настроено вот так:
>> 1) postfix берёт всех пользователей из mysql базы
>> 2) dovecot тоже берёт всех пользователей из mysql базы
>>
>> Вот в эту связку охота добавить SASL. Через cyrus-sasl:
> А почему бы не попробовать добавить SASL через dovecot?
> Если мне не изменяет мой склероз оно уже давно поддерживается...

Точно! Спасибо за напоминание что в postfix есть поддержка SASL через
dovecot. На стенде я уже так и настроил, вечером буду уже на живом
сервере настраивать.

-- 
icesik