DNS & MAIL Administration mit BIND und Postfix

Transkript

1 WE CERTIFIED WEB ADMINISTRATOR I DNS & MAIL Administration mit BIND und Postfix Offizielles Curriculum des Europäischen Webmasterverbandes

2

3 WE CERTIFIED WEB ADMINISTRATOR I DNS & MAIL Administration mit BIND und Postfix Art.-Nr Versionsnr vom Autor: Dorian Karnbaum, Heiko Marr webmasters akademie Nürnberg GmbH, Nürnberg, Germany Das vorliegende Schulungsskript ist urheberrechtlich geschützt. Alle Rechte vorbehalten. Die Verwendung der Texte und Abbildungen, auch auszugsweise, ist ohne schriftliche Genehmigung der webmasters akademie Nürnberg GmbH urheberrechtswidrig und daher strafbar. Dies gilt insbesondere für die Vervielfältigung, Übersetzung oder Verwendung in elektronischen Systemen sowie für die Verwendung in Schulungsveranstaltungen. Die Informationen in diesem Schulungsskript wurden mit größter Sorgfalt erarbeitet. Trotzdem können Fehler nicht vollständig ausgeschlossen werden. Autoren und Herausgeber übernehmen keine juristische Verantwortung oder irgendeine Haftung für eventuell verbliebene fehlerhafte Angaben und deren Folgen.

4

5 Inhaltsverzeichnis 1 Allgemeine Einführung Allgemeine Vorbereitungen zum Lehrgang Voraussetzungen Einrichten der Arbeitsumgebung Umgang mit diesem Skript Einführung in die DNS Administration Begriffsdefinition DNS Funktionsweise des DNS Domain-Namensraum Nameserver Resolver DNS-Protokoll Ablauf einer DNS-Abfrage Informationenen über Domains mit whois Programme zur DNS-Anfrage Resource Records host dig DNS-Administration mit BIND Installation und Starten von BIND LOG-Dateien und Fehlersuche Globale Konfiguration /etc/bind/named.conf /etc/bind/named.conf.default-zones /etc/bind/named.conf.options /etc/bind/named.conf.local Kommentare in BIND Angabe einer Zone Zonen-Dateien Master File Direktiven Resource Records Weitere Namen für eine IP-Adresse: Canonical Names Umgekehrte Namensauflösung: Reverse Lookup Bestimmung der Zone Zone-Eintrag in der Datei /etc/bind/named.conf.local Aufbau der Zonen-Datei für Reverse Lookup Weitere Möglichkeiten DNS Round Robin DNS-Spoofing Weitere Informationen Internet RFC Mailsystem mit Postfix vorbereiten & installieren Mail-Protokolle Das SMTP Protokoll Das UUCP Protokoll Postfix

6 4.3 Das Konzept von Postfix Voraussetzungen für den Betrieb von Postfix Hostname Verbindung Systemzeit Syslog Namensauflösung (DNS) Installation von Postfix Grund-Konfiguration von Postfix Start der Konfiguration Hostname für SMTP-Banner setzen myhostname mydomain Domains (Hostnamen) setzen, für die Mails akzeptiert werden sollen Domain für ausgehende Nachrichten setzen Postfix die Weiterleitung von s aus Ihrem Netzwerk erlauben (relaying) mynetworks mynetworks_style Mails in eine andere Mailbox weiterleiten Mailboxformat einstellen Mbox Maildir Der Aufbau von Postfix Funktionsweise Die wichtigsten Postfix Daemons Die Postfix Queue maps Restrictions in Postfix Grundlegendes zu Restrictions Restriction Defaults Relaying RFC-Konformität verlangen smtpd_helo_required smtpd_helo_restrictions reject_non_fqdn_hostname reject_invalid_hostname smtpd_sender_restrictions reject_non_fqdn_sender reject_unknown_sender_domain reject_unverified_sender address_verify_map address_verify_negative_cache smtpd_recipient_restrictions reject_unknown_recipient_domain reject_non_fqdn_recipient Ausnahmeaccounts zum Zweck der RFC-Konformität Ablaufreihenfolge für RFC-Restrictions Antispam mit Postfix Sich vor offensichtlichen Fälschungen schützen check_helo_access

7 7.2 DNS Blacklists verwenden Realtime Blacklisten (RBL s) Right-Hand-Side-Blacklists (RHSBL s) Whitelists erstellen Mailserver für mehrere Domains mit Postfix Einführung Virtual Mailbox Domains setzen Virtuelle Mailbox Domainnamen erstellen Den Mailbox-Besitzer festlegen Hauptverzeichnis für die Mailboxen erstellen Den Empfängern eine Mailbox zuweisen DOVECOT für IMAP4 und POP Was ist Dovecot? Der Unterschied zwischen IMAP und POP POP IMAP Dovecot SASL Dovecot installieren SASL in Postfix aktivieren smtpd_sasl_auth_enable smtpd_sasl_type smtpd_sasl_path permit_sasl_authenticated Dovecot konfigurieren protocols disable_plaintext_auth mail_location auth default Debugging TLS für Postfix & Dovecot Funktionsweise von SSL/TLS Sicherheitszertifikat erstellen OpenSSL Schlüssel erzeugen Zertifikat erzeugen SSL/TLS in Postfix aktivieren SSL/TLS in Dovecot aktivieren Lösungen Index

8

9 5.1 START DER KONFIGURATION 49 5 Grund- Konfiguration von Postfix In dieser Lektion lernen Sie: wie Sie Postfix für eine Domain korrekt konfigurieren. wie Postfix aufgebaut ist und funktioniert. 5.1 Start der Konfiguration Postfix hat mehrere Konfigurationsdateien. Die Hauptkonfigurationsdatei erwartet Postfix unter /etc/postfix/main.cf, mit der wir uns zuerst beschäftigen wollen. Da Sie bei der Installation von Postfix»No configuration«ausgewählt haben, müssen Sie diese Datei erst neu anlegen. root@gollum ~ # touch /etc/postfix/main.cf Um Postfix starten zu können, müssen Sie zunächst einen Befehl ausführen, auf den ich zu einem späteren Zeitpunkt zurückkommen werde. root@gollum ~ # newaliases Mit diesem Befehl wird eine Datenbank-Datei erstellt, welche Postfix zum Betrieb benötigt. 5.2Hostname für SMTP-Banner setzen Wie Sie schon in den vorherigen Kapiteln erfahren haben, benötigt Postfix einen FQDN, mit dem er sich bei anderen Mailservern oder Clients vorstellt. Dies geschieht im sog. SMTP-Banner mit der Variable: myhostname Gesetzt wird der Wert, indem Sie die Datei /etc/postfix/main.cf um folgende Einträge ergänzen: 1 smtpd_banner = $myhostname ESMTP $mail_name (gollum) 2 myhostname = mail.gollum.webmasterkurse.de Listing 5-1: myhostname Wie Sie sehen können, setzt sich der String des SMTP-Banners aus der Variablen $myhostname und $mail_name zusammen. Mit diesem SMTP-Banner stellt sich der Mailserver vor. In $mail_name schreibt Postfix sich zunächst selbst ein. Sie können diese Variable auch neu zuweisen, wenn Sie möchten. Es besteht jedoch keine Notwendigkeit dafür. Welche Variablen noch von Haus aus gesetzt sind, können Sie mit dem Shell-Befehl: root@gollum ~ # postconf abfragen. Erschrecken Sie nicht, das sind eine ganze Menge. Einige davon werden Sie in diesem Skript wiederfinden. Aber zurück zum Thema.

10 50 5 GRUND-KONFIGURATION VON POSTFIX Eine weitere Besonderheit stellt Ihnen Postfix noch bereit: Postfix kann aus der Variablen $myhostname die Variable $mydomain automatisch ausfiltern. Postfix entfernt einfach alles von links bis zum ersten Punkt des Hostnamens. Was übrig bleibt, wäre in diesem Fall gollum.webmasterkurse.de die Domain mydomain Alternativ zu myhostname können Sie auch mydomain setzen. Diese Alternative ist sehr hilfreich, wenn Sie eine Konfiguration auf mehreren Rechnern anwenden möchten. 3 mydomain = gollum.webmasterkurse.de Listing 5-2: mydomain Falls dieser Eintrag gesetzt ist, kann Postfix myhostname aus dem Rückgabewert des Shell-Befehls uname -n 12 und mydomain zusammensetzen. Testen Sie doch einmal, was uname -n auf Ihrem System ausgibt. Sie werden feststellen, es ist nicht unbedingt das, was Sie als Hostnamen für Ihren Mailserver verwenden möchten, zumal Sie in Ihrer DNS-Konfiguration bereits einen fixen Hostnamen angegeben haben. Bemerken Sie bereits die Zusammenhänge? Dennoch ist es sinnvoll mydomain zu setzen, um mydomain für andere Konfigurationsparameter innerhalb der main.cf als Wert zu verwenden. Um alle Änderungen zu übernehmen, müssen Sie Ihren Postfix-Daemon neu starten: root@gollum ~ # /etc/init.d/postfix restart Übung Ergänzen Sie Ihre main.cf um das SMTP-Banner sowie die Variable $myhostname und $mydomain. Verbinden Sie sich lokal per Netcat (nc localhost 25) mit Ihrem Mailserver und überprüfen Sie, wie Ihr Mailserver sich meldet. Beenden Sie die Sitzung mit quit. 5.3 Domains (Hostnamen) setzen, für die Mails akzeptiert werden sollen Um festzulegen, für welchen Host oder welche Domain Postfix s annimmt, verwenden Sie den Parameter mydestination. Die Standardwerte, die Postfix verwendet, wenn Sie den Parameter mydestination nicht angegeben haben sind: $myhostname, localhost.$mydomain, localhost. Sehen wir uns dieses Beispiel in der Konfiguration ausgeschrieben an: 4 mydestination = $myhostname, localhost.$mydomain, localhost Listing 5-3: mydestination In vielen Fällen, gerade bei vielen Parametern, ist es notwendig, die einzelnen Parameter nicht nebeneinander zu schreiben, sondern untereinander. Postfix ignoriert innerhalb der Konfiguration sämtlichen»whitespace 13 «, somit können Sie eine übersichtlichere Konfiguration schreiben. Selbstverständlich ist es auch möglich, für eine andere Domain oder Hostnamen s anzunehmen. Stellen Sie sich vor, Sie verwalten auf Ihrem Root-Server mehrere Domains z.b.: meinetolleseite.de, einenochtollereseite.de und dieallerbesteseite.de, dann möchten Sie sicherlich nur einen Mailserver konfigurieren, der sämtlichen verkehr verwaltet. Es besteht hier die Möglichkeit, alle Domains anzugeben, für die Sie tatsächlich s annehmen möchten. Der erweiterte Code sieht dann folgendermaßen aus: 12. uname -n gibt den Netzwerknamen des Rechners zurück. Sehen Sie sich doch mal die man Page von uname an. 13. Als Whitespace (deutsch: Leeraum) gelten Tabulatoren, Leerzeichen und Zeilenumbrüche.

11 5.4 DOMAIN FÜR AUSGEHENDE NACHRICHTEN SETZEN 51 4 mydestination = $myhostname, 5 $mydomain, 6 localhost.$mydomain, 7 localhost, meinetolledomain.de, 10 einenochtolleredomain.de, 11 dieallerbestedomain.de Listing 5-4: mydestination mit Zeilenumbruch Haben Sie in Zeile 8 bemerkt, wie die Parameter zusammengesetzt werden? Hier wird deutlich, wie Sie die gesetzten Variablen in der Konfiguration wiederverwenden können. Achten Sie jedoch darauf, auch die Standardwerte anzugeben. Sobald Sie einen Parameter in der Konfiguration angeben, wird der Standardwert (default) mit den von Ihnen gesetzten Werten überschrieben. Übung Ergänzen Sie die Datei /etc/postfix/main.cf um den Parameter mydestination und geben Sie den Hostnamen für eingehende s frei. Verwenden Sie hierfür Variablen. 2. Überprüfen Sie die Konfiguration von mydestination auf der Kommandozeile. Verwenden Sie hierfür den Shell-Befehl postconf a. Syntax: postconf mydestination. Vergessen Sie nicht, die Konfiguration Ihres Mailservers neu einzulesen. a. Sehen Sie sich doch mal die man-page von postconf an. 5.4 Domain für ausgehende Nachrichten setzen Wenn ein Dienst (z.b.apache) eine -Nachricht versendet, verwendet dieser statt einer vollständigen Adresse nur seinen Usernamen, mit dem er im System registriert ist. Dies würde beim Apache-Webserver z. B.»www«oder»www-data«sein. Um nun eine vollwertige Adresse für den User zu erstellen, kann Postfix den Usernamen um folgenden Parameter ergänzen: myorigin 12 myorigin = $mydomain Listing 5-5: myorigin Sie erkennen vielleicht bereits hier eine kleine Problematik, die entstehen kann, wenn Sie statt $mydomain, $myhostname verwenden. In obigen Fall würde, wenn eine vom Apache-Webserver gesendet wird, die Absenderadresse»www-data«zu»www-data@gollum.webmasterkurse.de«. Wäre myorigin auf $myhostname gesetzt, würde aus»www-datawww-data@mail.gollum.webmasterkurse.de«. Übung Ergänzen Sie Ihre Postfixkonfiguration um den Parameter myorigin und starten Sie Ihren Mailserver neu. 2. Senden Sie sich mit dem Komandozeilenbefehl mail eine an Ihre persönliche Mailadresse: echo "test" mail -s test ihre@ -adresse.de 3. Sehen Sie im Log-File von Postfix nach, ob und wie die Nachricht versendet wurde. Hat es geklappt? Dann sollte die Ausgabe in Ihrem Log-File etwa so aussehen:

12 52 5 GRUND-KONFIGURATION VON POSTFIX 1 Dec 12 16:04:59 gollum postfix/pickup[3559]: 9E287EE1B8: uid=0 from=<root> 2 Dec 12 16:04:59 gollum postfix/cleanup[3587]: 9E287EE1B8: messageid=< e287ee1b8@mail.gollum.webmasterkurse.de> 3 Dec 12 16:04:59 gollum postfix/qmgr[3560]: 9E287EE1B8: from=<root@golum.webmasterkurse.de>, size=468, nrcpt=1 (queue active) 4 Dec 12 16:05:00 gollum postfix/smtp[3598]: 9E287EE1B8: to=<ihre@ adresse.de>, relay=mx1.webmasters.de[ ]:25, delay=0.47, delays=0/0.01/0.03/0.43, dsn=2.0.0, status=sent ( Ok: queued as 0A C) 5 Dec 12 16:05:00 gollum postfix/qmgr[3560]: 9E287EE1B8: removed 6 Listing 5-6: Die Datei /var/log/mail.log nach Senden der Nachricht Sie sehen in Zeile 1 den originalen Absender der Nachricht und in Zeile 3, wie dem Benutzer root die Domain aus $myorigin angehängt wurde. 5.5 Postfix die Weiterleitung von s aus Ihrem Netzwerk erlauben (relaying) Open Relays sind der Alptraum eines jeden Webmasters - also auch von Ihnen. Von Haus aus ist Postfix sicher gegenüber relaying. Im Allgemeinen versteht man unter relaying bei Mailservern das Weiterleiten von s. Lassen Sie mich Ihnen den Begriff relaying anhand eines Szenarios verdeutlichen: Sie haben Ihren Mailserver aufgesetzt und für Ihre Domain konfiguriert. Jetzt verbindet sich ein anderer Host mit Ihrem Mailserver auf Port 25. Dies kann ein anderer Server sein, auf dem irgend ein MTA läuft (Sie wissen noch, was MTA bedeutet?). Das SMTP-Protokoll dieser Verbindung sieht folgendermaßen aus: HELO spamhost.spamschleuder.de 250 mail.ihre-domain.de MAIL FROM:<spammer@spamschleuder.de> 250 ok RCPT TO:<hans@irgendwo.de> 250 ok Listing 5-7: relay Fällt Ihnen etwas auf? Natürlich, hans@irgendwo.de wurde als Empfänger akzeptiert und Ihr Mailserver leitet nun diese an den Empfänger weiter, obwohl Sie nicht von Ihrem Mailserver kam, sondern von spamhost.spamschleuder.de. Ok, für einen Empfänger mag das für Sie vielleicht noch akzeptabel sein, stellen Sie sich aber vor, in der Empfängerliste stehen 2000 oder gar Adressen? Sie erkennen das Problem? Aus diesem Beispiel wird klar, in welchem Fall ein Mailserver ein Open Relay ist; und zwar immer dann, wenn beliebige Hosts an beliebige Empfänger senden können. Keine Angst, Sie können aufatmen. Postfix gibt als»default«nur s von IP-Adressen aus dem eigenen Netzwerk weiter. Diese erkennt Postfix, indem es die Ausgabe des Shell-Befehls ifconfig überprüft. Zur Konfiguration von Postfix stehen Ihnen zwei Methoden zur Verfügung, diese Einschränkung aufzuheben, zu erweitern, oder weiter einzuschränken mynetworks Mit diesem Parameter bestimmen Sie die Netzwerke, für die relaying erlaubt ist.

13 5.6 MAILS IN EINE ANDERE MAILBOX WEITERLEITEN mynetworks = /8, /28 Listing 5-8: mynetworks In meinem Beispiel sind die»default«-werte eingetragen worden, die Sie mit dem Befehl: root@gollum ~ # postconf mynetworks herausfinden können mynetworks_style Drei verschiedene Werte können Sie diesem Parameter übergeben. 14 mynetworks_style = class Listing 5-9: class Mit class erweitert Postfix die Weitergabeerlaubnis auf komplette IP-Netzwerkklassen (A/B/C), für die der Server konfiguriert wurde. Hätten Sie, wie in meinem Fall, die IP-Adresse , würde das komplette Klasse-C Netz ( /24) von Postfix als vertrauenswürdig eingestuft, also auch Nachrichten z. B. von den IP-Adressen mynetworks_style = subnet Listing 5-10: subnet Im Falle von subnet erlaubt Postfix relaying für ein komplettes Subnetz. Im Beispiel von /29 wären dies die IP-Adressen von bis In meinem obigen Beispiel ( /32) ist dies nur die IP-Adresse selbst. 14 mynetworks_style = host Listing 5-11: host Verwenden Sie host, vertraut Postfix exakt den IP-Adressen, die für diesen Rechner vergeben sind. In meinem Fall wären dies die IP-Adressen und Mails in eine andere Mailbox weiterleiten Postfix versendet, falls nicht anders konfiguriert, s an alle lokalen User direkt, auch an root. Dennoch vergibt Postfix keine Root-Rechte an externe Programme. Das Problem: Ein externes Programm wie z.b. Dovecot o.ä. kann nicht auf die Mailbox von root zugreifen, um die s abzurufen, noch können Sie sich von extern mit einem Mailclient an dem Mailserver anmelden. Den Ablauf der Anmeldung und die Verwendung eines LDA s (Local Delivery Agents) werden wir zu einem anderen Zeitpunkt im Skript noch genauer besprechen. Natürlich können Sie auch andere Weiterleitungen konfigurieren z. B. von dnsadmin@gollum.webmasterkurse.de zu admin@gollum.webmasterkurse.de. Sie konfigurieren die Weiterleitungen in der Datei: /etc/aliases Um eine Weiterleitung einzurichten, verwenden Sie folgende Syntax: <username-empfänger>: <username-weiterleitung> oder <username-empfänger>: <username@example.com> 1 # /etc/aliases 2 mailer-daemon: postmaster

14 54 5 GRUND-KONFIGURATION VON POSTFIX 3 postmaster: root 4 nobody: root 5 hostmaster: root 6 usenet: root 7 news: root 8 webmaster: root 9 www: root 10 ftp: root 11 abuse: root 12 noc: root 13 security: root 14 root: benutzername Listing 5-12: /etc/aliases Lassen Sie uns kurz das Listing 5-12:»/etc/aliases«analysieren. Die erste Zeile ist nur ein Kommentar, der vom System gesetzt wurde. Auch Zeile zwei ist bereits eingetragen. Ich habe nur Zeile 14 ergänzt, in der ich s vom Benutzer root an den User benutzername weiterleite. Verfolgen wir nun, was in dieser Datei passiert: postmaster wird auf root gemappt und root wiederum auf benutzername, d.h. alle Nachrichten für postmaster gehen an benutzername. Erzeugen Sie keine Schleife. Falls Sie im obigen Beispiel benutzername auf postmaster mappen würden, käme keine Nachricht, weder von benutzername oder root, noch von postmaster, jemals beim Empfänger an. Eine Kleinigkeit fehlt uns noch. Sie müssen für Postfix noch eine Index-Version dieser Datei erzeugen, also etwas ähnliches wie eine Tabelle. Dies geschieht in der Shell mit dem Befehl: root@gollum ~ # postalias hash:/etc/aliases oder, was Sie bereits kennengelernt hatten: root@gollum ~ # newaliases Beide Möglichkeiten erzeugen eine Datei namens /etc/aliases.db. Die Datei muss nach jeder Änderung der /etc/aliases neu erzeugt werden. Postfix kann mit solchen indizierten Dateien viel schneller arbeiten. Es ist also eine Performancefrage, ob Sie indizierte Dateien verwenden oder nicht. Übung Erstellen Sie folgende Weiterleitungen: Vom Benutzer dnsadmin zu root und vom Benutzer root zu Ihrer Adresse 2. Senden Sie eine an den Benutzer root Ihres Servers und prüfen Sie, ob die Nachricht bei Ihrer Adresse ankommt. 3. Sehen Sie sich auch das Logfile an, um zu sehen, was an dieser Stelle passiert (ist) a. a. Findige Administratoren verwenden 2 Konsolen, um Logfiles in Echtzeit zu verfolgen.

15 5.7 MAILBOXFORMAT EINSTELLEN Mailboxformat einstellen Mbox Standardmäßig läuft Postfix mit dem Mailboxformat mbox. Hierbei werden alle Nachrichten, wenn sie in die Mailbox ausgeliefert werden, als Text an eine einzige Datei (~/mbox) angehängt. Diese befindet sich unter /var/mail/benutzename des jeweiligen Users. Übung Löschen Sie in Ihrer /etc/aliases den Eintrag für die Weiterleitung von root an Ihre - Adresse. 2. Vergessen Sie nicht, Postfix neu zu starten, damit die Änderungen wirksam werden. 3. Senden Sie eine an den Benutzer root Ihres Servers. Sehen Sie sich doch einmal die Datei mbox in /var/mail/root auf Ihrem Server an. Wie Sie vermuten, kann diese Datei, je nach Nachrichtenaufkommen, sehr groß werden. Abhilfe schafft hier ein anderes Mailboxformat, das um einiges komfortabler ist: 5.7.2Maildir Verwenden Sie das Maildir-Format, wird für jede eine eigene Datei angelegt, die je nach Zustand innerhalb des Maildirs in verschiedene Verzeichnisse verschoben wird. Es gibt im Maildir drei Verzeichnisse: tmp Der Prozess, der die Nachricht anliefert, in unserem Falle der LDA (Local Delivery Agent), schreibt die Datei in das tmp Verzeichnis. new Sobald die Datei komplett angekommen ist, wird sie in das Verzeichnis new geschrieben. Alle Nachrichten, die sich in diesem Verzeichnis befinden, werden als neue s angezeigt. cur Abschließend, nachdem die Nachricht gelesen wurde, wird sie noch zum endgültigen Verbleib nach cur verschoben. So viel zur Theorie, jetzt müssen wir das Maildir-Format mit einem Eintrag in die /etc/postfix/main.cf noch aktivieren: 14 home_mailbox = Maildir/ Listing 5-13: main.cf, home_mailbox Zu beachten ist hierbei die Schreibweise. In Listing 5-13:»main.cf, home_mailbox«wird das Maildir im Homeverzeichnis des Benutzers erstellt. Wichtig dabei ist der Schrägstrich»/«hinter Maildir, denn dieser gibt an, dass es sich um ein Maildir-Verzeichnis handelt. Den Namen Maildir sollten Sie aus Kom-

16 56 5 GRUND-KONFIGURATION VON POSTFIX patiblitätsgründen verwenden, da andere Programme, die mit Postfix zusammenarbeiten können, diesen Namen erwarten. Übung Ergänzen Sie Ihre Konfiguration um den Parameter home_mailbox. 2. Senden Sie eine an den Benutzer root Ihres Servers. 3. Prüfen Sie, ob das Maildir-Verzeichnis erstellt wurde und ob die korrekt in die Verzeichnisstruktur kopiert wurde. Glückwunsch! Sie haben jetzt einen lauffähigen Mailserver konfiguriert. Damit Sie aber mit Ihrem Mailserver so umgehen können, wie Sie es vielleicht von Ihrem jetzigen Provider gewohnt sind, sind noch einige Schritte notwendig. Es fehlt uns noch an Überprüfungen (Spamfilter), einem Zugang von Außen und evtl. einem Virenfilter. Um all diese Funktionen einzubauen, sollten wir den Aufbau von Postfix kennen und verstehen lernen. Wir werden in den nächsten Kapiteln auf die wichtigsten Daemons von Postfix eingehen, werden herausfinden, was die sog Queues sind und lernen, wie wir mit maps umgehen bzw. wie Postfix diese verwendet. Beginnen wir zunächst mit dem Aufbau von Postfix: 5.8 Der Aufbau von Postfix Funktionsweise Postfix ist ein sehr»mächtiger«mta. Postfix selbst können Sie sich wie ein Verteilerzentrum eines Briefoder Paketdienstes vorstellen. Es werden Nachrichten von einem Absender (engl.: sender) zu einem Empfänger (engl.: recipient) weitergereicht. Abb. 5-1: Einfache Darstellung der Funktionsweise von Postfix Prägen Sie sich die Begriffe sender und recipient sowie deren Unterschied ein, Sie brauchen sie während der Konfiguration von Postfix ständig. In Abbildung 5-1 sehen Sie eine stark vereinfachte Darstellung der -Behandlung von Postfix. Selbstverständlich kann Postfix viel mehr als nur eine eines Absenders an die eines Empfängers weiterreichen. Es können s von unterschiedlichen Quellen empfangen und auch an viele unterschiedliche Empfänger versandt werden. Bleiben wir doch noch einmal beim realen Briefversand. Sehen Sie sich dazu Abbildung 5-2 an. Es gibt für Sie verschiedene Möglichkeiten, einen Brief aufzugeben. Sie werfen ihn in den Postkasten (SMTP) oder Sie geben den Brief direkt am Postamt ab (sendmail). Vielleicht fallen Ihnen noch einige Methoden ein, wir wollen uns aber jetzt auf diese beiden beschränken. Ihr Postamt wiederum kann einen Brief entweder in ein Postfach legen (local), im eigenen Bezirk verschicken (LMTP), oder an ein anderes Postamt weiterreichen (SMTP). Postfix kann im Gegensatz zu

17 5.8 DER AUFBAU VON POSTFIX 57 Ihrem Postamt noch etwas mehr (pipe), worauf wir später noch näher eingehen werden. Der Vergleich ist vielleicht etwas weit hergeholt, aber er hilft zu verstehen, wie Postfix funktioniert. Abb. 5-2: Ein- und Ausgänge von Postfix Vielleicht wundern Sie sich, ob ich mich wohl in Abbildung 5-2 mit dem Begriff MDA verschrieben hätte. Dies ist nicht der Fall, denn bei einem MDA (Mail Delivery Agent) handelt es sich um Software, die Nachrichten auf verschiedene Empfängermailboxen verteilt, und meist auch eine oder mehrere Möglichkeiten bietet (z.b. POP3 oder IMAP4), die Nachrichten von extern aus der Mailbox zu holen. Die bekanntesten Vertreter sind Courier, Cyrus und Dovecot. Postfix ist also die Zentrale und gibt die Nachrichten intern an die verschiedenen Ausgabestationen weiter. Zusätzlich benötigt Postfix Informationen, die in sog. Maps abgespeichert werden. Eine haben Sie bereits kennengelernt und selbst erstellt: Die Datei /etc/aliases.db. Es gibt noch einiges mehr an Maps, z.b.: transport oder virtual, deren Bedeutung ich Ihnen später erklären werde. Postfix verwendet Maps wie Listen, in denen er nach Zuordnungen sucht. Im tatsächlichen Leben kennen Sie vielleicht folgende Situation: Sie sind umgezogen, und müssen einen Nachsendeantrag stellen, mit dem die Briefe und Pakete, die an Ihre alte Adresse adressiert sind, zu Ihrer neuen Adresse geschickt werden. Dies entspräche bei Postfix der aliases-map. Die Maps werden aber nicht nur dazu verwendet,

18 58 5 GRUND-KONFIGURATION VON POSTFIX den richtigen Empfänger zu erreichen, sondern auch, um sog. restrictions (deutsch: Einschränkungen) festzulegen oder Ausnahmen von solchen. Abb. 5-3: Die Postfix-Maps Sie sehen, Postfix verwaltet nicht nur die s, sondern verarbeitet und überprüft sie auch selbst. Für die Verwaltung und die Verarbeitung verwendet Postfix sog. Daemons (gute Geister), deren Aufgabe es ist, Nachrichten zurückzuweisen, zu verwerfen, lokal zuzustellen, an virtuelle Server weiterzuleiten, zu überprüfen, oder an andere Programme weiterzuleiten. Sehen wir uns jetzt diese Daemons etwas genauer an: 5.8.2Die wichtigsten Postfix Daemons master Beginnen wir mit dem Chef der»postfix-daemonen«- dem master. Er überblickt alle anderen und wartet auf neue Jobs, die er an die untergeordneten Daemons delegiert. Vom master-daemon aus können mehrere Instanzen einzelner untergeordneter Daemons aufgerufen werden. Wie viele pro Service maximal aufgerufen werden, kann selbstverständlich konfiguriert werden. Er hat eine eigene Konfigurationsdatei, die Sie unter /etc/postfix/master.cf finden können. bounce & defer Wenn ein Absender einer Nachricht darüber informiert werden muss, dass eine nicht zugestellt werden kann, sind diese beiden Daemons für diese zuständig. Aufgefordert werden sie dazu vom queue-manager (qmgr). (n)qmgr Der qmgr-daemon verwaltet die Postfix Warteschlange. Er ist das Herz des Postfix Mailsystems. Er verteilt die Aufgaben zu den local-, smtp-, lmtp- und pipe-daemons. Der queue-manager verwaltet eine kleine aktive Warteschlange, die eine begrenzte Anzahl an zuzustellenden Nachrichten enthält. Kann eine Nachricht nicht sofort zugestellt werden, wird sie in die deferred-warteschlange geschoben, um Postfix vor einem»überlaufen«der aktiven Warteschlange und somit des Speichers zu schützen.

19 5.8 DER AUFBAU VON POSTFIX 59 local Der local Daemon ist für den lokalen Mailtransport zuständig. Postfix kann mehrere Instanzen von local gleichzeitig ausführen. virtual Der virtual-daemon wird auch»virtual-delivery agent«genannt. Er ist ein abgespeckter Bruder des local-daemons und liefert exklusiv nur an Mailboxen. Dieser Daemon kann an verschiedene Domains Mails liefern. pipe Der pip er-client ist das Ausgabeinterface zu anderen Transport-Mechanismen. So wird z. B. eine Nachricht in den amavsid 14»gepiped«(umgeleitet), um dort bearbeitet zu werden und anschließend wieder zurück in den queue-manager zu gelangen. smtpd Der smtpd Daemon verwaltet die Kommunikation mit den vernetzten Mail-Clients, die ihre Mails per SMTP-Protokoll an Postfix senden. Der smtpd stellt eine große Anzahl an Überprüfungen zur Verfügung, die den Rest des Postfix-Systems schützen. Dazu zählen z. B.: lokale- oder netzwerkbasierte Blacklists, DNS-Lookups, andere Client-Requests usw. Nachdem eine Nachricht vom smtpd Daemon akzeptiert wurde, leitet er diese an den queue-manager weiter, der dann alle weiteren Aufgaben übernimmt. Er ist sozusagen der Türsteher von Postfix Die Postfix Queue Queue bedeutet nichts anderes als Warteschlange. Stellen Sie es sich wie einzelne Stationen an einem Förderband in der Postfix-Fabrik vor. Nachrichten laufen auf dem Band und werden vom queue-manager für die unterschiedlichsten Aufgaben in Fächer sortiert, von denen sie dann an die entsprechenden Daemons weitergeleitet werden. Diese einzelnen Fächer befinden sich im sog. queue-directory, das Sie standardmäßig im Verzeichnis /var/spool/postfix/ finden. Der Pfad kann aber auch in der Datei /etc/postfix/main.cf verändert werden. Alle Nachrichten bleiben bis zu ihrer endgültigen Zustellung in diesem Verzeichnis. Jede Nachricht in der queue kann nach ihrem Status abgefragt werden: incoming, maildrop, deferred, active, hold oder corrupt maps Maps sind Dateien oder Datenbanken, in denen Postfix nach Informationen sucht. Maps gibt es für vielerlei unterschiedliche Zwecke, aber alle haben eines gemeinsam - ihren Aufbau: Eine»left-hand-side«(LHS, oder key) und eine»right-hand-side«(rhs, oder value). Also links steht der Schlüssel und rechts, mit Whitespace getrennt, der Wert. Im nachfolgenden Listing sehen Sie einige Beispiele, wie Einträge einer Map aussehen können. 1 postmaster: benutzername 2 postmaster@example.com benutzername REJECT 4 spammer@example.com REJECT Listing 5-14: Beispiele von Map-Einträgen Beachten Sie bitte, dass die aufgeführten Einträge in Listing 5-14:»Beispiele von Map-Einträgen«aus verschiedenen Maps kommen und in einer einzigen Datei keinen Sinn ergeben. 14. amavisd oder amavisd-new ist ein Programm, das Virenscanner (Amavis) und Spamfilter (Spamassassin) verwaltet. In diesem Skript werden wir allerdings nicht auf dieses Programm eingehen.

20 INDEX 103 Index A address_verify_map 71 admin-c 19 Antispam 76 A-Record 20, 47 Attachments 61 Authoritative Antworten 32 AXFR 20 B BIND 24, 38 Body 61 bounce & defer 58 C check_helo_access 76 check_recipient_access 73 CNAME 20, 35 cur 55 D daemon.log 25 dig 21 Direktiven 30, 37 DNS 12, 19, 47 DNS-Protokoll 16 DNS-Spoofing 38 Domain-Namensraum 13 DOVECOT 84 Dovecot 84, 87, 92 dovecotpw 89 DUNNO 68 E EHLO 64 Envelope 61 envelope-restrictions 62 F FQDN 13 H Header 61 HELO 64 hint 27 host Hostnamen 13 I ICANN 15 IN-ADDR.ARPA. 36 L Label 13 LDA 53 Load Balancing 38 local 59 M Mailboxformat 55 Maildir 55 Maps 57 maps 59 map-typen 60 master 28, 58 Master-Server 30 Mbox 55 MDA 57 mechanisms 88 Messenger 61 MTA 40 MX 34 MX-Record 20, 34, 47 mydestination 50, 81 mydomain 50 myhostname 49 mynetworks 52 mynetworks_style 53 myorigin 51 N named.conf 26 named.conf.local 29, 37 named.conf.options 28 Nameserver 29 new 55 newaliases 49, 54 Nicht-autoritativer Nameserver 14 NS 34 nslookup 19 NS-Record 19 NTP 45 ntpdate 46 P permit_sasl_authenticated 86 pipe 59 Pointer-Record 20 Port 45 postalias 54 postconf 60 Postfix 43, 47, 56, 76 postmap 83 Primary Nameserver 14 PTR-Record 47 Q qmgr 58 queue-directory 59 R RBL 77 Realtime Blacklists 77 recipient 56 reject_invalid_hostname 67 reject_non_fqdn_hostname 65 reject_non_fqdn_recipient 72