Microsoft Word - qmail概要と設定.doc

Size: px

Start display at page:

Download "Microsoft Word - qmail概要と設定.doc"

ゆめじいいはた
5 years ago
Views:

1 から引用 ( 一部改変 ) qmail サーバの運用と管理術 sendmail から qmail へ進化の最終形は絶滅であるという説をご存じでしょうか複雑になりすぎたシステムは, その複雑さゆえに自己の適応能力が環境の変化に追い付けず, 絶滅の道をたどるといった内容だったと記憶していますメール配送システム (MTA:Mail Transfer Agent) の代名詞であり, インターネット発展の礎ともなった sendmail は, 誕生以来いくたびかの補修と修繕を繰り返し, いままさに進化の最終形にさしかかっているように感じますそこまで大げさではないとしても,sendmail に何らかの変革を望むサーバ管理者は多いのではないのでしょうか ( その変革の 1 つに sendmail 9 があるのだと思います) SPAM 対策や SMTP の不正中継に辟易し, 事有るごとに sendmail に簡易性を求めることも少なくないと思いますセキュリティやバグ対策もしかりですメールユーザー UNIX ユーザーであったインターネット創成期,SPAM というものも存在せず, それどころかインターネット利用者全員が 1 つの互助会に属している良き仲間であったころに誕生した sendmail では, セキュリティをはじめとする多くの要望を満たすことに限界がきていますもちろん, それらをすべて解決することは不可能ではありませんむしろ,sendmail は多くの要望に対応できる柔軟性がありますその範疇は広すぎるくらいです問題は, 解決の手段を得るまでにどれほどの時間を費やさなくてはいけないかということです SPAM や不正中継, セキュリティを考慮しなくてはいけない時代にサーバ管理者となってしまった方が待ち望んでいたもの, それがいまから紹介する qmail です次世代 MTA といわれるものを挙げると, 次の 4 つがあります qmail の公式ページではありません ) Exim Postfix ZMailer

2 新世代 MTA として特に注目されているのが qmail と Postfix です両者とも sendmail を意識したうえで開発された MTA です qmail は sendmail との互換性にこだわらず, 信頼性と性能を追求した成果として,Postfix はなるべく互換を保ちながら,qmail よりも後発だったので qmail からもいいところを吸収した成果として誕生しました Postfix も優れた MTA です sendmail との互換性を主張しつつも,qmail の特徴である Maildir というメールスプール形式を採用し, 活発に開発が続けられていますですが, どうせ sendmail から乗り換えるのなら, あえて互換性にこだわらない潔さをよしとする qmail に触れてみるのもサーバ管理者としての幅を広げると思いますまた,qmail には多くのパッチやツールが用意されていますその中には, いまはやりの Web mail や POP before SMTP, バーチャルドメインメールサービスを実現するためのものもあります MTA 乗り換えのメリットは, 管理者だけでなくサーバを使用するユーザーにももたらされると思います本連載では, 管理者として qmail のインストールや運用を行うにとどまらず, サーバを使用する一般ユーザーも恩恵を受けられるような使用方法を紹介していきます qmail の仕組み qmail は,D. J. Bernstein 氏 ( によって提供されています sendmail を反面教師としている qmail は, 次の点で sendmail と大きく違います 1. sendmail が, メッセージを単一のファイルに結合して全ユーザーが共通のディレクトリを使用する mbox 形式であるのに対し,qmail は各ユーザーのホームディレクトリに 1 つのメッセージを 1 ファイルとして保存する Maildir 形式である 2. sendmail ではメール配送にかかわる処理を 1 つのプロセスで実行しているのに対し, qmail ではメール配送にかかわる処理を複数のプログラムに分割している /var/spool/mail をのぞいてみると, そこには全ユーザーのメッセージがユーザー 1 人につき 1 ファイルで保存されているのが分かりますメールのファイルを見てみると, From や To などが表記されたヘッダ情報があり, 最初のヘッダから次のヘッダの間にメッセージ本体である body が表記されていることに気づくと思います仕切りとなっているヘッダ情報が何らかの理由で壊れると, ほかのメッセージにも影響を与えてしまうことが分かるでしょうメールを保存するのも読み出すのも 1 つのファイルを対象にしているため, 同時に複数の処理が発生して, さらにファイルの排他制御が働いていなければ, ファイルを正常な形に保つのは難しくなります Maildir はそれを最も単純な方法で解決した結果だといえます配送システムに目を向けてみると, sendmail はローカル配信やリモート配信などすべての処理を sendmail という 1 つのプロセスで管理していますきれいな実装ですが, それゆえに sendmail の改変には手間を要します大きなシステムほど, 複雑さも増しますそれなら処理ごとに小さなプログラムに分けてしまった方が効率がよくなる, というのが qmail の

3 発想ですセキュリティホールなどが発見されたとしても, 小さなプログラムごとに問題を片付けることが可能になりますまた,qmail のプログラムは 3 つのグループに分かれており, それぞれのグループは他グループの機能さえも信頼しないという前提で動作しますどこか 1 つのグループが仮に乗っ取られてしまったとしても, ほかの 2 つのグループは乗っ取られてしまったグループからの攻撃にさえ対応できるのですさらに,qmail-1.03 誕生以来, qmail そのものの脆弱性は報告されていません ( もちろん運用を誤ればその保証の限りではありませんが ) qmail の設定コントロールファイルの編集 qmail をインストールしたら, 次に動作に必要な設定を見ていきます /var/qmail/control にはいくつかのファイルが作成されています /var/qmail/control ディレクトリに移動し, emacs などのエディタで編集を行いますそれぞれのファイルに対する必要な項目は次のようになります defaultdomain example.jp to ヘッダなどにドメイン名が省略された場合, 補完されるドメイン名 locals localhost localhost.example.jp host.example.jp example.jp 受信するホスト名ドメイン名 :qmail-send が利用 rcpthosts localhost example.jp.example.jp 受信するホスト名ドメイン名 :qmail-smtpd が利用 me host.example.jp 自サーバの FQDN

4 plusdomain example.jp ドメイン部が + で終わっている場合に付加されるドメイン user@host+ なら user@host.example.jp と置換される(qmal-inject が利用 ) 以上で設定はほぼ終了ですたった 5 つのファイルを編集するだけで最小限の動作が可能で, 不正中継対策も施されます単純すぎて拍子抜けしてしまいましたか? 実際,qmail はメールサーバとして必要最少限の動作を提供するにとどめています例えば, 中継ホストの設定を柔軟に行いたい場合やスプールに対して制限したい場合は, アドオンソフトを使用することになります設定が整ったところで, 起動の準備を行いますまず postmaster,mailer-daemon, root といった重要なアカウントに対する配信の設定です # cd /var/qmail/alias # touch.qmail-postmaster.qmail-mailer-daemon.qmail-root # chmod 644.qmail* これで postmaster,mailer-daemon,root あてのメールは /var/qmail/alias に保存されます sendmail の停止とラッパーすでに sendmail が動作するようになっている場合は,sendmail の動作を止める必要があります # /etc/rc.d/init.d/sendmail stop また, 次からサーバ起動時に sendmail が立ち上がらないように起動スクリプトを外します # mv /etc/rc.d/rc2.d/s80sendmail /etc/rc.d/rc2.d/_s80sendmail # mv /etc/rc.d/rc3.d/s80sendmail /etc/rc.d/rc3.d/_s80sendmail # mv /etc/rc.d/rc5.d/s80sendmail /etc/rc.d/rc5.d/_s80sendmail mail コマンドや CGI スクリプトなどで直接 /usr/lib/sendmail を参照する場合のことを考え, qmail の sendmail ラッパーで置き換えます

5 # cd /usr/sbin # mv sendmail sendmail.dist # chmod 0 sendmail.dist # ln -s /var/qmail/bin/sendmail /usr/sbin/sendmail qmail の動作確認では,qmail サーバを起動してみましょうここで紹介する方法は, 動作を確認するためのものです実際の運用では, 後半で紹介する tcpserver を使った起動方法を使ってください起動スクリプトを用意し, 実行します /var/qmail/boot/home を /var/qmail に rc という名前でコピーします # cp /var/qmail/boot/home /var/qmail/rc # /var/qmail/rc & 次に,/etc/inetd.conf ファイルに次の行を追加して inetd デーモンを再起動します smtp stream tcp nowait qmaild /var/qmail/bin/tcp-env tcp-env /var/qmail/bin/qmail-smtpd もしほかに smtp で始まる行があれば # を行頭に付けてコメントアウトします # /etc/rc.d/init.d/inet restart 以上で動作確認のための準備は完了ですでは, 動作を確認してみましょう ps コマンドでプロセスが実行されているかを確認します # ps -aef grep qmail qmails :54 pts/4 00:00:00 qmail-send qmaill :54 pts/4 00:00:00 splogger qmail root :54 pts/4 00:00:00 qmail-lspawn./mailbox qmailr :54 pts/4 00:00:00 qmail-rspawn qmailq :54 pts/4 00:00:00 qmail-clean 次にメールを出してみましょう # echo to: root@host.example.jp /var/qmail/bin/qmail-inject

6 これで, 空のメールが /var/qmail/alias/ の Mailbox ファイルに届いているはずです # more /var/qmail/alias/mailbox で確認してみましょう Maildir への移行ここで Maildir じゃないの? と疑問に思った方もいると思います動いているプロセスを見ると, 確かに qmail-lspawn./mailbox となっています qmail の特徴は,sendmail の mbox 形式に対していくつものメリットがある Maildir 形式だと説明しましたしかし,Maildir を使うにはもう少し作業が必要ですユーザーごとに mbox か Maildir かを選択することも可能ですが, ここでは Maildir にデフォルトで対応するようにします先ほど用意した /var/qmail/rc ファイルの内容を下記のように編集します qmail-start./mailbox splogger qmail qmail-start./maildir/ splogger qmail mbox では各ユーザーのホームディレクトリに Mailbox ファイルが作成されますが,Maildir ディレクトリは手動で生成する必要があります # /var/qmail/bin/maildirmake ~alias/maildir # chown -R alias /var/qmail/alias/maildir これで Maildir に対応しました Postfix では,Maildir を使用するように設定すると各ユーザーのホームディレクトリに Maildir ディレクトリが自動生成されますが,qmail では手動で対応する必要があるので注意してください各ユーザーのアカウントで, $ /var/qmail/bin/maildirmake ~/Maildir を実行するか,root が代わりに作成する必要があります root 権限で実行した場合は, chown で Maildir ディレクトリのオーナーが各ユーザーになるように変更してください新規のユーザーについては,/etc/skel ディレクトリに Maildir のひな型を置いておくと, adduser コマンドなどでユーザーを作成した際に自動で Maildir ディレクトリが生成されるようになります具体的には, 下記のようにします

7 # /var/qmail/bin/maildirmake /etc/skel/maildir では,Maildir 対応版で qmail を起動し直します現在起動している各 qmail プロセスを kill コマンドで終了させ,ps コマンドで qmail プロセスが残っていないことを確認してくださいその後もう 1 度, # /var/qmail/rc & を実行します念のために配送テストをもう 1 度行います # echo to: root@host.example.jp /var/qmail/bin/qmail-inject 今度は Mailbox ファイルではなく,Maildir/new ディレクトリにファイルが 1 つできていると思いますそこでもう 1 度配送テストを行うと, 次に届いたメールは別のファイルとして保存されるはずです tcpserver による起動の設定これまでに紹介していた起動方法は,qmail の動作を確認するための便宜上のものです実際のメールサーバ運用で inetd を使うのは, サービスに求められる堅牢さとセキュリティを考えるとお勧めできません TCP_Wrapper を併用したり,xinetd を使うのも 1 つの方法ですが, ここでは qmail の作者である D. J. Bernstein 氏が提供している tcpserver を使う方法を紹介します tcpserver とは tcpserver は ucspi-tcp パッケージの一部として提供されているもので,qmail の特徴を紹介する際には tcpserver が提供する機能を含めていることがほとんどですそうした点からも,qmail を tcpserver と切り離して動作させることは極めてまれと考えた方がいいでしょう tcpserver には,inetd などの従来のサービス起動プロセスと比べて次のようなメリットがあります DoS 攻撃にも対応できるように, 同時接続に対する制限がかけられるユーザー名 IP アドレスドメイン名を基に接続制限がかけられる

8 qmail が動作しているホストに複数の IP アドレスを割り振っている場合 ( 複数の LAN インターフェイスを持っているなど ), 特定の IP アドレスでのみサービスを受け付けるように設定できるアドレス A は SMTP 用, アドレス B は POP サーバ用などの使い分けが可能上記の要求を制御する設定ファイルはハッシュを用いた独自のデータベースファイル (cdb) を使用しているため, 設定がきめ細かくなったり, 数百行に及んでも高速な処理が可能また設定の変更にサービスの再起動は必要ない tcpserver のインストールと cdb の作成 tcpserver のインストールは,qmail 同様極めて簡単です ftp://ftp.jp.qmail.org/qmail/ucspi-tcp-0.88.tar.gz をダウンロードして, # tar xvfz../ucspi-tcp-0.88.tar.gz # cd ucspi-tcp-0.88/ # make setup check を実行すれば /usr/local/bin に tcpserver をはじめとする ucspi-tcp パッケージがインストールされます次に設定ですが, まず cdb の基になるファイルを準備しますここでは /etc ディレクトリに tcp.smtp ファイルとして作成します # vi /etc/tcp.smtp :allow,RELAYCLIENT="" 127.:allow,RELAYCLIENT="" tcpserver は, 動作に必要なホスト名や IP アドレスなどの情報を環境変数から取り出します例えば,1 行目の設定は * からの接続は環境変数 RELAYCLIENT に設定し, 接続を許可するとなります大きなサブネットで許可したくないという場合は, :allow,RELAYCLIENT="" などのようにしてアドレスの範囲を指定しますこれでからまでが対象になります逆に, 接続を拒否したい場合は次のようになります

9 :deny では,cdb ファイルを作成します cdb ファイルは以下のコマンドを実行することで作成できます # /usr/local/bin/tcprules /etc/tcp.smtp.cdb /etc/tcp.smtp.tmp < /etc/tcp.smtp tcpserver による qmail の起動準備が整ったところで,tcpserver 経由で qmail を起動します前半で記述した inetd.conf の記述を削除するかコメントアウトし,inetd を再起動します次に下記のコマンドを実行します (qmaild の UID や nofiles の GID は id qmaild コマンドで確認できます ) # tcpserver -v -u[qmaild の UID] -g[nofiles の GID]-x /etc/tcp.smtp.cdb 0 smtp /var/qmail/bin/qmail-smtpd 2>&1 /var/qmail/bin/splogger smtpd 3 & tcpserver の代表的なオプションには次のようなものがあります -v すべてのメッセージを出す -u uid ユーザー ID を uid に切り替える -g gid グループ ID を gid に切り替える -H 逆引きをしない ( リモートホスト名を調べない ) -R ident( 接続したサーバのユーザー情報について, 付加的な情報を返す ) しない -x /etc/tcp.cdb cdb データベース (/etc/tcp.cdb) で制御する -c limit 最大同時接続数を limit に設定する ( デフォルトは 40) -P 逆引き, 正引きで相手の正当性を調査するこれで完了です前半で行った送信テストに加えて,tcp.smtp で加えた接続が許可されているクライアントからも送信のテストを行ってみましょう ( メールクライアントの設定で smtp サーバの項目があれば, 今回インストールした qmail サーバに変更します ) サーバ起動のたびに上記のコマンドを打ち込むのは面倒なので, 起動スクリプトを用意します下記の内容で /etc/rc.d/init.d ディレクトリに qmail として保存しますまた, ダウンロード用のファイルも用意しました

10 #!/bin/sh # # qmail: /var/qmail PATH=/var/qmail/bin:/usr/local/bin:/bin:/usr/bin [ -f /var/qmail/rc ] exit 0 case "$1" in start) # Start daemons. echo "Starting qmail." csh -cf '/var/qmail/rc &' tcpserver -v -u [qmaild の UID] -g [nofiles の GID]-x /etc/tcp.smtp.cdb \ 0 smtp /var/qmail/bin/qmail-smtpd 2>&1 /var/qmail/bin/splogger smtpd 3 & echo touch /var/lock/qmail ;; stop) # Stop daemons. echo "Shutting down qmail." PID=`/bin/ps -aefw grep qmail awk '{print $2}'` if [! -z "$PID" ] ; then /bin/kill ${PID} 1> /dev/null 2>&1 fi echo rm -f /var/lock/qmail ;; *) echo "Usage: S99qmail {start stop}" exit 1 esac exit 0 それぞれのランレベルで起動されるように, 起動スクリプトとリンクを張ります # ln -s /etc/rc.d/init.d/qmail /etc/rc.d/rc2.d/s99qmail # ln -s /etc/rc.d/init.d/qmail /etc/rc.d/rc3.d/s99qmail

11 # ln -s /etc/rc.d/init.d/qmail /etc/rc.d/rc5.d/s99qmail 以上で qmail をメールサーバとして動作させることが可能となりました実際の運用に移るためには, まだまだ種々の制限やユーザーが使いやすいような拡張を施す必要があります先立っては POP の実装が最低限必要だと思いますシェルでメールの読み書きをしているというユーザーはいまや少なくなり, UNIX をデスクトップマシンとして使っている方でさえ,POP3 や IMAP でメールを取り込むことが多くなってきていると思います次回は POP3 をはじめ,POP before SMTP や APOP,IMAP などのメール受信機能の実装を紹介します第 2 回 POP/IMAP サーバの構築と不正中継対策 SMTP サーバ機能だけではメールクライアントを使うことができない今回はメールクライアントからアクセスできるようにするため,POP3,APOP,IMAP4 サーバを構築するまた, 不正中継対策として POP Before SMTP および IMAP Before SMTP 機能を組み込もうメール受信環境を構築するにはさて, サーバ (MTA) のメールボックスを直接読み書きしていたという時代ならいざ知らず, いまや UNIX をデスクトップマシンとして使っている方でさえ,POP3 や IMAP4 でメールを取り込むことが多くなってきていると思います今回は,POP3 や IMAP4 でクライアントにメールを取り込めるようにしましょうメール受信を実現するプロトコル SMTP はメール送信プロトコルの実質的な標準であるのに対し, メールボックスからメールを取り出す仕組みは,MTA( サーバ ) と MUA( 各端末 ) のローカルな取り決めで済むため, 用途に応じて複数の手段が用意されています POP3(Post Office Protocol version 3) バージョン 3 が付いていることからも分かるとおり歴史もあり, それ故に最も多くのメールクライアントに実装されています認証時に平文でパスワードを流すため, パケット盗聴による盗み見が危惧されています多くのプロバイダで採用されているプロトコルです APOP(Authenticated POP) POP のパケット盗聴による盗み見が危険視されたため,POP version 3 から APOP コ

12 マンドによる認証が RFC 1734 に規定されるようになりましたプロバイダ側のユーザー管理が煩雑になるためか, 採用されるケースは多くありませんが, セキュリティを高めながら汎用性を失わない手段としては最も効果的です IMAP4(Internet Mail Access Protocol version 4) POP がクライアント側に完全にメッセージをダウンロードし, クライアントでメッセージの管理を行うのに対し,IMAP はサーバ側でメッセージの管理を行い, クライアント側はその操作を行いますストレージ容量が限られているモバイル端末や複数人で PC を共有する環境などでは有効ですが, サーバ側の負担が増えるためプロバイダなどで採用されることはほとんどありませんサーバに受信機能を組み込む際には, クライアントの対応が問題になりますどんなメールソフトがどのプロトコルに対応しているか, 確認してからサーバを構築しましょう ( 注 ) 注 : メールソフトの対応状況はこちらを参考にしてください滝澤隆史著 MUAs for Windows - Windows のメイラーの評価 - SPAM 対策は必須最近では,SPAM の温床にされないように, 送信時にもユーザー確認などの防御策を講じる必要が出てきましたしかしながら, すべてのメールクライアントで送信時の認証が実装されているわけではないため, この方法はクライアントソフトを限定できる場合に限られますそこで, 多く用いられる手段として POP Before SMTP があります送信の前に POP で認証を行い, それから SMTP リレーを許可するというものです今回は受信サーバの構築とともにこちらの組み込み方法も紹介します ( 同様に IMAP Before SMTP についても取り上げます ) POP3/IMAP4 導入の前にこれから構築作業に入るわけですが, 以後の作業は Maildir 形式で qmail が起動されていることを前提にしていますコマンドプロンプトの # は root, $ は一般ユーザーでの作業であることを示しています ( su - は省略しています) また, 最近の Linux ディストリビューションは標準で POP3 や IMAP4 が組み込まれているため, 競合を起こさないようにサービスを停止しておく必要があります /etc/inetd.conf ファイルを編集し, 下記のように POP3,IMAP4 に関する行の先頭に # を付けてコメントアウトします (xinetd を使用している環境では /etc/xinetd.d にある各サービスを定義しているファイル, または /etc/xinetd.conf の該当セクションの中で disable = yes とします )

13 #pop3 stream tcp nowait root /usr/sbin/ipop3d ipop3d #imap4 stream tcp nowait root /usr/sbin/imapd imapd 次に,inetd デーモンプロセスに HUP 信号を送って再起動します (xinetd の場合は xinetd に置き換えてください ) # ps -aef grep inetd root プロセス番号 :41? 00:00:00 inetd -ww # kill -HUP プロセス番号また, 下記のように telnet で, # telnet localhost 110 Trying telnet: Unable to connect to remote host: Connection refused となることを確認し,POP3 が使用するサービスポート 110 番がフリーになっていることを確認します同様に IMAP4 が使用する 143 番もフリーになっていることを確認しておきます # telnet localhost 143 Trying telnet: Unable to connect to remote host: Connection refused 以降の作業では, たびたび qmail 起動スクリプト ( 前回紹介した /etc/rc.d/init.d/qmail スクリプト ) の修正を行います修正を有効にするには, 下記のようにサービスの再起動が必要になります # /etc/rc.d/init.d/qmail stop # /etc/rc.d/init.d/qmail start 注 :/etc/rc.d/init.d がない場合は /etc/init.d に置き換えてください第 2 回 POP/IMAP サーバの構築と不正中継対策 POP の導入と POP Before SMTP による不正中継対策 POP3 の導入まず,POP3 を導入してみましょう

14 POP3 デーモン自体はすでに前回の qmail のインストールと同時にインストールされています /var/qmail/bin/qmail-pop3d がそれに当たりますしかし, このデーモン自体には認証を行う機能がないため, 認証機能を補う必要があります平文パスワードによる最も簡単な認証確認の手段としては,D. J. Bernstein 氏が qmail とともに提供している checkpassword がありますをダウンロードし, ソースを展開します $ tar xvfz checkpassword-0.90.tar.gz $ cd checkpassword-0.90 デフォルトのインストール先は,/bin になりますインストール先を /usr/local/bin などに変更する場合は,conf-home ファイルに /usr/local と書き込んでおきます ( 注 ) 注 :conf-home ファイルに記述されたディレクトリ +/bin がインストール先になります続いてコンパイルとインストールを行います $ make # make setup check これで /bin/checkpassword がインストールされました前回の qmail のインストール同様, 起動は tcpserver を使用します qmail スクリプトの start ブロックに以下の行を追加します start) tcpserver -v 0 pop3 /var/qmail/bin/qmail-popup [ サーバの FQDN] /bin/checkpassword \ /var/qmail/bin/qmail-pop3d Maildir 2>&1 \ /var/qmail/bin/splogger pop3d 3 & echo touch /var/lock/qmail

15 ;; stop) 注 :[ サーバの FQDN]: サーバ名をドメイン名部分の省略をせずに記述したもの例 :mail.example.jp /etc/services に pop3 の記述がない場合は, tcpserver -v /var/qmail... のように直接使用するリスニングポート 110 番を tcpserver の引数に指定してください 110 番以外を使用したい場合も同様に指定します続いて後半のパイプ処理 ( /var/qmail/bin/splogger pop3d 3) で /var/log/messages にログを出力できるため, 今後のサーバ運用で活用できますではPOP3/IMAP4 導入の前にで紹介した手順に従って qmail を再起動し,POP3 の動作確認を行ってください APOP の導入続いて,APOP を導入してみましょう APOP 自体は POP3 のログイン認証を行うコマンドにすぎませんここでも POP3 同様 qmail-pop3d を使用しますが, 認証機能を付加するには APOP に対応しているものを選択する必要がありますここでは,OHIRA, Shinya 氏が提供している checkpw を使用します先ほどの checkpassword では /etc/shadow に登録されているパスワードを基に認証 (PAM) を行いましたが,checkpw ではパスワードを管理するために外部ファイルを用いているのがポイントですこうすることで, 仮に POP パスワードが漏れてしまってもシステムのパスワードまで盗まれるのを防げるため, ほかのサービスへの被害を最小限に抑えられますまた,checkpw の場合, ユーザーの POP パスワードはユーザーが各自で管理できるように, ユーザーの Maildir/ 下にファイルを保存しますパスワード変更のたびにスーパーユーザーの手を煩わせる必要がなくなりますその代わり,telnet でサーバにログインするなど, ユーザーに要求するスキルも上がるため, 現実的には Web サービスと CGI を使ってパスワードの変更を行えるようにするといった手段が必要となる場合もありますでは作業にかかりましょう

16 から checkpw-0.80.tar.gz をダウンロードして展開します $ tar xvfz checkpw-0.80.tar.gz $ cd checkpw-0.80/ checkpassword 同様に, インストール先を変更するには conf-home を編集しますデフォルトでは /bin がインストール先になりますここではそのまま使用しますほかにもさまざまな conf-* ファイルが用意されています conf-home インストール先実際には bin を付加したものになります /usr/local を指定した場合は /usr/local/bin にインストールされますデフォルトは / conf-qmail qmail がインストールされているディレクトリデフォルトは /var/qmail conf-maildir Maildir ディレクトリ名デフォルトは Maildir conf-password 平文パスワードを収めたファイル名デフォルトはユーザーごとの ~/Maildir/.password 続いて checkpw のコンパイルとインストールを行います $ make # make setup check これで /bin/checkapoppw,/bin/checkpw,/bin/selectcheckpw がインストールされました先ほどの POP 導入時に変更した qmail スクリプト中の /bin/checkpassword を /bin/checkapoppw に置き換えます start) tcpserver -v 0 pop3 /var/qmail/bin/qmail-popup [ サーバの FQDN] /bin/checkapoppw \ /var/qmail/bin/qmail-pop3d Maildir 2>&1 \ /var/qmail/bin/splogger pop3d 3 & echo touch /var/lock/qmail

17 stop) ;; 次に各ユーザーにパスワードファイルを用意します $ echo ' パスワード ' > ~/Maildir/.password $ chmod 600 ~/Maildir/.password 必ずファイルパーミッションを変更しておいてくださいこれが正しく設定されていないと, パスワードが合っていても APOP 認証に失敗します先ほどのインストールで, 一般的な POP3 を行う /bin/checkpw もインストールされました checkpassword と大きく違うのは,/etc/shadow を使わずに外部ファイルによるパスワード管理が行えるという点です qmail 起動スクリプトを修正します start) tcpserver -v 0 pop3 /var/qmail/bin/qmail-popup [ サーバの FQDN] /bin/checkpw \ /var/qmail/bin/qmail-pop3d Maildir 2>&1 \ /var/qmail/bin/splogger pop3d 3 & echo touch /var/lock/qmail ;; stop) ところで,APOP と POP3 を同時に使うことはできないのでしょうか? クライアント全員に APOP を強制できる環境であれば APOP のみでサーバを構築することも可能ですが, それでもユーザー全員が APOP に対応したメールソフト (MUA) を使用しているとは限りませんやはり POP3 と APOP 両方のサービスを用意する必要があります POP3 と APOP をそれぞれ違うサービスポートで立ち上げれば, 簡単にそれを実現できます start) tcpserver -v /var/qmail/bin/qmail-popup [ サーバの

18 FQDN] /bin/checkpw \ /var/qmail/bin/qmail-pop3d Maildir 2>&1 \ /var/qmail/bin/splogger pop3d 3 & tcpserver -v /var/qmail/bin/qmail-popup [ サーバの FQDN] /bin/checkapoppw \ /var/qmail/bin/qmail-pop3d Maildir 2>&1 \ /var/qmail/bin/splogger pop3d 3 & echo touch /var/lock/qmail ;; stop) qmail スクリプトを上記のようにすることで,APOP を使用するユーザーには 1100 番, POP3 を使用する場合には従来どおり 110 番でメールの受信を行うようにできますただし, ユーザー全員に周知させる必要があり, あまり優れた設計とはいえませんそこで qmail にパッチを当て, 同じポートで両方のサービスを提供できるようにします前回の qmail のインストールに戻り,qmail-date-localtime.patch を当てたように, checkpw に含まれる qmail-popup-auth.patch を当てます qmail-1.03 のソースを展開したディレクトリでもう一度コンパイルインストールを行います $ patch -p1 < checkpw-0.80 を展開したディレクトリ /qmail-popup-auth.patch $ make # make setup check 次に,qmail スクリプト中で checkpw や checkapoppwd を記述していた個所を selectcheckpw に変更します selectcheckpw スクリプトを使えば, クライアントの要求に応じて checkpw と checkapoppw を切り替えて起動できます start) tcpserver -v 0 pop3 /var/qmail/bin/qmail-popup [ サーバの FQDN] /bin/selectcheckpw \ /var/qmail/bin/qmail-pop3d Maildir 2>&1 \ /var/qmail/bin/splogger pop3d 3 & echo touch /var/lock/qmail

19 stop) ;; APOP 認証に対応しているメールソフトを使用し, 両方の認証に対応していることを確認してみましょう POP Before SMTP の導入前回,tcpserver は動作に必要なホスト名や IP アドレスなどの情報を環境変数から取り出し, 接続の許可を行うと説明しました SMTP 接続許可は, 使用する IP ブロックまたはドメインを環境変数 RELAYCLIENT に登録することで行いますでは, 出張など出先でメールを送信したい場合はどうすればいいのでしょうかあらかじめ使用する IP が分かっていれば登録しておくこともできますが, プロバイダから与えられる IP アドレスは接続ごとに変わりますかといって,Open Relay にしておけば SPAM メールの踏み台に利用されてしまいます送信の前に何らかの手段を使ってクライアントの IP アドレスをサーバに通知すれば, 局所的な Relay の許可を行って送信を可能にできるはずです都合のいいことに, メールの受信にはユーザーの認証が行われ, 適切なユーザーかどうかを判断できます同時にクライアントに割り当てられている IP アドレスをサーバに通知することも可能ですさらに都合がいいことに, 環境変数を収める cdb データベースの更新に tcpserver の再起動は必要ありませんこれで, 既存のサービスに大きな変更を施すことなく POP Before SMTP が導入できますさまざまな Relay コントローラがありますが, ここでは導入が比較的簡単な relay-ctrl を使用しますから relay-ctrl-2.5.tar.gz をダウンロードして展開します $ tar xvfz.relay-ctrl-2.5.tar.gz $ cd relay-ctrl-2.5/ インストール先を変更する場合は defines.h を編集しますここではデフォルトのままにし, 引き続き make とインストールを行います $ make # make root-install 続いて設定ファイルを作成します

20 # mkdir /etc/relay-ctrl # mkdir /var/qmail/relay-ctrl # mkdir /var/qmail/relay-ctrl/spool # cd /etc/relay-ctrl/ # echo '900' > expiry # echo ":allow,relayclient=''" > rule (*) # echo '/etc' > rulesdir # echo 'tcp.smtp.cdb' > smtpcdb # echo 'tcp.smtp' > smtprules # echo '/var/qmail/relay-ctrl/spool' > spooldir # echo '/usr/local/bin/tcprules' > tcprules * ダブルクオートを使用している点に注意 /etc/relay-ctrl 下に生成されたファイルには, 次のような意味があります expiry Realy をオープンにした IP アドレスを記録したファイルの寿命デフォルトは 900 秒 rule POP で接続してきた IP アドレスに付加するルール当然 Relay を許可しなくてはいけないので :allow,relayclient='' となります rulesdir cdb ファイルとその基になるテキストファイルが収められているディレクトリデフォルトは /etc/tcpcontrol smtpcdb 更新する cdb ファイル名デフォルトは smtp.cdb smtprules cdb の基になるテキストファイル前回 tcpserver のインストール時に使用した tcp.smtp に当たりますデフォルトは smtp.rules spooldir Relay を許可した IP アドレスを記録しておくスプールデフォルトは /var/spool/relay-ctrl tcprules tcprules コマンドのパスデフォルトは /usr/bin/tcprules

21 次に,spool にたまった IP アドレスの記録を定期的に削除する指示を crontab に追加します # crontab -e として, 下記の行を追加します * * * * * /usr/sbin/relay-ctrl-age これで, 記録を整理するプログラムを毎分起動するようになりますこのプログラムにより, expiry で指定された保存期間を過ぎた記録を消去できます次に qmail スクリプトを変更します start) tcpserver -v 0 pop3 /var/qmail/bin/qmail-popup [ サーバの FQDN] [ 認証プログラム ] /usr/sbin/relay-ctrl-allow /var/qmail/bin/qmail-pop3d Maildir 2>&1 /var/qma echo touch /var/lock/qmail ;; stop) 注 :[ 認証プログラム ] には, ここで紹介した /bin/checkpassword /bin/checkpw /bin/checkapoppw /bin/selectcheckpw を用途によって指定しますまた, ここでは /usr/sbin/relay-ctrl-allow が root 権限で起動されていますが, さらにセキュリティを高めるため, 専用のユーザーを使用することをお勧めしますその場合は下記の作業を行います /var/qmail/relay-ctrl をホームディレクトリに持つユーザー relay-ctrl を作成し, ホームディレクトリのオーナーを変更します # adduser -d /var/qmail/relay-ctrl -s /bin/false relay-ctrl # chown -R relay-ctrl /var/qmail/relay-ctrl

22 relay-ctrl-allow コマンドの所有者を変更し, もう一度 setuid します # chown relay-ctrl /usr/sbin/relay-ctrl-allow # chmod u+s /usr/sbin/relay-ctrl-allow cdb ファイルもユーザー relay-ctrl によって上書きできる必要があるため,/etc/tcp.cdb から書き込み可能な /var/qmail/relay-ctrl/tcp.smtp.cdb に変更します # cp /etc/tcp.smtp /var/qmail/relay-ctrl/. # echo '/var/qmail/relay-ctrl' > /etc/relay-ctrl/rulesdir cdb ファイルのパスが変更になるため,qmail-smtp を起動する tcpserver の起動方法も変更する必要があります start) tcpserver -v -u[qmaild の UID] -g[nofiles の GID] -x /var/qmail/relay-ctrl/tcp.smt /var/qmail/bin/qmail-smtpd 2>&1 /var/qmail/bin/splogger smtpd 3 & tcpserver -v 0 pop3 /var/qmail/bin/qmail-popup [ サーバの FQDN] [ 認証プログラム ] /usr/sbin/relay-ctrl-allow /var/qmail/bin/qmail-pop3d Maildir 2>&1 /var/qma echo touch /var/lock/qmail ;; stop) qmail を再起動し動作の確認を行いましょう受信を行う前に送信を行ってみたり, 受信送信を順番に行うなど,POP Before SMTP の挙動を確認してみましょう第 2 回 POP/IMAP サーバの構築と不正中継対策鶴長鎮一 2001/10/5 IMAP4 と IMAP Before SMTP の導入 IMAP4 の導入

23 次に,Maildir に対応している courier-imap を使って,IMAP4 サーバを構築してみましょう courier-imap は IMAP4 だけでなく POP3 も兼ね備え,SSL が実装されているため, より安全にサービスを提供できます ( クライアントも SSL に対応させる必要がありますが ) Web メールを構築する場合も, IMAP4 サーバを利用すればプログラム側の負担を減らせますまた,Maildir の quota など魅力的な機能を備えているので, 興味がある方は Courier Mail Server のホームページ ( を参照してください POP3 は qmail パッケージに含まれる qmail-pop3d を使用したため, スムーズに既存の qmail サービスに組み込むことができましたしかし, IMAP4 はまったくゼロの状態から構築することになりますまた,courier-imap はコンフィグの過程ですでに組み込まれている OpenSSL,OpenLDAP,MySQL を自動で検出して認証モジュールに組み込むため, 意図せず古いバージョンが混在していた場合, インストールに失敗することがあります特に, OpenSSL は 0.9.5a 以上が前提になります OpenSSL を最新版にするには, 下記の手順あるいは各ディストリビュータが配布しているアップデートファイルを使ってインストールしましょう $ tar xvfz openssl tar.gz $ cd openssl $./config $ make $ make test # make install では,courier-imap をインストールしてみましょうから courier-imap tar.gz をダウンロードして, 下記の手順を実行します root で実行すると make check 時に警告が出力されて続行できないため, 一般ユーザーで作業します $ tar xvfz courier-imap tar.gz $ cd courier-imap $./configure --prefix=/usr/local ここでは /usr/local 下にインストールするようにしますまた,MySQL や LDAP を自動検出しないようにするには次のようにします $./configure --without-authmysql --without-authldap --prefix=/usr/local

24 $ make $ make check 次に,courier-imap のインストールで上書きされてしまう /etc/pam.d/imap, /etc/pam.d/pop3 のバックアップを取っておきます ( ない場合もあります ) courier-imap の POP3 機能を使用する場合は上書きされても構いませんが,checkpassword を使う場合はバックアップから戻す必要があります # cd /etc/pam.d/ # cp imap imap.org # cp pop3 pop3.org # make install # make install-configure これまでの操作で下記のようにインストールされるはずです /usr/local/etc/ /usr/local/libexec/ 設定ファイル実行ファイル /usr/local/libexec/authlib/ 認証のための拡張モジュールそれでは IMAP4 を起動してみましょう起動には /usr/local/libexec/imapd.rc スクリプトファイルを使用します # /usr/local/libexec/imapd.rc start サーバの起動とともに courier-imap も起動するようにするには, 下記のようにします # cp /usr/local/libexec/imapd.rc /etc/rc.d/init.d/imapd # ln -s /etc/rc.d/init.d/imapd /etc/rc.d/rc2.d/s99imapd # ln -s /etc/rc.d/init.d/imapd /etc/rc.d/rc3.d/s99imapd # ln -s /etc/rc.d/init.d/imapd /etc/rc.d/rc5.d/s99imapd 注 :/etc/rc.d が存在しない場合はそれぞれ /etc/init.d,/etc/rc2.d に置き換えてくださいうまく動作しない場合は,/var/log/maillog を手掛かりにしてください認証に拡張モジュールが組み込まれてしまって思うように動作しない場合は, 下記の要領で拡張モジュールを外します # cd /usr/local/libexec/authlib/

25 # mkdir old # mv authdaemond.ldap old/ # mv authdaemond.mysql old/ その後,courier-imap を立ち上げ直します # /usr/local/libexec/imapd.rc stop # /usr/local/libexec/imapd.rc start IMAP4 と POP3 は併用可能ですが,POP3 でメッセージをクライアントに取り込んでしまうと IMAP4 でサーバに接続した際にメッセージが読めなくなるので注意が必要ですまた, courier-imap のインストール後にほかの POP3 が機能しなくなった場合は先ほどバックアップを取った /etc/pam.d/pop3 を復元します IMAP Before SMTP の導入 IMAP Before SMTP の導入は,POP Before SMTP の場合とほとんど同様です具体的には,courier-imap の起動スクリプト (/usr/local/libexec/imapd.rc) に下記のように 1 行追加するだけです /usr/local/libexec/couriertcpd -address=$address \ -stderrlogger=/usr/local/libexec/logger \ -stderrloggername=imapd \ -maxprocs=$maxdaemons -maxperip=$maxperip \ -pid=$pidfile $TCPDOPTS \ $PORT ${exec_prefix}/sbin/imaplogin $LIBAUTHMODULES \ /usr/sbin/relay-ctrl-allow \ (*) ${exec_prefix}/bin/imapd Maildir" * この行を追加そのほかの POP/IMAP 系ソフトウェア今回は機能ごとに代表的なソフトを紹介しましたが,courier-imap のように IMAP4 と POP3 を兼ね備えたものもありますさらに,POP Before SMTP 機能を最初から実装しているもの

26 やシステムの PAM で認証を行える (/etc/shadow によるパスワード管理ができる )APOP などもあります imapd extensions IMAP4 の定番である WU-IMAPD に,Maildir を扱うためのパッチを当てたもの Maildir 対応以外にも,popper としての機能をほぼ網羅しています qmapop POP before SMTP を実装した APOP 認証パッケージです次回は不正中継 SPAM 対策を取り上げます今回,POP Before SMTP や IMAP Before SMTP で不正中継を防ぎながらユーザビリティを損なわない方法を紹介しましたが, 次回はさらに掘り下げて SPAM の踏み台や SPAM の対象にされてしまった場合についても触れていきます

Hi-Available Mail on CLUSTERPRO for Linux HOWTO

Hi-Available Mail on CLUSTERPRO for Linux HOWTO 1. はじめにこの文書は Linux の標準メールサーバである sendmail と ipop3d を CLUSTERPRO for Linux と組み合わせてフェイルオーバクラスタ化するために必要な情報を記述したものですメールサーバをフェイルオーバクラスタ化することにより単一 Linux サーバでは達成し得ない可用性の高い高信頼なメールサーバを構築することができます