Postfix: bagaimana cara menggunakan file sederhana untuk otentikasi SASL?

Saya ingin menjalankan Postfix pada VPS Debian untuk mengirim email dari aplikasi saya. Aplikasi (berjalan pada VPS lain) akan terhubung ke Postfix melalui SMTP. Postfix tidak harus menangani email yang masuk; ini hanya tentang mengirim pesan keluar.

Untuk mencegah relay terbuka, otentikasi SASL harus digunakan. Namun, saya tidak ingin menjalankan Dovecot atau MySQL untuk otentikasi SASL.

Bagaimana saya bisa mengatur otentikasi SASL menggunakan file sederhana (berisi nama pengguna dan kata sandi)?

Saya sudah menemukan pertanyaan serupa ; Namun, tidak ada jawaban yang memuaskan jika diberikan di sana.

Postfix saat ini hanya mendukung dua metode otentikasi SASL. Salah satunya adalah Dovecot, yang tidak Anda inginkan. Yang lainnya adalah Cyrus, yang sedekat mungkin dengan yang Anda inginkan tanpa harus menulis ulang Postfix. Itu memang melibatkan menjalankan daemon otentikasi terpisah ( saslauthd), tetapi file otentikasi mudah diedit dan diperbarui.

Dasar-dasar untuk menggunakan Cyrus SASL dapat ditemukan di situs dokumentasi postfix , tapi di sini adalah deskripsi singkat. Silakan lihat tautannya jika ada sesuatu yang membingungkan!

Mulailah dengan menginstal Cyrus SASL dengan plugin sasldb. (Cara melakukannya dibiarkan sebagai latihan untuk pembaca; mungkin ada paket dalam sistem paket apa pun yang digunakan unix Anda.) Karena komunikasi antara Postfix dan SASL akan dilakukan melalui soket domain unix, Anda mungkin ingin tambahkan postfix ke grup SASL, dan pastikan bahwa grup itu telah membaca dan menjalankan izin ke direktori /var/run/saslauthd.

Konfigurasikan SASL

Konfigurasikan SASL untuk menggunakan sasldb dengan mengedit /etc/sasl2/smtpd.conf:

pwcheck_method: auxprop
auxprop_plugin: sasldb
mech_list: PLAIN LOGIN CRAM-MD5 DIGEST-MD5 NTLM

Plugin sasldb berarti bahwa sasl akan menggunakan file Berkeley DB untuk nama pengguna dan kata sandi. Anda menambahkan pengguna dengan perintah saslpasswd2:

$ saslpasswd2 -c -u example.com username
Password:
Again (for verification):

Perhatikan bahwa Anda menentukan domain bersama dengan nama pengguna, dan pengguna harus menggunakan "username@example.com" daripada hanya "nama pengguna" saat mengautentikasi.

Anda dapat memverifikasi apa yang telah dimasukkan oleh pengguna dengan menjalankan sasldblistusers2.

Mulai saslauthd, dan verifikasi bahwa otentikasi berfungsi dengan baik

testsaslauthd -u username@example.com -p password

Konfigurasikan Postfix

Setelah selesai, beri tahu Postfix untuk menggunakan SASL dan untuk memberitahu Cyrus bahwa itu SMTP yang diautentikasi, dengan mengedit /etc/postfix/main.cf untuk mengandung

smtpd_sasl_auth_enable = yes
smtpd_sasl_path = smtpd

Kemudian, muat ulang postfix, dan Anda harus mengaturnya.

Untuk mencegah relay terbuka, otentikasi SASL harus digunakan.

SASL hanyalah satu dari banyak cara untuk mencegah hal ini. Cara lain adalah memasukkan daftar putih IP yang Anda gunakan pada VPS lain, atau meminta sertifikat klien TLS (ini bisa dikatakan cara yang paling aman.)

Hanya mengatur CA penandatanganan pada mesin postfix, dan menandatangani satu sertifikat per VPS yang ingin Anda kirimkan email.
Kemudian memerlukan verifikasi sertifikat klien lengkap untuk semua surat yang dikirimkan; nonaktifkan metode pengiriman lainnya.

Apa yang Anda minta tidak mungkin, karena postfix tidak mendukung SASL secara langsung.

Hanya mengklarifikasi beberapa hal,

Membuat akun di sasldb:

% saslpasswd2 -c -u fqdn username

Otentikasi pengujian:

% testsaslauthd -u username -p password

(catatan: nama pengguna tidak diikuti oleh fqdn)

Saya juga ingin menambahkan bahwa membuat akun root

% saslpasswd2 -c -u example.com root

tidak akan membiarkan Anda mengotentikasi,

% testsaslauthd -u root -p some_password
0: NO "authentication failed"

Tapi ini bukan bug. Itu hanya fitur keamanan.

Jika Anda tidak perlu menangani surat masuk, maka jangan repot-repot dengan otentikasi. Hanya memblokir lalu lintas masuk dengan firewall, dan / atau batasi hanya untuk localhost.

 inet_interfaces = 127.0.0.1

Tidak ada lagi masalah relai terbuka, dan Anda juga menghindari hal-hal rumit untuk aplikasi yang perlu mengirim email melalui postfix.