postfix + sasl auth的簡單整理

[andrechen]

我有問題，信可以寄出去了，可是卻不見了，不管自己的或是外面的mail都收不到信

我的/var/log/mail.log訊息，看起來 sasl 沒有啟動，可是我用 ps ax|more 去看有啟動

Nov 30 20:50:40 mail postfix/smtpd[511]: fatal: no SASL authentication mechanism
s
Nov 30 20:50:41 mail postfix/master[484]: warning: process /usr/lib/postfix/smtp
d pid 511 exit status 1
Nov 30 20:50:41 mail postfix/master[484]: warning: /usr/lib/postfix/smtpd: bad c
ommand startup -- throttling

我的/var/log/auth.log訊息，看起來 sasl2 已經啟動了
Nov 30 20:43:27 mail saslauthd[381]: START: saslauthd 2.1.2
Nov 30 20:43:27 mail saslauthd[386]: master PID is: 386
Nov 30 20:43:28 mail saslauthd[386]: daemon started, listening on /var/run/sasla
uthd/mux
Nov 30 20:53:01 mail PAM_unix[518]: (cron) session opened for user mail by (uid=
0)
Nov 30 20:53:01 mail PAM_unix[518]: (cron) session closed for user mail

可能是什麼問題呢？還是說我應該先移除再重新安裝呢？

[阿信]

應該是saslauthd沒有跑起來，所以要另外debug。

如果有問題的話，建議先將postfix , sasl2 移除掉，然後一步一步慢慢找出問題所在。

[阿信]

對摟，有時候信寄出去還要檢察mailq是否還留著信件，有時候會因為網路問題而delay。

像小弟的mail server寄給pchome就會很久，大約12hr之後才可以收到。

[andrechen]

玩到後來自己的 mail server 掛了，好不容易才又修復，使用 apt-get --purge remove 後又重新安裝才又救回來，嚇得我不敢再玩，因為我的 server 上還有其他的 user 要收信。

還好之前幫朋友架了一個網站，他又沒有用 mail server，所以就用 ssh 遠端簽入去玩了，結果更奇怪，在單純的postfix下，從我的主機寄信給他，竟然被退信，只能自己的主機寄給自己，而且只能收自己主機user寄的信，我用 ping、telnet 25、telnet 110 都正常，我記得 ipopd 預設應該是全部的信件都會接受，有誰知道問題所在嗎？

[iceman]

以上是簡易的設定方法，如果有問題的朋友，歡迎回應討論。

請問如何可不給一些ftp user,寄信和收信的能力?(例如pulibc_ftp@mydomain.com)

請問怎樣能要,即使是寄給本機的user,也要認証(會不會給別人用我的smtp server,寄(好多)信給我的root@mydomain.com,相信你們也有root這個user,請問你們是如何解決呢?)
不知何解,如我的main.cf這樣設會寄不到信
smtpd_client_restrictions = permit_sasl_authenticated
會出以下error msg:(/var/log/mail.log)
fatal: parameter "smtpd_recipient_restrictions": specify at least one working instance of: check_relay_domains, reject_unauth_destination or reject
我要這樣才行:smtpd_client_restrictions = permit_sasl_authenticated,check_relay_domains

請問呀信兄那邊,可否只設 permit_sasl_authenticated這個呢?

先多謝指教..........

[阿信]

玩到後來自己的 mail server 掛了，好不容易才又修復，使用 apt-get --purge remove 後又重新安裝才又救回來，嚇得我不敢再玩，因為我的 server 上還有其他的 user 要收信。

還好之前幫朋友架了一個網站，他又沒有用 mail server，所以就用 ssh 遠端簽入去玩了，結果更奇怪，在單純的postfix下，從我的主機寄信給他，竟然被退信，只能自己的主機寄給自己，而且只能收自己主機user寄的信，我用 ping、telnet 25、telnet 110 都正常，我記得 ipopd 預設應該是全部的信件都會接受，有誰知道問題所在嗎？

應該是relay出問題，要檢視mail.log才能了解問題所在呢。

[阿信]

以上是簡易的設定方法，如果有問題的朋友，歡迎回應討論。

請問如何可不給一些ftp user,寄信和收信的能力?(例如pulibc_ftp@mydomain.com)

請問怎樣能要,即使是寄給本機的user,也要認証(會不會給別人用我的smtp server,寄(好多)信給我的root@mydomain.com,相信你們也有root這個user,請問你們是如何解決呢?)
不知何解,如我的main.cf這樣設會寄不到信
smtpd_client_restrictions = permit_sasl_authenticated
會出以下error msg:(/var/log/mail.log)
fatal: parameter "smtpd_recipient_restrictions": specify at least one working instance of: check_relay_domains, reject_unauth_destination or reject
我要這樣才行:smtpd_client_restrictions = permit_sasl_authenticated,check_relay_domains

請問呀信兄那邊,可否只設 permit_sasl_authenticated這個呢?

先多謝指教..........

小弟是設定成permit_sasl_authenticated,check_relay_domains。
不能只有permit_sasl_authenticated。

至於root的問題呢，建議是用postfix一些drop mail的規則，將一些廣告信drop掉，
因為root還是需要有收信的時候，比如我從遠端寄信或是system log等。

至於寄給本機的user也要認證...這...好像沒聽過這樣的需求，直接檢察mail header將不認識的sender的信惕除掉還比較效。

[andrechen]

我收到退回的信，訊息為554 : Recipient address rejected: Relay access denied

會不會是主機名稱或是dns的問題，因為我是在twnic直接指定主機www與mail，而安裝時的主機名稱不同(我用www)，所以退信。

另外，這跟 dns 會不會有關係？

[阿信]

請問你是自己有真實ip嗎？

那dns是誰管理的？

twnic有兩種管理模式，一個是主機代管，就是dns是使用twnic的or someone else

第二種是要自己架設dns server來管理。

小弟認為andrechen兄可能要架設dns server然後弄好mx record。

[andrechen]

我是用一個固定ip的adsl，像是 hinet 是可以指定主機與指定 dns 主機兩種方式，可是 twnic 我就不是很清楚，不像 hinet 在指定時分得很清楚。

我自己的主機是在 hinet 指定主機，而朋友的則是用 twnic，所以我才猜是 dns 問題，因為兩台主機設定都一樣，除了 dns 外，我的主機用的是 giga 一個固定ip(撥接式)，而朋友的主機則是用 seednet 一個固定ip。而且看 dns 文件時牽涉到 isp 反解的問題，所以我並沒有架設 dns，而是在申請 domain name 的 isp 直接指定主機。

[andrechen]

依照阿信兄的方式建立 postfix+sasl2，但是一直認證失敗
查到/var/log/auth.log訊息如下
Dec 2 01:08:22 mail postfix/smtpd[1159]: unable to open Berkeley db /etc/sasldb
: No such file or directory

問題應該是出在這裡了，但是該怎麼解決呢？

[andrechen]

我想我大概找到問題了，由
http://howto.state-of-mind.de/
http://howto.state-of-mind.de/concept/sasl.html#step2
http://howto.state-of-mind.de/configura ... ients.html
這些文件看起來認證方式有ANONYMOUS,PLAIN,LOGIN,DIGEST-MD5,CRAM-MD5,GSSAPI,
KERBEROS_V4這7種

telnet 主機 25 正確的訊息應該是如阿信兄的mail server，啟動 4 種認證方式
250-AUTH LOGIN PLAIN CRAM-MD5 DIGEST-MD5
250-AUTH=LOGIN PLAIN CRAM-MD5 DIGEST-MD5
或是像 http://howto.state-of-mind.de/configura ... ients.html 秀出 5 種認證方式
250-AUTH PLAIN LOGIN DIGEST-MD5 CRAM-MD5 GSSAPI
250-AUTH=PLAIN LOGIN DIGEST-MD5 CRAM-MD5 GSSAPI

而我的mail server卻只秀出 3 種認證方式
250-AUTH GSSAPI LOGIN PLAIN
250-AUTH=GSSAPI LOGIN PLAIN
所以才一直無法通過認證，要怎麼開啟其他認證方式呢？

另外在裝 postfix-tls 時會將 sasl-bin,libsasl-digestmd5-plain,libsasl-modules-plain,libsasl7,libsasl-gssapi-mit,也裝進去，如果拿掉的話，telnet 主機 25 就會無法連線，阿信兄可以檢查一下你的主機是否也有這些套件嗎?此外，sasl 與 sasl2 同時存在時會不會有問題呢？謝謝

[阿信]

我想我大概找到問題了，由
http://howto.state-of-mind.de/
http://howto.state-of-mind.de/concept/sasl.html#step2
http://howto.state-of-mind.de/configura ... ients.html
這些文件看起來認證方式有ANONYMOUS,PLAIN,LOGIN,DIGEST-MD5,CRAM-MD5,GSSAPI,
KERBEROS_V4這7種

telnet 主機 25 正確的訊息應該是如阿信兄的mail server，啟動 4 種認證方式
250-AUTH LOGIN PLAIN CRAM-MD5 DIGEST-MD5
250-AUTH=LOGIN PLAIN CRAM-MD5 DIGEST-MD5
或是像 http://howto.state-of-mind.de/configura ... ients.html 秀出 5 種認證方式
250-AUTH PLAIN LOGIN DIGEST-MD5 CRAM-MD5 GSSAPI
250-AUTH=PLAIN LOGIN DIGEST-MD5 CRAM-MD5 GSSAPI

而我的mail server卻只秀出 3 種認證方式
250-AUTH GSSAPI LOGIN PLAIN
250-AUTH=GSSAPI LOGIN PLAIN
所以才一直無法通過認證，要怎麼開啟其他認證方式呢？

另外在裝 postfix-tls 時會將 sasl-bin,libsasl-digestmd5-plain,libsasl-modules-plain,libsasl7,libsasl-gssapi-mit,也裝進去，如果拿掉的話，telnet 主機 25 就會無法連線，阿信兄可以檢查一下你的主機是否也有這些套件嗎?此外，sasl 與 sasl2 同時存在時會不會有問題呢？謝謝

耶...可能有很多人誤會了我之前所說的話呢，小弟曾經說過，debian包的postfix-tls是使用sasl2，而debian包裝sasl有兩個package，libsasl7 ,libsasl2

libsasl7是舊版的1.5.2，libsasl2才是新的，也就是postfix-tls會使用到的sasl。

如果安裝了libsasl7的話，先恭喜，postfix還是可以啟動，telnet 25還是會有相關digest-md5等，但是不能用，也就是會出現error。

所以請一律移除掉有關libsasl7的套件，而我的系統都跟最上頭的文章所說的，都只用libsasl2的package，如果安裝錯誤，就無法啟動了。

[阿信]

依照阿信兄的方式建立 postfix+sasl2，但是一直認證失敗
查到/var/log/auth.log訊息如下
Dec 2 01:08:22 mail postfix/smtpd[1159]: unable to open Berkeley db /etc/sasldb
: No such file or directory

問題應該是出在這裡了，但是該怎麼解決呢？

恩...設定有問題窩，會出現這個錯誤應該是裝錯package，比如安裝到libsasl的package，也就是舊版的。

或是saslauthd 指定用sasldb的方式，但要小心postfix是否有chroot的動作，

如果有，那/etc/sasldb應該是指/var/spool/postfix/etc/sasldb，作一個hard link解決。

[阿信]

承上一篇，如果按照小弟的作法的話，是不會使用sasldb認證的，因為無法與系統作整合。

所以不會出現/etc/sasldb not found的動作