4. Servidor de correo electrónico

Como se explica en [AA_Linux] el servicio básico de correo empleado en Internet y en una red TCP/IP se basa en el protocolo SMTP (Simple Mail Transfer Protocol) descrito especialmente en los RFCs 821 y 1123, funcionando sobre TCP/IP. En una situación típica en la que un usuario pablo@amor.miescuela.edu.co envía un mensaje al usuario rodrigo@respeto.miescuela.edu.co sin computadores intermediarios, se requiere:

Si tanto pablo como rodrigo emplean como MUA mail, y ambos computadores tiene como MTA sendmail, el proceso sería:

  1. pablo emplea mail en su computador amor para redactar el mensaje cuyo destinatario es rodrigo.

  2. En amor, el programa mail ejecuta sendmail para enviar el mensaje. sendmail deja el mensaje en una cola de mensajes por enviar. Esa cola de mensajes es actualizada por sendmail a medida que envía o intenta enviar mensajes (si un mensaje no puede ser enviado sendmail puede reintentar el envio cierto número de veces, haciendo pausas entre un intento y otro).

    Enviar un mensaje significa crear una conexión TCP con el MTA destino o con otro MTA que actúe de intermediario, típicamente en el puerto TCP 25, y transmitir el mensaje siguiendo las reglas del protocolo SMTP [6]. Para establecer el computador con el cual conectarse sendmail revisa con el resolvedor DNS, registros MX asociados con el dominio de la dirección, si los hay intenta enviar a cada uno en orden de prioridad --los registros MX con menor número tienen mayor prioridad (ver Servicio DNS).

  3. En respeto debe estar corriendo un proceso que acepte la conexión en el puerto 25, i.e. sendmail o algún otro MTA que reciba el mensaje siguiendo el protocolo SMTP.

  4. sendmail en respeto agrega el mensaje que recibe en el archivo tipo texto /var/mail/rodrigo que está en formato mbox.

  5. Cuando rodrigo lo desee, podrá emplear mail para leer los correos que se hayan acumulado en /var/mail/rodrigo ---a medida que los lea saldrán de ese archivo para quedar en ~/mbox.

Este es el esquema básico, aunque hay muchas otras situaciones en las que se emplean otras posibilidades de SMTP, protocolos auxiliares y programas. Por ejemplo los usuarios de una organización suelen extraer sus correos del servidor desde otros computadores con MUAs gráficos empleando el protocolo inseguro POP3 o los protocolos seguros POP3S e IMAPS. También es posible configurar un cliente de correo web (webmail) para examinar correos desde el web. Otro servicio asociado al correo son las listas de correo que facilitan el envío de correo masivo.

OpenBSD incluye una versión auditada de sendmail por lo que además de detallar algunos aspectos de su configuración y uso, en esta sección se describe la configuración de protocolos auxiliares como POP3S e IMAPS, de clientes de correo web y de listas de correo.

4.1. sendmail

Para usarlo con una configuración por defecto que permite enviar y recibir correos a otras máquinas, agregue la siguiente línea a /etc/rc.conf.local:

sendmail_flags="-L sm-mta -C/etc/mail/sendmail.cf -bd -q30m"
    

Con esta configuración sendmail funcionará como MTA y esperará conexiones SMTP en el puerto 25 y en el puerto 587 (el segundo se espera que sea empleado por usuarios locales y que esté bloqueado al exterior, mientras que el primero por usuarios que deseen reenviar correo desde otros computadores).

La bitacora queda en /var/log/mailman, registra cada envio y recepción de correo. Aunque puede aumentarse el nivel de detalle en la depuración cambiando las opciones de arranque por:

sendmail_flags="-L sm-mta -C/etc/mail/sendmail.cf -bd -q30m -D /var/log/maildeb -X/var/log/maildeb2 -O LogLevel=10"
	  

que enviará el máximo de detalle de cada transmisión al archivo /var/log/maildeb2

A continuación se presenta una prueba a este servicio:

$ telnet localhost 25
Trying ::1...
Connected to localhost.
Escape character is '^]'.
220 amor.miescuela.edu.co ESMTP Sendmail 8.13.8/8.13.3; Mon, 16 Oct 2006 12:42:41 -0500 (COT)
HELO localhost
250 amor.miescuela.edu.co Hello pablo@localhost [IPv6:::1], pleased to meet you
MAIL FROM: <pablo@localhost>
250 2.1.0 <pablo@localhost>... Sender ok
RCPT TO: <pablo@localhost>
250 2.1.5 <pablo@localhost>... Recipient ok
DATA
354 Enter mail, end with "." on a line by itself
1 2 3
probando
.
250 2.0.0 k9GHgf1q019958 Message accepted for delivery
quit
221 2.0.0 amor.miescuela.edu.co closing connection
Connection closed by foreign host.
	  

4.1.1. Relevo de Correo

Como se explica en el FAQ de OpenBSD, si planea emplear su servidor para hacer relevo de correo (relay), basta que agregue los dominios o IPs de las cuales recibir correo para reenviar en el archivo /etc/mail/relay-domains (o el que la siguiente instrucción indique: grep relay-domains /etc/mail/sendmail.cf ) Un ejemplo de tal archivo es:

miescuela.edu.co  # Acepta de todos los computadores del dominio
192.168.1  # Acepta de todos las IPs de la forma 192.168.1.x

4.1.2. SMTP-AUTH y TLS

El protocolo estándar para enviar correo a un servidor es SMTP, el cual no ofrece posibilidades de autenticación ni encripción. Una extensión a este protocolo es SMTP-AUTH (descrita en el RFCs 2554), la cual se basa en SASL (Simple Authentication and Security Layer, RFC 2222) y que permite autenticar antes de aceptar un correo por enviar.

LOGIN y PLAIN son dos de los diversos métodos que SMTP-AUTH puede emplear para recibir información de autenticación, como estos métodos transmiten identificaciones y claves en forma prácticamente plana, es necesario emplear bien una conexión sobre SSL o bien TLS que es otra extensión a SMTP.

Aunque sendmail soporta tanto TLS como SMTP-AUTH, la configuración por defecto de OpenBSD 4.4 no los incluye. En el caso de TLS lo incluido en el sistema base es suficiente y el procedimiento de configuración se documenta en man starttls. En cuanto a SMTP-AUTH se requiere una implementación de SASL, pero no hay ninguna incluida en el sistema base por lo que es necesario emplear el paquete cyrus-sasl.

4.1.2.1. SASL

Para contar con el servicio SASL en su servidor (que puede ser usado por diversos programas entre los que está sendmail), instale el paquete cyrus-sasl y cree el archivo /usr/local/lib/sasl2/Sendmail.conf para que contenga:

pwcheck_method: saslauthd

con lo que indica que desde sendmail, Cyrus-SASL debe emplear el servidor saslauthd. Para realizar la autenticación, Cyrus-SASL puede configurarse con diversas fuentes de información (e.g LDAP, bases de datos), puede iniciarlo indicando que desea emplear las funciones estándar de autenticación de OpenBSD con:

# mkdir /var/sasl2
# /usr/local/sbin/saslauthd -a getpwent

Para que este servicio se inicie en cada arranque agregue en /etc/rc.local:

pgrep saslauthd > /dev/null
if [ "$?" != "0" -a X"$saslauthd_flags" != X"NO" -a -x /usr/local/sbin/saslauthd
 ]; then
	echo -n ' saslauthd';
       	mkdir -p /var/sasl2
       	/usr/local/sbin/saslauthd ${saslauthd_flags}
fi

y en /etc/rc.conf.local:

saslauthd_flags="-a getpwent"

Si lo requiere puede iniciar este servicio en modo de depuración (en primer plano y enviando a salida estándar bastante información) con:

# /usr/local/sbin/saslauthd -a getpwent -d

Una vez este funcionado este servicio (al examinarlo con ps se ve que inicia varios procesos) puede probar que esté autenticado usuarios con

$ testsaslauthd -u usuario -p clave

4.1.2.2. ESMTP

Al agregar a SMTP protocolos como TLS y AUTH-SMTP el nuevo protocolo toma el nombre ESMTP. Para extenderlo en OpenBSD debe recompilar sendmail y debe emplear su propio archivo de configuración.

Dado que TLS requiere un certificado SSL, si tiene uno ya firmado por una autoridad certificadora déjelo en /etc/mail/certs o genere uno autofirmado (como se explica en man starttls):

# mkdir /etc/mail/certs
# openssl dsaparam 1024 -out dsa1024.pem
# openssl req -x509 -nodes -days 3650 -newkey dsa:dsa1024.pem \
  -out /etc/mail/certs/mycert.pem -keyout /etc/mail/certs/mykey.pem
# ln -s /etc/mail/certs/mycert.pem /etc/mail/certs/CAcert.pem
# rm dsa1024.pem
# chmod -R go-rwx /etc/mail/certs
	

Para recompilar sendmail, si aún no lo ha hecho, debe descargar y actualizar a las fuentes más recientes:

# cd /root/tmp
# ftp $PKG_PATH/../../src.tar.gz
# cd /usr
# mkdir src
# cd src
# tar xvfz /root/tmp/src.tar.gz
# for i in `find . -name CVS`; do echo $i; 
> echo "anoncvs@anoncvs1.ca.openbsd.org:/cvs" > $i/Root;
> done
# cvs -z3 update -Pd -rOPENBSD_4_4

Después indique que desea recompilar sendmail con soporte para autenticación creando o editando el archivo /etc/mk.conf para que incluya:

WANT_SMTPAUTH = yes

Recompile e instale sendmail con:

# cd /usr/src/gnu/usr.sbin/sendmail
# make clean
# make
# make install

Finalmente cree un nuevo archivo de configuración a partir del estándar:

# cd /usr/src/gnu/usr.sbin/sendmail/cf/cf
# cp openbsd-proto.mc openbsd-proto-local.mc

En el nuevo openbsd-proto-local.mc después de la línea OSTYPE(openbsd)dnl agregue:

	define(`CERT_DIR',        `MAIL_SETTINGS_DIR`'certs')
	define(`confCACERT_PATH', `CERT_DIR')
	define(`confCACERT',      `CERT_DIR/CAcert.pem')
	define(`confSERVER_CERT', `CERT_DIR/mycert.pem')
	define(`confSERVER_KEY',  `CERT_DIR/mykey.pem')
	define(`confCLIENT_CERT', `CERT_DIR/mycert.pem')
	define(`confCLIENT_KEY',  `CERT_DIR/mykey.pem')

y después de la línea FEATURE(`no_default_msa')dnl:

	define(`confAUTH_MECHANISMS',`PLAIN LOGIN CRAM-MD5 DIGEST-MD5')dnl
	TRUST_AUTH_MECH(`PLAIN LOGIN CRAM-MD5 DIGEST-MD5')dnl
	dnl define(`confAUTH_OPTIONS',`p,y')dnl
	define(`confPRIVACY_FLAGS',`authwarnings,goaway')

Note que esta comentada la línea confAUTH_OPTIONS (pues comienza con dnl), para facilitar hacer pruebas pero debe quitar el comentario posteriormente para que los métodos PLAIN y LOGIN de SMTP-AUTH sólo funcionen con TLS.

Verifique también que estén las siguientes líneas:

DAEMON_OPTIONS(`Family=inet, Address=0.0.0.0, Name=MTA')dnl
DAEMON_OPTIONS(`Family=inet, Address=0.0.0.0, Port=465, Name=TLSMTA')dnl 
DAEMON_OPTIONS(`Family=inet6, Address=::, Name=MTA6, M=s')dnl
DAEMON_OPTIONS(`Family=inet6, Address=::, Port=465, Name=MTA6, M=s')dnl
	

y en su archivo /etc/services agregue:

smtps           465/tcp    #protocolo smtp sobre TLS/SSL
	

Para habilitar el comando STARTTLS (que inicia encripción) en el servidor estándar del puerto 25 y otro servidor que sólo acepta conexiones encriptadas en el puerto 465.

Finalmente emplee el nuevo archivo de configuración y reinicie sendmail:

# make openbsd-proto-local.cf
# install -c -o root -g wheel -m 644 openbsd-proto-local.cf /etc/mail/sendmail.cf
# pkill sendmail
# . /etc/rc.conf
# sendmail $sendmail_flags
	

Dependiendo de su configuración para compilar fuentes la segunda línea podría ser:

# install -c -o root -g wheel -m 644 obj/openbsd-proto-local.cf /etc/mail/sendmail.cf

4.1.2.3. Pruebas

Inicie un diálogo con sendmail con:

# sendmail -O LogLevel=20 -bs -Am
220 correo.miescuela.edu.co ESMTP Sendmail 8.13.8/8.13.4; Wed, 13 Jul 2005 15:16:26 -0500 (COT)

EHLO LOCALHOST

250-correo.miescuela.edu.co Hello root@localhost, pleased to meet you
250-ENHANCEDSTATUSCODES
250-PIPELINING
250-8BITMIME
250-SIZE
250-DSN
250-ETRN
250-AUTH PLAIN LOGIN CRAM-MD5 DIGEST-MD5
250-STARTTLS
250-DELIVERBY
250 HELP

	

Note que deben aparecer las líneas STARTTLS y AUTH. Para autenticarse debe dar una identificación y una clave válida en el sistema pero codificadas en base 64. Puede emplear la interfaz CGI disponsible en http://makcoder.sourceforge.net/demo/base64.php o eventualmente el programa disponible en http://www.sendmail.org/~ca/email/prgs/ed64.c que puede compilar y usar así:

# cd /root/tmp
# ftp http://www.sendmail.org/~ca/email/prgs/ed64.c
# cc -o ed64 ed64.c
# ./ed64 -e
MiUsuario
TWlVc3Vhcmlv
MiClave
TWlDbGF2ZQ==

Retomando la sesion con sendmail y usando estos datos:

AUTH LOGIN
334 VXNlcm5hbWU6
TWlVc3Vhcmlv
334 UGFzc3dvcmQ6
TWlDbGF2ZQ==
235 2.0.0 OK Authenticated

puede intentar el envio de un correo por ejemplo con:

MAIL FROM:<pablo@miescuela.edu.co>
250 OK                                                                          
RCPT TO:<rodrigo@miescuela.edu.co>
250 Accepted                                                                    
DATA                                                                            
354 Enter message, ending with "." on a line by itself                          
From: "pablo@miescuela.edu.co" <pablo@miescuela.edu.co>
To:  rodrigo@miescuela.edu.co
Subject: probando

1234                                                                            
.                                                                               
250 OK id=1GZXFP-000540-7J                                                      
QUIT                                                                            

De requerirlo puede rastrear problemas en /var/log/maillog y/o intentar el protocolo descrito de forma remota (o también local) con:

telnet correo.miescuela.edu.co 25
220 correo.miescuela.edu.co ESMTP Sendmail 8.13.8/8.13.4; Wed, 13 Jul 2005 15:16:26 -0500 (COT)

EHLO [200.21.23.4]

y remplazando 200.21.23.4 por la IP desde la que inicia la conexión.

Si desea probar el método PLAIN, con ed64 emplee:

MiUsuario\0MiUsuario@pasosdeJesus.org\0MiClave
TWlVc3VhcmlvAE1pVXN1YXJpb0BwYXNvc2RlamVzdXMub3JnAE1pQ2xhdmU=
	

y al dialogar en SMTP:

AUTH PLAIN TWlVc3VhcmlvAE1pVXN1YXJpb0BwYXNvc2RlamVzdXMub3JnAE1pQ2xhdmU= 
	

También puede probar el servicio del puerto 465 con la misma secuencia, pero iniciando con:

openssl s_client -connect localhost:465
	

4.1.2.4. Configuración del cliente de correo (MUA)

Dependiendo de su cliente de correo será posible emplear los nuevos protocolos. Por ejemplo mozilla-thunderbird lo soporta, basta que en la configuración del servidor SMTP indique que debe emplearse un usuario y que emplee TLS (puede usar tanto el puerto 25 como el 465). Tenga en cuenta que el nombre del usuario con el cual autenticarse debe incluir el dominio (e.g pablo@miescuela.edu.co).

4.1.3. Cambiar puerto SMTP

Si desea cambiar el puerto en el que sendmail espera conexiones SMTP, emplee las fuentes del sistema:

# cd /usr/share/sendmail/cf
# vi openbsd-proto.mc

Busque y modifique la línea:

DAEMON_OPTIONS(`Family=inet, Address=0.0.0.0,  Name=MTA')dnl
DAEMON_OPTIONS(`Family=inet6, Address=::,  Name=MTA6, M=O')dnl

agregandoles un puerto no estándar:

DAEMON_OPTIONS(`Family=inet, Address=0.0.0.0, Port=2000,  Name=MTA')dnl
DAEMON_OPTIONS(`Family=inet6, Address=::, Port=2000,  Name=MTA6, M=O')dnl

Después genere el archivo de configuración /etc/mail/sendmail.cf con:

# make
# make distribution
	

finalmente reinicie sendmail o envíele una señal para que lea nuevamente archivos de configuración:

# pkill -HUP sendmail
	

4.1.4. Dominios virtuales

Si un mismo servidor atiende diversos dominios DNS, puede lograr que se acepte correo para cada dominio. Para esto:

  • Asegurese de tener un registro MX para el dominio que indique que su servidor es el servidor de correo del dominio. i.e en el archivo maestro del dominio (digamos /var/named/master/miescuela.edu.co) algo como:

    	MX      5       correo.miescuela.edu.co.
    	correo          IN      A       65.167.89.169
    
    	

    ¡No omita el punto que va a continuación del nombre del servidor MX!

  • Agregue el dominio (e.g miescuela.edu.co) a los archivos /etc/local-host-names y /etc/mail/relay-domains

  • Reinicie sendmail con:

    pkill -HUP sendmail
    				

Con esta configuración todo correo a una dirección de la forma pablo@miescuela.edu.co será enviado a la cola de correos del usuario local pablo. Si lo requiere es posible agregar direcciones que se envíen a otro usuario local, agregando entradas al archivo /etc/mail/virtusertable, por ejemplo:

info@miescuela.edu.co	pablo
		

reenviará todo correo dirigido a info@miescuela.edu.co al usuario local pablo.

4.2. Protocolos para revisar correo

Para extraer correos de un servidor pueden emplearse los protocolos inseguros[7] POP3 e IMAP o bien sus análogos seguros sobre SSL: POP3S e IMAPS En esta sección se describe la configuración extra-rápida pero insegura de POP3, y la configuración segura pero que requiere configuración más delicada de POP3S e IMAPS con las implementaciones de Courier.

4.2.1. POP3

POP3 (Post Office Protocol) es un protocolo que permite sacar correos de un servidor para llevarlos a otro computador donde podrán examinarse con un MUA.

Para que los usuarios puedan emplear clientes de correo que soporten POP3, es necesario configurar un servidor de este protocolo. OpenBSD incluye entre sus componente básicos un servidor de POP3 (popa3d), que puede activar agregando la siguiente línea al archivo /etc/inetd.conf:

pop3           stream  tcp     nowait  root    /usr/sbin/popa3d        popa3d
      

y reinicie el servicio inetd con:

pkill -HUP inetd
      

[Aviso]Aviso

Tenga en cuenta que POP3 transmite claves y mensajes de correo como texto plano y estos podrían ser interceptadas. Para remediar la situación, si cuenta con un cliente de correo que soporte POP3 sobre SSL, es posible emplear el protocolo POP3S, que es el mismo POP3 pero encriptado con SSL (ver siguiente sección).

4.2.2. Implementación Courier de POP3S e IMAPS

Aunque hay otras implementaciones de POP3S (como dovecot), en esta sección se describe la de courier por ser completa. Sin embargo esta implementación requiere que se cambie la forma de almacenar correos recibidos por sendmail de formato mbox a formato maildir. Esto y la autenticación que requiere courier exigen una configuración especial que se describe a continuación.

4.2.2.1. Autenticación Courier

Insatale courier-authlib-0.58p3, paquete que se encarga de la autenticación. Para iniciarlo en cada arranque agregue a /etc/rc.local:

pgrep authdaemond > /dev/null
if (test "$?" != "0" -a X"$authdaemond_flags" != X"NO" ) then {
	echo -n ' authdaemond';
	mkdir -p /var/run/courier-auth/
	/usr/local/sbin/authdaemond $authdaemond_flags
} fi;

en /etc/rc.conf.local:

authdaemond_flags="start" 

y en /etc/rc.shutdown:

if [ -f /var/run/courier-auth/pid ]; then
        authdaemond stop
	rm /var/run/courier-auth/pid
fi

Una vez en operación puede probar la autenticación con authtest usuario y authtest usuario clave

4.2.2.2. Sendmail almacenando correos en formato maildir

El formato mbox almacena todos los correos en un sólo archivo, uno tras otro. El formato maildir (propio del MTA qmail) almacena cada correo en un archivo separado en algún directorio, por defecto hay 3 directorios (cur, new y tmp) aunque el usuario puede crear otros.

Tipicamente sendmail deja los correos que recibe en formato mbox en archivos del directorio /var/mail. En esta sección se explica como lograr que los almacene en el directorio maildir de la cuenta de un usuario.

Una sencilla solución que no requiere mayores cambios es emplear procmail. Instale el paquete procmail-3.22p2 y en la cuenta de cada usuario que vaya a usar POP3S o IMAPS cree los archivos .forward y .procmailrc, análogos a los siguientes (suponemos que se trata del usuario pablo):

  • En /home/pablo/.forward

    "| exec /usr/local/bin/procmail"
          

    las comillas son indispensables así como el símbolo '|'.

  • En /home/pablo/.procmailrc

    LINEBUF=4096
    #VERBOSE=on
    PMDIR=/home/pablo/
    MAILDIR=$PMDIR/maildir/
    FORMAIL=/usr/local/bin/formail
    SENDMAIL=/usr/sbin/sendmail
    #LOGFILE=$PMDIR/log
    
    :0
    * .*
    /home/pablo/maildir/
          

    Note que el directorio de la variable MAILDIR termina con '/'. Esto es indispensable para indicar a procmail que debe guardar en esa ruta en formato Maildir.

  • Deje además listo un directorio en formato Maildir en /home/pablo/maildir con:

    	      maildirmake /home/pablo/maildir
    	      chown -R pablo:estudiante /home/pablo/maildir
          

De esta forma cada vez que sendmail reciba un correo para el usuario local pablo en vez de almacenar en /var/mail/pablo ejecutará la línea del archivo /home/pablo/.forward, la cual a su vez ejecutará procmail para procesar el correo que llega por entrada estándar. procmail empleará la configuración de /home/pablo/.procmailrc que le indica guardar todo correo que llegue a la cuenta en /home/pablo/maildir/ (como se trata de un directorio y termina con '/', procmail identifica que debe salvar en formato Maildir, si fuera un archivo agregaría en formato MBOX).

El usuario pablo podría probar su archivo de configuración de procmail modificando ~/.procmail para quitar el comentario de la línea

VERBOSE=on
      

y ejecutando:

$ cd /home/pablo
$ procmail 
Mensaje de prueba
Terminelo con Control-D
.
procmail: [21024] Fri Jul  1 18:32:30 2005
procmail: Assigning "PMDIR=/home/pablo/"
procmail: Assigning "MAILDIR=/home/pablo//maildir/"
procmail: Assigning "FORMAIL=/usr/local/bin/formail"
procmail: Assigning "SENDMAIL=/usr/sbin/sendmail"
procmail: Assigning "LOGFILE=/home/pablo/log"

Tras lo cual debe encontrar un nuevo archivo en maildir/new con el mensaje de prueba.

Puede verificar el funcionamiento de .forward enviando un correo a la cuenta del usuario y revisando la bitácora /var/log/maillog donde deben aparecer un par de líneas análogas a:

Dec 19 18:31:59 servidor sendmail[22209]: kBJNVwMt022209: to=test@localhost, ctladdr=pablo (1000/1000), delay=00:00:01, xdelay=00:00:01, mailer=relay, pri=30061, relay=[127.0.0.1] [127.0.0.1], dsn=2.0.0, stat=Sent (kBJNVw3t021322 Message accepted for delivery)
Dec 19 18:31:59 servidor sm-mta[21454]: kBJNVw3t021322: to="| exec /usr/local/bin/procmail", ctladdr=<test@Jesus.miescuela.edu.co> (1008/10), delay=00:00:00, xdelay=00:00:00, mailer=prog, pri=30756, dsn=2.0.0, stat=Sent
		

4.2.2.3. POP3S con Courier

Después de configurar autenticación y acople con sendmail como se explicó en secciones anteriores. Instale el paquete courier-pop3-4.1.1p0 Todos estos paquetes se configuran en el directorio /etc/courier. Después de instalarlos copie los archivos de configuración de ejemplo:

# mkdir -p /etc/courier
# cp /usr/local/share/examples/courier/* /etc/courier
      

y editelos.

En /etc/courier/pop3d cambie

POP3DSTART=YES
MAILDIRPATH=maildir
      

y en /etc/courier/pop3d-ssl cambie

MAILDIRPATH=maildir
      

Para emplear SSL requiere un certificado (por defecto en /etc/ssl/private/pop3d.pem) firmado por una Autoridad Certificadora, . Alternativamente puede genear certificados autofirmados, para esto modifique la información del archivo /etc/courier/pop3d.cnf y ejecute:

# mkpop3dcert
      

Script que creará un ceritificado válido por un año (si lo requiere por más tiempo puede editar el script y cambiar el número de días de validez en la opción -days de openssl).

En caso de que si tenga un certificado firmado digamos para su servidor web, puede emplearlo (ver [courier-cert]) así:

cd /etc/ssl/private
cat server.key ../server.crt > pop3d.pem
	      

Para iniciar POP3S ejecute:

sudo mkdir -p /var/run/courier
sudo /usr/local/libexec/pop3d-ssl.rc start
      

líneas que se recomienda agregar a /etc/rc.local si planea prestar servicio continuo (y abrir el puerto apropiado del cortafuegos, ver a continuación).

Para detener POP3S:

sudo /usr/local/libexec/pop3d-ssl.rc stop
      

POP3 usa por defecto el puerto 110, POP3S tipicamente emplea el puerto 995. Para abrir ese puerto en un cortafuegos en /etc/pf.conf podría emplear una línea de la forma:

pass in on $ext_if proto tcp to ($ext_if) port pop3s keep state
      

Puede probar el funcionamiento del servidor con:

$ openssl s_client -connect localhost:995 
      

teniendo en cuenta que el correo debe estar en formato Maildir en el directorio maildir del usuario que revisará. Una sesión típica sería:

+OK Hello there.
user pablo
+OK Password required.
pass ejem
+OK logged in.
list
+OK POP3 clients that break here, they violate STD53.
1 17559
2 1128
3 2430
. 
      

Notará que la implementación Courier de POP3S intenta extraer correos del directorio maildir/cur

4.2.2.4. IMAP-SSL con Courier

IMAP es un protocolo que permite a un MUA examinar y administrar correos que llegan a un servidor, tipicamente sin sacar los correos del servidor (a diferencia de POP) y con la posibilidad de manejar directorios/carpetas.

Después de configurar autenticación y acople con sendmail como se explicó en secciones anteriores. Instale el paquete courier-imap-4.1.1p2 Una vez haya copiado en /etc/courier ejemplos de los archivos de configuración (ver POP3S), renombrelos (e.g sudo mv /etc/courier/imapd.dist /etc/courier/imapd) y edite /etc/courier/imapd para cambiar por lo menos:

IMAPDSTART=YES
MAILDIRPATH=maildir
      

y en /etc/courier/imapd-ssl

MAILDIRPATH=maildir
      

Para generar un certificado autofirmado edite imapd.cnf para personalizar sus datos y ejecute

# mkimapdcert
      

o si desea emplear el mismo certificado de su servidor web:

cd /etc/ssl/private
cat server.key ../server.crt > imapd.pem
      

Para iniciar IMAPS ejecute:

sudo mkdir -p /var/run/courier
sudo /usr/local/libexec/imapd-ssl.rc start
      

y para detenerlo:

sudo /usr/local/libexec/imapd-ssl.rc stop
      

Para iniciar el servicio cada vez que arranque el sistema agregue a /etc/rc.local:

pgrep couriertcpd > /dev/null
if [ "$?" != 0 -a -x /usr/local/libexec/imapd-ssl.rc ]; then
	echo -n ' imapd-ssl '
	mkdir -p /var/run/courier/
	/usr/local/libexec/imapd-ssl.rc $impadssl_flags
fi
		

y a /etc/rc.conf.local:

imapdssl_flags="start"
		

Cuando ejecute tanto authdaemond como imapd-ssl deben quedar corriendo varios procesos: authdaemond (o el método de autenticación que haya configurado), couriertcpd, courierlogger. Si desea ver mensajes de depuración en /var/log/maillog, cambie en /etc/courier/imapd:

DEBUG_LOGIN=1
		

podrá detener los servicios con:

sudo /usr/local/libexec/imapd-ssl.rc stop
rm /var/run/courier/imapd-ssl.pid
		

Si tiene cortafuegos activo asegurese también de abrir el puerto 993 agregando a /etc/pf.conf algo como:

pass in on $ext_if proto tcp to ($ext_if) port 993 keep state
		

Una vez en ejecución puede hacer una prueba como:

$ openssl s_client -connect localhost:993
...
AB LOGIN pablo MiClave
AB OK LOGIN Ok.
BC SELECT "Inbox"
BC NO Unable to open this mailbox.
ZZZZ LOGOUT
* BYE Courier-IMAP server shutting down
ZZZZ OK LOGOUT completed

4.2.2.5. Facilitar uso de implementación Courier

Una vez se use procmail para recibir en formato Maildir los correos de un usuario, ese usuario no podrá seguir usando mail para ver los correos recibidos, pero si podrá emplear mutt agregando al archivo de configuración ~/.muttrc:

set spoolfile=imaps://localhost/INBOX
set folder=imaps://localhost/
		

Como administrador del sistema podrá automatizar más la configuración de cuentas nuevas así:

  1. Crear archivos en /etc/skel que se copiarán a cada cuenta nueva, (el contenido de cada uno debe ser como el descrito en secciones anteriores):

    maildirmake /etc/skel
    /etc/skel/.forward
    /etc/skel/.muttrc
    /etc/skel/.procmailrc
    					

  2. Como será procmail y no sendmail quien manejará correos, cada vez que cree una cuenta ejecute:

    touch /var/mail/usuario
    chown usuario:usuario /var/mail/usuario
    chmod go-r /var/mail/usuario
    

    y ajuste el archivo .procmailrc. Es recomendable que haga esto en un script que primero ejecute adduser, y que sería el nuevo comando para crear cuentas en el sistema.

Esta configuración se aplicará a nuevas cuentas que cree, pero debe replicarla en cuentas ya creadas:

cd /etc/skel
cp -rf maildir .forward .procmailrc .muttrc /home/cuenta/ 
chown -R cuenta:cuenta /home/cuenta/{.forward,.procmailrc,.muttrc,maildir}
touch /var/mail/cuenta
chown -R cuenta:cuenta /var/mail/cuenta
chmod og-r /var/mail/cuenta

4.3. Combatiendo correo no solicitado con spamd

spamd es un servicio particular de OpenBSD que funciona en llave con pf para bloquear correos provenientes de IPs listadas en índices actualizados vía Internet. Puede operar en 3 modos:

  • Lista negra (blacklisting)

  • Lista gris (graylisting)

  • Atrapar grises (gray trapping)

4.3.1. Lista Negra

En este modo hay una lista de IPs prohibidas, todo correo proveniente de una de estas IPs es bloqueado ---en realidad más que sólo bloqueado porque spamd hace perder tiempo a los MTA que se conectan desde esas IPs.

4.3.1.1. Configuración

No se requiere instalar paquetes, todo hace parte del sistema base.

  • Editar /etc/mail/spamd.conf. La configuración por defecto bloquea IPs listadas por Spew así como IPs de China y Korea. Descarga copias de estas listas del sitio oficial de OpenBSD, aunque hay otros sitios, ver http://www.openbsd.org/spamd/

  • Iniciar spamd ejecutando /usr/libexec/spamd -b. Debe arracarse junto con el sistema, agregando a /etc/rc.conf.local:

    spamd_flags="-b"
    			

    puede resultar práctico agregar a /etc/rc.local:

    pgrep spamd> /dev/null
    if [ "$?" != "0" -a X"$spamd_flags" != X"NO" ]; then
            echo -n ' spamd';
            eval /usr/libexec/spamd ${spamd_flags}
            /usr/libexec/spamd-setup
    fi
    			

  • Preparar pf para bloquear direcciones que estén en la tabla spamd (lista negra). Para esto además de asegurarse de que pf se inicie durante el arranque, ejecutar pfctl -f /etc/pf.conf después de agregar a /etc/pf.conf (o quitar comentarios):

    table <spamd> persist
    no rdr on { lo0, lo1 } from any to any
    rdr pass inet proto tcp from <spamd> to any port smtp -> 127.0.0.1 port spamd   
    			

  • Ejecutar /usr/libexec/spamd-setup Este programa descarga copias del listado de spammers tal como se configure en /etc/spamd.conf, después envía el listado a spamd por el puerto 8026 (o el especificado en /etc/services como spamd-cfg) y actualiza las tabla <spamd> de pf. Esta operación debe hacerse periódicamente para lo cual puede agregarse al crontab del administrador (ejecutar como root crontab -e):

    1       1       *       *       *       /usr/libexec/spamd-setup
    

Una vez en operación pf redirigirá al puerto 8025 (o el que se configure en /etc/services como spamd) toda conexión proveniente de una IP que esté en la lista negra. spamd escucha en ese puerto y hace perder tiempo a quien se conecte, antes de rechazar la conexión.

4.3.1.2. Pruebas

Puede ver como spamd hará perder tiempo al MTA de cada IP listada en la lista negra ejecutando:

telnet localhost 8025

4.3.2. Lista Gris

En este caso hay una lista negra, una gris y una blanca.

  • Es análoga al caso anterior para direcciones que estén en la lista negra.

  • Se recibe todo correo que provenga de direcciones que están en la lista blanca.

  • Toda dirección que no esté en la lista negra ni en la blanca pasa primero a una lista gris y se solicita al servidor que envió reenviar el mensaje, si el mensaje es reenviado la dirección se pasa a la lista blanca.

La configuración es tal como la de listas negras, sólo que

  • En /etc/pf.conf debe ser:

    table <spamd> persist
    table <spamd-white> persist
    no rdr on { lo0, lo1 } from any to any
    rdr pass inet proto tcp from <spamd> to any port smtp -> 127.0.0.1 port spamd
    rdr pass inet proto tcp from !<spamd-white> to any port smtp -> 127.0.0.1 port spamd
    

  • En /etc/rc.conf.local :

    spamd_flags=""          # for normal use: "" and see spamd-setup(8)
    spamd_grey=YES           # use spamd greylisting if YES
    spamlogd_flags=""       # use eg. "-i interface" and see spamlogd(8)
    

  • Si se arranca spamd no debe usarse la opción -b (puede ser sin opciones o con -g).

4.3.3. Referencias y lecturas recomendadas

Páginas man spamd, spamd.conf spamd(8), spamd.conf(5), spamd-setup(8). http://dhobsd.pasosdejesus.org/?id=Listas+grises+con+spamd

4.4. Correo desde el web (webmail)

4.4.1. Openwebmail (sin chroot)

Para instalar openwebmail en un servidor OpenBSD que ya tenga sendmail corriendo hay que tener en cuenta:

  • Aunque es buena práctica montar el directorio /var/ con la opción nosuid para que no admita archivos ejecutables SUID en esta partición, openwebmail requiere eliminar esta restricción. Entonces si el archivo /etc/fstab tiene una línea como:

    /dev/wd0e /var ffs rw,nodev,nosuid 1 2
    

    debe editarlo para que quede:

    /dev/wd0e /var ffs  rw,nodev   1 2
    

    Reinicie después de hacer este cambio, o emplee:

    mount -u -o rw,nodev /var
    

  • Descargue e instale el paquete openwebmail con pkg_add openwebmail-x.tgz . Este programa es un CGI escrito en Perl, el paquete para OpenBSD depende, entre otros, de varias librerías para perl y crea el grupo _mail.

  • Una vez instalado se revisan los permisos de los archivos presentes en el directorio /var/www/cgi-bin/openwebmail. Los archivos *.pl deben tener estos permisos -r-sr-xr-x Para lograrlo haga:

    chmod 4555 /var/www/cgi-bin/openwebmail/*.pl
    

  • El dueño de estos archivos debe ser root y debe pertenecer al grupo _mail, por tanto hacer:

    chown root._mail  /var/www/cgi-bin/openwebmail/*.pl
    

  • Para cada usuario del sistema hay que crear su carpeta de correo con permisos 600 y dueño usuario. usuario. Hacer:

    touch /var/mail/usuario
    chmod 600 /var/mail/usuario
    chown usuario.usuario /var/mail/usuario
    	  

4.5. Listas de correo

4.5.1. Instalación de Mailman (sin chroot)

Instalar paquete de mailman pkg_add $PKG_PATH/mailman.tgz que requiere python-2.4.4p4 se crean automáticamente el grupo _mailman y el usuario _mailman

Leer /usr/local/share/doc/mailman/README.OpenBSD

Editar /var/www/conf/httpd.conf agregando la linea:

ScriptAlias /mailman/ "$mailmandir/cgi-bin/"

donde $mailmandir es /usr/local/lib/mailman/ agregar también:

<Directory "/usr/local/lib/mailman/cgi-bin">
    AllowOverride None
    Options None
    Order allow,deny
    Allow from all
</Directory>

además agregar las lineas:

Alias /pipermail/ "/var/spool/mailman/archives/public/"

<Directory "/var/spool/mailman/archives/public/">
        Options FollowSymLinks
        AddDefaultCharset Off
</Directory>

al mismo archivo.

Copiar los iconos: cp /usr/local/lib/mailman/icons/* /var/www/icons/ Reiniciar el apache para que cargue los cambios.

apachectl stop
. /etc/rc.conf.local
httpd $httpd_flags

editar el archivo /usr/local/lib/mailman/Mailman/mm_cfg.py agregando las lineas

DEFAULT_EMAIL_HOST = 'dominio.net'
DEFAULT_URL_HOST = 'www.dominio.net'
DEFAULT_URL_PATTERN = 'http://%s/mailman/'
add_virtualhost(DEFAULT_URL_HOST, DEFAULT_EMAIL_HOST)

Crear primera lista llamada mailman

/usr/local/lib/mailman/bin/newlist mailman

agregar a /etc/mail/aliases las lineas:

## mailman mailing list
mailman:              "|/usr/local/lib/mailman/mail/mailman post mailman"
mailman-admin:        "|/usr/local/lib/mailman/mail/mailman admin mailman"
mailman-bounces:      "|/usr/local/lib/mailman/mail/mailman bounces mailman"
mailman-confirm:      "|/usr/local/lib/mailman/mail/mailman confirm mailman"
mailman-join:         "|/usr/local/lib/mailman/mail/mailman join mailman"
mailman-leave:        "|/usr/local/lib/mailman/mail/mailman leave mailman"
mailman-owner:        "|/usr/local/lib/mailman/mail/mailman owner mailman"
mailman-request:      "|/usr/local/lib/mailman/mail/mailman request mailman"
mailman-subscribe:    "|/usr/local/lib/mailman/mail/mailman subscribe mailman"
mailman-unsubscribe:  "|/usr/local/lib/mailman/mail/mailman unsubscribe mailman"

Regenerar alias con newaliases

Poner en el crontab algunas lineas:

crontab -u _mailman  /usr/local/lib/mailman/cron/crontab.in

Reiniciar mailman:

/usr/local/lib/mailman/bin/mailmanctl start

Hacer que cada vez que se inicie el equipo corra mailman, agregnado al archivo /etc/rc.local las lineas:

if [ X"$mailmanctl_flags" != X"NO" -a  \
	-x /usr/local/lib/mailman/bin/mailmanctl ]; then
          echo -n ' mailman'
          /usr/local/lib/mailman/bin/mailmanctl $mailmanctl_flags
fi

y en /etc/rc.conf.local:

mailmanctl_flags="-s -q start"

Asignar password al sitio de mailman con

	/usr/local/lib/mailman/bin/mmsitepass

4.5.1.1. Lecturas recomendadas

/usr/local/share/doc/mailman/README.OpenBSD



[5] De acuerdo al RFC 1123 los nombre MUA y MTA son propios del protocolo X.400.

[6] De acuerdo al protocolo SMTP, sendmail de amor se conectaría por el puerto 25 a sendmail en respeto y enviaría los mensajes EHLO, MAIL FROM: pablo@amor.miescuela.edu.co, después enviaría RCPT TO: rodrigo@respeto.miescuela.edu.co, después DATA y a continuación el cuerpo del correo comenzando con el encabezado de acuerdo al RFC 822, con un cuerpo de mensaje que emplee 7 bits y terminando con una línea que sólo tenga un punto. Por ejemplo

From: pablo@amor.miescuela.edu.co
To: rodrigo@respeto.miescuela.edu.co
Subject: Saludo

Un cortisimo saludo para bendición de nuestro Creador.
.  

Si lo desea puede experimentar con este protocolo, empleando telnet y el MTA de su computador: telnet localhost 25. Claro resulta más transparente empleando directamente sendmail :

 sendmail -bm
rodrigo@respeto.miescuela.edu.co -f
pablo@amor.miescuela.edu.co 

(para emplear -f con sendmail debe ser usuario autorizado).

[7] Son inseguros porque transmiten claves y el contenido de los mensajes planos por la red