Para contar con el servicio SASL en su servidor (que puede ser usado por diversos programas entre los que está sendmail), instale el paquete cyrus-sasl y cree el archivo /usr/local/lib/sasl2/Sendmail.conf para que contenga:

pwcheck_method: saslauthd

con lo que indica que desde sendmail, Cyrus-SASL debe emplear el servidor saslauthd. Para realizar la autenticación, Cyrus-SASL puede configurarse con diversas fuentes de información (e.g LDAP, bases de datos), puede iniciarlo indicando que desea emplear las funciones estándar de autenticación de OpenBSD con:

# mkdir /var/sasl2
# /usr/local/sbin/saslauthd -a getpwent

Para que este servicio se inicie en cada arranque agregue en /etc/rc.local antes del arranque de sendmail:

pgrep saslauthd > /dev/null
if [ "$?" != "0" -a X"$saslauthd_flags" != X"NO" -a -x /usr/local/sbin/saslauthd
 ]; then
	echo -n ' saslauthd';
       	mkdir -p /var/sasl2
       	/usr/local/sbin/saslauthd ${saslauthd_flags}
fi

y en /etc/rc.conf.local:

saslauthd_flags="-a getpwent"

Si lo requiere puede iniciar este servicio en modo de depuración (en primer plano y enviando a salida estándar bastante información) con:

# /usr/local/sbin/saslauthd -a getpwent -d

Una vez este funcionado este servicio (al examinarlo con ps se ve que inicia varios procesos) puede probar que esté autenticado usuarios con

$ testsaslauthd -u usuario -p clave

Al agregar a SMTP protocolos como TLS y AUTH-SMTP el nuevo protocolo toma el nombre ESMTP. Para extenderlo en OpenBSD debe recompilar sendmail y debe emplear su propio archivo de configuración.

Dado que TLS requiere un certificado SSL, si tiene uno ya firmado por una autoridad certificadora déjelo en /etc/mail/certs o genere uno autofirmado (como se explica en man starttls):

# mkdir /etc/mail/certs
# openssl dsaparam 1024 -out dsa1024.pem
# openssl req -x509 -nodes -days 3650 -newkey dsa:dsa1024.pem \
  -out /etc/mail/certs/mycert.pem -keyout /etc/mail/certs/mykey.pem
# ln -s /etc/mail/certs/mycert.pem /etc/mail/certs/CAcert.pem
# rm dsa1024.pem
# chmod -R go-rwx /etc/mail/certs
	

Para recompilar sendmail, si aún no lo ha hecho, debe descargar y actualizar a las fuentes más recientes:

# cd /root/tmp
# ftp $PKG_PATH/../../src.tar.gz
# cd /usr
# mkdir src
# cd src
# tar xvfz /root/tmp/src.tar.gz
# for i in `find . -name CVS`; do echo $i; 
> echo "anoncvs@anoncvs1.ca.openbsd.org:/cvs" > $i/Root;
> done
# cvs -z3 update -Pd -rOPENBSD_5_0

Después indique que desea recompilar sendmail con soporte para autenticación creando o editando el archivo /etc/mk.conf para que incluya:

WANT_SMTPAUTH = yes

Recompile e instale sendmail con:

# cd /usr/src/gnu/usr.sbin/sendmail
# make clean
# make
# make install

Finalmente cree un nuevo archivo de configuración a partir del estándar:

# cd /usr/src/gnu/usr.sbin/sendmail/cf/cf
# cp openbsd-proto.mc openbsd-proto-local.mc

En el nuevo openbsd-proto-local.mc después de la línea OSTYPE(openbsd)dnl agregue:

	define(`CERT_DIR',        `MAIL_SETTINGS_DIR`'certs')
	define(`confCACERT_PATH', `CERT_DIR')
	define(`confCACERT',      `CERT_DIR/CAcert.pem')
	define(`confSERVER_CERT', `CERT_DIR/mycert.pem')
	define(`confSERVER_KEY',  `CERT_DIR/mykey.pem')
	define(`confCLIENT_CERT', `CERT_DIR/mycert.pem')
	define(`confCLIENT_KEY',  `CERT_DIR/mykey.pem')

y después de la línea FEATURE(`no_default_msa')dnl:

	define(`confAUTH_MECHANISMS',`PLAIN LOGIN CRAM-MD5 DIGEST-MD5')dnl
	TRUST_AUTH_MECH(`PLAIN LOGIN CRAM-MD5 DIGEST-MD5')dnl
	define(`confAUTH_OPTIONS',`p,y')dnl
	define(`confPRIVACY_FLAGS',`authwarnings,goaway')

Para realizar pruebas con los métodos PLAIN y LOGIN sin cifrar puede comentar la línea confAUTH_OPTIONS poniendo antes dnl).

Verifique también que estén las siguientes líneas:

DAEMON_OPTIONS(`Family=inet, Address=0.0.0.0, Name=MTA')dnl
DAEMON_OPTIONS(`Family=inet, Address=0.0.0.0, Port=465, Name=SSLMTA, M=s')dnl 
DAEMON_OPTIONS(`Family=inet6, Address=::, Name=MTA6, M=s')dnl
DAEMON_OPTIONS(`Family=inet6, Address=::, Port=465, Name=MTA6, M=s')dnl
	

Para habilitar el comando STARTTLS (que inicia encripción) en el servidor estándar del puerto 25 y otro servidor que sólo acepta conexiones encriptadas en el puerto 465.

Finalmente emplee el nuevo archivo de configuración y reinicie sendmail:

# make openbsd-proto-local.cf
# install -c -o root -g wheel -m 644 openbsd-proto-local.cf /etc/mail/sendmail.cf
# pkill sendmail
# . /etc/rc.conf
# sendmail $sendmail_flags
	

Dependiendo de su configuración para compilar fuentes la segunda línea podría ser:

# install -c -o root -g wheel -m 644 obj/openbsd-proto-local.cf /etc/mail/sendmail.cf

Inicie un diálogo con sendmail con:

# sendmail -O LogLevel=20 -bs -Am
220 correo.miescuela.edu.co ESMTP Sendmail 8.13.8/8.13.4; Wed, 13 Jul 2005 15:16:26 -0500 (COT)

EHLO LOCALHOST

250-correo.miescuela.edu.co Hello root@localhost, pleased to meet you
250-ENHANCEDSTATUSCODES
250-PIPELINING
250-8BITMIME
250-SIZE
250-DSN
250-ETRN
250-AUTH PLAIN LOGIN CRAM-MD5 DIGEST-MD5
250-STARTTLS
250-DELIVERBY
250 HELP

	

Note que deben aparecer las líneas STARTTLS y AUTH. Para autenticarse debe dar una identificación y una clave válida en el sistema pero codificadas en base 64. Puede emplear la interfaz CGI disponible en http://www.motobit.com/util/base64-decoder-encoder.asp o eventualmente el programa disponible en http://www.sendmail.org/~ca/email/prgs/ed64.c que puede compilar y usar así:

# cd /root/tmp
# ftp http://www.sendmail.org/~ca/email/prgs/ed64.c
# cc -o ed64 ed64.c
# ./ed64 -e
MiUsuario
TWlVc3Vhcmlv
MiClave
TWlDbGF2ZQ==

Retomando la sesion con sendmail y usando estos datos:

AUTH LOGIN
334 VXNlcm5hbWU6
TWlVc3Vhcmlv
334 UGFzc3dvcmQ6
TWlDbGF2ZQ==
235 2.0.0 OK Authenticated

puede intentar el envío de un correo por ejemplo con:

MAIL FROM:<pablo@miescuela.edu.co>
250 OK                                                                          
RCPT TO:<rodrigo@miescuela.edu.co>
250 Accepted                                                                    
DATA                                                                            
354 Enter message, ending with "." on a line by itself                          
From: "pablo@miescuela.edu.co" <pablo@miescuela.edu.co>
To:  rodrigo@miescuela.edu.co
Subject: probando

1234                                                                            
.                                                                               
250 OK id=1GZXFP-000540-7J                                                      
QUIT                                                                            

De requerirlo puede rastrear problemas en /var/log/maillog y/o intentar el protocolo descrito de forma remota (o también local) con:

telnet correo.miescuela.edu.co 25
220 correo.miescuela.edu.co ESMTP Sendmail 8.13.8/8.13.4; Wed, 13 Jul 2005 15:16:26 -0500 (COT)

EHLO [200.21.23.4]

y remplazando 200.21.23.4 por la IP desde la que inicia la conexión.

Si desea probar el método PLAIN, con ed64 emplee:

MiUsuario\0MiUsuario@pasosdeJesus.org\0MiClave
TWlVc3VhcmlvAE1pVXN1YXJpb0BwYXNvc2RlamVzdXMub3JnAE1pQ2xhdmU=
	

y al dialogar en SMTP:

AUTH PLAIN TWlVc3VhcmlvAE1pVXN1YXJpb0BwYXNvc2RlamVzdXMub3JnAE1pQ2xhdmU= 
	

También puede probar el servicio del puerto 465 con la misma secuencia, pero iniciando con:

openssl s_client -connect localhost:465
	

Dependiendo de su cliente de correo será posible emplear los nuevos protocolos. Por ejemplo mozilla-thunderbird lo soporta, basta que en la configuración del servidor SMTP indique que debe emplearse un usuario y que emplee TLS (puede usar tanto el puerto 25 como el 465). Tenga en cuenta que el nombre del usuario con el cual autenticarse debe incluir el dominio (e.g pablo@miescuela.edu.co).

Insatale courier-authlib-0.63.0p3, paquete que se encarga de la autenticación. Para iniciarlo en cada arranque agregue a /etc/rc.local:

pgrep authdaemond > /dev/null
if (test "$?" != "0" ) then {
	echo -n ' authdaemond';
	mkdir -p /var/run/courier-auth/
	/usr/local/sbin/authdaemond start
} fi;

y en /etc/rc.shutdown:

if [ -f /var/run/courier-auth/pid ]; then
        authdaemond stop
	rm /var/run/courier-auth/pid
fi

Una vez en operación puede probar la autenticación con authtest usuario y authtest usuario clave

El formato mbox almacena todos los correos en un sólo archivo, uno tras otro. El formato maildir (propio del MTA qmail) almacena cada correo en un archivo separado en algún directorio, por defecto hay 3 directorios (cur, new y tmp) aunque el usuario puede crear otros.

Típicamente sendmail deja los correos que recibe en formato mbox en archivos del directorio /var/mail. En esta sección se explica como lograr que los almacene en el directorio Maildir de la cuenta de un usuario.

Una sencilla solución que no requiere mayores cambios es emplear procmail. Instale el paquete procmail-3.22p3 y en la cuenta de cada usuario que vaya a usar POP3S o IMAPS cree los archivos .forward y .procmailrc, análogos a los siguientes (suponemos que se trata del usuario pablo):

De esta forma cada vez que sendmail reciba un correo para el usuario local pablo en vez de almacenar en /var/mail/pablo ejecutará la línea del archivo /home/pablo/.forward, la cual a su vez ejecutará procmail para procesar el correo que llega por entrada estándar. procmail empleará la configuración de /home/pablo/.procmailrc que le indica guardar todo correo que llegue a la cuenta en /home/pablo/Maildir/ (como se trata de un directorio y termina con '/', procmail identifica que debe salvar en formato Maildir, si fuera un archivo agregaría en formato MBOX).

El usuario pablo podría probar su archivo de configuración de procmail modificando ~/.procmail para quitar el comentario de la línea

VERBOSE=on
      

y ejecutando:

$ cd /home/pablo
$ procmail 
Mensaje de prueba
Termínelo con Control-D
.
procmail: [21024] Fri Jul  1 18:32:30 2005
procmail: Assigning "PMDIR=/home/pablo/"
procmail: Assigning "MAILDIR=/home/pablo/Maildir/"
procmail: Assigning "FORMAIL=/usr/local/bin/formail"
procmail: Assigning "SENDMAIL=/usr/sbin/sendmail"
procmail: Assigning "LOGFILE=/home/pablo/log"

Tras lo cual debe encontrar un nuevo archivo en Maildir/new con el mensaje de prueba.

Puede verificar el funcionamiento de .forward enviando un correo a la cuenta del usuario y revisando la bitácora /var/log/maillog donde deben aparecer un par de líneas análogas a:

Dec 19 18:31:59 servidor sendmail[22209]: kBJNVwMt022209: to=test@localhost, ctladdr=pablo (1000/1000), delay=00:00:01, xdelay=00:00:01, mailer=relay, pri=30061, relay=[127.0.0.1] [127.0.0.1], dsn=2.0.0, stat=Sent (kBJNVw3t021322 Message accepted for delivery)
Dec 19 18:31:59 servidor sm-mta[21454]: kBJNVw3t021322: to="| exec /usr/local/bin/procmail", ctladdr=<test@miescuela.edu.co> (1008/10), delay=00:00:00, xdelay=00:00:00, mailer=prog, pri=30756, dsn=2.0.0, stat=Sent
		

Después de configurar autenticación y acople con sendmail como se explicó en secciones anteriores. Instale el paquete courier-pop3-4.8.0p4. Este paquete se configura en el directorio /etc/courier, donde deja varios archivos de configuración de ejemplo que debe editar (también podrá encontrar los archivos de ejemplo en /usr/local/share/examples/courier/).

En /etc/courier/pop3d cambie

POP3DSTART=YES
MAILDIRPATH=Maildir
      

y en /etc/courier/pop3d-ssl cambie

MAILDIRPATH=Maildir
      

Para emplear SSL requiere un certificado (por defecto en /etc/ssl/private/pop3d.pem) firmado por una Autoridad Certificadora, . Alternativamente puede generar certificados autofirmados, para esto modifique la información del archivo /etc/courier/pop3d.cnf y ejecute:

# mkpop3dcert
      

Script que creará un certificado válido por un año (si lo requiere por más tiempo puede editar el script y cambiar el número de días de validez en la opción -days de openssl).

En caso de que si tenga un certificado firmado digamos para su servidor web, puede emplearlo (ver [courier-cert]) así:

cd /etc/ssl/private
cat server.key ../server.crt > pop3d.pem
	      

Para iniciar POP3S ejecute:

sudo mkdir -p /var/run/courier
sudo /usr/local/libexec/pop3d-ssl.rc start
      

líneas que se recomienda agregar a /etc/rc.local si planea prestar servicio continuo (y abrir el puerto apropiado del cortafuegos, ver a continuación).

Para detener POP3S:

sudo /usr/local/libexec/pop3d-ssl.rc stop
      

POP3 usa por defecto el puerto 110, POP3S típicamente emplea el puerto 995. Para abrir ese puerto en un cortafuegos en /etc/pf.conf podría emplear una línea de la forma:

pass in on $ext_if proto tcp to ($ext_if) port pop3s keep state
      

Puede probar el funcionamiento del servidor con:

$ openssl s_client -connect localhost:995 
      

teniendo en cuenta que el correo debe estar en formato Maildir en el directorio Maildir del usuario que revisará. Una sesión típica sería:

+OK Hello there.
user pablo
+OK Password required.
pass ejem
+OK logged in.
list
+OK POP3 clients that break here, they violate STD53.
1 17559
2 1128
3 2430
. 
      

Notará que la implementación Courier de POP3S intenta extraer correos del directorio Maildir/cur

IMAP es un protocolo que permite a un MUA examinar y administrar correos que llegan a un servidor, tipicamente sin sacar los correos del servidor (a diferencia de POP) y con la posibilidad de manejar directorios/carpetas.

Después de configurar autenticación y acople con sendmail como se explicó en secciones anteriores. Instale el paquete courier-imap-4.8.0p4 y edite /etc/courier/imapd para cambiar por lo menos:

IMAPDSTART=YES
MAILDIRPATH=Maildir
      

y /etc/courier/imapd-ssl para dejar

MAILDIRPATH=Maildir
      

y eventualmente dependiendo de los clientes para el IMAPS (por ejemplo roundcube-0.5) también puede requerir:

TLS_PROTOCOL=SSL23
	

Para generar un certificado autofirmado edite imapd.cnf para personalizar sus datos y ejecute

# mkimapdcert
      

o si desea emplear el mismo certificado de su servidor web:

cd /etc/ssl/private
cat server.key ../server.crt > imapd.pem
      

Para iniciar IMAPS ejecute:

sudo mkdir -p /var/run/courier
sudo /usr/local/libexec/imapd-ssl.rc start
      

y para detenerlo:

sudo /usr/local/libexec/imapd-ssl.rc stop
      

Para iniciar el servicio cada vez que arranque el sistema agregue a /etc/rc.local:

pgrep couriertcpd > /dev/null
if [ "$?" != 0 -a -x /usr/local/libexec/imapd-ssl.rc ]; then
	echo -n ' imapd-ssl '
	mkdir -p /var/run/courier/
	/usr/local/libexec/imapd-ssl.rc start
fi
		

Cuando ejecute tanto authdaemond como imapd-ssl deben quedar corriendo varios procesos: authdaemond (o el método de autenticación que haya configurado), couriertcpd, courierlogger. Si desea ver mensajes de depuración en /var/log/maillog, cambie en /etc/courier/imapd:

DEBUG_LOGIN=1
		

podrá detener los servicios con:

sudo /usr/local/libexec/imapd-ssl.rc stop
rm /var/run/courier/imapd-ssl.pid
		

Si tiene cortafuegos activo asegurese también de abrir el puerto 993 agregando a /etc/pf.conf algo como:

pass in on $ext_if proto tcp to ($ext_if) port 993 keep state
		

Una vez en ejecución puede hacer una prueba como:

$ openssl s_client -connect localhost:993
...
AB LOGIN pablo MiClave
AB OK LOGIN Ok.
BC SELECT "Inbox"
BC NO Unable to open this mailbox.
ZZZZ LOGOUT
* BYE Courier-IMAP server shutting down
ZZZZ OK LOGOUT completed

Una vez se use procmail para recibir en formato Maildir los correos de un usuario, ese usuario no podrá seguir usando mail para ver los correos recibidos, pero si podrá emplear mutt agregando al archivo de configuración ~/.muttrc:

set spoolfile=imaps://localhost/INBOX
set folder=imaps://localhost/
		

Como administrador del sistema podrá automatizar más la configuración de cuentas nuevas así:

Esta configuración se aplicará a nuevas cuentas que cree, pero debe replicarla en cuentas ya creadas:

cd /etc/skel
cp -rf Maildir .forward .procmailrc .muttrc /home/cuenta/ 
chown -R cuenta:cuenta /home/cuenta/{.forward,.procmailrc,.muttrc,Maildir}
touch /var/mail/cuenta
chown -R cuenta:cuenta /var/mail/cuenta
chmod og-r /var/mail/cuenta

El protocolo POP3 se describe en el RFC 1939 http://www.faqs.org/rfcs/rfc1939.html Puede consultar más sobre la configuración de IMAP con Courier en http://dantams.sdf-eu.org/guides/obsd_courier_imap.html y http://es.tldp.org/Manuales-LuCAS/doc-tutorial-postfix-ldap-courier-spamassassin-amavis-squirrelmail Más sobre procmail en http://pm-doc.sourceforge.net/pm-tips.html y http://structio.sourceforge.net/guias/basico_OpenBSD/correo.html#procmail Más sobre IMAP en http://www.linux-sec.net/Mail/SecurePop3/ y http://talk.trekweb.com/~jasonb/articles/exim_maildir_imap.shtml POP3S e IMAPS en OpenBSD/LDAP/Sendmail http://dhobsd.pasosdeJesus.org/index.php?id=view/POP3S+e+IMAPS+en+OpenBSD%2FLDAP%2FSendmail El uso de certificados existentes con courier se señala en http://milliwaysconsulting.net/support/systems/courier-ssl.html

/usr/local/share/doc/mailman/README.OpenBSD