[w.....r]

#linux #postfix #dovecot

Cześć Mirki, potrzebuję porady. Wiedzę muszę nadrabiać na bieżąco, uczę się.

W swoim labie, localdomain, mam 5 hostów, na każdym kilka usług które wysyłają raporty mailem.
Zaplanowałem to tak, nie wiem czy to w sumie ma sens i nie ma przerostu formy nad treścią:

1. Serwer A centralny z postawionym postfix + dovecot. Na razie zamknięty na świat, tylko do użytku wewnętrznego. Potem będzie komunikacja do ISP, ale to w kolejnym etapie, nie wystawię teraz dziurawej usługi na świat.
2. Hosty (B,C,D,E) raportują i wysyłają maile na serwer A
3. User (B) podpina się klientem pocztowym do serwera A i odbiera maile z raportami za pomocą pop3/imap
5. User (B) wysyła maile za pomocą serwera A SMTP do innych hostów (C,D,E) w localdomain.
6. Hosty BCDE mogą komunikować się nawzajem wysyłając do siebie maile.
7. na każdym z hostów mam lokalną skrzynkę do której dostęp mam tylko z ssh->mailx/mutt itp.

Obecnie na każdym B,C,D,E jest postawiony prymitywny (w konfiguracji) postfix: LMTP, SMTP z których korzystają usługi by wysłać mail do A lub innych hostów w sieci.

W kwestii nazewnictwa i ról(MUA, MSA, MTA, MDA itp) picrel: https://en.wikipedia.org/wiki/File:SMTP-transfer-model.svg
a)Przy domyślnej konfiguracji na Linux(debiany i pochodne) zainstalowany jest postfix(czy tam exim) + mailx. Czyli jest to MTA+MDA, transport agent, delivery agent (protokoły LMTP+SMTP)?
b) By posiadać komunikację pomiędzy hostami potrzebuję skonfigurować pod swoje rozwiązanie protokół SMTP. Czyli port SMTP (port 25)(relay do serwera A?) czy submission(port 587)? MTA(transport agent) czy MSA(submission agent)? Tak samo z A->ISP: SMTP(25) czy submission (587)?

c) Pytanie dosyć ryzykowne, nie śmiejcie się :)
Jeśli by zrezygnować z maili pomiędzy hostami(pkt. 5 i 6), zostawić tylko serwer A (SMTP, pop,imap), czy jest możliwość by ominąć posiadanie lokalnego postfix, by usługi z B,C,D,E korzystały z postfix(LMTP) na serwerze A?

Inaczej:
obecnie mam
A: postfix+dovecot
BCDE: postfix, mailx
B: Thunderbird itp

Czy da się to zrobić by mieć tylko:
A: postfix+dovecot
BCDE korzystają tylko z A i posiadają dedykowane skrzynki mailowe?
B: Thunderbird itp

[H.....n]

@wolny_kangur: czemu to widzę w gorących?

[w.....r]

@Harmideron: haha, pierwszy raz!!!! xD
Pozdrawiam Mamę!

Chyba plusy się #!$%@?ły, teraz widzę 122 :)

[toporow17]

@Harmideron: @wolny_kangur: ktoś wykorzystał buga i wrzucił w gorące. Jak zaplusowałem i odplusowałem to pojawiła się realna liczba plusów :)

https://www.wykop.pl/wpis/49279669/znalazlem-dziure-jak-dac-duzo-plusow-wpisowi-wykop/

[w.....r]

@toporow17: ej, oddaj. Dla zasięgu! xD

[H.....n]

@wolny_kangur: było więcej. A w temacie nie pomogę

[Kryspin013]

@Harmideron: @wolny_kangur: Ja mam 800, ale jak rozwiniesz listę plusujących to wyświetla się 5 osób xD

[w.....r]

@Kryspin013:
Rozumiesz jaka tu jest różnica? http://www.faqs.org/rfcs/rfc2476.html

Message Submission Agent (MSA)

 A process which conforms to this specification, which acts as a
 submission server to accept messages from MUAs, and either delivers
 them or acts as an SMTP client to relay them to an MTA.

 Message Transfer Agent (MTA)

 A process which conforms to [SMTP-MTA], which acts as an SMTP server
 to accept messages from an MSA or another MTA, and

[tellet]

@wolny_kangur: Można - przecież SMTP do wysyłania i IMAP do odbierania możesz robić nawet przez telnet jak ci się chce, a na pewno ktoś ogarnął jakiś lekki klient do łączenia się BCDE z A jako klienty do własnych skrzynek.

Co do submission vs smtp:
https://stackoverflow.com/questions/15796530/what-is-the-difference-between-ports-465-and-587

Ports 465 and 587 are intended for email client to email server communication - sending out email using SMTP protocol.

Port 465 is for smtps

SSL

[w.....r]

@tellet:

Można - przecież SMTP do wysyłania i IMAP do odbierania możesz robić nawet przez telnet jak ci się chce, a na pewno ktoś ogarnął jakiś lekki klient do łączenia się BCDE z A jako klienty do własnych skrzynek.

Telnetu raczej niet :) W takim mutt będę mógł certyfikaty ustawić?
Chyba i tak na BCDE zostaje mi wtedy lda/lmtp (postfix)?

Co do submission vs smtp:

A port SMTPS 465 nie jest

[w.....r]

@tellet: dobra, obczaiłem mutt. Chyba rzeczywiście to najlżejsze rozwiązanie.
Ogarnia certy, pop imap itp

[tellet]

@wolny_kangur: SMTPS 465 od razu zakłada, że używasz szyfrowania, stąd jeśli coś się serwerowi nie spodoba, np. jego protokół, to od razu ci odwali połączenie.
https://www.fastmail.com/help/technical/ssltlsstarttls.html
STARTTLS po 25 z punktu widzenia klienta jest raczej kompatybilne wstecznie, jakbyś trafił na jakiś zabytek pracujący wyłącznie na 25 i bez obsługi jakiegokolwiek szyfrowania (wtedy po prostu odpowie że albo nie zrozumiał komendy, albo się wywali), bo obecnie 25 służy głównie do gadania serwer-serwer,

[w.....r]

@tellet: dobra, czyli klient SMTP do innego serwera w innej domenie powinien gadać po 587,
Wewnątrz domeny zaufanej, może być po 25.

Dalej zaznaczam że smtps 465 nie jest w standardzie.
Wg tego co standard mówi publiczny serwer powinien używać 25 z starttls, tyle że nie może wymuszać tylko tls, a umożliwiać brak szyfrowania chyba właśnie dla kompatybilności wstecznej. Ale jak to się ma do rzeczywistości to widzę, że różnie.
Ok,

[w.....r]

@tellet: jeszcze jedno. Zajmujesz się tym zawodowo lub miałeś okazję widzieć jak to działa od wewnątrz w biznesie?
Rozumiem, że różne isp mogą wycinać prywatnym użytkownikom port 25, ale takie ovh czy nazwa.pl mają przecież 25 otwarty.. a powinny mieć tylko submission wystawione? Jako serwer, klient innych serwerów.
Już nie ogarniam , poplątane to.

[tellet]

@wolny_kangur: Biznes biznesowi nierówny. Jak przychodziłem do firmy, to "firmowe usługi, które musiały być dostępne w oddziałach w kraju" typu WWW, @, na dokładkę jeszcze program wewnętrzny, były hostowane z "serwerowni" będącej zwykłym pomieszczeniem z włączoną 24/7 klimą, a to wszystko chodziło na UPC biznes ze stałymi adresami. Potem to wywaliłem do DC na vpsy i normalnie sobie działa.
Tyle, że tam tym ludziom to mógł nawet gołąb pocztowy codziennie przylatywać

[w.....r]

@tellet: rozumiem. Dzięki za opis.

Poprawie się. Upewniłem się, ovh i nazwa.pl ma szyfrowany 465 oraz "standardowy" 587.
Dobra, mam już jakiś pogląd na to.

Dużo rozwiało zwrócenie uwagi na wiek rozwiązania i na zaszłości. I to, że nie każdy trzyma się standardów RFC. Głupie wprowadzenie SMTPs na 465 i wycofanie go po roku spowodowało shizmę i powielanie schematu :)

Jeszcze raz dzięki.