✎ postfix [Wiki ubuntu-fr]

Vous affichez une ancienne révision du document ! Si vous l'enregistrez, vous créerez une nouvelle version avec ce contenu.

----

====== Postfix : agent de transfert de courriel (SMTP) ======

**Postfix** est l'agent de transfert de courriel (MTA) par défaut d'Ubuntu.

Il est dans les dépôts //main//, donc il reçoit les mises à jour de sécurité.

Cette page décrit son installation et sa configuration pour en faire un serveur SMTP utilisant une connexion sécurisée.

===== Installation =====

Nous allons configurer Postfix pour être utilisé avec SASL, qui va assurer l'authentification SMTP (pour éviter que des spammeurs utilisent votre serveur pour envoyer du spam), ainsi qu'un cryptage via SSL/TLS.

Pour installer Postfix avec SMTP-AUTH et TLS, [[:tutoriel:comment_installer_un_paquet|Installez les paquets]] :

* **Hardy, Jaunty et Karmic** : **[[apt://libdb4.2,libdb4.2-util,postfix,procmail,sasl2-bin|libdb4.2 libdb4.2-util postfix procmail sasl2-bin]]**.

* **Lucid et Maverick** : **[[apt://libdb4.8,libdb4.8-util,postfix,procmail,sasl2-bin|libdb4.8 libdb4.8-util postfix procmail sasl2-bin]]**.
<note important>Distrib Lucid: Ce n'est pas le paquet libdb4.8-util mais db4.8-util présent dans les dépôts de Lucid. //Luckrn//</note>

<note>Pour les versions sorties entre Hardy et Karmic, d'autres versions plus récentes de libdb peuvent exister sur le dépôt.</note>

===== Configuration =====

postfix doit être membre du groupe sasl. Pour ajouter l'utilisateur postfix au groupe sasl, tapez dans un [[terminal]] :

sudo adduser postfix sasl

Pour configurer postfix, tapez :

sudo dpkg-reconfigure postfix

Lorsqu'on vous les demande, entrez les détails suivants (remplacez server1.exemple.com par votre nom de domaine) :

Internet Site
   NONE
   server1.exemple.com
   server1.exemple.com, localhost.exemple.com, localhost
   No
   127.0.0.0/8
   0
   +

Ensuite entrez les commandes suivantes :

postconf -e 'smtpd_sasl_local_domain ='
  postconf -e 'smtpd_sasl_auth_enable = yes'
  postconf -e 'smtpd_sasl_security_options = noanonymous'
  postconf -e 'broken_sasl_auth_clients = yes'
  postconf -e 'smtpd_recipient_restrictions = permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination'
  postconf -e 'inet_interfaces = all'

echo 'pwcheck_method: saslauthd' >> /etc/postfix/sasl/smtpd.conf
  echo 'mech_list: plain login' >> /etc/postfix/sasl/smtpd.conf 
  
  mkdir /etc/postfix/ssl
  cd /etc/postfix/ssl/
  openssl genrsa -des3 -rand /etc/hosts -out smtpd.key 1024
  chmod 600 smtpd.key
  openssl req -new -key smtpd.key -out smtpd.csr
  openssl x509 -req -days 3650 -in smtpd.csr -signkey smtpd.key -out smtpd.crt
  openssl rsa -in smtpd.key -out smtpd.key.unencrypted
  mv -f smtpd.key.unencrypted smtpd.key
  openssl req -new -x509 -extensions v3_ca -keyout cakey.pem -out cacert.pem -days 3650 
  
  postconf -e 'smtpd_tls_auth_only = no'
  postconf -e 'smtp_use_tls = yes'
  postconf -e 'smtpd_use_tls = yes'
  postconf -e 'smtp_tls_note_starttls_offer = yes'
  postconf -e 'smtpd_tls_key_file = /etc/postfix/ssl/smtpd.key'
  postconf -e 'smtpd_tls_cert_file = /etc/postfix/ssl/smtpd.crt'
  postconf -e 'smtpd_tls_CAfile = /etc/postfix/ssl/cacert.pem'
  postconf -e 'smtpd_tls_loglevel = 1'
  postconf -e 'smtpd_tls_received_header = yes'
  postconf -e 'smtpd_tls_session_cache_timeout = 3600s'
  postconf -e 'tls_random_source = dev:/dev/urandom'
  postconf -e 'myhostname = server1.example.com' 
  
[[:tutoriel:comment_modifier_un_fichier|Ouvrez le fichier]] **/etc/postfix/main.cf**, il doit ressembler à ceci :

<file>
# See /usr/share/postfix/main.cf.dist for a commented, more complete version

smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no

# appending .domain is the MUA's job.
append_dot_mydomain = no

# Uncomment the next line to generate "delayed mail" warnings
#delay_warning_time = 4h

myhostname = server1.example.com
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
myorigin = /etc/mailname
mydestination = server1.example.com, localhost.example.com, localhost
relayhost =
mynetworks = 127.0.0.0/8
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all
smtpd_sasl_local_domain =
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
broken_sasl_auth_clients = yes
smtpd_recipient_restrictions = permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination
smtpd_tls_auth_only = no
smtp_use_tls = yes
smtpd_use_tls = yes
smtp_tls_note_starttls_offer = yes
smtpd_tls_key_file = /etc/postfix/ssl/smtpd.key
smtpd_tls_cert_file = /etc/postfix/ssl/smtpd.crt
smtpd_tls_CAfile = /etc/postfix/ssl/cacert.pem
smtpd_tls_loglevel = 1
smtpd_tls_received_header = yes
smtpd_tls_session_cache_timeout = 3600s
tls_random_source = dev:/dev/urandom
</file>

N'oubliez pas de donner un myorigin correct. Les serveurs destinataires vont en effet tester ce paramètre. Ils vérifieront dans les serveurs DNS si cette adresse existe bien !

D'autre part, vérifiez aussi que votre ligne internet accepte les connexions smtp sortantes !

Puis redémarrez le serveur Postfix :

sudo /etc/init.d/postfix restart

===== Authentification =====

L'authentification utilise **saslauthd**.

NB: Pour installer **saslauthd** utiliser la commande suivante :        
        sudo apt-get install libsasl2-modules libsasl2-modules-sql libgsasl7\
        libauthen-sasl-cyrus-perl sasl2-bin libpam-mysql

Il est possible de changer quelques détails pour le faire fonctionner proprement. Postfix exécutant "chroot" dans /var/spool/postfix nous devons faire :

mkdir -p /var/spool/postfix/var/run/saslauthd
  rm -fr /var/run/saslauthd

Maintenant éditez ''/etc/default/saslauthd'' pour y activer saslauthd.

Pour ce faire décommentez la ligne <code>START=yes</code> et modifiez la derniere ligne <code>OPTIONS="-c -m /var/run/saslauthd"</code> comme cela: <code>OPTIONS="-m /var/spool/postfix/var/run/saslauthd"</code>

Ce qui donne :
<file>
# This needs to be uncommented before saslauthd will be run automatically
START=yes

[...]

# You must specify the authentication mechanisms you wish to use.
# This defaults to "pam" for PAM support, but may also include
# "shadow" or "sasldb", like this:
# MECHANISMS="pam shadow"

MECHANISMS="pam"

[...]

# Example for postfix users: "-c -m /var/spool/postfix/var/run/saslauthd"
OPTIONS="-m /var/spool/postfix/var/run/saslauthd"
</file>

<note tip>Si vous préférez, vous pouvez utiliser **shadow** au lieu de **pam**.
Ceci utilisera **MD5** au lieu de **password** et le rendra parfaitement sécurisé. Le nom d'utilisateur et le mot de passe requis pour l'authentification sera le même que pour les utilisateurs de votre système.</note>

===== Les tests =====

Démarrez //saslauthd// :\\
  sudo /etc/init.d/saslauthd start

Afin de vérifier que SMTP-AUTH et TLS fonctionnent correctement, tapez :\\
  telnet localhost 25

Ensuite après avoir établi la connexion avec postfix tapez :
  EHLO somename.tld
 
Si vous voyez ces lignes
  250-STARTTLS
  250-AUTH
Ça fonctionne !

Pour retourner à l'invite de commande, tapez :
  quit

===== Pour aller plus loin =====

Si vous avez envie d'installer un serveur IMAP, la configuration avec **procmail** est un peu ardue. Vous pouvez [[:tutoriel:comment_installer_un_paquet|installer]] et utiliser **maildrop** à la place.

Dans ''main.cf'', il faudra alors modifier la ligne
  mailbox_command = procmail -a "$EXTENSION"
en
  mailbox_command = maildrop

N'oubliez pas de créer un dossier Maildir pour chaque utilisateur :
  maildirmake.courier = ~/Maildir
Et d'activer l'option dans ''/etc/maildroprc''

===== Bridage SMTP =====

Pour lutter contre le SPAM engendré par les machines zombies (machines infectées par des virus servant de relais aux spammeurs), la plupart des FAI ont décidé de bloquer le port 25 en sortie (dans le sens "Abonné -> Internet"), utilisé par défaut par le protocole SMTP. Dans ce cas, le port 25 n'est ouvert que pour le serveur SMTP de votre FAI ( du type smtp.monprovider.com).
Ceci empêche la mise en place d'un serveur SMTP chez soi (en tous cas pour l'envoi vers Internet sans passer par le relais SMTP du provider).
Ceci empêche également l'envoi depuis votre ligne ADSL vers votre serveur hébergé sur Internet (de type Dedibox, OVH, etc.)

Si vous etes abonnés Free avec une Freebox, vous pouvez débloquer l'envoi par le port 25 dans l'interface de gestion :
//Fonctionnalités optionnelles de la Freebox → Autres fonctions → Blocage SMTP sortant//.

Chez Neuf, ce filtrage est aussi actif. Pour changer les paramètres, allez dans l'interface de gestion de votre Neuf Box, Puis dans //Réseau → Filtrage//, décochez la case //Autoriser l'envoi de courriels uniquement par l'intermédiaire des serveurs mail du groupe SFR//.

D'une manière générale, regardez les options de votre Box pour désactiver ce filtrage.
**Chez une majorité des FAIs (Belgacom ? AOL, Orange… FIXME ) , la fonctionnalité n'est pas « débridable ».**
Une solution autre que de passer par le smtp de votre provider, est de ne pas passer par le port 25 pour contourner le filtrage mais ceci vous oblige donc a passer par un relais sous votre controle…

Pour modifier le port d'Émission de votre serveur, dans /etc/postfix/main.cf, modifier RELAYHOST comme ceci:
''relayhost = [serveursmtp]:port'' 
( EX : ''relayhost = [smtp.orange-business.com]:587'')

===== État de la queue des messages =====

La commande suivante permet de connaître le status des messages :
<code>/usr/bin/mailq</code>

Pour plus de détails, on peut également consulter le fichier **/var/log/mail.log**

Pour supprimer un message de la queue :
<code>postsuper -d queue_id</code>
où queue_id doit être remplacé par l'identifiant correspondant au message.

Pour supprimer tous les messages de la queue :
<code>postsuper -d ALL</code>

===== Pour mettre un problème postfix dans le forum =====

Allez consulter cette page : [[tutoriel:comment_soumettre_un_probleme_postfix_sur_le_forum]].

----

//Contributeurs principaux : [[utilisateurs:Phetu]], [[utilisateurs:stephaneguedon|Stéphane Guedon]].//

//Basé sur [[http://wiki.ubuntu.com/Postfix]].//

//Doc en Français [[http://postfix.traduc.org/]].//

Merci de recopier le code ci-contre pour prouver que vous êtes humain : L C B B W Merci de laisser ce champ vide :

Résumé

Note : En modifiant cette page, vous acceptez que le contenu soit placé sous les termes de la licence suivante : CC Paternité-Partage des Conditions Initiales à l'Identique 3.0 Unported