mailserver.html (27582B)
1 <!DOCTYPE html> 2 <html> 3 <head> 4 <meta charset="utf-8"> 5 <meta name="viewport" content="width=device-width,initial-scale=1"> 6 <link rel="stylesheet" type="text/css" href="/style.css"> 7 <link rel="icon" type="image/x-icon" href="/pics/favicon.ico"> 8 <title>メールサーバー構築 on OpenBSD with OpenSMTPD and Dovecot</title> 9 </head> 10 <body> 11 <header> 12 <a href="/">主頁</a> | 13 <a href="/about.html">自己紹介</a> | 14 <a href="/journal">日記</a> | 15 <a href="/farm">農業</a> | 16 <a href="/kitchen">台所</a> | 17 <a href="/computer">電算機</a> | 18 <a href="/poetry">詩</a> | 19 <a href="/books">本棚</a> | 20 <a href="/gallery">絵</a> | 21 <a href="https://git.mtkn.jp">Git</a> 22 </header> 23 <main> 24 <article> 25 <h1>メールサーバー構築 on OpenBSD with OpenSMTPD and Dovecot</h1> 26 <time>2024-01-19</time> 27 28 <h2>はじめに</h2> 29 <p> 30 少し前にさくらのVPSで独自ドメインのメールサーバーを構築した。当時はドキュメントを追うのに必死で構築手順を整理できていなかった。しかしスマホを使わない僕の数少い連絡手段なので、受信できなくなると困る。そこであらためてサーバーを構築し、その手順を確認することにした。あいかわらずDNSの知識は自信がない。セキュリティは自己責任で。</p> 31 32 <h2>使うもの</h2> 33 <ul> 34 <li>VPS: さくらのVPS (IPアドレスを<i>sss.sss.sss.sss</i>とする)</li> 35 <li>OS: OpenBSD 7.4</li> 36 <li>ドメイン: ムームードメイン (mtkn.jpとする)</li> 37 <li>SMTPサーバー(MTA): OpenSMTPD 7.4.0</li> 38 <li>IMAPサーバー(MDA): Dovecot 2.3.20</li> 39 </ul> 40 41 <h2>メールの仕組み</h2> 42 <p> 43 メールの送受信にはSMTPというプロトコルが使われ、この通信を担うのがSMTPサーバーと呼ばれるソフトウェアである。このサーバーはメールの転送を担うので、MTA(Mail Transfer Agent)とも呼ばれる。今回はMTAとしてOpenSMTPDというのを使う。手元のパソコン等で書いたメールは、SMTPの通信で送信側のMTAに送られ、そこから受信側のMTAに転送される。受信側のMTAでは届いたメールをユーザーごとにふりわけ、所定の場所に保存する。</p> 44 <p> 45 受信側のユーザーは、手元のパソコン等から受信側のサーバーに繋ぎ、自分宛てのメールを確認する。この時に使われるのがIMAPというプロトコルである(POPというのもあるが今回は割愛)。IMAPによるこの通信を担うのがIMAPサーバーで、メールを配達する役割を担うことから、MDA(Mail Delivery Agent)とも呼ばれる。今回MDAとしてDovecotを使用する。</p> 46 <p> 47 以上をまとめると以下のようになる: 48 </p> 49 <pre> 50 +------------+ +----------------+ 51 |MTA(mtkn.jp)|--SMTP->| MTA | 52 +------------+ +--example.com---+ 53 ^ | MDA | 54 | +----------------+ 55 | | 56 SMTP IMAP 57 | | 58 | v 59 +------------+ +----------------+ 60 |user@mtkn.jp| |user@example.com| 61 +------------+ +----------------+ 62 63 </pre> 64 <ol> 65 <li>メールを書く。</li> 66 <li>送信側のMTAに送る。</li> 67 <li>受信側のMTAに転送する。</li> 68 <li>受信者が受信側のMDAに新着メールの有無を確認する。</li> 69 </ol> 70 71 <p> 72 SMTPサーバーどうしが通信する際、スパムメールをフィルタリングする為、いくつかの方法で送信元の本人確認を行う。その際第三者としてDNS及び、サーバーのIPアドレスを管理している人(今回の場合はさくらインターネット)が登場する。DNSにはドメインをIPアドレスにひもづける情報が登録できる。またIPアドレスの管理人には、自分が借りているIPアドレスを自分のドメインにひもづける情報を登録してもらう。これらによって、メールの送信者がドメイン、IPアドレス双方から確認できるので、なりすましを防止できる仕組みである。</p> 73 74 <p> 75 最近はgmail等の大手がスパム対策を強化する一環として、以下に述べるような本人確認をすべて通らなければ受信しないようにしているらしい。</p> 76 77 <h2>MTAどうしのやりとり</h2> 78 <p> 79 以下、MTAどうしの通信内容をざっくり説明する。 80 </p> 81 82 <h3>Aレコード、MXレコードによる送信先の特定</h3> 83 <p> 84 MTAがメールを送信する際、まずは宛先のサーバーを特定する必要がある。この際に使用するのがDNSに登録されているMXレコードである。送信元のMTAはまずDNSに宛先のドメインのMXレコードを問い合わせる。するとメールの送信先のドメイン名が分かるので、続いてこの送信先のIPアドレスを問い合わせる:</p> 85 <pre> 86 MTA (mtkn.jp <i>sss.sss.sss.sss</i>) DNS 87 88 example.com宛のメールって 89 誰に送ったらええん？ 90 ----------------------------------------> 91 92 mai.example.comやで(MXレコード) 93 <---------------------------------------- 94 95 mail.example.comってどこや? 96 ----------------------------------------> 97 98 <i>ddd.ddd.ddd.ddd</i>やで(Aレコード) 99 <---------------------------------------- 100 </pre> 101 <p> 102 次にこの宛先のMTAとの通信を開始する。しかし受信側のMTA(example.com)は、mtkn.jpを名乗るサーバーが本当にmtkn.jpかどうか確認する必要がある:</p> 103 <pre> 104 MTA (mtkn.jp <i>sss.sss.sss.sss</i>) MTA (example.com <i>ddd.ddd.ddd.ddd</i>) 105 こんちは。mtkn.jpです。 106 ----------------------------------------> 107 108 なりすましちゃうか確認したろ 109 </pre> 110 111 <h3>SPFレコードによる送信元の本人確認</h3> 112 <p> 113 受信側のMTAは、自分に連絡してきたサーバーが本人かどうかをDNSに問い合わせる。このときに使うのがSPFレコードである。このレコードにはドメインの所有者が、自分のドメインからメールを送信してもいいIPアドレスを指定する。受信側のMTAは送信元のIPアドレスと、このレコードに記載されているIPアドレスを比べることで、送信側のMTAがドメインの所有者に認められているMTAかどうか判断できる。</p> 114 <pre> 115 DNS MTA (example.com <i>ddd.ddd.ddd.ddd</i>) 116 mtkn.jpを名乗るやつから連絡 117 来てるんやけどこいつ本物？ 118 <---------------------------------------- 119 120 IPアドレスが<i>sss.sss.sss.sss</i> 121 やったら多分本物やわ。(SPFレコード) 122 ----------------------------------------> 123 124 よっしゃ 125 </pre> 126 127 <h3>PTRレコード</h3> 128 <p> 129 次は逆にIPアドレスからドメインを辿って本人確認する。これに使われるのがPTRレコードである。このレコードはIPアドレスの管理人(ここではさくらインターネット)でないと登録できない。しかし、IPアドレスを借りるにあたって、自分の名前やら住所やらを提供しており、PTRレコードをきちんと設定した上でスパムメールを送ると、自分の身元がバレるので、スパムの抑止に繋がる。</p> 130 <pre> 131 DNS MTA (example.com <i>ddd.ddd.ddd.ddd</i>) 132 <i>sss.sss.sss.sss</i>ってIPアドレスで 133 mtkn.jpってドメイン登録されてる？ 134 <---------------------------------------- 135 136 されてるで。(PTRレコード) 137 ----------------------------------------> 138 139 よっしゃ 140 </pre> 141 142 <h3>DKIM</h3> 143 <p> 144 送信側MTAが本人であることを証明するため、受信側に送るメールに署名する。署名は公開鍵方式で行うが、この鍵をドメインキーというようである。この署名が付いたメールをDKIM(DomainKey Identified Mail)という。送信側はあらかじめDNSにドメインキーの公開鍵を登録しておき、メール送信時に秘密鍵で署名する:</p> 145 <pre> 146 MTA (mtkn.jp <i>sss.sss.sss.sss</i>) MTA (example.com <i>ddd.ddd.ddd.ddd</i>) 147 148 本人確認できたわ 149 おまたせ。 150 <---------------------------------------- 151 152 userさんにメール送るで。 153 署名も付けるで。 154 ----------------------------------------> 155 </pre> 156 <p> 157 受信側はDNSから送信側のドメイン鍵の公開鍵をダウンロードし、署名を確認する:</p> 158 <pre> 159 DNS MTA (example.com <i>ddd.ddd.ddd.ddd</i>) 160 mtkn.jpが署名付きでメール 161 くれたんやけどこの署名本物？ 162 <---------------------------------------- 163 164 これで確認してみて(DKIM公開鍵) 165 ----------------------------------------> 166 167 よっしゃ 168 </pre> 169 170 <h3>DMARCレコード(上記の本人確認で詐欺だと発覚した場合)</h3> 171 <p> 172 この他DNSにはDMARCレコードというものを登録することができる。これは、以上の本人確認により送信側がにせものであることが確認できた際、受信側にどのような行動を取ってほしいかを記述するものである。これにより例えば、自分を名乗る詐欺師がどこかにメールを送信した場合、受信したサーバーから自分宛てに通報するように頼める(この頼みが聞き入れられるかどうかは多分受信側MTAによる)。 173 </p> 174 <pre> 175 DNS MTA (example.com <i>ddd.ddd.ddd.ddd</i>) 176 mtkn.jpを名乗る詐欺師から 177 メールきたんやけどどないしょ？ 178 <---------------------------------------- 179 180 ここ(postmaster@mtkn.jp)に通報や。 181 (DMARCレコード) 182 ----------------------------------------> 183 184 よっしゃ 185 </pre> 186 187 <h2>サーバーの設定</h2> 188 <h3>VPSの契約、ドメインの取得</h3> 189 <p> 190 VPSとドメインを契約する。今回はVPSをさくらインターネットで、ドメインをムームードメインでそれぞれ契約した。さくらのVPSは好きなISOからOSをインストールでき、管理画面も分かりやすい(他のVPSを知らないので比較はできないが)。ムームードメインは安い。管理画面も悪くはない。以前お名前.comでも借りたことがあるが、こちらは広告のメールがやたら届いてうっとうしかった記憶がある。</p> 191 192 <h3>OpenBSDのインストール</h3> 193 <p> 194 さくらのVPSにOpenBSDをインストールする。さくらインターネットが用意したISOがあるので、OS再インストールの画面からそれを選べばすぐにインストールきる。でもなんとなく気持悪いのでopenbsd.orgから本家をダウンロードした。</p> 195 <p> 196 インストールのこまかい手順は割愛するが、ひとつだけひっかかった点があるので書いておく。インストール先のディスクをセットアップし、OSに必要なファイルをインストールメディアからディスクにコピーすると以下のエラーがでてカーネルパニックになった: 197 </p> 198 <pre><code>wdc_atapi_start: not ready, st = 50 199 fatal protection fault in supervisor mode 200 trap type 4 code 0 rip ffffffff810081a9 cs 8 rflags 10282 cr 2 23a896000 cpl 6 rsp ffff80000e9df410 201 gsbase 0xffffffff81908ff0 kgsbase 0x0 202 panic: trap type 4, code=0, pc=ffffffff810081a9 203 syncing disks...18 18 18 18 18 18 18 18 204 </code></pre> 205 <p> 206 原因はあまり調べていないが、どうもインストールメディアの読み込みに失敗しているようで、インストールに必要なファイルをウェブ上からダウンロードする方法を選択すると問題なくインストールできた。 207 </p> 208 209 <h3>ファイアーフォールの設定</h3> 210 <p> 211 メールの送受信等に必要なポートを開ける:</p> 212 <ul> 213 <li>TCP 22: ssh接続用</li> 214 <li>UDP 53: DNSとの通信用</li> 215 <li>TCP 25: SMTPの通信用</li> 216 <li>TCP 587: メールクライアントからMTAへの通信用(メール送信時)</li> 217 <li>TCP 993: メールクライアントからMDAへの通信用(メール受信時)</li> 218 <li>TCP 80, 443: <code>acme-client(1)</code>によるサーバー証明書の取得用</li> 219 </ul> 220 <p> 221 以上の設定を<code>/etc/pf.conf</code>に設定する: 222 </p> 223 <pre><code>set skip on lo 224 225 block return # block stateless traffic 226 pass in log proto tcp from any to any port 22 #ssh 227 228 pass out proto udp from any to <i>DNSのIPアドレス</i> port 53 #DNS 229 pass out proto udp from any to any port 123 #ntp 230 231 pass proto icmp #ping 232 pass proto tcp from any to any port { 80, 443 } #www 233 pass proto tcp from any to any port { 25, 587, 993 } #mail 234 </code></pre> 235 <p> 236 <code>pf(4)</code>の設定を反映: 237 </p> 238 <pre><code># pfctl -f /etc/pf.conf 239 </code></pre> 240 241 <h3>DNSの設定</h3> 242 <h4>A, MX, SPF, DMARC</h4> 243 <p> 244 DNSのレコードを設定する。ムームーDNSの場合、コントロールパネルにログインし、サイドバーからドメイン管理>ドメイン操作>ムームーDNSと進み、設定するドメインの変更ボタンをクリックすると設定画面がでるので、以下のように設定する:</p> 245 <table> 246 <thead> 247 <tr> 248 <th>サブドメイン</th> 249 <th>種別</th> 250 <th>内容</th> 251 <th>優先度</th> 252 </tr> 253 </thead> 254 <tbody> 255 <tr> 256 <td></td> 257 <td>A</td> 258 <td><i>sss.sss.sss.sss</i></td> 259 <td></td> 260 </tr> 261 <tr> 262 <td>mail</td> 263 <td>A</td> 264 <td><i>sss.sss.sss.sss</i></td> 265 <td></td> 266 </tr> 267 <tr> 268 <td></td> 269 <td>MX</td> 270 <td>mail.mtkn.jp</td> 271 <td>10</td> 272 </tr> 273 <tr> 274 <td></td> 275 <td>TXT</td> 276 <td>v=spf1 mx -all</td> 277 <td></td> 278 </tr> 279 <tr> 280 <td>_dmarc</td> 281 <td>TXT</td> 282 <td>v=DMARC1;p=reject;rua=mailto:postmaster@mtkn.jp</td> 283 <td></td> 284 </tr> 285 </tbody> 286 </table> 287 288 <p> 289 ひとつめのAレコードは、ドメイン名(mtkn.jp)にIPアドレス(<i>sss.sss.sss.sss</i>)を紐付けるものである。ふたつめはmail.mtkn.jpのIPアドレスを登録するものである。みっつめのMXレコードは、このドメイン宛てのメール(user@mtkn.jp等)をどこのサーバーに送信するかを決めるものである。上記の設定では、mail.mtkn.jpに送信するようにしている。以上の設定で、user@mtkn.jp宛てのメールは、mail.mtkn.jpというサーバーに送信すればよいことが分かり、さらにこのサーバーのIPアドレスは<i>sss.sss.sss.sss</i>であることも分かる。 290 </p> 291 <p> 292 次のTXTレコードはSPFレコードである。v=spf1でSPFのバージョンを示し、mxでドメインのMXレコードに登録されたIPアドレスからの送信を許可し、-allでそれ以外のIPアドレスからの送信を禁止している。 293 </p> 294 <p> 295 最後のものはDMARCレコードである。v=DMARC1でバージョンを示し、p=rejectで、本人確認をクリアしなかったメールについて、その受信者が受信を拒否するように指定している。rua=mailto:postmaster@mtkn.jpでは、本人確認をクリアしなかったメールを受信した場合の通報先を指定している。</p> 296 297 <h4>PTR</h4> 298 <p>PTRレコードを設定する。さくらのVPSの場合、VPS管理画面にログインし、ネットワーク>ホスト名逆引き登録と進み、カスタムホスト名に自分のドメイン名(mtkn.jp)を入力する。 299 </p> 300 301 <h3>OpenSMTPDの設定</h3> 302 <h4>ユーザーの作成</h4> 303 <p> 304 メールの送受信を担当するユーザーを作成する:</p> 305 <pre><code># useradd -m -c "Virtual Mail" -d /var/vmail -s /sbin/nologin vmail 306 </code></pre> 307 308 <h4>サーバー証明書の取得</h4> 309 <p> 310 <code>httpd(8)</code>の設定ファイルを作成する。<code>/etc/examples</code>からサンプルの設定ファイルをコピーして編集する。変更箇所はドメイン名だけでいい。編集後、httpdを起動する。</p> 311 <pre><code># cp /etc/examples/httpd.conf /etc/ 312 # vi /etc/httpd.conf 313 # echo httpd_flags= >> /etc/rc.conf.local 314 # rcctl start httpd 315 # rcctl enable httpd 316 </code></pre> 317 318 <p> 319 続いて<code>acme-client(1)</code>を使ってLet's Encryptでサーバー証明書を発行する。まずはこちらもサンプルの設定ファイルをコピーしてドメイン名を変更する。その後、<code>acme-client(1)</code>を実行し、さらに<code>cron(8)</code>に登録することで、証明書が自動で更新されるようにする。</p> 320 <pre><code># cp /etc/examples/acme-client.conf /etc/ 321 # vi /etc/acme-client.conf 322 # acme-client -v mail.mtkn.jp 323 # crontab -e 324 </code></pre> 325 326 <pre><code>#minute hour mday month wday [flags] command 327 ~ 2 * * * acme-client mail.mtkn.jp && rcctl restart smtpd 328 </code></pre> 329 330 <h4>ドメインキーの作成とDNSへの登録</h4> 331 <p> 332 OpenSMTPD用のDKIMフィルターをインストールする。 333 </p> 334 <pre><code># pkg_add opensmtpd-filter-dkimsign 335 </code></pre> 336 337 <p> 338 ドメインキーとしてRSAの秘密鍵と公開鍵を作成する。DNSのTXTレコードの制約により、鍵の長さは1024ビットにする。 339 </p> 340 <pre><code># openssl genrsa -out /etc/mail/dkim/private.key 1024 341 # openssl rsa -in /etc/mail/dkim/private.key -pubout -out /etc/mail/dkim/public.key 342 # chown -r _dkimsign:_dkimsign /etc/mail/dkim 343 # chmod 0400 /etc/mail/dkim/private.key 344 </code></pre> 345 346 <p>作成したドメインキーの公開鍵をDNSに登録する:</p> 347 <table> 348 <thead> 349 <tr> 350 <th>サブドメイン</th> 351 <th>種別</th> 352 <th>内容</th> 353 <th>優先度</th> 354 </tr> 355 </thead> 356 <tbody> 357 <tr> 358 <td>selector1._domainkey.mail</td> 359 <td>TXT</td> 360 <td>v=DKIM1;k=rsa;p=<i>公開鍵</i></td> 361 <td></td> 362 </tr> 363 </tbody> 364 </table> 365 366 <p> 367 サブドメインのselector1は以下のsmtpd.confで<code>filter-dkimsign</code>の-sオプションに 368 指定してものと同じものであれば他のものでもいい。</p> 369 370 <h4>smtpd.confの設定</h4> 371 <p> 372 /etc/mail/smtpd.confを以下の通り変更:</p> 373 <pre><code># 認証に使用するサーバー証明書と秘密鍵を"mtkn.jp"という名前で登録。 374 # 証明書のファイルは先程acme-client(1)で取得したもの。 375 pki mtkn.jp cert "/etc/ssl/mail.mtkn.jp.fullchain.pem" 376 pki mtkn.jp key "/etc/ssl/private/mail.mtkn.jp.key" 377 378 # テーブルの登録 379 # ローカルに届いたメールの転送を設定するテーブル 380 table aliases file:/etc/mail/aliases 381 # ユーザーの名前と暗号化されたパスワードのテーブル 382 table passwd file:/etc/mail/passwd 383 # メールの転送を設定するテーブル 384 table virtuals file:/etc/mail/virtuals 385 386 # フィルターの登録 387 # ドメインキーによる署名を付加するフィルター 388 filter dkim_sign proc-exec\ 389 "filter-dkimsign -d mail.mtkn.jp -s selector1\ 390 -k /etc/mail/dkim/private.key" user _dkimsign group _dkimsign 391 # DNSの逆引き(PTRレコード)ができなかった場合に受信を拒否するフィルター 392 filter check_rdns phase connect match !rdns disconnect "550 no rDNS." 393 # 正引き(Aレコード)と逆引き(PTRレコード)でDNSのレコードが一致しなかった 394 # 場合に受信を拒否するフィルター 395 filter check_fcrdns phase connect match !fcrdns disconnect "550 no FCrDNS." 396 397 # 各ネットワークインターフェース毎の処理を設定。 398 listen on socket 399 listen on lo0 400 # vio0というインターフェースの25番ポートに届いたものに関する設定。 401 # 外部からmtkn.jp宛に届いたものの処理である。 402 # 最初に登録した証明書と秘密鍵を使ってMTAの本人確認をし、 403 # 上で設定したDNSに関するフィルターを適応。 404 listen on vio0 port 25 tls pki mtkn.jp hostname "mail.mtkn.jp"\ 405 filter { check_rdns, check_fcrdns } 406 # vio0というインターフェースのsubmission(587番)ポートに関する設定。 407 # mtkn.jpのユーザー(e.g. user@mtkn.jp)から任意の人宛に送信される 408 # メールに関する設定。 409 # 上と同様に"mtkn.jp”という名前で登録されたpkiを使ってMTAの本人確認をし、 410 # "passwd"という名前で登録したパスワードで認証し、 411 # さらにドメインキーでメールに署名する。 412 listen on vio0 mask-src port submission smtps pki mtkn.jp\ 413 hostname "mail.mtkn.jp" auth <passwd> filter dkim_sign 414 415 # 各種メールの処理を定義する。 416 # 各処理が実行される条件はこの後定義する。 417 # ローカルメールはデフォルトのまま 418 action "local_mail" mbox alias <aliases> 419 # 自分のドメイン宛のメールは/var/vmail/以下に振り分けてmaildir形式で保存。 420 action "domain" maildir "/var/vmail/%{dest.domain:lowercase}/%{dest.user:lowercase}"\ 421 virtual <virtuals> 422 # 他のドメイン宛ては宛先へ転送。 423 action "outbound" relay 424 425 # どういう条件でどういう処理をするかを定義する。 426 # 任意の送信元から自分のドメイン宛ては上で定義したdomainという処理をする。 427 # ここでは/var/vmail/以下に振り分けて保存する。 428 match from any for domain mtkn.jp action "domain" 429 # このサーバー内でのメールはlocal_mailとして処理。 430 match from local for local action "local_mail" 431 # このサーバー内から他所へのメールは宛先に転送 432 match from local for any action "outbound" 433 # 外部から来た他所宛てのメールは認証されているものに限り転送。 434 # authを忘れると多分このサーバー経由で迷惑メールが送られる危険がある。 435 match auth from any for any action "outbound" 436 </code></pre> 437 438 <h4>各テーブルの作成</h4> 439 <p> 440 上記の設定ファイルの<code>table</code>で指定したテーブルを作成する。<code>/etc/mail/aliases</code>は特に変更しなくてもいい。<code>/etc/mail/passwd</code>にはメールアカウントと暗号化されたパスワードを保存する。パスワードの暗号化には<code>smtpctl(8)</code>を使う:</p> 441 <pre><code># echo user@mtkn.jp:$(smtpctl encrypt) >> /etc/mail/passwd 442 <i>パスワードを入力し、エンター、Ctrl-D</i> 443 </code></pre> 444 445 <p> 446 <code>/etc/mail/virtuals</code>にはメールの転送を設定できる。以下のようにする:</p> 447 <pre><code>abuse@mtkn.jp user@mtkn.jp 448 postmaster@mtkn.jp user@mtkn.jp 449 webmaster@mtkn.jp user@mtkn.jp 450 user@mtkn.jp vmail 451 </code></pre> 452 <p> 453 この設定で、例えばabuse@mtkn.jp宛てのメールがuser@mtkn.jpに転送される。abuse, postmaster, webmasterはなんか一応作っとけみたいに書いてたけど必要なんかな？ 454 </p> 455 456 <h3>Dovecotの設定</h3> 457 <p> 458 MDAとして<code>dovecot(1)</code>をインストールする。</p> 459 <pre><code># pkg_add dovecot 460 </code></pre> 461 <p> 462 dhparamを作成する(時間がかかる): 463 </p> 464 <pre><code># openssl dhparam -out /etc/ssl/dh.pem 4096 465 </code></pre> 466 467 <p> 468 わかりにくい設定ファイルをどけてシンプルなものに書き直す: 469 </p> 470 <pre><code># mv /etc/dovecot/dovecot.conf /etc/dovecot/dovecot.conf.orig 471 # vi /etc/dovecot/dovecot.conf 472 </code></pre> 473 <p> 474 ドキュメントは公式ウェブサイトで確認できる。分量が多すぎて読む気にならない。サンプルの設定ファイルにも各項目の説明と既定値が書いてあるがこれも分かりにくい。パスワードが漏洩するのはとりあえず避けたいので、<code>ssl = required</code>と暗号化されていないIMAPを<code>port = 0</code>として無効にする。他はとりあえず以下の設定で動く:</p> 475 <pre><code># IPv4は全て監視 476 listen = * 477 478 # SSL接続のみ許可 479 ssl = required 480 481 # SSLに使用するファイル 482 ssl_cert = </etc/ssl/mail.mtkn.jp.fullchain.pem 483 ssl_key = </etc/ssl/private/mail.mtkn.jp.key 484 ssl_dh = </etc/ssl/dh.pem 485 486 # メールの保存場所は各ユーザーのホームディレクトリ。 487 # ホームディレクトリの場所は以下のuserdbで設定。 488 mail_location = maildir:~ 489 490 # パスワードのファイル。 491 # OpenSMTPDと共有。 492 passdb { 493 args = scheme=BLF-CRYPT /etc/mail/passwd 494 driver = passwd-file 495 } 496 497 # ユーザーの設定。 498 # ホームディレクトリは/var/vmail/<i>ドメイン</i>/<i>ユーザー名</i> 499 userdb { 500 args = uid=vmail gid=vmail home=/var/vmail/%d/%n 501 driver = static 502 } 503 504 # 使用するプロトコル。 505 protocols = imap lmtp 506 507 # SSLを使ったIMAPSのみを許可。 508 service imap-login { 509 inet_listener imaps { 510 port = 993 511 ssl = yes 512 } 513 # Disable imap 514 inet_listener imap { 515 port = 0 516 } 517 } 518 </code></pre> 519 <pre><code># rcctl start dovecot 520 # rcctl enable dovecot 521 </code></pre> 522 523 <p> 524 サーバーの証明書が更新される際に<code>dovecot(1)</code>も再読み込みされるように<code>cron(8)</code>に追加しておく: 525 </p> 526 <pre><code>crontab -e 527 </code></pre> 528 529 <pre><code>#minute hour mday month wday [flags] command 530 ~ 2 * * * acme-client mail.mtkn.jp && rcctl restart smtpd && rcctl reload dovecot 531 </code></pre> 532 533 <h3>テスト</h3> 534 <p> 535 手元のメールクライアントから送受信のテストをする。特にgmail等に送った際に迷惑メールに分類されないかどうか確認する。以上の設定で、gmailへの送受信は問題なかった。また、<code>neomutt(1)</code>、<code>thunderbird(1)</code>からログイン及び送受信できることも確認した。</p> 536 537 <h2>参考文献</h2> 538 <ul> 539 <li><a href="https://unixsheikh.com/tutorials/arch-linux-mail-server-tutorial-part-1-what-is-email.html">Arch Linux mail server tutorial - part 1 - What is email?.unixsheikh.com</a></li> 540 <li><a href="https://unixsheikh.com/tutorials/arch-linux-mail-server-tutorial-part-2-opensmtpd-dovecot-dkimproxy-and-lets-encrypt.html">Arch Linux mail server tutorial - part 2 - OpenSMTPD, Dovecot, DKIMproxy, and Let's Encrypt.unixsheikh.com</a></li> 541 <li><a href="https://unixsheikh.com/tutorials/arch-linux-mail-server-tutorial-part-3-get-dns-right-it-is-important.html">Arch Linux mail server tutorial - part 3 - Get DNS right, it's important!.unixsheikh.com</a></li> 542 <li><a href="https://man.openbsd.org/smtpd">smtpd(8).OpenBSD Manual Pages</a></li> 543 <li><a href="https://man.openbsd.org/smtpd.conf">smtpd.conf(5).OpenBSD Manual Pages</a></li> 544 <li><a href="https://man.openbsd.org/httpd">httpd(8).OpenBSD Manual Pages</a></li> 545 <li><a href="https://man.openbsd.org/httpd.conf">httpd.conf(5).OpenBSD Manual Pages</a></li> 546 <li><a href="https://man.openbsd.org/acme-client">acme-client(1).OpenBSD Manual Pages</a></li> 547 <li><a href="https://man.openbsd.org/acme-client.conf">acme-client.conf(5).OpenBSD Manual Pages</a></li> 548 <li><a href="https://doc.dovecot.org/">Dovecot manual — Dovecot documentation</a></li> 549 </ul> 550 </article> 551 552 </main> 553 <footer> 554 <address>info(at)mtkn(dot)jp</address> 555 <a href="http://creativecommons.org/publicdomain/zero/1.0?ref=chooser-v1" rel="license noopener noreferrer">CC0 1.0</a> 556 </footer> 557 </body> 558 </html>