mailserver.html (27078B)
1 <!DOCTYPE html> 2 <html> 3 <head> 4 <meta charset="utf-8"> 5 <meta name="viewport" content="width=device-width,initial-scale=1"> 6 <link rel="stylesheet" type="text/css" href="/style.css"> 7 <link rel="icon" type="image/x-icon" href="/pics/favicon.ico"> 8 <title>メールサーバー構築 on OpenBSD with OpenSMTPD and Dovecot</title> 9 </head> 10 <body> 11 <header> 12 <a href="/">主頁</a> | 13 <a href="/about.html">自己紹介</a> | 14 <a href="/journal">日記</a> | 15 <a href="/farm">農業</a> | 16 <a href="/kitchen">台所</a> | 17 <a href="/computer">電算機</a> | 18 <a href="/poetry">詩</a> | 19 <a href="/books">本棚</a> | 20 <a href="/gallery">絵</a> | 21 <a href="https://git.mtkn.jp">Git</a> 22 </header> 23 <main> 24 <article> 25 <h1>メールサーバー構築 on OpenBSD with OpenSMTPD and Dovecot</h1> 26 <time>2024-01-13</time> 27 28 <h2>はじめに</h2> 29 <p> 30 少し前にさくらのVPSで独自ドメインのメールサーバーを構築した。当時はドキュメントを追うのに必死で構築手順を整理できていなかった。しかしスマホを使わない僕の数少い連絡手段なので、受信できなくなると困る。そこであらためてサーバーを構築し、その手順を確認することにした。</p> 31 32 <h2>使うもの</h2> 33 <ul> 34 <li>VPS: さくらのVPS (IPアドレスを<i>sss.sss.sss.sss</i>とする)</li> 35 <li>OS: OpenBSD 7.4</li> 36 <li>ドメイン: ムームードメイン (mtkn.jpとする)</li> 37 <li>SMTPサーバー(MTA): OpenSMTPD 7.4.0</li> 38 <li>IMAPサーバー(MDA): Dovecot 2.3.20</li> 39 </ul> 40 41 <h2>メールの仕組み</h2> 42 <p> 43 メールの送受信にはSMTPというプロトコルが使われ、この通信を担うのがSMTPサーバーと呼ばれるソフトウェアである。このサーバーはメールの転送を担うので、MTA(Mail Transfer Agent)とも呼ばれる。 44 今回はMTAとしてOpenSMTPDというのを使う。 45 手元のパソコン等で書いたメールは、SMTPの通信で送信側のMTAに送られ、そこから受信側のMTAに転送される。受信側のMTAでは届いたメールをユーザーごとにふりわけ、所定の場所に保存する。</p> 46 <p> 47 受信側のユーザーは、手元のパソコン等から受信側のサーバーに繋ぎ、自分宛てのメールを確認する。この時に使われるのがIMAPというプロトコルである(POPというのもあるが今回は割愛)。IMAPによるこの通信を担うのがIMAPサーバーで、メールを配達する役割を担うことから、MDA(Mail Delivery Agent)とも呼ばれる。今回MDAとしてDovecotを使用する。</p> 48 <p> 49 以上をまとめると以下のようになる: 50 </p> 51 <pre> 52 +------------+ +----------------+ 53 |MTA(mtkn.jp)|--SMTP->| MTA | 54 +------------+ +--example.com---+ 55 /|\ | MDA | 56 | +----------------+ 57 | | 58 SMTP IMAP 59 | | 60 | \|/ 61 +------------+ +----------------+ 62 |user@mtkn.jp| |user@example.com| 63 +------------+ +----------------+ 64 65 </pre> 66 <ol> 67 <li>メールを書く。</li> 68 <li>送信側のMTAに送る。</li> 69 <li>受信側のMTAに転送する。</li> 70 <li>受信者が受信側のMDAに新着メールの有無を確認する。</li> 71 </ol> 72 73 <p> 74 SMTPサーバーどうしが通信する際、スパムメールをフィルタリングする為、いくつかの方法で送信元の本人確認を行う。その際第三者としてDNS及び、サーバーのIPアドレスを管理している人(今回の場合はさくらインターネット)が登場する。DNSにはドメインをIPアドレスにひもづける情報が登録できる。またIPアドレスの管理人には、自分が借りているIPアドレスを、自分のドメインにひもづける情報を登録してもらう。これらによって、メールの送信者がドメイン、IPアドレス双方から確認できるので、オレオレ詐欺を防止できる仕組みである。</p> 75 76 <p> 77 最近はgmail等の大手がスパム対策を強化する一環として、以下に述べるような本人確認をすべて通らなければ受信しないようにしているらしい。</p> 78 79 <h3>Aレコード、MXレコードによる送信先の特定</h3> 80 <p> 81 SMTPサーバーがメールを送信する際、まずは宛先のサーバーを特定する必要がある。この際に使用するのがDNSに登録されているMXレコードである。送信元のSMTPサーバーはまずDNSに宛先のドメインのMXレコードを問い合わせる。するとメールの送信先のドメイン名が分かるので、続いてこの送信先のIPアドレスを問い合わせる:</p> 82 <pre> 83 MTA (mtkn.jp <i>sss.sss.sss.sss</i>) DNS 84 85 example.com宛のメールって 86 誰に送ったらええん？ 87 ----------------------------------------> 88 89 mai.example.comやで(MXレコード) 90 <---------------------------------------- 91 92 mail.example.comってどこや? 93 ----------------------------------------> 94 95 <i>ddd.ddd.ddd.ddd</i>やで(Aレコード) 96 <---------------------------------------- 97 </pre> 98 <p> 99 次にこの宛先のMTAとの通信を開始する。しかし受信側のMTA(example.com)は、mtkn.jpを名乗るサーバーが本当にmtkn.jpかどうか確認する必要がある:</p> 100 <pre> 101 MTA (mtkn.jp <i>sss.sss.sss.sss</i>) MTA (example.com <i>ddd.ddd.ddd.ddd</i>) 102 こんちは。mtkn.jpです。 103 ----------------------------------------> 104 105 オレオレ詐欺ちゃうか確認 106 するからちょっとまってな。 107 <---------------------------------------- 108 </pre> 109 110 <h3>SPFレコードによる送信元の本人確認</h3> 111 <p> 112 受信側のMTAはまず、自分に連絡してきたサーバーが本人かどうかをDNSに問い合わせる。このときに使うのがSPFレコードである。このレコードにはドメインの所有者が、自分のドメインからメールを送信してもいいIPアドレスを指定する。受信側のMTAは送信元のIPアドレスと、このレコードに記載されているIPアドレスを比べることで、送信側のMTAがドメインの所有者に認められているMTAかどうか判断できる。</p> 113 <pre> 114 DNS MTA (example.com <i>ddd.ddd.ddd.ddd</i>) 115 mtkn.jpを名乗るやつから連絡 116 来てるんやけどこいつ本物？ 117 <---------------------------------------- 118 119 IPアドレスが<i>sss.sss.sss.sss</i> 120 やったら多分本物やわ。(SPFレコード) 121 ----------------------------------------> 122 123 よっしゃ 124 </pre> 125 126 <h3>PTRレコード</h3> 127 <p> 128 次は逆にIPアドレスからドメインを辿って本人確認する。これに使われるのがPTRレコードである。このレコードはIPアドレスの管理人(ここではさくらインターネット)でないと登録できない。しかし、IPアドレスを借りるにあたって、自分の名前やら住所やらを提供しており、PTRレコードをきちんと設定した上でスパムメールを送ると、自分の身元がバレバレになるので、スパムの抑止に繋がる。</p> 129 <pre> 130 DNS MTA (example.com <i>ddd.ddd.ddd.ddd</i>) 131 <i>sss.sss.sss.sss</i>ってIPアドレスで 132 mtkn.jpってドメイン登録されてる？ 133 <---------------------------------------- 134 135 されてるで。(PTRレコード) 136 ----------------------------------------> 137 138 よっしゃ 139 </pre> 140 141 <h3>DKIM</h3> 142 <p> 143 送信側MTAが本人であることを証明するため、受信側に送るメールに署名する。署名は公開鍵方式で行うが、この鍵をドメインキーというようである。この署名が付いたメールをDKIM(DomainKey Identified Mail)という。送信側はあらかじめDNSにドメインキーの公開鍵を登録しておき、メール送信時に秘密鍵で署名する:</p> 144 <pre> 145 MTA (mtkn.jp <i>sss.sss.sss.sss</i>) MTA (example.com <i>ddd.ddd.ddd.ddd</i>) 146 147 本人確認できたわ 148 おまたせ。 149 <---------------------------------------- 150 151 userさんにメール送るで。 152 ----------------------------------------> 153 154 送れ。 155 <---------------------------------------- 156 157 署名付けて送るで。 158 ----------------------------------------> 159 </pre> 160 <p> 161 受信側はDNSから送信側のドメイン鍵の公開鍵をダウンロードし、署名を確認する:</p> 162 <pre> 163 DNS MTA (example.com <i>ddd.ddd.ddd.ddd</i>) 164 mtkn.jpが署名付きでメール 165 くれたんやけどこの署名本物？ 166 <---------------------------------------- 167 168 これで確認してみて(DKIM公開鍵) 169 ----------------------------------------> 170 171 よっしゃ 172 </pre> 173 174 <h3>DMARCレコード(上記の本人確認で詐欺だと発覚した場合)</h3> 175 <p> 176 この他DNSにはDMARCレコードというものを登録することができる。これは、以上の本人確認により送信側がにせものであることが確認できた際、受信側にどのような行動を取ってほしいかを記述するものである。これにより例えば、自分を名乗る詐欺師がメールをどこかに送信した場合、受信したサーバーから自分宛てに通報するように頼める(この頼みが聞き入れられるかどうかは多分受信側MTAによる)。 177 </p> 178 <pre> 179 DNS MTA (example.com <i>ddd.ddd.ddd.ddd</i>) 180 mtkn.jpを名乗る詐欺師から 181 メールきたんやけどどないしょ？ 182 <---------------------------------------- 183 184 ここ(postmaster@mtkn.jp)に通報や。 185 (DMARCレコード) 186 ----------------------------------------> 187 188 よっしゃ 189 </pre> 190 191 <h2>VPSの契約、ドメインの取得</h2> 192 <p> 193 VPSとドメインを契約する。今回はVPSをさくらインターネットで、ドメインをムームードメインでそれぞれ契約した。さくらのVPSは好きなISOからOSをインストールでき、管理画面も分かりやすい(他のVPSを知らないので比較はできないが)。ムームードメインは安い。管理画面も悪くはない。以前お名前.comでも借りたことがあるが、こちらは広告のメールがやたら届いてうっとうしかった記憶がある。</p> 194 195 <h2>OpenBSDのインストール</h2> 196 <p> 197 さくらのVPSにOpenBSDをインストールする。さくらインターネットが用意したISOがあるので、OS再インストールの画面からそれを選べばすぐにインストールが開始できる。でもなんとなく気持悪いのでopenbsd.orgから本家をダウンロードした。</p> 198 <p> 199 インストールのこまかい手順は割愛するが、ひとつだけひっかかった点があるので書いておく。インストール先のディスクをセットアップし、OSに必要なファイルをインストールメディアからディスクにコピーすると以下のエラーがでてカーネルパニックになった: 200 </p> 201 <pre><code>wdc_atapi_start: not ready, st = 50 202 fatal protection fault in supervisor mode 203 trap type 4 code 0 rip ffffffff810081a9 cs 8 rflags 10282 cr 2 23a896000 cpl 6 rsp ffff80000e9df410 204 gsbase 0xffffffff81908ff0 kgsbase 0x0 205 panic: trap type 4, code=0, pc=ffffffff810081a9 206 syncing disks...18 18 18 18 18 18 18 18 207 </code></pre> 208 <p> 209 原因はあまり調べていないが、どうもインストールメディアの読み込みに失敗しているようで、インストールに必要なファイルをウェブ上からダウンロードする方法を選択すると問題なくインストールできた。 210 </p> 211 212 <h2>ファイアーフォールの設定</h2> 213 <p> 214 メールの送受信等に必要なポートを開ける:</p> 215 <ul> 216 <li>TCP 22: ssh接続用</li> 217 <li>UDP 53: DNSとの通信用</li> 218 <li>TCP 25: SMTPの通信用</li> 219 <li>TCP 587: メールクライアントからMTAへの通信用(メール送信時)</li> 220 <li>TCP 993: メールクライアントからMDAへの通信用(メール受信時)</li> 221 <li>TCP 80, 443: <code>acme-client(1)</code>によるサーバー証明書の取得用</li> 222 </ul> 223 <p> 224 以上の設定を<code>/etc/pf.conf</code>に設定する: 225 </p> 226 <pre><code>set skip on lo 227 228 block return # block stateless traffic 229 pass in log proto tcp from any to any port 22 #ssh 230 231 pass out proto udp from any to <i>DNSのIPアドレス</i> port 53 #DNS 232 pass out proto udp from any to any port 123 #ntp 233 234 pass proto icmp 235 pass proto tcp from any to any port { 80, 443 } #www 236 pass proto tcp from any to any port { 25, 587, 993 } #mail 237 </code></pre> 238 <p> 239 <code>pf(4)</code>の設定を反映: 240 </p> 241 <pre><code># pfctl -f /etc/pf.conf 242 </code></pre> 243 244 <h2>DNSの設定</h2> 245 <h3>A, MX, SPF, DMARC</h3> 246 <p> 247 DNSのレコードを設定する。ムームーDNSの場合、コントロールパネルにログインし、サイドバーからドメイン管理>ドメイン操作>ムームーDNSと進み、設定するドメインの変更ボタンをクリックすると設定画面がでるので、以下のように設定する:</p> 248 <table> 249 <thead> 250 <tr> 251 <th>サブドメイン</th> 252 <th>種別</th> 253 <th>内容</th> 254 <th>優先度</th> 255 </tr> 256 </thead> 257 <tbody> 258 <tr> 259 <td></td> 260 <td>A</td> 261 <td><i>sss.sss.sss.sss</i></td> 262 <td></td> 263 </tr> 264 <tr> 265 <td>mail</td> 266 <td>A</td> 267 <td><i>sss.sss.sss.sss</i></td> 268 <td></td> 269 </tr> 270 <tr> 271 <td></td> 272 <td>MX</td> 273 <td>mail.mtkn.jp</td> 274 <td>10</td> 275 </tr> 276 <tr> 277 <td></td> 278 <td>TXT</td> 279 <td>v=spf1 mx -all</td> 280 <td></td> 281 </tr> 282 <tr> 283 <td>_dmarc</td> 284 <td>TXT</td> 285 <td>v=DMARC1;p=reject;rua=mailto:postmaster@mtkn.jp</td> 286 <td></td> 287 </tr> 288 </tbody> 289 </table> 290 291 <p> 292 ひとつめのAレコードは、ドメイン名(mtkn.jp)にIPアドレス(<i>sss.sss.sss.sss</i>)を紐付けるものである。ふたつめはmail.mtkn.jpのIPアドレスを登録するものである。みっつめのMXレコードは、このドメイン宛てのメール(user@mtkn.jp等)をどこのサーバーに送信するかを決めるものである。上記の設定では、mail.mtkn.jpに送信するようにしている。以上の設定で、user@mtkn.jp宛てのメールは、mail.mtkn.jpというサーバーに送信すればよいことが分かり、さらにこのサーバーのIPアドレスは<i>sss.sss.sss.sss</i>であることも分かる。 293 </p> 294 <p> 295 次のTXTレコードはSPFレコードである。v=spf1でSPFのバージョンを示し、mxでドメインのMXレコードに登録されたIPアドレスからの送信を許可し、-allでそれ以外のIPアドレスからの送信を禁止している。 296 </p> 297 <p> 298 最後のものはDMARCレコードである。v=DMARC1でバージョンを示し、p=rejectで、本人確認をクリアしなかったメールについて、その受信者が受信を拒否するように指定している。rua=mailto:postmaster@mtkn.jpでは、本人確認をクリアしなかったメールを受信した場合の通報先を指定している。</p> 299 300 <h3>PTR</h3> 301 <p>PTRレコードを設定する。さくらのVPSの場合、VPS管理画面にログインし、ネットワーク>ホスト名逆引き登録と進み、カスタムホスト名に自分のドメイン名(mtkn.jp)を入力する。 302 </p> 303 304 <h2>OpenSMTPDの設定</h2> 305 <h3>ユーザーの作成</h3> 306 <p> 307 メールの送受信を担当するユーザーを作成する:</p> 308 <pre><code># useradd -m -c "Virtual Mail" -d /var/vmail -s /sbin/nologin vmail 309 </code></pre> 310 311 <h3>サーバー証明書の取得</h3> 312 <p> 313 <code>httpd(8)</code>の設定ファイルを作成する。<code>/etc/examples</code>からサンプルの設定ファイルをコピーして編集する。変更箇所はドメイン名だけでいい。編集後、httpdを起動する。</p> 314 <pre><code># cp /etc/examples/httpd.conf /etc/ 315 # vi /etc/httpd.conf 316 # echo httpd_flags= >> /etc/rc.conf.local 317 # rcctl start httpd 318 # rcctl enable httpd 319 </code></pre> 320 321 <p> 322 続いて<code>acme-client(1)</code>を使ってLet's Encryptでサーバー証明書を発行する。まずはこちらもサンプルの設定ファイルをコピーしてドメイン名を変更する。その後、<code>acme-client(1)</code>を実行し、さらに<code>cron(8)</code>に登録することで、証明書が自動で更新されるようにする。</p> 323 <pre><code># cp /etc/examples/acme-client.conf /etc/ 324 # vi /etc/acme-client.conf 325 # acme-client -v mail.mtkn.jp 326 # crontab -e 327 </code></pre> 328 329 <pre><code>#minute hour mday month wday [flags] command 330 ~ 2 * * * acme-client mail.mtkn.jp && rcctl restart smtpd 331 </code></pre> 332 333 <h3>ドメインキーの作成とDNSへの登録</h3> 334 <p> 335 OpenSMTPD用のDKIMフィルターをインストールする。 336 </p> 337 <pre><code># pkg_add opensmtpd-filter-dkimsign 338 </code></pre> 339 340 <p> 341 ドメインキーとしてRSAの秘密鍵と公開鍵を作成する。DNSのTXTレコードの制約により、鍵の長さは1024ビットにする。 342 </p> 343 <pre><code># openssl genrsa -out /etc/mail/dkim/private.key 1024 344 # openssl rsa -in /etc/mail/dkim/private.key -pubout -out /etc/mail/dkim/public.key 345 # chown -r _dkimsign:_dkimsign /etc/mail/dkim 346 # chmod 0400 /etc/mail/dkim/private.key 347 </code></pre> 348 349 <p>作成したドメインキーの公開鍵をDNSに登録する:</p> 350 <table> 351 <thead> 352 <tr> 353 <th>サブドメイン</th> 354 <th>種別</th> 355 <th>内容</th> 356 <th>優先度</th> 357 </tr> 358 </thead> 359 <tbody> 360 <tr> 361 <td>selector1._domainkey.mail</td> 362 <td>TXT</td> 363 <td>v=DKIM1;k=rsa;p=<i>公開鍵</i></td> 364 <td></td> 365 </tr> 366 </tr> 367 </tbody> 368 </table> 369 370 <p> 371 サブドメインのselector1は以下のsmtpd.confの<code>filter-dkimsign</code>の-sオプションと同じものであれば他のものでもいい。</p> 372 373 <h3>/etc/mail/smtpd.confの設定</h3> 374 <p> 375 /etc/mail/smtpd.confを以下の通り変更:</p> 376 <pre><code># 認証に使用するサーバー証明書と秘密鍵を"mtkn.jp"という名前で登録。 377 pki mtkn.jp cert "/etc/ssl/mail.mtkn.jp.fullchain.pem" 378 pki mtkn.jp key "/etc/ssl/private/mail.mtkn.jp.key" 379 380 # テーブルの登録 381 # ローカルに届いたメールの転送を設定するテーブル 382 table aliases file:/etc/mail/aliases 383 # バーチャルメールユーザーの名前と暗号化されたパスワードのテーブル 384 table passwd file:/etc/mail/passwd 385 # バーチャルメールの転送を設定するテーブル 386 table virtuals file:/etc/mail/virtuals 387 388 # フィルターの登録 389 # ドメインキーによる署名を付加するフィルター 390 filter dkim_sign proc-exec\ 391 "filter-dkimsign -d mail.mtkn.jp -s selector1\ 392 -k /etc/mail/dkim/private.key" user _dkimsign group _dkimsign 393 # DNSの逆引きができなかった場合に受信を拒否するフィルター 394 filter check_rdns phase connect match !rdns disconnect "550 no rDNS." 395 # 正引きと逆引きでDNSのレコードが一致しなかった場合に受信を拒否するフィルター 396 filter check_fcrdns phase connect match !fcrdns disconnect "550 no FCrDNS." 397 398 # 各ネットワークインターフェース毎の処理を設定。 399 listen on socket 400 listen on lo0 401 # vio0というインターフェースの25番ポートに届いたものに関する設定。 402 # 外部からmtkn.jp宛に届いたものの処理である。 403 # 最初に登録した証明書と秘密鍵を使って通信を暗号化し、 404 # 上で設定したDNSに関するフィルターを適応。 405 listen on vio0 port 25 tls pki mtkn.jp hostname "mail.mtkn.jp"\ 406 filter { check_rdns, check_fcrdns } 407 # vio0というインターフェースのsubmission(587番)ポートに関する設定。 408 # mtkn.jpのユーザー(e.g. user@mtkn.jp)から任意の人宛に送信される 409 # メールに関する設定。 410 # 上と同様に"mtkn.jp”という名前で登録されたpkiを使って暗号化し、 411 # "passwd"という名前で登録したパスワードで認証し、 412 # さらにドメインキーでメールに署名する。 413 listen on vio0 mask-src port submission smtps pki mtkn.jp\ 414 hostname "mail.mtkn.jp" auth <passwd> filter dkim_sign 415 416 # 各種メールの処理を定義する。 417 # 各処理が実行される条件はこの後定義する。 418 # ローカルメールはデフォルトのまま 419 action "local_mail" mbox alias <aliases> 420 # 自分のドメイン宛のメールは/var/vmail/以下に振り分けてmaildir形式で保存。 421 action "domain" maildir "/var/vmail/%{dest.domain:lowercase}/%{dest.user:lowercase}"\ 422 virtual <virtuals> 423 # 他のドメイン宛ては宛先へ転送。 424 action "outbound" relay 425 426 # どういう条件でどういう処理をするかを定義する。 427 # 任意の送信元から自分のドメイン宛ては上で定義したdomainという処理をする。 428 # ここでは/var/vmail/以下に振り分けて保存する。 429 match from any for domain mtkn.jp action "domain" 430 # このサーバー内でのメールはlocal_mailとして処理。 431 match from local for local action "local_mail" 432 # このサーバー内から他所へのメールは宛先に転送 433 match from local for any action "outbound" 434 # 外部から来た他所宛てのメールは認証されているものに限り転送。 435 # authを忘れると多分このサーバー経由で迷惑メールが送られる危険がある。 436 match auth from any for any action "outbound" 437 </code></pre> 438 439 <h3>各テーブルの作成</h3> 440 <p> 441 上記の設定ファイルの<code>table</code>で指定したテーブルを作成する。<code>/etc/mail/aliases</code>は特に変更しなくてもいい。<code>/etc/mail/passwd</code>にはメールアカウントと暗号化されたパスワードを保存する。パスワードの暗号化には<code>smtpctl(8)</code>を使う:</p> 442 <pre><code># echo user@mtkn.jp:$(smtpctl encrypt) >> /etc/mail/passwd 443 <i>パスワードを入力し、エンター、Ctrl-D</i> 444 </code></pre> 445 446 <p> 447 <code>/etc/mail/virtuals</code>にはメールの転送を設定できる。以下のようにする:</p> 448 <pre><code>abuse@mtkn.jp user@mtkn.jp 449 postmaster@mtkn.jp user@mtkn.jp 450 webmaster@mtkn.jp user@mtkn.jp 451 user@mtkn.jp vmail 452 </code></pre> 453 <p> 454 この設定で、例えばabuse@mtkn.jp宛てのメールがuser@mtkn.jpに転送される。abuse, postmaster, webmasterはなんか一応作っとけみたいに書いてたけど必要なんかな？ 455 </p> 456 457 <h2>Dovecotの設定</h2> 458 <p> 459 MDAとして<code>dovecot(1)</code>をインストールする。</p> 460 <pre><code># pkg_add dovecot 461 </code></pre> 462 <p> 463 dhparamを作成する(時間がかかる): 464 </p> 465 <pre><code># openssl dhparam -out /etc/ssl/dh.pem 4096 466 </code></pre> 467 468 <p> 469 わかりにくい設定ファイルをどけてシンプルなものに書き直す: 470 </p> 471 <pre><code># mv /etc/dovecot/dovecot.conf /etc/dovecot/dovecot.conf.orig 472 # vi /etc/dovecot/dovecot.conf 473 </code></pre> 474 <p> 475 ドキュメントは公式ウェブサイトで確認できる。分量が多すぎて読む気にならない。サンプルの設定ファイルにも各項目の説明と既定値が書いてあるが、これも分かりにくい。パスワードが漏洩するのはとりあえず避けたいので、<code>ssl = required</code>と暗号化されていないIMAPを<code>port = 0</code>として無効にする。他はとりあえず以下の設定で動く:</p> 476 <pre><code># IPv4は全て監視 477 listen = * 478 479 # SSL接続のみ許可 480 ssl = required 481 482 # SSLに使用するファイル 483 ssl_cert = </etc/ssl/mail.mtkn.jp.fullchain.pem 484 ssl_key = </etc/ssl/private/mail.mtkn.jp.key 485 ssl_dh = </etc/ssl/dh.pem 486 487 # メールの保存場所は各ユーザーのホームディレクトリ。 488 # ホームディレクトリの場所は以下のuserdbで設定。 489 mail_location = maildir:~ 490 491 # パスワードのファイル。 492 # OpenSMTPDと共有。 493 passdb { 494 args = scheme=BLF-CRYPT /etc/mail/passwd 495 driver = passwd-file 496 } 497 498 # ユーザーの設定。 499 # ホームディレクトリは/var/vmail/<i>ドメイン</i>/<i>ユーザー名</i> 500 userdb { 501 args = uid=vmail gid=vmail home=/var/vmail/%d/%n 502 driver = static 503 } 504 505 # 使用するプロトコル。 506 # lmtpはいらんかも。 507 protocols = imap lmtp 508 509 # SSLを使ったIMAPSのみを許可。 510 service imap-login { 511 inet_listener imaps { 512 port = 993 513 ssl = yes 514 } 515 # Disable imap 516 inet_listener imap { 517 port = 0 518 } 519 } 520 </code></pre> 521 <pre><code># rcctl start dovecot 522 # rcctl enable dovecot 523 </code></pre> 524 525 <p> 526 サーバーの証明書が更新される際に<code>dovecot(1)</code>も再読み込みされるように<code>cron(8)</code>に追加しておく: 527 </p> 528 <pre><code>crontab -e 529 </code></pre> 530 531 <pre><code>#minute hour mday month wday [flags] command 532 ~ 2 * * * acme-client mail.mtkn.jp && rcctl restart smtpd && rcctl reload dovecot 533 </code></pre> 534 535 <h2>テスト</h2> 536 <p> 537 手元のメールクライアントから送受信のテストをする。特にgmail等に送った際に迷惑メールに分類されないかどうか確認する。以上の設定で、gmailへの送受信は問題なかった。また、<code>neomutt(1)</code>、<code>thunderbird(1)</code>からログイン及び送受信できることも確認した。</p> 538 539 <h2>参考文献</h2> 540 <ul> 541 <li><a href="https://man.openbsd.org/smtpd">smtpd(8).OpenBSD Manual Pages</a></li> 542 <li><a href="https://man.openbsd.org/smtpd.conf">smtpd.conf(5).OpenBSD Manual Pages</a></li> 543 <li><a href="https://man.openbsd.org/httpd">httpd(8).OpenBSD Manual Pages</a></li> 544 <li><a href="https://man.openbsd.org/httpd.conf">httpd.conf(5).OpenBSD Manual Pages</a></li> 545 <li><a href="https://man.openbsd.org/acme-client">acme-client(1).OpenBSD Manual Pages</a></li> 546 <li><a href="https://man.openbsd.org/acme-client.conf">acme-client.conf(5).OpenBSD Manual Pages</a></li> 547 <li><a href="https://unixsheikh.com/tutorials/arch-linux-mail-server-tutorial-part-1-what-is-email.html">Arch Linux mail server tutorial - part 1 - What is email?.unixsheikh.com</a></li> 548 <li><a href="https://unixsheikh.com/tutorials/arch-linux-mail-server-tutorial-part-2-opensmtpd-dovecot-dkimproxy-and-lets-encrypt.html">Arch Linux mail server tutorial - part 2 - OpenSMTPD, Dovecot, DKIMproxy, and Let's Encrypt.unixsheikh.com</a></li> 549 <li><a href="https://unixsheikh.com/tutorials/arch-linux-mail-server-tutorial-part-3-get-dns-right-it-is-important.html">Arch Linux mail server tutorial - part 3 - Get DNS right, it's important!.unixsheikh.com</a></li> 550 </ul> 551 </article> 552 553 </main> 554 <footer> 555 <address>info(at)mtkn(dot)jp</address> 556 </footer> 557 </body> 558 </html>