作者&＃xff1a; 邓卫华 shamdeng(###)163.com 把(###)换为“&＃64;”
http://dengweihua1.blog.51cto.com
相关产品&＃xff1a;
1、关于authlib集成windows ad失败的分析并解决[草稿]
2、Postfix&＃43;Dovecot&＃43;Windows Active Directory集成认证
ChangeLog:
2009.11.29 发布初稿
2009.12.3 增加基于POSTFIX的邮件归档与用户收发邮件抄送部门经理
2009.12.6 修改当某用户发送给g1&＃xff08;用户&＃xff09;和group1&＃xff08;组&＃xff0c;含g1用户&＃xff09;&＃xff0c;g1会收到两封邮件
增加了用户容量配额的控制
2010.1.4 增加&＃xff1a;默认情况下authdaemond为了加快认证速度会对密码进行缓存&＃xff0c;有些用户需要修改密码后立即生效.修改smtpd.conf文件
前言&＃xff1a;
之前我写了一个Postfix&＃43;Dovecot&＃43;Windows Active Directory集成认证的文章&＃xff0c;最后发现能使用的webmail确实是非常有限。最后换了好几个WEBMAIL发现还是使用extmail比其它免费的WEBMAIL无法在界面还是操作上都非常符合我们的要求。因此最后开始测试EXTMAIL,但是测试的结果非常让人沮丧,在EXTMAIL中设置好LDAP后还是无法认证成功。最后看extmail支持authlib认证&＃xff0c;我想如果我使用authlib来试试能不能通过查询windows ad来用户名和密码使之整合。
注&＃xff1a;在这里因为我觉得authlib是courier开发的&＃xff0c;配合courier-imap应该是不错的选择&＃xff0c;所以我放弃了dovecot&＃xff0c;当然您也可以不安装courier-imap也是可以的。
一、所需软件&＃xff1a;
1、postfix 邮件的MTA软件&＃xff0c;负责邮件的进、出(server-server/client-server)
2、authlib courier-imap和postfix调用authlib来查询AD进行用户密码和密码认证。
3、courier-imap &＃xff1a;提供pop3和imap邮件功能&＃xff08;您也可以使用dovecot&＃xff09;.
4、openldap的客户端及开发库文件。
5、extmail (含extmail所需要的很多perl模块&＃xff09;
6、apache和php
7、cyrus-sasl2 postfix通过sasl来查询authlib进行密码查询与验证。
版本&＃xff1a;
1、openldap
openldap-2.3.43-3.el5
openldap-clients-2.3.43-3.el5
openldap-devel-2.3.43-3.el5
2、cyrus-sasl
cyrus-sasl-devel-2.1.22-5.el5
cyrus-sasl-2.1.22-5.el5
cyrus-sasl-lib-2.1.22-5.el5
cyrus-sasl-plain-2.1.22-5.el5
3、postfix
mail_version &＃61; 2.6.5
4、authlib
courier-authlib-0.62.4
6、courier-imap
courier-imap-4.6.0
6、extmail
extmail-1.1.1.tar.gz
二、Windows 2008 AD设置
1、运行dcpromo 提升2008的域控(需要DNS)
2、建立mailuser的OU&＃xff0c;并在其下建立vmail用户密码123
三、编译程序
1、openldap
#yum install openldap.i386 openldap-clients.i386 openldap-devel.i386
2、authlib
#./configure --with-authldap –without-authmysql –without-authpgsql
#make
#make install
#make install-configure
3、postfix
$make tidy
$make makefiles CCARGS&＃61;"-DUSE_SASL_AUTH -DUSE_CYRUS_SASL -I/usr/local/include/sasl –I/usr/include" AUXLIBS&＃61;"-L/usr/local/lib –lsasl2 –L/usr/lib –lldap –L/usr/lib –llber”
$make
#make install
完成后可运行如下命令检查编入的模块&＃xff1a;cyrus
#postconf -a
cyrus
#
4、courier-imap
$./configure
$make
$make check
#make install
#make install-configure
5、apache和php可以通过yum install 来安装。
四、配置authlib查询windows ad 的LDAP认证。
# cd /usr/local/etc/authlib/
authdaemonrc的内容如下&＃xff1a;
[root&＃64;mail authlib]# cat authdaemonrc |grep -v "^#"
authmodulelist&＃61;"authldap"
authmodulelistorig&＃61;"authldap"
daemons&＃61;5
authdaemonvar&＃61;/usr/local/var/spool/authdaemon
#请注意authdaemon文件的路径及权限要求postfix的运行帐户有执行的权限。
DEBUG_LOGIN&＃61;2
DEFAULTOPTIONS&＃61;""
LOGGEROPTS&＃61;""
#
配置authldaprc文件进行WINDOWS AD查询。
请注意配置文件的格式为 “变量[空格或TAB]值” 无论在行首或行未不要有任何多余的空格。
[root&＃64;mail authlib]# cat authldaprc |grep -v "^#"
LDAP_URI ldap://10.0.3.3
LDAP_PROTOCOL_VERSION 3
LDAP_BASEDN ou&＃61;mailuser,dc&＃61;test,dc&＃61;com
LDAP_BINDDN vmail&＃64;test.com
LDAP_BINDPW 123
LDAP_TIMEOUT 5
LDAP_AUTHBIND 1
LDAP_MAIL mail
LDAP_FILTER (&(objectClass&＃61;person)(!(userAccountControl&＃61;66050)))
LDAP_DOMAIN test.com
LDAP_GLOB_UID postfix
LDAP_GLOB_GID postfix
LDAP_HOMEDIR sAMAccountName
LDAP_MAILROOT /data/vmail
LDAP_DEREF never
LDAP_FULLNAME displayName
LDAP_CRYPTPW userPassword
#2009.12.6增加(此功能需要扩展AD架构&＃xff0c;我最近正在写扩展AD架构的一个小程序&＃xff0c;以后将会发布)
LDAP_MAILDIRQUOTA mailmessagestore
注意&＃xff1a;
1、*BASE_DN一定要指定一个明确的OU值&＃xff0c;如果您用dc&＃61;test,dc&＃61;com 则会出现无法查询到任何帐户&＃xff0c;这个问题害得我研究了几多天的时间.更详细的信息请见“关于authlib集成windows ad失败的分析并解决[草稿]”
2、BIND_DN中vmail&＃64;test.com vmail是您在Windows AD的mailuser这个OU下面建立的帐户。test.com 是您的WINDOWS AD的域名。
3、LDAP_MAIL和LDAP_FILTER是通过ldap查询时的过滤规则同mail一起使用&＃xff0c;本文的通过authlib后就成为&＃xff1a;(&(&(objectClass&＃61;person)(!(userAccountControl&＃61;66050)))(mail&＃61;username&＃39;s email address))
4、LDAP_GLOB_UID和GID参数的使用者帐户必须要与postfix的和extmail的一至&＃xff0c;否则会出现chdr Maildir错误。
5、LDAP_HOMEDIR这个参数这里要注意&＃xff0c;一般的“用户家目录”格式如下&＃xff1a; /data/vmail/test/Maildir (您的可能会不一样),其它/data/vmail为邮件的根目录&＃xff0c;test为用户的“家目录”&＃xff0c;Maildir这个参数会自动在courier- imap中pop3d这个配置文件中指定MAILDIRPATH&＃61;Maildir.
6、mailMessageStore的值需要在Winows Ad中运行adsiedit.msc 找到用户并修改mailMessageStore的值&＃xff0c;如要设置为1K则值为:1024S (我正在写一个直接在WINDOWS 上运行的用户管理程序&＃xff0c;可以直接在程序中修改配额&＃xff0c;不用这么麻烦)
--
下面开始配置courier-IMAP的POP3和IMAP功能&＃xff08;extmail只使用了pop3功能&＃xff0c;所以可以不用配置imap&＃xff09;
#cd /usr/lib/courier-imap/etc
[root&＃64;mail etc]# cat pop3d |grep -v "^#"
PIDFILE&＃61;/var/run/pop3d.pid
MAXDAEMONS&＃61;40
MAXPERIP&＃61;4
POP3AUTH&＃61;"LOGIN PLAIN"
POP3AUTH_ORIG&＃61;"PLAIN LOGIN CRAM-MD5 CRAM-SHA1 CRAM-SHA256"
POP3AUTH_TLS&＃61;""
POP3AUTH_TLS_ORIG&＃61;"LOGIN PLAIN"
POP3_PROXY&＃61;0
PORT&＃61;110
ADDRESS&＃61;0
TCPDOPTS&＃61;"-nodnslookup -noidentlookup"
LOGGEROPTS&＃61;"-name&＃61;pop3d"
POP3DSTART&＃61;YES
MAILDIRPATH&＃61;Maildir
[root&＃64;mail etc]#
OK&＃xff0c;基本的POP3认证auhlib就成功了&＃xff0c;现在我们测试一下。在开始测试test用户之前我们需要确认在WINDOWS AD中test用户的邮件地址已经写为test&＃64;test.com 了。如下图&＃xff1a;
#authtest –s login test “123”
Authentication succeeded.
Authenticated: test (uid 500, gid 501)
Home Directory: /data/vmail/test
Maildir: (none)
Quota: (none)
Encrypted Password: (none)
Cleartext Password: 123
Options: (none)
[root&＃64;mail etc]#
出现以上提示说明配置成功了&＃xff0c;如果失败最大的可能就是你的authldaprc文件中的语法不正确或多了一个或多个空格。
本文出自&＃xff1a;邓卫华的博客地址是&＃xff1a; http://dengweihua1.blog.51cto.com
四、配置postfix与sasl2。
1、增加smtpd.conf文件
[root&＃64;mail etc]# cat /usr/local/lib/sasl2/smtpd.conf
pwcheck_method:authdaemond
log_level:3
mech_list: PLAIN LOGIN
authdaemond_path:/usr/local/var/spool/authdaemon/socket
#reauth_timeout DIGEST-MD5 0 ####设置密码缓存时间为0,根据您的情况决定。
[root&＃64;mail etc]#
2、修改postfix的main.cf配置文件
[root&＃64;mail etc]# postconf –n
broken_sasl_auth_clients &＃61; yes
home_mailbox &＃61; Maildir/
mail_owner &＃61; postfix
mydestination &＃61; $myhostname,localhost.$mydomain,localhost
mydomain &＃61; test.com
myhostname &＃61; mail.test.com
mynetworks &＃61; 127.0.0.0/8
mynetworks_style &＃61; host
myorigin &＃61; $mydomain
smtp_sasl_security_options &＃61; noanonymous
smtpd_recipient_restrictions &＃61; permit_mynetworks,permit_sasl_authenticated,reject_unauth_destination
smtpd_sasl_auth_enable &＃61; yes
smtpd_sasl_authenticated_header &＃61; yes
smtpd_sasl_local_domain &＃61; test.com
smtpd_sasl_type &＃61; cyrus
unknown_local_recipient_reject_code &＃61; 550
virtual_alias_maps &＃61; ldap:/etc/postfix/ldap-group.cf
virtual_gid_maps &＃61; static:501
virtual_mailbox_base &＃61; /data/vmail
virtual_mailbox_domains &＃61; $mydomain
virtual_mailbox_maps &＃61; ldap:/etc/postfix/ldap-users.cf
virtual_uid_maps &＃61; static:500
#2009.12.3增加
always_bcc&＃61;test&＃64;test.com
sender_bcc_maps&＃61;hash:/etc/postfix/sender_bcc_maps
recipient_bcc_maps&＃61;hash:/etc/postfix/recipient_bcc
#2009.12.6增加
enable_original_recipient&＃61;no
#
…
#cat /etc/postfix/sender_bcc_maps //把g1用户发送的邮件抄送给部门经理或某个人。
g1&＃64;test.comg2&＃64;test.com
#postmaq /etc/postfix/sender_bcc_maps //生成sender_bcc_maps文件的hash格式数据库。
#cat /etc/postfix/recipient_bcc //把g1用户收到的邮件抄送给部门经理
g1&＃64;test.comg2&＃64;test.com
#postmaq /etc/postfix/recipient_bcc
*postfix配置文件中的always_bcc 是邮件归档邮箱&＃xff0c;把所有收发的邮件转发到test&＃64;test.com 邮件。
#cat /etc/postfix/ldap-users.cf
[root&＃64;mail etc]# cat /etc/postfix/ldap-users.cf
server_host&＃61;10.0.3.3
search_base&＃61; dc&＃61;test,dc&＃61;com
version&＃61;3
query_filter&＃61;(&(objectclass&＃61;person)(|(mail&＃61;%s)(othermailbox&＃61;%s))(!(userAccountControl&＃61;66050)))
bind&＃61;yes
bind_dn&＃61;vmail&＃64;test.com
bind_pw&＃61;123
#result_attribute&＃61;sAMAccountName
result_attribute&＃61;samaccountname
result_format &＃61; %s/Maildir/
[root&＃64;mail etc]# cat /etc/postfix/ldap-group.cf
server_host&＃61;10.0.3.3
search_base&＃61;dc&＃61;test,dc&＃61;com
version&＃61;3
query_filter&＃61;(&(objectClass&＃61;group)(mail&＃61;%s))
leaf_result_attribute &＃61; mail
special_result_attribute &＃61; member
bind &＃61; yes
bind_dn &＃61; vmail&＃64;test.com
bind_pw &＃61; 123
#postfix stop
#postfix start
#cat /var/log/maillog
确认postfix启动正常无任何异常。
五、配置extmail(在之前请确认已经设置好apache及php并且把apache的user和group设置为postfix用户)
[root&＃64;mail ~]# cat /var/www/html/extmail/webmail.cf |grep -v "^#"
SYS_CONFIG &＃61; /var/www/html/extmail/ #注意你的APACHE的路径。因为是测试环境我未做太多更改
SYS_LANGDIR &＃61; /var/www/html/extmail/lang
SYS_TEMPLDIR &＃61; /var/www/html/extmail/html
SYS_HTTP_CACHE &＃61; 0
SYS_SMTP_HOST &＃61; 127.0.0.1
SYS_SMTP_PORT &＃61; 25
SYS_SMTP_TIMEOUT &＃61; 5
SYS_SPAM_REPORT_ON &＃61; 0
SYS_SPAM_REPORT_TYPE &＃61; dspam
SYS_SHOW_WARN &＃61; 0
SYS_PERMIT_NOQUOTA &＃61; 1
SYS_SESS_DIR &＃61; /tmp
SYS_UPLOAD_TMPDIR &＃61; /tmp
SYS_LOG_ON &＃61; 1
SYS_LOG_TYPE &＃61; file
SYS_LOG_FILE &＃61; /var/log/extmail.log
SYS_SESS_TIMEOUT &＃61; 0
SYS_SESS_COOKIE_ONLY &＃61; 1
SYS_USER_PSIZE &＃61; 10
SYS_USER_SCREEN &＃61; auto
SYS_USER_LANG &＃61; en_US
SYS_APP_TYPE &＃61; WebMail
SYS_USER_TEMPLATE &＃61; default
SYS_USER_CHARSET &＃61; utf-8
SYS_USER_TRYLOCAL &＃61; 1
SYS_USER_TIMEZONE &＃61; &＃43;0800
SYS_USER_CCSENT &＃61; 1
SYS_USER_SHOW_HTML &＃61; 1
SYS_USER_COMPOSE_HTML &＃61; 1
SYS_USER_CONV_LINK &＃61;1
SYS_USER_ADDR2ABOOK &＃61; 1
SYS_MESSAGE_SIZE_LIMIT &＃61; 5242880
SYS_MIN_PASS_LEN &＃61; 2
SYS_MFILTER_ON &＃61; 1
SYS_SHOW_SIGNUP &＃61; 0
SYS_DEBUG_ON &＃61; 1
SYS_AUTH_TYPE &＃61; authlib
SYS_AUTH_SCHEMA &＃61; virtual
SYS_CRYPT_TYPE &＃61; md5crypt
SYS_AUTHLIB_SOCKET &＃61; /usr/local/var/spool/authdaemon/socket
SYS_G_ABOOK_TYPE &＃61; file
SYS_G_ABOOK_LDAP_HOST &＃61; 10.0.3.3
SYS_G_ABOOK_LDAP_BASE &＃61; ou&＃61;AddressBook,dc&＃61;example.com
SYS_G_ABOOK_LDAP_ROOTDN &＃61; cn&＃61;Manager,dc&＃61;example.com
SYS_G_ABOOK_LDAP_ROOTPW &＃61; secret
SYS_G_ABOOK_LDAP_FILTER &＃61; objectClass&＃61;OfficePerson
SYS_G_ABOOK_FILE_PATH &＃61; /var/www/extsuite/extmail/globabook.cf
SYS_G_ABOOK_FILE_LOCK &＃61; 1
SYS_G_ABOOK_FILE_CONVERT &＃61; 0
SYS_G_ABOOK_FILE_CHARSET &＃61; utf-8
[root&＃64;mail ~]#
注意修改黑体字的SYS_AUTHLIB_SOCKET为您的authdaemond配置文件中的路径一至&＃xff0c;如果出现访问拒绝则请用chmod ug&＃43;x /etc/local/var/spool/authdaemon
五、确认与测试
1、确认postfix的SMTP启用了PLAIN和LOGIN认证功能
#authdaemond start
#postfix start
#telnet 0 25
测试SMTP发信功能&＃xff1a;
[root&＃64;mail ~]# !telnet
telnet 0 25
Trying 0.0.0.0...
Connected to 0 (0.0.0.0).
Escape character is &＃39;^]&＃39;.
220 mail.test.com ESMTP Postfix
helo mail
250 mail.test.com
mail from:
250 2.1.0 Ok
rcpt to:
250 2.1.5 Ok
data
354 End data with
hello,this is a est.
.
250 2.0.0 Ok: queued as 6A68F1B8151
quit
221 2.0.0 Bye
Connection closed by foreign host.
[root&＃64;mail ~]#
命令行发送成功&＃xff0c;在确认日志
Nov 29 15:06:26 mail postfix/smtpd[26373]: connect from localhost.localdomain[127.0.0.1]
Nov 29 15:06:29 mail postfix/smtpd[26373]: B6F6A1B8151: client&＃61;localhost.localdomain[127.0.0.1]
Nov 29 15:06:30 mail postfix/cleanup[26341]: B6F6A1B8151: message-id&＃61;<20091129070629.B6F6A1B8151&＃64;mail.test.com>
Nov 29 15:06:30 mail postfix/qmgr[24893]: B6F6A1B8151: from&＃61;
Nov 29 15:06:30 mail postfix/virtual[26342]: B6F6A1B8151: to&＃61;
Nov 29 15:06:30 mail postfix/qmgr[24893]: B6F6A1B8151: removed
Nov 29 15:06:30 mail postfix/smtpd[26373]: disconnect from localhost.localdomain[127.0.0.1]
[root&＃64;mail ~]#
OK&＃xff0c;从日志上来看已经完全成功了。
2、测试POP3功能
#telnet 0 110
[root&＃64;mail ~]# telnet 0 110
Trying 0.0.0.0...
Connected to 0 (0.0.0.0).
Escape character is &＃39;^]&＃39;.
&＃43;OK Hello there.
user test
&＃43;OK Password required.
pass 123
&＃43;OK logged in.
list
&＃43;OK POP3 clients that break here, they violate STD53.
1 292
2 2119
3 421
4 654
5 996
6 443
7 428
.
quit
&＃43;OK Bye-bye.
Connection closed by foreign host.
[root&＃64;mail ~]#
3、用客户端软件对pop3和SMTP功能进行测试
未选重“我的服务器需要身份验证”功能发送。
确认无法发送成功。
4、测试EXTMAIL是否成功&＃xff1a;
\
进入后的界面
后记&＃xff1a;
好了&＃xff0c;终于写完&＃xff0c;如果您有什么问题请联系我。shamdeng ### 163.com (把###换成 &＃64;)或在我的博客留言。
我的博客地址是&＃xff1a; http://dengweihua1.blog.51cto.com
我在网上看到有人把postfix和AD集成整合WINDOWS AD认证的文章在买钱&＃xff08;在TAOBAO网上&＃xff09;,这样做是不是断了人家的钱路呢&＃xff1f;呵~呵&＃xff0c;确实现在在网上写的LINUX MAIL服务器与WINDOWS AD整合的文章非常少。
关键字&＃xff1a; postfix ad /courier ad / windows ad / linux mail windows ad
本文出自 “邓卫华” 博客&＃xff0c;请务必保留此出处http://dengweihua1.blog.51cto.com/134932/236278
京公网安备 11010802041100号