Calculin - Historial de revisiones

Dax: /* Configuración de DNS */

2008-03-31T03:38:33Z

‎Configuración de DNS

Dax: /* General domainkey references */

2008-03-31T03:19:09Z

‎General domainkey references

Gacq en 17:51 30 mar 2008

2008-03-30T17:51:22Z

Dax: /* LDAP */

2008-03-22T04:34:06Z

‎LDAP

Dax: /* Intro */

2008-03-22T04:26:25Z

‎Intro

Dax: /* LDAP */

2008-03-21T20:16:11Z

‎LDAP

Dax: /* LDAP */

2008-03-21T19:33:04Z

‎LDAP

Dax: /* LDAP */

2008-03-21T19:11:30Z

‎LDAP

Dax: /* LDAP */

2008-03-21T19:08:56Z

‎LDAP

Dax: /* LDAP */

2008-03-21T19:06:28Z

‎LDAP

← Revisión anterior		Revisión del 03:38 31 mar 2008
Línea 182:		Línea 182:
	===Configuración de DNS===		===Configuración de DNS===

−	La configuración de DNS es '''tricky''', la documentación que encontré no es muy específica. La forma de correcta de setearlo es poniendo ''dos'' entradas en la zona:	+	La configuración de DNS es ''tricky'', la documentación que encontré no es muy específica. La forma de correcta de setearlo es poniendo '''dos''' entradas de tipo ''TXT'' en la zona:
		+	<pre>
		+	calculin._domainkey.cafelug.org.ar. TXT "k=rsa; t=y; p=MFwwDQYJ[...]xfS+g/UlcszvzvY3UPFNEVGEecCAwEAAQ=="
		+
		+	_domainkey.cafelug.org.ar. TXT "t=y; o=-"
		+	</pre>
		+
		+	La primera indica la clave pública (encodeada en Base64) para el selector ''calculin'' (que use con el gentxt.csh) y es importante que esté con el selector adelante y seguido de un ''.'' (punto). O sea ''<selector>._domainkey.<dominio>'', las demás opciones ('''k=''' y '''t=''') están claramente documentadas en la [http://tools.ietf.org/html/rfc4870 RFC 4870].
		+
		+	La segunda entrada indica cómo deben ser tratados los mails que llegan de este dominio, '''t=''' indica que el dominio está en ''test-mode'' (esto supongo que habrá que sacarlo), luego la opción '''o=''' tiene varios valores, ''~'' indica que los mails pueden ser firmados o no, en cambio ''-'' indica que todos los mails enviados van a salir firmados.
		+
		+
		+	===Configuración de postfix===
		+
		+	La configuración de postfix es simple, lo único que hay que tener en cuenta es la versión de postfix. Esto está soportado desde la versión 2.3.
		+
		+	<pre>
		+	smtpd_milters = inet:127.0.0.1:1025
		+	non_smtpd_milters = inet:127.0.0.1:1025
		+	</pre>
		+
		+	<code>smtpd_milters</code> indica donde encuentra los ''milters'' definidos (ojo con la sintaxis, no es la misma que usa el dk-milter, intercambia la posición del ''host'' y ''puerto'', así que no hay que hacer cut&paste).
		+
		+	<code>non_smtpd_milters</code> es para los mails generados localmente.

← Revisión anterior		Revisión del 03:19 31 mar 2008
Línea 135:		Línea 135:
	==General domainkey references==		==General domainkey references==
	*[http://www.postfix.org/MILTER_README.html Postfix before-queue Milter support]		*[http://www.postfix.org/MILTER_README.html Postfix before-queue Milter support]
		+
		+	==Implementación==
		+
		+	Para implementarlo finalmente elegimos usar dk-milter o dk-filter (que es lo mismo).
		+	Debian trae un paquete en lenny, por lo que me baje los fuentes con:
		+
		+	<code>
		+	apt-get -t lenny source dk-milter
		+	</code>
		+
		+	y después lo compilé (con <code>dpkg-buildpackage</code>)
		+
		+	Lo primero que hay que hacer es armar los certificados. El paquete trae un comandito para hacerlo <code>gentxt.csh</code>, este comando se ejecuta pasandole dos argumentos, el "selector" que es un nombre (yo le mandé "calculin") y el nombre del dominio al que pertenece el certificado, en este caso fue "cafelug.org.ar".
		+
		+	Genera dos archivos:
		+	* calculin.public
		+	* calculin.private
		+
		+	El archivo privado es el más importante y hay que ponerlo en alguna parte que después lea el demonio, yo lo mandé en /etc/postfix/domainkeys.
		+
		+	Luego hay que configurar el DNS y también algunos parámetros del dk-filter.
		+
		+	El dk-filter se configura tocando el archivo <code>/etc/default/dk-filter</code> y así quedó:
		+	<pre>
		+	# Sane defaults: log to syslog
		+	DAEMON_OPTS="-l -m smtpd,postfix"
		+	# Sign for example.com with key in /etc/mail/domainkey.key using
		+	# selector '2007' (e.g. 2007._domainkey.example.com)
		+	DAEMON_OPTS="$DAEMON_OPTS -d cafelug.org.ar -s /etc/postfix/domainkeys/dk_cafelug.org.ar.pem -S calculin"
		+	# See dk-filter(8) for a complete list of options
		+	#
		+	# Uncomment to specify an alternate socket
		+	#SOCKET="/var/run/dk-filter/dk-filter.sock" # default
		+	#SOCKET="inet:54321" # listen on all interfaces on port 54321
		+	SOCKET="inet:1025@localhost" # listen on loopback on port 12345
		+	#SOCKET="inet:12345@192.0.2.1" # listen on 192.0.2.1 on port 12345
		+	</pre>
		+
		+	Entre las opciones esta <code>-l</code> que es para que mande los logs a través de syslog, <code>-m smtpd,postfix</code> no sé si es necesario (entre las pruebas que hice quedó). Las otras son más importantes:
		+	* <code> -d cafelug.org.ar</code> (el dominio del certificado, se pueden poner más dominios)
		+	* <code> -s /etc/postfix/domainkeys/dk_cafelug.org.ar.pem</code> (el lugar donde está la clave privada)
		+	* <code> -S calculin</code> (el "selector").
		+
		+	Y la parte que me volvió un poco loco fue la opción de <code>SOCKET=</code>, postfix corre en chroot, por lo que la opción <code>SOCKET="/var/run/dk-filter/dk-filter.sock"</code> me tiraba '''file not found'''... estuve un rato para acordarme y darme cuenta que no lo encontraba porque no estaba dentro del jail. En fin, lo deje escuchando en un puerto y así no da problemas.
		+
		+	===Configuración de DNS===
		+
		+	La configuración de DNS es '''tricky''', la documentación que encontré no es muy específica. La forma de correcta de setearlo es poniendo ''dos'' entradas en la zona:

@@ Línea 1: / Línea 1: @@
-=== Intro ===
+=Intro=
 Dado que el primer ''approach'' (usar web-cyradm) no funcionó porque...:
@@ Línea 12: / Línea 11: @@
 == Instalación de cada parte ==
 === Paquetes instalados vía apt-get ===
@@ Línea 19: / Línea 17: @@
 == Configuración ==
 === Certificado X.509 para cifrado TLS/SSL ===
 Para armar el certificado que se usa en todos lados (IMAPs, ldap, web?) lo hice con el siguiente comando:
@@ Línea 110: / Línea 107: @@
 maildrop: gacq@cafelug.org.ar
 </pre></code>

@@ Línea 42: / Línea 42: @@
 === LDAP ===
-En el documento referido antes habla de meter schemas llamados <code>sendmail.schema</code>, <code>samba.schema</code>, y <code>mozillaOrgPerson_V0.6.schema</code>, al schema de samba ni lo metí porque no tiene sentido. Si bien los encontré por inet tiraban errores. Sí metí los <code>greenmta.schema</code> <s>y <code>lookup.schema</code></s> porque vi que los iba a usar luego.
+Di mil vueltas con esto, más que nada porque es el primer LDAP que configuro desde cero y no encontré algún documento que diga ''usa este schema que sale con fritas''. Por lo que lei hay dos schemas más utilizados para trabajar con correo, uno es el de Courier y el otro es el de Qmail.
-Estos últimos dos schemas no dieron errores por lo que los integré al resto.
+Me bajé [http://courier.cvs.sourceforge.net/*checkout*/courier/libs/authlib/authldap.schema el de courier]. El tema no está en que postfix pueda encontrar si una dirección de correo es válida (y saber a qué casilla enviarla), el problema son los aliases (claro que pude haber usado el hash:/etc/aliases, pero así quién no?! :-)).
-Tener los schemas obviamente es el inicio del tema porque hay que insertar los ''registros'' todavía. Siguiendo los archivos de configuración del documento para las búsquedas LDAP que realizará el postfix encontré que necesitaba unos cuantos usuarios y '''ou'''s por acá y allá, estos son:
+Para no hacer las cosas muy complicadas segui la recomendación del documento de bulma que propone armar dos ramas: "People" y "Postfix". En la primera van los usuarios y en la segunda cosas de Postfix (dughh!).
-De esto se desprende que el esquema LDAP está pensado para que un usuario pueda tener <u>aliases</u> en ''mailAlternateAddress'', lo que nos viene bien para casillas con @usla.org.ar, @linux.org.ar. También se pueden activar los usuarios en base al valor de ''accountStatus'', para que esté activa la casilla deberá tener el valor '''aktiv''' &mdash;que por supuesto, se puede cambiar a algo como ''activo'' ya que obviamente estos chicos no son argentinos ;-)&mdash;
+<code><pre>
-Sí hice un corte importante y creo que es por mi falta de experiencia con LDAP, todo el tema del ''lookupName'' no entiendo para que lo usa ni tampoco como crearlo realmente. Al tratar de armar la rama '''ou=server''' no encontré forma de meter el '''lookupName''' dentro del container '''cn=postfix,cn=mailstore,ou=server,ou=edv,dc=cafelug,dc=org,dc=ar'''. Por otro lado, de haberlo metido no sé qué datos deberían ir ahí dentro.
+# LDIF Export for: dc=cafelug,dc=org,dc=ar
-<s>Los usuarios se buscan dentro de '''ou=users,ou=accounts,dc=cafelug,dc=org,dc=ar''' y el tema pasa por los [http://www.postfix.org/postconf.5.html#virtual_alias_maps virtual_alias_maps] y [http://www.postfix.org/postconf.5.html#virtual_alias_domains virtual_alias_domains] (de postfix). Postfix necesita saber a qué usuario (local) enviar mails que llegan a p.e.: dcoletti@cafelug.org.ar -> dcoletti y también dcoletti@usla.org.ar -> dcoletti. Así que en vez de hacer todo el asunto por <code>lookups</code>, lo armé para usarlo con atributos de '''ou=users,ou=accounts,dc=cafelug,dc=org,dc=ar''', o sea que '''cn=Daniel Coletti,ou=users,ou=accounts,dc=cafelug,dc=org,dc=ar''' tendrá que tener los atributos correspondientes como para que el mail le llegue a la casilla</s>
+dn: dc=cafelug,dc=org,dc=ar
-cambié uno de los '''ou''' ya que en el documento usa como base de búsqueda ''lookupName=virtualusers,cn=postfix,cn=mailstore,ou=server,ou=edv,dc=cafelug,dc=org,dc=ar'' y no sé para qué pusieron la '''ou=edv''', así que cambié los archivos de búsqueda de postfix eliminando esta ou.
+dn: cn=admin,dc=cafelug,dc=org,dc=ar
-Todas estas cosas las fui agregando con phpldapadmin ya que &mdash;por lo menos para mi&mdash; es indispensable (no sé tanto de ldap como para ir agregando las cosas vía <code>ldapadd</code>)
+dn: ou=People,dc=cafelug,dc=org,dc=ar

@@ Línea 9: / Línea 9: @@
 hice un cambio radical de estrategia y me puse a configurar el sistema con Postfix, Cyrus y backend LDAP.
-Buscando en Google encontré [http://linuxgazette.net/124/pfeiffer.html esta página] de la cual me basé para armar todo el tema.
+Buscando en Google encontré [http://linuxgazette.net/124/pfeiffer.html esta página] (que habla de una migración de no-sé-qué a postfix+cyrus), también vi [http://bulmalug.net/body.phtml?nIdNoticia=2013 esta otra página] (que resita sobre una configuración de postfix+ldap+COURIER) y finalmente [http://www.postfix.org/VIRTUAL_README.html documentación de postfix]. Entre todas estas cosas empecé a armar todo el asunto.
 == Instalación de cada parte ==

← Revisión anterior		Revisión del 19:33 21 mar 2008
Línea 54:		Línea 54:


−	De esto se desprende que el esquema LDAP está pensado para que un usuario pueda tener <u>aliases</u> en ''mailAlternateAddress'', lo que nos viene bien para casillas con @usla.org.ar, @linux.org.ar. También se pueden activar los usuarios en base al valor de ''accountStatus'', para que esté activa la casilla deberá tener el valor '''aktiv''' —que por supuesto, se puede cambiar a algo como ''activo'' ya que obviamente estos chicos son ~~alemanes~~ ;-)—	+	De esto se desprende que el esquema LDAP está pensado para que un usuario pueda tener <u>aliases</u> en ''mailAlternateAddress'', lo que nos viene bien para casillas con @usla.org.ar, @linux.org.ar. También se pueden activar los usuarios en base al valor de ''accountStatus'', para que esté activa la casilla deberá tener el valor '''aktiv''' —que por supuesto, se puede cambiar a algo como ''activo'' ya que obviamente estos chicos no son argentinos ;-)—

		+	Sí cambié uno de los '''ou''' ya que en el documento usa como base de búsqueda ''lookupName=virtualusers,cn=postfix,cn=mailstore,ou=server,ou=edv,dc=cafelug,dc=org,dc=ar'' y no sé para qué pusieron la '''ou=edv''', así que cambié los archivos de búsqueda de postfix eliminando esta ou.

	Todas estas cosas las fui agregando con phpldapadmin ya que —por lo menos para mi— es indispensable (no sé tanto de ldap como para ir agregando las cosas vía <code>ldapadd</code>)		Todas estas cosas las fui agregando con phpldapadmin ya que —por lo menos para mi— es indispensable (no sé tanto de ldap como para ir agregando las cosas vía <code>ldapadd</code>)

← Revisión anterior		Revisión del 19:11 21 mar 2008
Línea 55:		Línea 55:

	De esto se desprende que el esquema LDAP está pensado para que un usuario pueda tener <u>aliases</u> en ''mailAlternateAddress'', lo que nos viene bien para casillas con @usla.org.ar, @linux.org.ar. También se pueden activar los usuarios en base al valor de ''accountStatus'', para que esté activa la casilla deberá tener el valor '''aktiv''' —que por supuesto, se puede cambiar a algo como ''activo'' ya que obviamente estos chicos son alemanes ;-)—		De esto se desprende que el esquema LDAP está pensado para que un usuario pueda tener <u>aliases</u> en ''mailAlternateAddress'', lo que nos viene bien para casillas con @usla.org.ar, @linux.org.ar. También se pueden activar los usuarios en base al valor de ''accountStatus'', para que esté activa la casilla deberá tener el valor '''aktiv''' —que por supuesto, se puede cambiar a algo como ''activo'' ya que obviamente estos chicos son alemanes ;-)—
		+
		+
		+	Todas estas cosas las fui agregando con phpldapadmin ya que —por lo menos para mi— es indispensable (no sé tanto de ldap como para ir agregando las cosas vía <code>ldapadd</code>)

@@ Línea 46: / Línea 46: @@
 Estos últimos dos schemas no dieron errores por lo que los integré al resto.
-Tener los schemas obviamente no resuelve nada. Siguiendo los archivos de configuración del documento para las búsquedas LDAP que realizará el postfix encontré que necesitaba unos cuantos usuarios y '''ou'''s por acá y allá, estos son:
+Tener los schemas obviamente es el inicio del tema porque hay que insertar los ''registros'' todavía. Siguiendo los archivos de configuración del documento para las búsquedas LDAP que realizará el postfix encontré que necesitaba unos cuantos usuarios y '''ou'''s por acá y allá, estos son:
 * cn=postfix,ou=system,ou=accounts,dc=cafelug,dc=org,dc=ar (para hacer las consultas)
 * búsqueda de virtual_alias_maps:
@@ Línea 53: / Línea 53: @@
 ** ou=users,ou=accounts,dc=cafelug,dc=org,dc=ar (buscando el atributo '''mail''' usando como filtro: '''(&(uid=%u)(accountStatus=aktiv))''', dentro del archivo de local_recipient_maps.cf)
-De esto se desprende que el esquema LDAP está pensado para que un usuario pueda tener '''aliases''' en ''mailAlternateAddress'', lo que nos viene bien para casillas con @usla.org.ar, @linux.org.ar. También se pueden activar los usuarios o no en base al valor de ''accountStatus'', para que esté activa la casilla deberá tener el valor '''aktiv''' &mdash;que por supuesto, se puede cambiar a algo como ''activo'' ;-)&mdash;

← Revisión anterior		Revisión del 19:06 21 mar 2008
Línea 42:		Línea 42:
	=== LDAP ===		=== LDAP ===

−	En el documento referido antes habla de meter schemas llamados	+	En el documento referido antes habla de meter schemas llamados <code>sendmail.schema</code>, <code>samba.schema</code>, y <code>mozillaOrgPerson_V0.6.schema</code>, al schema de samba ni lo metí porque no tiene sentido. Si bien los encontré por inet tiraban errores. Sí metí los <code>greenmta.schema</code> y <code>lookup.schema</code> porque vi que los iba a usar luego.
		+
		+	Estos últimos dos schemas no dieron errores por lo que los integré al resto.
		+
		+	Tener los schemas obviamente no resuelve nada. Siguiendo los archivos de configuración del documento para las búsquedas LDAP que realizará el postfix encontré que necesitaba unos cuantos usuarios y '''ou'''s por acá y allá, estos son:
		+	* cn=postfix,ou=system,ou=accounts,dc=cafelug,dc=org,dc=ar (para hacer las consultas)
		+	* búsqueda de virtual_alias_maps:
		+	** ou=users,ou=accounts,dc=cafelug,dc=org,dc=ar (buscando el atributo '''mail''' usando como filtro: '''(&(mailAlternateAddress=%s)(accountStatus=aktiv))''')
		+	** lookupName=virtualusers,cn=postfix,cn=mailstore,ou=server,ou=edv,dc=cafelug,dc=org,dc=ar (como base de búsqueda del atributo '''lookupValue''', filtro: '''lookupKey''' —que no sé para qué lo usa todavía—, esta definido en el archivo mailforwards.cf y también en el virtual_alias_maps.cf)
		+	** ou=users,ou=accounts,dc=cafelug,dc=org,dc=ar (buscando el atributo '''mail''' usando como filtro: '''(&(uid=%u)(accountStatus=aktiv))''', dentro del archivo de local_recipient_maps.cf)
		+
		+	De esto se desprende que el esquema LDAP está pensado para que un usuario pueda tener '''aliases''' en ''mailAlternateAddress'', lo que nos viene bien para casillas con @usla.org.ar, @linux.org.ar. También se pueden activar los usuarios o no en base al valor de ''accountStatus'', para que esté activa la casilla deberá tener el valor '''aktiv''' —que por supuesto, se puede cambiar a algo como ''activo'' ;-)—