{"id":605,"date":"2023-10-09T15:55:49","date_gmt":"2023-10-09T13:55:49","guid":{"rendered":"http:\/\/www.tippex.net\/?p=605"},"modified":"2025-07-22T16:07:52","modified_gmt":"2025-07-22T14:07:52","slug":"von-der-cloud-in-die-cloud-migration-von-m365-zu-postfix-nextcloud","status":"publish","type":"post","link":"https:\/\/www.tippex.net\/?p=605","title":{"rendered":"Von der Cloud in die Cloud: Migration von M365 zu Postfix & Nextcloud"},"content":{"rendered":"\n

F\u00fcr mich stand gerade mal ein gr\u00f6sseres Projekt an. Seit nun ca. 2 Jahren war ich Kunde bei Microsoft, genauer gesagt bei Ihrem SaaS Dienst M365, bisher bekannt als O365. Im Grunde war ich auch zufrieden. Die Dienste, wie Mail, Onedrive und Teams liefen ohne Ausf\u00e4lle. Zumindest ohne dass ich es bemerkt h\u00e4tte. <\/p>\n\n\n\n

Es kam aber der Tag, an dem bekannt wurde, dass Microsoft einen Master Key „verloren“<\/a> hat. Dies ist aber nicht Microsoft selbst aufgefallen, sondern einem ihrer Kunden, der das kostenpflichte Addons zum Auswerten der Logs gebucht hatte. In eben diesen Logs hatte der Kunde verd\u00e4chtiges Verhalten aufgesp\u00fcrt und dies auch direkt an Microsoft gemeldet. Wie man sich nun schon fast denken kann, hat Microsoft dies ersteinmal nicht gross nach aussen kommuniziert. Intern hat man sich auf die Suche nach betroffenen Kunden gemacht und diese direkt kontaktiert. Es sollen angeblich nur um die 25 gewesen sein, haupts\u00e4chlich Beh\u00f6rden, auch in Deutschland. Ein Skandal, der verwunderlicher weise nicht viel Aufsehen erregte, ausser in Fachkreisen. Der Masterkey war so m\u00e4chtig, dass einige Security Experten sogar davon sprachen, Microsoft h\u00e4tte seine Kronjuwelen verloren. -B\u00c4M-<\/strong> Ein Wirkungstreffer sollte man meinen. Aber nicht so bei Microsoft. Sie haben das ganze verharmlost. <\/p>\n\n\n\n

Nun zur\u00fcck zu meinem Projekt. Ich war von Microsofts Sicherheitspolitik noch nie \u00fcberzeugt. Anstatt sichere Produkte mit dem Siegel „Secure by Design“ auf den Markt zu bringen, war bzw. ist die g\u00e4ngige Praxis leider genau das Gegenteil. Die Standardeinstellungen sind l\u00f6chrig wie der schweizer K\u00e4se. Features sind den Redmondern wichtiger als Sicherheit.<\/p>\n\n\n\n

Als langj\u00e4hriger Admin weiss ich nat\u00fcrlich, an welchen Schrauben man drehen sollte, damit das Schlimmste abgewendet werden kann. Aber es ist immer mit extra Aufwand verbunden und nat\u00fcrlich auch einem Komfortverlust.<\/p>\n\n\n\n

Mit dem neuerlichem Vorfall bei Microsoft habe ich mein (privates) Vertrauen in diese Firma nun endg\u00fcltig verloren. Ich wollte weg, weit weg. Naja, sinnbildlich gesprochen.<\/p>\n\n\n\n

Ich machte mir ein paar Gedanken, wie es f\u00fcr meine Mails und Daten nun weitergehen sollte und entschloss mich, auf Postfix und Nextcloud setzen. Beides Open Source, beides seit Jahren erprobt und millionenfach eingesetzt, weltweit. Es gibt zahlreiche Dokumentationen, die einem die Installation und Konfiguration erleichtern w\u00fcrden.<\/p>\n\n\n\n

Mir ist nat\u00fcrlich klar, dass mit solch einem Projekt die Sicherheit nicht frei Haus kommt. Ich bin daf\u00fcr verantwortlich, mit allen Pros und Cons. Aber daf\u00fcr bin ich auch frei, zumindest gef\u00fchlt.<\/p>\n\n\n\n

In diesem Tutorial m\u00f6chte ich euch zeigen, wie auch ihr diese Freiheit erlangen k\u00f6nnt \ud83d\ude09 Nur Spass. Hier wird keiner erl\u00f6st, nur an die Hand genommen.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Voraussetzung:<\/h2>\n\n\n\n

Ihr ben\u00f6tigt einen Server, der aus dem Internet erreichbar ist. Es gibt g\u00fcnstige VPS Angebot schon ab 4-5\u20ac im Monat. F\u00fcr den Heimgebrauch v\u00f6llig ausreichend. Im Tutorial wird Ubuntu 22.04 verwendet. Gezeigte Befehle sollten aber auf allen aktuellen Debian basierten Systemen funktionieren.<\/p>\n\n\n\n

Ziel:<\/h2>\n\n\n\n

In diesem Tutorial zeige ich euch, wie ihr Postfix(MTA) mit Dovecot(MDA\/LDA) und die Benutzerspeicherung in eine MySQL Datenbank bewerkstelligt. Ausserdem richten wir das automatische Virenscanning via ClamAV ein und filtern unsere Mails nach SPAM via Spamassassin. Auch das Signieren ausgehender mails via OpenDKIM werde ich beschreiben. Zus\u00e4tlich richten wie Dovecot-Sieve ein und k\u00f6nnen so bereits eingehende Mails nach bestimmten Kriterien filtern und in entsprechende Mailbox-Ordnern einsortieren. Am Ende des Tutorials sichern wir unseren Server noch etwas weiter ab, sofern noch nicht selbst von eurer Seite geschehen.<\/p>\n\n\n\n

Die Installation bzw. Einrichtung von Nextcloud als Ersatz f\u00fcr OneDrive werde ich in diesem Tutorial nicht besprechen. Dazu verweise ich auf diesen Artikel<\/a>.Das Video ist sehr ausf\u00fchrlich und die n\u00f6tigen Befehle sind sehr gut dokumentiert.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Inhaltsverzeichnis:<\/h2>\n\n\n\n

1.) Pakete installieren<\/a><\/p>\n\n\n\n

2.) Zertifikate<\/a><\/p>\n\n\n\n

3.) MySQL<\/a><\/p>\n\n\n\n

4.) Postfix<\/a><\/p>\n\n\n\n

5.) Dovecot<\/a><\/p>\n\n\n\n

6.) Spamassassin<\/a><\/p>\n\n\n\n

7.) Dovecot-Sieve Filter<\/a><\/p>\n\n\n\n

8.) OpenDKIM<\/a><\/p>\n\n\n\n

9.) Serverabsicherung<\/a><\/p>\n\n\n\n

10.) To do’s<\/a><\/p>\n\n\n\n

<\/p>\n\n\n\n

<\/p>\n\n\n\n

\n\n\n\n

1.) Pakete installieren<\/h2>\n\n\n\n

Folgende Pakete werden installiert:<\/p>\n\n\n\n

sudo apt install postfix postfix-mysql dovecot-core dovecot-imapd dovecot-lmtpd dovecot-mysql mysql-server dovecot-sieve<\/code><\/pre>\n\n\n\n
Wir w\u00e4hlen „Internet Site“ aus.<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Hier tragen wir unsere Domain ein, keinen Hostnamen.<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
<\/p>\n\n\n\n
2.)Zertifikat besorgen<\/h2>\n\n\n\n
F\u00fcr Postfix und Dovecot ben\u00f6tigen wir ein SSl Zertifikat. Dieses l\u00e4sst sich kostenlos \u00fcber Let’s Encrypt<\/a> beziehen. Auf Ubuntu 22.04 l\u00e4sst sich der Certbot Service, welcher zum Abholen der Zertifikate ben\u00f6tigt wird, wie folgt installieren:<\/p>\n\n\n\n
sudo snap install --classic certbot\nsudo ln -s \/snap\/bin\/certbot \/usr\/bin\/certbot<\/code><\/pre>\n\n\n\n
Weiter geht es dann mit folgendem Befehl:<\/p>\n\n\n\n
sudo certbot certonly --standalone<\/code><\/pre>\n\n\n\n
Damit haben wir den Private Key und das Zertifikat unter \/etc\/letsencrypt\/live\/example.com\/ liegen.<\/p>\n\n\n\n
<\/p>\n\n\n\n
\n\n\n\n
<\/p>\n\n\n\n
3.) MySQL<\/h2>\n\n\n\n
Sofern ihr bei der Installation von MySQL via apt nicht danach gefragt wurdet ein root Passswort anzulegen, k\u00f6nnt ihr dies mit nur weng Aufwand nachholen. Einen Artikel dazu habe ich hier<\/a> geschrieben.<\/p>\n\n\n\n
Nachdem dies erledigt ist loggen wir uns zun\u00e4chst beo MySQL ein:<\/p>\n\n\n\n
sudo mysql -u root -p<\/code><\/pre>\n\n\n\n
Wir legen uns eine komplett neue Datenbank namens mailserver<\/strong><\/em> an:<\/p>\n\n\n\n
CREATE DATABASE mailserver;<\/code><\/pre>\n\n\n\n
Nun legen wir einen User an, der sp\u00e4ter von Postfix bzw. Dovecot ben\u00f6tigt wird, um sich zu authentisieren.<\/p>\n\n\n\n
CREATE USER 'mailuser'@'127.0.0.1' IDENTIFIED BY 'password';<\/code><\/pre>\n\n\n\n
Dieser user ben\u00f6tigt nur Rechte zum Abfragen auf die Datenbank, also „Select“:<\/p>\n\n\n\n
GRANT SELECT ON mailserver.* TO 'mailuser'@'127.0.0.1';\n\t\nmysql > FLUSH PRIVILEGES;\n<\/code><\/pre>\n\n\n\n
Als n\u00e4chstes legen wir eine Tabelle an, die unsere Domain(s) beinhalten wird:<\/p>\n\n\n\n
CREATE TABLE `virtual_domains` (\n  `id` int(11) NOT NULL auto_increment,\n  `name` varchar(50) NOT NULL,\n  PRIMARY KEY (`id`)\n) ENGINE=InnoDB DEFAULT CHARSET=utf8;<\/code><\/pre>\n\n\n\n
Als n\u00e4chstes folgt eine Tabelle, die alle Emailadressen und zugeh\u00f6rige Passw\u00f6rter enhalten wird:<\/p>\n\n\n\n
CREATE TABLE `virtual_users` (\n  `id` int(11) NOT NULL auto_increment,\n  `domain_id` int(11) NOT NULL,\n  `password` varchar(106) NOT NULL,\n  `email` varchar(100) NOT NULL,\n  PRIMARY KEY (`id`),\n  UNIQUE KEY `email` (`email`),\n  FOREIGN KEY (domain_id) REFERENCES virtual_domains(id) ON DELETE CASCADE\n) ENGINE=InnoDB DEFAULT CHARSET=utf8;<\/code><\/pre>\n\n\n\n
Nun zum Schluss eine weiter Tabelle, die Aliase beherbergt. Aliase sind Weiterleitungsadressen. Wenn z.B. eure Hauptadresse test@example.com ist, dann ist es m\u00f6glich via Alias z.B. postmaster@example.com and die Hauptadresse weiterzuleiten.<\/p>\n\n\n\n
CREATE TABLE `virtual_aliases` (\n  `id` int(11) NOT NULL auto_increment,\n  `domain_id` int(11) NOT NULL,\n  `source` varchar(100) NOT NULL,\n  `destination` varchar(100) NOT NULL,\n  PRIMARY KEY (`id`),\n  FOREIGN KEY (domain_id) REFERENCES virtual_domains(id) ON DELETE CASCADE\n) ENGINE=InnoDB DEFAULT CHARSET=utf8;<\/code><\/pre>\n\n\n\n
Nun bef\u00fcllen wir unsere Tabelle virtual_domains<\/strong><\/em> mit den Domains, die wir sp\u00e4ter als Maildomains nutzen wollen:<\/p>\n\n\n\n
INSERT INTO `servermail`.`virtual_domains` (`id` ,`name`) VALUES\n('1', 'example.com'),\n('2', example2.com');<\/code><\/pre>\n\n\n\n
Zu einem sp\u00e4teren Zeitpunkt kann man immer noch neue Domains hinzuf\u00fcgen.<\/p>\n\n\n\n
An dieser Stelle m\u00fcssen wir MySQL verlassen, um uns f\u00fcr jeden User ein sicheres Passwort zu generieren, bzw. aus dem Passwort einen Hash. Nicht das Passwort, sondern der Hash wird in der Tabelle gespeichert.<\/p>\n\n\n\n
Der Hash wird mit dem tool doveadm<\/strong><\/em> generiert:<\/p>\n\n\n\n
sudo doveadm pw -s SHA512-CRYPT<\/code><\/pre>\n\n\n\n
Nachdem Ihr den Befehl ausgef\u00fchrt habt m\u00fcsst Ihr 2x das Passwort eingeben. Danach wird auch ein \u00e4hnlicher Hash, wie hier angezeigt:<\/p>\n\n\n\n
{SHA512-CRYPT}$6$WHttEk\/nzN7fk4TM$x\/KN3.UCQA1DH3euDMpcaAij520HBOhTtyWqf2ALWbCk\/CZLnRtbNKyAOJIjGCmNIMAtfpctOXNfvFcu7PxmQ<\/code><\/pre>\n\n\n\n
Der eigentliche Hash, also den Teil, den wir in die Tabelle in MySQL eingeben, ist alles rechts von der letzten geschweiften Klammer ( } ).<\/p>\n\n\n\n
Im Folgenden erzeugen wir einen Eintrag mit dem User test@example.com und seinem zugeh\u00f6rigen Passwort. Dies sind also die Logindaten f\u00fcr den sp\u00e4teren Einsatz im Mailclient.<\/p>\n\n\n\n
INSERT INTO `servermail`.`virtual_users`(`id`, `domain_id`, `password` , `email`) VALUES\n('1','1','$6$rUbxIRkrdao.Gzwm$McnUc0DZ4mMZ7H1mPO3yYgytJ0s5Z3KqTilwUNWWpbHVdStpj87Vz3u.EPAEoYvq\/EZsdzGOc0\/vt7iMJRyPD.', 'test@example.com');<\/code><\/pre>\n\n\n\n
Zum \u00fcberpr\u00fcfen, ob obige Daten auch correct in die Tabelle eingtragen wurden, kann man folgenden Befehl nutzen:<\/p>\n\n\n\n
SELECT * FROM mailserver.virtual_users;<\/code><\/pre>\n\n\n\n
Einen Alias k\u00f6nnen wir wie folgt hinzuf\u00fcgen:<\/p>\n\n\n\n
INSERT INTO mailserver.virtual_aliases (domain_id, source, destination) VALUES ('1', 'alias@example.com', 'test@example.com');<\/code><\/pre>\n\n\n\n
<\/p>\n\n\n\n
\n\n\n\n
<\/p>\n\n\n\n
4.) Postfix<\/h2>\n\n\n\n
Nun ist die Konfiguration von Postfix an der Reihe. Bevor wir aber die Konfigdateien editieren, machen wir ein Backup:<\/p>\n\n\n\n
cd \/etc\/postfix\nsudo cp \/etc\/postfix\/main.cf \/etc\/postfix\/main.cf.bak\nsudo cp \/etc\/postfix\/master.cf \/etc\/postfix\/materer.cf.bak<\/code><\/pre>\n\n\n\n
Richtet eure main.cf wie folgt ein. Achtet dabei auf den individuelle Pfad bei key<\/em> <\/strong>und cert<\/strong><\/em> ( unten fett dargestellt). <\/p>\n\n\n\n
# See \/usr\/share\/postfix\/main.cf.dist for a commented, more complete version\n\n# Debian specific:  Specifying a file name will cause the first\n# line of that file to be used as the name.  The Debian default\n# is \/etc\/mailname.\n#myorigin = \/etc\/mailname\n\nsmtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)\nbiff = no\n\n# appending .domain is the MUA's job.\nappend_dot_mydomain = no\n\n# Uncomment the next line to generate \"delayed mail\" warnings\n#delay_warning_time = 4h\n\nreadme_directory = no\n\n# See http:\/\/www.postfix.org\/COMPATIBILITY_README.html -- default to 2 on\n# fresh installs.\ncompatibility_level = 2\n\n# TLS parameters\nsmtpd_tls_cert_file=\/etc\/letsencrypt\/live\/example.com\/fullchain.pem\nsmtpd_tls_key_file=\/etc\/letsencrypt\/live\/example.com\/privkey.pem<\/strong>\nsmtpd_use_tls=yes\nsmtpd_tls_auth_only = yes\nsmtp_tls_security_level = may\nsmtpd_tls_security_level = may\nsmtpd_sasl_security_options = noanonymous, noplaintext\nsmtpd_sasl_tls_security_options = noanonymous\n\n# Authentication\nsmtpd_sasl_type = dovecot\nsmtpd_sasl_path = private\/auth\nsmtpd_sasl_auth_enable = yes\n\n# See \/usr\/share\/doc\/postfix\/TLS_README.gz in the postfix-doc package for\n# information on enabling SSL in the smtp client.\n\n# Restrictions\nsmtpd_helo_restrictions =\n        permit_mynetworks,\n        permit_sasl_authenticated,\n        reject_invalid_helo_hostname,\n        reject_non_fqdn_helo_hostname\nsmtpd_recipient_restrictions =\n        permit_mynetworks,\n        permit_sasl_authenticated,\n        reject_non_fqdn_recipient,\n        reject_unknown_recipient_domain,\n        reject_unlisted_recipient,\n        reject_unauth_destination\nsmtpd_sender_restrictions =\n        permit_mynetworks,\n        permit_sasl_authenticated,\n        reject_non_fqdn_sender,\n        reject_unknown_sender_domain\nsmtpd_relay_restrictions =\n        permit_mynetworks,\n        permit_sasl_authenticated,\n        defer_unauth_destination\n\n# See \/usr\/share\/doc\/postfix\/TLS_README.gz in the postfix-doc package for\n# information on enabling SSL in the smtp client.\n\nmyhostname = example.com\nalias_maps = hash:\/etc\/aliases\nalias_database = hash:\/etc\/aliases\nmydomain = example.com\nmyorigin = $mydomain\nmydestination = localhost\nrelayhost =\nmynetworks = 127.0.0.0\/8 [::ffff:127.0.0.0]\/104 [::1]\/128\nmailbox_size_limit = 0\nrecipient_delimiter = +\ninet_interfaces = all\ninet_protocols = all\n\n# Handing off local delivery to Dovecot's LMTP, and telling it where to store mail\nvirtual_transport = lmtp:unix:private\/dovecot-lmtp\n\n# Virtual domains, users, and aliases\nvirtual_mailbox_domains = mysql:\/etc\/postfix\/mysql-virtual-mailbox-domains.cf\nvirtual_mailbox_maps = mysql:\/etc\/postfix\/mysql-virtual-mailbox-maps.cf\nvirtual_alias_maps = mysql:\/etc\/postfix\/mysql-virtual-alias-maps.cf\n\n       \n# Even more Restrictions and MTA params\ndisable_vrfy_command = yes\nstrict_rfc821_envelopes = yes\n#smtpd_etrn_restrictions = reject\n#smtpd_reject_unlisted_sender = yes\n#smtpd_reject_unlisted_recipient = yes\nsmtpd_delay_reject = yes\nsmtpd_helo_required = yes\nsmtp_always_send_ehlo = yes\n#smtpd_hard_error_limit = 1\nsmtpd_timeout = 30s\nsmtp_helo_timeout = 15s\nsmtp_rcpt_timeout = 15s\nsmtpd_recipient_limit = 40\nminimal_backoff_time = 180s\nmaximal_backoff_time = 3h\n\n# Reply Rejection Codes\ninvalid_hostname_reject_code = 550\nnon_fqdn_reject_code = 550\nunknown_address_reject_code = 550\nunknown_client_reject_code = 550\nunknown_hostname_reject_code = 550\nunverified_recipient_reject_code = 550\nunverified_sender_reject_code = 550<\/code><\/pre>\n\n\n\n
Nun richten wir die 3 files ein, die in der \/etc\/postfix\/main.cf<\/em><\/strong> schon deklariert sind. Das erste w\u00e4re die <\/p>\n\n\n\n
\/etc\/postfix\/mysql-virtual-mailbox-domains.cf<\/strong><\/em><\/p>\n\n\n\n
user = mailuser\npassword = mailuserpass\nhosts = 127.0.0.1\ndbname = mailserver\nquery = SELECT 1 FROM virtual_domains WHERE name='%s'<\/code><\/pre>\n\n\n\n
\/etc\/postfix\/mysql-virtual-mailbox-maps.cf<\/em><\/strong><\/p>\n\n\n\n
user = mailuser\npassword = mailuserpass\nhosts = 127.0.0.1\ndbname = mailserver\nquery = SELECT 1 FROM virtual_users WHERE email='%s'<\/code><\/pre>\n\n\n\n
\/etc\/postfix\/mysql-virtual-alias-maps.cf<\/em><\/strong><\/p>\n\n\n\n
user = mailuser\npassword = mailuserpass\nhosts = 127.0.0.1\ndbname = mailserver\nquery = SELECT destination FROM virtual_aliases WHERE source='%s'<\/code><\/pre>\n\n\n\n
Zum Abschluss starten wir Postfix einmal neu:<\/p>\n\n\n\n
sudo systemctl restart postfix<\/code><\/pre>\n\n\n\n
Postfix testen:<\/strong><\/p>\n\n\n\n
Die ersten beiden Befehle sollten als R\u00fcckgabewert die ‚1‘ liefern. Beim dritten Befehl wird die Hauptmailadresse ausgeben, auf den der Alias verweist.<\/p>\n\n\n\n
sudo postmap -q example.com mysql:\/etc\/postfix\/mysql-virtual-mailbox-domains.cf\n\nsudo postmap -q email1@example.com mysql:\/etc\/postfix\/mysql-virtual-mailbox-maps.cf\n\nsudo postmap -q alias@example.com mysql:\/etc\/postfix\/mysql-virtual-alias-maps.cf<\/code><\/pre>\n\n\n\n
<\/p>\n\n\n\n
Als n\u00e4chstes k\u00fcmmern wir uns um die Einstellungen in der master.cf. Diese Konfigurationsdatei startet und steuert die Postfix Prozesse. <\/p>\n\n\n\n
#\n# Postfix master process configuration file.  For details on the format\n# of the file, see the master(5) manual page (command: \"man 5 master\" or\n# on-line: http:\/\/www.postfix.org\/master.5.html).\n#\n# Do not forget to execute \"postfix reload\" after editing this file.\n#\n# ==========================================================================\n# service type  private unpriv  chroot  wakeup  maxproc command + args\n#               (yes)   (yes)   (yes)    (never) (100)\n# ==========================================================================\nsmtp      inet  n       -       n       -       -       smtpd\n#smtp      inet  n       -       -       -       1       postscreen\n#smtpd     pass  -       -       -       -       -       smtpd\n#dnsblog   unix  -       -       -       -       0       dnsblog\n#tlsproxy  unix  -       -       -       -       0       tlsproxy\nsubmission inet n       -       y      -       -       smtpd\n  -o syslog_name=postfix\/submission\n  -o smtpd_tls_security_level=encrypt\n  -o smtpd_sasl_auth_enable=yes\n  -o smtpd_sasl_type=dovecot\n  -o smtpd_sasl_path=private\/auth\n  -o smtpd_reject_unlisted_recipient=no\n  -o smtpd_client_restrictions=permit_sasl_authenticated,reject\n  -o milter_macro_daemon_name=ORIGINATING\nsmtps     inet  n       -       -       -       -       smtpd\n  -o syslog_name=postfix\/smtps\n  -o smtpd_tls_wrappermode=yes\n  -o smtpd_sasl_auth_enable=yes\n  -o smtpd_sasl_type=dovecot\n  -o smtpd_sasl_path=private\/auth\n  -o smtpd_client_restrictions=permit_sasl_authenticated,reject\n  -o milter_macro_daemon_name=ORIGINATING\n  ...<\/code><\/pre>\n\n\n\n
Abschliessend nehmen wir noch \u00c4nderung an den Rechten von \/etc\/postfix<\/strong><\/em> vor, sodass die Gruppe ‚other‘ keine keinenn Zugriff mehr hat.<\/p>\n\n\n\n
sudo chmod -R o-rwx \/etc\/postfix\nsudo systemctl restart postfix<\/code><\/pre>\n\n\n\n
<\/p>\n\n\n\n
\n\n\n\n
<\/p>\n\n\n\n
5.) Dovecot<\/h2>\n\n\n\n
Dovecot dient f\u00fcr unsere Zwecke als IMAP Server und LDA ( local delivery agent ). Er nimmt die Mails von Postfix an und liefert sie an die User aus.<\/p>\n\n\n\n
Als erstes machen wir wieder Backups von den zu bearbeitenden Konfigdateien:<\/p>\n\n\n\n
sudo cp \/etc\/dovecot\/dovecot.conf \/etc\/dovecot\/dovecot.conf.bak\nsudo cp \/etc\/dovecot\/conf.d\/10-mail.conf \/etc\/dovecot\/conf.d\/10-mail.conf.bak\nsudo cp \/etc\/dovecot\/conf.d\/10-auth.conf \/etc\/dovecot\/conf.d\/10-auth.conf.bak\nsudo cp \/etc\/dovecot\/dovecot-sql.conf.ext \/etc\/dovecot\/dovecot-sql.conf.ext.bak\nsudo cp \/etc\/dovecot\/conf.d\/10-master.conf \/etc\/dovecot\/conf.d\/10-master.conf.bak\nsudo cp \/etc\/dovecot\/conf.d\/10-ssl.conf \/etc\/dovecot\/conf.d\/10-ssl.conf.bak<\/code><\/pre>\n\n\n\n
Danach \u00e4ndern wir die Konfigs auf die gezeigten Werte:<\/p>\n\n\n\n
\/etc\/dovecot\/dovecot.conf<\/strong><\/em><\/p>\n\n\n\n
## Dovecot configuration file\n...\n# Enable installed protocols\n!include_try \/usr\/share\/dovecot\/protocols.d\/*.protocol\nprotocols = imap pop3 lmtp\n\npostmaster_address = postmaster at example.com\n...<\/code><\/pre>\n\n\n\n
\/etc\/dovecot\/conf.d\/10-mail.conf<\/strong><\/em><\/p>\n\n\n\n
...\nmail_location = maildir:\/var\/mail\/vhosts\/%d\/%n\/\n...\nmail_privileged_group = mail\n...<\/code><\/pre>\n\n\n\n
Erstellt nun das Verzeichnis \/var\/mail\/vhosts<\/strong><\/em> und Unterverzeichnis eurer Domain. Ersetzt example.com<\/strong><\/em> mit dem Namen eurer Domain:<\/p>\n\n\n\n
sudo mkdir -p \/var\/mail\/vhosts\/example.com<\/code><\/pre>\n\n\n\n
Nun ben\u00f6tigen wir einen Systemuser und eine Systemgroup jeweils mit dem Namen vmail<\/strong><\/em>. Diese werden dann die Mails auf dem Server lesen k\u00f6nnen:<\/p>\n\n\n\n
sudo groupadd -g 5000 vmail\nsudo useradd -g vmail -u 5000 vmail -d \/var\/mail\nsudo chown -R vmail:vmail \/var\/mail<\/code><\/pre>\n\n\n\n
Als n\u00e4chstes editiert die Datei \/etc\/dovecot\/conf.d\/10-auth.conf<\/strong><\/em><\/p>\n\n\n\n
...\ndisable_plaintext_auth = yes\n...\nauth_mechanisms = plain login\n...\n!include auth-system.conf.ext\n...\n!include auth-sql.conf.ext\n...<\/code><\/pre>\n\n\n\n
In der Datei \/etc\/dovecot\/conf.d\/auth-sql.conf.ext<\/em><\/strong> stehen die Authentisierungs-und Storageinformationen.Passt sie wie folgend gezeigt an:<\/p>\n\n\n\n
...\npassdb {\n  driver = sql\n  args = \/etc\/dovecot\/dovecot-sql.conf.ext\n}\n...\n#userdb {\n#  driver = sql\n#  args = \/etc\/dovecot\/dovecot-sql.conf.ext\n#}\n...\nuserdb {\n  driver = static\n  args = uid=vmail gid=vmail home=\/var\/mail\/vhosts\/%d\/%n\n}\n...<\/code><\/pre>\n\n\n\n
In der Datei \/etc\/dovecot\/dovecot-sql.conf.ext<\/strong><\/em> stehen die MySQL Verbindungsparameter:<\/p>\n\n\n\n
...\ndriver = mysql\n...\nconnect = host=127.0.0.1 dbname=mailserver user=mailuser password=mailuserpass\n...\ndefault_pass_scheme = SHA512-CRYPT\n...\npassword_query = SELECT email as user, password FROM virtual_users WHERE email='%u';\n...<\/code><\/pre>\n\n\n\n
Nun noch ein paar \u00c4nderungen an Benutzern und Zugriffen:<\/p>\n\n\n\n
sudo chown -R vmail:dovecot \/etc\/dovecot\nsudo chmod -R o-rwx \/etc\/dovecot<\/code><\/pre>\n\n\n\n
Nehmt folgende \u00c4nderungen an der Datei \/etc\/dovecot\/conf.d\/10-master.conf<\/strong><\/em> vor:<\/p>\n\n\n\n
\n
Achtet bitte auf korrekte Formattierung bei den {geschweiften Klammern}. Schnell vergisst man diese korrekt zu schliessen<\/strong><\/p>\n<\/blockquote>\n\n\n\n
...\nservice imap-login {\n  inet_listener imap {\n    port = 0\n  }\n  inet_listener imaps {\n    port = 993\n    ssl = yes\n  }\n  ...\n}\n...\nservice pop3-login {\n  inet_listener pop3 {\n    port = 0\n  }\n  inet_listener pop3s {\n    port = 995\n    ssl = yes\n  }\n}\n...<\/code><\/pre>\n\n\n\n
Zus\u00e4tzlich in der selben Datei sucht nach service lmtp<\/em> <\/strong>und nehmt folgende Einstellungen vor:<\/p>\n\n\n\n
...\nservice lmtp {\n  unix_listener \/var\/spool\/postfix\/private\/dovecot-lmtp {\n    #mode = 0666i\n    mode = 0600\n    user = postfix\n    group = postfix\n  }\n...\n}<\/code><\/pre>\n\n\n\n
Dann sucht nach service auth<\/strong><\/em> und macht die gezeigten Einstellungen:<\/p>\n\n\n\n
...\nservice auth {\n  ...\n  unix_listener \/var\/spool\/postfix\/private\/auth {\n    mode = 0660\n    user = postfix\n    group = postfix\n  }\n\n  unix_listener auth-userdb {\n    mode = 0600\n    user = vmail\n  }\n...\n  user = dovecot\n}\n...<\/code><\/pre>\n\n\n\n
In der service-auth-worker<\/strong> <\/em>section wird user unkommentiert und auf vmail<\/em> gesetzt:<\/p>\n\n\n\n
...\nservice auth-worker {\n  ...\n  user = vmail\n}<\/code><\/pre>\n\n\n\n
Nun binden wir das bereits im Postfix aktive Zertifikat samt Key in Dovecot ein:<\/p>\n\n\n\n
\/etc\/dovecot\/conf.d\/10-ssl.conf<\/strong><\/em><\/p>\n\n\n\n
..\n# SSL\/TLS support: yes, no, required. <doc\/wiki\/SSL.txt>\nssl = required\n...\nssl_cert = <\/etc\/letsencrypt\/live\/example.com\/fullchain.pem\nssl_key = <\/etc\/letsencrypt\/live\/example.com\/privkey.pem<\/code><\/pre>\n\n\n\n
Zu guter letzt startet ihr noch den dovecot<\/em> neu:<\/p>\n\n\n\n
sudo systemctl restart dovecot<\/code><\/pre>\n\n\n\n
Testen des Mailservers:<\/strong><\/p>\n\n\n\n
Nun ist es an der Reihe zu testen, ob unser Postfix in der Lage ist, Mails zu versenden. Dazu benutzen wir das CMD Tool mailutil<\/strong>s<\/em><\/p>\n\n\n\n
sudo apt-get install mailutils<\/code><\/pre>\n\n\n\n
Wir nehmen den anschliessenden Befehl, um von der Kommandozeile eine Mail an einen externen Empf\u00e4nger zu senden, wie z.B. an eine Gmail-Adresse:<\/p>\n\n\n\n
echo \"Email body text\" | sudo mail -s \"Email subject line\" recipient@gmail.com -a From:test@example.com<\/code><\/pre>\n\n\n\n
Schaut nun nach, ob die Mail bei eurem extern Anbieter angekommen ist. Falls Ja, dann dr\u00fcckt auf „Antworten<\/em>„. So k\u00f6nnt ihr gleich testen, ob euer Postfix die Mail auch korrekt eingeliefert bekommt. Dies checkt ihr, indem folgender Befehl genutzt wird:<\/p>\n\n\n\n
sudo mail -f \/var\/mail\/vhosts\/example.com\/email1<\/code><\/pre>\n\n\n\n
\n
Achtung:<\/strong> Ihr m\u00fcsst vorher bei euren DNS Anbieter die korrekten Werte f\u00fcr z.B. den MX Record gesetzt haben, ansonsten weiss Google nicht, wohin er die Mails schicken soll.<\/p>\n<\/blockquote>\n\n\n\n
Einrichten eines Mailclients:<\/strong><\/p>\n\n\n\n
Zum testen sollte im Prinzip jeder Mailclient funktionieren. Ich habe Thunderbird verwendet.<\/p>\n\n\n\n